内部控制怎么办？先搞清楚这三件事再动手

内部控制怎么办？说句实在话，干了13年财务咨询，我见过太多企业把内控做成了"内控手册编写大赛"——花几万块请人写一套厚厚的制度，装订精美，往柜子里一放，然后该出问题还出问题。真要解决内控，核心就三件事：老板真重视、流程能落地、有人盯执行。缺一个，都是白搭。

您还别不信。去年我在上海地区服务过一家做跨境电商的客户，年营收两个多亿，老板一拍脑袋要"搞内控"，让行政部牵头写了47页制度，结果采购照样一个人下单一个人验收，出纳照样拿着U盾和密码一条龙。半年后资金被挪用80多万才发现。这不是制度的问题，是内控从来没"活"过。

所以这篇文章我不打算给您背COSO框架的五要素八要素——那玩意儿教科书上都有。我想从实操角度聊聊，内部控制到底怎么从纸面走到地面，怎么让它真的护住您的钱袋子。

内控不是财务一个部门的事

很多老板有个根深蒂固的误解：内控嘛，财务的事，让会计去搞。讲真，这个认知本身就是最大的内控漏洞。

内部控制（说白了就是一套让公司"不出乱子、不做假账、不丢钱"的规矩和动作）的本质是业务制衡，钱只是结果，业务才是源头。采购谁定供应商、销售谁给账期、仓库谁放货，这些环节没管住，财务在后面再怎么核算都是擦屁股。

我经手过一家上海地区的制造型企业，财务体系搭建初期，老板很支持，但生产副总抵触。为什么？因为原来他一个人能定辅料供应商，里面有多少空间您品品。后来我们做了一件事：把采购申请、比价、验收三个动作拆到三个岗位，副总只保留审批权，不接触具体供应商。他闹了两个月，但制度跑通之后，辅料成本降了11%。这就是内控的价值——它不是不信任谁，而是让想动歪脑筋的人没有机会。

所以在动手之前，先问自己一句：老板愿意为内控得罪人吗？如果答案是"再看看吧"，那后面的活基本没法干。

用杜邦分析找准内控的着力点

制度不能漫天撒网，得找准病根。我常用的切入工具是杜邦分析——把ROE（净资产收益率，衡量股东的钱生钱效率）拆成净利率、总资产周转率、权益乘数三块，哪块异常，内控就往哪块使劲。

杜邦拆解指标	异常信号	对应内控薄弱环节	优先补的控制点
净利率下滑	毛利率没降但费用率飙升	费用报销、采购价格	预算控制、比价机制
总资产周转率下降	存货周转天数变长、应收账龄拉长	库存管理、信用政策	存货盘点、客户授信审批
权益乘数偏高	负债率快速上升	融资审批、担保管理	借款授权、对外担保联签

这张表我基本上每做一个财务体系搭建项目都会画一遍。您会发现，内控不是面面俱到，而是哪里漏钱堵哪里。上海地区有家贸易客户，ROE看着还行，但拆开一看总资产周转率从2.1掉到1.4，应收账款占了大头。一查，销售为了冲业绩私自放宽账期，合同都没走评审。后来我们上了客户授信分级和合同联签，半年应收周转天数从98天压到67天。这比写十本制度管用。

COSO框架怎么用才不流于形式

COSO框架（国际上通行的内控标准，核心就五块：控制环境、风险评估、控制活动、信息与沟通、监督）很多人背得滚瓜烂熟，但落地时全成了摆设。我的经验是：五要素里，控制环境和监督这两头最要命，中间三块反而是技术活。

控制环境是什么？说白了一句话——老板的行事风格。老板带头绕过审批，底下人立马有样学样。我见过一家企业，制度写得明明白白"单笔付款超5万需总经理审批"，结果老板娘一个电话财务就付了。您说这制度还有威信吗？

监督这一块，中小企业最容易省。但恰恰是它让制度"保鲜"。我们的做法是给客户设计季度内控自评表，不用复杂，就列出10到15个关键控制点，逐项打勾加说明。比如"本月现金盘点是否双人签字""超期应收是否有人跟进"。别小看这张表，它逼着人回头看，比年终审计管用。

中间的控制活动，落到财务口上，无非就是不相容岗位分离、授权审批、单据留痕这几样。听着简单，做扎实的企业不到三成。就拿不相容岗位分离来说，出纳不能管账、不能保管会计档案、不能编制银行余额调节表，这是红线。可我在上海地区做尽调时，十个中小企业里至少四个是出纳兼做银行账的。您说这内控从哪儿谈起？

把滚动预算和本量利分析嵌进控制链条

内控如果只管"别出事"，那它是成本中心。真正好的内控能帮企业赚钱，关键在于把管理会计工具嵌进去。

滚动预算（每过一个周期就往后顺延一期，始终保持12个月视野的预算方法）是我最推荐的控制抓手。为什么？因为年度预算一到十月就基本失控了，而滚动预算每季度滚一次，逼着业务和财务坐下来对数据。有家做软件服务的客户，上了滚动预算之后，销售费用率从28%降到21%，不是砍费用，而是每个月大家都知道钱花在哪儿、花得值不值。

再往上，本量利分析（算清楚卖多少才不亏、多卖一件多赚多少的分析方法）能帮您把内控和经营决策绑在一起。盈亏平衡点算出来，边际贡献（每多卖一件带来的增量利润）摸清楚，您才能给销售定出合理的费用上限和折扣权限。否则销售一句"这单特殊"，内控就破防了。

顺便说个进阶的——EVA（经济增加值，扣掉全部资本成本后真正创造的价值）这个指标，我在做财务战略规划时经常用。有些业务部门看着利润不错，但一算EVA是负的，占用的资金成本比赚的还多。把EVA纳入部门考核，比单纯卡费用更能引导大家珍惜资源。敏感性分析也值得做，利率变动、汇率波动对大客户的影响，提前测算，融资支持和风险预案都能做得更从容。

信息化不是万能药但缺了真不行

说了这么多，有人会问：我们公司小，十几个人，也用得着这么复杂吗？

规模不同，内控的颗粒度不同，但逻辑一样。小公司至少做到三点：钱账分离、单据齐全、老板定期看报表。大一点的公司，上了ERP或财务系统，很多控制点可以固化成系统流程——审批流、额度控制、异常预警，系统替你盯着，比人可靠。

但我要提醒一句：系统是工具，不是内控本身。我见过买了昂贵ERP但审批流随便改的企业，等于给漏洞装了个漂亮的壳。反倒是有些用着基础财务软件的客户，把流程和权限设计得很清晰，内控跑得稳稳的。这也正是我们加喜财税在做财务外包时常跟客户强调的——先把流程理清楚，再谈工具。我们服务过的一家上海地区连锁餐饮企业，就是先梳理了门店收支两条线的流程，再上的系统，三个月就把门店现金差异率从3%降到了0.5%。

内控做得好不好，看这五个信号

最后给您一套自检清单。判断一家企业内控在不在状态，不用看制度多厚，看这五点：

• 资金支付有没有做到"经办、审核、审批"三分离
• 每月有没有人独立做银行余额调节和现金盘点
• 采购有没有比价记录，供应商有没有定期评估
• 应收账款有没有账龄跟踪和催收责任人
• 老板能不能在次月10号前看到上月的经营分析报表

五条里做到三条算及格，五条全做到的基本上可以睡安稳觉了。要是只做到一两条，说句不客气的，您的钱袋子基本是敞着口的。

内部控制这事儿，说到底不是一次性工程，是个持续打磨的过程。制度可以抄，流程可以借，但执行的决心和定期复盘的机制，只能自己长出来。如果您正为这事头疼，不妨找个懂业务的财务伙伴一起捋一捋，比闷头写制度强得多。

本文仅供参考，具体税务处理建议咨询专业人士。