有效的内部控制不是“紧箍咒”而是“安全阀”，不是“毛毛雨”而是“及时雨”，不是“花拳绣腿”而是“真刀真枪”。
2023年2月，国务院国有资产监督管理委员会发布了《关于做好2023年中央企业内部控制体系建设与监督工作有关事项的通知》，标志着中央企业内部控制进入党委全面领导的新时代。该通知主要提出三方面新要求：
一是进一步完善党的领导融入公司治理的运行机制，加强党委（党组）对内控管理工作的全面领导；
二是落实董事会对内控体系的监管责任，明确审计与风险管理等专门委员会推进内控体系建设与监督工作的职责；
三是充分发挥内控职能部门统筹推动、组织协调、监督落实的作用，切实提升内控体系规范化、法治化、专业化水平。
事实上，该通知与国资委近年来加强内控管理的思路一脉相承，范围逐年拓展、内容逐步丰富、体系逐渐完善。
从2019年《关于加强中央企业内部控制体系建设与监督工作的实施意见》提出“强内控、防风险、促合规”开始，到《关于做好2020年中央企业内部控制体系建设与监督工作有关事项的通知》，再到《关于做好2021年中央企业内部控制体系建设与监督工作有关事项的通知》，又到《关于做好2022年中央企业内部控制体系建设与监督工作有关事项的通知》，无不标志着国资委对中央企业内控体系建设的愈加重视和递进探索。
其实作为中央企业的商业银行等金融企业的内部控制已经领先一步，接受了中国人民银行、前银保监会、中国银行业协会等机构更为严格的监督管理。
早在2002年9月18日，中国人民银行为促进商业银行建立和健全内部控制，防范金融风险，保障银行体系安全稳健运行，制定了《商业银行内部控制指引》，率先在商业银行实施。2007年7月3日，银监会首次印发《商业银行内部控制指引》。
2014年9月12日，银监会印发修订后的《商业银行内部控制指引》，分总则、内部控制职责、内部控制措施、内部控制保障、内部控制评价、内部控制监督、附则等7章，成为现行商业银行内控管理的主要监管依据。
在商业银行探索和落实内部控制的过程中，进行很多有益尝试，也发现一些问题和误区，比如内控影响业务发展、内控制约产品创新、内控只是内控部的事等，制约着内控的作用发挥和落地效果。
事实证明，有效的内部控制不是“紧箍咒”而是“安全阀”，不是“毛毛雨”而是“及时雨”，不是“花拳绣腿”而是“真刀真枪”。结合商业银行和相关企业的实践，联系其他类型企业的现状，笔者提出企业内控六个潜在误区，供大家参考借鉴。
一、有名控无实控
真正的内部控制是实际控制，而非名义控制或者挂名控制，依据相关监管法规，后两者不能算是真正的实际控制。特别是在规模庞大、层级复杂、股权交叉的企业中，可能存在或潜在名义控制。
这类控制由于名不副实，可能引发控制权之争、管理权之夺，继而引发财务风险、声誉风险等隐患，主要表现为两类情况：
一类是法人类内控有名无实，尽管其占据多数股权比例或决策席位，但由于委托其他公司代管，且无签字授权或书面授权，导致内控失效；另一类是董监高履职有名无实，尽管对公司董事、监事、高管或者财务管理人员、印章管理人员有明确发文，但其并未实际履职甚至未到现场履职，导致内控无效。
2020年当当网创始人“抢公章”事件就是一个典型例证，因其内部控制问题无法和解，进而爆发冲突且对外发酵，给企业带来了一定的声誉风险，引发负面舆情。
二、有制控无机控
有效的内部控制不只是制度控制，更需要机器或系统控制，从而更好地实现内部控制的要求。这并不是否定制度控制的作用，而是因为制度控制只是内部控制的一种，是人控的基础性工作。
所以企业只建立制度控制远远不够，需要借助机器或系统控制将内部控制嵌入企业的业务流程中，自动化、动态化地识别出业务流程中的风险点，进而提出相应的控制措施，逐步实现系统“硬控制”，从而更有效地杜绝故意犯错、人为犯错、主观犯错和无意识犯错，解决“有制度，无落实”“有规范，无执行”“制度上墙，内控入心”等关键问题。
例如，工商银行、建设银行等商业银行特别重视系统管控在内部控制中的应用，形成了“制度建设―流程梳理―系统管控”的良性内控循环，减少甚至化解了操作风险频发、高发、易发和普发的难题，阻断“操作风险―声誉风险―信用风险”的传染和传导机制，实现了不同类型风险的有机隔离。
三、有人控无技控
合理的内部控制不仅需要人来管控，更需要技术参与。在传统内部控制中，制控是人控的基础，人控是制控的延伸，技控是人控的拓展，这些都是内控管理的重要环节。但是，有人参与的控制总会因人而异、因事而变，难以自始至终“一碗水端平”。
为了减小内部控制标准的波动和变化，引入技术控制协助甚至代替人控就显得十分必要。在适合的领域发挥技术客观、一致、严格的优势，提升内部控制的有效性和一致性，减少人为干预产生的差异性。
例如，顺丰、京东等采用集约化管理、智能化识别和自动化分拣等，在效率上较人工分拣有了大幅提升，且差错率长期控制在较低水平；工商银行、中国银行都建立了异地灾备中心，即便出现断电、灾害等特殊情况也能实现快速响应、协同化解和高效处理，有力保障了业务连续性，实现了7×24小时服务，这便是技控的优势所在。
△企业文化既是“系统内控”，也是“无形之控”，因企业文化约束而产生的自发控制能大幅精简内控手段，压缩内控层级，降低内控成本， 提高内控效率，提升内控质量
四、有兼控无专控
适当的内部控制不仅需要兼职管控，更需要专岗专职管控的全力参与。在一些企业，特别是成长型企业中，兼职内部管控似乎成为常态。这类岗位往往由其他岗位员工兼任，比如制造型企业中的品质管理岗、安全生产岗、计划进度岗，又如商业银行中的内控管理岗、合规管理岗、反洗钱管理岗等。
但随着企业规模的扩大、企业竞争的加剧以及企业发展的需要，兼岗内控的劣势逐步显现，如容易被其他事务分心，不容易保持内部控制的稳定，缺乏内控管理的独立性、专业性和长期性。
因此，在大中型企业，特别是以大型企业集团为主的中央企业，内部控制不仅需要独立岗位、独立人员的持续运作，还需要考虑增加独立部门、独立条线来加强管理。
唯有如此，企业才能不断积累内部控制的经验，减少甚至杜绝内部管理中的错误，提高内控人员和团队的专业素养，发挥内控在完善制度、强化执行、系统建设、运营保障、监督检查、评估评价、整改落实等过程管理中的积极作用，形成“制定―执行―评估―整改―完善―提升”的内部控制良性循环。
五、有短控无长控
科学的内部控制不应特别注重短期内控或运动式内控，而应着眼于连续、持续、长期的内控。
企业内控灵活度较高、弹性较大，呈现不固定的周期性变化，所以短期内部控制或运动式内控虽然有其积极意义，但容易使参与的员工滋生“此一时，彼一时”“三天打鱼，两天晒网”“得过且过，明天再说”的侥幸心理，导致短期控制期内效果看似很好，但一过控制期问题便集中反弹，长期来看，企业内控问题“一管就死，一放就乱”。
例如，招商银行、中信银行对员工行为等内控管理采取“先固化、再僵化，后优化”的手段，明确提出并反复强调“禁止性要求”，将“工作红线”显性化、明晰化、形象化、高频化呈现，以“上屏保、上墙面、上案例”的形式反复呈现，一定程度上实现了内部控制的“长期主义”，使内控管理有法可依、有据可循、有证可查。
六、有形控无系控
高级的内部控制重点不在内部控制的具体形式、方法和手段，而在于全面、动态、体系的内部控制建设。
如前文所述，体系化内部控制需要制控为基础、人控为参与、机控为手段、技控为支撑、兼控为辅助、专控为条件、长控为延续、实控为目标，最终建立名副其实、有效的内部控制体系，如此才能逐步构筑企业员工“不敢违规、不能违规、不想违规”的长效机制。
相比于有形的内部控制，无形的内部控制才是内控的最高境界。这不禁让笔者想起招商银行2021年发布的“清风管理10个锦囊”，其中最后一条是：如果文化深入人心，大部分管理动作可以省略。企业文化既是“系统内控”，也是“无形之控”，因企业文化约束而产生的自发控制可以大幅精简内控手段、压缩内控层级、降低内控成本、提高内控效率和内控质量。大白若辱、大方无隅、大音希声、大道无形，也许就是企业内部控制追求的愿景。■
作者单位 中信银行合规部
文章不错，点个“在看”☟☟☟
