銀行帳戶誰能動錢?授權簽署人、雙簽與遠端控管的設計

銀行帳戶到底誰能動錢?

公司帳戶的動用權限,是由公司自己決定並向銀行申報的,不是銀行幫你決定,也不是誰職位高誰就自動有權。做法上,公司會透過董事的決議指定授權簽署人,並約定他們動用資金時的規則:哪些人有權、要幾個人一起才算數、不同金額要不要不同的層級核准。這份規則送到銀行之後,銀行就照著執行,你沒有授權的人,職位再高也動不了。所以這件事的本質是:你在開戶那個當下所做的設計,決定了公司未來每一筆錢怎麼出去。很多台灣企業把它當成開戶要填的一張表,隨便勾一勾,結果不是綁死到當地什麼都做不了,就是鬆到一個人可以把公司的錢全部搬走。

什麼是授權簽署人?

授權簽署人是公司正式指定、有權代表公司對銀行下指令的人,包括核准轉帳、簽發票據、動用額度等。要注意幾個容易混淆的地方:授權簽署人不等於董事,董事是公司治理上的職位,授權簽署人是銀行作業上的身分,兩者可以重疊也可以不重疊;授權簽署人也不等於帳戶的擁有者,錢還是公司的,他只是被授權執行。實務上台灣企業常見的安排,是由台灣派駐的幹部或本地聘用的財務主管擔任,但關鍵不在頭銜,而在這個人的權限範圍怎麼劃、有沒有人可以覆核他。設計的時候要記得,授權簽署人的名單會隨人員異動而需要更新,離職的人如果沒有及時解除授權,那就是一個開著的門。

單簽跟雙簽差在哪?該怎麼選?

單簽是一個授權簽署人就可以完成指令,速度快、彈性高,但所有的風險都押在那一個人身上,不論是舞弊、被詐騙,還是單純的判斷失誤,都沒有第二道關卡攔得住。雙簽是需要兩個授權簽署人共同同意才生效,多了一次交叉覆核,能擋掉大部分的個人失誤與相當比例的舞弊,代價是流程變慢,而且如果兩個人都不在或其中一人臨時聯絡不上,公司就付不了款。所以這題沒有標準答案,只有取捨。實務上比較成熟的做法不是二選一,而是混用:把兩者依金額或性質分開適用,讓日常小額走得快,重要的錢走得穩。重點是這個界線要由你事先想清楚,而不是出事之後才來畫。

金額分級授權要怎麼設計?

分級的邏輯是把風險與效率放在天平兩端:金額越小、發生頻率越高的支出,越應該讓它走得順,例如日常的雜支、水電、小額採購,由一位授權簽署人處理就好;金額中等的支出,例如例行的供應商貨款、薪資的撥付,適合用雙簽,讓兩個人交叉確認;金額重大或性質特殊的動作,例如資本支出、動用融資額度、匯款給關係企業、開立新的帳戶,則應該再加一層,由董事層級核准甚至需要決議。分級的門檻要依公司的營運規模自己訂,沒有通用答案,原則是:一筆錯掉會讓你心痛的金額,就不該由一個人決定。設計好之後別忘了,分級規則要跟銀行的實際設定一致,不然你寫在內規上的東西,銀行系統根本不會擋。

老闆人在台灣,要怎麼遠端控管?

遠端控管的核心不是把權限全部收回台灣,而是設計出一套讓你看得見、來得及攔、而當地又跑得動的機制。看得見,靠的是資訊即時到你手上:帳戶的交易通知、每日或每週的收支彙總、定期的對帳報告。來得及攔,靠的是關鍵動作需要你這一關,例如把大額或特定類型的付款設為需要台灣端核准。跑得動,靠的是日常的小額不要卡在你身上,否則當地團隊會被逼出各種變通做法,那才是真正的風險來源。很多老闆的直覺是全部自己簽最安全,但實際結果往往是簽名變成橡皮圖章,你根本沒空細看,反而失去了控管的實質意義。權限收得太緊跟放得太鬆,危險程度其實差不多。

除了簽署權限,還有哪些內控要一起做?

簽署權限只是最後那一道閘門,前面還有幾件事同樣重要。第一是職能分離:輸入付款資料的人、核准付款的人、對帳的人,不應該是同一個人,否則有人可以自己做自己查。第二是供應商與收款帳號的管理,新增或變更收款帳號應該獨立驗證,這是防詐騙最有效的一招,因為現在最常見的手法就是偽造變更帳號的通知。第三是定期對帳,由不經手付款的人執行,並且真的看,不是簽名。第四是印鑑、憑證與網銀權杖的保管要分開,不能全部在同一個人抽屜裡。第五是人員異動時的權限清理,離職、調職、職務調整都要觸發權限的檢視,這件事最常被忘記,也最常出事。

常見的風險情境長什麼樣子?

最經典的是變更收款帳號的詐騙:對方偽裝成你的供應商,寄信說銀行帳號換了,如果公司沒有獨立驗證的程序,錢就直接匯到別人口袋,而且這類款項幾乎追不回來。第二種是老闆指令的偽冒,詐騙者假裝是急著要付款的老闆,利用當地同仁不敢質疑上級的心理,這在單簽而且老闆平常就常臨時交辦的公司特別容易得手。第三種是內部的長期挪用,金額不大但持續發生,通常出現在職能沒有分離、對帳流於形式的公司。第四種不是舞弊而是癱瘓:唯一的授權簽署人離職、生病或簽證出問題離境,公司連薪水都發不出來。這四種都不是運氣問題,而是設計問題。

設立階段就要把這件事定下來嗎?

要,而且最好在開戶之前就想清楚,因為開戶時銀行就會要你提供授權的安排,那個時候順手做對,成本幾乎是零;等到營運起來要改,你得重跑決議、重送銀行、重新設定,還可能牽動當地同仁的情緒。設立階段該一起定的至少有:誰擔任授權簽署人、單簽與雙簽的分界、金額分級的門檻、需要台灣端核准的情境、通知與對帳的機制,以及人員異動時的處理程序。這些也應該與公司秘書一起確認,因為授權的依據通常來自董事決議,決議的內容與紀錄要留存完整,將來銀行、查核或盡職調查要看,你才拿得出來。一次做對,比事後補救省太多。

多久該檢視一次?

至少一年一次,並且在幾個特定事件發生時立刻檢視:有人離職或到職、有人的職務範圍改變、公司的營運規模明顯成長、開了新的帳戶或取得新的融資額度、發生過任何一次差點出事的狀況。檢視的重點不只是名單對不對,還包括分級的門檻是不是還合理,因為公司剛設立時覺得很大的金額,兩年後可能只是日常;也包括銀行端的實際設定跟你的內規有沒有一致,這一點最常出現落差。建議把年度檢視排進合規日曆並提前提醒,跟年度申報那些事一起處理,免得永遠排在下個月。這是一件不做也不會有人來罰你的事,但沒做的代價,通常一次就補不回來。