内控是未雨绸缪,还是亡羊补牢

2014年，我第一次做财务经理，面临着企业的大变革，我第一次牵头全公司的内控建设。

那是我做失败的，非常值得铭记的一项工作。

失败的主要原因是，搞复杂了，理想化和完美主义，犯了事务所审计的经验主义错误。

初创期的公司，讲究两个字：变、快。

初创企业是创新的源泉，但是就像刚出生的婴儿一样脆弱，自然你也不可能给它穿上成年人的盔甲。

生存才是关键。

内控的建设，一方面，不可能像大企业一样设置更多繁杂的流程，这样会降低效率，这个阶段的企业要的是交易，要的是现金流，求生欲特别强。

另外，什么是内控，内控就是那些流程吗？

并不是。

给老板打个电话，发个微信，这些都叫内控，因为作为初创公司，人数不多的话，完全可以以人控人，以人管人，这就是初创企业最适合的内控。

当企业进一步发展，曾经靠着创新速度建立起的优势就会慢慢消失了，这时候，企业需要加强运营能力。以人管人会成为一种负担，甚至当人开始变多，已经没有精力直接管理这些人。

这时候就必须加强制度建设和流程管理。

从人管人到制度管人，是一个瓶颈，如果不能适应，不能突破，会随着企业的发展壮大，风险越来越大。

很多企业，习惯了粗犷的管理方式，当需要突破这个瓶颈的时候，往往很难。

我曾经的一个客户，从白手起家，做到国内产业的前三名，始终没有内控的意识，最后在业务正在发展的时候出事了，没有内控，导致企业的管理乱七八糟，很多东西说不清楚，最后锒铛入狱。

从成长期到成熟期，企业需要继续扩大规模，并且探索更多产业和方向。这个期间企业需要建立内审，增加业务对内控的认知，开始关注和调查内部的舞弊。

对于成熟度很高的企业，尤其是上市公司来说，整个内控团队规模扩大，并且多方位的领域拓展，建立内部审计制度，内部控制制度，风控管理制度，建立合规，这就意味着必须深入业务。

对于企业的风险管理来说，财务风险、合规风险、产品风险、客户风险、交付风险，这些风险归根到底都是业务，作为一个部门的leader，做管理，做的是什么，其实就是要把握和管理这些风险，才能实现效益。

很多内审问过我，说内审做起来有些费劲，因为不受重视，自己写的方案和报告也没有人愿意看，发现的问题也没人听，其实这很正常。

因为你的公司发展到不同的阶段，对于内控的需求是不一样的。

不管是内审还是外审，在做内控管理也好，做内控测试也好，都要先关注企业的发展阶段和发展需求，看到现状，也要看到未来即将进入的变化，才能做好审计。

内控是要赋能于业务的，建立内控手册 ，内控测试，都是要建立起内控的框架，把内控工作常态化起来。

从生命周期来说，企业的要想延长生命，必须经历转型，当一项业务衰退，主营业务不再成为主流，这时候企业就处在转型的十字路口，必须找到新的投资领域，我们看到世界上的百年企业，在不同的时期，都做着完全不同的业务。

所有的内控都必须经过从小到大，从合规，到整合，到协同的过程。否则，越俎代庖就很容易出问题。

做内控，视野的认知非常关键。

不管做内控还是审计，一定要站在高的角度，才能做好。

否则你的视野就会受限，内控必须要站的高，看清整个环境，看清周边的情况，看清未来的风向。

我们一开始做内控，都喜欢关注细节，就像是三星堆的考古，拿着放大镜观察每一个细节和纹理，寻找内控的某个点的缺陷。

接着看到一个面，建立整个内控的流程和制度。

但是三星堆考古的目的，不是看到挖出的这些面具、瓶瓶罐罐的东西有多漂亮，而是要纵观整个时代。

内控也是一样，我去挖一个内控点，不是针对这个点，而是针对整个石头，它的形状，它的环境，它未来会被吹向何处。

有时候，在我们眼中，觉得这个内控有问题，那个内控有问题，都是很片面的，可能真正的问题在于我们。

内控到底要怎么做呢，攻还是守，未雨绸缪，还是亡羊补牢，其实要根据实际情况，内控没有对与错，没有好不好，只有适不适合企业现阶段的管理和发展。

内控是一种态度，一个企业如果形成成熟的职业体系，必然会经历很多，业务的落地，人才的搭建，资源的整合，运营的机制。

尤其是，内控是一项与人密切相关的工作，除了需要智商，更需要情商，这也是对内控人员更高的要求。

所以作为内控，一定要关注人，关注情绪，内控管理，很多时候管理的不是一件事，而是管理的一些人。

尤其是，内控其实是管理者对企业管理的一种意志，很多人做内控郁闷的不得了，原因就在于，你没有与老板同频，你只是活在自己的世界里，单方面的想做出一些东西而已。

如果老板的认知没有达到，你要做的，首先是影响老板对风险的认识，这种影响，你要想到如何通过内控或者内审，创造价值。你必须要找到这样的一个切入点。

用内控去创造价值，就一定要深入业务。尤其是外部环境的变化，内部模式的发展，对于传统的财务职能冲击非常大，变革内控审计方法，学习利用新技术，才能找到赋能业务的切入点。

内控一定要有抓手。

我们做任何事情，如果想落地，一定要找到抓手。

通常抓手有两个，一个是建立制度，建立流程，因为有了制度和流程，就会自然的产生控制点。

内控在做什么，其实就是根据这些控制点，量化每个控制点的风险，如何量化，其实就是我们的根据这个点画的表格了。

第二个就是跟钱挂钩，仅仅拥有制度和流程，是很难执行到位的，只有能抓住钱，比如绩效、奖金、评分等等，才能产生真正的抓手，才能让更多人重视，让内控落地。

夫尺有所短，寸有所长

物有所不足，智有所不明

数有所不逮，神有所不通。

内控之路漫漫

同志仍需努力。