赶在反贪会之前发现贪污：公司的风险地图与数据分析

赶在反贪会之前发现贪污：公司的风险地图与数据分析

贪污为何会在组织内部发生、应该从哪里着手寻找，以及每家马来西亚企业都能用来及早发现贪污的简单、低成本工具

为什么「我们已有政策」并不足够

贪污可以在任何组织内发生，无论规模大小，而要完全杜绝贪污实际上是不可能的。在大公司里，管理层所作的决定要经过一长串员工执行。在小公司里，决定往往只取决于一两个人。无论是哪一种情况，都有大量行贿的机会，可能是由高层默许，也可能是在基层为了推动决定而进行。

两宗著名的英国案件显示，贪污可以多么轻易地不被察觉：

• 在R v Skansen Interiors Ltd一案中，即英国「未能防止贿赂」罪（马来西亚第17A条的蓝本）下首宗受争议的案件，行贿的正是公司本身的董事经理。直到新任董事经理上任，事件才被揭发。
• 在Serious Fraud Office v Rolls-Royce plc and another一案中，劳斯莱斯多年来一直设有反贿赂政策、合规团队、合约审查小组委员会及道德委员会。这一切都未能阻止它在全球各地的贪污行为。该公司最终支付了约5亿1000万英镑，包括交出约2亿5800万英镑的利润、约2亿3900万英镑的财务罚款，以及约1300万英镑的英国严重诈骗办公室讼费。

教训很清楚。一套「照本宣科」的合规计划并不足够。理想的情况是，公司应致力在贪污发生之前察觉潜在的贪污，设有找出已经发生的贪污的方法，并能够减轻其后果。

贪污对企业的真正代价

自2020年6月1日起，《2009年马来西亚反贪污委员会法令》（反贪会法令）第17A条使公司须为其雇员及有关连人士为了公司业务利益而支付的贿赂负责。公司唯一的辩护理由，是证明它已设有足够程序防止贿赂。除了法律风险之外，贪污也在多方面损害企业：

• 沉重的罚款及持久的声誉损害。涉及贪污的公司会面对巨额罚款及可能永远无法完全复原的声誉损害。
• 董事及员工的个人风险。涉案人士，包括董事，都会面对刑事提控。
• 供应商质素差劣。当服务供应商是因为回扣而不是凭其技能及交付能力而获选时，工作质素就会受到影响。
• 成本上升及产品质素下降。花在贿赂上的钱，就无法用于培训、新计划或研发，以改善公司的产品及服务。

人们为什么会这样做？贪污的五大驱动因素

贪污并不一定涉及现金。根据第17A条，它涵盖为了赢得或保留生意或商业利益而给予、承诺或提出任何报酬，无论是金钱、服务还是物品。要发现贪污，公司必须先了解其驱动因素。

1. 不受制衡的权力及权限

任何有权作出决定的人都可能受到诱惑，而不只是董事及高级行政人员。本书举出了一些日常例子：

• 负责处理监管批准的合规经理，索取贿赂以加快程序，
• 负责审核开支申请的帐目文员，收取回扣以批准交易，以及
• 收钱让人在下班后进入货仓偷窃公司财物的保安人员。

一个人掌握的权力越大，所承受的快速交付压力越大，诱惑也就越大。本书建议采取以下保障措施：

• 分散权力。在可行的情况下，由委员会或专责小组而不是由单一人员作出重要决定。
• 要求作出利益冲突申报，并确保有关程序确实获得遵守。
• 为决策建立制衡机制，并确保这些机制获得遵守。
• 轮调高风险职位的员工，例如经常与公职人员打交道或负责采购的员工。

2. 「把事情搞定」的代理

公司经常利用代理或中间人为其处理事务。代理的目标是把工作完成并获得报酬。与此同时，公司往往没有密切监督代理，也缺乏监察代理行为的资讯。这造成了一个真实的风险，即代理会「不惜一切代价」完成任务，包括行贿。

3. 承袭贪污的制度

在贪污已经普遍的地方，贪污往往会延续下去。现有的员工可能陷入一种「道德盲目」，错误的行为成为惯例，再也没有人质疑。新员工承袭了这套制度并延续这种做法。即使是不想参与的人，也会受到压力而被迫跟随。

本书提到2021年对一名因收受贿赂而被定罪的前推事所作的访问。他描述自己承袭了一套既有的制度，当他还是一名年轻推事时，就有「掮客」接近他，为他支付餐费并为他找住处。

当贪污是由高层管理人员默许，而初级员工觉得自己别无选择时，要改变这种文化是最困难的。在Skansen案中，问题之所以得以解决，只是因为一名有权拨乱反正的新任董事经理到任。在许多公司里，这种情况可能永远不会发生。

4. 个人经济利益

个人利益是工作场所贪污最常见的原因之一：

• 根据毕马威《全球舞弊者概况》（2016年），舞弊者的主要动机是个人经济利益及贪婪，约占66%，而组织文化则占13%。
• 上述前推事表示，他的起薪是1500令吉，但他每宗案件可收取多达1万令吉的贿款。当贿款远远超过一个人的薪金时，诱惑就很难抗拒。

然而，以为贪污只是低薪员工的问题，是一种错误的看法。本书引述的数据显示，与其他类型的舞弊相比，51%的贪污犯案者是行政人员，而26%是总执行长。在高层，维持某种生活方式或社会地位的压力也可能起一定作用。

在澳洲的R v Carl Christian Wulff一案中，昆士兰州一个市议会的总执行长，透过两项涉及虚假发票及虚构合约的计划收取贪污回扣，结果被定罪。在求情时，一名心理学家表示，他的判断力受到多项因素影响，包括其投资带来的多重财务压力，令他出现了被形容为道德罗盘失准的情况。

5. 改善公司业绩的压力

有时，目的不是个人利益，而是让公司看起来表现出色。企业东主及高级行政人员自然会力求提升业绩，而有些人为此越过了界线：

• 三星：2017年，三星电子的实际掌舵人李在镕因贿赂韩国前总统朴槿惠的一名亲信而被定罪，并被判监禁五年。他在一年后上诉获释，但最高法院下令重审，之后他再次被裁定罪成并入狱，其后获假释出狱。三星被指捐出约300亿韩圜（约2800万美元），以换取政府支持2015年三星旗下两个单位一项备受争议的合并，而这项合并巩固了李在镕对集团的控制权。
• 劳斯莱斯：国家控股的中国东方航空的一名董事，要求劳斯莱斯资助一项在商学院为高级经理举办的培训计划，并为一个飞行员保健中心提供捐款，而这个中心被视为他的个人项目，并将「敲定交易」。劳斯莱斯同意向培训基金捐出300万美元，并向保健中心捐出200万美元。就在传达这项承诺的同一天，它与该航空公司敲定了交易。

五大驱动因素一览

工具一：风险地图

随着企业责任条文的实施，重点必须放在降低贪污风险上。风险无法完全消除，但可以被识别并大幅降低。风险地图是一种识别、管控及管理贪污风险的方法。它具成本效益，大部分公司都可以在内部进行，无须聘请外部人士或投资于新系统。

本书列出了以下八个步骤：

工具二：数据分析

许多过去以亲身方式进行的业务流程，如今都以电子方式进行，从而产生可供分析的数据。本书讨论的研究显示，数据分析有助组织主动预防贪污，而不是在损害造成后才去处理。

分析可用来发现：

• 交易中的异常情况及不规则之处，
• 偏离正常流程的情况，以及
• 可能的贪污迹象，例如同一批机构一再一同竞投并赢得合约。

马来西亚在东南亚的表现

2021年，联合国毒品和犯罪问题办公室（UNODC）东南亚及太平洋区域办事处发表了一份报告，探讨八个东南亚国家的反贪污机构如何运用数据分析。报告发现，数据分析在该区域尚未普及。八个国家中只有两个国家已实施数据分析方法，而三个国家完全没有使用。这两个国家是马来西亚及印尼，它们采用的方法包括：

• 人工智能及机器学习，
• 地理数据绘图，
• 文本挖掘及数据分析，
• 社交网络分析及预测分析，以及
• 建模、数据可视化及自动警示。

根据该报告，数据分析工具最常用于合约及采购以及薪金发放。它们也可应用于州及地方层面的执照发放及财务管理。利用区块链技术打击贪污的做法曾引起讨论，但实际应用于这方面的例子很少，甚至没有。

对公司来说，这个讯息是当局已经在使用这些工具。把同样的思维应用于本身采购及付款数据的企业，更有可能在调查人员之前发现问题。

不必花大钱也能应对风险

公司在应对贪污风险方面做到什么程度，取决于其优先次序以及愿意花多少钱。大部分企业以盈利为导向，自然会集中于能增加利润的活动。这一点从数字中可以看出。在经合组织2003年一份针对100家最大非金融跨国企业的工作文件中，只有43家在其网站上发布反贪污材料，而发布环保声明的则有超过90%。

然而，有效应对贪污风险可以在各方面改善企业，甚至可能提高盈利能力。经合组织研究了18项反贪污管理工具。在这100家大企业中，最受欢迎的工具如下：

好消息是，最受欢迎的工具并不需要庞大的预算。外部审计则远没有那么普遍，原因可能是它成本高昂、费时，而且需要让外部人士查阅公司的文件及程序。

本书建议的其他低成本选择包括：

• 规定员工有责任举报贿赂，
• 提高员工对贪污刑事罚则的认识，以及
• 要求员工签署反贪污承诺书。

在有限预算下进行培训

培训很重要，但往往因为成本而被忽略，尤其是没有内部培训人员的公司，必须为新员工及复修课程一再支付外部培训机构的费用。资金有限的公司仍然可以透过以下方式，确保每个人都了解有关风险：

• 在新员工的入职培训中加入反贪污内容，
• 集中培训高风险业务单位的员工，以及
• 透过网上工作坊或网上培训举办复修课程。

实用清单：从今天开始发现贪污

• 接受单靠政策并不足够的事实。致力及早察觉贪污、找出已经发生的问题，并减少损害。
• 绘制你的风险地图，按照八个步骤进行，并从最容易面对风险的部门开始，例如采购、执照申请及与公职人员的往来。
• 分散决策权，并要求就重要决定作出利益冲突申报。
• 在可行的情况下轮调高风险职位的员工。
• 查核每一名代理及中间人，在聘用之前进行查核，并监察他们代表你所做的事情。
• 在你的数据中寻找模式，例如不寻常的交易、偏离正常流程的情况，以及同一批人一再一同赢得合约。
• 设立举报渠道，并保护使用该渠道的人。
• 保存准确的记录，并清楚表明违规行为将导致纪律处分。
• 把高级管理层纳入所有管控措施之中。贪污并不只是初级员工的问题。
• 定期检讨及更新你的风险地图，因为新的风险会不断出现。

总结

对贪污不采取任何行动，已不再是一个选项。虽然没有一体适用的解决方案，但每家公司都可以采取实际的步骤。只要了解贪污为何会发生、绘制风险所在的地图，并利用数据发现警示迹象，企业就可以在问题送到反贪会的桌上之前，早早把它们揪出来。

正如本书所强调，采取这些措施的目的，不应只是为了建立一项应对员工不法行为的法律辩护。更重要的是，这些措施应该是为了真正降低组织内的贪污风险。做得好的公司，不仅保护了自己，也保护了它的员工、声誉及盈利。

参考案例及资料来源

以下案例及报告是根据Corporate Liability for Corruption in Malaysia一书中的概述而描述的：

• R v Skansen Interiors Ltd, Case No T20172024 (Southwark Crown Court, 2018)
• Serious Fraud Office v Rolls-Royce plc and another [2017] Lexis Citation 3
• Serious Fraud Office v XYZ Limited [2016] Lexis Citation 685
• Serious Fraud Office v Standard Bank plc (now known as ICBC Standard Bank plc) [2015] Lexis Citation 567
• R v Carl Christian Wulff [2019] QCA 183 (Queensland Court of Appeal)
• 毕马威国际《全球舞弊者概况》（2016年5月）
• 联合国毒品和犯罪问题办公室东南亚及太平洋区域办事处《透过数据分析在东南亚预防贪污》（2021年）
• 经合组织《打击贪污行为的商业方法》，国际投资工作文件2003/02