作为一名在注册会计师行业摸爬滚打多年的“老兵”，我见过太多企业的起起落落，在这些企业的档案柜里，往往堆叠着厚厚的一摞文件，封面上赫然写着五个大字——“内部控制评价”。
对于很多企业管理者来说,这五个字可能意味着一场每年的例行公事，意味着要应付监管机构的检查，或者是为了审计报告上那一句“无重大缺陷”的漂亮话，但在我看来，企业内部控制评价绝不仅仅是一份需要被打包归档的“体检报告”，如果它最终变成了废纸，那这家企业的“健康”恐怕真的出了大问题。
我想抛开那些晦涩难懂的专业术语,用咱们平时唠嗑的方式，聊聊这个话题，我会结合我亲身经历的故事，还有咱们生活中的例子，来谈谈为什么内控评价如此重要，以及为什么我认为它必须“动真格”。
别把内控评价当成“走过场”：一个令人唏嘘的真实案例
先讲个故事吧,几年前，我参与过一家中型制造企业的年报审计，这家企业当时正处于扩张期，表面上风光无限，订单排到了明年，按照流程，我们首先要看他们的《内部控制评价报告》。
那是一份制作精美的报告,洋洋洒洒几十页，从控制环境到风险评估，从控制活动到信息与沟通，每一个模块都写得完美无缺，结论是“内部控制有效，不存在重大缺陷”，就在审计进行到一半时，我们发现了一个致命的问题：他们的存货账实严重不符。
进一步追查下去,原因让人大跌眼镜，原来，这家公司的仓库保管员和采购经理是亲兄弟，两人联手做假账，虚报采购数量，然后把多出来的材料偷偷运出去变卖，而所谓的“定期盘点”、“职责分离”这些写在纸上的控制措施，实际上从未真正执行过。
那个企业的老板拿着那份完美的内控评价报告,手都在抖，他问我：“为什么报告上说没问题，钱却没了？”
我的回答很直接：“因为您的评价是‘写’出来的，不是‘做’出来的。”
这就是我对内控评价的第一个观点：如果评价缺乏独立性，仅仅是为了粉饰太平，那它就是企业最大的风险源。 很多企业把内控评价当成一种自我吹嘘的工具，甚至当成一种“免责金牌”，以为有了报告就万事大吉，殊不知，内控评价的本意是“找茬”，而不是“贴金”。
生活中的“内控”：从家庭装修看控制的重要性
为了让大家更好地理解什么是内控评价,咱们不妨把目光从企业移到生活，咱们每个人在生活中都在做“内控”，只是没给它贴上这个标签。
举个最常见的例子——家庭装修。
假设你手里有30万预算,要装修新房，这就是你的“经营目标”，为了达成这个目标，你肯定会不自觉地建立一套“内部控制”：
- 职责分离： 你负责管钱，你老婆负责选材，工头负责施工，如果你既管钱又直接买材料，那谁知道你会不会从中捞一笔私房钱？
- 授权审批： 超过5000元的支出，必须夫妻双方签字确认，这就是“授权审批控制”。
- 实物盘点： 油漆买了几桶，瓷砖贴了多少块，最后得去现场数一数，这就是“财产保护控制”。
- 内部监督： 你老婆偶尔会突击检查工地，看工人有没有偷懒，这就是“内部监督”。
什么是“内控评价”呢？
装修结束后,你坐在沙发上，看着满屋子的狼藉或者成果，开始复盘：“这次装修，虽然预算控制住了，但是因为我没去现场盯着，导致卫生间防水没做好，这就是个重大缺陷。”或者，“因为我太信任工头，没验收就付了尾款，导致他后来跑路了，这是控制活动的失效。”
这个过程,就是内控评价。
你看,如果在这个家庭装修的例子里，你假装评价：“哎呀，我们家装修控制得完美无缺，防水做得特别好（其实还没做）”，那等到入住后楼下找上门来索赔的时候，你就傻眼了。
企业也是一样。 内控评价就是那个在装修结束后，冷静下来拿着放大镜找漏水点、找裂缝的人，如果你假装看不见裂缝，那房子迟早会塌。
我的个人观点：内控评价的核心是“管理人性”
在行业内待久了,我越来越深刻地意识到，所有的制度、流程、系统，最终面对的都是“人”。我认为，企业内部控制评价的本质，不是评价流程的完美度，而是评价对“人性弱点”的防御力。
人性有什么弱点？贪婪、懒惰、侥幸心理、过度自信。
我在做咨询时,经常听到老板们抱怨：“制度我都定好了，流程图也挂墙上了，为什么员工就是不执行？”
这时候,我会问他们一个问题：“如果员工违反了流程，能给他带来巨大的利益，且被发现的概率极低，你觉得他会怎么做？”
这就是内控评价需要关注的核心。
记得有一次,我们去一家上市公司评价他们的销售收款循环，他们的制度规定：销售人员不得经手现金，所有货款必须汇入公司公户，听起来很完美，对吧？
当我们去走访偏远地区的经销商时,发现了一个潜规则，为了方便，也为了拿点额外的返点，很多经销商会把现金直接交给销售员，销售员再存入自己的私人账户，过几个月凑够数了再转给公司。
在这个过程中,公司的银行流水看着是平的，账也是对的，但这里隐藏着巨大的风险：销售员可能会挪用这笔钱去炒股、赌博，一旦亏损，就是公司的坏账。
在评价报告中,我们并没有简单地写“制度未执行”，而是指出了更深层次的问题：“控制环境忽视了人性中的侥幸心理，且缺乏对非经常性资金往来的监控。”
我的观点很明确：好的内控评价，必须是有“刺”的。 它必须敢于刺破那些看似合理的表象，去触碰那些敏感的利益链条和人性漏洞，如果一份评价报告读起来四平八稳，全是“执行良好”，那它一定是一份失败的报告。
告别“教条主义”：如何让内控评价真正落地
现在很多企业的内控评价,太过于依赖教科书上的COSO框架，太过于追求形式上的合规，填表格、打勾、穿行测试……大家忙得不亦乐乎，最后却不知道自己在忙什么。
我认为,要让内控评价真正有价值，必须做到以下三点：
把评价当成“管理诊断”，而不是“合规作业”
不要为了评价而评价,内控评价应该是管理层自我审视的一个契机。
举个例子,有一家互联网公司，我们在做内控评价时发现，他们的服务器采购流程非常繁琐，需要经过七八个部门审批，导致研发部门经常因为等服务器而延误上线时间。
按照传统的内控标准,这叫“审批流程冗余，效率低下”，但我们没有仅仅停留在指出问题上，而是进一步分析：为什么会有这么多审批？是因为以前出现过采购吃回扣的问题。
我们在评价建议中提出：既然公司已经建立了公开透明的电子采购竞价平台，完全可以削减审批环节，改为“事后审计”和“价格预警”。
内控评价不仅要发现问题，还要提出解决问题的管理建议。 它应该是企业优化的助推器，而不是阻碍业务的绊脚石。
关注“实质重于形式”
我在审计中见过太多“形式完美”的假象。
有一家公司,为了证明自己有“完善的合同审批流程”，拿出了几百份合同，每份上面都有五个领导的签字，笔迹颜色都不一样，乍一看，控制得真好。
但当我们随机拨通几个客户的电话,询问合同细节时，发现有些合同根本没执行，或者金额被篡改过，原来，那些领导签字都是在周末集中补签的，根本没看内容。
这就是典型的“形式重于实质”。
我认为，内控评价必须穿透纸面。 评价人员不能只坐在办公室看文档，必须去现场，去仓库，去生产线，和一线员工聊天，你要看仓库的物料是不是真的在架子上，要看废料处理是不是真的有人监督，只有脚下沾满泥土，评价报告才能有分量。
建立“容错”与“纠错”机制
这一点可能有点反直觉,很多人认为内控就是为了“抓坏人”，但在我看来，内控评价更应该是一种“保护机制”。
如果员工因为执行了内控流程而导致工作效率降低,或者因为不敢担责而变得僵化，那这个内控也是有问题的。
我曾经服务过一家国企,他们的报销制度严格到令人发指：哪怕是一张几十块钱的打车票，如果发票上的抬头少了一个字，或者日期模糊了一点，都会被财务退回，结果呢？业务员为了报销，把大量时间花在贴发票和找票上，甚至为了合规去买假发票。
在评价时,我们直言不讳地指出：“这种过度的控制，实际上是在逼良为娼。”
真正的内控评价,应该评价控制成本与控制收益是否匹配，如果为了防止几块钱的损失，却造成了几万块的效率损失，那就是本末倒置。
让内控评价成为企业的“免疫系统”
写到这里,我想起了一句老话：“上医治未病。”
企业内部控制评价,就是企业的“上医”，它不应该是在企业生病后才来开药的医生，而应该在平时就负责监测身体各项指标，发现潜在的病毒，并调动免疫系统将其消灭。
作为一名注会行业的从业者,我深知写好一份内控评价报告的不易，它需要专业的知识，更需要敏锐的洞察力和正直的职业操守。
我不希望看到企业内部控制评价变成一种“例行公事”的敷衍，也不希望它变成束之高阁的文件。
我真心希望，每一个企业的管理者都能重视这份评价。 当你拿到评价报告时，不要只看那个结论是“有效”还是“无效”，请仔细看看那些描述缺陷的文字，因为那里藏着企业未来的隐患。
完美的内控是不存在的,因为人性是复杂的，但通过不断的评价、发现、整改，我们可以让企业这艘大船在风浪中航行得更稳、更远。
我想对所有从事内控工作的同行们说一句：我们的笔下，有企业的生死，有员工的饭碗，请保持那份职业怀疑，请坚持那份独立客观，哪怕有时候会得罪人，哪怕有时候会被误解，但只要能帮企业堵住一个漏洞，挽回一笔损失，我们的工作就是有意义的。
别让内控评价成为废纸,让它成为企业最坚实的护盾，这就是我，一个注会老兵的肺腑之言。
还没有评论，来说两句吧...