【内审】 一位内控专家的经验之谈,很务实!

前些日子我们集团总部到我们中国区进行内部审计，活活地被折磨了2个多月（1个半月的准备时间，半个月的现场审计），弄得我筋疲力尽、嗓子嘶哑，现在恨不得休个年假。因为我们集团的内部审计是出了名的严格，很多公司的CFO、CEO 都倒在他们的审计之下。

我们对审计原先也没有抱多大的希望，因为我们之前请来了已经通过审计的国外兄弟公司过来帮我们抓问题，他们的判断是非常悲观的。果不其然，我们的审计最终结果是：Unsatisfied !

当审计的几个冷血，在会议室把他们的所观察到的所谓的事实、所谓的违背公司原则的事项、所谓的建议讲了一大通，之后在最后一页很醒目地得出结论是：本次审计没有通过，你们有多长时间可以申诉、如不申诉或申诉无效则多长时间必须按照他们的建议进行改善，他们会定期跟进了解我们的改善情况等等。当时我们中国区CEO在内的所有的执行委员会成员们都恨不得吃了他们，可是人家是那么的坦然，那么的职业！

其实他们的最终结论出来以前，他们将他们的工作草稿跟我们沟通过一次。我们一群人当时感觉还不错，跟对方较真地说：“这段话有问题！你既然讲的是事实那么不能有‘there may not …’‘it will be…’这种字眼——因为这是你的‘image’不是‘fact’”。甚至有人语带威胁说：“如果你们的报告用中文出，那么

你们死定了！汉语的遣词造句，我们比你们强多了！”。审计人员含含糊糊地表示可以考虑你们的意见，没有想到他们在最后的报告里在原则性的问题上基本上没做任何更改。我们大家都很失望，不过对我所控制的部分审计表示比较满意，但我还没来得及高兴，紧接着说到：这样好的控制经验没有在其他地方得到共享，说明我们内部的沟通环节有问题！

虽然我不是什么内控专家，但是对内控的机理、容易出问题的环节，多了一些了解，下面是我的一点心得（失败的经验也是很宝贵的~），或许对应付内部审计有一些提示吧~

首先，做好内控工作的关键是最高管理层对风险的认知程度和规避的态度，这是给内控的整个框架定基调的部分。

就我们公司来说，因为是总部在瑞士，在美国上市的500强企业，所以对各种风险的控制是非常严厉的。尤其是需要提交SOX 法案要求的管理层声明和相关的内控文件，所以内部审计不是开玩笑的。

本来北欧的那些国家就注重各种人权而出名的，而且是廉洁社会的典范，所以这些理念已经延伸到企业经营中的每一个环节。如，不允许给客户、政府机关送现金或现金替代品、礼品不能超过35欧元（在国外是20欧元，只是到了中国标准稍微提高了

点——因为他们认为中国是送礼成风的国家）、不能赠送烟酒、所有的宴请必须有详细的参与人员的清单、不能去卡拉ok和桑拿浴——影响公司形象、给客户的样品必须有跟踪调查报告等等，非常严格。

他们提出来“企业公民”的概念：

•我们竭力提倡和保护联合国人权宣言的内容，不允许出现企业内部践踏人权事情发生；

•我们尊重和认同每个国家的文化差异；

•健康和安全是我们经营中考虑的首要环节；

•我们保护股东、员工、客户、政府和公众的利益。

等等，内容非常全面。

当然，我对这些内容是不是完全得到贯彻持一点点的怀疑态度，但是至少是大体上反映了最高层的经营理念。一个公司通常是基于自己的经营理念提出一个愿景，根据这个愿景制定若干个战略，再根据这个战略提出实现的目标的几个途径，如以人为本、鼓励技术创新、结合什么什么等等，这些形成一个金字塔的构架，自上而下。

那么如何保障公司的战略顺利地实现的呢？

当然有很多个途径，犹如我们实现和谐社会，需要诸多的政府部门、社会、企业、个人等各个角色的参与一样，企业的各个部门必须各司其职——其中内控就像公检法一样，保证公司的各项运

营符合公司的战略、符合国家法律、符合效益最大化的原则，并对违反原则的行为提出整改建议。

不同国家的公检法或类似公检法的机构的权威性都有所不同；内控部门的权力也是一样的，如果最高领导层觉得，没有必要控制那么多环节，或我愿意冒很大的风险来提高发展速度，那么内控部门自然就没有所依仗的尚方宝剑了。说白了，一个国家如果很多部门的之间的相互牵制非常有效，那么他的决策效率肯定会相对低的——至少短期效果来看是——因为很多事情都需要反复地磋商、讨论才可以通过。

但是从长远角度出发，这些磋商的机制、相互限制的机制，可以降低内部的决策失误，权力的极端倾斜问题，所以它是实际上是最高效的一种机制。因为一旦控制缺陷所带来的不良决策的危害发飚时，会很快摧毁把以前的所有的、所谓的高效决策带来的利益的。很多中国企业，刚开始发展很快但是又很快衰败的原因之一，就是缺少一个科学的相互牵制框架，以个人说了算——成也萧何败也萧何。

当年中航油(新加坡)分公司因为参与期货交易而陷入破产境界，其总经理陈久霖亦锒铛入狱。其实，该公司的内控制度是向当地完善的，是安永会计师事务所受中航油总部的委托而设计的，尤其是对期货交易时，现货行情达到什么价格必须平仓，亏损多少以上上报国内的总公司等等。但是，从总公司到新加坡分公司，没有人真正把这个制度当回事，所以最后以国有资产大量流失为告终。简言之，领导层必须放弃什么都要追求高效率的决策方

式，一定要允许有人在头脑发热时泼冷水，否则基业无法常青的——这是内控有效的最重要的前提。

其次，必须对公司所处的经营环境进行彻底的分析。

包括法律环境分析，如何种行为容易触犯行贿关联的规定；政策环境分析，如国家的产业政策、环保政策等对公司产生什么影响；经济环境分析，如汇率变动、利率变动、价格变动等方面的分析。根据这些外部环境的分析，提炼出对公司造成最大风险的环节，并进行相应的应对措施。

具体地从我们公司的情况来说，内控的目标是把公司的可能面临的风险进行具体化，并划分到若干个相对度独立的业务循环（operation cycle）中，再把每个循环必须涵盖的控制点清楚地列示。我们公司把业务区分为：生产及存储环节、采购环节、财务报表及帐务环节、固定资产环节、人员及工资环节、销售及回款环节等循环。每个循环又区分出若干个子循环，并详细地描述其内容。如采购环节中，必须控制的点是：下订单的人和签收货物的人区分开、哪些采购必须得3个以上的供应商报价、客户的基础的维护权限如何区分、检验不合格的原辅材料和合格品仓库的位置在系统和实物上如何区分、标准单价预测机制是什么等等，大概有80多个控制点。

那么如何建立有效的内控机制呢？