内部控制包括哪些内容

很多人以为内部控制就是财务记账、报销贴发票，或者领导在单子上签字。其实这些只是最表面的动作。

按照财政部等五部委发布的《企业内部控制基本规范》，以及国际通用的COSO内部控制框架，内部控制包含五个核心内容：内部环境、风险评估、控制活动、信息与沟通、内部监督。

我做企业财务和内控审计很多年，见过不少公司出问题。只要拆开来看，企业出事的原因，全都落在上面这五项内容里面。

第一项内容是内部环境。

内部环境是整个内控的基础。它包括公司的治理结构、机构设置、权责分配、人力资源政策和企业文化。

简单来说，这里核心关注两件事：机构设置是否相互制衡，用人标准是否客观规范。董事会、监事会和经理层必须权责分开，不能由某一个人说了算。

我之前接触过一家准备上市的企业。董事长把公章和法人印鉴都放在自己包里。给供应商付款只要他在微信群里发一个“付”字，出纳就直接打款。这家公司虽然印了一整套厚厚的管理制度，但是根本没有人执行。管理层如果不尊重规则，制度写得再多也是废纸。

健全的内部环境，要求企业在招聘、培训、考核和轮岗时，都有明确标准。关键岗位的人员必须具备对应的专业技能，而且要定期轮岗。

第二项内容是风险评估。

做企业不可能没有风险。风险评估就是找出可能导致损失或违规的事情，提前想好应对办法。它包含四个部分：设定目标、识别风险、分析风险、制定应对策略。

分析风险的时候，主要看两点：发生的概率，以及发生之后的损失金额。

根据损失和概率的大小，应对策略通常有四种：规避、降低、分担、承受。

比如一家外贸公司发现某客户所在国家的外汇管制收紧，货款大概率收不回来。如果公司直接停止接单，这属于规避风险。如果要求客户发货前必须全额付款，这属于降低风险。如果公司去买出口信用保险，把坏账损失转给保险公司，这属于分担风险。如果这笔订单金额只有几千块，公司认为即使亏损也不影响经营，选择正常发货，这属于承受风险。

搭建风险评估机制时，先做业务流程梳理，然后把每个环节可能出现的问题列成清单，再逐一打分确定应对方式。这样能帮你提前排除经营隐患。

第三项内容是控制活动。

控制活动是把具体的防范措施，写进每天的业务流程里。

控制活动主要包含以下几种做法：

第一是不相容职务分离。这是内控中最核心的规矩。经办业务的人，不能同时负责审批。管钱的人，不能同时管账。采购物品的人，不能负责验收。

我经手过一个案子。一家商贸公司的出纳，手里拿着自己的制单U盾，同时又帮财务经理保管复核U盾。她沉迷网络赌博，自己制单，自己复核，转走了公司四百多万资金。直到半年后大额税款交不上，管理层才发现。这就是职务没有分离导致的后果。正确的做法是，制单U盾由出纳持有，复核U盾由主管持有，必须两个人分别操作才能完成付款。这样做更好，因为两个岗位相互核对，一个人就无法独自转移资金。

第二是审批权限控制。公司必须制定明确的权限表格。普通主管能批多少金额，总监能批多少金额，总经理能批多少金额，都必须写清楚。大额资金支出，必须由管理层集体讨论决定。所有人都在规定范围内签字核准，不能越级批准。

第三是资产保护与会计系统控制。仓库大门安装监控和门禁，贵重物品进出必须登记。财务人员每个月必须核对银行对账单，编制银行存款余额调节表。仓管人员每个季度必须组织盘点，核对实物和账面记录是否一致。

第四项内容是信息与沟通。

信息与沟通是指企业内部和外部的信息传递机制。信息必须真实、及时，而且传递渠道必须通畅。

它包含自上而下的政策传达，自下而上的问题反馈，以及部门之间的横向交流。比如销售部门如果发现客户取消了订单，必须在两小时内通知生产和采购部门。如果不通知，采购部门就会继续买原料，生产车间就会继续加工，导致库存大量积压。

反舞弊机制也是信息沟通的关键环节。公司必须设立独立的举报电话和邮箱，并且由专人负责管理，严格保护举报人身份。根据国际注册舞弊审查师协会（ACFE）公布的全球职务舞弊调查数据，企业内部舞弊线索中，有超过40%来自员工举报。这个比例远高于外部审计发现的比例。如果基层员工发现了贪腐却找不到安全渠道反映，管理层就无法及时获得真实的异常信息。

对外沟通主要指企业与客户、供应商、银行和税务部门的沟通。关键的业务往来必须保留纸质单据或系统电子记录，合同要统一归档编号，避免后期产生法律纠纷。

第五项内容是内部监督。

内部监督就是对整套内控体系的执行情况进行检查和评价。制度制定出来以后，各部门有没有认真执行，流程有没有出现漏洞，都需要监督机制来确认。

内部监督包含日常监督和专项监督。日常监督是各级管理者的例行检查，专项监督通常由独立的内部审计人员负责。

在公司内部开展监督检查，通常按照四个步骤进行：

先做业务摸排，挑选出资金往来频繁或者差错率高的重点业务，比如采购付款或者销售对账。

然后做穿行测试。从业务系统里随机抽取一笔已完成的业务，调出最初的申请单、审批记录、采购合同、收货凭证、发票和银行付款回单，对照制度逐项核查，检查每个环节签字是否齐全，单据之间的数据是否完全一致。

接着整理缺陷清单。把发现的问题分成两类：一类是制度本身有缺失，一类是员工没有按现有制度执行。

最后下发整改通知书。写清楚问题事实、整改要求和完成期限，要求业务部门提交整改后的业务单据作为证据，形成闭环管理。

这五项内容构成了一个完整的管理链条：内部环境确定了基本规矩，风险评估找出了潜在问题，控制活动落实了防范措施，信息与沟通确保了数据和异常情况及时传递，内部监督保证了整套体系能够持续有效执行。企业无论规模大小，只要把这五块内容做扎实，把具体责任明确到岗位和人员，就能减少管理漏洞，保证经营稳定。