最近被企业风险管理同仁问道，内部控制这个舶来品，是否适用于中国企业，在中国是不是水土不服呢，要不怎么这么多企业的内部控制都做不好呢？

的确，内部控制（Internal Control）确实是个舶来品，但什么原因导致的水土不服还得分析下。

一、内部控制走向成熟的背景

20世纪70年代，美国为了应对经济滞胀以及欧洲和日本的竞争，开启了以*耶克、弗里德曼为代表的新自由主义阶段的探索。这个阶段最主要的特征就是放松监管、鼓励创新和冒险。任何政策都有两面性，在限制政府权力、提振经济、鼓励创新的同时，美国也进入了商业欺诈大规模泛滥的时代。

在这样的背景下，由美国注册会计师协会(AICPA)、美国会计学会(AAA)、财务经理人协会(FEI)、美国内部审计师协会(国际内部审计师协会的前身，IIA)、美国管理会计师协会(IMA)等五家机构联合创建了COSO委员会，也被称为反虚假财务报告委员会，目的是探讨财务报告中的舞弊产生的原因，并寻找解决方案。

1992年9月，COSO委员会发布全球闻名的《内部控制整合框架》（COSO-Internal Control），也标志着内部控制体系进入到了“五元论”的成熟阶段。这些成果马上得到了美国审计署(GAO) 的认可，美国注册会计师协会（AICPA）也全面接受其内容并于1995年发布了《审计准则公告第78号》。由于COSO报告提出的内部控制理论和体系是指导企业内部控制理论和实践的首部集大成者，迅速成为现代内部控制最具有影响力的框架。

20世纪初，美国众多知名一线大型上市公司，如安然、施乐、默克制药等出现了财务造假事件，给资本市场带来了巨大的震动。美国立法机构为了为了维护美国的资本市场稳定，以最快的速度在2002年颁布的萨班斯-奥克斯利法案，全称为《2002年公众公司会计改革和投资者保护法案》，其中有专门章节要求公众公司建立有效的内部控制体系来保证为投资者提供的财务报告的有效性和可靠性，并以COSO委员会1992年发布的《内部控制整合框架》为蓝本作为企业建立内部控制体系的最佳实践，在美国资本市场被广泛的推广和使用。

二、中国采用了国际内控成果

2008年，财政部联合五部委颁布了《企业内部控制基本规范》(也称为五部委文件），此规范采用的正是COSO组织发布的1992年版《内部控制整合框架》。

图：2008财政部内控框架（左）与COSO内控框架（右）

内部控制近年在西方大力推广的原因是为了强化公众公司对投资者的保护，建立起完善的内部控制可以让投资者更有信心，这些公司由于有完善的内部控制体系，不容易出现之前那些大肆造假的情况。

2008年财政部发布的《企业内部控制规范》，也是从上市公司入手，强制这些公众公司必须建立起符合要求的内部控制体系。

COSO对于内部控制的定义：

内部控制是一个由公司董事会、管理层和其他员工实施的、旨在为实现运营、报告和合规管理目标提供合理保证的过程。

财政部《内部控制基本规范》对内部控制的定义：

内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。

内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。

定义基本一致，除了中国内部控制中添加了另外两类战略和资产安全的目标。

中国内部控制体系（基本规范与20项指引）

从这个角度讲，两个文件的初衷好像是一致的，但东西方具体推行内控的要求和内容上却有很大不同，我在不相容岗位，所有中国企业都要补的基本功一文中，提到了这种差别。

三、内部控制是否适用于中国企业

从上面可以看出，目前内部控制这套成熟的体系是我们引进来的，这套进口来的舶来品是否适用于中国企业？这个问题经常被问到，特别是推广和建设内部控制体系这么多年来，企业还是一直出现基础控制薄弱、重大控制漏洞和控制失效的现象。

所以很多人得出结论认为这套体系没用或这套体系不适应中国。

其实，内部控制是一套通用的控制方法，没有内部控制的企业根本无法存活。

没有引进内部控制体系之前，内部控制的要素也普遍存在于中国企业中，只不过没有系统化和规范化提炼出来。

美国会计史专家迈克尔·查特菲尔德曾说：在内部控制、预算和审计程序等方面，周代在古代世界是无与伦比的。

内部控制的设计有两个前提：

一是基于人性；

是人就会犯错，人的天性中包含的“恶”的部分，如果条件一旦成熟，就会转化为实际的舞弊案例，所以内部控制最开始的初心，就是抑制人的“恶性”，让企业没有漏洞可以钻。

二是基于理性。

内部控制的设计总结了企业经营管理各环节的最佳实践，可以一定程度上弥补个人经验、能力的差距，摆脱个人喜好的不同，抑制人的“感情用事”和偏好偏差，用理性的控制制度、关键控制点等使组织保持“理性”。

显然，这些前提和原则是普世的，没有边界的。

四、控制环境的“土壤”不行，“根”就坏了

西方在发展内部控制体系的路上，在20世纪70年代之前，内部控制体系中并没有“控制环境”这个要素，后来发现控制设计的再好，如果“控制环境”这个土壤出了问题，整个内部控制都会失效。

目前中国企业的内部控制中最大的问题，不是业务上哪个控制设计的好不好，也是控制环境出了问题，企业控制环境不利于这套体系生根发芽。没有良好的控制环境，设计再好的控制要么失效，要么执行效果大打折扣。

企业的领导层对控制环境的建立负有主要责任，或者说，建立好的控制环境、设定良好的高层基调就是管理者的主要责任之一。管理者如果不能带头建立一个良好的控制环境，而是有意弱化控制、刻意回避控制、带头突破控制、总想凌驾控制，这个土壤不可能好。你去看很多企业出现的内控失效的案例，最后都能找到控制环境的缺陷。

这背后也有深层次的文化因素，我们的文化讲求“一统”与“和合”，对于内部控制中强调的牵制和制衡，并不容易与我们的文化产生共鸣，这是我们需要特别注意的地方。虽然面临文化的冲突，但面对的却是共同的人性，这是我们需要解决的控制环境中的重大课题。

如果说这套体系在中国水土不服，那也许需要改良的是水土，而不是种子。