为什么有些企业在内控上越发力,绩效却越差?

最近一段时间，《内部控制与风险管理》的内训课程又热起来了，为什么？

因为有不少企业发现，近些年来在内控上发力越猛，绩效却越差！

上周四、周五（9.23-24）两天，我与一家世界500强企业的中层干部们讨论内部控制与风险管理问题时，举了以下的例子。

2012年在2244家披露内部控制评价报告的上市公司中，只有8家上市公司认为自己的内部控制重大缺陷；2013年，共有2312家上市公司披露了内部控制评价报告，整体有效的2287家，占98.92%；2014年度，在2571家披露了内部控制评价报告的上市公司中，2538家内部控制评价结论为整体有效，占披露了内部控制评价报告上市公司的98.72%。这两年由会计师事务所出具的内部控制审计报告的意见或结论也基本相同，内部控制存在重大缺陷的比例也在1%左右，99%的上市公司内部控制整体上都是有效的。

而上市公司实际绩效呢，年报数据显示， 2012年A股2469家上市公司合计实现归属于上市公司股东的净利润近2万亿元，同比出现零增长，这也是继2008年负增长后的同比最低增速。在这2万亿利润中，仅16家上市银行的净利润就达到1.03万亿元，占2012年上市公司利润总额1.95万亿元的53%。从归属于上市公司股东净利润角度看，A股所有上市公司干不过16家银行。

2013、2014情况也差不多。

2015年呢，情况可能更糟！

据券商中国记者统计，以发布2015年报的412家上市公司为准，两市共有46家公司的全年净利润不足1500万元。 1500万元是什么概念？是当前深圳市区的一套位置较为优越、稍具品牌优势的商品房，比如，深圳香蜜湖水榭花都12万元一平米。一线城市中，上海静安区或是黄浦江边，价格超过千万的住房已经占了半数，上海华润外滩九里，大三房1500万或许已经买不到；北京的房价更不必赘述。

为什么不少企业在内控上花费了相当多的时间和精力，但绩效不见提高，甚至不升反降，问题出在哪里？

我认为：当前国内企业在内部控制（风险管理）体系优化过程中，存在着以下几个重大的认识误区（这些认识误区导致内控优化策略错误）：

1.风险＝不确定性

简单地将风险等同于不确定性，从而忽略了不确定性存在的机会，不能识别机会，将机会融入到目标设定和战略规划的流程中，从而与机会失之交臂。

2.尽可能减少或回避风险

有些企业的高管并未从整体上把握内部控制或风险管理的本质，在内控优化的方向或策略上存在问题。例如，有企业的领导始终认为，内部控制应尽可能减少或回避风险。实际呢？只有不做事，才能回避风险。做任何事，只要有目标，就存在风险。并且，金融经济学的基本原理是：资产的安全性、流动性与收益性成反比。风险压得太低，企业的绩效必定不佳。

3.五部委的内控体系是中国版的“萨班斯法案（SOX ACT）”。

这是对五部委内部控制体系的重大误解，会对企业内控建设产生重大误导。若企业的决策层仍然持有这种认识，则此类企业的绩效不可能持续改进。

4.内控的主要目标是合法合规与报告可靠。

就五部委的内部控制来说，目标有五个：经营合法合规、资产安全、财务报告与非财务报告真实完整、提高运营的效率与效果、促进企业战略实现。我认为，对于前三项目标，企业只要做好基础工作就可以实现，因为影响这些目标实现的主要因素基本上是企业可控的；而后两个目标实现的影响因素，很多不是企业可以控制的，比如说客户消费偏好的变化、大宗商品价格涨跌，以及竞争对手新产品的领先一步推出，等等。内部控制也好、风险管理也好，其主要的目的在于，促进企业的管理层识别、评估和管理好运营风险，特别是战略层面的风险。所以，在我看来，加强或优化企业内控的主要目的，在于促进后两类目标（运营的效率与效果，以后战略）的实现

5.内控＝内控制度

制度这一概念有广义和狭义之分，这里我们不作深入探讨。从企业层次来说，内控制度或管理制度主要是指“政策和流程”，即内控框架中的“控制活动”。将内控错误地等同于内控制度，以前相关政府管理部门也是这么认识的。例如，2005年，上交所、深交所发布的就是《上市公司内部控制制度指引》征求意见稿，2006年两个交易所正式发布《上市公司内部控制指引》，将“制度”两字删除了。内部控制是一个过程或系统，优化内部控制最重要的是要优化内部环境、改善公司治理结构，而不仅仅是对内部控制制度或管理制度的完善。

如果企业的内部环境（包括董事会的职责履行、高管的正直与道德、员工能力承诺、人力资源政策，等等）不好，其他要素（如，事件确认、风险评估、风险管理策略、信息与沟通、监督等）就很难发挥作用。

6.强调内控会削弱企业的技术创新和管理创新动力

2014年，我曾受邀去一家由科研所改制而成的企业讲内部控制（风险管理），公司董事长一再和我说，本公司的中高层干部，大都是过去的科研技术人员。不少人都担心，强调内控、循规蹈矩，会影响到企业员工的创新动力。

很显然，这种认识是不正确的。实际上，加强内控，有利于促进企业的技术创新和管理创新。如果企业的重大风险没有管理好，破产倒闭，何谈技术和管理创新；并且，对很多企业来说，缺乏鼓励技术和管理创新的机制，恰是最大的风险。

那么，我们如何优化和完善企业的内部控制，提高企业经营业绩，促进企业战略实现呢？我提出了十大要点：

1.努力改进企业内部环境（最重要的就是要完善公司治理）

2.正确认识体制、制度和机制

3.关注战略

4.抓住关键风险领域（KFR）

5.坚持实质重于形式原则

6.突出效率与效果目标

7.建立科学的绩效评价与薪酬激励制度

8.重视信息与沟通

9.加强对子公司的监管

10.以预算管理统领内控建设

在这十大要点中，有基础层面的东西，也有策略和方法层面的内容；有管理模型（工具）的介绍，也有实务案例的分析。例如，众所周知，不论是内部控制框架还是风险管理框架，内部环境都是最重要的要素（ponent），是其他要素（目标设定、事件确认、风险评估、风险反应、控制活动、信息与沟通、监控）发挥作用的基础，而内部环境中最重要的又是公司治理结构是否完善，如果公司的治理结构一团糟，公司内部环境恶劣，加强内控、优化内控，都只是空谈，不可能有好的结果。

再如，企业不是没有制度和规程（政策和程序），有些企业恰恰是制度太多，搞内控又搞出一套制度和流程来？企业的管理者和员工反而无所适从。这里很重要的一个问题是：企业现有的这些制度好不好？阻碍还是促进了企业的发展？如果有缺陷，怎么修正？

那么，如何评价一个企业的内控制度（如销售管理制度、信用管理制度等）好不好呢？我认为评价标准至少有这么几点：

1.有没有体现企业的战略意图？

2.会不会带来一个好的机制？

3.其目标是否与企业的整体目标（战略目标）相一致、相协调？

4.风险容量是否适当？

5.是否与企业的实际情况符合？

6.是否简明扼要，具有操作效率？

关于企业内部控制的优化问题，我们以后再结合上市公司的实际案例进行更深入的讨论。