作为一名在注册会计师行业摸爬滚打多年的从业者,我见过太多企业的兴衰起伏,在审计报告的附注里,在管理建议书的字里行间,“企业内部控制制度”这个词出现的频率高得惊人,令人遗憾的是,往往只有在暴雷、亏损甚至接受监管调查的时候,人们才会真正痛定思痛地去审视这几个字。
很多人一提到“内部控制”,第一反应就是“麻烦”、“管人”、“审批流程繁琐”,甚至觉得这是财务部门用来“卡脖子”的工具,但我今天想以一个同行的身份,用最实在的大白话和大家聊聊:企业内部控制制度,从来不是束缚手脚的镣铐,而是企业在波诡云谲的商业海洋里航行的舵与锚,它不仅仅是为了应付审计和合规,更是企业想要活得久、走得远的底层逻辑。
打破刻板印象:内控不是“管人”,是“救人”
咱们先得把一个最大的误区给掰扯清楚,很多老板,特别是民营企业的创业者,觉得内控就是防着员工偷钱、防着员工偷懒,这种理解不能说全错,但太狭隘了。
我想讲个生活中的例子,大家家里装修过吗?装修是个极其复杂的工程,涉及水电、泥瓦、木工、油漆等多个环节,如果你找了个装修队,没有工长统筹,也没有验收标准,会发生什么?
很可能水电工把水管走得歪七扭八,木工一来,发现水管挡路了,直接把水管敲断重新走;最后油漆工进场,发现木工留下的满地木屑没清理,直接刷漆,结果墙面全是颗粒,最后的结果是什么?工期无限延长,预算超支,住进去三天两头漏水。
这就是典型的“缺乏内控”,在企业里,内控就像那个装修工长和验收标准,它不是为了不让水电工干活,而是为了确保水电工活干完的时候,木工能接得上,大家不返工,资源不浪费。
我的个人观点是: 一个优秀的内控体系,首先保护的不是老板的钱包,而是员工的职业生涯,因为流程清晰,员工才知道什么事能做,什么事不能做,才不会因为“无知”而犯错,更不会因为“背锅”而受冤,内控是在混乱中建立秩序,让在这个系统里运行的人感到安全,而不是窒息。
基石之重:环境比制度更重要
在COSO框架(这是咱们做内控的“圣经”)里,排在第一位的是“控制环境”,很多企业花了大价钱请咨询公司写了一堆厚厚的SOP(标准作业程序),结果束之高阁,没人看,也没人执行,为什么?因为“土壤”不对。
控制环境说白了就是企业的“风气”,而风气的源头,在于“一把手”。
我审计过一家国企下属的子公司,制度写得那是天衣无缝,简直可以当教材,他们的总经理习惯于口头指令,喜欢搞“特事特办”,每次开会,他在台上讲“我们要严格遵守流程”,转头就打电话让财务经理把一笔没走完审批的款先付了,说是“为了维护客户关系”。
上梁不正下梁歪,销售部一看,总经理都带头违规,那我们还搞什么合同审批?直接发货再说!采购部一看,总经理都搞特权,那我们还搞什么招标?找熟人拿回扣多爽!
这就好比一个家庭,父母天天教育孩子要“早睡早起身体好”,结果自己每天熬夜打麻将到凌晨三点,孩子会信吗?绝对不会。
这里必须发表我的个人观点: 企业内部控制制度失效,80%的原因不是制度本身设计得不够完美,而是管理层践踏了规则,在内控体系里,最高管理层的承诺和以身作则,比任何严苛的惩罚条款都有效一万倍,如果老板自己视规则如儿戏,内控就是一张废纸。
核心手段:职责分离——把钥匙和锁分开
说到具体的内控手段,最经典也最容易被绕过的,职责分离”。
咱们再来看个生活场景,你去电影院看电影,买票和检票的要是同一个人,会怎么样?他可以自己收钱买张假票,然后自己检票放行,票款就进了他腰包,电影院根本查不出来,稍微正规点的电影院,售票和检票一定是两个人,或者由系统强制隔离。
在企业里,这就是“管钱不管账,管账不管钱”。
我印象特别深,几年前我去审计一家小型贸易公司,那个公司为了“降本增效”,把会计和出纳合并成了一个岗位,由老板的小姨子负责,美其名曰“知根知底,绝对放心”,结果呢?三年时间,小姨子利用职务之便,通过伪造供应商单据,陆陆续续挪用了将近两百万公款去炒房,直到有一天银行上门催贷,账面资金链断裂,老板才如梦初醒。
这就是典型的职责冲突,当一个人既有“发起支付”的权力,又有“批准支付”的权力,还有“记账”的权力时,人性的贪欲就会被无限放大。
我的观点非常明确: 不要去考验人性,在商业利益面前,哪怕是亲兄弟、夫妻,都要有制度上的防火墙,职责分离不是不信任谁,而是为了保护当事人,如果那家公司做好了职责分离,小姨子就算想挪用钱,也得找个同伙合谋,作案成本瞬间提高,可能早在念头萌生时就打消了,内控就是通过增加作案难度,来降低风险发生的概率。
风险评估:别等下雨了才想起来修屋顶
企业内部控制制度的另一个核心功能是“风险评估”,很多企业是“头痛医头,脚痛医脚”,出了事才补窟窿。
举个例子,现在的电商企业,如果你是老板,你知道你最大的风险是什么吗?可能不是货卖不出去,而是“数据泄露”或者“库存积压”。
我见过一个做服装电商的客户,生意做得风生水起,每年几个亿的流水,但是他们的内控体系里,对于“退货率”的监控几乎为零,只要销售部把货发出去,就算业绩,结果到了年底一盘点,仓库里堆满了退货,全是过季款,只能当废品卖,为什么?因为销售员为了冲提成,不管客户合不合适拼命推销,导致退货率飙升。
如果他们有一个有效的内控系统,就应该设定一个“预警指标”:一旦某个SKU的退货率超过20%,系统自动报警,停止发货,并启动调查,是质量问题?还是销售误导?
这就像开车。 风险评估就是你的后视镜和雷达,你不能只盯着前挡风玻璃(当下的业绩),还得时不时看看后视镜(潜在的风险),如果你只顾踩油门,不管发动机过热不过热,不管刹车灵不灵,早晚得翻车。
我个人认为: 一个成熟的企业,其内控部门应该具备“预知未来”的能力,这种能力不是玄学,而是基于数据的分析当某个指标出现异常波动时,内控要像医生看体检报告一样,敏锐地嗅出病灶所在。
信息与沟通:打破孤岛,让数据说话
在数字化时代,企业内部控制制度已经不再仅仅是纸质单据的流转,更多的是信息的流转。
很多大企业容易得一种叫“大企业病”的绝症,症状就是部门墙高耸,销售部骂生产部交货慢,生产部骂采购部原料烂,采购部骂财务部付款慢,财务部骂销售部回款难,大家都在自己的信息孤岛里打转。
内控的一个重要任务,就是打通这些经络。
举个真实的例子,某大型制造企业,销售签了一个大单,为了赶工期,销售经理直接给生产车间发了邮件,让他们加班加点,因为没走正规的ERP系统订单流程,采购部门不知道需要额外采购原料,生产部门只好先拆东墙补西墙,挪用了另一个大客户的原料,结果呢?那个大客户的货被延误了,索赔函发到了董事长邮箱。
这就是典型的信息沟通失效,内控要求信息必须在正确的时间,以正确的方式,传递给正确的人。
我的观点是: 现在的内控,必须建立在信息系统之上,ERP不仅仅是财务软件,它是内控落地的载体,通过系统固化流程,强制信息共享,谁也藏不住猫腻,如果销售不录入系统,生产就没法排产,这就从源头上杜绝了“私下操作”。
内部监督:企业的年度体检
我想聊聊“内部监督”,这通常是内审部门的工作。
很多员工看到内审人员,就像看到警察一样,心里发慌,觉得是来找茬的,内审是企业的“保健医生”。
人一年至少要做一次体检,看看血压高不高,血脂稠不稠,企业也一样,内审就是那个拿着听诊器的医生,通过抽查凭证、盘点资产、访谈员工,看看企业的这套内控体系还在不在正常运转,有没有被人打了补丁,有没有被人绕过。
我曾经服务过一家世界500强企业,他们的内审部门非常强势,直接向董事会汇报,有一次,内审发现某海外分公司存在小金库问题,虽然金额不大,但直接向总部汇报,导致分公司总经理被撤职,这件事在集团内部引起了巨大的震动,所有人都意识到:内控不是摆设,红线真的碰不得。
但我也要发表一个警示性的观点: 内部监督不能搞成“为了审计而审计”,有些企业的内审,整天纠结于发票贴得齐不齐、差旅费报销晚了一天这种鸡毛蒜皮的小事,而对重大的战略风险、合同漏洞视而不见,这是捡了芝麻丢了西瓜,好的内部监督,应该关注重大风险领域,要帮助企业解决实际问题,提升运营效率,而不仅仅是充当“道德警察”。
内控是一种自由
写到这里,我想做个总结。
企业内部控制制度,听起来冷冰冰的,充满了条款和约束,但实际上,它充满了温情和智慧。
它就像我们在高速公路上行驶的规则,红灯停、绿灯行、限速、变道打灯,这些规则限制了我们吗?是的,它限制了我们不能想怎么开就怎么开,但正是这些限制,保证了成千上万辆车能以100公里的时速高速飞驰,而不会车毁人亡,规则带来的不是束缚,而是在边界内的最大自由。
对于企业而言,内控就是那个边界,它告诉创业者:你可以大胆去闯,但不要踩空;你可以放心去飞,但不要断线。
在这个充满不确定性的VUCA时代(易变、不确定、复杂、模糊),外部环境我们无法掌控,市场风向我们无法左右,唯一能掌控的,就是我们自己的内部管理。
作为一名注会,我给所有企业管理者的建议是: 不要等到暴风雨来临才想去加固船身,从现在开始,重视你的内控体系,哪怕只是从规范一枚印章的审批开始,从分离一个关键岗位的职责开始,因为,企业长青的秘密,往往就藏在这些看似不起眼的细节里。
内控,是企业给自己最好的礼物,也是对股东、员工、客户最大的负责,这,就是我对企业内部控制制度最真诚的解读。




还没有评论,来说两句吧...