企业内部控制从懂到用

近年来，在外部监管压力加大和企业自身管理需求提升的双重推动之下，我国社会各界对企业内部控制的重视程度得到了巨大改观。然而，笔者结合多年从业的经验发现，我国企业的内部控制实践中仍然普遍存在下面几类问题。

掩耳盗铃—企业无视风险和基本内控要求，管理跟着感觉走。

形而上学—企业虽然有了基本内控概念，但工作开展套用监管要求、照搬模板、追求形式，无法解决现实问题。

空中楼阁—企业内控中体现了风险导向，制度流程也基本符合企业实际情况，但因为缺乏有效的落地手段，终流于形式。

刻舟求剑—企业基本完成了内控体系的搭建和执行，但因长期一成不变，无法适应环境变化。

上述情况，一方面体现了企业并未理解内控核心要求，另一方面体现了企业无法驾驭内控实操落地，可谓“知不易，行更难”。

本书基于成熟的内控理论框架，采用丰富的现实案例及企业实操经验教训，力图在“懂”和“用”两个方面实现下列目标。

在“懂”的方面，帮助读者理解：

（1）内部控制能够产生什么价值？

（2）内部控制的内在原理是什么？

（3）内部控制应遵循哪些原则？

（4）内部控制的应用前提有哪些？

在“用”的方面，帮助读者掌握：

（1）如何识别与评价风险？

（2）有哪些内控工具？在具体业务场景下如何应用这些内控工具？

（3）如何编制内控成果？

（4）如何推进企业整体内控体系搭建？

（5）如何实现内控“落地”？

正如世界畅销管理读物《基业长青》中所提出的，伟大的企业应该将精力用于“造钟”而非“报时”，即企业应建立持续解决问题的机制而非解决表面问题—笔者希望企业在深刻理解内部控制的基础上灵活应用，以实现这样一种良性机制。

从事风控事业近20年，笔者深刻理解中国企业的管理实际及内控痛点。笔者的内控咨询、培训经验及与从事企业实务的同人交流的收获和心得，也将借此机会与读者分享。

期待本书能为企业家、企业管理人员、内控相关从业人员、高校商科学子及其他希望了解内部控制的读者带来帮助。

本书基于成熟的内控理论框架，采用丰富的现实案例及企业实操经验教训，力图在“懂”和“用”两个方面实现下列目标：
在懂的方面，帮助理解
1.内部控制能够产生什么价值？
2.内部控制的内在原理是什么？
3.内部控制应遵循哪些原则？
4.内部控制的应用前提有哪些？

本书作者不仅为数十家大中型企业提供过内部控制咨询服务，同时为数千名企业高级管理人员实施了内部控制、风险管理以及合规专业培训。通过咨询与培训，作者积累了大量的实践经验，汇集成书，与读者分享。
本书归纳了我国当前企业内部控制中四大通病，并提出了切实的解决方案：
无视风险与内部控制基本要求，犯了掩耳盗铃的错误；
追求形式而不解决实际问题，犯了形而上学的毛病；
设计了流程制度，但缺乏可操作的手段与方法，犯了空中楼阁的大忌；
企业不断发展转型，但企业内部控制流程没有相应同步变化，成为刻舟求剑的样本。

上海阅洲咨询成立于2009年，聚焦风险管理、内部控制与合规领域，为中国企业提供高质量的咨询、培训、审计等专业服务。

冯萌

复旦大学会计学博士 
上海阅洲咨询创始合伙人 
首席专家顾问/培训师

南京大学会计学学士、复旦大学会计学博士，师从著名教授李若山。博士期间赴国家财政部从事准则研究工作。曾服务于德勤华永会计师事务所。
在企业内部控制、风险管理、合规、会计准则应用、财务分析等专业领域，具有超过16年服务经验。作为项目负责人为超过50家企业提供风险管理/内部控制/合规/财务咨询服务。为超过150家企业、逾万名学员成功实施专业培训。发表超过50篇专业论文及一本学术专著。

宋志强

上海阅洲咨询高级经理

上海大学管理学院硕士，曾服务于大型国有企业内控与审计部、香港上市企业合规部。主要从事内部控制、风险管理、合规、内部审计专业领域工作，具有多行业内控体系建设、合规及审计经验，发表多篇专业文章。

推荐序

前　言

第1章　认识内部控制1

1.1　内部控制的由来1

1.2　内部控制在中国的发展4

1.3　内部控制中的三个关键问题6

第2章　企业内部控制的核心价值8

2.1　内控与战略8

2.1.1　内控支撑战略制定8

2.1.2　内控支撑战略落地9

2.2　内控与风险控制10

2.2.1　内控实现风险控制“常态化”10

2.2.2　内控实现风险控制“系统化”11

2.3　内控与执行力11

2.3.1　优化工作职责提升执行力12

2.3.2　优化工作衔接提升执行力12

2.3.3　通过计划与反馈提升执行力13

2.3.4　利用实践提升执行力13

2.4　内控与企业管理沉淀13

2.4.1　内控对管理经验的沉淀13

2.4.2　内控将管理资源沉淀于企业14

2.5　内控与舞弊遏制15

2.5.1　舞弊的特征与危害15

2.5.2　通过优化控制环境抑制舞弊16

2.5.3　通过制定反舞弊流程打击舞弊17

2.6　内控与合规19

2.6.1　内控合规的两层含义19

2.6.2　从IPO审核看企业内控合规要点21

2.6.3　将合规要求内化于内部控制27

2.7　典型内控缺陷后果归纳28

2.8　典型内控认识误区29

第3章　风险识别、评价与策略制定34

3.1　什么是风险34

3.2　风险的识别与评价35

3.2.1　风险识别与评价机制及职能配备35

3.2.2　风险分类及颗粒度37

3.2.3　风险识别与评价工具39

3.2.4　风险评价“共识”的达成41

3.2.5　风险评价成果输出42

3.2.6　综合案例：风险热图“西北角”上的风险48

3.3　风险策略的制定52

3.3.1　风险策略的选择52

3.3.2　从风险策略到具体控制措施：以合同管理为例53

3.3.3　风险管理工作的动态化55

3.3.4　综合案例：风险识别、评价与措施制定实例58

第4章　内部控制措施工具65

4.1　措施制定原则、“强度”与“时间”因素65

4.1.1　内部控制措施制定原则65

4.1.2　对控制措施“强度”的考虑66

4.1.3　对“时间”因素的考虑67

4.2　职责67

4.2.1　合理设置岗位职责68

4.2.2　资源配备契合职责要求69

4.2.3　避免利益冲突70

4.2.4　权责利平衡70

4.3　控制文化71

4.3.1　控制文化的功能71

4.3.2　控制文化的建设72

4.4　规划73

4.4.1　计划与预算74

4.4.2　预设业务规则76

4.5　授权及审核与审批77

4.5.1　授权77

4.5.2　审核与审批89

4.6　账簿92

4.6.1　账簿的种类与功能92

4.6.2　账簿典型内控缺陷93

4.6.3　提高账簿质量96

4.7　牵制96

4.7.1　牵制的含义97

4.7.2　不相容职责分离101

4.8　资产保护102

4.8.1　资产保护的目标102

4.8.2　资产保护措施104

4.9　监督106

4.9.1　监督的功能107

4.9.2　监督的分类107

4.9.3　提高监督有效性109

4.10　表单与记录 111

4.10.1　表单记录的功能111

4.10.2　表单记录的流转113

4.10.3　提高表单记录质量113

4.11　信息沟通115

4.11.1　信息与沟通的功能115

4.11.2　信息沟通壁垒：影响和分类116

4.11.3　信息沟通壁垒产生的内在原因118

4.11.4　信息沟通壁垒的应对措施119

4.12　考核与奖惩121

4.12.1　内控体系中人的因素121

4.12.2　提高考核与奖惩质量122

4.13　流程及标准124

4.13.1　业务流程及其固化124

4.13.2　在流程中实施内控124

4.13.3　工作标准的制定125

4.14　信息化130

4.14.1　信息化的定义130

4.14.2　通过信息化完善内控130

4.14.3　信息化风险的应对130

4.14.4　综合案例：“周黑鸭”更换包装中的信息化管控131

第5章　内部控制工具业务场景应用136

5.1　业务循环的划分136

5.1.1　为什么进行业务循环划分136

5.1.2　业务循环划分的关键因素137

5.2　销售业务中的内部控制144

5.2.1　销售业务概述144

5.2.2　销售业务控制目标145

5.2.3　销售组织架构及职责体系149

5.2.4　销售业务关键环节内控分析152

5.3　采购业务中的内部控制175

5.3.1　采购业务概述175

5.3.2　采购业务控制目标176

5.3.3　采购业务组织架构及职责体系177

5.3.4　采购业务关键环节内控分析180

5.3.5　专题：招标199

5.3.6　专题：业务外包207

5.4　固定资产管理中的内部控制213

5.4.1　固定资产管理概述213

5.4.2　固定资产管理控制目标215

5.4.3　固定资产管理组织架构及职责体系215

5.4.4　固定资产管理关键环节内控分析217

5.5　存货管理中的内部控制229

5.5.1　存货管理概述229

5.5.2　存货管理控制目标230

5.5.3　存货管理组织架构及职责体系231

5.5.4　存货管理关键环节内控分析233

5.6　资金活动中的内部控制245

5.6.1　资金管理概述245

5.6.2　资金管理控制目标246

5.6.3　资金管理组织架构及职责体系246

5.6.4　资金管理关键环节内控分析247

5.7　举一反三：业务层面的内控分析275

第6章　企业内部控制体系建设279

6.1　内控体系建设整体路线279

6.1.1　COSO框架内控体系要素279

6.1.2　内控体系建设工作总体路线280

6.1.3　内控体系建设四大成果编制286

6.2　内控体系中的关键闭环294

6.2.1　“碎片企业化”内控：企业问题“症状解”294

6.2.2　“闭环”内控：企业问题“根本解”294

6.3　企业中高层在内控中的角色303

6.3.1　一把手应该亲力亲为的八件事303

6.3.2　企业中高层角色分工308

6.4　企业内部控制的“前瞻性”309

6.4.1　企业内控为何需要具备前瞻性309

6.4.2　如何提升企业内控前瞻性311

6.5　内控体系的落地313

6.5.1　“制度不落地”顽疾313

6.5.2　提高内控“可操作性”321

6.5.3　建立内控“长效机制”322

6.5.4　做好内控“减法”324

6.6　企业发展阶段、信任及效率的平衡328

6.6.1　内控与企业发展阶段的关系328

6.6.2　内控与信任的关系330

6.6.3　内控与效率的关系332

6.7　内控体系中的财务职能336

6.7.1　两类“期望差”：财务部门的现实困惑336

6.7.2　弥合类“期望差”：财务部门的“有所为”337

6.7.3　弥合第二类“期望差”：财务部门的“有所不为”341

6.7.4　对企业的建议342

6.8　内控、内审、风险管理与合规关系辨析343

6.8.1　问题的提出343

6.8.2　探究视角：以一个企业的极简发展史为例344

6.8.3　回到“控制风险”本质352

6.8.4　对企业的建议355

6.9　内控自我评价356

6.9.1　内部控制评价的概念356

6.9.2　内控自我评价的目的356

6.9.3　内控自我评价的组织357

6.9.4　内控自我评价的实施要点360

后记363

本书基于成熟的内控理论框架，采用丰富的现实案例及企业实操经验教训，力图在“懂”和“用”两个方面实现下列目标：
在懂的方面，帮助理解
1.内部控制能够产生什么价值？
2.内部控制的内在原理是什么？
3.内部控制应遵循哪些原则？
4.内部控制的应用前提有哪些？

本书作者不仅为数十家大中型企业提供过内部控制咨询服务，同时为数千名企业高级管理人员实施了内部控制、风险管理以及合规专业培训。通过咨询与培训，作者积累了大量的实践经验，汇集成书，与读者分享。
本书归纳了我国当前企业内部控制中四大通病，并提出了切实的解决方案：
无视风险与内部控制基本要求，犯了掩耳盗铃的错误；
追求形式而不解决实际问题，犯了形而上学的毛病；
设计了流程制度，但缺乏可操作的手段与方法，犯了空中楼阁的大忌；
企业不断发展转型，但企业内部控制流程没有相应同步变化，成为刻舟求剑的样本。

上海阅洲咨询成立于2009年，聚焦风险管理、内部控制与合规领域，为中国企业提供高质量的咨询、培训、审计等专业服务。

冯萌

复旦大学会计学博士 
上海阅洲咨询创始合伙人 
首席专家顾问/培训师

南京大学会计学学士、复旦大学会计学博士，师从著名教授李若山。博士期间赴国家财政部从事准则研究工作。曾服务于德勤华永会计师事务所。
在企业内部控制、风险管理、合规、会计准则应用、财务分析等专业领域，具有超过16年服务经验。作为项目负责人为超过50家企业提供风险管理/内部控制/合规/财务咨询服务。为超过150家企业、逾万名学员成功实施专业培训。发表超过50篇专业论文及一本学术专著。

宋志强

上海阅洲咨询高级经理

上海大学管理学院硕士，曾服务于大型国有企业内控与审计部、香港上市企业合规部。主要从事内部控制、风险管理、合规、内部审计专业领域工作，具有多行业内控体系建设、合规及审计经验，发表多篇专业文章。