没有内控行不行?

这些年，企业内部控制（简称内控）算得上是个热门话题。在从事内控相关的（校内）教学（校外）培训10+年后，一个奇怪的疑问击中了我：没有内控行不行？要是“行”，有些人就解脱了，有些人就失业了。兹事体大，不可不察也。

如果简单地用内控的意义、作用来回答，说“没有内控肯定不行”，还远远不够。那只是浅近的直接原因，并没有触及“灵魂深处”。因此，本文拟刨根问底，探究一番。

一、内控是时代的产物

显然，内控不是自古就有的。上千年的人类文明，在没有内控的情况下，也走到了今天。所以，至少在过去，没有内控也行。这就是内控发展史告诉我们的：内控是随着社会经济活动的发展而不断发展的。这话几乎是正确的废话——空话，如果不加以解释。内控的发展，经历了从无到有、从简单到复杂的过程。因此，有必要简要追本溯源，回顾一下内控发展史。

最初，只有注册会计师关注内控。最早（二战以后）提出内控概念的，也是美国的会计师协会（AIA，即现在的美国注册会计师协会）。CPA关注内控的目的，是在进行财务报表审计前了解被审计单位。换言之，他们关心的内控目标，侧重于财务报告的真实完整，相对比较单一。这一特点延续至今。比如，在《中国注册会计师审计准则第1211 号——了解被审计单位及其环境并评估重大错报风险》中，第四章就是“了解被审计单位的内部控制”，长达51条，占该项审计准则条款数的几乎一半。发展到今天，在内控主体上已经涵盖“董监高”与全体员工，在内控目标上更是在报告之外还多了合规、经营与战略的目标，堪称包罗万象、博大精深。

这样，我们可以说，内控是时代的产物，是企业活动日趋复杂之后带来的一种制度演变。究竟现代企业的哪些变化促成了内控的发展？

二、企业规模的变化“催熟”了内控

我们直观地马上就能想到的是，企业规模越来越大。更准确地说，是最大的那批公司变得更大了。虽然小微企业数量众多，我国截止2019年末的企业法人数超过2000万个（参见国家统计局网站，下同），但真正影响力巨大的还是那些“大块头”。

比如，2018年（再往后的数据暂时没有）规模以上工业企业的主营业务收入为105.73万亿元，但其企业数只有37.4964万个，平均每个规上工业企业的营收为2.82亿元。再看中央企业。按国资委官网上2020年6月的“央企名录”，共有97家。但他们在2020年全年的营业收入为35.33万亿元，平均每家央企的营收为3642亿元。这个数字比之“规上”，可谓“以一当千”都不止。而且，这些超级航母型的公司不会是一夜之间突然出现的，而是在改革开放的过程中逐步发展壮大起来的。这就表明，大企业越来越大。另一个间接证据是，中国的大企业因为越来越大，因此进入世界500强的企业数也就越来越多，在2020年榜单中已超过美国而位居第一。

中国的这种情况是不是特例呢？我国在过去40多年之中变化太多太大，要么缺乏相关数据，要么数据的可比性较差。因此，要分析全球大企业的情况，可以看《财富》500强的数据。该榜单自1996年起发布，依据是1995年的营收。我们从Fortune的网站上找数据，进行了分析。

1995年，全球百强企业的营收2.63万亿美元；世界GDP总额为30.89万亿美元（参见）；百强营收占全世界GDP之比为8.52%。在四分之一世纪之后的2019年，两个数字分别为9.12和87.73万亿美元，它们分别是1995年数值的3.47倍和2.84倍。百强营收占全世界GDP之比为10.40%，明显有所增加。

大企业变大，就意味着那些中小微企业在整个经济体系中的比例缩小了。大象成了恐龙，甚至哥斯拉，老鼠就变成了蚂蚁。既然内控是伴随着大企业的规模变大、占比提高而发展的，那么，我们就可以比较有把握地推论：内控主要是服务于大企业的。

当然，在实践中，企业的规模变大和内控变得复杂这两者是相互依存、互为因果的。因为变大，必需复杂；因为复杂，才能变大。但规模是更“外生”的变量。打个比方，是生态环境的变化促使了生物的基因变异，而不是反过来。“大块头”不得不有“大智慧”，否则就被自然选择给淘汰了。

三、大小企业，内控迥异

规模不同，则内控不同。兹举两例。一是SO（美国的“反虚假财务报告委员会的发起组织”）于2006年发布的《财务报告内部控制——较小型（smaller）公众公司指南》。众所周知，在安然事件之后，美国2002年发布了SOX法案。但是，许多公众公司为遵循法案的“404条款”而负担了巨额成本，有点怨声载道的感觉。这样，就有了前述指南。该指南突出强调“成本效益原则”，充分尊重“较小型”公司的内控特点。比如：（1）管理层更多地通过直接参与、观察来进行控制，而不是依靠授权审批；（2）管理层级少而职责范围宽，职责分离较有限，员工胜任能力可能不足；（3）人工控制更多，而依靠信息技术的自动控制可能投入不足；（4）非正式沟通更多，互动更频繁，书面记录更少。

二是我国国家税务总局于2009年发布了《大企业税务风险管理指引（试行）》。其中许多条目都是只针对大企业才适用。比如，“组织结构复杂的企业，可根据需要设立税务管理部门或岗位”。试想，贵司如果就几位“小会计”，连办税员都是兼职的，又何苦成立“税务部”呢？别逗了。

在现实中，有时却能看到一些明明很小的企业，非要装模作样搞“大内控”。对他们来说，“没有内控”也行！其实，何止内控，连整个企业管理学科皆是如此。商学院能够教的，必定不是小摊贩的“秘诀”。如果您所在单位不是初具规模，真不用读什么MBA。记得有一次，在MBA招生面试时，问及职业规划，某考生答：现在开了个XX店；毕业后还想在街头再开一家。还能更牵强吗？所以，小企业的大内控，就是控制过度，或控制冗余。这个概念，很重要。见下图。

四、企业复杂性影响内控

规模因素对于内控的影响，不仅如上，还有更多。随着规模变大，企业的复杂性程度也越来越高。其具体表现包括：（1）在业务结构上，多元化程度提高。为了满足个性化的需求，过去那种大规模、流水线的标准化生产，在逐步让位于“大规模定制”。（2）在地理分布上，全球化程度提高。当年见到皮尔卡丹都大惊小怪的国人，现在已自如进出于国门。看到福耀玻璃的“美国工厂”，更让人相信“世界是平的”。（3）在变革的速度上，提速加速更加明显。无论知识、技术、法规，还是企业组织形式、商业模式，都在发生翻天覆地的变化，还越来越快，从日新月异到只争朝夕。

因此，不同企业在内控上可谓天差地别。业务单一、本地经营、传统行业的企业，相比业务多元、跨国经营、新兴行业的企业，内控的复杂程度完全不可同日而语。同样，前一类企业搞“大内控”，又是控制冗余，可休矣。