作为一名在注会行业摸爬滚打多年的“老司机”，我见过太多企业的兴衰更替，一家企业的崩塌并非因为市场不好，也不是因为技术落后，仅仅是因为“后院起火”——一颗螺丝钉的松动导致了整台机器的解体。
我想和大家聊聊《企业内部控制基本规范》及其配套指引，也就是我们常说的“内控指引”。
说实话,一听到“内控指引”这个词，很多老板和管理者的第一反应是皱眉头，在他们眼里，这玩意儿意味着厚厚的文件、繁琐的审批流程、做不完的底稿，以及审计师们冷冰冰的质询，但我更愿意把内控指引比作企业的“免疫系统”，当你身体健康时，你感觉不到免疫系统的存在，甚至觉得它有些碍事；但一旦病毒入侵，如果没有这个系统，后果往往是致命的。
我们就抛开那些晦涩的法条,用最接地气的方式，聊聊内控指引到底该怎么看，又该怎么用。
所谓的“指引”，不是紧箍咒，而是导航仪
我们得达成一个共识：财政部等五部委联合发布的《企业内部控制基本规范》和18项应用指引，绝对不是用来专门折磨企业财务人员的。
在实务中,我遇到过一家中型制造企业的老板，老张，老张是个实干家，白手起家，公司做到年产值五个亿，他对“内控”这两个字深恶痛绝，每次我去审计，他都跟我抱怨：“你们搞的内控，就是要把我的手脚捆起来，买个螺丝都要填三个单子，签五个字，生意还做不做了？”
老张的误解很典型,他把内控当成了“紧箍咒”。
内控指引的本质是一套“最佳实践的导航仪”，它总结了无数企业用血的教训换来的经验，采购业务指引》告诉你请购、审批、购买、验收、付款这几个环节必须分离；《资金活动指引》告诉你资金支付的审批权限必须明确。
如果老张能理解这一点,他就会明白，内控并不是为了阻止他买螺丝，而是为了防止采购经理拿着他的钱去给亲戚的空壳公司付款，或者防止仓库收了一堆石头却签收了钢材。
我的观点是： 内控指引的存在，是为了让企业在高速公路上行驶时，既不超速（合规），也不翻车（风险），更不会迷路（效率），如果你觉得它束缚了你，很可能是因为你穿错了尺码，或者根本没看懂地图。
那些令人唏嘘的“失控”现场
为了让大家更有体感,我来讲两个真实发生过的故事（细节已做脱敏处理），看看当内控指引被忽视时，现实会给你多么响亮的一记耳光。
消失的“库存”
有一年,我去一家商贸公司做年报审计，这家公司做快消品批发，生意红火，按照《存货管理指引》，企业应当定期盘点存货，且确保账实相符。
但在现场,我发现了一个奇怪的现象：他们的仓库账面永远是平的，而且毛利率非常稳定，这太完美了，完美得让人起疑，于是我要求突击盘点。
结果不查不知道,一查吓一跳，仓库里实际有的货，比账面上少了整整30%！
原来,这家公司的销售总监和仓库主管是“铁哥们”，他们搞了个默契：销售总监私下接单，让仓库主管直接发货，不入系统，也不开票，货款直接打到销售总监的私人账户，等到年底，为了掩盖库存短缺，他们又伪造了一堆入库单，把账面库存补平。
这就是典型的内控失效,如果他们遵循了《销售业务指引》中的“确保销售、发货、收款等各个环节的职责分离”，或者严格执行了《存货管理指引》中的“盘点制度”，这个窟窿根本不可能存在。
这个窟窿导致了公司资金链断裂,老板辛辛苦苦打拼十年的基业，因为缺乏基本的内控，被内部蛀虫掏空了。
被“绑架”的公章
另一个案例发生在一家拟上市公司,他们正在准备IPO，流程走得热火朝天，就在上市前夕，公司被起诉了，理由是违规担保。
原来,这家公司的董事长为了帮朋友周转资金，私自拿公司的公章，在朋友的借款合同上盖了章，做了连带责任担保，按照《担保业务指引》，重大担保业务必须经过董事会或者股东大会的集体审议，并且要进行风险评估。
但在那个公司,公章就放在董事长的办公桌抽屉里，谁要用，说一声就拿走了，结果呢？朋友跑路了，债主找上门来，公司面临巨额赔偿，IPO直接黄了。
你看,内控指引里要求的“印章保管与使用分离”，看似是个不起眼的小规定，关键时刻却能救命。
内控指引落地：别搞“形式主义”，要抓“关键点”
很多企业确实做了内控,他们花大价钱请咨询公司，印了精美的《内控手册》，人手一册，但如果你随便翻开一本，你会发现里面的流程图画得比迷宫还复杂，签字节点密密麻麻。
这种内控,我称之为“花瓶内控”。
生活实例： 我曾经在一家国企看到过一个报销流程，员工出差报销，需要经过：经办人->部门经理->分管副总->财务专员->财务经理->财务总监->总经理->董事长，如果涉及跨部门，还得加签。 结果就是，为了报销300块钱的差旅费，单子在财务部门口的篮子里躺了两个月，员工怨声载道，最后大家想了个招：能不出差就不出差，或者干脆虚报费用来弥补“时间成本”。
这完全违背了内控的初衷,内控指引强调的是“重要性原则”和“成本效益原则”。
我的观点是： 好的内控，应该是“润物细无声”的。
- 抓大放小： 对于几百万的合同，当然要上会讨论，严查资质；但对于几百块的办公用品，能不能实行“定额包干”或者“网上商城直采”？别把大炮用来打蚊子。
- 嵌入业务： 别让内控成为业务部门的累赘，最好的控制是设计在系统里的，ERP系统里设置好，没有预算就不能生成采购订单，这比让人工去审核单据有效得多，也没人敢得罪系统。
人的因素：不要去考验人性
在内控指引的五大要素中,排在第一位的是“内部环境”，而内部环境的核心，是“人”。
我常说一句话：制度是死的，人是活的。 再完美的内控指引，如果执行的人有问题，一切都是零。
有一家家族企业,老板把财务大权交给了自己的小舅子，老板觉得，自家人最放心，不需要什么内控，也不需要什么职责分离，出纳和会计都是小舅子一个人说了算。
结果呢？小舅子沉迷网络赌博，刚开始只是挪用几千块，想着赢了就补上，后来越陷越深，挪用的金额从几千变成了几千万，因为缺乏制衡，直到公司账户发不出工资了，老板才发现真相。
老板哭着跟我说：“他是我亲小舅子啊！”
这就是人性的弱点,在巨大的利益或诱惑面前，亲情、友情往往不堪一击。
内控指引中反复强调的“不相容职务分离”，其底层逻辑就是：不要去考验人性，人性是经不起考验的。 我们要建立一种机制，让坏人即使想做坏事，也因为缺乏作案条件（比如没有印章，没有权限，或者立刻会被发现）而做不成，这就是对好人最大的保护，也是对老板最大的负责。
技术赋能：内控指引的新时代
作为注会,我也必须谈谈趋势，现在的内控指引，已经不再是简单的纸质文档了。
随着数字化转型的深入,内控正在变得越来越“看不见”。
以前我们查内控,是翻阅纸质凭证，看签字是否齐全。 现在我们查内控，是看系统的日志，看权限的配置，看数据的勾稽关系。
举个例子,现在的《资金活动指引》要求企业对大额支付进行监控，在传统模式下，这需要出纳一笔笔核对，但在数字化环境下，系统可以自动抓取银行流水，与ERP中的付款记录实时比对，一旦出现金额不符、收款人不明，系统立刻给财务总监和老板的手机发报警短信。
这就是“智能内控”。
我的观点是： 未来的企业，如果不把内控指引嵌入到IT系统中，那将寸步难行，人工控制的成本越来越高，且容易出错；而系统控制一旦设定好，它不眠不休，不徇私情，效率极高，企业应该把更多的资源投入到ERP系统的优化和内控模块的数字化建设上，而不是花在让员工填更多的表上。
写在最后：内控是一种修行
聊了这么多,我想总结一下。
内控指引,不是财政部发给企业的“作业”，而是企业为了生存自己必须修炼的“内功”。
它不是财务部一个部门的事,而是从董事会到每一个基层员工的事。 它不是一成不变的僵化教条，而是随着业务发展不断进化的生命体。
对于企业的管理者来说,当你拿到那本厚厚的内控指引时，请不要把它束之高阁，试着去理解它的逻辑，结合自己企业的业务流程，去裁剪，去适配，去落地。
哪怕你今天只做了一点点改进：比如把保管公章和保管法人章的人分开了；比如给仓库加了一把锁，规定领料必须签字；比如规定老板自己也不能随便从公司拿钱去消费。
这些微小的改变,都是在为企业的生命线加固。
在这个充满不确定性的商业世界里,我们无法控制外部的风浪，但至少我们可以通过内控指引，打造一艘坚固的船，确保无论风浪多大，船底的舱板都不会漏水。
这就是内控的价值,也是我们作为专业人士，一直想要传递给每一个企业的信念，希望每一位读者都能从今天的文章中，找到一点点启发，去审视自己身边的管理漏洞。
毕竟,只有活下去，才有资格谈发展，而内控，就是那个让你活下去的隐形守护者。
还没有评论，来说两句吧...