企業內部控制看似復雜，其內核卻可以歸納為 “意識與理念、風險與對策、原理與工具、場景與應用、體系與落地” 五組關鍵詞。基于這樣的框架，作者依托其近二十年的專業服務經驗，緊扣中國企業經營及監管環境特點，通過豐富的現實案例及企業實操經驗教訓，詳細介紹：（1）內控的本質是什么；（2）內控如何為企業帶來價值；（3）如何做好風險識別與評價；（4）典型的內控工具有哪些；（5）如何在具體業務中有效應用企業內控工具；（6）如何搭建企業內控體系。本書既有完整的分析體系，幫助讀者建立內控思維、搞懂內控原理，又有大量實操方法、工具和案例，拿來即用。
本書將企業內控內核歸納為“意識與理念、風險與對策、原理與工具、場景與應用、體系與落地”五組關鍵詞。基于這樣的框架，作者依托其近 二十年的專業服務經驗，緊扣中國企業經營及監管環境特點，通過豐富的現實案例及企業實操經驗教訓，詳細介紹：（1）內控的本質是什么；（2）內控如何為企業帶來價值；（3）如何做好風險識別與評價；（4）典型的內控工具有哪些；（5）如何在具體業務中有效應用企業內控工具；（6）如何搭建企業內控體系。 本書既有完整的分析體系，又有大量實操方法、工具和案例，拿來即用。
第2版序言 企業內部控制：從“一句廢話”到“千變萬化”┊
由簡入繁：企業內部控制緣何復雜
內部控制的核心思想可以歸納為一句話：“如果你覺得會受到損害，那么你就應該采取對策。”趨利避害是人類的本能，這句話幾乎就是一句“廢話”。
然而，就是這樣一句“廢話”，在現實中卻呈現出了千變萬化的情形。不僅國家出臺了一系列內控相關文件，而且理論圖書更是汗牛充棟。與此同時，企業所進行的實踐活動亦是令人眼花繚亂。為什么會這樣？筆者認為，一個關鍵的原因是，即使在不考慮企業戰略多樣性的前提下，企業經營本身也是一個極端復雜的場景。這種場景的復雜性直接導致了內部控制的復雜性。具體表現在以下四個方面。
1. 企業目標的多樣性
企業在其既定戰略及目標下，需要對股東、債權人、員工、社區或社會公眾、行業內其他企業、政府等主體的利益訴求進行積極響應。與之相聯系，企業往往需要同時遵循稅務、環保、安全、質量、特殊行業監管、資本市場、勞動者保護、反壟斷等多方面要求。例如，2021年4月，市場監管總局依據《中華人民共和國反壟斷法》，對美團立案調查：美團因濫用在中國境內網絡餐飲外賣平臺服務市場的支配地位，采取多種懲罰性措施、手段等，保障其“二選一”獨家合作行為的實施，排除、限制了相關市場競爭，被責令停止違法行為，全額退還獨家合作保證金，并處以34.42億元罰款。
2. 企業外部環境、業務模式及風險態度的多樣性
外部環境。企業外部環境可能會持續發生變化，即便當前不存在重大風險，未來也可能出現重大風險。例如，筆者所住小區旁邊是上海一大型會展中心，路邊餐飲門店將展會帶來的人流作為主要目標客戶。然而，2021年由于疫情的影響，數月之內的會展中心活動都被取消了，餐飲門店損失慘重。
業務模式。不同的企業通常會采取不同的業務模式，進而影響企業所面臨的風險特征。例如，危化品生產、運輸等企業會面臨更加顯著的危化品安全相關風險；在經營過程中需要獲取大量客戶信息的企業，會面臨更加顯著的客戶信息泄露風險。
風險態度。不同企業的高層對風險的偏好存在差異，一些企業愿意“冒險”，而另一些企業則會選擇“保守”，這會對企業所面臨的風險特征產生顯著影響。例如，在2020年前后國家對房地產行業進行宏觀調控的大背景下，一些房企采取了“去杠桿”“縮規模”的措施，而另一些房企則進一步擴大經營規模。
3. 企業風險管理活動的多樣性
即使針對客觀上完全相同的風險，不同的企業所進行的風險管理活動也可能存在顯著差異。
風險識別和評價能力建設。由于企業部門設置、職責分配、人員素質、領導重視程度等因素的影響，不同企業在識別風險、評價風險的能力上會出現顯著差異，具體表現為一些企業對風險能夠保持敏感，而另一些企業則對風險缺乏反應。例如，2021年9月13日，臺風“燦都”登陸我國期間，一名行人在上海長風大悅城星巴克門口被一未得到有效固定的廣告牌砸傷。
風險承受及控制成本投入。由于業務規模、資金實力、股東背景等因素的影響，不同企業的風險承受能力以及控制成本投入也會存在差異。實力雄厚的企業不僅能夠承受較大的風險損失，還能夠在控制成本上進行更大的投入。例如，設置專業部門，引入專業人才，購買專業數據，購買咨詢服務等。
控制措施選擇。所謂“條條大路通羅馬”，針對同一類風險，由于企業文化、管理風格、信息化水平等因素的影響，不同的企業可能選擇不盡相同的控制措施。例如，針對費用控制，有的企業主要依靠業務部門審核，有的企業主要依靠財務部門審核，而有的企業則更多地依賴執行預算費用標準。
4. 企業構成主體的多元性
一家企業，無論規模大小，通常都會由多個部門、崗位構成，而在這些部門、崗位上，會配置相應的人員。如果是企業集團，還會涉及總部和下屬分支機構。企業構成主體的多元性是企業內控復雜性的一個重要因素。企業構成主體的多元性要求我們關注如下問題。
目標和權責利結構。在同一企業內部，不同的主體會有不同的微觀目標和權責利結構。例如，在生產過程中，生產部門追求生產任務完成率，質量部門追求產品質量合格率；在投資過程中，業務部門追求項目落地，風控部門追求風險可控；在預算編制過程中，各個部門都希望收入類預算目標易于達成，費用類預算目標留足余地。因此，企業必須在各主體間協調、溝通等方面設置控制措施以明確不同主體的目標和責任，例如，召開跨部門協調會議，設計集體決策機制，制定責任認定程序等。
組織習慣養成成本。有種觀點認為，自然人養成一個習慣需要21天。一項管理制度或流程通常會涉及多個部門或崗位，制度或流程的有效執行則依賴所有相關人員都能夠有效執行，這種“習慣”的養成不可能一蹴而就。因此，企業還需要采取必要措施，例如，加強人員培訓、制度宣傳貫徹、績效考核等。
信息不對稱與代理問題。在企業多個主體之間，會存在多個“代理鏈條”，例如，董事會代理股東會開展工作，總經理會代理董事會開展工作，并這樣一級一級往企業基層傳遞。在代理關系中，不同主體間往往會存在信息不對稱的情況，進而產生代理問題，如“偷懶”“道德風險”“過度冒險”等問題。典型的例子包括：設備維護人員執行點檢時“敷衍了事”，信用審核人員“放水”，費用報銷人員“夾帶”個人費用，收銀員侵吞收入款等。由于存在這些問題，企業還需要采取包括加強監督檢查、落實不相容職責等在內的一系列措施。
企業目標、外部環境、業務模式、風險態度、風險管理活動、企業主體權責利結構及信息不對稱等諸多因素，會直接增加企業所面臨風險的多樣性，進而增加具體控制措施的復雜性。而這些復雜性，又會給企業帶來如下兩個方面的影響。
（1）具體控制措施持續演化。
在企業的經營場景下，企業為了達到最終的控制效果，往往需要對控制措施進行持續演化。比如：
1）企業必須持續識別和評價風險，并制定對應的控制措施。
2）為了讓這些控制措施能夠執行，企業可能需要落實具體的部門和崗位職責。
3）為了讓各個部門和崗位人員能夠高質量履職，企業可能需要制定具體的工作執行標準。
4）如果控制措施涉及多個崗位或部門，企業可能需要制定跨部門和崗位的流程，以進行分工和協調，并固化最佳實踐。
5）為了確保各個部門和崗位有效履職，企業可能必須關注對應崗位人員的能力與素質匹配，而實現這一點，企業則可能還需要關注人才的引入、培訓和考核。
6）為了提高各部門和崗位的履職質量，同時降低道德風險，企業可能需要關注不相容職責分離并形成業務牽制。
7）為了明確各個部門和崗位的工作責任，傳遞信息、留下痕跡，企業可能需要設計業務執行配套表單并記錄。
8）為了提高各類管理活動的嚴肅性、一致性并實現持續優化，企業可能需要形成書面制度文件，并對其進行持續評估和迭代更新。
9）為了從整體上進一步提高內控體系的執行效果，針對內控體系中的各個環節，企業可能需要引入獨立監督。
上述控制措施的演化過程可參看圖P-1。
圖P-1 控制措施的演化過程
（2）企業內控成功要素變得多元。
上述控制措施復雜性的疊加，使得卓有成效的企業內控依賴于一系列相互聯系的成功要素，具體如圖P-2所示。
圖P-2 內控取得實質效果的關聯要素
化繁為簡：提煉企業內部控制的基本范式
內部控制復雜的表現形式，可能會讓企業忽略其實質，甚至出現機械模仿的現象。市面上很多內控圖書，主要都是展示一些制度或流程示例。事實上，由于各家企業情況不一，讀者可能會發現這些示例很難生搬硬套。例如，示例中可能會涉及多個部門，然而讀者所在企業的組織架構中可能并未設置相同的部門。又如，示例中可能將特定事項最終的審批權限設置得很高或者很低，讀者所在企業卻并沒有這樣的權限設置。筆者認為，有價值的內控圖書，應能透過豐富多彩的內控實踐表象提煉出企業內在的基本范式，同時展示企業應如何結合其自身戰略、業務特征等因素加以應用。就企業內部控制而言，其基本范式表現在如下五個方面。
（1）意識與理念。
在任何企業，企業人員（特別是中高層人員）具備風險意識、內控理念，是推動企業內部控制的基本前提，而風險意識和內控理念存在基本范式。
（2）風險與對策。
有效地識別與評價風險，制定有針對性的對策，是內控實施中的關鍵一環。風險本身可能有各種表現形式，但識別風險、評價風險以及針對風險制定對策，存在基本范式。
（3）原理與工具。
將實務中的各種管理實踐進行歸納，能夠得出被反復檢驗的內控原理和措施工具范式，特定企業只需要結合其自身情況對這些原理和措施工具進行調整即可加以應用。
（4）場景與應用。
企業應能夠在具體業務場景下，靈活地進行風險識別、評估并制定對策，靈活應用前述內控原理與措施工具。如何在典型業務場景下分析并應用內控，存在基本范式。
（5）體系與落地。
碎片化的內控措施無法有效發揮作用，企業必須致力于搭建內控體系并推動其落地執行。如何實現企業內控體系搭建及落地，存在基本范式。
本書的最主要目標就是對上述內控范式進行提煉，同時展示其應用要領—圍繞內控范式，讓讀者先“懂”再“用”，如表P-1所示。
表P-1 本書對內控范式的提煉
章主要內容內控范式
第1章 認識內部控制內部控制理論發展至今，全球多家組織提出了系統的內部控制框架。我國內部控制的發展主要受到企業自身需求和政府部門監管要求兩方面的影響。企業需要從自身出發，實質性地理解企業為什么需要采取內部控制，企業需要采取什么樣的控制措施，企業如何確保控制措施落實意識與理念
第2章 企業內部控制的核心價值理性的企業管理者應確保企業在內控方面所進行的投入能夠形成有效的產出。優良的企業內部控制將在企業戰略執行、風險管理、業務執行力、管理經驗及資源沉淀、舞弊遏制及合規等多個方面產生巨大價值意識與理念
第3章 風險識別、評價與策略制定企業內部控制的關鍵價值在于應對企業所面臨的各類風險，進而支撐企業戰略目標的實現。企業可采取有效手段，識別企業面臨的風險，評估風險的影響并選擇合適的風險應對策略，為具體內控措施的制定奠定基礎風險與對策
第4章 內部控制措施工具控制措施工具選擇與應用的系統性、規范性及可落地性，在很大程度上決定了企業內控的有效性。企業需熟練掌握內控原理及13類典型的內控措施工具，并結合企業實際情況，靈活選擇、應用原理與工具
第5章 內部控制工具業務場景應用設定業務循環場景，有助于限定內控事項范圍并實現對關鍵問題的聚焦，是對企業進行內控分析、開展內控設計的主流實務方法，包括控制目標制定、業務風險識別、組織架構及職責體系分析、在關鍵業務環節設置控制措施等工作步驟場景與應用
第6章 企業內部控制體系建設企業內控體系搭建涉及內控規劃、設計、落地、評價、更新等環節，重點工作內容包括內控體系建設基本路徑設計、關鍵內控成果編制及維護、實現關鍵內控“閉環”、企業重要角色分工、內控落地措施制定、內控相關職能劃分、內控評價等體系與落地
企業內部控制受到多種因素的影響，使其表現出復雜性。而掌握內控，則需要透過其復雜性總結內在規律，提煉并應用其基本范式。本書將通過系統專業的總結和大量實操案例，幫助讀者“知其然并知其所以然”，切實提升自身對內控的理解和專業應用能力。
結合理論界與實務界的最新發展及讀者反饋，第2版在第1版的基礎上，除了進行全面文字修正、案例及分析性內容增補，主要還更新了如下內容。
（1）第2章中新增內控體系的戰略導向，從上市公司內控審計看企業內控合規要點，從央企內控文件看企業內控合規要點，企業合規的專業屬性等內容。
（2）第3章中新增“五要素”閉環風險分析模型及其應用等內容。
（3）第4章中新增越權風險解析、評審內部控制措施工具的應用等內容，修訂通過信息化完善內控等內容。
（4）第5章中新增研發業務循環內控質量分析示例等內容。
（5）第6章中新增財務報告內部控制核心問題解析等內容。
馮萌
復旦大學會計學博士
上海閱洲咨詢創始合伙人
首席專家顧問/培訓師
南京大學會計學學士、復旦大學會計學博士，師從著名教授李若山。博士期間赴國家財政部從事準則研究工作。曾服務于德勤華永會計師事務所。
在企業內部控制、風險管理、合規、會計準則應用、財務分析等專業領域，具有近二十年服務經驗。作為項目負責人為超過50家企業提供風險管理/內部控制/合規/財務咨詢服務。為超過150家企業、逾萬名學員成功實施專業培訓。發表超過50篇專業論文及一本學術專著。
宋志強
上海大學管理學院碩士，曾服務于大型國有企業內控與審計部、香港上市企業合規部、上海閱洲企業管理咨詢有限公司、畢馬威企業咨詢（中國）有限公司。主要從事內部控制、風險管理、合規、內部審計專業領域工作，具有多行業內控體系建設、合規及審計經驗，發表多篇專業文章。
┊目 錄┊
推薦序
第2版序言 企業內部控制：從“一句廢話”到“千變萬化”
第1版序言
第1章 認識內部控制1
1.1 內部控制的由來1
1.2 內部控制在中國的發展4
1.3 內部控制中的三個關鍵問題6
第2章 企業內部控制的核心價值8
2.1 內控與戰略8
2.1.1 內控支撐戰略制定8
2.1.2 內控支撐戰略落地9
2.1.3 內控體系的戰略導向10
2.2 內控與風險控制11
2.2.1 內控實現風險控制“常態化”11
2.2.2 內控實現風險控制“系統化”12
2.3 內控與執行力13
2.3.1 優化工作職責，提升執行力13
2.3.2 優化工作銜接，提升執行力14
2.3.3 通過計劃與反饋提升執行力14
2.3.4 利用最佳實踐提升執行力14
2.4 內控與企業管理沉淀15
2.4.1 內控對管理經驗的沉淀15
2.4.2 內控將管理資源沉淀于企業15
2.5 內控與舞弊遏制16
2.5.1 舞弊的特征與危害16
2.5.2 通過優化控制環境抑制舞弊18
2.5.3 通過制定反舞弊流程打擊舞弊19
2.6 內控與合規22
2.6.1 內控合規的兩層含義22
2.6.2 從IPO審核看企業內控合規要點23
2.6.3 從上市公司內控審計報告看企業內控合規要點30
2.6.4 從央企內控文件看企業內控合規要點33
2.6.5 將合規要求內化于內部控制42
2.6.6 企業合規的專業屬性43
2.7 典型內控缺陷后果歸納47
2.8 典型內控認識誤區48
第3章 風險識別、評價與策略制定53
3.1 什么是風險53
3.2 風險的識別與評價56
3.2.1 風險識別與評價機制及職能配備56
3.2.2 風險分類、識別、描述及顆粒度選擇57
3.2.3 風險識別與評價工具67
3.2.4 風險評價“共識”的達成69
3.2.5 風險評價成果輸出70
3.2.6 綜合案例：風險熱圖“西北角頂端”上的極端風險77
3.3 風險策略的制定81
3.3.1 風險策略的選擇81
3.3.2 從風險策略到具體控制措施：以合同管理為例83
3.3.3 風險管理工作的動態化85
3.3.4 綜合案例：風險識別、評價與措施制定實例87
第4章 內部控制措施工具94
4.1 措施制定原則、“強度”與“時間”因素94
4.1.1 內部控制措施制定原則94
4.1.2 對控制措施“強度”的考慮95
4.1.3 對“時間”因素的考慮95
4.2 職責96
4.2.1 合理設置崗位職責97
4.2.2 資源配備契合職責要求98
4.2.3 避免利益沖突99
4.2.4 權責利平衡99
4.3 控制文化99
4.3.1 控制文化的功能100
4.3.2 控制文化的建設101
4.4 規劃102
4.4.1 計劃與預算102
4.4.2 預設業務規則105
4.5 授權及審核與審批106
4.5.1 授權106
4.5.2 審核與審批121
4.6 賬簿130
4.6.1 賬簿的種類與功能130
4.6.2 賬簿典型內控缺陷132
4.6.3 提高賬簿質量134
4.7 牽制135
4.7.1 牽制的含義135
4.7.2 不相容職責分離139
4.8 資產保護140
4.8.1 資產保護的目標140
4.8.2 資產保護措施142
4.9 監督144
4.9.1 監督的功能145
4.9.2 監督的分類145
4.9.3 提高監督有效性147
4.10 表單與記錄149
4.10.1 表單記錄的功能149
4.10.2 表單記錄的流轉151
4.10.3 提高表單記錄質量151
4.11 信息溝通153
4.11.1 信息與溝通的功能153
4.11.2 信息溝通壁壘：影響和分類153
4.11.3 信息溝通壁壘產生的內在原因157
4.11.4 信息溝通壁壘的應對措施158
4.12 考核與獎懲160
4.12.1 內控體系中人的因素160
4.12.2 提高考核與獎懲質量161
4.13 流程及標準162
4.13.1 業務流程及其固化162
4.13.2 在流程中實施內控163
4.13.3 工作標準的制定164
4.14 信息化168
4.14.1 信息化的定義168
4.14.2 通過信息化完善內控169
4.14.3 信息化風險的應對171
4.14.4 綜合案例：“周黑鴨” 更換包裝中的信息化管控172
第5章 內部控制工具業務場景應用177
5.1 業務循環的劃分177
5.1.1 為什么進行業務循環劃分177
5.1.2 業務循環劃分的關鍵因素178
5.2 銷售業務中的內部控制183
5.2.1 銷售業務概述183
5.2.2 銷售業務控制目標185
5.2.3 銷售業務組織架構及職責體系190
5.2.4 銷售業務關鍵環節內控分析192
5.3 采購業務中的內部控制216
5.3.1 采購業務概述216
5.3.2 采購業務控制目標217
5.3.3 采購業務組織架構及職責體系217
5.3.4 采購業務關鍵環節內控分析220
5.3.5 專題：招標238
5.3.6 專題：業務外包247
5.4 固定資產管理中的內部控制252
5.4.1 固定資產管理概述252
5.4.2 固定資產管理控制目標254
5.4.3 固定資產管理組織架構及職責體系255
新書資訊