內部控制流于形式剖析及對策

作者：馬軍生

本文發表于《新理財》（公司理財））雜志2025年第5期 P38-43

內部控制執行落實是個老生常談的話題，《企業內部控制基本規范》發布已有近二十年時間，很多企業從制度設計層面已建立相對完整的內控制度，但內部控制流于形式始終是個頑疾。所謂知易行難，就拿減肥來說，最有效的措施無非是管住嘴、邁開腿，但真要做到這兩點，對很多人并非易事，懂得許多道理卻依舊過不好這一生，在內控領域也是如此。

內部控制流于形式

內部控制流于形式是指企業形式上已建立健全的內控制度體系，但并未有效執行，未能實現預期的內控目標。內控流于形式有以下幾種表現：

一、有書面制度，實際不執行。以2004年中航油（新加坡）公司巨虧40多億為例，盡管該公司聘請安永會計師事務所制定了完整的風險管理制度，規定每名交易員虧損20萬美元時，要向風險管理委員會報告，虧損達37.5萬美元時向首席執行官匯報，虧損50萬美元時，必須斬倉。但實際操作時，公司諸多制度并未得到有效執行，最終給公司造成了超過5億美元的災難性損失。還有某鋼鐵公司曾發生爆燃事故，造成13人死亡、17人受傷，事發之前公司修訂安全生產標準化制度216個，編制安全生產標準化作業指導書9萬多份。然而，據內部人士講，這種管理浮于紙面，停留于形式。各種指導、標準的文件層層發來，反而起不到什么作用。這種有制度、不執行的現象，有些是因為制度設計的原因，比如制度未及時修訂，導致制度過時跟不上企業發展，已無法執行；有些是執行層面的問題，比如員工惡意舞弊，繞過相關控制；或者因為制度宣貫不足，員工不了解相關制度也就不按制度執行了。

二.有書面制度，形式執行，實質放行。在制度設計層面考慮了層層控制，但在實際執行時，相關人員在操作環節只負責簽字，并沒有履行控制職責。比較典型的就是審批控制，有的人基本不看內容，直接審核通過。這背后有多種原因，有的是責任心不夠或偷懶；有的是缺乏相關專業能力或知識，無法有效審核；有的是缺少信息或數據支撐，就草草簽字了事；有的是怕得罪人，對制度執行“睜一只眼閉一只眼”；還有的則是從眾心理，覺得其他環節都審核過了，應該沒什么問題，又沒什么反對的理由，就審核通過了。在信息化的背景下，審批變得更加方便，流程各節點的審批可以在電腦或手機上輕點一下就完成了，甚至有些企業還貼心地設計了“一鍵批量審批”功能，使得審批成為象征性的控制節點，不能真正發揮控制作用。

三、有書面制度，實際未執行，編造執行記錄。有些企業在制度里明確了相關控制措施，實際并未按照要求操作，但為了應對檢查或審計，編造執行記錄。某銀行發生過5000多萬元的金庫重大盜竊案，事后調查發現，按照管理制度要求，分管主任要定期進行盤點，確保賬實一致，但實際上分管領導并未去現場實地盤點，只是編造了盤點記錄，相關人員在盤點記錄上簽個字，導致金庫被盜未能及時發現，金庫窟窿越來越大，最終東窗事發才發現所謂盤庫制度根本沒有落到實處。有些企業，花大量精力用在補臺賬、補憑證、補簽字，但這些事后補記錄的做法形式意義大于實質作用，浪費了人力物力。

四、有書面制度，但制度本身過于寬泛，缺少落地措施。有些企業的制度各種喊口號、表決心，但幾乎看不到任何具體的操作流程、工作標準或者崗位職責。這種企業看起來似乎各項制度也有，但從制度設計層面就流于表面，執行時往往缺少有效控制，出現內控失效在所難免。

內控流于形式的原因分析

對于內控流于形式的問題，很多管理人員會找出很多理由或借口進行辯解，常見的理由包括“情況特殊”“時間太緊”“變化太快”“資源不夠”“人員不行”“制度本身不合理”等等，這些理由有具有合理性，有的則是推卸責任的借口而已。

那么，造成內部控制流于形式背后的真正原因有哪些，筆者認為主要有以下幾個方面的原因：

一、人的原因。人是內部控制執行主體，再好的制度，也要靠人去執行，能否有效執行，和人的能力、態度及動機有很大關系。具體說來，人的原因涉及理念、勝任能力、習慣和利益等因素。

理念是對內控的認識，沒有正確的認識，執行時就會出現偏差，但理念的改變不是一天兩天的事，尤其有些企業高層管理人員對內部控制不夠重視，甚至認為內控是管下不管上，帶頭破壞規章制度，將個人權威凌駕于內控制度之上，或者認為業務優先，當內控要求與業務發展存在沖突時，就選擇無視內控要求，違規操作。

人員能力不足無法有效履行崗位職責。在有些地區，人才招聘非常困難，筆者曾碰到過某公司倉庫管理人員連基本的電腦操作不會，又不愿學習新的技能，簡單的臺賬和庫房盤點始終不能按要求操作，這些都影響了內控制度有效實施，導致公司存貨長期賬實不一致，直到公司更換了一批庫房人員，才解決了這個問題。

人的固有習慣會延續，企業在推行新的內控制度過程中，很多人會不自覺地按照之前的習慣操作，就和鍛煉身體一樣，制定了早起跑步計劃，但很多人已習慣了晚睡晚起，堅持不了幾天，就給自己找借口，今天天氣不好、今天還有很多重要事情……，于是又回到以前的舒適區，一切變回老樣子，計劃淪為空談。

除了上述幾個因素，還有一個最重要因素——利益因素。人性是管理繞不開的話題，人與機器的區別在于，人都是有利益訴求的，包括金錢和非金錢方面利益。給電腦下達一個指令，機器會嚴格遵循，但面對同樣的指令要求，對不同的人或同一個人在不同時刻，得到的執行結果往往不同。在推行改革的過程中，“觸動利益往往比觸及靈魂還難”，當改革涉及到利益時，往往會有巨大的阻力和障礙，在執行內控制度過程中，同樣如此。復旦大學管理學院教授、知名內控專家李若山認為，很多企業內控制度實施不下去，是因為利益格局難以調整，企業做內控就要打破原有的利益格局。比如采購流程不規范時，相關人員可能趁機撈回扣，而嚴格按照規定操作，徇私舞弊的空間就會被壓縮。在這種情況下，有些人員會不愿執行內控制度。為了獲取利益，人會舞弊甚至串通舞弊，這就很容易導致內控失效。另外，有些人基于自身利益考慮，在履行崗位職責時，選擇當“老好人”走過場，也使內控制度流于形式。

二、內控目標有沖突。內控目標一般包括提高運營效率效益、合規和財務報告真實可靠，但在某些情況下，這些目標之間有沖突。常見的情形是保證合規性卻對效率及效益產生影響，比如公司要求開展某項業務必須經過充分的盡職調查且履行審批流程，但如果按照規定走完全部流程可能耗時過長，導致失去機會，這時相關人員可能為了促成業務，選擇繞過現有流程進行違規操作。還有些業務本來就是違法的，按照內控要求是不能開展的，但這種業務會增加公司業績。在企業經營管理中大量存在類似沖突，是優先選擇合規，還是優先考慮效率效益，會產生不同的結果，企業書面制度上通常會要求不得違規，但具體執行時卻做不到，甚至普遍違規，制度成為空談。

三、制度設計的原因。有效的內部控制通常包括設計有效和執行有效。內部控制缺陷按性質可分為設計缺陷和執行缺陷。有制度但未執行通常被認為是執行缺陷。從現實來看，在內部控制評價和審計時，企業大量內控缺陷通常被認定執行缺陷，設計缺陷占比很少，對應的內控整改措施就是加強執行力度，抓宣貫抓落實，但效果往往不如人意，同樣問題屢抓屢犯，制度執行成為老大難問題。

筆者認為，絕大多數所謂內控執行缺陷并不僅僅是執行問題，而是制度設計本身存在問題，一個問題偶爾發生，可以解釋為執行的偏差，但如果同樣問題經常發生，那通常是制度設計本身就存在缺陷。舉個例子，某工廠生產風機設備，按照生產工藝，要求在設備葉片上面刷五遍油漆，但實際執行時，出現有少數產品操作工人只刷了三遍或四遍，表面上看起來也刷漆了，但設備在交付客戶運行一段時間后，就會出現質量問題，引發客戶投訴，最后查下來，是刷漆環節沒有按照規定操作。那么，這屬于制度執行缺陷還是設計缺陷？表面看是工人責任心不夠，執行沒到位。但為什么會出現這種質量問題而且發給客戶之前沒有被發現，可能是多個環節的制度設計出了問題；可能是公司招聘和培訓制度存在缺失，招的工人與崗位要求不匹配或缺少必要的崗前培訓；也可能是流水線工藝不合理，流水線速度過快，最熟練的工人才能完成，對于一般熟練程度的工人，則很容易為了跟上流水線速度而減少粉刷油漆次數；也可能是因為質量檢測環節缺失，在設備出廠前，沒有相應的質量檢測。

所以，制度執行失效時，需要思考制度設計的原因，內控制度設計不足有以下常見原因：

1.制度照搬照抄、不切實際或未能及時修訂。每個企業面臨的情況千差萬別，有些企業制度制定時直接套用模板，或照搬照抄，比如有些企業為了符合IPO上市要求，在制度設計時追求“形式合規”做出一套完整的內控制度，但制度與實際情況是“兩張皮”，在這種情況下制度很難落實。而且內部控制是個動態過程，有些企業制度沒有及時修訂，也會導致制度與實際執行脫節。

2.制度缺少可操作性。制度里存在大量空洞的說教，如果沒有配套的工具、表單或措施，在執行時更多依賴操作人員的經驗和習慣，就會導致制度執行比較隨意或失效。

3.制度設定標準過高、要求過嚴。從制度設計者的意圖來說，是希望提升企業管理水平，也有的是制度設計者不想承擔責任把制度定得非常嚴格，但在實際執行時，由于種種現實條件限制，達不到制度標準的，出現違規現象。

4.制度執行中缺少監督檢查措施，或沒有配套的獎懲機制。在沒有監督，或雖然有監督但沒有獎懲的情形下，對當事人來說，干與不干、干好干壞并沒有什么太大差異，于是制度執行就可能走樣，制度執行偏差也得不到糾正。

5.不同體系制度未能有效融合。企業管理涉及多方面，為滿足相關體系建設標準要求及管理需要，企業可能會構建內部控制、風險管理、質量、環境、職業安全、健康、黨建、合規等多個管理體系。各管理體系按專業分別建設，在實際工作中會出現交叉重復、表述不一、要求不一等問題，導致執行人員無所適從，無法按規定操作，從而影響制度執行效果。

四、信息溝通的原因。內控流于形式，表現為看似流程節點都執行了，但并未達到預期效果。例如選擇供應商，按照規定流程進行詢價比選或招標，并經過各部門層層審核，但最后發現選出來的供應商存在很多問題。這里除了人的原因以外，還有可能是信息不充分，例如在各環節審批時，只提供了供應商的名稱、資質等簡單情況，但供應商是否有失信行為或負面消息、供應商過往合作情況、同行業其他供應商對比等信息都沒有提供，缺少足夠的信息支撐，符合審批流程，審批人員也只是簽個字，并不能真正發揮控制作用。再比如董事會審議重大投資決策，即使會議的議事規則完善，董事專業能力很強也勤勉盡責，但會議準備的材料不完善，也很難保證做出有效的決策。

五、內控本身的局限性。內控雖好，但不是萬能的，比如對一些惡意串通舞弊，一般的內控措施可能難以發現；實施內控有成本，需要遵守成本效益原則；管理層逾越內部控制，這些因素也會在影響內控執行的有效性。認識到內控局限性，可以幫助我們在設計和執行內部控制時，有針對性地采取措施，減少這些局限性帶來的影響，同時不盲目高估內控作用，不追求絕對完美。

對策

一、完善制度設計流程。解決上文提到的內控流于形式的問題，包括人、目標沖突、制度、信息等因素，要回到制度設計這個根本上來，比如解決人的問題，需要完善人力資源相關制度，包括招聘、培養、培訓、激勵、處罰等相關制度，信息方面需要在制度設計時完善信息搜集、傳遞、溝通等相關制度。因此，企業合理的制度設計機制非常重要。

首先是需要構建基于PDCA理念的制度設計流程，保障制度設計與時俱進，適應企業發展需要。PDCA是英語單詞Plan（計劃）、Do（執行）、Check（檢查）和Act（處理改善）的第一個字母，PDCA循環就是按照這樣的順序進行管理，并且循環地進行下去的科學程序。PDCA最早是用于質量管理，但也適用于企業管理。制度設計不是一勞永逸的，而是個永無止境不斷完善的過程，很多企業的內控評價和改善環節是缺失的或不夠有效，比如沒有配備內控評價人員、內控制度缺少定期評價和修訂、內控評價流于形式等，導致制度層面問題持續存在不能進行修正，企業看起來有制度體系，但實際執行并不理想。

其次是對不同管理體系的制度要進行融合，梳理各體系共同要求和彼此差異，確定管理體系融合的范圍和內容，構建體系融合思路，保證企業各體系文件相互不沖突和有效運行，具體如何融合，則需企業結合自身情況來進行。

二、優化制度內容，提升制度可操作性。對出現的內控執行失效，不應簡單地將其視作執行層面問題，而是要深入分析背后原因，并從制度設計層面去反思，看看是否可以通過優化制度設計來防止類似問題發生，比如加強人員培訓、采用防呆防錯設計、優化操作流程、提供操作表單、加強檢查監督、引進人工智能等措施。以七個人分粥為例，如果選舉一個品格正直的人來分粥，再設立監督委員會對分粥公平性進行檢查，費時費力且執行時效果未必好，但換個做法，抓鬮隨機選一人分粥，但規定分粥者最后拿，其他六人按照隨機順序先拿，簡單地改變了分粥程序，就可以實現公平高效地分粥。很多時候解決制度執行問題，要從制度設計方面思考并加以改進。

三、制度設計時要考慮人的因素，進行預防性設計和動態化調整。大家常說，“制度是死的、人是活的”，還有一句話是，“上有政策，下有對策”。企業出臺一個制度之前，不能過于理想化，要考慮到各個相關方對這個制度的可能“對策”或博弈手段，在執行過程中，也要根據人的“對策”和遇到的問題及時加以修正調整。人都有追求自身利益的一面，這點對企業來說不是壞事，可以用這點來激勵人員，制度設計時要做的是因勢利導，協調好個人、部門和組織的利益，而不是一味地反對個人追求利益；人性中有惡的方面，比如懶惰、貪婪等，使得某些人會想方設法鉆內控漏洞、惡意舞弊、串謀，制度設計時需要加以防范；人性中有善的方面，比如上進心、奮斗精神、榮譽感等，所以管理大師德魯克說管理要激發人的善意和潛能，在制度時不應只是一味低約束和懲罰，而應當獎懲結合，給予員工適當的激勵，調動員工積極性。總之，人是制度執行主體，制度設計時要考慮人的多樣性、多面性和動態性，從而讓內控能真正有效落地。

四、借助新興的技術工具和手段。近些年，信息化、數字化、大數據、人工智能等領域快速發展，通過信息系統可以將流程標準化和固化，減少人為差錯；利用大數據和人工智能等新興技術，可以一定程度上解決信息不充分、信息不對稱等問題，賦能內部控制。

五、適當借助外部機構和專業人士力量。“不識廬山真面目，只緣身在此山中”、“外來的和尚好念經”，對企業來說，由于自身專業能力不夠、人員力量不夠或內部利益格局錯綜復雜，有時依靠自身去解決內控執行中問題是非常困難的，這時不妨聘請外部機構和專業人士來協助企業進行內控問題診斷、改善及輔導落地。

總之，解決內部控制流于形式問題，本質是內部控制體系的不斷優化提升，需要企業分析問題原因，企業結合自身實際情況，多管齊下，讓內部控制制度不是掛在墻上的擺設，落到實處、發揮實效，唯有如此，才能真正凸顯內部控制的價值。

致謝：

本文的寫作，參考了李若山老師的“企業做內控就是要打破原有的利益格局”及授課時相關思想觀點；馮萌博士的《內控體系“流于形式”：表現與應對》，特說明致謝。

感謝《新理財》滕娟女士的文字審閱和修訂。

文中錯漏或不當之處，作者文責自負。

（馬軍生）

（馬軍生 李若山）

（丁家豐 馬軍生）

（馮萌）