从这个角度来说，萨氏法案立案的基础有点问题。我个人理解，它的立案基础乃是强调自下向上的控制。这样的控制方法论，对于管理层的防范实在有限。我举一个很小的例子来说明。假如有一控制，控制行动是，一定金额的费用支出需获一定层级的管理者的签字审批。那么当这个控制延伸到最高一级，我们想象的极端一些，总裁的费用谁来签字？难道每一笔费用都要管理委员会或是董事会来审批？那么董事局主席又如何？这样自己为自己签字的控制漏洞实际上才是真正的风险所在。这是萨氏法案最大的失误之一，对于最高管理层，只谈虚头巴脑的控制环境而缺乏实际的控制措施。

前面提到的苏叔就是这样一个头脑不太清楚的人。我感觉此人若论技术，应该还是不错的，但是我也坚持地认为，如果干活不动脑子，那么再能干活，所能达到的境界也有限。我现在举一个具体的例子再次论证该人的不动脑子。我们的测试程序中有这样一个控制，是说负责应收账款核销的A姐应该从负责银行业务的B姐那里获得最近的收款情况，然后A姐需要将回款记录与自己手中的应收账款明细一一核对。结果在现实生活中，A姐作为流程负责人，（Process owner）在记录自己流程及控制点的时候没动脑子，浪费了自己的神圣权利。把控制行为（ntrol activity）设计成为：“会计A将逐笔核对从会计B处得到的银行回款记录。”这个控制行为设计的没错，但是不够好。后来我就此事教育了A姐。我个人认为，一个控制点设计的好坏，有这样几个标准，第一、客观反映你所执行的控制；第二、可检查；第三、可“原音重现。”第一个标准比较容易理解，不说了。第三个是说，作为第三方或管理层，拿着你所设计的控制行为，他可以照猫画虎的做一遍。第二点是针对我们这些审计师来说的，这一点A姐就没考虑周详，结果被苏叔抓了小辫子。苏叔的理论是这样的，你说你逐笔检查，那么如何证明之？这个时候老外充分发挥了他的磨叽劲头（这两个字得到了很多朋友的指正，你们都是我的2字师）兴致盎然的让A姐拿出证据。A姐此时有点发懵，就很老实的反问审计师想看到什么样的证据？苏叔的回答让我和A姐同时晕倒，原来他要看到受理那个核对表上面应该有红色的钩或者叉叉来表示A姐确实做了核对工作。这样的要求让A姐非常悲愤，当时就要用国语骂人，被我拼命拦住了。苏叔看到A姐恶狠狠的样子，耸耸肩膀就走掉了，留下我和A姐耐心的座谈。我首先表示和A姐是一头的，刚才要不是怕出人命就也纵身扑上去了。然后再和A姐讲道理，坦率的说，这件事两个人应该各打五十大板，先说苏叔，萨班斯法案本来就是一件费力不讨好的工作，若是在鸡蛋里面挑骨头，一定会背后挨黑枪，我想他一定不了解山东乃是好汉辈出的地方，所以才敢如此嚣张。这个测试本来没什么意义，他想看到的红勾或是红叉根本不能证明这乃是一个有效的控制，试想一个热爱美术的会计师，还可以把红勾画成蜡笔小新，红叉画成动感超人，但你还是不能证明该会计师履行了这个控制。所以苏叔这样的挑剔实在没有什么道理，被人拍几砖也不算冤枉。再回过头来说A姐，正如我刚才说的，她的这个控制设计得很不好，不符合我说过的第二个标准，就是不可检查。其实解决办法很简单，只要把控制行为改成：“会计A将逐笔核对从会计B处得到的银行回款记录，并在正常记录下签字确认”就可以解决掉红勾红叉的问题。或者改成：“会计A将逐笔核对从会计B处得到的银行回款记录，并在不正常的地方标示，”，这样也是可以检查的一项控制。

以上的一个例子说明两点，第一点是说，身为流程负责人，在给你时间和权利记录自己流程的时候，一定要动动脑子，不能应付差事。不然很可能给自己找麻烦。--后来A姐的那个控制还是被评为了不合格，还属于：“materials weakness”,这在当时可是个很严重的问题，因为一般要是有控制出现了这样的评级，公司上下都会非常紧张，至少亚太区的管理层就要开一个会讨论这个issue，为此A姐很是郁闷了一段时间。

想要说明的第二点，就是干审计也要动脑子，不可以太死板，不然会容易把自己做死—苏叔在青岛虽然没有被谁暗算，被打成残废什么的，但他的红勾红叉的理论被当成了笑柄在公司内部传唱。依照这样的控制理论，正常的运营根本无法进行。我个人认为评价一个控制是不是好的，也要看看他是不是有助于流程的顺畅，如果答案是否定的，执行此控制成本又很高--比如那个红叉红勾，浪费红墨水。那么这个控制就是一个失败的控制。因为企业的终极目标是实现股东利益最大化，而不是控制最大化。因为这个事件苏叔落了很差的人缘，当地的员工基本上对他全都敬而远之，和他刚一照面就迅速跑掉，简直比刘翔还快。他日后还要在这个公司混下去，但是如何让人家配合他的工作，真是非常令人怀疑。

点此阅读本系列所有文章：

审计师的浮生六记（第一记&第二记）

审计师的浮生六记（第三记-上）

审计师的浮生六记（第三记-中）