注：1.“提”指“提出、申请”，“知”指“被告知”，“审”指“审核”，“议”指“审议”，“决”指“审批、决定”，“执”指“具体执行”。

2.“审1”“议2”等中的数字代表完成权限动作的先后顺序。其中，“审”通常在“议”之前，如有特殊情况需在“备注”栏说明。

4.风险清单

风险清单是指企业根据自身战略、业务特点和风险管理要求，以清单形式进行风险识别、风险分析、风险应对措施制定、风险报告和沟通的工具方法。企业应用风险清单的主要目标是使企业系统掌握自身存在的重大风险，明晰各相关部门的风险管理责任，规范风险管理流程，并为企业构建风险预警和风险考评机制奠定基础。典型风险清注：1.“提”指“提出、申请”，“知”指“被告知”，“审”指“审核”，“议”指“审议”，“决”指“审批、决定”，“执”指“具体执行”。

2.“审1”“议2”等中的数字代表完成权限动作的先后顺序。其中，“审”通常在“议”之前，如有特殊情况需在“备注”栏说明。

4.风险清单

风险清单是指企业根据自身战略、业务特点和风险管理要求，以清单形式进行风险识别、风险分析、风险应对措施制定、风险报告和沟通的工具方法。企业应用风险清单的主要目标是使企业系统掌握自身存在的重大风险，明晰各相关部门的风险管理责任，规范风险管理流程，并为企业构建风险预警和风险考评机制奠定基础。典型风险清单示例如表6-3所示。“风险清单”的编制过程，可参看第3.2.5节“风险评价成果输出”。风险清单编制的关键点如下。

（1）建立风险基础信息收集、风险识别、风险评价基本流程。

（2）明确各项风险的具体控制措施及风险责任部门与岗位。

（3）对风险清单进行动态维护。

表6-3　典型风险清单示例

此外，除了上述举例的典型内控成果，企业可根据实际管控需求，编制制度汇编、风险评估手册等其他内控成果。

5.内控成果质量特征

（1）内控成果间的一致性。

在多种内控成果并存的情形下，企业应在内控成果之间保持一致性，如风险清单中的控制措施应在内控手册中得到体现，内控手册不能与管理制度相抵触。

（2）内控成果的可理解性。单示例如表6-3所示。“风险清单”的编制过程，可参看第3.2.5节“风险评价成果输出”。风险清单编制的关键点如下。

（1）建立风险基础信息收集、风险识别、风险评价基本流程。

（2）明确各项风险的具体控制措施及风险责任部门与岗位。

（3）对风险清单进行动态维护。

表6-3　典型风险清单示例

此外，除了上述举例的典型内控成果，企业可根据实际管控需求，编制制度汇编、风险评估手册等其他内控成果。

5.内控成果质量特征

（1）内控成果间的一致性。

在多种内控成果并存的情形下，企业应在内控成果之间保持一致性，如风险清单中的控制措施应在内控手册中得到体现，内控手册不能与管理制度相抵触。

（2）内控成果的可理解性。企业在编制内控成果时，应选择恰当的表述与表现形式（如流程图、表格等），使内控成果易于阅读、理解、索引及查找。

（3）内控成果的可操作性。

企业应通过明确操作细节（如控制活动细节、控制措施的执行部门与岗位等）提高内控成果的可操作性。关于“可操作性”，相关内容可参看第6.5.2节“提高内控‘可操作性’”。

（4）内控成果的落地。

企业应通过培训、宣传贯彻及考核，营造健康的控制环境，促进成果落地执行。

（5）内控成果的动态更新。

各项内控成果在执行过程中，当内外部环境及其他因素发生变化时，应及时评价并更新内控成果。

关于内控成果的落地及动态更新可参看第6.5节“内控体系的落地”。企业在编制内控成果时，应选择恰当的表述与表现形式（如流程图、表格等），使内控成果易于阅读、理解、索引及查找。

（3）内控成果的可操作性。

企业应通过明确操作细节（如控制活动细节、控制措施的执行部门与岗位等）提高内控成果的可操作性。关于“可操作性”，相关内容可参看第6.5.2节“提高内控‘可操作性’”。

（4）内控成果的落地。

企业应通过培训、宣传贯彻及考核，营造健康的控制环境，促进成果落地执行。

（5）内控成果的动态更新。

各项内控成果在执行过程中，当内外部环境及其他因素发生变化时，应及时评价并更新内控成果。

关于内控成果的落地及动态更新可参看第6.5节“内控体系的落地”。6.2　内控体系中的关键闭环

6.2.1　“碎片企业化”内控：企业问题“症状解”随着我国企业管理者内控意识的逐步加强，很多企业开始逐步制定各类内控措施。然而，我国一些企业仍然普遍地、显著地存在内控体系各环节间相互脱节的问题。内控体系“碎片化”，已成为困扰我国企业管理水平持续升级的重要因素。企业内控“碎片化”通常表现为：

●似乎企业所有的业务领域都得到了管理，但仍会在关键环节出现问题。

●当前看似已经解决的问题，后续仍然重复出现。

●解决一个问题，却会出现另一个甚至更严重的问题。

●流程似乎健全，但无法得到理想的流程输出结果。

●企业各部门在实现了专业分工的同时，却莫名导致了严重的管理割裂。

●“意料之外”的问题频繁发生。

彼得·圣吉在《第五项修炼》里提到，问题的解决方案既有“根本解”，也有“症状解”。“症状解”能迅速消除问题的症状，但只有暂时的作用，而且往往有加深问题的副作用，使问题更难得到根本解决，而“根本解”是解决问题的根本方式，只有通过系统思考，看到6.2　内控体系中的关键闭环

6.2.1　“碎片企业化”内控：企业问题“症状解”随着我国企业管理者内控意识的逐步加强，很多企业开始逐步制定各类内控措施。然而，我国一些企业仍然普遍地、显著地存在内控体系各环节间相互脱节的问题。内控体系“碎片化”，已成为困扰我国企业管理水平持续升级的重要因素。企业内控“碎片化”通常表现为：

●似乎企业所有的业务领域都得到了管理，但仍会在关键环节出现问题。

●当前看似已经解决的问题，后续仍然重复出现。

●解决一个问题，却会出现另一个甚至更严重的问题。

●流程似乎健全，但无法得到理想的流程输出结果。

●企业各部门在实现了专业分工的同时，却莫名导致了严重的管理割裂。

●“意料之外”的问题频繁发生。

彼得·圣吉在《第五项修炼》里提到，问题的解决方案既有“根本解”，也有“症状解”。“症状解”能迅速消除问题的症状，但只有暂时的作用，而且往往有加深问题的副作用，使问题更难得到根本解决，而“根本解”是解决问题的根本方式，只有通过系统思考，看到问题的整体全貌，才能发现“根本解”。

闭环式管理由平衡计分卡创始人罗伯特·卡普兰（Robert Kapla）和戴维·诺顿（David Norto）在《闭环式管理：从战略到运营》一文中提出。概言之，闭环管理通常是指企业管理中有规划、有布置、有落实、有检查、有反馈、有改进的一个闭合环式管理。

相对于“碎片化”，“闭环”会体现出系统、周全、动态性、以终为始的特点。从“碎片化”内控向“闭环”内控的转变，本身就是从“症状解”向“根本解”的过渡。企业内控体系的有效建立，需要基于“全局化”视角，在设计过程中着力构建一系列重要“闭环”。问题的整体全貌，才能发现“根本解”。

闭环式管理由平衡计分卡创始人罗伯特·卡普兰（Robert Kapla）和戴维·诺顿（David Norto）在《闭环式管理：从战略到运营》一文中提出。概言之，闭环管理通常是指企业管理中有规划、有布置、有落实、有检查、有反馈、有改进的一个闭合环式管理。

相对于“碎片化”，“闭环”会体现出系统、周全、动态性、以终为始的特点。从“碎片化”内控向“闭环”内控的转变，本身就是从“症状解”向“根本解”的过渡。企业内控体系的有效建立，需要基于“全局化”视角，在设计过程中着力构建一系列重要“闭环”。