得控则强，失控则弱，无控则乱。成功的企业离不开完善的内部控制。它是以专业管理制度为基础，以防范风险、有效监管为目的，通过全方位建立过程控制体系、描述关键控制点和以流程形式直观表达生产经营业务过程而形成的管理规范。

　　中国企业内部控制的规范化和体系化建设虽然起步较晚，但随着《企业内部控制基本规范》和《企业内部控制配套指引》的政策文件的发布实施，已逐渐从境内外同时上市的公司，进一步拓展至沪深两市主板上市公司、中小板、创业板上市公司等各类型企业。

　　尽管如此，企业内控问题依然层出不穷。近年来，此起彼伏的产品质量问题、上市公司财务造假等各类违法违规问题，纵然成因各异，但企业内部控制管理不到位是共同的重要原因。这些事件深刻说明了中国企业普遍存在的内控缺陷，内控形式化、表面化的危害逐渐显现，也凸显了中国企业在内控体系建设方面的差距。

　　“企业内控”为什么会形式化?原因显然是多方面的，如，内控标准不明确、监管部门监察力度不够、企业重视程度不足、内控体系设计不合理、内控执行不给力等因素。笔者认为，形式化的内控根植于企业的“内因”-内控 “五力”缺乏，即：驱动力、支撑力、渗透力、执行力和控制力。

　　驱动力不足

　　所谓内控的“驱动力”是指，企业风险控制和管理提升的内在诉求。规避风险和提升管理就像一枚硬币的两面，对于企业来讲，二者并不矛盾，且同样重要。

　　企业如果缺乏风险控制的强烈意识、缺乏提升管理迫切诉求，就没有进行内控建设的原动力。许多企业将内控建设与企业发展战略结合起来，没有进行顶层设计，没有上升到管理提升的高度，即使在政策合规性强制要求下，也不情愿去推动内控工作;即便开展内控建设，也是形式大于实际，敷衍了事。

　　通过内控建设来提升企业效益是企业内控的目标之一，也是企业内控的根本诉求和本源动力。只有将企业的未来利益和期望与内控捆绑在一起，并号召和发动广大员工全员参与，内控建设才会有活力，内控才不会流于形式。

　　支撑力薄弱

　　企业内控的“支撑力”尤指支撑内控建设的资源准备和基础支撑。包括人力、财力、物力、组织体系、制度体系、保障体系等。内控体系的建设依赖于组织结构优化和支撑体系优化，因此要求企业的内控建设投入大量资源，许多企业因此而不堪重负。

　　由于缺乏这些资源支撑，企业在内控建设中，对组织结构、制度体系、职能支撑部门的管理等，未曾按照业务流程的内在规律和流程改进的要求执行，对支撑的管理系统按照原有固化的系统进行格式化处理，在流程改变的情况下，没有推行相应的组织变革和岗位体系调整，导致内控流于形式。在实践中，许多企业内部管理支撑体系落后，资源支持不足，导致内控建设前后是新瓶装旧酒，换汤不换药。

　　渗透力不强

　　所谓企业内控的“渗透力”是指，以流程再造为重要抓手，深入到企业业务层面，对企业风险全面梳理，对业务活动全面改进。根据《企业内部控制配套指引》所列出的18个模块所示，内控活动涵盖了企业运营的各个环节。企业内控执行中，往往忽略业务和业务流程，更强调财务内控，专注于财务报告及内控环境方面。

　　流程优化是内控体系建设的重要内容，贯穿于企业内控的整个过程之中。不对业务流程进行梳理、改进和优化，就难以发现和解决整个业务活动中的问题;如流程再造不能深入到各个环节，贯穿各个业务活动领域，打通组织间壁垒，内控就成为空话，更达不到监管部门对业务活动实施控制的基本要求。

　　涉及多家制药企业的“毒胶囊”事件中，如果企业能够对采购、质检、仓储、制造、销售等业务各个环节进行细致的流程梳理、风险排查和业务改进，就不会造成如此巨大的损失，也就不会引发全社会对药企的信任危机。

　　由于不重视流程优化和再造，内控缺乏渗透力，对于本该是十分明显的内控缺陷，竟会熟视无睹，本应该完整贯穿整个业务链条的质量标准体系形同虚设，内控丧失穿透力，内控如何“HOLD”住?

　　控制力缺失

　　所谓企业内控“控制力”是指，企业在内控建设过程中的全面控制和监督。包括，对企业内控环境的调研与分析、内控体系设计、风险分析及防范、内控流程与制度体系建设和完善、内控执行与落地等全过程的控制。

　　众所周知，企业内控建设本身就是系统性工程，需要进行系统性规划、设计、完善、执行和改进。有些企业在内控建设中，缺乏内控的控制力，存在对内控过程监督不力、成果难以执行和推进、执行效果不能有效检验等现象。

　　在企业自身的管理能力不足、资源配置不充分或不得当、内控人才缺失、内控建设超越了自身发展要求等诸多因素影响下，“内控”的控制力过低，内控的过程管理出现疏漏，致使内控形式化。

　　在此情况下，专业咨询公司的介入有助于企业弥补自身不足，能够帮助企业实现内控工作的全过程管理，提高内控的控制力，提升内控效果。

　　执行力不够

　　内控执行力特指内控体系建设过程中的执行落地能力。多数企业把内控建设等同于制度文件的修订和完善，在完成了“内控建设”合规性文件编制后并未真正在企业推行，有的企业或因内控体系推行中阻力过大、工作经验不足、可执行性不强等原因而草草收场。

　　企业在内控执行中难以推行，反映出企业内控在思想上和行动上的惰性，反映在在内控实施计划的制定、领导，特别是一把手的重视程度、内控实施的组织、归口管理与授权、内控实施考核与监督等方面。

　　缺乏执行力，内控就没有约束力，内控制度和流程就难以落地，内控就浮于表面。企业处于“有内控无执行”的尴尬境地，无助于企业管理的提升和核心竞争力的打造，背离了内控的初衷。

　　如果企业内控建设停留于表面，则会导致内控流于形式，使内控脱离了监管，偏离了企业的使命和方向，造成内控不能深入实施，风险难以有效防范，企业难以规范运营的怪圈。内控的形式化导致的是企业自身信誉降低、员工利益受损，最终会打击投资者信心，造成公共资源的浪费。

　　因此，企业需要通过对业务活动的细化管理，提升内控的驱动力、支撑力、渗透力、控制力和执行力，真正实现内控规范化。企业应当以流程再造为抓手，将流程管理思想贯穿于内控建设的各项活动之中，将内控架构在优化后的流程之上;企业应当以信息化应用为工具，将内控建设与信息技术相结合，使内部控制变得更加高效和便捷;企业应当以组织体系优化为动力，通过组织体系调整以适应流程变革和内控合规性要求;企业应当以风险管控为保障，通过建立风险数据库，完善内控制度和体系，保障内控有效实施。

　　刘波是赛迪经略集团管控咨询中心总经理