华为如何发挥内控“第三层防线”的作用？

01

全面规划、开展打分审计，

助力内控建设，促进主官/主管当责

2007年对内审来说是一个分水岭，BC&IA（业务控制与内审）变革作为IFS（集成财经服务项目）的重要子项目，由IBM顾问来全面指导。众所周知，这个领域学习和承接的正是郭士纳当年上任接管IBM后，用它来进行变革扭转颓势，帮助战略落地，让IBM再次辉煌的管理之“道”。

这次变革使得内部审计作为第三层防线独立监督的定位和职责更加明确，而我们学习IBM的历程才刚刚开始。当时部门约有40人的规模，主要围绕任总指示的全球交付业务在做业务审计工作，包括工程采购、供应和交付服务，审计结果得到了公司的认可。大家在高兴的同时也发现一个问题：如果领导哪天不发话了，审计该怎么办、系统的方法论是什么。那时正值变革项目被提上议程，BC&IA变革简直就是引领内审长期发展的“及时雨”。

IBM派了顾问Joe指导审计工作，跳出业务看业务，用打分审计对各业务BG、各代表处的风险管理水平进行独立评价，使得一层防线的内控与风险管理状况可以进行横向和纵向同比，给予改进的压力，找到问题的根因，发现一个问题，解决一类问题。这个变化使得内审工作迈上了一个新台阶。

首先，内审部面向所有业务做风险分析，总揽全局制定审计规划。内审不是公司领导指哪儿打哪儿，而是将所有业务纳入审计范围，统一分格后结合七大要素做高、中、低风险分析，以每年年底开展整体高层访谈的机制来替代领导的临时要求。这样就变成了主动系统完整地做规划和专业分析，对关键问题和风险既有针对性又不遗漏。

其次，内审独立评估各业务单元内控水平，通过打分审计，落实管理责任。审计不仅要查执行的问题，更要看管理机制是否有效，发现问题后单单处理一个执行层员工是没有意义的，换成另外的人，他同样会出错。如果打分结果不满意，这块业务的管理者和相应的流程责任人就要到审计委员会进行述职，多次不满意则可能面临被弹劾，这样责任就落到了管理层的身上，再加上持续的跟踪改进，就有了内控和不断改进的长效机制。

在组织结构上，跟上公司向全球扩展业务的步伐，内审组织延伸到区域一线。为了保持独立性，区域内审组织由总部派驻，属中央集权管理，人员定期轮换。这样内审部就能更好地贴近业务一线，对驻外机构进行独立评价和监督，更迅速及时地推动业务改进，形成了全球监督的“一张网”。

可以看出，全面规划和打分审计使得全公司上下对内控管理有了共同的语言。这不就给了审计一个最好的支点吗？2008年下半年开始，集中所有人力，铺开对公司/区域/代表处业务做了27个打分审计。之后，审计人员东征西战，开始了全球的征程，三年间采购、交付、供应链、销售、财经等领域的“94”高风险流程，把海外70多个代表处都覆盖了一轮。建设之初，内控风险和问题比比皆是，内控成熟度大多处于“不满意”的状态，业务明显感受到了改进的压力，内控建设在摸索中前进。

2012年至2015年，运营商业务处于大发展时期，内控逐步进入“略不满意”的状态，企业BG因通过渠道销售，给业务真实性的管理增加了极大的难度，而终端BG的内控建设才开始起步。那时候，在审计工作中成长起来的主管们，带领审计人员在各BG及其承载业务的各区域/代表处摸爬滚打，及时发现和揭示业绩造假、合同质量管控不力、渠道真实性不高、采购绕过审批以及跨流程老大难等诸多机制及执行上存在的问题，并推动业务不断改进。

而且，这个时期区域业务场景复杂和差异化大，组织和人员快速增加，一线干部对流程建设和内控意识的理解和重视参差不齐，随后IFS变革全球流程的概念及公司政策牵引、三层防线在海外区域推广和落地，2008年至2009年，内审人员被派往国内和海外六大片区常驻，开展三年一轮的打分审计覆盖。“区域一把手是内控第一责任人，承担识别及管理业务过程中95%的风险”的理念，就这样潜移默化，在深入一线作战指挥员的意识中，这些“将军”边打仗边转身，成长为在各个国家子公司把控风险、对综合经营结果负责的总经理。

在这个阶段，审计委员会要求内控“不满意”的责任人述职、对内控作假进行弹劾，被安排述职的有相应的流程Owner、地区部总裁和大代表处代表，其中有几位代表主要因业绩造假、越权绕过审批等遭到了弹劾。

这个闭环管理机制，使得全球业务管理者和流程Owner都意识到，内控建设不能只停留在表面，如果内控作假或不作为，是随时会丢了岗位的。这样，我们就在“点”上形成威慑，沿着流程“线”和区域/业务的“面”落实责任，撬动各方形成合力，打造良好的内控环境，形成监管体系建设的“场”，建设“点、线、面、场”立体化的监管体系。

经过前期的摸索和建设，财经内控经审计委员会向公司提议设定内控满意的目标，2015年4月EMT决议，公司要在2017年达成内控“基本满意”（60%）目标，吹响了公司内控满意的冲锋号。一旦形成目标，公司各业务部门的执行力真是杠杠的，目前运营商BG、企业BG、终端BG等业务和区域95%以上单位，经过打分审计验证达到了内控满意，而云计算、车BU等新业务刚起步就设定好达成满意的路标。公司从上到下都已形成共识，一边让“作战队伍”跑得快，一边要加强监管，业务与监管同步发展。

02

坚持反腐、反造假的审计调查，

守住底线，建立冷威慑

华为公司在三十多年的发展中，持续反对贪污，反对财报/业绩造假，反对假公济私，反对高级干部腐化，反对浪费，坚持“利出一孔”的原则。

在IBM顾问Dennis的帮助下，公司自2008年开始在内审部成立调查处，对员工贪污受贿、业绩造假这类损害公司利益，违反《华为员工商业行为准则》的行为进行调查，并建立起从线索收集、决策、调查到处理的闭环流程，引入了科学的调查方法，确定了不同部门在舞弊调查中的职责，建立了反腐败的立体防控体系。

涉及对“人”的工作，必须合法和有规则约束，因此，公司不断掌握并复制IBM反腐方法，形成华为遏制员工腐败的一整套框架和规范：

• 建立公司统一的投诉邮箱，道德遵从委员会开展全员的BCG教育，将涉及职务侵占、贪污受贿、业绩造假等舞弊行为的投诉转给内审；

• 立项是由HR、道德遵从委员会、内审部、纪律监察委员会、法务部组成ARB立项委员会，共同严格审慎地进行审批；

• 内审部按照国际上规范的对内部贪腐的调查流程，承接开展调查取证工作；

• 设置查处分离原则，建立纪律与监察委员会和制定公司行政处罚制度、标准，根据内审报告进行相应的处理；

• 重申和强调对贪污腐败行为坚定地与司法对齐，由法务部门将损公肥私的贪污人员移送司法处理。

华为在170多个国家和地区开展业务，建立全球协同的反舞弊能力成为重点。遵守各国当地的法律法规是第一要务。在实际工作中，内审与法务、HR、OEC等形成团队，共同协作。某些海外员工因职务侵占、个人受贿等证据确凿，被公司开除并记入诚信档案，情节严重的还被移送司法机关。在海外某代表处，一名中方行政主管利用职权吃拿卡要和受贿，损害公司利益，经过取证、举证，当地警方受理后，最终由当地法院判定╳年监禁，成为中方员工贪腐的海外首例司法案件。某个区域的终端负责人，通过给销售渠道大量留利，自己参与分成获利几百万元，将销售产品手机大量滞留在渠道，第二年冲抵后订货和利润双负，当事人知晓事情败露后就一直躲在国外，司法追逃过程极其跌宕起伏，半年后其在国内被判服刑。类似的司法案件都在全公司及时进行多批次的宣教，形成了强大的反贪腐威慑效果。

同时，各类业绩造假、内控作假行为也是公司坚决反对的。2014年内审查实的某代表处造假案，推动公司处理了一批相关责任人，任总签发了EMT《关于对业务造假行为处理原则的决议》，推动全球范围内业务造假的申报和整改，在公司范围内引起了极大的反响和触动，业务部门纷纷彻查和改进。

公司在查处腐败坚守底线的同时，提倡“宽严并济”的原则，也给其“改过自新”的机会，员工可以通过自我申报放下包袱，未来通过努力工作，获得更好的回报、更多的机会。允许员工改正错误，走回创造价值获取合理回报的正道，这体现出公司的胸怀。

对于合作伙伴，公司强调内外共治、诚信合作的政策。除查处典型采购、职务侵占行为外，公司还查处、移送司法机关一些营销采购受贿、留利渠道员工分钱等案件，借此再次强化了对供应商和渠道商的廉洁诚信协议要求。在公司与合作伙伴召开交流大会时，合作伙伴纷纷反馈并不喜欢搞所谓的潜规则，大家都愿意与华为公开、公平、公正地做生意。

就这样，公司通过价值牵引、诚信教育以及对违法行为的司法威慑并举，避免因为某些个人的贪婪葬送整个公司，帮助公司沿着既定的政策方针和流程正确前行。审计的作用是建立威慑，尤其是针对腐败、针对违反公司“红线”、长期不改进的现象，守住底线。

03

开展一把手任期审计，

导向自律、求真、当责

高层管理者严于律己，这是在华为早期就树立并一直践行的基调和导向。2013年，公司又以“穷奢致极欲，极欲必败亡”为主题，发布了《华为公司改进作风的八条要求》，被称为“干部八条”，成为各级管理者规范自己的行为准则。

2015年，任总要求“贯彻干部的离任审计，任职期间一两次的抽查制度，使人人感到自然”。2016年经董事会批准，内审部开始对五个综合经济岗位序列（地区部总裁、代表处代表、小国主管、地区部终端部长、代表处终端部长）共超过200个岗位进行例行离任审计。2020年，又增加了5个岗位（消费者云服务部总裁、终端芯片业务部总裁、CloudBU总裁、智能汽车解决方案BU总裁、国内研究所所长），重点审计销售、采购、合作、费用、资产、AT（行政管理团队）行权、业绩真实等方面，牵引的是自律、求真、当责。可以看出，在华为，权力越大，监督越严。

任总强调，监管体系一定是善于妥协的系统，敢于做“右派”，与人为善。对干部的离任和在任审计，其实就是在关怀爱护干部。从这些年的干部任期审计结果来看，公司业务经营的一把手是一群有能力、有冲劲，能带领大家在各条战线创造业绩的主官，在公司诚信、积极向上的良好环境中产生了正向价值观，大部分干部都经得起审计；对某些干部犯的一些小错误给予及时提醒，如采购、合作、AT行权的规范性不够，对下属的费用管理不严等，强化自律守规意识，更重要的是避免以后犯大错误。

当然也发现少数干部存在严重违规行为，如业绩造假、第二职业等，对此内审部提交审计委员会，发起内审弹劾动议。公司通过“以客户为中心”的价值创造、以责任贡献大小为基础的价值评价，以及股权、机会、奖金、工资的长中短期激励相结合的价值分配体系，使得通过努力作出贡献而获得的利益更大，再通过持续的牵引和监管，上下各级管理者以身作则、自觉维护公司利益就成为必然了。

04

与时俱进，拥抱数字化变革

信息化、数字化让公司的管理更加高效，2016年，内审确定了风险导向、数字化审计变革方向。部门组建起Back Office（BO，后台），购买了数据分析系统进行对接；BO的领域专家们将传承下来的专业风险识别方法写进程序；开始全天候风险扫描，大大减少了内控死角；同时，改变了人拉肩扛、项目期间天天加班到深夜的状况。据统计，采取无接触审计方式后，平均1个项目减少了Front Office（FO，前台）4人周的当地外勤时间，也意味着减少了这么多的业务配合量。更重要的是，这些为即将到来的自动、持续、过滤式审计打下了坚实的基础。

伴随华为业务飞速发展到千亿美元级，监管体系的建设也日臻完善。但在面临外界极度打压的当今，公司围绕核心通信技术，重新布局运营商、企业、消费者业务和海外结构，并涌现出更多的新BU（业务单元）、新军团，来面对业务多元化的强大竞争挑战，更好地服务更多的客户；同时向管理要效益，在一整套管理平台上，将经营过程和结果全面数字化。2022年公司发文提出了审计前移到代表处、产业子公司和军团，从威慑式、阶段性审计走向对数据及报告质量、运营风险的过滤式、连续性审计，不留死角，实时审计、实时改进的要求。这是配合集团将经营权充分下放，各产业/军团、各子公司、各代表处快速应对市场、满足客户需求，自主决策、自主经营，各显神通；同时，基于各业务单位真实的经营数据，只汇集上一层的大数据，有利于集团做更为长远的战略决策。这样对于审计数据系统对接与自动风险分析、人员实时合同审结、经营分析看大账，以及新风险点识别的能力，都有了新的、更高的专业要求；审计镜像业务经营的组织布局也会有很多变化。在这个新的历史环境下，监管始终围绕价值创造的本质与时俱进，大数据下非接触式监督以及自动、持续审计，未来可期。

任总在指导内审工作时指出，内审要坚持两个原则：一是事后审计，二是宽严有度。审计就是在一个框架范围内，保障“作战部队”英勇作战，不要出大的问题，最终保证华为这列火车在正确的轨道上行驶。内审作为最后一道防线，被赋予了新的使命：要站在华为的最高利益上承担责任，成为华为长期价值不可或缺的守护者，也要对关爱员工承担责任，成为“公司长期商业成功核心价值的守护者、信任文化的建设者”。回想负责内审工作的十余年，一支坚持原则、实事求是的队伍，在各BG、各区域的全球实践中逐步成熟和专业化。同时，关怀、宽容和团结他人，坚定、平和、开放、妥协，把握好原则性和灵活方法的度，实现监管与业务的良好融合，更是内审人坚持不懈的追求。

【参考阅读】

根据公司审计委【2017】022号纪要要求，“道德遵从委员会以公司名义重申和组织学习华为EMT决议【2014】030号《关于对业务造假行为处理原则的决议》”，所有员工均应诚实守信、禁止业务造假，多产粮食，重申如下：

1. 公司坚决禁止“业务造假行为”，包括但不限于：

1.1 伪造、变造、篡改印章或签名，签署虚假合同或其他文件。

1.2签署阴阳合同（“阴阳合同”指同一次交易中，在客户界面和公司界面分别签订两份不同的合同）。

1.3伪造交付文档、提供与业务实质不相符的交付进度信息或交付文档、隐瞒业务真实信息等，虚假确认销售收入。

1.4伪造或提供虚假业务单据（含文档）、做虚假的财务信息导致财务报告不真实。

2. 以上造假行为一经发现，对直接责任人解除劳动关系，如给公司造成损失，按公司相关规定进行赔偿；对触犯国家法律的，移交司法机关处理。对于责任人的直接主管、间接主管按公司相应规定承担管理连带责任。

3. 根据华为HRC业务规定【2016】009号《业务违规问责指引（试行稿）》有下列情形之一的，可以减轻或从轻处分：

3.1 主动申报（BCGcomplain@huawei.com），坦白全部违规事实的，酌情减轻直至免于问责。

3.2 积极配合调查，主动采取措施减少公司损失的，酌情减轻直至免于问责。

3.3 举报其他违规人，情况属实的，酌情减轻或从轻处分。

4. 各OEC通过民主生活会等形式组织全员（含本地员工）学习EMT决议【2014】030号《关于对业务造假行为处理原则的决议》及相关案例，输出纪要，自行贴在心声社区的“反对业务造假”专区。

注：《关于对业务造假行为处理原则的决议》中的第3条“员工应在2014年12月31日前完成申报”已失效。

道德遵从委员会

二0一七年八月十日