这些年，内部控制越来越受重视，几乎每家单位都在搭体系、建制度、补流程。

但实务工作中，大家多有同感，很多地方做着做着就变了味，然后被业务部门吐槽，内控就是层层审批、处处设卡，本来顺畅的事变得磕磕绊绊，手脚都被捆住了。

内控和内审的伙伴们也委屈不已，明明是为了防风险、守底线，怎么就成了业务的绊脚石。

很多内控捆住了发展的手脚，问题出在哪？

出在建设思路和执行方式上的几个典型偏差。

‌第一个偏差：为了控制而控制，忘了目标是什么。‌

不少单位建内控，上来就是对标监管要求，照着指引抄制度，别的公司有什么流程我们也得有，什么风险都要防，什么漏洞都要堵，唯独没认真想过：

我们的业务目标是什么？我们的风险承受能力有多大？哪些控制点是真正必要的？

结果就是流程越建越长，审批节点越来越多，制度越来越厚，业务部门的手脚也越捆越死。为了防住1%的风险，把99%的业务效率都牺牲了，其实，这不是真正的内控，是形式主义、是一种懒政。

‌第二个偏差：一刀切，不分轻重缓急。‌

有的单位定制度，不管金额大小、不管风险高低、不管什么业务场景，全用一套流程。五万块的采购要走五遍审批，直到CEO，五百万的项目也是同样的签字顺序；常规报销要填十张单子，新业务拓展也是同样的审批逻辑。

这种宁可错杀一千不可放过一个的思路，看起来是最严谨的，实际上是最不负责任的。它把控制成本平摊到了所有业务上，让大部分人为极少数可能出问题的场景买单，最后必然是所有人都觉得麻烦，然后想尽办法绕流程、走特批，反而把真正的高风险事项掩盖了。

‌第三个偏差：只说不行，不说怎么才行。‌

很多内控和审计人员有个职业病，看什么都先看风险，看到问题就说不行、不合规、不能做，但是从来不说怎么才能做，怎么在控制风险的前提下把事做成。

时间长了，业务部门自然会觉得内控就是绊脚石，就是来挑毛病的，遇到事第一反应不是跟内控商量怎么设计方案，而是想着怎么绕过内控先干了再说。这种对立一旦形成，内控就成了业务的对立面，信息越来越封闭，风险反而越来越大。

‌第四个偏差：重约束轻效率，重形式轻实质。‌

有些内控措施，看起来无懈可击，实际上一点用没有。比如一张审批单上七八个签字的人，每个人都觉得前面的人看过了自己只是走个过场，最后谁都没认真看；比如要求所有采购都货比三家，但比价单都是补做的，真正选哪家早就定了。

这种形式上的内控，除了降低效率、增加大家的工作量，没有任何实际意义。真正的风险没防住，反而把干活的人折腾得够呛。

‌第五个偏差：一劳永逸，从不迭代。‌

业务在变，市场在变，组织在变，但内控体系往往是建完就不变了。三年前的流程，用来管今天的新业务；创业期的管控制度，用到几百亿规模的时候还在执行；老业务的审批逻辑，原封不动套用到创新业务上。

旧制度管新业务，要么就是管不住新风险，要么就是把新业务管死。很多互联网企业创新业务做不起来，不是技术不行、不是团队不行，是每走一步都要按老规矩层层审批，市场机会早就错过了。

真正的内控，应该是什么样？

好的内控体系，应当让守规矩的人觉得顺畅，让想钻空子的人觉得困难，让业务端有支撑，让管理层有底气。

1. 目标导向，从业务出发而非从控制出发

所有管控措施都要围绕业务目标设计，先明确要做成什么事，再锁定影响目标的关键风险，针对性设置控制点。与目标、风险无关的冗余流程，该砍就砍。 比如销售业务，核心盯客户授信、合同审核、回款跟踪就够了，不用在差旅、招待这类细枝末节上层层设卡。 内控贵在抓大放小，精准管住重大风险、不打扰正常业务，才是真水平。

2. 分级分类，不搞一刀切

风险有高低，授权就该有差异。大额、高风险事项审批层级高、管控严；小额、常规化事项就简化流程、充分授权，让一线能快速决策。 对创新业务更要差异化管控，用止损线、负面清单守住底线，之上给足试错空间。用成熟业务的标准卡新业务，创新根本无从谈起。

3. 嵌入流程，控制不是额外负担

最高级的内控是无感的。把管控规则嵌进业务全流程，做事的过程就完成了控制，而非事后补走审批流程。 现在很多企业通过数字化把规则固化进系统，不合规自动拦截、缺资料自动打回，不用人人死记制度，效率和效果都能兼顾。

4. 成本效益，控制绝非越严越好

我一直跟大家分享，内部控制，一定要充分平衡风险、成本、效率。任何控制都有时间、人力、机会成本，为了防范十万块的风险，投入上百万建流程、增岗位，显然得不偿失。内控追求的是风险可控，而非绝对零风险。低概率、低损失的风险完全可以接受，什么风险都想防，最后只会什么事都干不成。

5. 赋能业务，先想成事，再想防错

其实内控人员不该是拦路的守门员，该是业务的合作伙伴。业务提出新方案，不必急着说不行，大可先一起梳理风险点，协助设计合规的落地路径。当业务觉得内控是来帮忙的，才会主动暴露问题，内控才能真正发挥价值。

给内控与内审从业者的几点建议

我们是体系的设计者、推动者，对内控的理解，直接决定了体系最终的走向。

第一，深入业务，别纸上谈兵。多跑一线、多听真实痛点，搞清楚业务怎么运转、风险藏在哪里，做出来的规则才接地气，不会沦为被吐槽的条条框框。

第二，有所为有所不为，不追求绝对完美。先管住最核心的风险，砍掉最冗余的流程，逐步迭代优化。一上来就搞大而全的体系，大多落不了地。

第三，推动动态迭代，不让制度拖后腿。业务在变、市场在变，风险也在变。定期复盘流程，该删的删、该改的改，让内控跟着业务一起生长，别让它变成一成不变的枷锁。

第四，永远记住，生存和发展是根本，创造价值才是硬道理。所以，我们要帮组织做成事，不是拦住大家干事创业。不出事只是底线，不是目标。如果因为过度管控错失发展机会、消磨团队活力，反而是我们的失职。

这些年见过太多企业，要么内控缺失一夜崩盘，要么管控过死慢慢失去活力，两种清醒都是失败。

真正优秀的内控就像空气，不足感知，就像甘露，润物无声，关键时刻，却能托底保护。

我们做内控、干审计，不是为了把人管得服服帖帖，而是让所有人在清晰的规则框架里放心做事，让组织在风浪中行稳致远。

这，才是内部控制真正的意义。

● 文章版权归作者所有，观点不代表内审网立场。部分图文源于网络，已标注作者信息，部分无法查明联系作者及首发来源，旨在促进行业交流共进,仅作互助学习之用，如不便分享，请联系删除。

● 转载内审网原创文章，亦请注明：本文转载自公众号:内审网（ID:neishenwang），并标识作者信息。审计报告 |案例 |方法-投稿：neishenwang@163.com