企业内部控制看似复杂，其内核却可以归纳为 “意识与理念、风险与对策、原理与工具、场景与应用、体系与落地” 五组关键词。基于这样的框架，作者依托其近二十年的专业服务经验，紧扣中国企业经营及监管环境特点，通过丰富的现实案例及企业实操经验教训，详细介绍：（1）内控的本质是什么；（2）内控如何为企业带来价值；（3）如何做好风险识别与评价；（4）典型的内控工具有哪些；（5）如何在具体业务中有效应用企业内控工具；（6）如何搭建企业内控体系。本书既有完整的分析体系，帮助读者建立内控思维、搞懂内控原理，又有大量实操方法、工具和案例，拿来即用。
本书将企业内控内核归纳为“意识与理念、风险与对策、原理与工具、场景与应用、体系与落地”五组关键词。基于这样的框架，作者依托其近 二十年的专业服务经验，紧扣中国企业经营及监管环境特点，通过丰富的现实案例及企业实操经验教训，详细介绍：（1）内控的本质是什么；（2）内控如何为企业带来价值；（3）如何做好风险识别与评价；（4）典型的内控工具有哪些；（5）如何在具体业务中有效应用企业内控工具；（6）如何搭建企业内控体系。 本书既有完整的分析体系，又有大量实操方法、工具和案例，拿来即用。
第2版序言 企业内部控制：从“一句废话”到“千变万化”┊
由简入繁：企业内部控制缘何复杂
内部控制的核心思想可以归纳为一句话：“如果你觉得会受到损害，那么你就应该采取对策。”趋利避害是人类的本能，这句话几乎就是一句“废话”。
然而，就是这样一句“废话”，在现实中却呈现出了千变万化的情形。不仅国家出台了一系列内控相关文件，而且理论图书更是汗牛充栋。与此同时，企业所进行的实践活动亦是令人眼花缭乱。为什么会这样？笔者认为，一个关键的原因是，即使在不考虑企业战略多样性的前提下，企业经营本身也是一个极端复杂的场景。这种场景的复杂性直接导致了内部控制的复杂性。具体表现在以下四个方面。
1. 企业目标的多样性
企业在其既定战略及目标下，需要对股东、债权人、员工、社区或社会公众、行业内其他企业、政府等主体的利益诉求进行积极响应。与之相联系，企业往往需要同时遵循税务、环保、安全、质量、特殊行业监管、资本市场、劳动者保护、反垄断等多方面要求。例如，2021年4月，市场监管总局依据《中华人民共和国反垄断法》，对美团立案调查：美团因滥用在中国境内网络餐饮外卖平台服务市场的支配地位，采取多种惩罚性措施、手段等，保障其“二选一”独家合作行为的实施，排除、限制了相关市场竞争，被责令停止违法行为，全额退还独家合作保证金，并处以34.42亿元罚款。
2. 企业外部环境、业务模式及风险态度的多样性
外部环境。企业外部环境可能会持续发生变化，即便当前不存在重大风险，未来也可能出现重大风险。例如，笔者所住小区旁边是上海一大型会展中心，路边餐饮门店将展会带来的人流作为主要目标客户。然而，2021年由于疫情的影响，数月之内的会展中心活动都被取消了，餐饮门店损失惨重。
业务模式。不同的企业通常会采取不同的业务模式，进而影响企业所面临的风险特征。例如，危化品生产、运输等企业会面临更加显著的危化品安全相关风险；在经营过程中需要获取大量客户信息的企业，会面临更加显著的客户信息泄露风险。
风险态度。不同企业的高层对风险的偏好存在差异，一些企业愿意“冒险”，而另一些企业则会选择“保守”，这会对企业所面临的风险特征产生显著影响。例如，在2020年前后国家对房地产行业进行宏观调控的大背景下，一些房企采取了“去杠杆”“缩规模”的措施，而另一些房企则进一步扩大经营规模。
3. 企业风险管理活动的多样性
即使针对客观上完全相同的风险，不同的企业所进行的风险管理活动也可能存在显著差异。
风险识别和评价能力建设。由于企业部门设置、职责分配、人员素质、领导重视程度等因素的影响，不同企业在识别风险、评价风险的能力上会出现显著差异，具体表现为一些企业对风险能够保持敏感，而另一些企业则对风险缺乏反应。例如，2021年9月13日，台风“灿都”登陆我国期间，一名行人在上海长风大悦城星巴克门口被一未得到有效固定的广告牌砸伤。
风险承受及控制成本投入。由于业务规模、资金实力、股东背景等因素的影响，不同企业的风险承受能力以及控制成本投入也会存在差异。实力雄厚的企业不仅能够承受较大的风险损失，还能够在控制成本上进行更大的投入。例如，设置专业部门，引入专业人才，购买专业数据，购买咨询服务等。
控制措施选择。所谓“条条大路通罗马”，针对同一类风险，由于企业文化、管理风格、信息化水平等因素的影响，不同的企业可能选择不尽相同的控制措施。例如，针对费用控制，有的企业主要依靠业务部门审核，有的企业主要依靠财务部门审核，而有的企业则更多地依赖执行预算费用标准。
4. 企业构成主体的多元性
一家企业，无论规模大小，通常都会由多个部门、岗位构成，而在这些部门、岗位上，会配置相应的人员。如果是企业集团，还会涉及总部和下属分支机构。企业构成主体的多元性是企业内控复杂性的一个重要因素。企业构成主体的多元性要求我们关注如下问题。
目标和权责利结构。在同一企业内部，不同的主体会有不同的微观目标和权责利结构。例如，在生产过程中，生产部门追求生产任务完成率，质量部门追求产品质量合格率；在投资过程中，业务部门追求项目落地，风控部门追求风险可控；在预算编制过程中，各个部门都希望收入类预算目标易于达成，费用类预算目标留足余地。因此，企业必须在各主体间协调、沟通等方面设置控制措施以明确不同主体的目标和责任，例如，召开跨部门协调会议，设计集体决策机制，制定责任认定程序等。
组织习惯养成成本。有种观点认为，自然人养成一个习惯需要21天。一项管理制度或流程通常会涉及多个部门或岗位，制度或流程的有效执行则依赖所有相关人员都能够有效执行，这种“习惯”的养成不可能一蹴而就。因此，企业还需要采取必要措施，例如，加强人员培训、制度宣传贯彻、绩效考核等。
信息不对称与代理问题。在企业多个主体之间，会存在多个“代理链条”，例如，董事会代理股东会开展工作，总经理会代理董事会开展工作，并这样一级一级往企业基层传递。在代理关系中，不同主体间往往会存在信息不对称的情况，进而产生代理问题，如“偷懒”“道德风险”“过度冒险”等问题。典型的例子包括：设备维护人员执行点检时“敷衍了事”，信用审核人员“放水”，费用报销人员“夹带”个人费用，收银员侵吞收入款等。由于存在这些问题，企业还需要采取包括加强监督检查、落实不相容职责等在内的一系列措施。
企业目标、外部环境、业务模式、风险态度、风险管理活动、企业主体权责利结构及信息不对称等诸多因素，会直接增加企业所面临风险的多样性，进而增加具体控制措施的复杂性。而这些复杂性，又会给企业带来如下两个方面的影响。
（1）具体控制措施持续演化。
在企业的经营场景下，企业为了达到最终的控制效果，往往需要对控制措施进行持续演化。比如：
1）企业必须持续识别和评价风险，并制定对应的控制措施。
2）为了让这些控制措施能够执行，企业可能需要落实具体的部门和岗位职责。
3）为了让各个部门和岗位人员能够高质量履职，企业可能需要制定具体的工作执行标准。
4）如果控制措施涉及多个岗位或部门，企业可能需要制定跨部门和岗位的流程，以进行分工和协调，并固化最佳实践。
5）为了确保各个部门和岗位有效履职，企业可能必须关注对应岗位人员的能力与素质匹配，而实现这一点，企业则可能还需要关注人才的引入、培训和考核。
6）为了提高各部门和岗位的履职质量，同时降低道德风险，企业可能需要关注不相容职责分离并形成业务牵制。
7）为了明确各个部门和岗位的工作责任，传递信息、留下痕迹，企业可能需要设计业务执行配套表单并记录。
8）为了提高各类管理活动的严肃性、一致性并实现持续优化，企业可能需要形成书面制度文件，并对其进行持续评估和迭代更新。
9）为了从整体上进一步提高内控体系的执行效果，针对内控体系中的各个环节，企业可能需要引入独立监督。
上述控制措施的演化过程可参看图P-1。
图P-1 控制措施的演化过程
（2）企业内控成功要素变得多元。
上述控制措施复杂性的叠加，使得卓有成效的企业内控依赖于一系列相互联系的成功要素，具体如图P-2所示。
图P-2 内控取得实质效果的关联要素
化繁为简：提炼企业内部控制的基本范式
内部控制复杂的表现形式，可能会让企业忽略其实质，甚至出现机械模仿的现象。市面上很多内控图书，主要都是展示一些制度或流程示例。事实上，由于各家企业情况不一，读者可能会发现这些示例很难生搬硬套。例如，示例中可能会涉及多个部门，然而读者所在企业的组织架构中可能并未设置相同的部门。又如，示例中可能将特定事项最终的审批权限设置得很高或者很低，读者所在企业却并没有这样的权限设置。笔者认为，有价值的内控图书，应能透过丰富多彩的内控实践表象提炼出企业内在的基本范式，同时展示企业应如何结合其自身战略、业务特征等因素加以应用。就企业内部控制而言，其基本范式表现在如下五个方面。
（1）意识与理念。
在任何企业，企业人员（特别是中高层人员）具备风险意识、内控理念，是推动企业内部控制的基本前提，而风险意识和内控理念存在基本范式。
（2）风险与对策。
有效地识别与评价风险，制定有针对性的对策，是内控实施中的关键一环。风险本身可能有各种表现形式，但识别风险、评价风险以及针对风险制定对策，存在基本范式。
（3）原理与工具。
将实务中的各种管理实践进行归纳，能够得出被反复检验的内控原理和措施工具范式，特定企业只需要结合其自身情况对这些原理和措施工具进行调整即可加以应用。
（4）场景与应用。
企业应能够在具体业务场景下，灵活地进行风险识别、评估并制定对策，灵活应用前述内控原理与措施工具。如何在典型业务场景下分析并应用内控，存在基本范式。
（5）体系与落地。
碎片化的内控措施无法有效发挥作用，企业必须致力于搭建内控体系并推动其落地执行。如何实现企业内控体系搭建及落地，存在基本范式。
本书的最主要目标就是对上述内控范式进行提炼，同时展示其应用要领—围绕内控范式，让读者先“懂”再“用”，如表P-1所示。
表P-1 本书对内控范式的提炼
章主要内容内控范式
第1章 认识内部控制内部控制理论发展至今，全球多家组织提出了系统的内部控制框架。我国内部控制的发展主要受到企业自身需求和政府部门监管要求两方面的影响。企业需要从自身出发，实质性地理解企业为什么需要采取内部控制，企业需要采取什么样的控制措施，企业如何确保控制措施落实意识与理念
第2章 企业内部控制的核心价值理性的企业管理者应确保企业在内控方面所进行的投入能够形成有效的产出。优良的企业内部控制将在企业战略执行、风险管理、业务执行力、管理经验及资源沉淀、舞弊遏制及合规等多个方面产生巨大价值意识与理念
第3章 风险识别、评价与策略制定企业内部控制的关键价值在于应对企业所面临的各类风险，进而支撑企业战略目标的实现。企业可采取有效手段，识别企业面临的风险，评估风险的影响并选择合适的风险应对策略，为具体内控措施的制定奠定基础风险与对策
第4章 内部控制措施工具控制措施工具选择与应用的系统性、规范性及可落地性，在很大程度上决定了企业内控的有效性。企业需熟练掌握内控原理及13类典型的内控措施工具，并结合企业实际情况，灵活选择、应用原理与工具
第5章 内部控制工具业务场景应用设定业务循环场景，有助于限定内控事项范围并实现对关键问题的聚焦，是对企业进行内控分析、开展内控设计的主流实务方法，包括控制目标制定、业务风险识别、组织架构及职责体系分析、在关键业务环节设置控制措施等工作步骤场景与应用
第6章 企业内部控制体系建设企业内控体系搭建涉及内控规划、设计、落地、评价、更新等环节，重点工作内容包括内控体系建设基本路径设计、关键内控成果编制及维护、实现关键内控“闭环”、企业重要角色分工、内控落地措施制定、内控相关职能划分、内控评价等体系与落地
企业内部控制受到多种因素的影响，使其表现出复杂性。而掌握内控，则需要透过其复杂性总结内在规律，提炼并应用其基本范式。本书将通过系统专业的总结和大量实操案例，帮助读者“知其然并知其所以然”，切实提升自身对内控的理解和专业应用能力。
结合理论界与实务界的最新发展及读者反馈，第2版在第1版的基础上，除了进行全面文字修正、案例及分析性内容增补，主要还更新了如下内容。
（1）第2章中新增内控体系的战略导向，从上市公司内控审计看企业内控合规要点，从央企内控文件看企业内控合规要点，企业合规的专业属性等内容。
（2）第3章中新增“五要素”闭环风险分析模型及其应用等内容。
（3）第4章中新增越权风险解析、评审内部控制措施工具的应用等内容，修订通过信息化完善内控等内容。
（4）第5章中新增研发业务循环内控质量分析示例等内容。
（5）第6章中新增财务报告内部控制核心问题解析等内容。
冯萌
复旦大学会计学博士
上海阅洲咨询创始合伙人
首席专家顾问/培训师
南京大学会计学学士、复旦大学会计学博士，师从著名教授李若山。博士期间赴国家财政部从事准则研究工作。曾服务于德勤华永会计师事务所。
在企业内部控制、风险管理、合规、会计准则应用、财务分析等专业领域，具有近二十年服务经验。作为项目负责人为超过50家企业提供风险管理/内部控制/合规/财务咨询服务。为超过150家企业、逾万名学员成功实施专业培训。发表超过50篇专业论文及一本学术专著。
宋志强
上海大学管理学院硕士，曾服务于大型国有企业内控与审计部、香港上市企业合规部、上海阅洲企业管理咨询有限公司、毕马威企业咨询（中国）有限公司。主要从事内部控制、风险管理、合规、内部审计专业领域工作，具有多行业内控体系建设、合规及审计经验，发表多篇专业文章。
┊目 录┊
推荐序
第2版序言 企业内部控制：从“一句废话”到“千变万化”
第1版序言
第1章 认识内部控制1
1.1 内部控制的由来1
1.2 内部控制在中国的发展4
1.3 内部控制中的三个关键问题6
第2章 企业内部控制的核心价值8
2.1 内控与战略8
2.1.1 内控支撑战略制定8
2.1.2 内控支撑战略落地9
2.1.3 内控体系的战略导向10
2.2 内控与风险控制11
2.2.1 内控实现风险控制“常态化”11
2.2.2 内控实现风险控制“系统化”12
2.3 内控与执行力13
2.3.1 优化工作职责，提升执行力13
2.3.2 优化工作衔接，提升执行力14
2.3.3 通过计划与反馈提升执行力14
2.3.4 利用最佳实践提升执行力14
2.4 内控与企业管理沉淀15
2.4.1 内控对管理经验的沉淀15
2.4.2 内控将管理资源沉淀于企业15
2.5 内控与舞弊遏制16
2.5.1 舞弊的特征与危害16
2.5.2 通过优化控制环境抑制舞弊18
2.5.3 通过制定反舞弊流程打击舞弊19
2.6 内控与合规22
2.6.1 内控合规的两层含义22
2.6.2 从IPO审核看企业内控合规要点23
2.6.3 从上市公司内控审计报告看企业内控合规要点30
2.6.4 从央企内控文件看企业内控合规要点33
2.6.5 将合规要求内化于内部控制42
2.6.6 企业合规的专业属性43
2.7 典型内控缺陷后果归纳47
2.8 典型内控认识误区48
第3章 风险识别、评价与策略制定53
3.1 什么是风险53
3.2 风险的识别与评价56
3.2.1 风险识别与评价机制及职能配备56
3.2.2 风险分类、识别、描述及颗粒度选择57
3.2.3 风险识别与评价工具67
3.2.4 风险评价“共识”的达成69
3.2.5 风险评价成果输出70
3.2.6 综合案例：风险热图“西北角顶端”上的极端风险77
3.3 风险策略的制定81
3.3.1 风险策略的选择81
3.3.2 从风险策略到具体控制措施：以合同管理为例83
3.3.3 风险管理工作的动态化85
3.3.4 综合案例：风险识别、评价与措施制定实例87
第4章 内部控制措施工具94
4.1 措施制定原则、“强度”与“时间”因素94
4.1.1 内部控制措施制定原则94
4.1.2 对控制措施“强度”的考虑95
4.1.3 对“时间”因素的考虑95
4.2 职责96
4.2.1 合理设置岗位职责97
4.2.2 资源配备契合职责要求98
4.2.3 避免利益冲突99
4.2.4 权责利平衡99
4.3 控制文化99
4.3.1 控制文化的功能100
4.3.2 控制文化的建设101
4.4 规划102
4.4.1 计划与预算102
4.4.2 预设业务规则105
4.5 授权及审核与审批106
4.5.1 授权106
4.5.2 审核与审批121
4.6 账簿130
4.6.1 账簿的种类与功能130
4.6.2 账簿典型内控缺陷132
4.6.3 提高账簿质量134
4.7 牵制135
4.7.1 牵制的含义135
4.7.2 不相容职责分离139
4.8 资产保护140
4.8.1 资产保护的目标140
4.8.2 资产保护措施142
4.9 监督144
4.9.1 监督的功能145
4.9.2 监督的分类145
4.9.3 提高监督有效性147
4.10 表单与记录149
4.10.1 表单记录的功能149
4.10.2 表单记录的流转151
4.10.3 提高表单记录质量151
4.11 信息沟通153
4.11.1 信息与沟通的功能153
4.11.2 信息沟通壁垒：影响和分类153
4.11.3 信息沟通壁垒产生的内在原因157
4.11.4 信息沟通壁垒的应对措施158
4.12 考核与奖惩160
4.12.1 内控体系中人的因素160
4.12.2 提高考核与奖惩质量161
4.13 流程及标准162
4.13.1 业务流程及其固化162
4.13.2 在流程中实施内控163
4.13.3 工作标准的制定164
4.14 信息化168
4.14.1 信息化的定义168
4.14.2 通过信息化完善内控169
4.14.3 信息化风险的应对171
4.14.4 综合案例：“周黑鸭” 更换包装中的信息化管控172
第5章 内部控制工具业务场景应用177
5.1 业务循环的划分177
5.1.1 为什么进行业务循环划分177
5.1.2 业务循环划分的关键因素178
5.2 销售业务中的内部控制183
5.2.1 销售业务概述183
5.2.2 销售业务控制目标185
5.2.3 销售业务组织架构及职责体系190
5.2.4 销售业务关键环节内控分析192
5.3 采购业务中的内部控制216
5.3.1 采购业务概述216
5.3.2 采购业务控制目标217
5.3.3 采购业务组织架构及职责体系217
5.3.4 采购业务关键环节内控分析220
5.3.5 专题：招标238
5.3.6 专题：业务外包247
5.4 固定资产管理中的内部控制252
5.4.1 固定资产管理概述252
5.4.2 固定资产管理控制目标254
5.4.3 固定资产管理组织架构及职责体系255
书单推荐
