作者：郗晓明
邮箱：xixiaomingde@163.com（如需转载，请联系作者）
本文作者郗晓明，国际注册内控师，现就职汉能薄膜发电集团全球总部，曾任职天职国际会计师事务所有限公司、和君咨询集团，曾参与财政部《企业内部控制基本规范》的研讨，具有N股/H股/A股上市公司数十年内控经验。
其他
【专栏丨明公子】内控到底是不是必要的？来谈谈个人的理解！
The following article is from 节点金融 Author 郗晓明
背景介绍
之前锐思高垚博士发布的《内控是把双刃剑，不是所有企业都需要！》（可参看本公众号今日的第2条推文）一文，提出了“不是所有的企业都需要内控”的核心结论；而近期阅洲咨询冯萌博士的《谈谈“企业内控”与“企业特征”、“信任”及“成本”的关系》（可参看本公众号今日的第3条推文）一文对高垚博士的该观点提出质疑，并得出“任何所有制、任何发展阶段的企业都需要建立内控体系”的相反结论。
以上两位博士观点的都来源于一个案例。高垚博士在其文章开篇中提到：
“前段时间有一个朋友问我，他们公司准备开展内控建设，具体该怎么做？我问他公司成立多久了，他说6个月。我问他现在公司多少人了，他说7，8个人。于是我立马打消了他的念头：你们公司还处于初创期，这个时候需要的不是内控，而是信任；如果一个初创的团队连相互间的信任都没有，还需要内部控制来相互制衡，那么你们公司也走不长远。”
基于以上案例，准确来说，就是“初创公司是否需要内控”？如果针对初创公司分析得出建立内控体系的必要性的结论，那么其他的大中小型公司建立内控体系的必要性就不言而喻了。那么基于此，本人结合自己多年的工作经验来谈谈个人拙见。
冯博士文章中的观点分析
① 存在自相矛盾的地方
“一、先说说企业内控本身”中提到：“在人数很少的企业，企业成员完全可能在日常工作中通过相互直接观察就实现满意的相互制衡，无需再专门设置正式的制衡机制。”
高博士在其文中也提到“因为公司的人员有限，管理幅度小，每个人做什么大家都充分了解，所以也并不需要额外的制约机制来防范。”
【个人观点】以上两个观点可以看出，意思表示基本一致。
然而在“二、内控与企业特征的关系”中对于高博士的上述观点表述为“这段表述本身逻辑漏洞太过明显，‘资产安全风险’也不都是由于公司人员的行为‘不被其他成员了解’而引发，也可能是发生了意外火灾或者城市内涝。”
【个人观点】以上内容可以看出，既然两者的观点基本一致，冯博士却对高博士的观点提出反驳，那么其文中的第一部分和第二部分就显得自相矛盾了。
② 理解偏颇
“一、先说说企业内控本身”中提到：高博文中所述的“如果一个初创的团队连相互间的信任都没有，还需要内部控制来相互制衡，那么你们公司也走不长远”、“企业所有者面对信息不对称和委托代理机制，必须采取一个有效的制衡制约机制来防范和协调个人利益与公司利益的矛盾，这就产生了内部控制”，这样的表述几乎将内控等同于（相互）“制衡”，显然混淆了目的和手段。
【个人观点】文中将高博士的观点理解为“将内控等同于制衡”从而得出混淆了目的和手段的结论，似乎有些偏颇。内部控制起源于内部制衡，而且也是目前被广泛应用的内控手段之一，尤其对于初创企业或是小企业应用较多，因此这里强调了相互制衡，更多的是从实务的角度考虑。严格意义上讲，理论层面分析的话，相信作为内控专家的高博士应该不会把内控与制衡划等号，从而犯如此低级的错误。
③ 视角不同
“二、内控与企业特征的关系”中提到，处于创业初期的企业，其内控体系往往存在不稳定的特点，这非常正常。正因如此，创业初期企业必须关注并持续管理自身面临的各类风险。风险是客观存在的，不会因为企业处于创业期就会自动网开一面——诸如包括资金链风险、知识产权风险、税务风险、股权争议风险在内的各类风险，已让大量创业初期企业折戟沉沙。
【个人观点】首先，任何一个公司内控体系都存在不稳定的特点，并随着企业的发展而不断更新和优化，从而保持动态平衡。其次，对于一个初创企业，提出“内控体系”、“风险管理”的观点不太妥当，仅作为理论层面的分析研讨勉强可以，但实务层面不太可行，因为没有哪个初创企业大谈内部控制体系，并上升为体系的高度，虽然存在各种风险，作为初创企业的创始人一般都能考虑到，而并非要建立所谓的内控体系。最后，文中举例的“资金链风险”、“知识产权风险”不太恰当，内部控制的核心内容是“以流程为对象”，离开流程谈内控，那就应该是全面风险管理，而并非内部控制。
“二、内控与企业特征的关系”中提到，高博文中对创业初期企业“生存”、运营“效率”的强调。理解为高博士将此类风险评价为重大风险，同时，将此类风险评价为重大也并不代表创业企业不需要关注其他风险（如前文所述）。但高博文据此得出“对初创期的企业来说，内控基本不需要”的结论，不符合逻辑。
【个人观点】
①我们虽然从事某个行业，但也需要站在外面看看，不能太沉迷于理论知识，不能自我陶醉在专业中，所谓“不识庐山真面目，只缘身在此山中。”
②初创企业生存、市场、效率比生命还重要，作为创始人必须重点考虑，理论上企业成立之时风险随之诞生，但也并不意味着老板天天把风险管理挂在嘴边，如此束手束脚，草木皆兵，何谈发展。相对于风险观，创始人的胆略、魄力、气势、敏锐的商业嗅觉才更为重要。
③另外，对于初创企业，高博士之所以提出“内控基本不需要”应该是指不需要建立完整的内控体系，但基本的制衡机制还是有的，伴随着企业的诞生，内控的一些措施或手段也会相应而生，并非绝对不存在，只是没必要做成体系化，因为其基本的管理规则可以满足其日常运行即可，如文中合伙人对于转账规则的调整，或是老板集权批准所有事务。
④此文的背景为7,8个人的初创企业的案例，但文中却举例大中电器、蒸功夫、联想等大型集团企业实为不妥。
⑤各位也都创业成立公司，请问各位公司是否建立健全内控体系？是否编制内控手册？
④ 广义和狭义之分
“三、内控与信任的关系”中提到从整体上看，笔者认为内控和信任绝非两个互斥的概念，具体表现为：1）信任是企业内控体系运转的基础；2）与信任有关的风险，应该纳入内控体系的管理范畴。缺乏对于信任的有效管理，本身就是一类典型的企业内控缺陷。内控体系需要将信任因素纳入其管理范畴，具体体现在：1）从内控的角度，信任必须有边界/底线。2）从内控的角度，信任基础应该得到过程管理。
高垚博士观点，内控与信任是可以相互替代的。如果企业对一个岗位越信任，那么对于他的制约机制就可以越少。
【个人观点】冯博士分析的没错，但这种方法着重于从狭义的角度分析正常运行平稳的大型企业集团用人策略。之所以会出现这种情况，与高博文章内容有关，其中第4点中提到“对于非上市民营家族企业来说，信任可能比内控更为有效。” 文章观点起源于初创企业的那7-8个人，而这句话的阐述无形中扩大了样本空间，因为“民营家族企业”一般都是大型企业或集团化公司，从而导致其论点受到质疑。
而高博士“内控与信任是可以相互替代”的观点着重于从广义角度对7-8个人的初创企业制约机制和信任的考虑，但也确实存在内控与信任关系界定存在瑕疵，内控与信任是存在交集的，并非相互独立或相互替代，信任的基础上依然会存在内控措施，只是信任的边界需要界定。企业实务中，大家是否还记得小米创业时7-8个核心合伙人是如何运作的？在如此简约的团队中有个基本的运作机制就行，是不会上升到内控与信任如此高度去分析的，更别提具体执行了。
⑤ 脱离语言环境的理解会扭曲
“四、内控与成本的关系”中提到，对高垚博士三个必须解读为：不仅显得相当教条，而且正是在内控实践中应该尽量避免的“过度控制”及“形式化控制”倾向。
以观察到的一些企业“内控高成本”（比如企业在美国公开市场上市、需要满足SOX法案苛刻的内控合规要求）得出另一些企业“不需要搞内控”的结论，存在着显而易见的逻辑谬误。
【个人观点】高博士“三个必须”的观点都是基于一个打算建设内控体系的企业，也是给咨询他的那个朋友的回复，当然会涉及那“三个必须”的方式和内容，而且只是罗列了部分内容来强调内控中的主要手段，但并非具体设计阶段和实施阶段，因此何谈过度控制？形式控制？
对于一个成立没几个月的初创公司，就咨询建立内部控制体系事宜，当然成本很高，当然没有必要。创始人对管理的基本理解是可以满足其初步运营的。当一个公司刚设立，还没有业绩、没有市场的时候就大谈内部控制，并提高到需要建立内控体系的高度，那才是真正的过度控制。内控越位于经营是非常失败的，这不就是前些天任正非说的，为了风险控制，而把业务逼上梁山。
⑥ 理论只有真正的落地才能发挥价值
冯博士以所在小区煎饼摊作为示例，基于内控体系（仅引入部分核心要素）的简单分析，从控制环境、风险评估、控制措施、职责/流程等方面进行如下详述，从而得出任何所有制、任何发展阶段的企业都需要建立内控体系的结论。
【个人观点】冯博士能把小区的煎饼摊的经营都可以按照内控框架进行详细解构，分析的确实挺到位的，但有时理论上可行而实际中未必可行。就好比打拳是一样的，有的是真功夫，有的是花拳绣腿，貌似动作和姿势都一样，在对抗中是否真的有实力，实战中才可以体现出来。那么我想问问，咱们的咨询机构中有哪个承接过煎饼摊的内控项目？是否真的有必要？哪个煎饼摊？咨询费多少？项目周期多久？
⑦ 该结论有些形而上学
笔者同时认为“企业可以不需要内控”的观点作为另一个极端，其危害性不亚于“为内控而内控”。当有客户抱着开放心态求教内控问题时，笔者建议专业人士不要简单地给出“您的企业需要内控或者不需要内控”或者“您的企业有信任就够了”之类的结论。
【个人观点】一个企业是否有建立内控体系的必要性，一个从业多年具有丰富实践经验的专家经过简单了解后是可以初步做出判断的，比如对于一个初创型几个人的企业，或是一个刚成立两三年但高速成长的企业，都是不需要的。而能够给出这样的结论并非对对方不负责任，也并非极端，能做出这样的初步判断，是对个人实践能力和专业技能的考验，并且对对方更加负责，从而避免做很多无用功。
总结
1、综上所述，我更认同高博士的观点。因为从实际的角度考虑，其观点更加务实。然而冯博士的理论分析也比较到位，考虑比较周全，但是在实际应用层面，还需要综合平衡和考量。
2、任何一个公司，都应该是业务先行，如果没有业绩的情况下谈内控都是伪内控，都是为了内控而内控。内控的存在不是为了阻碍业务发展的，而是为业务保驾护航的，促进业务有效运转和良性发展的。固然，只要企业诞生，就伴随着风险，也有内控措施的存在，但并不意味着把风险和内控时刻挂在嘴边，并拔高到体系化的高度。那样的话，就真的把业务逼上梁山了。
3、除了初创企业外，非上市公司的发展速度或规模效应可以覆盖/承受风险损失时，内部控制体系建设依然不会受到关注的，比如做一个三五十亿的生意，最多损失三五十万，影响不大，因此别搞神马内控体系来干扰我的业务运营（当前上市公司建设内控更多的是因为资本市场监管的需要）。比如小米公司在成立的前三四年间，业绩呈几何倍数的增长，即使出现个别风险事件，但依然整体可控或是损失可承受的情况下，内控体系建设是不需要的。
以上内容仅为笔者十多年的实践经验之谈，尤其是在企业中，比较关注实际效果。但依然难免有所纰漏，如有不当之处，也请大家批评指正。作者邮箱：xixiaomingde@163.com
⊙高垚 博士 原文：《内控是把双刃剑，不是所有企业都需要！》
（或参看本公众号今日第二条推文）
⊙冯萌 博士 原文：《谈谈“企业内控”与“企业特征”、“信任”及“成本”的关系——兼与高垚博士商榷》
（或参看本公众号今日第三条推文）
作者：郗晓明
授权转载自公众号：节点金融
尊重原创！未经原作者授权，请勿擅自转载
文章来源网络，除我们确实无法确认作者外，我们都会注明作者和来源。如果您认为我们有问题，请告知我们，我们会立即修改或删除。谢谢！