大家好,我是老陈,一个在注册会计师行业摸爬滚打了十几年的“老兵”。
今天想和大家聊聊一个听起来很枯燥,但实际上决定着企业生死存亡的话题——公司内部控制管理制度。
在这么多年的审计生涯中,我见过太多形形色色的企业,有世界五百强的巨头,也有刚刚起步的初创公司;有蒸蒸日上的行业独角兽,也有一夜之间轰然倒塌的商业帝国,我发现,那些倒下的企业,往往不是因为产品不好,也不是因为没有市场,而是因为“内伤”,这个“内伤”,说白了就是内部控制出了大问题。
很多老板一听到“内控”两个字,眉头就皱起来了,在他们眼里,内控就是一堆厚厚的文件,是限制他们权力的紧箍咒,是财务部门用来刁难业务部门的借口,甚至有人觉得:“老陈啊,我公司小,人少,大家抬头不见低头见,靠信任就够了,搞那套制度干嘛?”
这种想法,大错特错。
今天我就想用最接地气的方式,结合我审计过的一些真实案例(为了保密,名字我都隐去了),还有咱们日常生活中的例子,来聊聊为什么公司内部控制管理制度是企业的“免疫系统”,以及我们该如何把它真正落地,而不是让它变成墙上的装饰画。
别让“千里之堤”溃于蚁穴:内控到底是什么?
要理解内控,咱们先别看教科书上那些晦涩的定义,咱们先看看生活。
举个例子,大家家里装修过吗?
装修其实就是一个典型的项目管理过程,如果你没有控制,会发生什么?你给工头说:“这事儿交给你了,钱我给你打过去。”
结果呢?工头可能去买最便宜的水管,给你埋在墙里;可能把原本预算5万的瓷砖,换成2万的,中间差价进了他腰包;甚至可能把水泥沙子夸大用量,虚报人数。
这时候,聪明的你会怎么做?你会控制。
你会要求买材料要有发票,发票要和你看到的实物对得上;你会去现场监工,看看墙是不是直的;你会分阶段付款,水电做完验收合格了,才给一部分钱。
恭喜你,这就是你在家里实施“内部控制”。
公司内部控制管理制度,本质上就是这套装修逻辑的放大版,它不是针对某一个人的不信任,而是为了保护整个家(公司)的财产安全,确保装修效果(经营目标)符合你的预期。
COSO框架(咱们行内的权威标准)说内控有五个要素:控制环境、风险评估、控制活动、信息与沟通、监督,翻译成人话就是:
- 家里风气正不正(控制环境):是不是大家都在认真干活,还是都在偷奸耍滑?
- 哪里容易出事(风险评估):是漏水容易出事,还是电路容易出事?
- 怎么防着出事(控制活动):是不是要装个漏电保护器?是不是要盯着工头别偷料?
- 消息通不通畅(信息与沟通):工头有没有隐瞒工期延误的情况?你能不能随时知道进度?
- 谁在盯着结果(监督):你自己去工地,还是找个监理去?
内控不是用来“捆住手脚”的,而是为了“跑得更稳”
我做过一家贸易公司的审计,他们的老板老张是个豪爽人,老张常说:“生意场上讲究的就是个快,制度太死,生意就跑了。”
在他们公司,采购付款的流程极其简单,业务员谈好单子,老张大笔一挥,财务就得立马打款,美其名曰“扁平化管理”。
结果呢?那年年底,我们发现了一个大窟窿。
有一个业务员小李,利用老张“只看结果不看过程”的心态,虚构了一家供应商,每次老张签字,小李都说是“老客户了,急着发货”,财务虽然觉得有点奇怪,但老板签了字,谁敢多嘴?
两年时间,小李卷走了公司三百多万。
这就是典型的公司内部控制管理制度缺失,或者说“环境”出了问题,老张以为“效率”就是一切,却忘了“安全”是前提。
这里我要发表一个很强烈的个人观点:
很多管理者把内控和效率对立起来,这是最大的误区,好的内控,不是让你在高速公路上设路障,而是给你画好车道、装好红绿灯和护栏,有了这些,你才能把油门踩到底,不用担心冲出悬崖。
如果没有内控,你的车开得越快,死得越惨,那个业务员小李就是老张公司失控的“刹车片”,最终导致车毁人亡。
制度是死的,人是活的:内控的核心是“人”
在公司内部控制管理制度的建设中,最难的从来不是写制度,而是执行制度,而执行的关键,在于人。
我见过一家上市公司,他们的内控手册做得那是漂亮,几大本子摆在书架上,看着就专业,当我抽查他们的“不相容职务分离”时,却发现了一个荒诞的现象。
所谓的“不相容职务分离”,简单说就是:管钱的人不能管账,管采购的人不能管验收,就像踢足球,不能既当裁判又当运动员,否则这球没法踢。
但在那家公司,财务部的出纳小王,竟然还兼任着会计档案的保管,更离谱的是,他们公司的公章、法人章、财务章,平时就锁在老板娘的抽屉里,谁要用谁去拿,根本没登记。
老板娘说:“这些都是自家人,谁还偷自己家的东西?”
这就是典型的“控制环境”崩塌,当管理层带头破坏规则,或者视规则为儿戏时,底层的员工就会迅速效仿。
咱们生活里也有这样的例子,就像带孩子。
如果你规定孩子“吃饭前必须洗手”,但是你自己从来不洗,或者孩子只要一哭闹,你就妥协说“算了这次不洗了”,那这个规矩永远立不起来。
在企业管理中,“老板凌驾于控制之上” 是我们审计师最害怕的风险点,一旦老板觉得“我是老板,我说了算”,那这套公司内部控制管理制度就废了一半。
我经常建议企业的管理者:内控建设要从“一把手”做起,你想让员工遵守报销制度,你自己出差就得老老实实贴发票;你想杜绝采购回扣,你自己就得拒绝供应商的宴请,上行下效,这才是内控的灵魂。
别再靠“人盯人”了,让系统说话
以前的老式管理,讲究的是“人盯人”,仓库要派个大爷守着,办公室要派个主管盯着。
但在数字化时代,公司内部控制管理制度必须插上科技的翅膀。
我有个客户是做电商的,每天几万单生意,如果靠人去盯着每一单有没有发错货、有没有漏收钱,那得招几千个会计。
他们是怎么做的?他们把内控嵌入了ERP系统。
举个例子,他们的系统里设置了这样一个逻辑:如果一个商品的采购价格比过去三个月的平均价格高出了20%,系统会自动锁死,无法生成付款单,必须由采购总监进行二次审批。
这就是“系统控制”,它不讲人情,不知疲倦,24小时盯着。
这就像咱们现在的智能家居,你出门不用检查电器关没关,因为系统设定了你离家后自动断电;你不用怕家里进贼,因为有人脸识别门锁和监控报警。
企业在设计公司内部控制管理制度时,一定要思考:哪些控制是可以“机控”的,哪些必须“人控”。
能用系统解决的,千万别用人,人是会疲劳的,会情绪化的,会被收买的,代码虽然冰冷,但最讲逻辑。
我记得有一次审计,我们去盘点现金,现在的年轻人谁还用现金啊?结果发现那家公司的备用金账实不符,后来一查,是出纳挪用了公款去理财,第二天早上再补回来,这就是典型的“挪用公款”。
如果他们用了资金管理系统,大额资金流动必须双人复核,或者资金账户直接和银行系统对接,这种低级的舞弊根本不可能发生。
如何搭建一套“接地气”的内控体系?
说了这么多理论,大家可能还是觉得虚,到底怎么着手?作为注会,我给企业开过不少“药方”,这里总结几条最实用的建议:
先找“出血点”,别贪大求全
很多公司一上来就要搞“全套内控”,结果搞得怨声载道,最后不了了之。
正确的做法是,先做风险评估,问问自己:公司现在哪里最痛?是存货丢得厉害?还是应收账款收不回?还是采购价格太高?
先解决最痛的那个点。
如果你发现仓库里东西经常少,那就先上“门禁系统+盘点制度”,如果你发现客户欠钱太多,那就先上“信用额度控制”。
这就像治病,先止血,再调理。
把制度翻译成“人话”
我看过太多的公司内部控制管理制度,写得像法律条文,充满了“应当”、“严禁”、“务必”,员工根本看不懂,也不想看。
好的制度,应该是流程图,是检查清单(Checklist)。
不要写“员工应当严格遵守差旅报销的相关规定,确保票据的真实性与合法性”,要写“打车票必须注明起止时间,如果不注,财务不收”。
越简单,越明确,执行力度越高。
建立“红灯”思维
在公司内部控制管理制度中,要明确告诉员工:什么是红线,碰了会怎么样。
生活里,闯红灯要扣分罚款,大家都知道,公司里也是一样,如果有人虚假报销,是直接开除还是通报批评?必须有明确的说法。
没有惩罚机制的内控,就是没有牙齿的老虎。
定期“体检”
制度定好了,不是一劳永逸的,业务在变,市场在变,内控也得跟着变。
我建议每一年,企业都要自己搞一次“内控自我评价”,就像咱们每年都要做一次体检一样,看看哪里血管硬化了,哪里长结石了。
这时候,往往需要外部的力量介入,比如请我们会计师事务所来做内控审计,当局者迷,旁观者清,我们有时候一眼就能看出那个流程上的漏洞。
内控是企业的良心
写到最后,我想再强调一下我的个人观点。
公司内部控制管理制度,表面看是一堆冷冰冰的条文和流程,但深层看,它体现的是一家企业的价值观和管理层的智慧。
一个有着良好内控的企业,它的员工是更有安全感的,因为他们知道规则在哪里,只要按规则办事,就不会背黑锅,不会因为老板的一时兴起而担惊受怕。
一个有着良好内控的企业,它的投资者是更放心的,因为他们知道,自己的钱不会被莫名其妙地卷走,财务报表上的数字大概率是真实的。
对于我们每一个职场人来说,理解内控,也是保护自己的一种方式。
我曾经见过一个刚毕业的会计,因为听信老板的指示,帮老板做假账,最后老板没事,作为执行者的她却进了监狱,职业生涯尽毁,如果她懂一点内控,知道这是触碰了法律红线,懂得拒绝或者保留证据,也许结局就会不一样。
不要把公司内部控制管理制度当成负担,它是企业的防火墙,是员工的护身符,是商业世界的交通规则。
在这个充满不确定性的时代,唯有建立一套强大、灵活且执行到位的内控体系,我们的企业才能在风浪中行稳致远。
希望今天的分享,能让你对“内控”有一个全新的认识,如果你在企业管理中遇到了什么具体的内控难题,欢迎随时来找我聊聊,毕竟,在这个复杂的商业江湖里,多一个懂行的朋友,总是好的。





还没有评论,来说两句吧...