【原创 · 高谈博论】内控不是灵丹妙药，也有局限和不足
自2008年财政部、证监会等五部委颁布《企业内部控制基本规范》以来，国有企业和上市公司在监管机构的强力推动下，无不开展了内控体系建设，“内部控制”一词成为了规范管理的代名词，内部控制的研究和实践终于从幕后走向台前，成为一门显学。
于是，越来越多的内控研究机构和内控咨询公司如雨后春笋，遍地开花，摇旗呐喊地鼓吹内控的重要性和价值性，内控似乎成为了包治企业百病的灵丹妙药：中国企业的发展不规范、制度不健全、职责不清晰、执行不到位都可以通过内控来全盘解决。
在这一内控概念的春风下，很多企业的老总对其充满了期待，希望通过内控的推行，解决发展和管理中的所有问题。然而，现实总是残酷的，很多企业在实施了内部控制之后摇头叹气，欲说还休，更有甚者说内控原来不过是一方狗皮膏药，功效甚微。
那么，企业的老总们和管理者们对内部控制的认知为什么会有前后如此大的反差呢？因为内部控制作为管理的一种手段，并不能解决所有管理问题，内部控制有其固有的限制和不足。如果我们认识不到这些局限，一味的取短求长，那么内控是发挥不了它的功效的。
内部控制的局限和不足主要体现在以下几个方面：
内部控制可以防范操作风险，但是不能防范所有风险
企业在持续的经营中面临各种各样的风险，包括战略风险、市场风险、法律风险、财务风险、运营风险等等，企业的管理就是对这些风险不断的进行识别、分析、评价和应对。内部控制作为规范企业内部管理的一种手段，解决的是内部程序的规范性，防范的是因操作不到位引起的舞弊风险。因此，对于外部的环境风险，内部控制往往爱莫能助。比如以投资为例，通过内部控制，可以建立从立项、可研、尽调、评估、评审到决策的规范的投资操作程序，防止内外部人员的勾结带来投资损失。然而即使这些程序在步骤、职责、岗位、权限方面全部做到位，最终的投资依然可能失败，因为投资仍面临外部需求、市场价格、技术变革、国家政策等环境风险，这些风险不是内部控制的程序性可以解决的，必须通过复杂的模型去评估和应对。
内部控制可以解决内部舞弊，但是不能解决串通舞弊
内部控制的整个运作体系基于一个基本假设：两个人共同犯错（不管是无意犯错还是有意犯错）的概率要远远小于一个人犯错的概率。所以，内部控制主要通过增加某一事项的参与人员，比如职务分离、岗位监督、授权审批、资产盘点等，来防范内部人员的单独舞弊行为，这些措施能较好的解决企业内单人舞弊或者同质岗位舞弊的情形。然而，一旦业务流程中的上下岗位串通起来，内部控制就会失效。比如我们会强调会计与出纳要职务分离，会计管账，出纳管钱，这样是为了保障财务资金的安全。可是，如果出纳和会计两个人串通一气，那么这种职务分离就形同虚设，毫无作用了。
内部控制可以制约中基层操作，但是不能制约高层操作
在企业常见的管理架构中，自上而下包括股东会、董事会、监事会、管理高层、各部门管理中层、以及操作基层六个层级。其中，管理高层是承上启下的层级，既需要在股东会和董事会的授权下负责经营企业，又需要建立规范的程序来保障中基层员工能够严格执行。此时，股东会和董事会往往是通过公司治理机制，即一整套的决策权限、考核指标和审计监督，来约束管理高层的行为。而内部控制作为企业内部具体业务的操作程序，更多的是基于管理高层的思路进行的内部业务规则的安排。在这种情况下，很多企业会出现管理高层凌驾于内部控制之上，所以内部控制并不能完全有效的解决治理层的问题。
内部控制可以规范重复性流程，但是不能规范新生性流程
很多企业在构建内控体系时往往提出希望内控能够有前瞻性，能够解决公司未来新业务可能出现的问题和风险。然而，内部控制作为对操作流程的程序规范，更多的是基于公司已有的管理经验和管理模式，是对公司管理发生的以往事项的规范。对于尚未发生的业务流程，因为公司的组织架构、业务模式、岗位配置等都没有明确，很难对其进行有效的梳理和规范。因此，我们常常说内部控制相对公司实际业务的发展，往往是有滞后性的，这种滞后性也要求我们需要不断地去审视和评价现有内控体系的有效性，从而对内部控制进行不断地优化和完善。
作者：高垚 博士
Copyright©2014-2016 风控在线
该素材文章为风控在线微信公众号原创内容，为风控在线版权所有，如需转载，请注明转载自风控在线微信公众号。如未注明内容出处，我们将联系微信官方进行处理，谢谢！