作者：郗晓明
邮箱：xixiaomingde@163.com（如需转载，请联系作者）
本文作者郗晓明，国际注册内控师，现就职汉能薄膜发电集团全球总部，曾任职天职国际会计师事务所有限公司、和君咨询集团，曾参与财政部《企业内部控制基本规范》的研讨，具有N股/H股/A股上市公司数十年内控经验。
其他
冯萌博士|对明公子《内控到底是不是必要的？来谈谈个人的理解！》一文的回应
以下为明公子的原文，我直接在原文段落里回应，以便查阅。
【专栏丨明公子】
内控到底是不是必要的？来谈谈个人的理解！
背景介绍
之前锐思高垚博士发布的《内控是把双刃剑，不是所有企业都需要！》（可参看本公众号今日的第2条推文）一文，提出了“不是所有的企业都需要内控”的核心结论；而近期阅洲咨询冯萌博士的《谈谈“企业内控”与“企业特征”、“信任”及“成本”的关系》（可参看本公众号今日的第3条推文）一文对高垚博士的该观点提出质疑，并得出“任何所有制、任何发展阶段的企业都需要建立内控体系”的相反结论。
以上两位博士观点的都来源于一个案例。高垚博士在其文章开篇中提到：
“前段时间有一个朋友问我，他们公司准备开展内控建设，具体该怎么做？我问他公司成立多久了，他说6个月。我问他现在公司多少人了，他说7，8个人。于是我立马打消了他的念头：你们公司还处于初创期，这个时候需要的不是内控，而是信任；如果一个初创的团队连相互间的信任都没有，还需要内部控制来相互制衡，那么你们公司也走不长远。”
基于以上案例，准确来说，就是“初创公司是否需要内控”？如果针对初创公司分析得出建立内控体系的必要性的结论，那么其他的大中小型公司建立内控体系的必要性就不言而喻了。那么基于此，本人结合自己多年的工作经验来谈谈个人拙见。
冯博士文章中的观点分析
① 存在自相矛盾的地方
“一、先说说企业内控本身”中提到：“在人数很少的企业，企业成员完全可能在日常工作中通过相互直接观察就实现满意的相互制衡，无需再专门设置正式的制衡机制。”
高博士在其文中也提到“因为公司的人员有限，管理幅度小，每个人做什么大家都充分了解，所以也并不需要额外的制约机制来防范。”
【个人观点】以上两个观点可以看出，意思表示基本一致。
然而在“二、内控与企业特征的关系”中对于高博士的上述观点表述为“这段表述本身逻辑漏洞太过明显，‘资产安全风险’也不都是由于公司人员的行为‘不被其他成员了解’而引发，也可能是发生了意外火灾或者城市内涝。”
【个人观点】以上内容可以看出，既然两者的观点基本一致，冯博士却对高博士的观点提出反驳，那么其文中的第一部分和第二部分就显得自相矛盾了。
冯萌回应1
本人同意的是“在人数很少的企业，企业成员完全可能在日常工作中通过相互直接观察就实现满意的相互制衡，无需再专门设置正式的制衡机制”的观点，然而对于很多风险（比如“意外火灾或者城市内涝”），单单依靠公司成员间的相互“制衡”本身并不能有效应对。从逻辑的角度，我同意的是“前提”，不同意的是“推论”。就好比，我同意你“地球是圆的”的观点，但不同意你“地球是圆的，所以人在地球上是站不稳的”的推论。请问明公子，所谓“自相矛盾”体现在哪里？
② 理解偏颇
“一、先说说企业内控本身”中提到：高博文中所述的“如果一个初创的团队连相互间的信任都没有，还需要内部控制来相互制衡，那么你们公司也走不长远”、“企业所有者面对信息不对称和委托代理机制，必须采取一个有效的制衡制约机制来防范和协调个人利益与公司利益的矛盾，这就产生了内部控制”，这样的表述几乎将内控等同于（相互）“制衡”，显然混淆了目的和手段。
【个人观点】文中将高博士的观点理解为“将内控等同于制衡”从而得出混淆了目的和手段的结论，似乎有些偏颇。内部控制起源于内部制衡，而且也是目前被广泛应用的内控手段之一，尤其对于初创企业或是小企业应用较多，因此这里强调了相互制衡，更多的是从实务的角度考虑。严格意义上讲，理论层面分析的话，相信作为内控专家的高博士应该不会把内控与制衡划等号，从而犯如此低级的错误。
冯萌回应2
1）本人同意“内部制衡是目前被广泛应用的内控手段之一”；
2）本人仅从高博文章内容（“还需要内部控制来相互制衡”等表述是高博士文章原文）角度出发进行分析，哪里偏颇，请明示；
3）至于高博士有没有“犯如此低级的错误”，抱歉，本人对高博士专业能力不太了解，如方便，还请明公子自行求证。
③ 视角不同
“二、内控与企业特征的关系”中提到，处于创业初期的企业，其内控体系往往存在不稳定的特点，这非常正常。正因如此，创业初期企业必须关注并持续管理自身面临的各类风险。风险是客观存在的，不会因为企业处于创业期就会自动网开一面——诸如包括资金链风险、知识产权风险、税务风险、股权争议风险在内的各类风险，已让大量创业初期企业折戟沉沙。
【个人观点】首先，任何一个公司内控体系都存在不稳定的特点，并随着企业的发展而不断更新和优化，从而保持动态平衡。其次，对于一个初创企业，提出“内控体系”、“风险管理”的观点不太妥当，仅作为理论层面的分析研讨勉强可以，但实务层面不太可行，因为没有哪个初创企业大谈内部控制体系，并上升为体系的高度，虽然存在各种风险，作为初创企业的创始人一般都能考虑到，而并非要建立所谓的内控体系。最后，文中举例的“资金链风险”、“知识产权风险”不太恰当，内部控制的核心内容是“以流程为对象”，离开流程谈内控，那就应该是全面风险管理，而并非内部控制。
冯萌回应3
1）本人说“处于创业初期的企业，其内控体系往往存在不稳定的特点”，是相对于业务相对成熟的企业而言，这难道是在否认“任何一个公司内控体系都存在不稳定的特点”吗？我如果说：“我爱吃包子”，明公子是否要回一句：“你凭啥不爱吃馒头？”
2）先不论明公子为何认为“体系”这个词一定要有对应“高度”、且一定要衔接“大谈”二字，先不妨看看本人文章中的若干观点：
a. “内控成本必须结合内控收益来讨论，内控收益又取决于通过控制措施降低风险的程度（控制措施的有效性）以及风险本身的重要性（发生概率与发生后的后果严重性）.......在具体的内控操作中，对这些事项进行科学有效的评估恰恰是企业内控人员/外部专家必须根据企业实际情况认真求证、审慎判断和谨慎取舍的内容”。
b. “任何所有制、任何发展阶段的企业，为了实现其自身长期良性发展的目标，都需要建立相应的内控体系，且内控体系的具体形式特征应该符合企业的实际情况（例如，在并没有建立董事会的企业，与董事会相关的很多内控操作就应被视为“不适用”）”
明公子放着本人文章中这些明确的观点不看，集中精力解读“体系”二字，着实令人不解。假设“体系”一定对应着一定的复杂性，在这里请教明公子，小企业参照我国新近颁布的《小企业内部控制规范》（2017年6月29日，由财政部发布，自2018年1月1日起施行）所建立的内部控制，能叫“体系”吗？
3）内控COSO五要素中的第二个要素就是“风险评估”，我国五部委《企业内部控制基本规范》第三章整整一章都是“风险评估”，本人无法理解为何举例“资金链风险”、“知识产权风险”，即是“全面风险管理，而并非内部控制”。
“二、内控与企业特征的关系”中提到，高博文中对创业初期企业“生存”、运营“效率”的强调。理解为高博士将此类风险评价为重大风险，同时，将此类风险评价为重大也并不代表创业企业不需要关注其他风险（如前文所述）。但高博文据此得出“对初创期的企业来说，内控基本不需要”的结论，不符合逻辑。
【个人观点】
①我们虽然从事某个行业，但也需要站在外面看看，不能太沉迷于理论知识，不能自我陶醉在专业中，所谓“不识庐山真面目，只缘身在此山中。”
冯萌回应4
同意，但1）不知道与主题有何关联；2）谁陶醉了？本人没有，莫非是明公子？
②初创企业生存、市场、效率比生命还重要，作为创始人必须重点考虑，理论上企业成立之时风险随之诞生，但也并不意味着老板天天把风险管理挂在嘴边，如此束手束脚，草木皆兵，何谈发展。相对于风险观，创始人的胆略、魄力、气势、敏锐的商业嗅觉才更为重要。
冯萌回应5
同意，但做内控就意味着“老板天天把风险管理挂在嘴边”？就意味着妨碍创始人发挥其“创始人的胆略、魄力、气势、敏锐的商业嗅觉”？据我所知，明公子在企业也是从事内控专业职能，莫非明公子所在企业的老板就“天天把风险管理挂在嘴边”？
③另外，对于初创企业，高博士之所以提出“内控基本不需要”应该是指不需要建立完整的内控体系，但基本的制衡机制还是有的，伴随着企业的诞生，内控的一些措施或手段也会相应而生，并非绝对不存在，只是没必要做成体系化，因为其基本的管理规则可以满足其日常运行即可，如文中合伙人对于转账规则的调整，或是老板集权批准所有事务。
冯萌回应6
既然又提到“体系”这个词，本人又通读了高博士整篇文章，未见一处用到“内控体系”的提法，不知道明公子何以得出“博士之所以提出‘内控基本不需要’应该是指不需要建立完整的内控体系”的结论。我注意到其间有“应该是指”的表述，同前，还请明公子自行向高博士求证。
④此文的背景为7,8个人的初创企业的案例，但文中却举例大中电器、蒸功夫、联想等大型集团企业实为不妥。
冯萌回应7
1）文中大中电器“借条纠纷”隐患以及联想使用legend商标都是发生于上个世纪80年代，真功夫（并非“蒸功夫”）股权比例隐患也是发端于企业建立最初阶段。那个时候，这些企业都远未达到规模化经营的程度。请问如何能因这些企业现在的规模较大就得出类比“实为不妥”的结论？莫非明公子已断定背景案例中的企业就一定做不大？还是说必须找只有7、8个人、建立只有6个月的企业才能类比？
2）明公子在文中多次提到了“7、8个人”的数据，本人也顺便引申一下：
a. 这7、8个人是什么构成搞清楚了吗？都是股东/合伙人，还是一个老板带着几个员工？
b. 这7、8个人所从事的行业搞清楚了吗？
如果是一个老板带着几个员工创办一家幼儿园，员工有没有幼师职业资格老板要不要控？如果这老板打算给这几位员工安排集体宿舍，宿舍消防安全要不要控？幼儿餐食供应安全要不要控？如果这老板手下有个员工，既当出纳又当会计可不可以？针对这些问题，请问依靠“信任”、“每个人做什么大家都充分了解”能解决吗？
⑤各位也都创业成立公司，请问各位公司是否建立健全内控体系？是否编制内控手册？
冯萌回应8
1）内控体系“健全”是相对于企业客观需要而言的：满足企业实际需要的，就是“健全”的；
2）“建立健全内控体系”就必须“编制内控手册”？想到明公子最后一部分的标题居然是“该结论有些形而上学”，令人啼笑皆非啊。
④ 广义和狭义之分
“三、内控与信任的关系”中提到从整体上看，笔者认为内控和信任绝非两个互斥的概念，具体表现为：1）信任是企业内控体系运转的基础；2）与信任有关的风险，应该纳入内控体系的管理范畴。缺乏对于信任的有效管理，本身就是一类典型的企业内控缺陷。内控体系需要将信任因素纳入其管理范畴，具体体现在：1）从内控的角度，信任必须有边界/底线。2）从内控的角度，信任基础应该得到过程管理。
高垚博士观点，内控与信任是可以相互替代的。如果企业对一个岗位越信任，那么对于他的制约机制就可以越少。
【个人观点】冯博士分析的没错，但这种方法着重于从狭义的角度分析正常运行平稳的大型企业集团用人策略。之所以会出现这种情况，与高博文章内容有关，其中第4点中提到“对于非上市民营家族企业来说，信任可能比内控更为有效。” 文章观点起源于初创企业的那7-8个人，而这句话的阐述无形中扩大了样本空间，因为“民营家族企业”一般都是大型企业或集团化公司，从而导致其论点受到质疑。
冯萌回应9
1）关于“7、8个人”回应7中已做回应，至于高博士是不是“无形中扩大了样本空间”，还请明公子自行向高博士求证。
2）明公子“民营家族企业”一般都是大型企业或集团化公司的表述，则似乎“无形中缩小了样本空间”。
而高博士“内控与信任是可以相互替代”的观点着重于从广义角度对7-8个人的初创企业制约机制和信任的考虑，但也确实存在内控与信任关系界定存在瑕疵，内控与信任是存在交集的，并非相互独立或相互替代，信任的基础上依然会存在内控措施，只是信任的边界需要界定。企业实务中，大家是否还记得小米创业时7-8个核心合伙人是如何运作的？在如此简约的团队中有个基本的运作机制就行，是不会上升到内控与信任如此高度去分析的，更别提具体执行了。
冯萌回应10
1）关于“7、8个人”回应7中已做回应。
2）“如此简约的团队中有个基本的运作机制就行，是不会上升到内控与信任如此高度去分析的，更别提具体执行了。”请问明公子是如何得出这样的结论的？对于简约的团队，为什么围绕“内控与信任”做一下分析都不可以？
3）很佩服明公子可以在“内部控制”、“内控体系”、“全面风险管理”、“运行机制”等概念之间自由切换。
⑤ 脱离语言环境的理解会扭曲
“四、内控与成本的关系”中提到，对高垚博士三个必须解读为：不仅显得相当教条，而且正是在内控实践中应该尽量避免的“过度控制”及“形式化控制”倾向。
以观察到的一些企业“内控高成本”（比如企业在美国公开市场上市、需要满足SOX法案苛刻的内控合规要求）得出另一些企业“不需要搞内控”的结论，存在着显而易见的逻辑谬误。
【个人观点】高博士“三个必须”的观点都是基于一个打算建设内控体系的企业，也是给咨询他的那个朋友的回复，当然会涉及那“三个必须”的方式和内容，而且只是罗列了部分内容来强调内控中的主要手段，但并非具体设计阶段和实施阶段，因此何谈过度控制？形式控制？
冯萌回应11
1）重点不在于“三个必须”的方式和内容，重点是为什么是“必须”，请勿偷换概念；
2）既然是必须，当然存在“过度控制”的风险。
对于一个成立没几个月的初创公司，就咨询建立内部控制体系事宜，当然成本很高，当然没有必要。创始人对管理的基本理解是可以满足其初步运营的。当一个公司刚设立，还没有业绩、没有市场的时候就大谈内部控制，并提高到需要建立内控体系的高度，那才是真正的过度控制。内控越位于经营是非常失败的，这不就是前些天任正非说的，为了风险控制，而把业务逼上梁山。
冯萌回应12
1）背景案例原文是“前段时间有一个朋友问我，他们公司准备开展内控建设，具体该怎么做？”——为什么人家来咨询一下，就一定“当然成本很高，当然没有必要”？“当一个公司刚设立，还没有业绩、没有市场的时候就大谈内部控制”——对方只是提了一下需求，明公子为什么用“大谈”二字？假设高博士是明公子所描述的“专家”，就不能针对对方公司的实际情况，提出一套简化的内控方案（比如参考前文所述的《小企业内部控制规范》要求）吗？
2）任总的文章本人读过，观点很有道理，但现在华为作为一家超大型企业，与我们现在的讨论的场景有可比性吗？就观点本身而言，本人文章的观点与之有冲突吗？
⑥ 理论只有真正的落地才能发挥价值
冯博士以所在小区煎饼摊作为示例，基于内控体系（仅引入部分核心要素）的简单分析，从控制环境、风险评估、控制措施、职责/流程等方面进行如下详述，从而得出任何所有制、任何发展阶段的企业都需要建立内控体系的结论。
【个人观点】冯博士能把小区的煎饼摊的经营都可以按照内控框架进行详细解构，分析的确实挺到位的，但有时理论上可行而实际中未必可行。就好比打拳是一样的，有的是真功夫，有的是花拳绣腿，貌似动作和姿势都一样，在对抗中是否真的有实力，实战中才可以体现出来。那么我想问问，咱们的咨询机构中有哪个承接过煎饼摊的内控项目？是否真的有必要？哪个煎饼摊？咨询费多少？项目周期多久？
冯萌回应13
1）关于文中的煎饼摊，本人这些年光顾了不下100次，出于个人职业习惯，其间也有很多观察和交流，文中所归纳的要点，基本上也是煎饼摊实际操作的归纳。是不是“花拳绣腿”不好评价，煎饼摊长期稳定经营是事实。
2）明公子“那么我想问问，咱们的咨询机构中有哪个承接过煎饼摊的内控项目？是否真的有必要？哪个煎饼摊？咨询费多少？项目周期多久？”本人很好奇明公子问这个问题的目的是什么？是想说做过内控咨询项目的才叫建立了内控？究竟谁在“形而上学”？
⑦ 该结论有些形而上学
笔者同时认为“企业可以不需要内控”的观点作为另一个极端，其危害性不亚于“为内控而内控”。当有客户抱着开放心态求教内控问题时，笔者建议专业人士不要简单地给出“您的企业需要内控或者不需要内控”或者“您的企业有信任就够了”之类的结论。
【个人观点】一个企业是否有建立内控体系的必要性，一个从业多年具有丰富实践经验的专家经过简单了解后是可以初步做出判断的，比如对于一个初创型几个人的企业，或是一个刚成立两三年但高速成长的企业，都是不需要的。而能够给出这样的结论并非对对方不负责任，也并非极端，能做出这样的初步判断，是对个人实践能力和专业技能的考验，并且对对方更加负责，从而避免做很多无用功。
冯萌回应14
1）再次强调一遍，本人对高博士专业能力不了解，仅能从文章本身进行分析评价；
2）本人从事内控咨询工作也已超过10年，个人认为，任何具体咨询意见的得出，都应该基于详尽的调研，不应该出现类似“超准八字算命，不准不要钱”的场景。毛主席的“没有调查，就没有发言权”著名论断，同样适用于内控咨询行业。
总结
1、综上所述，我更认同高博士的观点。因为从实际的角度考虑，其观点更加务实。然而冯博士的理论分析也比较到位，考虑比较周全，但是在实际应用层面，还需要综合平衡和考量。
冯萌回应15
对高博士文章务实的观点不敢苟同。
2、任何一个公司，都应该是业务先行，如果没有业绩的情况下谈内控都是伪内控，都是为了内控而内控。内控的存在不是为了阻碍业务发展的，而是为业务保驾护航的，促进业务有效运转和良性发展的。固然，只要企业诞生，就伴随着风险，也有内控措施的存在，但并不意味着把风险和内控时刻挂在嘴边，并拔高到体系化的高度。那样的话，就真的把业务逼上梁山了。
冯萌回应16
关于“体系”以及“风险挂在嘴边”等内容，前面已回应（回应3、回应5），不赘述。
3、除了初创企业外，非上市公司的发展速度或规模效应可以覆盖/承受风险损失时，内部控制体系建设依然不会受到关注的，比如做一个三五十亿的生意，最多损失三五十万，影响不大，因此别搞神马内控体系来干扰我的业务运营（当前上市公司建设内控更多的是因为资本市场监管的需要）。比如小米公司在成立的前三四年间，业绩呈几何倍数的增长，即使出现个别风险事件，但依然整体可控或是损失可承受的情况下，内控体系建设是不需要的。
冯萌回应17
1）明公子是想说“小米公司在成立的前三四年”是没有“内控”的？说实话这个观点比较惊悚，我另外求证一下。
2）明公子的“因此别搞神马内控体系来干扰我的业务运营”说得很对，但这代表的是失败的内控实践，内控同仁要引以为戒。
以上内容仅为笔者十多年的实践经验之谈，尤其是在企业中，比较关注实际效果。但依然难免有所纰漏，如有不当之处，也请大家批评指正。作者邮箱：xixiaomingde@163.com
冯萌整体回应
1）感谢明公子对文章的点评；
2）无论是写文章还是与客户交流，工作经验及专业能力应更多体现在文章/交流的内容质量而非气势上。应以理服人，毕竟“强词”最终也没法“夺理”，气场再大也不管用。
⊙高垚 博士 原文：《内控是把双刃剑，不是所有企业都需要！》
⊙冯萌 博士 原文：《谈谈“企业内控”与“企业特征”、“信任”及“成本”的关系——兼与高垚博士商榷》