企业员工时常把“内控”一词挂在嘴边，看似大家都对其颇为了解，实际上对内控有专业深入理解的人寥寥无几。那么，究竟什么是真正的内控？

文｜陶小江

内部控制   内控制度   管理制度   管理流程   管理信息化   IPO

       笔者在上市辅导咨询工作中，遇到的高频词汇之一就是“内控”。上交所和深交所对IPO企业的发行条件中均有明确且硬性的规定，即企业内部控制制度健全且被有效执行，会计师事务所需要对企业内控出具无保留意见的鉴证报告。所以咨询机构、上市审计的会计师事务所、保荐机构、准备上市的企业员工等无时不刻不把内控一词挂嘴边，内控成了“皇帝的新装”，大家都假装懂得内控，看似对其颇为了解，可中小企业中绝大多数人（包括管理者）对内控有专业深入理解的寥寥无几。
       要想顺利推进企业的内部控制建设，有必要对企业全体人员或者参与企业内控建设的人员进行内控概念培训，使大家从理念上认知和认同内控，全面和深入地理解其对企业的必要性和作用，建立切合时宜并能够实现高效运行、成本节约、创造利润和风险管控的组织结构和流程，而且能在各业务环节、各部门、各岗位工作中得到落实。以下是笔者对内控的理解。

一、内控水平差的企业不宜直接用管理软件
       内控即“管理制度化—制度流程化—流程信息化”（如下页图1所示）。内控要有标准，而不是管理者随意决定和改变，因此应制定内控管理制度予以约束；要想使员工自觉地执行管理制度以及形成管理工具，明确分工、授权和职责，就要将制度细化为管理流程；管理流程确定后，便要确保流程得以严格执行，不能因为人情、惰性等更改或略过任意环节。严格执行管理流程意味着需要更多的时间和人力成本，特别是在跨部门、跨地域的工作流程化后，企业所需的时间和人工成本更高。如何在固化流程的同时提高执行效率，节约人工成本，就需要把员工的一些工作交给软件运行，比如ERP软件、CRM软件等。

       既然信息化管理软件可以锁定内控管理流程以及提高管理效率，那是不是内控水平差的企业直接用管理软件，按管理软件中的流程执行就可以了？当然不是，有以下三个原因：一是“管理制度化—制度流程化—流程信息化”三者是递进关系，如果企业没有形成内控管理制度和流程，管理层和员工便不知道管理的标准，对于如何正确开展各岗位工作，如何执行、设置或设计管理软件中的流程更会毫无头绪。二是每家企业都是一个特有的组织生态系统，管理环境各不相同，管理软件中固有的标准化流程并不一定适合所有企业。三是企业不应该以强行切合软件中的固定流程为出发点来建立管理流程，而应该以寻找和建立切合企业现状的管理流程为目标，去选择甚至设计开发软件。
       如果在企业的管理流程化不完善时直接用管理软件的话，要么大家不理解软件中的流程而应付了事，要么为了利用管理软件而进行并不适合企业的管理流程，大家疲于完成软件中设置的工作，不但没有达到效果，反而影响工作进度。比如笔者接触的中小企业中，不少企业购买的信息化管理软件只被当成业务数据记录和统计软件，其流程化管理、数据分析、支持有效决策、去人工化的效用均没有得到发挥。甚至有企业因为上线的ERP系统中没有换货流程，在客户需要换货的情况下无法操作，只能走退货流程后重新下订单，这些操作使工作效率大打折扣。
       流程信息化是企业内控管理的最后一步。信息化管理软件本身并不能提高企业的内控水平，管理软件只是流程化的载体，而内控水平取决于企业管理制度和流程化的完善与否。企业达到了一定的管理水平后再采用软件固化管理流程，才能实现管理与软件的结合，发挥软件在管理中的最大效用，不能本末倒置。就好比只有武功高强的人才能驾驭绝世兵器，而不是有了绝世兵器就能够提高武功。所以企业在进行内控建设时，如果不具备建立内控体系的能力，应先请企业管理咨询师帮助企业建立管理制度和流程，然后再用软件辅助工作。管理咨询提供的是解决方案，软件是解决方案的工具。

二、内控制度应适合企业现状
       任何规模和管理水平的企业均可以做好内控。内控制度不是一成不变的，有效内控的标准就是在企业的每个发展阶段，有适合其现状的内控管理，即内控要适应企业的规模、特征和发展阶段，考虑必要性、实用性、适应性和经济性，从而找到适合自身企业的内控标准。比如，不是每家企业都适合花费高额成本用ERP系统，一个功能简单的廉价会计做账软件也可以做好供应链管理、会计核算和财务管理，在家庭企业用信得过的家人朋友做财务负责人也是有效内控。
       企业内控可以划分为两个层次，一个是微观导向的具体业务基本工作流程，另一个是宏观导向的企业自上而下的组织架构设计和岗位定责。前者是企业内控的血肉，后者是骨架，二者融为一体才是完整的企业内控。因为在企业发展中，管理逐渐由粗放化向精细化演变。在管理粗放化阶段，先建立具体业务的工作流程，因为它更合时宜且具有灵活性。比如项目组可以制订项目实施方案、计划、预算，编制阶段性进度报告、质量报告、预算执行偏差分析报告，与客户对接、编制决算报告，项目交付后获得客户反馈、进行项目文件档案管理等流程，不用单独设置专门的项目管理部门来对项目实施和交付进行管控。在管理精细化阶段，则需要建立完善的组织架构，明确岗位职责，与粗放阶段相比相对固化和标准化，比如专门建立项目管理部和设置项目经理负责对项目实施和交付进行全程管控。
       对于具备一定规模准备上市的企业来说，需要具备什么样的条件才能做到符合上市要求的内控呢？上市意味着企业不再是老板一个人或者少数几个股东所有，而是同时归大量中小股东所有，要想维护中小股东的利益就需要完善且有效的内控管理机制。准备上市的企业全面做好内控需要具备三个基本条件，即完整的组织架构及人员配备、相对完整的管理制度、具备信息化管理的条件。并不是所有企业都应该按照规模大的上市企业样板设立各种部门和岗位，应结合企业的实际情况对机构设置、人员配备、权责分配、岗位整合情况进行梳理，只要能达到实现有效内控的目的，可采取的形式是多种多样的。

三、内控制度应具有可操作性
       很多情况下，内控被贴上如下标签：内控就是要求、实施麻烦、增加工作量、增加成本、多此一举、员工执行意愿不高⋯⋯这是企业把内控以形式主义对待的后果，内控一旦流于形式不仅让员工苦不堪言，企业还没有任何收效，得不偿失。这一情况的主要原因是内控定位错位，内控是服务于业务，而不是限制业务（除特别限定外，本文中“业务”是指经营管理活动中的所有工作事项），要以追求实际效果的前提和从执行业务的合理性出发制定内控措施，提高业务运作流程的便利性，如此内控措施才具有可操作性。
       企业做内控要有服务意识，除了内控制度要有便利性和可操作性外，管理者还要解决员工能否有效执行的问题，在推行内控制度前要先了解员工执行时的障碍，有针对性地做出调整后再实施内控制度，只有扫清员工执行内控措施的障碍后，才会提高他们履行的积极性。比如，企业与客户签订了年度销售框架合同，内控制度要求企业日常发货需要有客户订货单，但之前客户一般直接给业务员打电话或者发微信要货，因每次要的货不多，所以就没填写订货单，一旦要求客户出具订货单，他们便觉得麻烦。为了使这一制度有效执行，管理者可以帮助销售部门设计好固定格式的订货单给业务员，在客户打电话或者发微信提货时，业务员将订货单填好后发送给客户，再让客户确认并签字盖章后拍照反馈给业务员。把外在的内控制度和流程融入员工的认知形成职业操守，这才是最为有效的内控。
       会计核算中会计人员需要业务员向客户收取盖章后的验收单，财务拿到后才会开具发票和确认收入。但有的业务在货物出库时就能确认收入，有的业务确实得获得客户验收单后才能确认收入，这取决于具体的业务实质，如果一概而论便会给业务流程的顺利流转增加障碍，降低工作效率。通常情况下，对于具有通用性、单位价值低、无须进行技术性质检或者安装调试的产品，在没有合同特别约定的情况下，在客户收货签收时按照对账单确认收入、运至客户指定地点时确认收入、发货时确认收入均可；而对于具有专用性、单位价值高、需要技术性质检或者安装调试的产品，在获得客户验收单或者验收期满后再确认收入。比如，常见的销售发货模式是客户自提、送货上门，产品一般是客户定制或者通用标准化的，客户不需要单独对其进行技术性检测，如果统一要求业务员获得客户的签收单才能确认收入就不符合业务实际情况，也不便于业务员执行，增加了业务执行的成本。对此，在会计核算制度以及相关内控制度中应该明确：在客户自提的交易模式下，货物出库装车即可确认收入，确认收入的凭证是出库单、客户提货单或者经司机确认的发货单等单据形式；送货上门的交易模式在获得客户签收单后确认收入。如此，内控制度才符合业务实际，具有操作性和合理性。
       内控和会计核算是服务于企业业务而非给业务的执行设限，为了流程周转顺利，会计部门有职责做好内控，内控的前提是要具有业务合理性，而不是违背业务合理性来迎合形式上的流程和制度要求，如此才符合《企业内部控制基本规范》中列明的适应性原则和成本效益原则。因此，在理解内控的作用前，企业必须明确内控的定位，就内控在企业的作用而言，企业中的一切管理都是内控，经营管理的最终目的是创造业绩，内控的作用即创造业绩，内控水平即反映企业管理水平，这才是内控的本质作用。

四、通过指引框架理解内控基本规范
       根据财政部、证监会、审计署、原银监会、原保监会联合发布的《企业内部控制应用指引》，企业内控涵盖的内容包括组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统等十八个章节，覆盖企业经营管理的方方面面。
        但是，《企业内部控制基本规范》（介绍内控五要素）是内控的本质，《企业内部控制应用指引》（内控十八章）是参考形式，这种通用化的参考形式意味着不是每家企业都能完全按照其中的应用指引开展内控建设。只有理解基本规范才真正懂得内控，进而探索出符合企业实际的个性化内控管理。在实践中，企业内控可能少于十八个章节，也可能远远多于十八个章节，企业要根据企业经营管理情况，不必拘泥于上述十八个章节的参考形式，用探索的眼光去梳理企业的每一项业务比按照应用指引去建设企业内控更重要。

五、内控制度要有明文规定
        内控制度确保企业有效地开展内控管理工作，比如小微企业领导要求公司付款流程中所有付款需经过自己签字审批后才能执行，但若没有明文规定，新员工就会不明所以。内控制度明文规定的作用主要体现在三个方面：一是内部管理的需要。企业员工会流动，培训新员工时就以内控制度手册为准，权责明确，照章执行，避免员工纠纷和执行过程中的扯皮、人情干扰。二是管理水平体现的需要。制度和执行是内控表与里的关系，制度要健全、执行要有效，内控才能表里如一，比如2020年创业板申报IPO被否掉的企业“仙迪股份”，其报告期内收入确认进行了大比例调整，与原始报表产生很大差异，他们解释为会计差错，同时却披露了非常详细的收入确认相关内控制度，说明内控制度仅流于形式，如果严格执行相关制度可能就不会导致会计差错。三是对外披露的需要。内控制度为中介机构进行核查时提供指引，同时，需要在公告中进行披露以应对IPO审核问询，以及成功上市后持续披露以符合监管要求。

         编制内控制度时首先要注意，一个完整的内控制度需要具备目的、适用范围、工作内容、流程、权责分配、考核共六部分内容。若只有内控要求而没有考核，在企业员工能否严格执行上就没了约束力，也就做不到有效内控，顶多东施效颦，企业还将会产生不必要的内耗。其次要注意制度构成。在《企业内部控制基本规范》《企业内部控制应用指引》的指引下，企业应从实际出发，根据所属行业属性、自身经营属性从以下模块选择来拟订内控制度：资金管理、采购管理、仓储管理、生产管理、销售管理、资产管理、会计核算、费用管理、担保管理、合同管理、子公司管理、人力资源管理、信息系统管理、关联交易管理、内部审计、研发管理，后续酌情拟订的非必要内控制度包括投融资管理、预算管理、业务外包管理、公司治理、发展战略、社会责任及企业文化等。■

作者系北京明德蓝鹰投资咨询有限公司高级咨询顾问