浅谈内部控制:财务是设计者还是执行者?

春天来了，但对于上海的小伙伴来说很可能还要在疫情封控的寒冬中煎熬一段日子。每天刷到各种各样的声音和观点，米姐也慢慢不持有立场了，不在其间的旁观者都无法感同身受，只能给焦虑中的小伙伴们送一句安慰：错过的时间不可逆，现在政策怎么改都会有不小的牺牲，怎么选择都是错，作为普通老百姓也只能安于当下，有建议多践行少空谈，没建议多共情少抱怨。趁着居家不如多学习、多思考，努力让自己强闻博识，解封了好继续拼职场呀~不过真的不知道每天忧虑柴米油盐的财务小伙伴还有没有心思学习~

今天继续翻去年冬天读者们点的梗还有哪些没写。找到一名读者的留言提问是关于会计日常核算与公司经营层面内部流程设计的——

企业存货收发存对不上，应收账款业务员和财务对不上，这些问题要如何解决，内部控制制度要如何设计？

米姐没写过内部控制这个专题，因为企业日常经营中很少有人能说清楚内部控制到底是哪个部门的事儿。所以少有人有动力去研究和系统学习内部控制，更多的是对公司流程制度不完善的吐槽。这名留言的读者算是愿意动脑子多想一步的，因为多数做基层财务工作的只关注这个留言的前半段：存货或应收账款财务和业务口对不上，以及在想解决方案时只想到给业务部门设计什么表格能更方便核对，而不会想到“内控制度要如何设计”这种问题。

以前米粒在普华永道做财务管理咨询顾问时，常用的方法是先对客户企业的财务管理有效性做360度诊断，然后根据客户的痛点和改进的难易程度安排不同模块的改进优先级，比如会计核算流程、预算管理或资金管理模式等等。而在所有待改进的财务管理模块中，内部控制体系优化往往被排得非常靠后，其中一个原因也是因为客户CFO往往不太care这个，我们咨询顾问不容易就这种项目签单。

企业CFO之所以觉得内控体系的改进不是紧急的事，是因为内部控制的好坏虽然会影响财务报表的公允性（比如提问读者提到的存货、应收账款对不上），但内部控制是覆盖公司所有经营活动的系统工程，不论是设计还是执行都需要所有部门参与，如果总经理甚至董事会不直接发话，没有哪个财务总监会主动跳出来说：我们财务要改进公司内部控制体系。毕竟建立及深化内部控制是公司给自己套上更多枷锁，让业务不能灵活开展，这种费力不讨好的事谁也不愿干。

什么时候设计和提升内部控制体系是最合适的？内控体系建设的质变一般都跟股权资本运作有关：上市、并购或引战。上市前改制要引进券商、财务顾问或会计事务所做改制，引战类股权融资过程中的尽调也会披露企业经营中的内控缺陷，需要企业管理层全面改进内部控制系统，这时制度与流程建设/优化的工作才变得紧急重要。

在普华永道工作时，有一次和一个刚收购了外国公司的国内某集团公司客户的CFO及其外国被投方的总经理电话会议谈并购后整合方案，在提到双方制度与流程的整合时，客户CFO对我们咨询团队说了一句话：If you ntrol everything，they can do nothing. 意思是让我们咨询顾问在设计并购后整合方案时不要直接拿他们集团的那套要求被投方，因为如果投资方啥都管，被投方就啥也别干了。

所以说，如果没有股权融资事项的外力推动，财务人员不必急着去设计建立内控制度，象应收账款、存货也业务对不上这种问题谈不上内控制度的设计，这些都属于内部控制执行的问题。今天米姐回答这名读者的留言也得分两段，先说更hands on的，怎么解决应收账款和存货的数据核对差异，再说更抽象的，即怎么设计内部控制体系。

对于应收账款和存货，与业务部门进行核对的目的是保证资产负债表上这两项流动资产科目余额的正确，也就是总账与明细账相符。业务部门的数据即使不是明细账，也至少得是明细账的依据。

由于应收账款和存货都是资产负债表科目，谈资产负债表都是说余额的，是某时点数，不象利润表和现金流量表说的都是期间发生额，所以对于资产负债表科目，财务与业务部门数据最难对上，原因就是余额是两个方向加减滚动计算出来的，不象发生额都是某期间一条一条记录简单加总而得。所以要想让资产负债表科目余额与业务的数据一致，需要把握两个要点：一是计量口径，二是截止时间。

很多人将业务与财务数据不一致归咎为没有上线ERP或其他信息系统。为什么上系统容易解决数据差异问题？本质上就是因为计量口径和截止时间可被系统固化，不容易造假。

比如计量口径，存货科目记录的每一笔入库是获得的发票金额中的不含税价，而应收账款增加的每一笔记录是开具的发票中的价税合计金额，别说业务人员经常不明白，即使是财务人员，如果存货明细账的记账员岗位的人会计知识不够，入库记录的不含税金额也不一定全记对了。

计量时间也是问题，比如当天的入库是当天记录的吗？库管是否存在因忙碌或休假或偷懒等原因延迟记录存货的出入库？并且，所谓当天是截止到几点？是否存在记账员自行将某个时间比如17点后发生的记录视作明天的交易？在没有信息系统的前提下，这些手工记录都无法留下不容修改的证据。

在没有信息系统时怎么办？只有一个办法——勤快。勤快地做单据核对，日清日结。创建日报文档并建工作群每日更新是最有效的办法。比如存货的日报文件需要包括入库、出库、库存台账这三张基本的工作表，然后关联支持性的附表，比如采购序时账，制造型企业还需要有生产领用和完工入库序时账。同样，应收账款的日报文件需要包括发货、回款、客户台账这三张基本的工作表，然后关联支持性的附表，比如发票序时日志、销售订单明细表等。

日报文件的作用是给文件中每一张工作表都指派负责人，所有人每日下班前填好自己负责的部分发到日报工作群里，由指定的计划员或统计员汇总报送给财务，与财务账面记录进行核对。这种日报流程因为统一了计量口径和截止时间，所以可视作没有信息系统时“日清日结”的内部控制程序。

分享米姐多年管理资产负债表的心得：及时做renciliation。renciliation就是核对，单据和台账核对，不同统计方法的台账互相核对，月末结账时明细账与总账/资产负债表核对。所有看余额而不是发生额的经营性资产/负债科目都要勤核对，对差异及时调查原因和跟进消除原因，因为只要一两个月懒或者忙得不去做rennciliation，这个余额滚着滚着就没人说得清楚它是什么了。就好比你常年不看自己的银行卡对账单，忽然一天发现卡的余额和自己预期的偏差很大，你知道哪里出了问题，该怎么查吗？

当然，存货和应收账款是否有每日核对的必要，要看交易频率，比如应收账款如果不是每天发货开票每天回款核销，存货交易每天的出入库也只寥寥数笔，也完全可以每周做一次核对。这事其实就是琐碎，但除了会用到些EXCEL高级函数之外，真没啥技术含量。只要统一规范计量口径和制单、记录台账/日报的截止时间，剩下的就是勤快和责任心这些工作态度层面的事儿。

回答完具体的，再聊聊抽象的“内控制度设计”问题。

首先提一下SO委员会发布的《内部控制整合框架》，不懂这个框架的可以先百度百科了解一下。

在这个SO框架里，米粒想提醒各位注意的是“内控环境”。百度百科这样描述内控环境——它包括组织人员的诚实、伦理价值和能力；管理层哲学和经营模式；管理层分配权限和责任、组织、发展员工的方式；董事会提供的关注和方向。

SO还强调：控制环境是其他部分的基础。什么意思呢？就是如果你公司的老板和核心高管成员都没有以身作则地传递出想要合规经营、杜绝舞弊造假的愿望，或者纵容下属员工的违法违规行为（例如行贿政府官员、偷漏税、虚开发票、财务假账），甚至公司做的业务本身必须依赖这些违法违规行为才能盈利，那么这个公司的内部控制环境就是缺失的，没有内控环境做基础，一切内部控制活动和工具的设计都是空谈，达不到控制目标。

如果按这个标准评估，中国的很多私营企业的内部控制体系都是扯淡，在没有股权融资规划前没有建设和改进内控体系的必要。米粒前两年在公号发布过一篇关于老板报销私人费用的职问答（链接：【米粒职问答】关于老板的私人费用报销），很多私企的老板虽然明面上支持财务建立费用报销制度，但多数是为了约束员工，可不是为了约束自己。所以最后变成很多制度往往定义得很模糊，比如没有量化的定额标准，或没有明确需要什么书面的依据证明费用合理性，最终执行起来还是依靠审批人主观判断真实性，这种制度等于没有。

米粒今天要分享的内部控制制度设计思路是对那些控制环境OK的公司而言的。

设计内控制度的出发点是实现控制目标，企业的内部控制目标包括：

1.保障企业经营的效率和效益，实现经营方针2.保护资产安全，努力防止资产流失。资产一般是指资金、有价证券和实物资产如存货和固定资产3.保证经营信息与财务报告的可靠性，以便管理层对经营做出正确的判断和决策

对这三个控制目标财务人员一般容易关注第3个，就比如前面提到的应收账款和存货和业务数据对不上，关注这条是为了应付审计，因为审计师要求账账相符，差异金额大了没法解释。一部分财务经理也会关注第2个目标，直接原因大概也是因为审计，审计师要实地盘点资产（即要求账实相符）。但是他们实际上都忽略了一点：内部控制是企业自己的事情，不只是为了应付各类审计监察。第2和第3个控制目标（保障资产安全、经营信息和财务报告的可靠）的最终目的都是为了实现第1个目标（实现经营方针），比如规模增长和盈利。

01 满足经营的效率与效益

对SO框架里“控制活动”的设计除了满足资产安全和财务报告有效性以外，还需要体现为实现经营目标的管理手段。例如，如果公司是以执行经营计划并以预算KPI的考核奖励手段来监控保障经营目标的实现，那么在内部控制制度设计上就应该有经营计划、预算、人力资源、绩效管理相关的内容，哪怕这些对财务报表的数字没有影响。

保障经营的效率这点也很有学问。米粒以前做咨询顾问时做民企客户改进财务流程的项目时常碰见这种情况：一笔付款不论事项性质和金额大小，都需要七八个人审批，最终批准人都是总经理，而且流程中一些审批人表示其实不知道自己需要审核什么。其实由缺乏专业知识的人审核属于无效的控制活动，如果流程中有太多无效控制，不仅会降低经营的效率，而且会导致最终没有一个人对结果负责，前面的审核人缺少专业知识想着反正后面还有人把控就签了字，后面的审核人觉得前面的人看过了都同意了应该没啥问题了于是也签了字，最后如果出了问题，审核人多也方便扯皮推诿。

“核决权限矩阵”（Approval Matrix）是解决这种单一审批流程的常用方法，在很多大公司的内部控制系统中都可以看到。既然是个矩阵，就意味着，任何一个决策事项都有两个维度：属性类别和金额。这样的矩阵才能避免上述的无效控制，确保“审批”这项控制活动有助于实现“保障企业经营的效率和效益”的控制目标。

第一个维度属性类别的作用是识别最有专业权威的审核者，让专业的人执行审核这项控制活动。比如工资这个类别的支付事项HR部门最专业，生产用物料的采购事项最有专业能力审核的应该是供应链部门，办公类固定资产的采购事项由行政部门审核是最合适的。

第二个维度金额的作用是释放更高级别管理人员的时间和精力。金额重大的事项对公司完成经营目标和财务报表影响都更重大，需要更高级别的管理者决策。按照“80/20原则”，如果一个业务单位20%的支付事项的金额占总支付金额的80%，那么这个业务单位的核决权限矩阵里需要最高级别管理岗（即一把手负责人）签字审批的支付申请就应该是这金额最大的20%，而剩下的80%再依照同样的原则逐级授权给下属管理岗。

02 保护资产安全

再聊聊第2个控制目标“保护资产安全”的控制活动怎么设计。除了资产盘点保证账实相符以外，重点需要考虑的是保证跟资产有关的“账”的记录完整正确。

要保障资产账簿记录正确，内部控制活动只需要遵守一个原则：分离资产的保管者与记录者。就象我们财务部门要求出纳与会计职责相分离一样，管钱的不能管账，那么对使用和管理实物资产（如存货与固定资产）的业务部门的职责分工也应该满足这个原则——保管库房钥匙的人不能同时负责登记库存台账。

有的公司或部门人少，无法实现这种职责分离要求怎么办？即使是财务部门，人少的时候出纳也常常做会计凭证和记账的。其实只需要保证那名身兼资产记录的资产保管人员的工作成果是经过另一名没有资产保管权限的人员复核过才能在总账与财务报表上生效即可。比如出纳可以兼任付款交易的会计制单，但TA做的会计凭证必须由另一名不负责保管资金的会计人员或财务经理审核后方能过账生成财务报表。

03 保障财务报告的有效性

第3个控制目标保障财务报告的有效性，达到这一控制目标的控制活动就是财务部门自己的事了。除了对会计准则的理解和运用以外，还涉及到所有企业经济交易从制单到记账到出具财务报表的全流程的设计。大些的公司，财务部门有至少10人以上的，做会计的基本都有模块科组分工，比如费用会计、资产会计、成本会计、总账会计等等，小公司一般就是一名会计全盘做。但无论岗位如何分工，要实现保障财务报告有效性的控制目标，会计核算流程都必须体现“无缝衔接”和“账账相符与账证相符”这两个原则。

无缝衔接，是指同一个会计期间内，有多少笔会计凭证，借贷方的会计科目就要有多少笔被记录到明细账记录，所有科目的明细账记录都要一笔不落地登入总账也就是科目余额表（TB）。现在会计信息化已经高度普及，即使没有ERP系统，再小的公司也都会使用单账套和单模块（仅总账）的财务核算系统，因此会计制单-明细账-财务报表这全套流程无缝衔接一般都可以借助财务信息系统实现。

但是如果没有上线ERP系统，或财务核算系统不与业务经营信息系统相关联、会计人员需要根据业务部门提交的原始单据或业务信息系统记录手工填制会计凭证录入到财务系统，依然不能实现一笔不落的“无缝衔接”，这时就会出现前面说的存货、应收账款这些和业务口对不上的情况，那么就只能依靠统一口径和勤快核对来解决。

账账相符与账证相符这个原则，实现起来也不难，就是前面强调的那个词：Renciliation（核对）。所有会计科目，不论是资产负债类还是损益类，每个科目都应该有明细账，明细账的每笔记录都应该对应到原始单据，比如营业收入科目明细账应该对应着开票明细表，开票明细表又会关联到销售、库房、运营交付等业务部门的销售订单明细、发货运单明细或客户验收单明细。同一期间内每张明细表的加总金额都应该与TB上的科目发生额对上。总之，renciliation覆盖的范围越广，做的频率越频繁，颗粒度越细，就越能实现账账相符和账证相符。

说了这么多，最终还是要回到那个“成本与效益相平衡”的问题：内部控制都是企业花钱（增加人力、时间、信息化的资源投入）让自己受束缚，要把自己束缚到什么程度，取决于企业发展的阶段。引用米粒的公司集团CEO几年前在年会上说的一句话：管理不应大于经营，不要业务还没立起来先立一堆条条框框。