企业内部控制的十大谣言与真相
作者：冯萌博士
近期与一位同行聊天，听到他颇为忧虑地感慨“目前企业和社会上对内部控制的认识存在重大误解，内控人员不仅业务难做，而且似乎很不遭人待见”。我不禁回忆了一下以往与客户的沟通，确实感到不仅交流存在困难，而且还与客户缺乏“共同语言”，大家对内控本身有太多形形色色的看法和情绪。在此，笔者就多年以来在培训与咨询执行过程中遭遇的各类关于内部控制的谣言做一粗略归纳与解读——事实上，这些谣言已经对我国内控工作的开展造成了极大困扰。笔者借用一句网络流行语，“如果再不澄清这些谣言，内控就要被玩坏了！”
谣言1：“内部控制就是领导审核与签字。”
谣言危害性：★★★★★
谣言分析：在内控体系中，“领导签字”可能是最容易被观察到的现象。在追求管理形式而非管理实质的企业文化氛围里，特别是当企业设置了大量不恰当的审核要求、同时审核过程流于形式导致签字之后企业仍然出现问题时，内控体系很容易被异化为“就是领导签字”。这种谣言会对企业内控产生非常不利的影响，具体表现为：1）加剧内控措施形式化倾向，导致企业普遍视内控为一种官僚机制；2）将所有内控管理责任归结至签字领导，阻碍企业内各部门/岗位“各司其职、各负其责”的实现。
辟谣与真相：一方面，审核只是内控完整框架中非常细节的一项具体控制活动，而签字也不过是这项控制活动的一种表现形式而已；另一方面，只有签字人真正有效地履行审核责任，才能达成有效的管理结果。只有将得到有效设计的审核程序与具备专业能力和责任心的签字人结合起来，同时配合相关的其他管理措施，才能实现内控管理形式与实质的统一。
谣言2：“内部控制就是一堆打印的制度。”
谣言危害性：★★★★★
谣言分析：做完制度流程，打印出来锁在档案柜里，内控工作就算完成了；除了应付检查，对企业实际管理不产生任何影响——这不仅让内控要求形同虚设，而且还会让企业成员普遍形成“制度可以是闹着玩的”严重错误认识。
辟谣与真相：内控要求只有制度化，才能确保其严肃性和可传承性。内控制度的编制过程应该是体现风险评估、内控措施制定、实施与监督改进的完整管理闭环。制度文档是内控要求的外在形式，其内核在于企业各部门、岗位落到实处的具体管理活动。总之，内控制度与任何规章制度一样，你真正用它，它就能为你创造价值；你不用它，还真就是一堆废纸。
谣言3：“内部控制就是固定的流程、步骤和表单。”
谣言危害性：★★★★★
.谣言分析：在内控体系中，经过预先设定的流程、步骤和表单，往往以管理制度的方式体现，这是内控体系非常突出的特征。但如果仅仅将注意力集中于这些内容，则会产生一类错误理解，即内部控制就是制定好的流程、步骤和表单，只要表单填写完整，完全按照步骤执行就万事大吉；如果内控最终执行效果不好，则一定是流程、步骤和表单有问题。这种谣言基本上把内部控制与机械化的管理划上了等号，一方面严重忽略了管理过程中人的因素，另一方面忽略了内控体系的动态性和灵活性。
辟谣与真相：有形化的流程、步骤和表单是为了实现相对无形的管理实质。为了实现这一点，必须：1）任何流程、步骤和表单，都需要合适的人来执行，执行人员的个人专业判断不可能也不应被完全取代。所谓“没有规矩、不成方圆”，但“匠无才，有规有矩，亦不成方圆”；2）任何流程、步骤和表单的执行效果，都需要建立有效的执行监督体系来予以检验与监督；3）任何流程、步骤和表单的设计有效性，需要进行持续评价和改进。
谣言4：“内部控制就是反舞弊。”
谣言危害性：★★★
谣言分析： 在职业舞弊屡见不鲜的当下，不难理解内部控制总是和舞弊联系起来。但如果说内部控制就是反舞弊，则是一种会产生较大负面作用的片面理解。一方面，会导致企业严重忽视除舞弊以外的其他风险；另一方面，会对企业内控体系搭建造成很大的意愿阻碍。
辟谣与真相： 内控体系所要应对的风险涵盖合规、运营、报告等多个层面，涉及企业经营的各个领域，而舞弊风险只是其中非常特殊的一个组成部分。同时，常规的内控措施对职业舞弊往往是失效的，如企业经评估需要应对舞弊风险，则应该制定专门的、有针对性的反舞弊机制。开个玩笑，如果内部控制仅仅是为了反舞弊，那么就不该将其设置为商科专业，不如考虑放在犯罪学专业更合适。
谣言5：“内部控制是为了合规。”
谣言危害性：★★★★
谣言分析：随着美国萨班斯法案、我国五部委内控规范体系等政府法规的出台，众多企业迫于合规压力或者受到法规引导，开始着手搭建其自身的内控体系。在这样的背景下，将合规作为内控建设的唯一目标，成为很多企业的一种共识。这种认识的不良后果包括：视内控建设为一种合规“成本”；追求达到合规条款所规定的各种形式要求，而不考虑企业自身实际情况，进而忽视内控体系的真实管理效果。
辟谣与真相：合规是企业市场经营的“底线”，而内控体系所需达成的重要目标同时包括战略、运营和报告诸多内容。应该搭建怎样的内控体系，取决于企业面临怎样的风险，其最根本的落脚点是为企业实际经营服务。正好比，个人坚持锻炼保持身体健康，绝对不仅仅是为了找工作时可以顺利通过单位体检；搭建内控是为了企业的健康发展，而不仅仅为了达到外部法规的条条框框。
.
谣言6：“内部控制会削减老板权力。”
谣言危害性：★★★
谣言分析：在内控体系中，一个非常重要的基础结构即为授权体系。授权体系意味着在实际操作过程中，有一些决策需要由老板之外的人做出。因此，建立内控体系往往被理解为对老板的一种权力剥夺。这种谣言会导致企业实际控制人对内控体系的抵触。
辟谣与真相：毫无疑问，企业的最终权力在老板手中。但是，为了实现有效的企业管理，必须建立基于授权和转授权的体系。原因是：老板精力有限，且应关注战略制定等重大/长期事项。因此，无论是否建立内控体系，实现绝对集权是不可能的。既然授权不可避免，建立内控体系恰恰可以帮助企业建立更加清晰、规范的授权体系，并且同时维持老板的决策影响。因此，在内控体系下：1）所有授权围绕战略展开；2）所有授权并非孤立事项，围绕授权将建立基于职责划分的牵制体系；3）老板保留监督权及考核奖惩权。鱼与熊掌不能兼得，所有权与经营权的适当分离不可回避，而有效的内控体系是为了更加高效地实现并利用这样的分离。
谣言7：“内部控制影响业务执行效率。”
谣言危害性：★★★★★
谣言分析：内控体系从无到有，就具体的工作而言，往往体现了工作程序的调整或增加，可能导致特定部门/岗位的工作事项增加或性质改变，而这通常意味着特定工作人员工作负担的增加。在这种情况下，出现诸如“内控体系太麻烦！”、“内控体系影响效率！”的抱怨，非常正常。这条谣言，可能在整体上将内控体系“负面化”，动摇内控体系的企业文化基础，对实施效果产生巨大的消极影响。
辟谣与真相：如果对内控体系的特点稍加分析，就能发现上述观点是非常片面的。1）所谓“磨刀不误砍柴工”，内控体系中的计划及其他事前准备工作要求，可以更加有效地协调企业资源、提高长期内的工作效率；2）内控体系中的各项控制措施，其设立宗旨就在于减少企业的各项损失，这些损失既可能体现为经济损失，也可以体现为效率损失（如各种“返工”所徒增的工作时间。当然，在抱怨内控体系影响效率的人眼里，这些成本通常是不纳入考虑范围的）；3）内控体系仅针对经过风险评估、认定需要进行控制的事项实施控制；在一个健康的内控体系中，被认定为仅仅影响效率、没有收益的控制活动，将会被及时清理；4）内控体系关注的是企业整体的、长期内的效率，孤立部门/岗位抱怨其自身工作效率受到影响，很可能是一种“只见树木不见森林”的狭隘观点。正好比，绿灯变成红灯，对于刚刚减速停下的车辆而言，确实耽误了司机的时间，但如果没有红绿灯，整个城市的交通必定陷入瘫痪；同理，内控体系关注的是企业整体及长期内的整体效率，而不是孤立部门/岗位的短期效率。
谣言8：“内部控制就是为了管人。”
谣言危害性：★★★
谣言分析：内控体系的建立，必然伴随着对特定人员的行为限制以及配套的监督，这会给企业人员“我是不是不被信任？”“这些制度是不是为了管我？”的感受。这条谣言可能导致企业各级成员对内控体系的内心抵触。
辟谣与真相：应该说，这种说法之所以是谣言，在于其故意混淆了手段和结果。内控体系的确需要对人（特别是关键岗位人员）的行为进行约束，但这种约束本身不是目的——通过对人员进行行为约束进而控制企业的重大风险，才是真实目的。在职业舞弊案高发的社会环境下，遵守规则、接受监督，实现对人行为的有效约束，既是对企业有效运行的保证，也是对企业成员个人本身的切实保护。
谣言9：“内部控制净管些鸡毛蒜皮的事情。”
谣言危害性：★★★★
谣言分析：一方面，在企业实施内部控制的过程中，很多部门/岗位可能并未理解某些具体控制要求的控制目的；另一方面，一些企业由于风险评估活动缺失、管理官僚化等原因，对一些不重要的事项常常过度控制（如任何费用开支不论金额大小一律需要总裁签批）。上述原因可能会让企业成员认为内控体系没有关注重点，从而对内控体系的实施产生明显的负面影响。
辟谣与真相：内部控制本身与“鸡毛蒜皮”本身应该是格格不入的，如果内控体系被戴上“鸡毛蒜皮”的帽子，则无外乎在如下两个方面出了问题：1）是不是鸡毛蒜皮，要站在企业整体层面，用长远的战略视角进行判断。在特定部门/岗位看来鸡毛蒜皮的事情，对于企业可能意味着重大风险；在当前看来是鸡毛蒜皮的事情，在长期来看可能意味着重大风险（在岁月号沉没之前，将货物在货仓甲板有效固定，一定也是被当事游船公司当作“鸡毛蒜皮”的事情吧！）。2）如果确实是鸡毛蒜皮的事情，则要么是风险评估环节出现了问题，要么是经营环境发生了变化，那就应该对控制措施进行及时调整。“合理规划，突出重点，合理分配管理资源”是任何管理活动的基本法则，通过科学、客观的评估识别并剔除“鸡毛蒜皮”的事项，本来就是内部控制的基本要义。
谣言10：“只有那些大企业才需要内部控制。”
谣言危害性：★★★
谣言分析：一般而言，规模较大的成熟企业内控体系更加体系化规范化，并且受到更多人的关注。因此，很多人会产生这样的误解：只有大企业才需要搞内部控制，规模小的企业就没有必要了。
辟谣与真相：如COSO框架所提出的，任何组织，无论规模大小，都需要建立与自身特征相匹配的内控体系。理由包括：1）内部控制关注的是响应风险，企业只要面临需要管理的风险，都需要采取一定控制措施（煎饼摊老板收钱会仔细检查一下是否是伪钞，就是典型的内控程序），尽管在不同规模不同成熟度的企业，会体现出不同的特点；2）任何企业的内控体系搭建，都会体现为一个从粗糙到细致、从单线条到系统化的发展过程。正好比，无论什么身材都需要衣服，我们应该关注的是如何做到量体裁衣；无论规模大小，只要是企业都需要一定的内部控制制度，我们应该关注的是如何让内部控制从根本上符合企业特征、满足企业需要。
结语：
内部控制是围绕企业整体战略而建立、用于解决实际经营问题的管理体系，内部控制本身不应成为一个“问题”。上述谣言对中国企业提升自身管理水平已产生巨大危害，企业高层要对上述谣言的特点、影响和真相形成清醒认识，建立健康的内控体系，为企业的有效运营保驾护航。
围绕内部控制主题，除了本文已阐述的谣言，业界还存在诸如如下的各种谣言，将另文探讨。
o “内部控制是审计部门的事”、“内部控制是财务部门的事”、“内部控制与业务部门没有关系”；
o “风险根本就是无法进行管理的，内控没有必要”；
o “出了问题，是内控部门的责任”；
o “内部控制就是内部审计”；
o “内控是一套独立的管理的制度”。
（上海阅洲咨询执行合伙人张烨星先生对本文亦有贡献。）
转载自：阅洲内控与风险管理
新书速递
复旦大学李若山教授作序推荐，凝聚冯萌博士近二十年内控从业经验，系统阐明企业内控原理与实操！
内控公开课 报名通道现已开启！
主题：企业风险管理、内部控制与合规遵循实务
时间/地点：2021年10月30日~31日/上海
讲师：冯萌博士
助您高效完成风险管理、内部控制与合规工作，掌握工作必备技能！
具体可私信