爱华网ISO 9001与内部控制制度整合实务
前言
企业推动ISO 9001国际品保制度之目的，对外部而言，可以增进或加速客户对企业及其产品、服务品质水准的认同，因此增加国际竞争力；对内部而言，在于企业作业流程之制度化与标准化，以满足公司规划、控制及流程绩效上之目标需求考量。而内部控制制度依COSO委员会(Committee of Sponsporing Organization of the Treadway Commission)所发布的报告书指出，内部控制在为(1)营运的效果与效率；(2)财务报告的可靠性；(3)相关法令的遵循，三大目标的达成提供合理保证的程序。因此，企业无论是先基于何种因素而先后导入前述两套制度，在管理实务上，会面临一国两制，而发生多头管理的现象。这种两套在企业内并行的管理制度，且表现立场各有差异，且各部门作业所使用的纪录窗体，甚至部分作业流程也会有所相异，主要的肇因是分别由两类专业人员主导制定所产生。如此不但造成企业必须迁就两种制度的不同，完全无法有效发挥制度的主要功能，企业会在导入ISO 9001管理制度后，面临这样的管理风险。因此企业若能进行二种制度的整合，将之结合成为单一管理制度，势必能有效提升企业管理价值，进而增加市场竞争力。导入ISO 9001管理制度后，企业全体管理阶层，应建立ISO 9000八项品质管理原则之认知，有助于两套制度整合，为企业建构一个全面控管且富作业效率的管理制度。ISO 9000八项品质管理原则为，列述如下：a)顾客为重：公司依赖于顾客，所以需了解顾客现在和未来的需求。以符合顾客要求，并进一步超越期望。b)领导：高阶管理者建立公司一致的宗旨、政策、方向，及创造一个适当的内部环境，使员工能全心全力参与达成公司之目标。c)人员参与：各阶层员工乃是公司之核心资产，而其全心全力的参与可使个人技能应用在公司之利益上。d)过程方式：当相关资源与活动能以过程方式加以管理时，能更有效率地达成预期结果。e)系统方式的管理：针对既定目标，鉴别了解及管理相关过程的系统，以提升公司之效果及效率。f)持续改进：持续改进是公司的永久目标。g)事实方式的决策：有效决策需以数据与信息之逻辑的和客观的分析为基础。h)供货商之互利关系：公司与供货商加强互利关系共创价值。两套制度之彼此关联性探讨先针对两制度之相同相关性作进一歩了解，以便于作为系统整合的基础架构。其共通点分别陈述如下：(一)基本架构：皆以各项获利相关流程之作业(交易循环)为基础，规划完整之制度，且落实推行。(二)基本要求：均重视作业流程之标准化。(三)均为企业经营目标的达成提供合理之担保(承诺)。(四)均需建立书面制度。
(五)应定期检讨，并针对不合格者，作矫正行动。(六)管理阶层对制度之合理建立及维持有效性负有最终责任。(七)重视建立公司架构及管理权责。(八)强调持续改善及过程管理。(九)皆须遵行相关法令之基本要求。两套制度整合程序文件化作业以ISO 9001国际品保制度之文件化要求，并以内部控制制度为范围之文件化作业程序为：(一) 成立跨功能推动小组，并由公司高阶主管主持，以推动文件化工作。1、 成员需具备对企业整体目标及个别特定目标之认识。2、 高阶主管需拥有决策权，且兼具相关之专业知识以及实务经验者更佳。3、 实际参与项目推动者须于参加前先接受相关训练课程。(二) 应以ISO 9001国际品保制度，制定书面之文件管制办法，并就内部控制制度及ISO 9001国际品保制度进行关联性分析，作为建立文件化整合之依据。1、 规定文件制(修)定权责单位。2、 订定制度办法程序书之撰写原则。3、 订定文件、窗体格式规范申请、使用等作业。4、 订定文件制(修)订之程序。5、 内控、内稽与ISO 9001之文件之执行及建档管理。(三) 进行整合后管理制度之有效性评估，程序如下：1、 确认各作业部门/流程/功能的目标。2、 讨论每一个作业流程所可能的品质管理风险。3、 讨论为降低风险所应注意之控制点。(四)透过内部稽核查检以有效性评估，确认书面文件是否与作业现况相符。(五)落实制度并透过内稽定期自行评核，作为持续改善的良性管理循环。上市上柜公司导入ISO 9001制度整合内部控制制度实施概要ISO 9001制度之设计与执行，是以作业流程作为管理标的，而内部控制制度应由企业全体员工共同参与设计，经最高管理者核准后，由管理阶层及全体员工共同执行。因此企业欲导入ISO 9001制度，与其内部控制制度整合规划如下：(一)成立推动执行委员会：高阶及各业务单位主管之参与、支持是制度整合、修正、执行成功的重要关键。由于ISO 9001国际品保制度与内部控制制 度之整合，犹如最初会计师协助内部控制制度设置时，必须结合所有事业部主管与相关人员，共同讨论与投入才能成功。因此，整合之第一个步骤就是，由最高管理阶层授权之管理代表成立推动执行委员会，推动整合工作。主要任务除了负责会议召集外，尚包括企业流程分析、整合程序之制订与进度之报告、追踪，及整合后的执行检讨。(二)建立文件之管理规范ISO 9001国际品保制度组织所要求的文件用以确保公司的客户承诺能有效运作和对过程的控制，所有书面文件必须有统一之管制，这是ISO 9001国际品保制度异于其它概念性的管理制度的最大不同点；并且ISO 9001管理系统书面化的程度应视(a)组织的规模和类型、(b)过程的复杂程度和相互作用、(c)人员的能力及自律性等三种情况而定。如能将其精神应用于二套制度的整合，透过建立标准文件来将此二种制度整合成为一套企业特有之管理制度，亦即以ISO 9001之文件化特色将企业各项作业流程藉此规范于书面文件中，并且统一格式及系统管理，让全体员工能迅速检索适当的文件，使阅读者能清楚了解文件之目的、范围及所引用是否为正确之文件，而不致产生误用。(三)进行文件与窗体整合将公司现有的管理制度文件依文件系统管理程序规定，进行分类标准重新区分及定义，第一阶文件”管理指导手册”作为企业之经营政策及意图之宣告；第二阶文件定义为跨部门性质的程序规范；第三阶文件为各部门或单位之操作流程规范；第四阶文件为执行各种文件的记录或窗体。此外，已有实际作业或新设置之作业，但没有书面的管理文件者，可藉由此次ISO9001导入制度整合时，制订文件并加以发行，以补强制度上的不足。
当企业管理系统制度整合时，是以内部控制制度之各交易循环组成要素为基础，将企业之文件予以分类，包括
1.基本公司：企业最高指导原则事项。2公司与权责：企业公司及权责管理事项。3.销售营业管理：企业销售与营业活动之相关事项。4.采购管理：企业资材或固定资产请、采购与验收之相关事项。5.薪工管理：企业人员聘雇、训练、离职或退休相关事项。6.财务管理：企业有关投资、融资或资金处理事项。7.会计管理：企业相关会计制度及报表相关事项。8.生产管理：企业各事业部与直接生产相关之事项。9.财产管理：企业财产维修、盘点、处分之管理事项。1O.EDP管理：企业有关电子数据处理系统相关之事项。"11.行政管理：企业非直接生产(如制度设计、绩效评估)之相关事项。12.其它：非以上范围但应注意之事项。(如研究发展、客户满意度调查等事宜)其中第1.基本公司及第2.公司与权责属于内部控制制度之「控制环境」及「监督」，第3.至第12.项属内部控制制度之「控制活动」及「信息与沟通」，至于内部控制制度之「风险评估」则借着内部稽核活动，来检查执行是否与原规划之管理程序相符并加以检讨改进。 一般企业内部使用窗体整合时之注意事项，内控窗体与ISO 9001窗体间的关联性，可分为三种情形：(1)内控窗体与ISO 9001窗体问具有互补效果，能发挥控制功用。例如：ISO 9001窗体「异常处理单」为依照ISO 9001标准所产生的对作业及系统异常分析矫正之控管窗体，内控并未规定如此细节，亦无书面窗体；又如内控投资循环-投资标的物之保管与纪录作业，所列「投资标的异动纪录表」为ISO 9001末规范考量的财务面文件。因此当两种制度整合后，达到企业全面控管效果。(2)内控窗体与ISO 9001窗体间具有重复性(但不冲突)。例如：ISO 9001与内控窗体皆有属工作计划之「工作清单」及属工令之「派工单检查表」等，彼此在窗体文件上仅是命名及少部份格式有差异，对于两规范要求的控制点并未冲突，因此可考虑择一使用。(3)内控窗体与ISO 9001窗体间具有重复性，但在控制点上的要求不足或不兼容。最常发生的是ISO 9001窗体之要求，与内控规定之控制点不兼容。因此在整合时宜考量内控观念而修正窗体。一般ISO 9001的存货管理表会较为简单，但内控之存货管理表则具有会计入帐的控制点，包括存货依属性的不同而作完整的区分；比一般ISO 9001定义使用的窗体要求严格的多。故在系统整合后的窗体，应以内控窗体作为主要的基础架构，并配合ISO 9001要求，加入窗体版次与窗体制式编号，成为兼具二制度要求的纪录文件。(四)内部稽核之整合与执行1﹒企业规划内部稽核作业之整合考量：针对两套制度整合后，内稽作业是否亦应整合之问题，实务上有两种考量：A﹒整合为单一事权稽核：既已整合单一管理制度，内稽人员便应依规定从事查核，而不再区分为ISO 9001稽核与内控稽核人员，统一执行单一作业。B﹒在单一制度下，依其专长从事稽核：虽已整合为单一管理制度，但原本ISO 9001稽核对财务或会计面本来就不熟悉(因ISO 9001稽核大部分由作业部门所挑选之)，相反的，内控稽核人员对于查帐熟悉度虽然较ISO 9001稽核人员佳，但面对实际ISO 9001标准下的流程作业或品管程序，其了解程度却显不足。因此在单一稽核部门之前提下，应具有两种内部稽核专长，妥善分配其熟悉的查核工作。因此针对稽核人员工作是否明确划分或整合，应视实际企业营运情形与稽核人员专业程度而论，而无绝对的做法。以公司最大控管为前提，来决定事权的分派作业。2﹒执行内部稽核以督促、检讨、修正与改进实际作业情形。经由整合内部稽核后，应执行制度落实面的考核。依据统一的管理制度，查核书面文件之实际执行状况，藉以检讨、修正与改进。企业应设定组织绩效评量的考量点全面控管的制度往往有因防微杜渐而损失效率，所以企业高阶主管需鉴别公司提供的服务产品，达成客户需求的服务实现流程，因其直接影响公司的经营品质及成败。至于各项行政管理之支持流程也须界定清楚，以免影响服务实现流程的效率。因此，必须将管理重点放在下列主题上：(a)确定达成预期结果之流程顺序及互动关系。(b)确定管制中之流程输入、作业、输出被清楚设定时效要求。(c)客户服务销售直接人力能量与非直接人力能量之效益比率管理。(d)监督作业流程输入及输出，以查证个别流程是否环环相扣，并且确立跨部门联系或传递之有效性和效率。(e)在各流程间设立数据分析，以有效发挥组织绩效持续改进的机制。当然为配合上述组织绩效持续提升之目标有效管理，企业之高阶管理者需界定组织绩效的评量方法如财务评量、过程绩效之评量、顾客及其它权益者(股东及董事会等)之满意度评量，以具体有效查证企业改善组织绩效策略目标之达成。结论一套有效的管理制度，不论是内控制度或是ISO 9001品保制度，在于设计面与执行面同时有效，然而针对执行面上，所谓事在人为，任何再完善、再完整的制度，若缺乏执行者的重视与落实，不过是一堆废纸。因此就管理者而言，必须支持与重视企业内控管理；就执行者而言，更需参与设计及落实。因此无论是上至企业的董事会或下至基层员工，必须有内控观念与品保意识，方能因应日后各种经济环境或市场变迁的企业生存竞争之挑战。注：本文是针对上市上柜公司之既有的内部控制制度与新导入之ISO9001国际品保制度，进行整合之实务需求，由缪德生、林诗芬、支岳、叶明德等多位专业顾问指導协助编撰的。
