公司內部控制制度是什麼？中小企業也需要建置嗎？

公司內部控制制度是什麼？簡單說就是公司為達成營運效率、財務報表可靠與法令遵循三大目標，所設計的一套包含核准、分工、記錄與監督的制度。公開發行公司依證券交易法第14-1條強制建立並每年申報內部控制聲明書，中小企業等非公開發行公司法律上沒有強制義務，但若完全沒有職務分工與覆核機制，一旦發生舞弊，受損的不只是現金，還可能讓董事與負責人依公司法第23條、公司法第193條負起賠償責任。本文用白話解析法定五大要素、兩類公司的法令差異與罰則，並教你用最省成本的方式為中小企業打造可落地的簡易內控。

一、從一樁小公司舞弊案談起：為什麼5人公司也會被掏空？

王OO經營一家小型貿易公司，員工不到十人。某天他發現公司帳戶的錢越來越少，明明生意不錯，卻總是入不敷出。仔細一查，才發現負責帳務的同仁五年來陸續挪用公款高達數百萬元！王OO氣急敗壞地質問，對方卻委屈地說：「公司從來沒有明確的付款審核流程，你每次都只蓋章不看單據。」

這個故事在中小企業並不罕見。沒有「付款要兩人覆核、收錢與記帳要分開、每月要對銀行帳單」這類基本控制，就等於把保險箱鑰匙交給同一個人。內部控制制度不是大公司的專利，而是保護資產、避免錯誤與舞弊的第一道防線。

二、內部控制制度是什麼？五大要素有哪些？

內部控制制度在管什麼？3大目標一次看懂

結論先說：內部控制是在幫公司同時顧好「賺錢有效率、帳做得對、做事合法」三件事。

依《公開發行公司建立內部控制制度處理準則》第3條與第6條的法定架構，內部控制是由董事會、管理階層與全體員工共同參與的過程，目的在合理確保達成下列三類目標：

• 營運之效果及效率：包含獲利、績效與保障資產安全等目標，讓資源用在刀口上。
• 報導具可靠性、及時性、透明性及符合相關規範：確保財務與非財務資訊的編製可靠、即時且透明。
• 相關法令規章之遵循：遵守證券交易法、商業會計法、稅法等相關法令，避免受罰。

如果把公司比喻成一個人，內控就像免疫系統，平時就偵測風險、阻擋錯誤與舞弊，讓公司健康運作。沒有內控，出事才發現，往往已經損失慘重。

內部控制的法定五大要素是什麼？與COSO有何不同？

坊間常引用COSO架構的「控制環境、風險評估、控制活動、資訊與溝通、監督活動」五要素，這與我國準則的法定用語大致相符，但法定名稱應為「控制作業」與「監督作業」，實務文件與申報書應使用法定用語才精確。

對中小企業而言，不需要幾百頁的手冊，但掌握這五大要素的精神，就能用最少的表單，管住最大的風險。

三、法律有強制要求建立內部控制制度嗎？公開發行公司與中小企業差在哪？

1. 公開發行公司：強制建立，每年都要自行評估與申報

結論：只要是公開發行公司，就一定要做，沒有例外。

依據證券交易法第14-1條：「公開發行公司、證券交易所、證券商及證券交易法第十八條所定之事業應建立財務、業務之內部控制制度。主管機關得訂定前項公司或事業內部控制制度之準則。第一項之公司或事業，除經主管機關核准者外，應於每會計年度終了後三個月內，向主管機關申報內部控制聲明書。」金管會依該條授權訂有《公開發行公司建立內部控制制度處理準則》，詳細規範內控的內容與程序。

實務上必須做到以下三件事，缺一不可：

第一，每年自行評估。 準則第24條要求，公司應每年自行評估內部控制制度設計及執行的有效性，法定用語為「自行評估」而非「自行檢查」。評估後應於每會計年度終了後三個月內，於金管會指定網站辦理公告申報「內部控制聲明書」。該聲明書應經董事會通過，董事中如有持反對意見且有紀錄者，應予以揭露；已設置審計委員會者，應經審計委員會同意。

第二，設置隸屬董事會的內部稽核單位。 依準則第10條至第15條，公開發行公司應設置隸屬董事會的內部稽核單位，配置適任及適當人數的專任內部稽核人員，擬訂年度稽核計畫並確實執行。稽核發現的內部控制缺失及異常事項，應作成稽核報告並按季作成追蹤報告至改善為止，陳報董事會與審計委員會。

第三，必要時接受會計師專案審查。 準則第25條明定，會計師受公開發行公司委託或金管會依據證券交易法第38條之1指定專案審查公司內部控制制度時，應依規定辦理。

違反會怎樣？ 違反證券交易法第14-1條第1項未建立制度或第3項未申報聲明書者，依同法第178條第1項第2款，主管機關得處新臺幣24萬元以上480萬元以下罰鍰，並得限期命其改善，屆期未改善者得按次處罰。此外，依同法第179條，法人違反時得併罰其董事或行為人。

2. 非公開發行公司與中小企業：法律無全面強制，但不代表不用做

結論：中小企業在公司法上沒有被全面強制要建內控制度，但特定類型的法人有門檻式強制，且完全沒內控會在出事時被認定為管理疏失。

目前公司法並沒有條文強制所有公司都要建立內部控制制度。公司法第23條、公司法第192條、公司法第193條等條文規範的是負責人應忠實執行業務並盡善良管理人注意義務，以及董事會的職權，並未課予全面性的內控制度義務。因此，中小企業在法律上沒有「必須建置內控，否則開罰」的義務。

但是，其他法人就有明確門檻。例如財團法人法第24條第2項規定，財團法人符合下列情形之一者，應建立內部控制及稽核制度，並應委託會計師進行財務報表查核簽證：

• 法院登記之財產總額達新臺幣1億元以上
• 年度收入總額達新臺幣1,000萬元以上

這正是行政機關監督法人治理的典型作法。在法務部法規諮詢意見法制字第 10902505120 號中，法務部針對臺中市政府訂定的財團法人監督辦法草案表示意見，認為草案規範其建立內部控制及稽核制度、財務報表查核簽證等事項，符合監督意旨。該意見同時提醒，草案條文所稱「金額」究指法院登記財產總額或年度收入總額，宜請主管機關釐清定明（要旨摘述，非逐字引文）。由此可見，無論是公司還是財團法人，內控制度都被主管機關視為確保組織健全運作的關鍵。

3. 法院實務怎麼看內控？沒內控可能讓董事賠錢

結論：法院雖不會因「沒寫內控手冊」就直接判違法，但在舞弊或掏空案件中，會把「有沒有內控、董事有沒有督促」當作判斷是否盡到注意義務的重要證據。

當公司發生員工挪用、虛報採購或財報不實，股東或公司依公司法第23條主張負責人違反善良管理人注意義務、或依同法第193條主張董事會決議違法致公司受損而請求賠償時，法院常會審查：公司是否建立適當的職務分工與覆核機制？董事是否確實監督內部稽核與財務流程？如果公司完全沒有分工、印章與存摺由同一人保管、付款不需任何核准，董事很可能被認定有疏失而須負賠償責任。

換言之，內控不僅是防弊工具，也是訴訟中的「盡職證據」。及早留下核准紀錄、對帳紀錄與稽核軌跡，才能在爭議發生時證明管理階層已盡合理監督責任。

另一個常被忽略的法遵風險是帳務保存。依商業會計法第38條，會計憑證至少保存5年，帳簿及財務報表至少保存10年，未結會計事項者不在此限；違反記載不實等規定還可能涉及同法第71條刑責。稅捐稽徵法第44條也規定，營利事業依法應給與他人憑證而未給與、應自他人取得憑證而未取得，或應保存憑證而未保存者，應就短漏開金額或缺少憑證金額按查明認定總額處5%以下罰鍰，最高可達100萬元。這些都是內控制度中「文件記錄」與「定期核對」要管住的基本法令遵循。

四、中小企業為什麼需要建置內部控制制度？5個最實際的好處

「我們公司才五個人，也要搞內控嗎？」答案是：人越少，越需要用制度補位，因為一個人身兼數職，舞弊與錯誤的風險反而更高。一套量身訂做的簡易內控，可以帶來以下好處：

1. 防止舞弊與錯誤，守住現金

開頭王OO的案例就是典型：付款審核與職務分工完全空白，導致同一人可長期挪用公款。如果規定「所有支出必須經兩人以上覆核、每月核對銀行對帳單、收錢與記帳分開」，這類風險就能大幅降低。準則第6條也特別要求風險評估必須考量舞弊可能，中小企業更應把現金收支列為最高風險。

2. 提升營運效率，減少重工與漏單

透過標準化流程，員工知道該怎麼做、何時做、誰來做。例如建立「請購→下單→驗收→付款」四段式採購流程，每個環節都有明確表單與核准權限，就不會發生重複訂貨或漏驗收的情形。

3. 強化財務報表可信度，避免被國稅局與銀行盯上

財務報表是融資與決策的依據。憑證不全、帳務混亂，不僅可能被國稅局調整補稅，也會讓銀行質疑還款能力。良好的內控能確保交易記錄完整正確，提高報表可靠性。實務上，銀行徵信與投資人盡職調查，常將內控健全度作為評估放款條件與投資意願的重要指標。

4. 有利於取得融資或投資，爭取更優條件

當公司需要貸款或引資時，能拿出書面的分工與授權辦法、最近一季的銀行對帳調節表、存貨盤點紀錄與稽核追蹤表，對方會更有信心，甚至有機會爭取較優利率或額度。

5. 落實法令遵循，避免因小失大

雖然中小企業沒有強制內控，但商業會計法、稅捐稽徵法等仍要求憑證保存、帳簿記載真實等義務。內控制度中的「文件記錄」與「定期核對」正是協助公司日常就符合這些法令、減少受罰風險的機制。

五、中小企業如何建立適合自己的簡易內部控制制度？6步驟教你做

1. 從最重要的風險著手，別想一次做滿分

中小企業資源有限，先管住最容易出問題的領域即可。常見高風險領域包括：

• 現金收支：最容易發生侵占與挪用。
• 採購與付款：可能虛報價格、重複請款或假廠商。
• 銷售與收款：應收帳款管理不當導致呆帳。
• 薪資發放：虛報人頭或工時。
• 存貨管理：盤點差異與報廢損失。

建議先選1至2項最痛的流程（通常是現金與採購付款）做出成效，再逐步擴及其他流程。

2. 設計簡單有效的控制作業，六招就夠用

針對上述領域，以下基本控制作業幾乎零成本卻最有效：

• 職務分工：不相容職務一定要分開。例如，負責收錢的人不應同時負責記帳；採購人員不應同時擔任驗收；保管存摺印章的人不應同時可網銀轉帳。
• 授權核准：設定分層核准權限。例如，未滿5萬元由經理核准，5萬元以上須經負責人親自核准，且核准應留存簽章或電子簽核紀錄。
• 實體保全：現金、存貨、重要合約與印鑑應上鎖、限制存取並記錄領用。
• 文件記錄：所有交易都應留下書面或電子憑證，並按順序編號以便追蹤。憑證至少保存5年，帳簿及財報至少10年，屆期前不得任意銷毀。
• 定期核對：每月核對銀行對帳單、應收應付帳款明細與存貨盤點數，差異應編製調節表並追蹤至結清。
• 內部稽核：指派較獨立的人員（例如負責人自己或外部顧問）每季抽核一次，作成簡單的稽核紀錄與追蹤表，確認控制有被執行。

3. 參考主管機關的指引，但別把輔導手冊當法令

坊間常提到經濟部中小企業處曾提供中小企業內部控制輔導範例或手冊供企業參考。經查全國法規資料庫，並無以「中小企業內部控制制度參考範例」為名的法規命令，其性質應屬輔導出版品或範本，而非法規。若要參用，建議直接向經濟部中小企業署確認最新版本與適用對象，並依自身規模調整使用，不宜直接當作法源引用。會計師事務所也常提供中小企業內控輔導服務，預算允許時可請專業人士協助。

4. 金額定義一定要明確，避免執行時各說各話

在設計授權額度、董事會決議門檻或財報簽證標準時，務必寫清楚「金額」指的是什麼。例如，是指「法院登記財產總額」、「年度收入總額」還是「單筆交易金額」？法務部法規諮詢意見法制字第 10902505120 號就曾提醒，法院登記之財產總額與決算財務報表所列金額應屬二事，條文所稱金額究指何者，宜請主管機關釐清定明（要旨摘述，非逐字引文）。這項提醒同樣適用於中小企業：內控辦法中若有涉及金額標準，應明確說明計算基礎與數據來源，避免模糊空間。

5. 避免過度複雜，簡潔可執行才是好內控

內控制度不是越細越好，過於繁瑣反而讓員工無所適從、陽奉陰違。法務部法規諮詢意見法制字第 11002500930 號是針對專利法部分條文修正草案的法制體例意見，該意見指出，依中央行政機關法制作業應注意事項，分項書寫之條文以不超過5項為原則，草案部分條文項次過多，恐有不易辨識與引用之虞，建請斟酌。雖然該意見針對的是專利法草案，與中小企業內控無直接關聯，但其「避免結構過於龐雜」的法制原則，恰可供中小企業借鏡：內控要力求簡潔、可執行，並隨規模擴大滾動調整。

6. 建立誠信經營的文化，讓制度真正落地

內部控制不只是流程與表單，更是企業文化。法務部法規諮詢意見法制字第 1080250234 號針對經濟部主管財團法人誠信經營規範指導原則草案表示，該草案雖名為「原則」，但內容涉及最低標準與一定拘束力，實質上具有法規命令性質，建議以法規命令體例定之（要旨摘述，非逐字引文）。對中小企業的啟示是：應將誠信、道德價值觀融入日常營運，例如訂定簡易的員工行為守則、明確禁止收受回扣、設置老闆信箱或檢舉管道，並由負責人以身作則，才能讓分工與覆核真正被遵守，而非流於形式。

六、常見問題 QA

Q：內部控制制度會不會很花錢？中小企業負擔得起嗎？

不會，簡易版幾乎零成本。 中小企業可以從基本的分工、核准、記錄與每月對帳做起，這些不需要額外系統。若需要更完整的架構，可先參用政府輔導範本自行修改或參加講習。只有當公司成長到一定規模、交易複雜度提高時，再考慮導入資訊系統或聘請外部顧問，屆時效益通常遠大於成本。

Q：內部控制制度一定要請會計師設計嗎？

不一定，但複雜交易建議找專業協助。 一般買賣、現金與存貨等基礎流程，可先自行參考準則精神建立簡易版。但若涉及工程合約、關係人交易、特殊產業法規或準備進入資本市場，尋求會計師或管理顧問協助，能更有效率地建置符合需求且符合法令的制度，並提前接軌未來申報要求。

Q：如果沒有建立內部控制制度，會違法嗎？

一般中小企業不會因此直接違法，但出事時責任可能更重。 除非是公開發行公司或金融等特許行業，否則目前法律並未強制一般中小企業建立內控制度。但若因缺乏內控而違反商業會計法、稅捐稽徵法等規定，仍會依各該法令受罰。此外，股東或債權人若因管理不善受損，負責人可能依公司法第23條、公司法第193條負賠償責任，而內控制度的有無與執行紀錄，常成為法院判斷是否善盡注意義務的關鍵證據。

Q：內部控制制度如何與公司規模相匹配？

重點是適用性，而非形式完美。 5至10人的公司，可由負責人親自擔任最終核准與每月覆核者，並落實「收付分離、採驗分離」；20至50人的公司，應逐步將政策書面化、表單編號化，並指定獨立人員每季抽核；50人以上或多據點公司，則應建立隸屬負責人的稽核機制、年度稽核計畫與缺失追蹤表。制度必須符合實際運作並能有效管理風險。

Q：內部控制制度建立後，如何確保有效運作？

靠定期檢討、教育訓練與滾動更新。 建議每季由負責人檢視執行狀況，透過簡單的內部稽核或外部查核發現缺失，並作成追蹤表至改善為止。所有員工都應接受教育訓練，了解自己的控制責任。當業務模式、資訊系統或法令變動時，應適時更新內控辦法與表單，並保留歷次修訂紀錄，才能證明制度持續有效運作。

七、結語

內部控制制度不是大企業的專利，中小企業同樣需要它來保護資產、提升效率並確保財務資訊的正確性。從證券交易法對公開發行公司的強制要求、財團法人法對達門檻法人的規範，到法務部多則法規諮詢意見法制字第 10902505120 號、法制字第 11002500930 號、法制字第 1080250234 號所強調的法制明確性與誠信治理，都指向同一件事：內控是健全治理不可或缺的一環。

與其等到發生舞弊或財報錯誤才來補救，不如現在就從現金與採購付款這兩個最高風險開始，落實分工、授權、記錄與每月核對，並留下可追蹤的書面軌跡。記住：好的內控不是束縛，而是讓公司穩健成長、取得融資與投資信任的護身符。若你不確定現有流程是否足夠，建議先以處理準則第6條的五大要素自我檢視，或諮詢會計師進行一次簡易健檢。