编者按：现代CFO不再只是一个财务最高领导人的角色，更要从战略角度去考虑如何实现企业内部管理价值的提升，协同并牵动各业务部门梳理好整个流程。

　　自美国萨班斯法案出台，内部控制的概念在企业中开始盛行。此法案要求上市公司无论大小，每年对财务报告相关内部控制的有效性进行评估和报告。而美国COSO组织于1992年颁布的内部控制框架也被明确“可以作为评估企业内部控制的标准”，美国上市公司均需引进此框架，以满足法案对企业的合规要求。

　　中国企业的内控建设近年来也日渐升温。2006年，财政部发起成立企业内部控制标准委员会;2008年发布了《企业内部控制基本规范》，并自 2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行;2010年，财政部等5部委又联合发布《企业内部控制配套指引》，中国企业内控规范体系基本建成。

　　“最初企业对内控并不是很重视，内控建设主要来自于监管部门对上市公司的合规要求等外部推动力，内容上也主要是和财务相关。而经过几年发展，企业内部开始有了自发性需求，也已经跳出了财务的框子，对运营方面提出了很多要求。”甫瀚咨询董事总经理崔楠总结道。作为一家全球性的商业咨询专业机构，甫瀚咨询有着丰富的实战经验，为超过35%的美国财富500强及全球1000强企业提供服务。

　　风险导向

　　崔楠强调，内控是“一把手”工程，但至于由哪个部门牵头，在不同的企业则有不同的情况。根据崔楠的经验，在大型跨国企业中，一般会新设立专门的内控部门，有时也会归属于原有的合规部门之下。在大部分中国的中型企业中，会有如下几种牵头模式：

　　一是由财务部门牵头。“对于财务管控型的企业，由于总部财务对各下属子公司本身即有很多数据性的要求，具有中央管控职能，再多增加一项内控，有现成的报告渠道和人员，这是财务牵头的好处。不好的一面在于管理局限性，一旦财务部门来管这个事情，大家自然而然就会认为内控是财务的事情，财务部门本身也会关注与财务相关的内控多一点，对业务的牵动性会相对较少。”崔楠分析说。

　　二是由内审部门牵头。崔楠表示，内审不仅是财务的审计，也包括对企业运营的方方面面的审计。由内审部门牵头，会让企业上下对内控的理解更加全面，即 “内控是所有部门都要做的”。她同时也指出了这种方式不利的一面：内审其实是企业的一道防线，本身应该具有独立性。如果由内审牵头做内控，至少会参与内控的部分设计和执行。“这种情况下如何起到监督作用、保证内审的独立性?”崔楠说，“比较常见的做法是内审部下面会设置两个子部门，一个团队专门做内控，另一个团队着重于审计，中间隔着防火墙。”

　　“还有的企业会设置风控部门，把风险管理和内部控制放到一起，尤其在大型的国企和央企中较多采用。”崔楠很赞同这种做法，“如果企业到了一定规模，我们比较推荐这种模式。因为风险管理和内部控制就是一件事儿的两方面，是相辅相成的，放在同一个部门实施最恰当也最有效率。”崔楠认为，随着企业管理观念的不断转变，内控已经由财务导向变为风险导向，涵盖了会计核算、风险管理、政策流程乃至公司治理层面的各个环节。在一家现代企业中，很多时候财务战略和内控战略呈现曲线重合状态，同样贯穿于企业的整个业务链条。“内控不一定放在财务部门，但常常都是由CFO牵头来做的。”崔楠说，“现代CFO不再只是一个财务最高领导人的角色，更要从战略角度去考虑如何实现企业内部管理价值的提升，协同并牵动各业务部门梳理好整个流程。”

　　内控价值

　　在企业的不同发展阶段，内控的需求也会不同。崔楠对此进行了进一步的解释，“比如在很多民企，经过十几年的发展，当创始人退居二线的时候，一定会考虑交班之后的公司管控问题。他希望这个企业是一个长久基业，而不是交出去就乱了。这时就会提出内控建设的需求。还有一些企业，正经历着高速发展期，从之前的单一业务板块发展到多个板块、甚至从中国走向世界，很难再靠‘人治’的时候，就会希望实现标准化、流程化、可复制的管理。当然，内控更多的是在企业全盛期该做的事情。在企业的初创期，更需要的是活力，此时强调完美的内控可能并不能凸显企业价值。”崔楠也强调了在标准化和创造力之间的审慎选择。

　　“内控的第一个重要性是可以使得企业的管控模式更加清晰。”崔楠认为，“有很多企业觉得人越多管理越混乱，实际上是没有合理的管控模式。”不同的业务流程意味着不同的管控思路，比如采购、销售、供应商管理等必须经过总部垂直管理还是适当分权?如果分权，是单独某个部门还是所有部门的某些权限?“内控的重要作用就在于能够给出一个明确思路。”崔楠说。除此之外，内控对企业所有的业务流程可以起到一个很好的梳理作用，从业务端去看职能管理上有没有重复或缺失。“通过流程化和职能化的管理构成企业矩阵式的管理网，流程是纵向的，职能是横向的。通过内控去观察，关键的节点归属于哪些部门?有没有出现多个部门重复在某个节点或者某个节点出现内控缺失?通过这样的内控梳理，企业管理上的问题一目了然。”帮助众多企业建立起内控体系的崔楠侃侃言道。丰富的经验带来了更为广阔的视角，“对于很多中国企业而言，当前正处于一个扩张期。对于通过并购实现外延性增长的企业而言，内控可以通过标准化实现管理模式和业务流程的统一，即大统一、小分散的管控架构。这样可以保证企业在不停扩张的情况下，仍然有序化，把每个新纳入的成员变成本身的一部分。”

　　中国企业内控进程

　　企业内控建设一般有两种方式：依靠内部力量或者外包。崔楠并不太建议完全外包，“因为你很难让内控顾问一年365天都在你的企业里。内控是一个价值分享和创造的部门，它需要和企业息息相关，随时随地了解企业的新想法。可以设数位专职人员去领导，然后利用外部的一些资源进行配合。”采用纯外包形式的多为在华外企，“因为外企的规章制度相对成熟，在华可能只是执行性工作，创造性需求较少。这种情况下，外部咨询公司可以提供很好的技术和人员配合。”

　　崔楠也分析了国内企业的常见做法，“聘用外部咨询公司成本较高，所以国内企业一般是先通过外部顾问的帮助搭建框架，然后逐步培养自身团队。也有些企业一开始就是由自己主导完成，但会聘用外部顾问团队做一些技术指导，支付年度顾问费用。还有些中小企业，可能会雇佣一两位顾问来领导工作，先对自身内控建设进行定位，再根据需要去聘请不同方面的专家来配合。”根据甫瀚咨询的客户情况，目前国内企业的内控建设一直在升温，需求也在发生变化。“在2006年到 2008年，需求比较零散，还是以财务和合规方面的要求为主。随着经济环境变化和企业发展，可以看到对技术方面和信息化方面的需求特别明显。”崔楠认为， “这是企业打好基础之后，开始转向对持续发展的思考，需要提供创新型的解决方案。这几年大家对业务的有效性和标准化上的需求也在提升，好多企业表示财务管理已经很好，更需要一些专项的需求。”

　　崔楠对目前国内企业的内控建设情况非常了解。她对此进行了大致的分类：目前国内大型央企或国企的基础搭建已经基本完成，企业更多的是希望内控更有价值、更可持续化，内控部门要成为一个企业顾问的角色;上市公司方面，由于国家监管部门的管控，大中型的上市公司在2011年和2012年间，内控水平在逐渐提升，但刚刚上市的公司，内控还是停留在合规层面，仍有上升空间;未上市的大型民企基本制度也都已经建好，目前内控需求集中在如何适应集团化管控的需要，而众多未上市的中小型企业尚处于一种零散状态。“中国企业的内控水平千差万别，既有和国际先进企业相媲美者，也不乏零建设者。”崔楠感叹道。