企业经历了创业初期的无序发展之后，当业务增长到一定规模，必然会产生内部控制和管理的相关需求。内部控制通过组织架构、制度和流程进行经营管理，利用财务、法务等进行有效的监督，目的是管理企业经营中产生的风险，并且将风险降低至管理层可接受的范围以内。
内控管理是企业经营中不可缺少的部分，但大多数中小企业在施行的过程中，经常会因为各种各样的原因导致内控失效，各种制度流程形同虚设，在增加成本的同时，没有达到控制风险的目的。
导致内控失效的原因
一是治理结构不完善。公司应该分为管理层和治理层。管理层负责企业的经营决策，治理层执行监督和控制。两者是相互制衡的关系。但在中小企业中，公司的集权比较严重，管理和治理的职能都集中在公司的控制人身上，这样就会导致控制人凌驾于公司内部控制之上，最简单也是最常见的表现就是老板一言堂。
二是内部控制“度”的把握。试想一下，一家初创的公司，如果各项制度和流程都参照传统行业设置得特别严谨和复杂，会出现什么样的状况？通常制度执行不到1个月，就会引起各部门的反对，为了应对各种突发和紧急的情况，出现大量的流程外特批，财务部需要反复在各部门间进行询问和沟通，无法把控风险的同时在很大程度上降低了工作效率。
所谓“度”的把握，就是制度流程设置的松紧。制度和流程太松，会遗漏潜藏风险的关键环节，可能会促使舞弊等情况出现；制度和流程太紧，繁复的程序会增加员工的抵触心理。同时，流程审批环节太多会拖慢企业运营的效率，相关部门需要增加相应的时间成本进行公司内关于制度和流程的培训。
最合适的松紧度就是在风险和企业期望达到的控制目标之间寻找一个平衡点，让制度和流程可以覆盖企业经营过程中存在风险的环节。同时，保证整体的运营效率，考虑例外情况和紧急情况的处理。
三是部门间缺少沟通和协调。内部控制不仅是一个部门的工作，企业完整的内控体系需要公司各部门的协同和支持。如果企业内部信息传递不顺畅、部门间缺少沟通渠道，在各部门间就会形成信息差。信息差会导致同一个流程中各部门所知道的信息是不同的。一方面，信息差拖慢了审批的进度，降低了流程的效率；另一方面，这种信息差会在部门之间制造矛盾，当出现问题的时候，各部门就会开始推诿责任。这种情况可能会让问题进一步扩大，为企业带来更大的损失，也会影响各部门之间的团结。
四是制度流程脱离实际。内控体系的建设需要符合企业的行业特性以及实际情况。制造业的制度流程不能照搬到文化传媒行业，同一行业中A公司的制度流程也不能完全照搬到B公司。如果一味生搬硬套，就会让制度和流程脱离企业的实际情况，当然无法执行下去。
另一种脱离实际的情况就是当企业的战略和业务方向发生变化的时候，制度和流程没有随之进行更新，导致原有的制度或流程无法适应新的业务，增加了企业运营的风险。
五是缺少监督机制。内控管理的执行过程和结果需要相应的部门进行监督，最有效的机制是在企业中设立独立的内控内审部门进行监控。部门的独立性可以保证内控管理不会受到管理层的制约，能够更加深入挖掘企业经营中的风险。但中小企业通常让财务部承担这部分责任，如果财务部在企业中缺少话语权或是相应的专业能力，内控管理就很难执行下去。
企业缺少信息化系统的支持，制度和流程落地会更加困难，不方便财务部对风险进行监控，也容易产生各种人为导致的错误和风险。同时，信息化系统的缺失会加重部门之间的信息差，重要的资源和信息掌握在少数人手中，没办法做出有效的信息隔离，增加了信息泄露和流失的风险。
此外，制度流程中各部门的职责没有与绩效挂钩，制度中缺少相应的奖惩措施，无法对业务的过程和结果进行评价，实际上也是监督机制的缺失。无人评价也就无人重视，内控管理当然会失效。
让内控管理有效执行的建议
内控管理想要有效执行，首先，需要从上而下进行风险意识的灌输。管理层意识到内部控制对于降低风险的作用，强化了对于风险的认知，具有基本的财务意识。
在具有这种认知的情况下，企业可以调整组织架构，划分各部门权责，将风险意识向下传递到各部门。各部门进行业务梳理，重新审视原有的制度和流程。财务部需要起到搭建整体内部控制体系架构的作用，将各部门的制度和流程进行连通，最后形成一张网，覆盖企业运营中所有存在风险的环节。这种从上而下的传递，可以保证企业管理框架的完善，在框架的基础上填充内容，让内部控制更加贴合企业的实际情况，保证执行的有效性。
各部门在整个内部控制的过程中，需要更加频繁的沟通，消除部门之间的信息差，保证信息流通的顺畅，增强协同效应。
其次，利用内部控制的框架，促使部门之间相互制衡，将不相容的职责适当分离。同时，利用各部门在业务链上的位置让其相互监督，或是成立单独的委员会进行某方面的管控，这样可以避免权力集中引发的控制失效。
例如，在企业中设立单独的预算管理委员会、项目审查委员会等，委员会包含相关的各部门人员，大家可以针对委员会的工作内容充分发表意见，这样可以从不同角度探讨风险，从而进行下一步的管理。
内部控制不能是救火式的控制，企业经营中哪里发现问题就紧急出台相应的制度，应收账款回款周期长，就制定应收账款管理制度；库房发货错乱，就制定发货监管制度。这种亡羊补牢一般的应急措施，缺少统一性、系统性和完整性，因为制度编制的部门不同，很容易产生不同制度中对同一个项目描述和规范的差异。所以，企业应该在业务梳理后搭建内部控制框架，进而明确需要制定什么样的制度、决定哪些环节需要控制，控制过程中各部门需要发挥什么样的作用等。这些问题都需要建立在系统性的思考基础上，而不是发现一个风险就形成一个制度。内控体系应该是完整的网状，而不是零星的散点。
最后，财务需要起到相应的监督作用。无论使用财务分析、预算管理、规划预测等哪种手段，都需要定期检查内控执行的情况，及时根据业务和企业情况的变化调整相应的制度和流程。为了提升效率，可以设定相应的量化指标，例如审批流程每个环节的审批时间不能超过两个工作日等。这种量化的数据可以帮助企业进行判断和决策。如果审批流程耗时过长，是否需要酌情减少审批环节，还是需要缩短各审批环节的时间限制？这种调整决策需要数据进行支持。
总之，企业在制定内部控制的制度和流程时，需要慎重地进行考虑，抓住业务中主要的风险点进行管理。同时，要有应急方式面对突发和紧急情况，将企业中不合规的处理引导至合规的方向，这样才能最大限度降低企业经营的风险。
来源：漫谈财管 作者：张楠
（责任编辑：韩福恒）