流程有两个人签核，如果两人都只看同一份未经确认的数据，仍可能没有真正复核。可从交易及数据变更的实际路径着手，明确预防、识别异常及暂停流程的职责。
适用对象与启动时机
付款或采购量增加、跨场所处理供应商资料，或曾遇到冒名及虚假申请的企业，可先选择重要交易流程。信息系统上线或权限调整时，也适合检查新接口是否形成控制缺口。
常见挑战
供应商资料修改、审批和付款集中在少数人手中，例外处理又没有独立确认，控制容易流于形式。发生异常时，若不清楚谁能暂停交易、保存资料及对外联络，响应也会延误。
方法与适用要求
ISO 37003:2025 提供舞弊控制管理指引，涵盖组织内外部舞弊风险的预防、侦测、响应和改善。它支持管理控制，但不等同财务报表审计、刑事调查或对个人犯罪的判定。详见 ISO 官方说明。
项目范围以双方约定为准，可包括：
- **交易与数据变更风险：**沿采购、付款或收款流程梳理角色及可信资料来源，识别冒名、虚假资料和授权问题。
- **预防与侦测职责：**检查职责分离、审批与复核是否真正独立，为适用异常信号设置承办人和升级条件。
- **事件响应与控制修正：**规划暂停交易、保存资料及专业转介流程，回顾控制失效原因与改善责任。
服务步骤
- 绘制优先流程中的角色、系统及控制点。
- 通过预防情境检查各控制能看到什么、还缺少什么，并列出改善方案。
- 用去识别化异常情境验证通报、暂停及保存安排，避免由一般窗口自行判定犯罪责任。
- 将未完成措施纳入内控检查，并在权限或流程变化后确认控制仍有效。
可约定交易风险与控制对照表、权限分工、异常处理流程及演练改善记录。成果应说明重要控制如何核实资料，以及异常触发后由谁采取何种管理措施。
建议准备资料
- 采购、付款、收款及资料变更流程。
- 角色权限、审批与复核安排摘要。
- 去识别化的异常、过往事件及内控问题。
- 现有通报、资料保存与专业联络安排。
初步沟通先使用资料目录和去识别化样本；确认用途、访问人员与保存方式后，再提供项目所需资料。
时程与费用
工作量受流程、系统、交易类型与复核深度影响。大量交易分析、数字取证、实际调查及法律处理须另行约定；制度讨论不应被描述成能够查出全部历史事件。
常见问题
与反贿赂管理有什么不同？
舞弊与贿赂的管理范围不同，可共用部分授权和举报机制，但风险情境及控制应分别识别。
能保证以后不再受骗吗？
控制须随交易和环境变化更新，也取决于执行，不能承诺绝无事件。
一定要购买侦测软件吗？
先确认数据、判定标准和复核职责，再评估工具能否解决实际缺口。
已有内控还要另建一套吗？
可先检查现有流程中的控制是否有效，优先衔接而非重复建立表单。
谁负责判定案件的法律责任？
应由适任专业人员及主管机关处理，制度规划不负责判定犯罪。
不便提供原始交易资料怎么办？
初期可使用流程和去识别化情境；必要资料须在取得授权并落实保护后提供。
相关服务
可先选择一段付款或资料变更流程，说明目前由谁提出、确认与审批。联系凱騰