关键四步！建立企业内控体系建设的思路和方法

  面对风险，很多企业主都知道，能够最终靠建立内控体系来防范和化解风险。但是，一旦真的要开始建立内控体系了，却变得手忙脚乱，不知道该从哪里着手……建立内控体系，最关键的就是四个步骤！适当运用“外脑”，也是不错的选择！

  按行业划分，分传统制造类、化工类、金融投资类、房地产类、建筑施工类、物流类、商业流通类、服务类、移动互联类……；

  按专业分类，企业的内控包括：公司层面的控制、业务层面的控制和信息层面的控制。

  业务活动层面的内控包括：战略、人力资源、资金、采购、资产、销售、研发、工程、担保、业务外包、财务报告、全面预算、合同管理；

  企业假如没有依据四层框架分析来搭建对自己最合适的内控体系，就会走入内控搭建的误区，要么是走形式，要么建立的内控体系不符合企业真实的情况，就好比给自己穿了一件不合适的外套，内控变成了负担。

  中国企业所处的发展阶段差异非常大，不同成长阶段，不同规模，不同所有制的企业，企业的风险不一样，集团企业更多关心战略风险、管控风险，投资风险，资金风险……而单体企业更关心市场风险、生产风险、质量安全风险。风险不一样，内控上存在的缺陷表现形式不一样，控制的方式也存在很大的差异。

  发现一个企业的内控缺陷不是看他有没有制度和审批，假如没有那是内控设计上的缺陷，如果有了，但企业风险任旧存在，那是执行缺陷，而企业好多的问题是在设计上有，但执行上不能执行，或设计上没有，执行上往往形成了约定俗成的不成文规定。

  那么，有经验与无经验的人来判断这个缺陷就会有很大差异了，当一个缺陷被认定时，设计内控体系时就会按照原定的逻辑来梳理流程，加强关键点、风险点控制，并通过制度来固化。当一个内控规定不能在企业的经营实践中执行时，简单的提出加强控制是不能处理问题的。这种情况一定是企业管理上存在的客观情况，有的是企业的问题，有的是行业的特色。

  如果是企业的问题时，就要帮企业解决执行上的问题，不是强行要求就可以的，这时内控与企业的业务、与公司制作、质量控制、与企业的激励放权措施，与企业的管控模式，与企业的用人机制都有关。当发现一个控制事项不能有效执行时，我们会分析其是系统问题还是单项问题，如果是单项问题，解决的办法会非常容易，如果是系统的问题，需要出示专项的解决办法。

  某集团企业存在短贷长投，企业也知道这是风险，但长时间这么过来了，没有出问题，大家也就习以为常了。从内控要求来看，企业的流动资金紧张，企业存在短贷长投现象时，从内控的角度一定会指出缺陷，在制度上规定不允许短贷长投，但企业资金上的问题一时解决不了，新的风险就出现了，那么企业解决此类内控问题时，需要从根源上找问题，建立资金风险分析模型和预警模型，为公司可以提供更多融资渠道指引，帮助设计内部资金平衡计划，平衡内部资金需求。

  企业存在风险，存在内控管理上的缺陷，就需要加强内控文化建设，通过完善一系列的制度、流程形成共同遵守的规则。内控规则最重要的成果是针对内控形成的各项内控手册。常规的内控手册的构成分6大手册，包括总则、环境分册、风险评估分册、控制活动分册、信息沟通分册、内部监督分册。但手册的内容构成不同咨询团队提供的产品会有较大差异。这其中最关键差异就是适用。而适用与否，不是谁都能实现的。内控要解决的不单单是控制的问题，更多是要解决企业未来的发展与风险控制的协同。

  内部控制规范体系是一个企业内部控制应有的基本管理要求，在规范的基础上来控制才是最有效率和效果的。内部控制改进体系是规范体系运行和完善的机制保障，只有通过监督改进机制，一个规范的体系才能很好地运行、完善。

  内控风险和评价，内控风险评价报告有时是为满足上市公司信息披露用的。而企业本身需要定期提报一份真实的内控评价报告，让决策层清楚的知道企业存在哪些风险，经过控制措施降低了哪些风险，还存在哪些剩余风险。定期评价，一直在改进循环，企业才能处在稳定上升的发展形态趋势中。

  内控风险评价上最大的优势是不仅能帮企业找到风险，而且有对风险的评估能力，设计应对风险的模型，能清晰的通过风险评估工具指出控制的效果，并合理的评估还存在的剩余风险。所谓剩余风险是指那些未能为企业所控制的战略风险和各经营流程的流程风险。

  一般来说，剩余风险往往具有一定的财务后果。它可能会引起企业财务报表的重大错报，使企业财务报表重大错报的风险增加，也可能会引起企业管理层舞弊，严重者还可能会引起企业破产。