1
1999年2月20日，大年初五，在一個名叫湖畔花園的小區，16棟三層，十八個人聚在一起，開了一個動員會。
一個叫馬云的的人，張牙舞爪地講了整整兩個小時，說要做一個由中國人創辦的，最偉大的互聯網公司。
這就是當時的阿里巴巴。按照最新的《中小企業劃型標準規定》，它只能算是個小微企業。
但10多年后，阿里巴巴成為了亞洲市值最大的公司。
如果小企業的創業者和領導者，自己將公司目標定低了，格局小了，就一定做不大，而這才是一個企業最大的內部控制缺陷。
所以，馬云為校長的湖畔大學開設的網絡課程，以戰略為核心，圍繞“上三板斧”使命、愿景、價值觀和“下三板斧”組織、人才、KPI（關鍵績效指標）展開。
2
內部控制也好、風險管理也好，都是用來管理風險的。
風險是什么？就是影響目標實現的某一事件發生的可能性（事件發生的概率可以大致估計）。
沒有風險，也就無所謂內部控制、無所謂風險管理。
所以，內部控制的主要內容就是討論目標如何設定？風險如何識別、評估？如何根據風險的性質和大小來設計管理的策略？如何制定并執行相關的管理制度和流程，如何通過日常監督、單獨評估來持續地改進企業的內部控制或風險管理體系（機制、制度、文化等等）？
而無論是2008年五部委聯合發布的《企業內部控制--基本規范》，還是前些天（2017.7.7）財政部新發布的《小企業內部控制規范（試行）》，在風險定義、風險識別、評估和管理方面的規定都不夠系統和深入，風險管理的原則也過于抽象和籠統。
比如，什么是風險？什么是組合風險、個別風險？什么是內在風險和剩余風險？如何評估風險的大小？如何確定一個企業的風險容量（偏好）和風險承受度，等等。
相關規范中都語焉不詳。
3
我們再來看一下2017.7.7財政部發布的《小企業內部控制規范(試行)》中的內部控制定義和內控目標：
第三條 本規范所稱內部控制，是指由小企業負責人及全體員工共同實施的、旨在實現控制目標的過程。
第四條 小企業內部控制的目標是合理保證小企業經營管理合法合規、資金資產安全和財務報告信息真實完整可靠。
這個內部控制的目標，在我看來，定得低了、窄了，且不夠完整。
1）小企業也有自己的使命、愿景和長遠目標，以及實現使命、愿景和目標的戰略，企業不論大小，內部控制的主要目標之一，就是提升企業戰略實現的可能性（或者說，為企業的戰略實現提供合理的保證）。
2）經營管理的合法合規是基礎目標，是企業容易實現的。并且，無論是大企業、還是小企業，要不斷提升法律法規、行政規章和部門規范性文件變化的預測能力。以更好地遵循規則、利用規則來促進企業的發展。
3）對于小企業來說，資金資產的管理絕不僅僅是安全問題，而是如何防范資金的短缺風險、提高資產的使用效率。無論是財務主管，還是非財務主管，這是大家都知道基本的經濟學原理：資產的安全性、流動性與資產的收益率成反比。當我們過于強調資產的安全性，企業的收益必定低，價值增長也會受阻礙。
4）小企業不僅有自己的戰略，也有簡略的預算，有預算執行情況或經營分析報告，以及其他的內部管理報告。所以，內部控制的目標不應只是財務報告信息的真實完整可靠，更是管理報告的相關及時和大約的正確。
若目標定得低了，相應的政策和程序（或制度和流程）就會有遺漏、有偏頗，就會對企業的發展產生不利的影響。
關于這方面的討論，可以參見新知一葉舟于去年9月26日發布的文章：“為什么有些企業越是在內控上發力，績效卻越差”。
4
《小企業內部控制規范(試行)》共分四章，第一章總則；第二章內部控制的建立與完善；第三章內部控制監督；第四章 附則。
第二章第十六條指出，小企業在建立內部控制時，應當根據控制目標，按照風險評估的結果，結合自身實際情況，制定有效的內部控制措施。內部控制措施一般包括不相容崗位相分離控制、內部授權審批控制、會計控制、財產保護控制、單據控制等。
不論是大企業還是小企業，企業的內部控制都可以分為公司層面的內部控制和業務層面的內部控制。在實務中討論比較多的往往是業務層面的內部控制。而決定企業成敗的恰恰是公司層面的內部控制。
不管是公司層面的內部控制，還是業務層面的內部控制，最終都要落實到企業的制度和流程中去。
這里至少有兩個重要問題值得深入討論：
1）內部控制制度和企業的管理制度是一套還是兩套？
2）不少企業的制度不是少，而是過多，我們如何評估這些管理制度的好壞或質量的高低？
對于第一個問題，有不少企業認為是兩套。一套內部控制制度；一套管理制度。所以，不少企業花大力氣、請外部咨詢機構幫助設計的內控手冊和流程雖然很精美，但經理和員工們卻感到無所適從。
我認為內控制度和管理制度是一套，我們要將目標導向的風險管理機制嵌入到公司層面和業務層面的管理制度中去。
對于第二個問題，不少管理者缺乏深入思考。管理者或者對現有規則和制度盲目遵循；或者雖然認識到現有制度的缺陷，但不知道問題出在哪里。
我認為，評估企業管理制度的好壞，至少有以下幾個標準：
1）制度是否體現了戰略意圖；
2）制度是否內含有好的機制；
3）制度是否抓住了關鍵流程的主要風險；
4）制度是否簡明扼要便于理解；
5）制度是否考慮到企業的特點，是否具有可操作性。
總結：
·不論是小微企業，還是大中型企業，企業只要在運行著，內部控制就存在。所以，內部控制不是建立不建立的問題，而是如何優化（改進、完善）的問題。
·內部控制的目標如果定的低了、窄了，內部控制的結果就不可能好。欲求其中，必求其上；欲求其上，必求上上。
·國內不少企業在內控的優化過程中，存在著一些認識誤區，導致內控優化的策略和方法錯誤，所以，在內控上越發力，績效卻越差。
·不少企業的管理制度并不少，關鍵問題是如何優化這些制度。制度的優劣直接影響到企業的核心競爭力，影響到企業的成敗。企業的領導者和高層管理者必須充分認識到這一點，并落實到行動上。
