第2版序言　企業(yè)內(nèi)部控制：從“一句廢話”到“千變?nèi)f化”┊
由簡入繁：企業(yè)內(nèi)部控制緣何復雜
內(nèi)部控制的核心思想可以歸納為一句話：“如果你覺得會受到損害，那么你就應該采取對策�！壁吚芎κ侨祟惖谋灸埽@句話幾乎就是一句“廢話”。
然而，就是這樣一句“廢話”，在現(xiàn)實中卻呈現(xiàn)出了千變?nèi)f化的情形。不僅國家出臺了一系列內(nèi)控相關文件，而且理論圖書更是汗牛充棟。與此同時，企業(yè)所進行的實踐活動亦是令人眼花繚亂。為什么會這樣？筆者認為，一個關鍵的原因是，即使在不考慮企業(yè)戰(zhàn)略多樣性的前提下，企業(yè)經(jīng)營本身也是一個極端復雜的場景。這種場景的復雜性直接導致了內(nèi)部控制的復雜性。具體表現(xiàn)在以下四個方面。
1. 企業(yè)目標的多樣性
企業(yè)在其既定戰(zhàn)略及目標下，需要對股東、債權人、員工、社區(qū)或社會公眾、行業(yè)內(nèi)其他企業(yè)、政府等主體的利益訴求進行積極響應。與之相聯(lián)系，企業(yè)往往需要同時遵循稅務、環(huán)保、安全、質(zhì)量、特殊行業(yè)監(jiān)管、資本市場、勞動者保護、反壟斷等多方面要求。例如，2021年4月，市場監(jiān)管總局依據(jù)《中華人民共和國反壟斷法》，對美團立案調(diào)查：美團因濫用在中國境內(nèi)網(wǎng)絡餐飲外賣平臺服務市場的支配地位，采取多種懲罰性措施、手段等，保障其“二選一”獨家合作行為的實施，排除、限制了相關市場競爭，被責令停止違法行為，全額退還獨家合作保證金，并處以34.42億元罰款。
2. 企業(yè)外部環(huán)境、業(yè)務模式及風險態(tài)度的多樣性
外部環(huán)境。企業(yè)外部環(huán)境可能會持續(xù)發(fā)生變化，即便當前不存在重大風險，未來也可能出現(xiàn)重大風險。例如，筆者所住小區(qū)旁邊是上海一大型會展中心，路邊餐飲門店將展會帶來的人流作為主要目標客戶。然而，2021年由于疫情的影響，數(shù)月之內(nèi)的會展中心活動都被取消了，餐飲門店損失慘重。
業(yè)務模式。不同的企業(yè)通常會采取不同的業(yè)務模式，進而影響企業(yè)所面臨的風險特征。例如，�；飞a(chǎn)、運輸?shù)绕髽I(yè)會面臨更加顯著的�；钒踩嚓P風險；在經(jīng)營過程中需要獲取大量客戶信息的企業(yè)，會面臨更加顯著的客戶信息泄露風險。
風險態(tài)度。不同企業(yè)的高層對風險的偏好存在差異，一些企業(yè)愿意“冒險”，而另一些企業(yè)則會選擇“保守”，這會對企業(yè)所面臨的風險特征產(chǎn)生顯著影響。例如，在2020年前后國家對房地產(chǎn)行業(yè)進行宏觀調(diào)控的大背景下，一些房企采取了“去杠桿”“縮規(guī)�！钡拇胧�，而另一些房企則進一步擴大經(jīng)營規(guī)模。
3. 企業(yè)風險管理活動的多樣性
即使針對客觀上完全相同的風險，不同的企業(yè)所進行的風險管理活動也可能存在顯著差異。
風險識別和評價能力建設。由于企業(yè)部門設置、職責分配、人員素質(zhì)、領導重視程度等因素的影響，不同企業(yè)在識別風險、評價風險的能力上會出現(xiàn)顯著差異，具體表現(xiàn)為一些企業(yè)對風險能夠保持敏感，而另一些企業(yè)則對風險缺乏反應。例如，2021年9月13日，臺風“燦都”登陸我國期間，一名行人在上海長風大悅城星巴克門口被一未得到有效固定的廣告牌砸傷。
風險承受及控制成本投入。由于業(yè)務規(guī)模、資金實力、股東背景等因素的影響，不同企業(yè)的風險承受能力以及控制成本投入也會存在差異。實力雄厚的企業(yè)不僅能夠承受較大的風險損失，還能夠在控制成本上進行更大的投入。例如，設置專業(yè)部門，引入專業(yè)人才，購買專業(yè)數(shù)據(jù)，購買咨詢服務等。
控制措施選擇。所謂“條條大路通羅馬”，針對同一類風險，由于企業(yè)文化、管理風格、信息化水平等因素的影響，不同的企業(yè)可能選擇不盡相同的控制措施。例如，針對費用控制，有的企業(yè)主要依靠業(yè)務部門審核，有的企業(yè)主要依靠財務部門審核，而有的企業(yè)則更多地依賴執(zhí)行預算費用標準。
4. 企業(yè)構成主體的多元性
一家企業(yè)，無論規(guī)模大小，通常都會由多個部門、崗位構成，而在這些部門、崗位上，會配置相應的人員。如果是企業(yè)集團，還會涉及總部和下屬分支機構。企業(yè)構成主體的多元性是企業(yè)內(nèi)控復雜性的一個重要因素。企業(yè)構成主體的多元性要求我們關注如下問題。
目標和權責利結(jié)構。在同一企業(yè)內(nèi)部，不同的主體會有不同的微觀目標和權責利結(jié)構。例如，在生產(chǎn)過程中，生產(chǎn)部門追求生產(chǎn)任務完成率，質(zhì)量部門追求產(chǎn)品質(zhì)量合格率；在投資過程中，業(yè)務部門追求項目落地，風控部門追求風險可控；在預算編制過程中，各個部門都希望收入類預算目標易于達成，費用類預算目標留足余地。因此，企業(yè)必須在各主體間協(xié)調(diào)、溝通等方面設置控制措施以明確不同主體的目標和責任，例如，召開跨部門協(xié)調(diào)會議，設計集體決策機制，制定責任認定程序等。
組織習慣養(yǎng)成成本。有種觀點認為，自然人養(yǎng)成一個習慣需要21天。一項管理制度或流程通常會涉及多個部門或崗位，制度或流程的有效執(zhí)行則依賴所有相關人員都能夠有效執(zhí)行，這種“習慣”的養(yǎng)成不可能一蹴而就。因此，企業(yè)還需要采取必要措施，例如，加強人員培訓、制度宣傳貫徹、績效考核等。
信息不對稱與代理問題。在企業(yè)多個主體之間，會存在多個“代理鏈條”，例如，董事會代理股東會開展工作，總經(jīng)理會代理董事會開展工作，并這樣一級一級往企業(yè)基層傳遞。在代理關系中，不同主體間往往會存在信息不對稱的情況，進而產(chǎn)生代理問題，如“偷懶”“道德風險”“過度冒險”等問題。典型的例子包括：設備維護人員執(zhí)行點檢時“敷衍了事”，信用審核人員“放水”，費用報銷人員“夾帶”個人費用，收銀員侵吞收入款等。由于存在這些問題，企業(yè)還需要采取包括加強監(jiān)督檢查、落實不相容職責等在內(nèi)的一系列措施。
企業(yè)目標、外部環(huán)境、業(yè)務模式、風險態(tài)度、風險管理活動、企業(yè)主體權責利結(jié)構及信息不對稱等諸多因素，會直接增加企業(yè)所面臨風險的多樣性，進而增加具體控制措施的復雜性。而這些復雜性，又會給企業(yè)帶來如下兩個方面的影響。
（1）具體控制措施持續(xù)演化。
在企業(yè)的經(jīng)營場景下，企業(yè)為了達到最終的控制效果，往往需要對控制措施進行持續(xù)演化。比如：
1）企業(yè)必須持續(xù)識別和評價風險，并制定對應的控制措施。
2）為了讓這些控制措施能夠執(zhí)行，企業(yè)可能需要落實具體的部門和崗位職責。
3）為了讓各個部門和崗位人員能夠高質(zhì)量履職，企業(yè)可能需要制定具體的工作執(zhí)行標準。
4）如果控制措施涉及多個崗位或部門，企業(yè)可能需要制定跨部門和崗位的流程，以進行分工和協(xié)調(diào)，并固化最佳實踐。
5）為了確保各個部門和崗位有效履職，企業(yè)可能必須關注對應崗位人員的能力與素質(zhì)匹配，而實現(xiàn)這一點，企業(yè)則可能還需要關注人才的引入、培訓和考核。
6）為了提高各部門和崗位的履職質(zhì)量，同時降低道德風險，企業(yè)可能需要關注不相容職責分離并形成業(yè)務牽制。
7）為了明確各個部門和崗位的工作責任，傳遞信息、留下痕跡，企業(yè)可能需要設計業(yè)務執(zhí)行配套表單并記錄。
8）為了提高各類管理活動的嚴肅性、一致性并實現(xiàn)持續(xù)優(yōu)化，企業(yè)可能需要形成書面制度文件，并對其進行持續(xù)評估和迭代更新。
9）為了從整體上進一步提高內(nèi)控體系的執(zhí)行效果，針對內(nèi)控體系中的各個環(huán)節(jié)，企業(yè)可能需要引入獨立監(jiān)督。
上述控制措施的演化過程可參看圖P-1。

圖P-1　控制措施的演化過程
（2）企業(yè)內(nèi)控成功要素變得多元。
上述控制措施復雜性的疊加，使得卓有成效的企業(yè)內(nèi)控依賴于一系列相互聯(lián)系的成功要素，具體如圖P-2所示。

圖P-2　內(nèi)控取得實質(zhì)效果的關聯(lián)要素
化繁為簡：提煉企業(yè)內(nèi)部控制的基本范式
內(nèi)部控制復雜的表現(xiàn)形式，可能會讓企業(yè)忽略其實質(zhì)，甚至出現(xiàn)機械模仿的現(xiàn)象。市面上很多內(nèi)控圖書，主要都是展示一些制度或流程示例。事實上，由于各家企業(yè)情況不一，讀者可能會發(fā)現(xiàn)這些示例很難生搬硬套。例如，示例中可能會涉及多個部門，然而讀者所在企業(yè)的組織架構中可能并未設置相同的部門。又如，示例中可能將特定事項最終的審批權限設置得很高或者很低，讀者所在企業(yè)卻并沒有這樣的權限設置。筆者認為，有價值的內(nèi)控圖書，應能透過豐富多彩的內(nèi)控實踐表象提煉出企業(yè)內(nèi)在的基本范式，同時展示企業(yè)應如何結(jié)合其自身戰(zhàn)略、業(yè)務特征等因素加以應用。就企業(yè)內(nèi)部控制而言，其基本范式表現(xiàn)在如下五個方面。
（1）意識與理念。
在任何企業(yè)，企業(yè)人員（特別是中高層人員）具備風險意識、內(nèi)控理念，是推動企業(yè)內(nèi)部控制的基本前提，而風險意識和內(nèi)控理念存在基本范式。
（2）風險與對策。
有效地識別與評價風險，制定有針對性的對策，是內(nèi)控實施中的關鍵一環(huán)。風險本身可能有各種表現(xiàn)形式，但識別風險、評價風險以及針對風險制定對策，存在基本范式。
（3）原理與工具。
將實務中的各種管理實踐進行歸納，能夠得出被反復檢驗的內(nèi)控原理和措施工具范式，特定企業(yè)只需要結(jié)合其自身情況對這些原理和措施工具進行調(diào)整即可加以應用。
（4）場景與應用。
企業(yè)應能夠在具體業(yè)務場景下，靈活地進行風險識別、評估并制定對策，靈活應用前述內(nèi)控原理與措施工具。如何在典型業(yè)務場景下分析并應用內(nèi)控，存在基本范式。
（5）體系與落地。
碎片化的內(nèi)控措施無法有效發(fā)揮作用，企業(yè)必須致力于搭建內(nèi)控體系并推動其落地執(zhí)行。如何實現(xiàn)企業(yè)內(nèi)控體系搭建及落地，存在基本范式。
本書的最主要目標就是對上述內(nèi)控范式進行提煉，同時展示其應用要領—圍繞內(nèi)控范式，讓讀者先“懂”再“用”，如表P-1所示。
表P-1　本書對內(nèi)控范式的提煉
章主要內(nèi)容內(nèi)控范式
第1章　認識內(nèi)部控制內(nèi)部控制理論發(fā)展至今，全球多家組織提出了系統(tǒng)的內(nèi)部控制框架。我國內(nèi)部控制的發(fā)展主要受到企業(yè)自身需求和政府部門監(jiān)管要求兩方面的影響。企業(yè)需要從自身出發(fā)，實質(zhì)性地理解企業(yè)為什么需要采取內(nèi)部控制，企業(yè)需要采取什么樣的控制措施，企業(yè)如何確�？刂拼胧┞鋵嵰庾R與理念
第2章　企業(yè)內(nèi)部控制的核心價值理性的企業(yè)管理者應確保企業(yè)在內(nèi)控方面所進行的投入能夠形成有效的產(chǎn)出。優(yōu)良的企業(yè)內(nèi)部控制將在企業(yè)戰(zhàn)略執(zhí)行、風險管理、業(yè)務執(zhí)行力、管理經(jīng)驗及資源沉淀、舞弊遏制及合規(guī)等多個方面產(chǎn)生巨大價值意識與理念
第3章　風險識別、評價與策略制定企業(yè)內(nèi)部控制的關鍵價值在于應對企業(yè)所面臨的各類風險，進而支撐企業(yè)戰(zhàn)略目標的實現(xiàn)。企業(yè)可采取有效手段，識別企業(yè)面臨的風險，評估風險的影響并選擇合適的風險應對策略，為具體內(nèi)控措施的制定奠定基礎風險與對策
第4章　內(nèi)部控制措施工具控制措施工具選擇與應用的系統(tǒng)性、規(guī)范性及可落地性，在很大程度上決定了企業(yè)內(nèi)控的有效性。企業(yè)需熟練掌握內(nèi)控原理及13類典型的內(nèi)控措施工具，并結(jié)合企業(yè)實際情況，靈活選擇、應用原理與工具
第5章　內(nèi)部控制工具業(yè)務場景應用設定業(yè)務循環(huán)場景，有助于限定內(nèi)控事項范圍并實現(xiàn)對關鍵問題的聚焦，是對企業(yè)進行內(nèi)控分析、開展內(nèi)控設計的主流實務方法，包括控制目標制定、業(yè)務風險識別、組織架構及職責體系分析、在關鍵業(yè)務環(huán)節(jié)設置控制措施等工作步驟場景與應用
第6章　企業(yè)內(nèi)部控制體系建設企業(yè)內(nèi)控體系搭建涉及內(nèi)控規(guī)劃、設計、落地、評價、更新等環(huán)節(jié)，重點工作內(nèi)容包括內(nèi)控體系建設基本路徑設計、關鍵內(nèi)控成果編制及維護、實現(xiàn)關鍵內(nèi)控“閉環(huán)”、企業(yè)重要角色分工、內(nèi)控落地措施制定、內(nèi)控相關職能劃分、內(nèi)控評價等體系與落地

企業(yè)內(nèi)部控制受到多種因素的影響，使其表現(xiàn)出復雜性。而掌握內(nèi)控，則需要透過其復雜性總結(jié)內(nèi)在規(guī)律，提煉并應用其基本范式。本書將通過系統(tǒng)專業(yè)的總結(jié)和大量實操案例，幫助讀者“知其然并知其所以然”，切實提升自身對內(nèi)控的理解和專業(yè)應用能力。
結(jié)合理論界與實務界的最新發(fā)展及讀者反饋，第2版在第1版的基礎上，除了進行全面文字修正、案例及分析性內(nèi)容增補，主要還更新了如下內(nèi)容。
（1）第2章中新增內(nèi)控體系的戰(zhàn)略導向，從上市公司內(nèi)控審計看企業(yè)內(nèi)控合規(guī)要點，從央企內(nèi)控文件看企業(yè)內(nèi)控合規(guī)要點，企業(yè)合規(guī)的專業(yè)屬性等內(nèi)容。
（2）第3章中新增“五要素”閉環(huán)風險分析模型及其應用等內(nèi)容。
（3）第4章中新增越權風險解析、評審內(nèi)部控制措施工具的應用等內(nèi)容，修訂通過信息化完善內(nèi)控等內(nèi)容。
（4）第5章中新增研發(fā)業(yè)務循環(huán)內(nèi)控質(zhì)量分析示例等內(nèi)容。
（5）第6章中新增財務報告內(nèi)部控制核心問題解析等內(nèi)容。