内控这个词对于财务工作人员来说并不陌生，但很长一段时间对于我来说它就是一个熟悉的词汇而已。财政部等五部委印发布了《企业内部控制基本规范》和配套指引后，企业及中介机构相继启动了内部控制建设与实施工作，而我有幸以第三方的身份去参与内控体系建设。至今记得第一次与领导面谈的时候，她说的两点：一是财务板块负责18个指引中的4个（资金活动、财务报告、全面预算、担保业务），而其他有相应的专业人员负责；二是她很大篇幅给我说了VISIO，而当时我还不能理解内控建设要以流程梳理为基础，而最终也要以流程去承载。发布内控规范已有10多年了，现在企业内控建设情况大致分这几种状况：一是有部分企业已经搭建了管理体系，且在有效运营并持续改进。二是部分企业仅仅是为了外部和上级单位检查，导致内控和企业实际运营出现两张皮。我结合自己的工作经历和认识，对内控谈谈以下几点看法：

一、内控究竟是什么

（一）如何理解内控

 内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程。建立内部控制体系是董事会的责任，内部审计对管理层组织的内部控制进行监督，以协助管理层有效地履行他们的职责。实际工作中很多人都会觉得定义、工具很晦涩难懂，而且离自己的工作很远。我用通俗的语言概括成如下两点：

一是，要满足监管部门（或者企业的股东）的需要，建立一套规范的管理体系，才便于监管部门的监管，因此从这个角度具有强制性。

二是，企业以前的管理具有零散性、随意性等特点，站在全局的角度去设计一套管理体系，可以提高企业的管理水平，提升经营的效率和效果。

（二）内控如何落地

哪内控是怎样落地呢？有人认为是一定需要建立内控手册，其实我个人觉得在内控实施初期或单位规模不大时，并不急于去建内控手册。内控实现的基本原理是：管理制度化、制度流程化、流程表单化、表单信息化。也就是说内控实际就是基于战略、基于业务来履行我们的管理职能，做内控就是在做管控。

二、内控工作的难点

我个人觉得内控理论理解起来并不难，即使工作的开展对人的综合性要求高，但这个工作的总体特点还是知易行难。关于难点主要体现在一下几点：

一是，工作开局时是会发现启动大家的意识、改变大家的观念很难，特别是一个企业骨干岗位的人在自己现行思维模式下已经长期运行很久，要让他们将思维、制度、流程、表单、职责权限融合到自己的工作中去，会发现是一个很大的障碍。比如内控强调制度、流程、组织管理、职责权限、岗位责任，我们很难做到“制度是一个企业成熟的标志”，实际在企业中“说一套做一套，制度放空炮”的现象还是不同现象的存在。

二是，我们的中高层习惯于依靠个人经验判断，喜欢一事一议而忽视体系建设，认为体系没用，中高层也很难去做到自己是一个体系的设计和运行者。而很多领导者是启而不发，总会陷入自己的圈子里，觉察不到变化。更不能明白自己本身就应负担在发展的模糊过程中给出团队方向的这一职责。

三是，工作启动后，内控是要求各级岗位人员按要求、按标准去做，不是一个“亮眼睛”和很快就见效的工作，本身就是一个费力不讨好的工作。但是这个工作是有利于企业或团队的长远发展，如果领导层们重视管理，即使不是上级单位强压，大都也会用内控的思想来提升整体管理。

四是，近几十年中国经济增长和企业发展，使我们正在由农业社会向工业社会转型，大多数企业只看业绩的思想很严重，管理的变化跟不上业务的变化，整体的管理水平不能与时俱进。我们的管理很容易出现“一抓就死，一放就乱”的现象，在这种管理氛围下内控工作很难开展。

三、谁牵头更合适内控工作

有的企业将内控工作交给财务部、有些交给内部审计部、有些交给运营部，实际工作中大多数是把这项工作交给内部审计部。财务部门和内审部门承担这项工作的优缺点如下：

（一）财务部门承担内控工作的优缺点

优点：利于从财务报告内控切入、加强财务管控职能；可提高财务部门影响力、提升财务人员综合能力；可以推动和协调多个部门。

缺点：财务团队综合能力不足，我们会本能的过于关注财务部门的工作内容；缺乏业务知识和项目管理之类的专业知识；

（二）内审部门承担内控工作的优缺点

优点：内审部门对企业的全面了解，能以事实为基础，将内审与内控结合，协调多个部门更有力的推动工作

缺点：可能会存在独立性不足，内控建设与内控评价职责会重合；内审部门往往资源不足；内审人员及能力有限。

具体有哪个部门来承担没有绝对的划分，但我个人的观念是：哪个部门更强势，哪个部门的影响力、话语权更能支撑这项工作，哪个部门更适合承担这项工作。

（三）建议措施

无论哪个部门承担，但工作开展时建议注意以下两点：

1、要在公司逐步树立管业务就要管内控的管理思想。我们可否考虑不以牵头部门建内控这个角度为出发点，比如以战略落地（如强化组织能力、激发组织活力之类的）或者流程优化之类的名义进入；这样可能与各部门切入度更好，因为内控本身就是控业务、控人员行为，任何一个内控牵头部门都只是“统”的作用。如果起步都是各部门在完成牵头部门交待的工作，这个工作注定失败的可能性很大。

2、关于工作内容合理定位：内控文件上的本意是内控部门啥都可以管，因为工作开展需循序渐进而实操中往往很难一步做不到位，我们牵头部门自身能力也很难什么都能关，我们可以考虑从以下几方面入手：我们立足于大财务意义的角度去开展工作；抓住企业关键或薄弱运营的环节,比如有的企业资质很重要、有的企业安全很重要等等；比如内控牵头部门很从战略的前端去着手，但我们可以从战略落地着手。

四、内控建设的大致步骤

内控手册虽然不是内控建设的必须承载形式，但大多数企业还是会呈现一套内控手册。早期内控手册是纸质版，而后来有些企业是用了内控手册软件版，对查阅、自评这些工作确实能带来不少方便。还有些企业将内控手册与公司的ERP对接，对业务流程的运行适时跟踪。根据工作经验阐述内控建设的主要步骤：

第一步内控培训：给大家讲内控文件，他们很容易听不进去的，要讲基于他们自己的工作管理可能会有效果。而这个工作的关键在中高层，他们的认识、意识、行动是推动这个工作的关键因素，这个工作一旦推动会让公司的管理上一台阶。如果做不到这点，哪整个工作就会定位于一场轰轰烈烈的开始而已，达不到管理提升的效果。具体培训内容、对象、方式、频率之类的可以视情况而定。比如我们大多数人习惯着重于去关心某一件大事、要事，忽略日常运行的具体管理要求，可以强调海恩法则，即：每一起严重事故的背后，必然有29次轻微事故和300起未遂先兆以及1000起事故隐患。比如我们大多数人对流程的理解只是事情的前后顺序、只是在BPM上运行的线上签字，这些不完整、不到位的认识，都会影响我们工作的推动。总之，我们要去察觉大家差什么我们就补什么，而不能局限在内控知识本身，更多要将认知扩大到业务管理中间去。

第二步成立内控领导小组和工作小组：我建议三点：

一是，关键这些组织机构要能实际运行，比如领导小组就要听取工作汇报、提出要求。而很多企业内控领导小组和工作小组就只是发了个红头文，并未建立相应的工作机制。如果定位于战略落地，是否会有更高层关注和介入，这样各部门才会逐步形成这就是我的本职工作的认知。

二是，有了工作小组，我们可以适时补充需要的人员（包括外聘第三方机构），形成能力不能互补。但是需要一个综合能力很强的人，把控整个工作是有必要的。

三是，内控部门就会牵头制度、流程建设，有些企业会让内控牵头部门主抓，有些企业会让内控牵头部门参与，但内控手册肯定是由内控牵头部门主抓。

第三步制度梳理：企业制度不能违反相关法规的规定，应结合企业实际，涵盖并细化控制要求，将监管规范中强调的控制点，因地制宜地落实到现有制度中，形成管理制度化的模式。

第四步流程优化：制度梳理了对流程重新梳理是有必要的，而我们大多数企业也启用了OA、BPM信息系统，但一定要贯彻“管理制度化、制度流程化、流程表单化、表单信息化”的管理模式。

第五步编制内控手册：内控部门牵头编制内控手册，是采用纸质版呈现还是软件呈现，需要根据情况讨论。

第六步进行内控评价：也就是检查说的和做的是否一致，就是基于制度、流程和手册，从设计层面和运行层面入手，并根据评价结果进行循环改进。

关于难点说明：

一是，内控建设是个长时间的过程，如果我们基于落地版为出发点，应该考虑分版块、分批次陆续进行。

二是，工作的难点在于人员的意识和合理的目标落地。人员的意识前面我已经提到了，思维要转变不是一天两天的事，而且这是一个渐进的工作。既然是整个企业管理水平提高的一个工作，也就需要一个阶段性目标，而这个阶段性目标目前没人能说出来，只有靠大家共同干出来，也是需要边走边看。

五、内控工作会给企业带来的好处

这项工作干成了有几个好处：

一是，公司整体工作更成体系；

二是，有利于风险管理，如果缺乏内控，风险管理无从谈起；

三是，部门工作的可视化程度更高，某某部门干得如何，不只是自己说了算；

四是，跨部门的工作应该更顺了；

五是，给公司的运行起了兜底的保护作用；

六是，说长远点，是公司迈向现代化企业必经阶段，而内控只是给企业提供了方法而已；

七是，在这样一个渐进过程中，企业也会成长起一批管理人才。

因此内控建设能推动经营管理水平不断提升。

内控管理师（ICM）”着力解决企事业单位内部控制体系建设专业知识不足，内控管理专业人才匮乏的共性问题。