作为一名在注册会计师行业摸爬滚打多年的“老兵”，我见过太多企业的账本，也翻过无数本厚厚的内控手册，说实话，每当我走进一家企业，看到他们书架上那本积了灰、装订精美的《内部控制管理规范》时，我心里总会咯噔一下，为什么？因为在我的经验里，这本手册越厚，往往意味着这家企业的内控管理做得越“虚”。
咱们不聊那些枯燥的COSO框架定义，也不掉书袋去讲什么“风险评估五要素”，我想以一个朋友的身份，喝着茶，和大家聊聊这个看似高大上，实则关乎企业生死存亡的话题——企业内控管理。
内控不是“找茬”，而是企业的“免疫系统”
很多老板，甚至一些财务负责人，对内控都有一种天然的抵触情绪，在他们眼里，内控就是财务部拿着放大镜找业务部的麻烦，是流程上的一道道“拦路虎”。
“买个笔都要审批三天，这生意还做不做了？”这是我听到过最多的抱怨。
但我必须发表我的个人观点：内控管理从来不是业务的刹车片，它是企业的安全气囊，更是免疫系统。
举个生活化的例子，这就好比我们每个人都想拥有健康的身体，业务部门就像是负责“赚钱养家”的手脚，他们要跑得快、有力气；而内控部门，就是那个负责监督心跳、血压和体温的大脑和神经系统。
如果手脚只顾着狂奔，不管心脏能不能承受，最后的结果往往是猝死，企业也是一样，如果销售只顾着冲业绩，不管客户的信用风险，不管合同里的法律陷阱，最后钱是进来了，但紧接着就是巨额的坏账和官司,这有什么意义？
我记得几年前审计过一家做外贸的公司，他们的销售总监是个“猛人”，为了拿订单，什么条件都敢答应，当时公司的内控流程里规定，对于超过一定额度的赊销，必须由风控部审核客户资信，但这位总监觉得风控部就是“绊脚石”，经常绕过流程,先斩后奏。
结果呢？那年年底，一家海外大客户突然破产，几千万的货款打了水漂，公司现金流瞬间断裂，连工资都发不出来，这时候老板才想起来抓内控，但为时已晚，那个“猛人”总监拍拍屁股走人了,留下一地鸡毛给老板收拾。
内控管理的核心，不是为了限制谁，而是为了确保你在狂奔的时候，不会掉进悬崖里。
为什么你的内控总是“防君子不防小人”？
很多企业其实是有内控的，但为什么依然出问题？这就涉及到了一个很痛的点：形式主义。
我看过太多企业的内控流程，设计得堪称完美，逻辑严密，滴水不漏，但在实际执行中,却是另一番景象。
“一支笔”的魔咒
在中国企业，特别是民营企业里，“一支笔”现象太普遍了，什么都要老板签字，老板成了公司最大的“瓶颈”。
这其实是个悖论，老板觉得自己把控了所有细节就是安全，但这恰恰是内控最大的漏洞，因为内控的一个基本原则叫“职责分离”。
举个具体的例子，比如出纳和会计不能是同一个人，这是常识，但在很多小微企业，为了省钱，老板娘做出纳，小舅子做会计，钱账虽然看似分管了，但最终都在老板这个“终极节点”汇合了。
如果老板自己想挪用资金，或者老板想为了某种利益（比如上市、贷款）去指使财务造假，下面的内控流程能拦得住吗？根本拦不住。
我的观点： 真正的内控，首先要约束的是权力，如果制度在权力面前弯腰，那这个内控就是一张废纸，一个健康的内控环境，应该是“法治”而不是“人治”。
“人情”是内控最大的天敌
咱们中国人讲究人情世故,这在企业管理中往往是内控失效的温床。
我有个朋友在一家上市公司当财务经理，他们公司规定，差旅费报销必须附上发票和行程单，有一次，公司的一位元老级副总去出差，回来把一堆餐饮发票往桌上一拍，说是招待客户，但没有明细,也没有客户签字。
按理说，这必须退回，但我的朋友犹豫了，这副总是跟着老板打江山的，如果自己不批，不仅得罪副总，搞不好老板觉得自己“不懂事”。
他大笔一挥,批了。
这种“下不为例”的开头，就是内控崩塌的开始，一旦有一次例外，后面就会有无数次例外，员工会想：“副总都能乱报，我拿个打车票多报十块钱怎么了？”
生活实例告诉我们： 当制度变成了“看人下菜碟”，它的威慑力就归零了，内控管理最难的不是设计流程，而是如何在一个充满人情味的社会里，保持制度的刚性,这需要管理者的极大勇气和智慧。
别把“不相容职务”当耳旁风
作为CPA，我们在审计时最看重的一点就是“不相容职务分离”，这听起来很专业，其实道理很简单：不要把既偷钱又记账的权力交给同一个人。
但现实中，我看到的往往是“全能型员工”。
比如一家连锁零售企业，为了节省人力成本，店长既负责管店里的库存，又负责记录销售台账，最后还负责月底的盘点,你说这能不出事吗？
我审计过一家这样的店，发现每个月的损耗率都在异常波动，后来一查，原来是店长利用职务之便，把高档商品拿回家送人，然后在系统里做成“破损”或者“被盗”处理，因为进货是他收的，账是他记的，盘点也是他做的，整个闭环完全由他一人掌控,神仙也发现不了。
个人观点： 节省成本不能以牺牲内控为代价，这种“省”，往往是捡了芝麻丢了西瓜，企业内控管理中，必须建立一种制衡机制，管钱的不管账，管物的不管钱，采购的不能负责验收，这可能会增加一两个人力成本，但相比于可能发生的贪污、舞弊造成的损失,这笔钱太值得花了。
内控也要“与时俱进”：别用马车规则管高铁
随着数字化时代的到来，很多企业的内控管理还停留在“纸质时代”。
我见过一家做互联网科技的公司，他们的业务系统非常先进，数据实时更新，他们的财务审批居然还要打印出来，拿着纸找领导签字,签完再录回系统。
这不仅效率低下，而且存在巨大的数据篡改风险，线上的数据已经被改了，纸质单据还是旧的，或者反之，这就造成了“账实不符”。
现在的内控管理，必须嵌入到系统中去。
举个例子，现在的ERP系统（企业资源计划）就可以设置很多“硬控制”，采购订单的金额如果超过了预算，系统直接就锁死，根本提交不上去，根本不需要人去审核，这就把“人控”变成了“机控”。
我的看法： 技术是内控最好的盟友，机器没有人情世故，不会因为谁是老板亲戚就网开一面，企业应该把更多的精力花在优化系统逻辑上,而不是花在让人去盯着单子看有没有漏洞。
风险导向：抓大放小才是智慧
我想聊聊内控的“度”。
很多企业做内控，容易走入一个误区：这就好比为了防止苍蝇飞进来，把窗户全钉死，结果屋里的人憋死了。
我见过一家国企，买个几十块钱的文件夹，要走完申请、部门经理审批、分管副总审批、财务审核、总经理签字五个流程，历时两周，等文件夹买回来，急用的文件早就过期了，这种内控，不仅没有提升管理,反而是在扼杀企业的活力。
内控管理必须遵循“成本效益原则”。
你要把精力花在那些高风险的领域，比如大额的资金支付、重大的投资决策、关键的供应商招标，在这些环节上,流程再细都不为过。
但在一些低风险领域，比如日常的行政报销、小额的零星采购，完全可以实行“简易流程”或者“总额控制”。
生活实例： 就像我们家里防盗，你会给大门装上最贵的防盗锁，装上监控，但你不会给厕所的窗户也装上金库级的防盗门，对吧？如果小偷真的要翻厕所窗户进来,那他付出的成本可能比偷走的东西还高。
个人观点： 一个好的内控体系，应该是“有温度”的，它应该让员工感觉到流程是为了帮助工作更顺畅，而不是为了制造麻烦，对于低风险事项，要敢于授权；对于高风险事项，要敢于集权,这才是管理的艺术。
内控是一场修行
聊了这么多,我想总结一下。
企业内控管理，绝对不是请个咨询公司写几本SOP（标准作业程序）就完事了的，它是一场持续的修行,是一种企业文化。
它需要老板的以身作则，如果老板自己带头闯红灯，员工自然不会把红灯当回事。 它需要部门的相互制衡，财务、业务、法务、风控，既要相互协作，又要相互“挑刺”。 它需要技术的强力支撑，用系统把漏洞堵死,用数据把风险照亮。
作为一名CPA，我看过太多企业因为忽视内控而轰然倒塌,也看过很多企业因为建立了完善的内控体系而基业长青。
内控就像空气，平时你可能感觉不到它的存在，甚至觉得它有点稀薄，让人呼吸困难，但一旦它消失，企业就会窒息而亡。
亲爱的企业管理者们，别再觉得内控是虚头巴脑的东西了，从今天开始，检查一下你的“免疫系统”是否正常工作，别等到“生病”了,才后悔当初没有好好锻炼身体。
希望这篇文章能给你带来一点启发，如果你觉得内控很难做，别担心，大家都觉得难，因为，管理本质上就是反人性的，而内控，就是管理中最反人性、但也最必要的那一部分,共勉。
还没有评论，来说两句吧...