大家好，我是你们的老朋友，一个在注会行业摸爬滚打多年的“老会计”。
今天咱们来聊一个稍微有点严肃，但又不得不聊的话题——内部控制管理。
说实话，一提到“内控”，很多老板和财务人员的第一反应就是皱眉头，在很多人眼里，内控就是那一叠叠厚厚的SOP（标准作业程序），是报销单上跑断腿的签字流程，是财务部拿着放大镜找茬的“挑刺儿”行为，甚至有人觉得，内控就是阻碍业务发展的绊脚石,是效率的杀手。
但在我看来，这种理解不仅肤浅，而且危险，作为一名专业的注会，我见过太多企业因为忽视内控而轰然倒塌，也见过不少企业因为内控过度而把自己“憋死”，我想抛开教科书上那些晦涩难懂的COSO框架定义，用咱们的大白话，结合我亲眼见过的真实案例,来聊聊内部控制管理这档子事儿。
那个被“兄弟义气”拖垮的千万级公司
咱们先别讲大道理,我先给你们讲个真事儿。
前几年，我参与过一个拟上市公司的尽职调查，这家公司做的是消费品贸易，生意做得风生水起，年流水好几个亿，老板老张是个白手起家的典型，豪爽、讲义气，把公司当家,把员工当兄弟。
老张的口头禅是：“咱们都是一家人，互相信任最重要，搞那些条条框框干什么？”
在这家公司里，出现了一个非常奇葩的现象：采购部经理是老张的发小，掌握着全公司最大的资金支出权；仓库管理员是老张的表弟，手里握着所有货物的进出库钥匙；而财务总监呢，是个老好人，基本上就是负责“付钱”和“记账”的工具人。
大家猜猜结果怎么着？
不到三年，公司账面上的流动资金虽然看着还在转，但利润率却莫名其妙地年年下滑，直到有一天，老张急着用钱，发现账上竟然拿不出几百万现金，这才慌了神，我们介入审计后,那个结果简直触目惊心：
那个发小采购经理，长期以高于市场价20%的价格向自家小舅子的皮包公司采购原材料，吃回扣吃了上千万；那个表弟仓库管理员，里应外合，把成箱的成品当成“次品”拉出去低价变卖,中饱私囊。
最讽刺的是，因为老张强调“信任”和“效率”，财务部从来没有去核对过市场行情，也从来没有突击盘过库，所有的单据签字齐全，流程走得“顺畅”无比，但这顺畅的背后,是公司血液被一点点抽干。
这就是我想要表达的第一个人观点：内部控制管理，不是用来限制好人的，而是用来保护好人不受诱惑，同时遏制坏人作恶的。
老张错就错在把“内部控制”等同于“不信任”，内控是企业的一套免疫系统，就像咱们人体一样，你平时感觉不到免疫系统的存在，但一旦有病毒入侵，如果没有这个系统，人立马就会生病甚至死亡，企业也是一样，没有内控,贪婪的人性就会在缺乏监督的真空里疯狂滋长。
内控不是“防贼”，而是“防乱”
很多中小企业主觉得：“我也就几十号人，大家都知根知底，不需要内控。”或者认为：“内控就是防着员工偷钱。”
这种想法大错特错。
内控管理的核心目的，从来不仅仅是防舞弊（虽然这很重要），更重要的是保证经营信息的真实性，以及提高运营的效率。
举个生活中的例子,这就好比咱们家里做饭。
如果没有内控，你想做饭时发现酱油没了，盐也没了，因为没人专门负责检查库存（这就是存货管理的缺失）；或者你想买瓶醋，结果不知道家里谁刚买过，又买了一瓶回来放坏了（这就是采购流程的缺失）；又或者月底一算账，怎么这个月伙食费比上个月多了一倍？因为没人记账，也没人核对账单（这就是财务核算的缺失）。
在企业里，这种“乱”会带来巨大的隐形成本。
我之前服务过一家科技型创业公司，他们的技术大牛非常厉害，但管理一塌糊涂，研发人员需要买什么服务器、云服务，直接找老板批个字或者自己先垫付,甚至有的员工拿着个人的消费发票来报销公司的设备款。
结果年底一算，研发投入占比极高，但产出比却极低，为什么？因为资源被浪费了，有人重复申请资源,有人甚至把给家里买电脑的发票也混进来了。
当我们帮他们建立了一套简单的IT资产管理内控流程后——比如规定超过2000元的设备必须由行政部门统一采购，技术部只提需求；比如所有报销必须关联具体的项目编号——老板惊讶地发现，公司竟然节省了30%的无效研发支出。
我认为，良好的内控管理其实是一种“导航系统”。 它告诉企业在高速公路上该怎么开，不能逆行，不能超速，不是为了让你开得慢，而是为了让你能安全、快速地到达目的地。
那些让人哭笑不得的“过度内控”
说完了“没有内控”的惨痛教训，咱们再来聊聊另一个极端——“过度内控”。
这也是我作为一名审计师，经常吐槽的地方，有些大公司，特别是那种稍微有点官僚主义气息的国企或者外企，把内控做成了“形式主义”的重灾区。
我有个朋友在一家大型制造企业做销售,他跟我吐槽过一次买笔的经历。
他们公司规定，领一支笔需要填三张单子：领用申请单、物料出库单、还有费用归集单，申请单要部门经理签字，出库单要行政部签字,费用归集单要财务部审核签字。
为了领一支价值5毛钱的圆珠笔，我这位朋友楼上楼下跑了半天，找了三个人签字，大家算算这时间成本是多少？如果这时间用来跑客户,可能早就谈成几千块的订单了。
这就是典型的为了控制而控制。
内控管理有一个非常重要的原则，叫“成本效益原则”，意思是说，你为了控制风险所花费的成本,不能超过这个风险可能带来的损失。
为了防备一支笔被偷（损失0.5元），花费了销售人员半小时的工时（成本几百元），这完全是本末倒置,是典型的管理僵化。
我的个人观点是：最好的内控，是“润物细无声”的。 它应该嵌入到业务流程中去，利用系统去控制，而不是靠人肉去填表、去跑腿。
现在的ERP系统、OA系统其实都能解决很多问题，系统里设置好预算额度，预算内自动审批，预算超支才需要人工干预，这既保证了控制，又提高了效率，如果一家公司的内控还停留在“纸面签字”的阶段,那它的管理水平还停留在上个世纪。
内控的灵魂是“人”，而不是“制度”
咱们注会考试的时候，背过很多内控的要素：控制环境、风险评估、控制活动、信息与沟通、监督，这些词儿听起来很枯燥，但其实它们都指向一个核心——人。
我看过很多公司，花大价钱请咨询公司制定了厚厚的一本《内部控制手册》，放在书架上落灰，为什么？因为内控是死的，人是活的，如果执行内控的人没有那个意识,再完美的制度也是废纸。
这就好比交通规则，红绿灯设置得再科学，如果司机素质不行，照样有人闯红灯、撞车。
在企业管理中，“高层基调”决定了内控的生死。
如果老板自己带头违规，比如老板为了拿回扣，指使财务做假账，或者老板为了省税，要求两套账，那底下的员工就会看在眼里，他们会觉得：“原来规则是可以打破的，只要老板同意就行。”
一旦这种风气形成，内控体系瞬间就会崩塌，因为所有的内控最终都需要人来执行，当执行者对规则失去了敬畏之心,制度就变成了摆设。
我审计过一家家族企业，他们的制度非常完善，但每次盘点库存都会发现短缺，后来我们通过监控发现，保安队长经常在半夜私自放行货车，拉走公司的废纸板和边角料卖废品，为什么他敢这么做？因为他是老板的亲叔叔，他笃定财务部不敢查他,老板知道了也不会重罚。
我认为，内控管理的本质，是企业文化的管理。 它需要一种“正直”、“合规”的文化土壤，如果土壤是坏的，种什么树都长歪，作为管理者，与其纠结于制度条款的完美，不如先打造一个奖罚分明、规则面前人人平等的环境。
给企业的几点真心话
聊了这么多案例和观点，最后我想结合我的专业经验，给正在阅读这篇文章的企业管理者、财务同行们几点实在的建议：
别指望“一招鲜，吃遍天” 内控管理是动态的，你公司只有10个人的时候，靠“人盯人”就能控制；当你有100个人的时候，就需要简单的流程；当你有1000个人的时候，就必须依赖信息系统和复杂的授权体系。 我见过太多企业，拿着五年前的流程管现在的业务，结果要么管不住，要么把业务管死。内控必须随着业务的发展而迭代。
抓大放小，重点突破 不要试图控制所有风险，那是不可能的，也是不经济的，你要识别出哪些是你的“致命风险”。 对于一家贸易公司，资金安全和存货安全是命脉，这上面要死磕；对于一家互联网公司，数据安全和知识产权是命脉，这上面要投入重兵，至于像办公用品领用这种小事，简化一点，给员工一点信任和自由,反而能提升士气。
让业务部门参与进来 很多内控制度是财务部在办公室里拍脑袋想出来的，结果拿到业务部门去，人家根本不买账，觉得你不懂业务。 最好的内控流程，是业务部门和财务部门一起坐下来吵出来的，业务说我要效率，财务说我要安全，双方妥协后的产物，往往才是最落地的方案。千万不要让内控变成财务部和业务部的对立面。
利用技术手段 现在都数字化时代了，能上系统的尽量上系统，系统控制比人工控制更客观、更冷酷、也更有效，系统设置“不相容职务分离”，制单的人和审核的人必须是不同账号，系统如果不通过就保存不了,这比任何口头警告都管用。
写到这里，我想起了一句老话：“企业做大靠运气，做强靠管理，做长靠文化。”
内部控制管理，看似是管钱、管物，实则是管人心、管风险，它不是一套冷冰冰的枷锁,而是一套让企业这台复杂机器能够平稳运转的润滑剂和刹车片。
作为从业者，我们既要看到内控在防范舞弊、保证数据质量上的刚性需求,也要警惕它可能带来的官僚主义和效率损耗。
内部控制管理的最高境界，应该是“无为而治”。 当规则已经内化为员工的习惯，当风险防范已经成为大家的潜意识，当每一个业务动作在发生的同时就已经被系统自动记录和校验，那时候，我们或许就不再需要刻意强调“内控”这两个字了。
希望这篇文章能让你对内部控制管理有一个新的认识，别让流程变成枷锁,要让内控成为企业长跑路上最坚实的护盾。
咱们下期再见！
还没有评论，来说两句吧...