作者：馬軍生

本文發(fā)表于《新理財》（公司理財））雜志2025年第5期 P38-43

內部控制執(zhí)行落實是個老生常談的話題，《企業(yè)內部控制基本規(guī)范》發(fā)布已有近二十年時間，很多企業(yè)從制度設計層面已建立相對完整的內控制度，但內部控制流于形式始終是個頑疾。所謂知易行難，就拿減肥來說，最有效的措施無非是管住嘴、邁開腿，但真要做到這兩點，對很多人并非易事，懂得許多道理卻依舊過不好這一生，在內控領域也是如此。

內部控制流于形式

內部控制流于形式是指企業(yè)形式上已建立健全的內控制度體系，但并未有效執(zhí)行，未能實現預期的內控目標。內控流于形式有以下幾種表現：

一、有書面制度，實際不執(zhí)行。以2004年中航油（新加坡）公司巨虧40多億為例，盡管該公司聘請安永會計師事務所制定了完整的風險管理制度，規(guī)定每名交易員虧損20萬美元時，要向風險管理委員會報告，虧損達37.5萬美元時向首席執(zhí)行官匯報，虧損50萬美元時，必須斬倉。但實際操作時，公司諸多制度并未得到有效執(zhí)行，最終給公司造成了超過5億美元的災難性損失。還有某鋼鐵公司曾發(fā)生爆燃事故，造成13人死亡、17人受傷，事發(fā)之前公司修訂安全生產標準化制度216個，編制安全生產標準化作業(yè)指導書9萬多份。然而，據內部人士講，這種管理浮于紙面，停留于形式。各種指導、標準的文件層層發(fā)來，反而起不到什么作用。這種有制度、不執(zhí)行的現象，有些是因為制度設計的原因，比如制度未及時修訂，導致制度過時跟不上企業(yè)發(fā)展，已無法執(zhí)行；有些是執(zhí)行層面的問題，比如員工惡意舞弊，繞過相關控制；或者因為制度宣貫不足，員工不了解相關制度也就不按制度執(zhí)行了。

二.有書面制度，形式執(zhí)行，實質放行。在制度設計層面考慮了層層控制，但在實際執(zhí)行時，相關人員在操作環(huán)節(jié)只負責簽字，并沒有履行控制職責。比較典型的就是審批控制，有的人基本不看內容，直接審核通過。這背后有多種原因，有的是責任心不夠或偷懶；有的是缺乏相關專業(yè)能力或知識，無法有效審核；有的是缺少信息或數據支撐，就草草簽字了事；有的是怕得罪人，對制度執(zhí)行“睜一只眼閉一只眼”；還有的則是從眾心理，覺得其他環(huán)節(jié)都審核過了，應該沒什么問題，又沒什么反對的理由，就審核通過了。在信息化的背景下，審批變得更加方便，流程各節(jié)點的審批可以在電腦或手機上輕點一下就完成了，甚至有些企業(yè)還貼心地設計了“一鍵批量審批”功能，使得審批成為象征性的控制節(jié)點，不能真正發(fā)揮控制作用。

三、有書面制度，實際未執(zhí)行，編造執(zhí)行記錄。有些企業(yè)在制度里明確了相關控制措施，實際并未按照要求操作，但為了應對檢查或審計，編造執(zhí)行記錄。某銀行發(fā)生過5000多萬元的金庫重大盜竊案，事后調查發(fā)現，按照管理制度要求，分管主任要定期進行盤點，確保賬實一致，但實際上分管領導并未去現場實地盤點，只是編造了盤點記錄，相關人員在盤點記錄上簽個字，導致金庫被盜未能及時發(fā)現，金庫窟窿越來越大，最終東窗事發(fā)才發(fā)現所謂盤庫制度根本沒有落到實處。有些企業(yè)，花大量精力用在補臺賬、補憑證、補簽字，但這些事后補記錄的做法形式意義大于實質作用，浪費了人力物力。

四、有書面制度，但制度本身過于寬泛，缺少落地措施。有些企業(yè)的制度各種喊口號、表決心，但幾乎看不到任何具體的操作流程、工作標準或者崗位職責。這種企業(yè)看起來似乎各項制度也有，但從制度設計層面就流于表面，執(zhí)行時往往缺少有效控制，出現內控失效在所難免。

內控流于形式的原因分析

對于內控流于形式的問題，很多管理人員會找出很多理由或借口進行辯解，常見的理由包括“情況特殊”“時間太緊”“變化太快”“資源不夠”“人員不行”“制度本身不合理”等等，這些理由有具有合理性，有的則是推卸責任的借口而已。

那么，造成內部控制流于形式背后的真正原因有哪些，筆者認為主要有以下幾個方面的原因：

一、人的原因。人是內部控制執(zhí)行主體，再好的制度，也要靠人去執(zhí)行，能否有效執(zhí)行，和人的能力、態(tài)度及動機有很大關系。具體說來，人的原因涉及理念、勝任能力、習慣和利益等因素。

理念是對內控的認識，沒有正確的認識，執(zhí)行時就會出現偏差，但理念的改變不是一天兩天的事，尤其有些企業(yè)高層管理人員對內部控制不夠重視，甚至認為內控是管下不管上，帶頭破壞規(guī)章制度，將個人權威凌駕于內控制度之上，或者認為業(yè)務優(yōu)先，當內控要求與業(yè)務發(fā)展存在沖突時，就選擇無視內控要求，違規(guī)操作。

人員能力不足無法有效履行崗位職責。在有些地區(qū)，人才招聘非常困難，筆者曾碰到過某公司倉庫管理人員連基本的電腦操作不會，又不愿學習新的技能，簡單的臺賬和庫房盤點始終不能按要求操作，這些都影響了內控制度有效實施，導致公司存貨長期賬實不一致，直到公司更換了一批庫房人員，才解決了這個問題。

人的固有習慣會延續(xù)，企業(yè)在推行新的內控制度過程中，很多人會不自覺地按照之前的習慣操作，就和鍛煉身體一樣，制定了早起跑步計劃，但很多人已習慣了晚睡晚起，堅持不了幾天，就給自己找借口，今天天氣不好、今天還有很多重要事情……，于是又回到以前的舒適區(qū)，一切變回老樣子，計劃淪為空談。

除了上述幾個因素，還有一個最重要因素——利益因素。人性是管理繞不開的話題，人與機器的區(qū)別在于，人都是有利益訴求的，包括金錢和非金錢方面利益。給電腦下達一個指令，機器會嚴格遵循，但面對同樣的指令要求，對不同的人或同一個人在不同時刻，得到的執(zhí)行結果往往不同。在推行改革的過程中，“觸動利益往往比觸及靈魂還難”，當改革涉及到利益時，往往會有巨大的阻力和障礙，在執(zhí)行內控制度過程中，同樣如此。復旦大學管理學院教授、知名內控專家李若山認為，很多企業(yè)內控制度實施不下去，是因為利益格局難以調整，企業(yè)做內控就要打破原有的利益格局。比如采購流程不規(guī)范時，相關人員可能趁機撈回扣，而嚴格按照規(guī)定操作，徇私舞弊的空間就會被壓縮。在這種情況下，有些人員會不愿執(zhí)行內控制度。為了獲取利益，人會舞弊甚至串通舞弊，這就很容易導致內控失效。另外，有些人基于自身利益考慮，在履行崗位職責時，選擇當“老好人”走過場，也使內控制度流于形式。

二、內控目標有沖突。內控目標一般包括提高運營效率效益、合規(guī)和財務報告真實可靠，但在某些情況下，這些目標之間有沖突。常見的情形是保證合規(guī)性卻對效率及效益產生影響，比如公司要求開展某項業(yè)務必須經過充分的盡職調查且履行審批流程，但如果按照規(guī)定走完全部流程可能耗時過長，導致失去機會，這時相關人員可能為了促成業(yè)務，選擇繞過現有流程進行違規(guī)操作。還有些業(yè)務本來就是違法的，按照內控要求是不能開展的，但這種業(yè)務會增加公司業(yè)績。在企業(yè)經營管理中大量存在類似沖突，是優(yōu)先選擇合規(guī)，還是優(yōu)先考慮效率效益，會產生不同的結果，企業(yè)書面制度上通常會要求不得違規(guī)，但具體執(zhí)行時卻做不到，甚至普遍違規(guī)，制度成為空談。

三、制度設計的原因。有效的內部控制通常包括設計有效和執(zhí)行有效。內部控制缺陷按性質可分為設計缺陷和執(zhí)行缺陷。有制度但未執(zhí)行通常被認為是執(zhí)行缺陷。從現實來看，在內部控制評價和審計時，企業(yè)大量內控缺陷通常被認定執(zhí)行缺陷，設計缺陷占比很少，對應的內控整改措施就是加強執(zhí)行力度，抓宣貫抓落實，但效果往往不如人意，同樣問題屢抓屢犯，制度執(zhí)行成為老大難問題。

筆者認為，絕大多數所謂內控執(zhí)行缺陷并不僅僅是執(zhí)行問題，而是制度設計本身存在問題，一個問題偶爾發(fā)生，可以解釋為執(zhí)行的偏差，但如果同樣問題經常發(fā)生，那通常是制度設計本身就存在缺陷。舉個例子，某工廠生產風機設備，按照生產工藝，要求在設備葉片上面刷五遍油漆，但實際執(zhí)行時，出現有少數產品操作工人只刷了三遍或四遍，表面上看起來也刷漆了，但設備在交付客戶運行一段時間后，就會出現質量問題，引發(fā)客戶投訴，最后查下來，是刷漆環(huán)節(jié)沒有按照規(guī)定操作。那么，這屬于制度執(zhí)行缺陷還是設計缺陷？表面看是工人責任心不夠，執(zhí)行沒到位。但為什么會出現這種質量問題而且發(fā)給客戶之前沒有被發(fā)現，可能是多個環(huán)節(jié)的制度設計出了問題；可能是公司招聘和培訓制度存在缺失，招的工人與崗位要求不匹配或缺少必要的崗前培訓；也可能是流水線工藝不合理，流水線速度過快，最熟練的工人才能完成，對于一般熟練程度的工人，則很容易為了跟上流水線速度而減少粉刷油漆次數；也可能是因為質量檢測環(huán)節(jié)缺失，在設備出廠前，沒有相應的質量檢測。

所以，制度執(zhí)行失效時，需要思考制度設計的原因，內控制度設計不足有以下常見原因：

1.制度照搬照抄、不切實際或未能及時修訂。每個企業(yè)面臨的情況千差萬別，有些企業(yè)制度制定時直接套用模板，或照搬照抄，比如有些企業(yè)為了符合IPO上市要求，在制度設計時追求“形式合規(guī)”做出一套完整的內控制度，但制度與實際情況是“兩張皮”，在這種情況下制度很難落實。而且內部控制是個動態(tài)過程，有些企業(yè)制度沒有及時修訂，也會導致制度與實際執(zhí)行脫節(jié)。

2.制度缺少可操作性。制度里存在大量空洞的說教，如果沒有配套的工具、表單或措施，在執(zhí)行時更多依賴操作人員的經驗和習慣，就會導致制度執(zhí)行比較隨意或失效。

3.制度設定標準過高、要求過嚴。從制度設計者的意圖來說，是希望提升企業(yè)管理水平，也有的是制度設計者不想承擔責任把制度定得非常嚴格，但在實際執(zhí)行時，由于種種現實條件限制，達不到制度標準的，出現違規(guī)現象。

4.制度執(zhí)行中缺少監(jiān)督檢查措施，或沒有配套的獎懲機制。在沒有監(jiān)督，或雖然有監(jiān)督但沒有獎懲的情形下，對當事人來說，干與不干、干好干壞并沒有什么太大差異，于是制度執(zhí)行就可能走樣，制度執(zhí)行偏差也得不到糾正。

5.不同體系制度未能有效融合。企業(yè)管理涉及多方面，為滿足相關體系建設標準要求及管理需要，企業(yè)可能會構建內部控制、風險管理、質量、環(huán)境、職業(yè)安全、健康、黨建、合規(guī)等多個管理體系。各管理體系按專業(yè)分別建設，在實際工作中會出現交叉重復、表述不一、要求不一等問題，導致執(zhí)行人員無所適從，無法按規(guī)定操作，從而影響制度執(zhí)行效果。

四、信息溝通的原因。內控流于形式，表現為看似流程節(jié)點都執(zhí)行了，但并未達到預期效果。例如選擇供應商，按照規(guī)定流程進行詢價比選或招標，并經過各部門層層審核，但最后發(fā)現選出來的供應商存在很多問題。這里除了人的原因以外，還有可能是信息不充分，例如在各環(huán)節(jié)審批時，只提供了供應商的名稱、資質等簡單情況，但供應商是否有失信行為或負面消息、供應商過往合作情況、同行業(yè)其他供應商對比等信息都沒有提供，缺少足夠的信息支撐，符合審批流程，審批人員也只是簽個字，并不能真正發(fā)揮控制作用。再比如董事會審議重大投資決策，即使會議的議事規(guī)則完善，董事專業(yè)能力很強也勤勉盡責，但會議準備的材料不完善，也很難保證做出有效的決策。

五、內控本身的局限性。內控雖好，但不是萬能的，比如對一些惡意串通舞弊，一般的內控措施可能難以發(fā)現；實施內控有成本，需要遵守成本效益原則；管理層逾越內部控制，這些因素也會在影響內控執(zhí)行的有效性。認識到內控局限性，可以幫助我們在設計和執(zhí)行內部控制時，有針對性地采取措施，減少這些局限性帶來的影響，同時不盲目高估內控作用，不追求絕對完美。

對策

一、完善制度設計流程。解決上文提到的內控流于形式的問題，包括人、目標沖突、制度、信息等因素，要回到制度設計這個根本上來，比如解決人的問題，需要完善人力資源相關制度，包括招聘、培養(yǎng)、培訓、激勵、處罰等相關制度，信息方面需要在制度設計時完善信息搜集、傳遞、溝通等相關制度。因此，企業(yè)合理的制度設計機制非常重要。

首先是需要構建基于PDCA理念的制度設計流程，保障制度設計與時俱進，適應企業(yè)發(fā)展需要。PDCA是英語單詞Plan（計劃）、Do（執(zhí)行）、Check（檢查）和Act（處理改善）的第一個字母，PDCA循環(huán)就是按照這樣的順序進行管理，并且循環(huán)地進行下去的科學程序。PDCA最早是用于質量管理，但也適用于企業(yè)管理。制度設計不是一勞永逸的，而是個永無止境不斷完善的過程，很多企業(yè)的內控評價和改善環(huán)節(jié)是缺失的或不夠有效，比如沒有配備內控評價人員、內控制度缺少定期評價和修訂、內控評價流于形式等，導致制度層面問題持續(xù)存在不能進行修正，企業(yè)看起來有制度體系，但實際執(zhí)行并不理想。

其次是對不同管理體系的制度要進行融合，梳理各體系共同要求和彼此差異，確定管理體系融合的范圍和內容，構建體系融合思路，保證企業(yè)各體系文件相互不沖突和有效運行，具體如何融合，則需企業(yè)結合自身情況來進行。

二、優(yōu)化制度內容，提升制度可操作性。對出現的內控執(zhí)行失效，不應簡單地將其視作執(zhí)行層面問題，而是要深入分析背后原因，并從制度設計層面去反思，看看是否可以通過優(yōu)化制度設計來防止類似問題發(fā)生，比如加強人員培訓、采用防呆防錯設計、優(yōu)化操作流程、提供操作表單、加強檢查監(jiān)督、引進人工智能等措施。以七個人分粥為例，如果選舉一個品格正直的人來分粥，再設立監(jiān)督委員會對分粥公平性進行檢查，費時費力且執(zhí)行時效果未必好，但換個做法，抓鬮隨機選一人分粥，但規(guī)定分粥者最后拿，其他六人按照隨機順序先拿，簡單地改變了分粥程序，就可以實現公平高效地分粥。很多時候解決制度執(zhí)行問題，要從制度設計方面思考并加以改進。

三、制度設計時要考慮人的因素，進行預防性設計和動態(tài)化調整。大家常說，“制度是死的、人是活的”，還有一句話是，“上有政策，下有對策”。企業(yè)出臺一個制度之前，不能過于理想化，要考慮到各個相關方對這個制度的可能“對策”或博弈手段，在執(zhí)行過程中，也要根據人的“對策”和遇到的問題及時加以修正調整。人都有追求自身利益的一面，這點對企業(yè)來說不是壞事，可以用這點來激勵人員，制度設計時要做的是因勢利導，協(xié)調好個人、部門和組織的利益，而不是一味地反對個人追求利益；人性中有惡的方面，比如懶惰、貪婪等，使得某些人會想方設法鉆內控漏洞、惡意舞弊、串謀，制度設計時需要加以防范；人性中有善的方面，比如上進心、奮斗精神、榮譽感等，所以管理大師德魯克說管理要激發(fā)人的善意和潛能，在制度時不應只是一味低約束和懲罰，而應當獎懲結合，給予員工適當的激勵，調動員工積極性?？傊?，人是制度執(zhí)行主體，制度設計時要考慮人的多樣性、多面性和動態(tài)性，從而讓內控能真正有效落地。

四、借助新興的技術工具和手段。近些年，信息化、數字化、大數據、人工智能等領域快速發(fā)展，通過信息系統(tǒng)可以將流程標準化和固化，減少人為差錯；利用大數據和人工智能等新興技術，可以一定程度上解決信息不充分、信息不對稱等問題，賦能內部控制。

五、適當借助外部機構和專業(yè)人士力量。“不識廬山真面目，只緣身在此山中”、“外來的和尚好念經”，對企業(yè)來說，由于自身專業(yè)能力不夠、人員力量不夠或內部利益格局錯綜復雜，有時依靠自身去解決內控執(zhí)行中問題是非常困難的，這時不妨聘請外部機構和專業(yè)人士來協(xié)助企業(yè)進行內控問題診斷、改善及輔導落地。

總之，解決內部控制流于形式問題，本質是內部控制體系的不斷優(yōu)化提升，需要企業(yè)分析問題原因，企業(yè)結合自身實際情況，多管齊下，讓內部控制制度不是掛在墻上的擺設，落到實處、發(fā)揮實效，唯有如此，才能真正凸顯內部控制的價值。

致謝：

本文的寫作，參考了李若山老師的“企業(yè)做內控就是要打破原有的利益格局”及授課時相關思想觀點；馮萌博士的《內控體系“流于形式”：表現與應對》，特說明致謝。

感謝《新理財》滕娟女士的文字審閱和修訂。

文中錯漏或不當之處，作者文責自負。

（馬軍生）

（馬軍生 李若山）

（丁家豐 馬軍生）

（馮萌）