摘要

  • 2016年6月6日，董事Lucky Masilela提议起草一份授权文件，让首席执行官能够处理某些财务、人力资源和行政事项；这只是起草动议，并不能证明这些事项后来全部进入最终文本。7月8日，董事会在听取草案、讨论并接受若干修改后，由Masilela提出第201607.292号决议、Abibu Ntahigiye附议，一致批准日期为当天的文件，并决定文件仅供内部使用。
  • 授权矩阵的价值在于把“谁能做什么”拆成可操作的决定权：谁发起、建议、批准、签署和执行，谁只需收到通知，谁负责追认、复核、替代或撤销。清楚的边界能减少董事会瓶颈；不清楚的边界会把合同、付款、招聘、差旅、合作、法律指示和紧急处置变成事后争议。
  • 公开记录没有给出2016年矩阵本身，也没有给出门槛、保留事项、共同审批、转授权、例外、有效期、版本衔接和撤销方式。合理的答案不是公开银行安全细节，而是公开非敏感的类别边界和版本信息，把敏感操作规则留在保密附表中，并在具体行为受到质疑时提供针对该行为的权限证据。
  • 这种授权在公司法、公司章程和合同边界内是真实权力，却不是公权力。AFRINIC是私人登记记账与技术协调机构；它及其董事、管理层、委员会或会员都没有对非洲、国家、网络、运营者、互联网用户或号码资源行使监管、警务、检控、惩罚、没收或裁判的主权。

一张看不见的表，和一项看得见的决定

公司的一天往往不是由宏大政策组成的，而是由许多需要有人承担责任的小决定组成：采购是否可以下单，工资是否可以支付，某个职位是否可以招聘，差旅是否符合计划，一份合作备忘录能否继续谈判，律师是否可以收到指示，突发故障时谁可以先行动。若每一件事都必须等全体董事重新开会，公司会迟钝；若任何一位高管都可以凭职位自由行动，公司又会失去制衡。授权矩阵就是夹在这两种失败之间的控制装置。

第201607.292号决议使这套装置成为AFRINIC内部公司机器的一部分。公开材料说明了董事会为何需要它：要厘清哪些行动需由董事会批准，哪些可由首席执行官批准，哪些归其他角色。材料也说明了批准的日期、文件的内部性质和一致表决的结果。它们没有让公众看到装置内部的齿轮——既没有最终表格，也没有每一类行动、金额或风险所对应的权限组合。

这一区分极其重要。文件未公开，不等于文件不存在；内部使用，不自动等于恶意隐藏；公众无法重建条款，也不等于董事会从未实施或保存它。严谨的分析只能在证据到达的地方停下：2016年7月8日确有一项一致通过的内部授权行为，但公开记录不足以验证其完整设计，也不足以验证任一具体交易是否符合当时有效的条款。

同样，授权不是一纸虚构。董事会确实可以在公司法律边界内把部分公司权力交给管理层或其他角色，使受权人能够代表公司作出有效行为。问题在于这种权力的对象是AFRINIC自身的业务、资产、雇佣关系和合同关系，而不是整个互联网的运行者与资源持有者。公司能够决定谁替自己签合同，却不能靠内部表格决定自己拥有主权；能够安排谁批准付款，却不能靠批准链获得惩罚成员或没收号码资源的公共权力。

从6月6日到7月8日：公开记录真正证明了什么

时间线从2016年6月6日开始。当天的会议记录显示，Lucky Masilela提出起草授权文件，以便赋予首席执行官处理某些财务、人力资源和行政事项的能力。这句话说明了起草动机和当时设想的若干领域，却不是最终清单。它没有附草案，没有列出金额，没有说明某项权力是批准、签署还是执行，也没有证明每一项设想都被写入一个月后获批的文件。

7月8日的会议记录补上了下一段。草案此前已在董事会务虚讨论中出现；在正式会议上，Masilela介绍草案，与会者讨论并接受了一些修改。随后，他提出第201607.292号决议，Ntahigiye附议，决议一致通过。公开的决议登记说明，获批的是一份日期为2016年7月8日的授权文件，并且文件将作为内部文件保存。

这段程序记录有实质价值。它表明授权不是仅由首席执行官自称拥有，也不是从某个职务名称自然推导出来；董事会进行过讨论、修改和正式表决。它还把行为锚定到一个日期，使后续审计至少知道应寻找哪次会议、哪项决议和哪份同日文件。Alan Barrett作为当时首席执行官出席会议，但“出席”本身不能证明最终交给他的每一项权力，也不能证明他起草、批准或执行了矩阵中的任何具体条款。

公开记录的边界也同样清楚。没有务虚讨论材料，没有参会与建议的完整记录，没有修改前后对照，没有获接受修改的理由，也没有最终矩阵。Masilela提出起草、介绍草案并动议通过，不足以证明他写了每一条；Ntahigiye附议，不足以说明他的理由或后来承担的角色；一致通过，更不能替代对控制设计质量的检验。表决结果证明董事会同意，却不告诉公众董事会同意了什么精确门槛。

公司章程提供权力来源，却不替代那张矩阵

2016年的公司章程把AFRINIC业务置于董事会的指导与监督之下，并允许董事在一定期间内将公司权力授予他人。章程同时把日常管理交给首席执行官，赋予其对非高管员工薪酬等事项的职责，并允许他行使董事会进一步授予的权力；首席执行官直接向董事会报告。由此可以看出，董事会与管理层之间本来就需要一条从一般权力到具体权限的桥。

但章程只是权力来源和组织框架，不是2016年7月授权表的替身。它不能告诉审计者一笔特定付款由谁批准，某类合同是否需要双签，某种风险是否必须升级至董事会，或者转授权是否允许。反过来，内部矩阵也不能超越章程和适用法律：董事会不能把自己并不拥有的权力交出去，受权人也不能因为名字出现在表格中而摆脱条件、期限、利益冲突或报告义务。

因此，验证一项公司行为至少需要两层证据。第一层是“源头”：董事会依据什么公司规则有权处理并授权这一事项。第二层是“落点”：在行为发生时，哪一版矩阵把哪一种行动以什么条件交给哪个角色。只有第一层，会留下从一般条款跳到具体签字的空白；只有第二层，而没有合法源头，则可能出现一张表试图授予公司本身都没有的权力。

十个动词，十种不同的权限

授权争议常被一句“某人有权处理”掩盖，但“处理”几乎没有审计价值。一个成熟矩阵必须拆开至少十种行为。

发起，是提出需求或启动程序。例如管理人员可以提出采购、招聘或合作事项，却未必能批准。建议，是对选项作出专业判断并提交有权者，建议者可以影响决定，但不因此成为最终决策者。批准，是公司对某项行动作出规范性同意，通常决定能否继续。

签署，是以签名把已经获批的公司意志表达给外部或内部相对方。签字人可能只是执行已获批准的决定，也可能同时拥有批准权；两者不能凭一枚签名自动合并。执行，则是完成付款、发出订单、办理入职、提交文件或落实其他已授权行动。执行人员的技术能力不等于决定权，决定权也不必然包含亲自执行的权限。

通知意味着行动可以先按既定权限发生，但必须在规定时间向董事会或其他监督者报告。通知不是事前批准。追认意味着某项行为先发生，随后由本来有权的机关确认；追认不能被当作日常绕过事前控制的万能工具，而且是否允许、适用何种条件，本身需要权力依据。

复核是定期或触发式地检查授权设计、适用结果和风险变化。它不只是回顾某一交易，也包括判断角色、门槛与例外是否仍合适。替代是新版本明确取代旧版本，使人员能够知道哪个规则在何时失效。撤销则是终止某项授权，可能源于任期变化、风险事件、利益冲突、失去信任或制度调整。若替代与撤销没有留下可追溯记录，档案中同时存在的多份表格就会把验证变成猜谜。

此外还有监督，它不是另一个同义动词。监督者需要获得报告、检查例外、追问偏离并纠正控制，但不能因为有监督责任就自动代替执行者，更不能以事后知情冒充事前批准。把这些动词分开，正是防止“董事会知道”“首席执行官签了”“财务已经入账”被误当成同一件事。