分析：就具体的工作而言，内控体系从无到有往往体现了工作程序的调整以及规范性的增强，可能导致特定部门或岗位的工作事项增加或性质改变，而这通常意味着特定工作人员工作负担的增加。在这种情况下，出现诸如“内控体系太麻烦”“内控体系影响效率”的抱怨，非常正常。这种错误理解，可能在整体上将内控体系“负面化”，动摇内控体系的企业文化基础，对实施效果产生巨大的消极影响。

澄清：如果对内控体系的特点稍加分析，就能发现上述观点是非常片面的：①所谓“磨刀不误砍柴工”，内控体系中的计划及其他事前准备工作要求，可以更加有效地协调企业资源，提高长期内的工作效率。②内控体系中的各项控制措施，其设立宗旨就在于减少企业的各项损失，这些损失既可能体现为经济损失，也可能体现为效率损失（如各种“返工”所徒增的工作时间，当然，在抱怨内控体系影响效率的人眼里，这些成本通常是不纳入考虑范围的）。③内控体系仅针对经过风险评估、被认定需要进行控制的事项实施控制；在一个健康的内控体系中，被认定为仅仅影响效率、没有收益的控制活动，将会被及时清理。④内控体系关注的是企业整体的、长期的效率，孤立部门或岗位抱怨其自身工作效率受到影响，很可能是一种“只见树木不见森林”的狭隘观点。正好比，绿灯变成红灯，对于刚刚减速停下的车辆而言，确实耽误了司机的时间，但如果没有红绿灯，整个城市的交通必定陷入瘫痪。同理，内控体系关注的是企业整体及长期内的整体效率，而不是孤立部门或岗位的短期效率。

错误理解8：“内部控制就是为了管人”

分析：内控体系的建立，必然伴随着对特定人员的行为限制以及分析：就具体的工作而言，内控体系从无到有往往体现了工作程序的调整以及规范性的增强，可能导致特定部门或岗位的工作事项增加或性质改变，而这通常意味着特定工作人员工作负担的增加。在这种情况下，出现诸如“内控体系太麻烦”“内控体系影响效率”的抱怨，非常正常。这种错误理解，可能在整体上将内控体系“负面化”，动摇内控体系的企业文化基础，对实施效果产生巨大的消极影响。

澄清：如果对内控体系的特点稍加分析，就能发现上述观点是非常片面的：①所谓“磨刀不误砍柴工”，内控体系中的计划及其他事前准备工作要求，可以更加有效地协调企业资源，提高长期内的工作效率。②内控体系中的各项控制措施，其设立宗旨就在于减少企业的各项损失，这些损失既可能体现为经济损失，也可能体现为效率损失（如各种“返工”所徒增的工作时间，当然，在抱怨内控体系影响效率的人眼里，这些成本通常是不纳入考虑范围的）。③内控体系仅针对经过风险评估、被认定需要进行控制的事项实施控制；在一个健康的内控体系中，被认定为仅仅影响效率、没有收益的控制活动，将会被及时清理。④内控体系关注的是企业整体的、长期的效率，孤立部门或岗位抱怨其自身工作效率受到影响，很可能是一种“只见树木不见森林”的狭隘观点。正好比，绿灯变成红灯，对于刚刚减速停下的车辆而言，确实耽误了司机的时间，但如果没有红绿灯，整个城市的交通必定陷入瘫痪。同理，内控体系关注的是企业整体及长期内的整体效率，而不是孤立部门或岗位的短期效率。

错误理解8：“内部控制就是为了管人”

分析：内控体系的建立，必然伴随着对特定人员的行为限制以及配套的监督，这会使企业人员产生“我是不是不被信任”“这些制度是不是为了管我”的疑问。这种错误理解可能导致企业各级成员内心对内控体系产生抵触情绪。

澄清：应该说，这种说法之所以错误，在于其故意混淆了手段和结果。内控体系的确需要对人（特别是关键岗位人员）的行为进行约束，但这种约束本身不是目的——通过对人员进行行为约束进而控制企业的重大风险，才是真实目的。在职业舞弊案高发的社会环境下，遵守规则、接受监督，实现对人行为的有效约束，既是对企业有效运行的保证，也是对企业成员个人本身的切实保护。

错误理解9：“内部控制净管些鸡毛蒜皮的事情”

分析：一方面，在企业实施内部控制的过程中，很多部门或岗位可能并未理解某些具体控制要求的控制目的；另一方面，一些企业由于风险评估活动缺失、管理官僚化等原因，对一些不重要的事项常常过度控制（如任何费用开支不论金额大小一律需要总裁签批）。上述原因可能会让企业成员认为内控体系没有关注重点，从而对内控体系的实施产生明显的负面影响。

澄清：内部控制与“鸡毛蒜皮”应该是格格不入的，如果内控体系被戴上“鸡毛蒜皮”的帽子，则无外乎在如下两个方面出了问题：①是不是鸡毛蒜皮，要站在企业整体层面，用长远的战略视角进行判断。在特定部门或岗位看来是鸡毛蒜皮的事情，对于企业可能意味着重大风险；在当前看来是鸡毛蒜皮的事情，从长期来看可能意味着重大风险（在“岁月号”沉没之前，将货物在货仓甲板有效固定，一定配套的监督，这会使企业人员产生“我是不是不被信任”“这些制度是不是为了管我”的疑问。这种错误理解可能导致企业各级成员内心对内控体系产生抵触情绪。

澄清：应该说，这种说法之所以错误，在于其故意混淆了手段和结果。内控体系的确需要对人（特别是关键岗位人员）的行为进行约束，但这种约束本身不是目的——通过对人员进行行为约束进而控制企业的重大风险，才是真实目的。在职业舞弊案高发的社会环境下，遵守规则、接受监督，实现对人行为的有效约束，既是对企业有效运行的保证，也是对企业成员个人本身的切实保护。

错误理解9：“内部控制净管些鸡毛蒜皮的事情”

分析：一方面，在企业实施内部控制的过程中，很多部门或岗位可能并未理解某些具体控制要求的控制目的；另一方面，一些企业由于风险评估活动缺失、管理官僚化等原因，对一些不重要的事项常常过度控制（如任何费用开支不论金额大小一律需要总裁签批）。上述原因可能会让企业成员认为内控体系没有关注重点，从而对内控体系的实施产生明显的负面影响。

澄清：内部控制与“鸡毛蒜皮”应该是格格不入的，如果内控体系被戴上“鸡毛蒜皮”的帽子，则无外乎在如下两个方面出了问题：①是不是鸡毛蒜皮，要站在企业整体层面，用长远的战略视角进行判断。在特定部门或岗位看来是鸡毛蒜皮的事情，对于企业可能意味着重大风险；在当前看来是鸡毛蒜皮的事情，从长期来看可能意味着重大风险（在“岁月号”沉没之前，将货物在货仓甲板有效固定，一定也是被当事游船公司当作“鸡毛蒜皮”的事情吧）。②如果确实是鸡毛蒜皮的事情，要么是风险评估环节出现了问题，要么是经营环境发生了变化，那就应该对控制措施进行及时调整。“合理规划，突出重点，合理分配管理资源”是任何管理活动的基本法则，通过科学、客观的评估识别并剔除“鸡毛蒜皮”的事项，本来就是内部控制的基本要义。

错误理解10：“只有那些大企业才需要内部控制”

分析：一般而言，规模较大的成熟企业内控体系更加体系化、规范化，并且受到更多人的关注。因此，很多人会产生这样的误解：只有大企业才需要搞内部控制，规模小的企业就没有必要了。

澄清：如COSO框架所提出的，任何组织，无论规模大小，都需要建立与自身特征相匹配的内控体系。其理由包括：①内部控制关注的是响应风险，企业只要面临需要管理的风险，就需要采取一定控制措施（煎饼摊老板收钱会仔细检查一下是不是伪钞，就是典型的内控程序），尽管不同规模、不同成熟度的企业，会体现出不同的特点。②任何企业的内控体系搭建，都会体现为从粗糙到细致、从单线条到系统化的发展过程。正好比，无论什么身材的人都需要衣服，人们应该关注的是如何做到量体裁衣。无论规模大小，只要是企业，就需要一定的内部控制制度，企业应该关注的是如何让内部控制从根本上符合企业特征，满足企业需要。阿里巴巴集团的马云先生在演讲时讲过，在其创业初期，有一次通过查账发现一位财务工作人员“偷钱”，这个事件让他明白创业者应避免犯“抓大不抓小”的错误，即使四五个人的小企业也需要制度，也需要管理，没有好的制度会给企业造成灾也是被当事游船公司当作“鸡毛蒜皮”的事情吧）。②如果确实是鸡毛蒜皮的事情，要么是风险评估环节出现了问题，要么是经营环境发生了变化，那就应该对控制措施进行及时调整。“合理规划，突出重点，合理分配管理资源”是任何管理活动的基本法则，通过科学、客观的评估识别并剔除“鸡毛蒜皮”的事项，本来就是内部控制的基本要义。

错误理解10：“只有那些大企业才需要内部控制”

分析：一般而言，规模较大的成熟企业内控体系更加体系化、规范化，并且受到更多人的关注。因此，很多人会产生这样的误解：只有大企业才需要搞内部控制，规模小的企业就没有必要了。

澄清：如COSO框架所提出的，任何组织，无论规模大小，都需要建立与自身特征相匹配的内控体系。其理由包括：①内部控制关注的是响应风险，企业只要面临需要管理的风险，就需要采取一定控制措施（煎饼摊老板收钱会仔细检查一下是不是伪钞，就是典型的内控程序），尽管不同规模、不同成熟度的企业，会体现出不同的特点。②任何企业的内控体系搭建，都会体现为从粗糙到细致、从单线条到系统化的发展过程。正好比，无论什么身材的人都需要衣服，人们应该关注的是如何做到量体裁衣。无论规模大小，只要是企业，就需要一定的内部控制制度，企业应该关注的是如何让内部控制从根本上符合企业特征，满足企业需要。阿里巴巴集团的马云先生在演讲时讲过，在其创业初期，有一次通过查账发现一位财务工作人员“偷钱”，这个事件让他明白创业者应避免犯“抓大不抓小”的错误，即使四五个人的小企业也需要制度，也需要管理，没有好的制度会给企业造成灾难性的伤害。

如同任何管理方法，企业只有对内部控制形成正确的认识，才能真正有效地应用内部控制。难性的伤害。

如同任何管理方法，企业只有对内部控制形成正确的认识，才能真正有效地应用内部控制。第3章

风险识别、评价与策略制定

如前文所述，企业内部控制的关键价值在于有效应对企业所面临的各类风险，进而支撑企业实现战略目标。企业如果希望从根本上提升内控体系建设的针对性、有效性，就必须清晰地回答下列关键问题。

（1）企业面临哪些风险？如何有效识别这些风险？

（2）这些风险对企业可能造成怎样的影响？其影响程度如何？

（3）对于这些风险，企业应该持怎样的态度，制定何种应对策略？

（4）企业如何将应对策略落地执行？

简言之，把握风险是企业内控工作的基本逻辑起点。第3章

风险识别、评价与策略制定

如前文所述，企业内部控制的关键价值在于有效应对企业所面临的各类风险，进而支撑企业实现战略目标。企业如果希望从根本上提升内控体系建设的针对性、有效性，就必须清晰地回答下列关键问题。

（1）企业面临哪些风险？如何有效识别这些风险？

（2）这些风险对企业可能造成怎样的影响？其影响程度如何？

（3）对于这些风险，企业应该持怎样的态度，制定何种应对策略？

（4）企业如何将应对策略落地执行？

简言之，把握风险是企业内控工作的基本逻辑起点。