内控制度的建设与执行是公司防范经营和财务风险的关键手段，是维持并提高可持续发展能力的基本机制。企业的兴与衰都与内控有着重要关系，也有不少昔日的知名企业从龙头走向衰退甚至破产，本文以三鹿集团和长春长生两家企业为例，分析其内控失败的原因，以期为其他企业带来警示、启示。

一、公司失败案例

（一）三鹿集团

河北石家庄三鹿集团股份有限公司（以下简称“三鹿集团”）曾是国内最大的奶粉生产企业，在乳制品加工企业中位居全国第三名。其前身是成立于1956年的幸福乳业生产合作社，具有较为深厚的发展基础。1983年，在乳品行业率先研制、生产婴儿配方奶粉，“三鹿牌”婴幼儿奶粉开始逐渐成为我国知名产品，2006年还在《福布斯》评选的“中国顶尖企业百强”中位列乳品行业第一位，经评定三鹿品牌价值高达149.07亿元。

2008年9月份，三鹿婴幼儿配方奶粉掺杂致毒化学物三聚氰胺曝光，三鹿集团发展形势急转直下，于2009年2月正式破产。

（二）长春长生

长春长生生物科技股份有限公司（以下简称“长春长生”）创立于1992年，主要从事于人用疫苗产品的研发、生产和销售。作为国家科技部认定的高新技术企业，长春长生所拥有的疫苗种类和销售数量、销售额均稳居国内民营疫苗企业前列，2017年营收达到15.39亿元，占其母公司长生生物营收比例超99%。

随着2017年10月长春长生生产的某批次百白破疫苗抽检不合格，以及2018年7月长春长生冻干人用狂犬疫苗生产存在记录造假等严重违法行为曝光，使长春长生备受关注并停产。在经过相关处罚、处理后，2019年11月长春长生宣布破产，并被强制退市。

二、公司内控存在的问题

（一）内部环境

在内部环境因素中，公司治理结构是最重要的内容之一。而以上案例的公司治理结构均存在不合理的地方。三鹿集团表现为股权分散，但强势管理层的存在使公司治理结构表现为内部人控制；长春长生则存在家族控股占主导地位的情形，使得股权较为集中，公司治理结构存在缺陷。

1、三鹿集团

三鹿集团的股权架构为：大股东三鹿乳业持有56%股权、第二大股东新西兰恒天然集团持有43%股权、小股东持有1%的零散股份。尽管表面上看该股权架构十分合理，但是由于大股东三鹿乳业推行的员工持股实际是由经营者持大股，96%的股权分散在900多名老员工手中，因此三鹿集团的股权整体是相当分散的。而在企业的管理中，则表现为管理层的强势管理方式，使得三鹿集团治理结构实质为内部人控制。

2、长春长生

长春长生由董事长高俊芳持股18.18%，其子张洺豪持股17.88%，其夫张友奎亦持有少量股份。在这样的情形下，张氏家族合计持股超过36%，成为长春长生的实际控制者。高度集中的股权结构对于现代企业而言意味着治理结构的重大缺陷。

（二）风险评估

风险评估是企业内部控制的重要环节，及时识别风险、分析风险并采取应对措施是保障企业运营的关键。以上案例企业的风险评估也均存在问题：三鹿集团未能重视识别企业内外部风险，主要为奶源采购环节的质量风险；长春长生则在于没有及时识别并分析处理财务报表异常数据所反映出的产品生产各个环节可能存在的质量问题。

1、三鹿集团

三鹿集团为乳品企业，最重要的风险点为原料奶的采购质量。三鹿集团采用的原料采购模式为“奶农—奶站—乳企”，散户奶农的牛奶先聚集到奶站，再集中进入三鹿集团的生产工厂。该模式的有点是能够快速扩大奶源，减少自建牧场的成本，但同时缺点也显而易见，企业无法直接全面的对奶农和奶站进行控制，从而无法确保所采购的奶源安全性。尤其是在蒙牛、伊利等企业竞争压力之下，三鹿集团在大量增资扩产进行奶源争夺的过程中，弱化了采购环节的质量控制，成为导致毒奶粉事件的根本原因。

2、长春长生

长春长生作为医药企业，最重要的风险点也同样在于产品的质量安全，尤其是对疫苗企业而言，从物料供应、产品生产到最终产品销售都对产品质量有着重要影响，涉及到诸多环节和部门。但是长春长生并没有建立专业的风险管理制度流程，也没有专业的风险管理人员，风险点分散于各关联部门自行把控，因此极度缺乏风险意识。例如2017年财报数据显示在营收、利润增长的情况下，直接材料费却是负增长，同时销售费用则是增长152%。长春长生并未及时识别异常数据背后的可能存在的材料不合格、销售贿赂等风险问题。

（三）控制活动

控制活动即包括企业正常运营过程中的各方面控制，如产品生产质量控制、会计控制等内容，也包含发生紧急事件时的应急处理控制。

1、三鹿集团

三鹿集团不仅在奶源采购环节未能重视质量检验，同时也存在预警机制失灵及突发事件应急处理机制不健全等问题，未能实施有效的运营分析控制。在明知企业生产的奶粉中含有有毒物质三聚氰胺的情况下，非但没有采取积极补救措施，反而以侥幸心理继续生产和对外销售，致使受害群体扩大，对众多婴幼儿产生了不可逆转的危害。

2、长春长生

长春长生的控制活动出现问题的环节包括：一是绩效考核控制存在偏差，生产业务的考核偏重数量和效益，一方面会造成生产部门降低质量安全，另一方面则会造成销售环节为提高销量而发生行贿事件，据调查，截至2017年长春长生相关行贿案件12起，涉及十多个省市和多种疫苗；二是生产质量安全控制与监督缺失，形成生产部门偷工减料、甚至伪造生产记录等行为的可能，而事实上长春长生的行政处罚决定书中所载明的八项违法事实全部与克扣成本和伪造生产记录有关；三是重大风险预警机制和突发事件应急处理机制存在不系统、不健全的情形，2017年百白破疫苗抽查效价指标不合规而被迫停产之后，不仅不积极采取补救措施，反而企图掩饰违规行为，直至2018年狂犬疫苗事件发酵使得百白破疫苗不合规情况无法向公众隐瞒，长春长生才承认违规。

（四）信息与沟通

在企业内控方面，内部与外部的信息及沟通都十分重要。在前文所述案例中，内部信息沟通与外部信息沟通也均存在问题。

1、三鹿集团

对于企业外部，三鹿集团在发生食品安全事故后没有积极主动地采取措施进行相关信息的收集、处理与传递，未能及时向卫生行政部门报告，也未能向广大消费者披露相关信息，反而采取隐瞒方式。不仅违反了食品安全法的相关规定，同时也错失了企业及时止损、进行纠偏的机会。

对于企业内部，三鹿集团作为一个传统行业的制造型企业在数字信息化方面重视不足，在企业内部未建立起快速有效的信息网络，因此存在各部门数据散落无法有效收集存储分析的情况，对于管理者而言就无法快速了解企业情况、无法进行高效管理。

2、长春长生

对于企业外部，长春长生作为一家上市公司，具有及时准确地披露信息义务，然而却存在虚假记载信息、违规披露信息的行为。一是在2015年借壳上市财务报告中用“阴阳合同”虚增收入，营造高销售、高利润的假象，以达到顺利上市、获得投资的目的；二是自2015年上市至2017年事发的三年之内，年度报告和内部控制自我评价报告中对于问题疫苗均未进行准备披露，存在虚假信息；三是在问题疫苗事件中不仅对于披露信息较为被动，还做出过误导性陈述和重大遗漏。

对于企业内部，长春长生没有形成规范系统的沟通体系。曾有多为高管在2016年就向董事长反应过问题疫苗信息披露、评估影响等问题，但是由于长春长生内部信息沟通主要采用口头传递方式，因此这些事项仅董事长之情，而没有引起公司管理层的广泛关注与重视。内部信息沟通传递体系的不健全，使重要信息没有获得及时的正面反应。

（五）内部监督

内部监督是内部控制的保障环节，包含持续性的常规日常监督、针对性的专项监督，对于监督的结果进行自我评价并出具报告等。同时，上述监督事项还需要有效的内部监督组织进行实施。前文所述案例中，三鹿集团主要是在具体的内部监督环节上存在重大缺陷问题，而长春长生则是内部监督组织存在重大不合理。

1、三鹿集团

对于三鹿集团，最关键的日常监督应该是对于奶源的监督检查，通过派出驻站员在养殖区、奶站等源头环节进行饲养、挤奶、收集、存储运输等等原奶进入生产企业之前各环节的监督。然而三鹿集团对此部分工作不仅驻站员监督检查工作没有落实到位，也缺乏专门监督驻站员的工作机构。

2、长春长生

长春长生的内部监督组织问题表现在以下几个方面：一是各管理层级之间由于张氏家族担任职务较多而缺失独立性、缺乏监督，例如董事会和管理层人员的任命违背了不相容职务分离的原则，高俊芳作为董事长担任了总经理、财务总监，其子张洺豪担任副董事长兼任副总经理，造成董事会与管理层成员重叠；二是缺乏有效的内部监督机构，公司内部各业务部门负责各自部门内部监督，而没有对公司全局进行专业性内部监督的部门，容易造成部门内的违规、包庇行为。

三、 公司内控建设建议

通过对三鹿集团和长春长生两个内控失败案例的梳理分析，本文认为公司内控建设要注重以下几点内容。

（一）完善公司治理结构

无论是对于未上市的三鹿集团，还是上市公司长春长生，公司治理结构的不完善都为公司内控埋下了隐患，本质都表现为将企业的实际管理权集中于少数人手中，形成类似“一股独大”的局面。因此建议企业通过引入风险管理经验的股东、增加高层管理人员和高级技术人员持股比例等方式促使股东结构多元化；同时在董事会、高级管理层、监事会等的人员任命上避免交叉任职，提高管理人员的综合素质能力。

（二）注重公司文化与社会责任感

对于企业经营管理是否成功的评价，盈利是关键，但是不是唯一。三鹿集团和长春长生的案例中，对于企业规模扩张和盈利的过度追求，牺牲了企业产品质量从而引发了重大安全事故，并进而对企业品牌产生了毁灭性的影响。其根源在于没有梳理正确的公司文化、忽视了企业社会责任感。建议企业在内部控制中要进一步注重公司文化和社会责任感的培育，以此为核心改善企业控制环境。

（三）设立专门的风险管理机构

对于业务环节多、风险点分散的企业，可以考虑设立专门的风险管理机构，对企业业务全流程进行风险识别、分析并提出专业的应对策略。

（四）建立健全重大风险预警机制与突发事件应对机制

重大风险的发生往往会对企业带来“生死考验”，而前述两个案例在重大风险预警和突发事件的应对上都存在明显问题，造成了企业不可扭转的局面。因此建议相关企业要建立健全重大风险预警机制与突发事件应对机制，在全面梳理分析企业可能发生的重大风险事件基础上，对各类风险突发事件进行分类分级，并预设具有实施性的应对措施和处理程序。

（五）强化信息沟通管理，规范对外信息提供流程 

对于企业内部，要提升信息沟通的时效性、准确性和完整性，在数字信息时代，要充分利用计算机通信技术，通过信息平台进行企业内部信息的上传下达，提高企业对信息的反馈及时性，避免重要信息的遗漏。对于企业外部，要规范企业对外信息提供的流程，确保在各类对外报告中的内容完整性和真实性，设立审核机制和追责机制。

内控管理师（ICM）”着力解决企事业单位内部控制体系建设专业知识不足，内控管理专业人才匮乏的共性问题。