由内部控制想到的
5W+2H
用5W+2H的方式问自己，什么是内部控制（what ）? 内部控制是由谁来做的（who ）？什么时候实施内部控制（when ）？哪些地方需要内部控制（where ）？为什么要实施内部控制(why)?在企业里要怎么开展（how ）？开展的层度，多广、多深(how much)？
根据审计教材对内部控制的定义(coso):内部控制是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计与执行的政策和程序。而我国对内控的目标还增加了资产安全和战略目标。
从内部控制的定义，内部控制是全员参与的，尤其是治理层和管理层要认识到内控的必要性和重要性。而在实际工作中，我和朋友的沟通时发现一个很奇怪的事情，很多人都认为内部控制是内控部门的事情，完全没有那种自己也是内控的参与者的想法。关于什么时候实施内部控
制？听了sharelee 老师的分享，觉得得非常正确，是要分阶段实施内部控制的。结合老师的说法，不同的企业在不同的发展阶段肯定是不一样的。在小型企业不可能按照大型企业的要求执行，不同的行业也必须是有不同的侧重点的。
至于哪些地方要实施内部控制，在审计教材也提出：内控控制是要考虑成本的，不可能不计成本的在所有方面都实施全面的、完善的内部控制。但是也不是说，内控控制的实施是以成本控制为导向的。关于这个，在平时一些专业群的讨论来看，企业在实施内控的过程中确实会存在这个问题。就拿我们经常的采购和工程项目的流程来说，一般情况下在选择供应商的时候，企业会按照招投标程序进行。而在招投标的过程中，虽然价格和质量都有相应的评分标准。但是质量因素，往往是让道价格因素。尤其是一项大型的工程，如果投资几千万甚至更多，在项目未进行阶段，把价格因素放在第一位的。在项目未开始时，表面上看确实是大大节约了成本，一旦后期发现工程质量不达标，会造成项目的不断改进，增加了成本也使工程延期。延期的、不达标的有缺陷的工程，使得内控的三项目标都会遭到影响。如果是一些大型的环保工程项目，没达标的项目有可能会造成企业的停产，这看似是一项法律法规的目标，但是对经营和财务报告的目标的影响是毁灭性的。话分两头，说起来是容易的，实际工作中管理层、项目组负责人难道不明白其中的风险，这不可能。那造成这样的原因是什么？我的想法是，价格因素是显性的，在初始阶段是可量化的，而质量因素呢？在初始阶段，哪怕聘请了在行业内排名靠前的企业来实施工程，也不能保证带来的团队一定是精英团
队，再加上企业内部的部门考核因素、预算因素，前期对工程复杂性的判断因素的影响等等。
最后一个W ，为什么？想到这里，我想到了《萨班斯法案》。在论坛上，胡俊老师的“泸州老窖1.5亿元协定存款失踪案例分析”
（） 和獐子岛一次盘点十亿存货没了（）还有论坛其他的一些讨论上市公司的质疑类文章，我觉得可以给我们一些为什么要实施内控的启示。
在思考的过程中我突然冒出一个想法：我们一直强调内部控制，既然有内部控制，就应该有外部控制。外部控制和内部控制是个什么关系呢？一个企业，要遵守行业的法律法规，也要遵守国家的法律法规。从这个角度分析，内控的三个目标在法律法规这个目标上更多的要受到外部的影响。在审计教材中，我们在考虑证据的可靠性时会说外部证据比内部证据的可靠性更高。我们在做收入的发生认定时，我脑子里经常会想起刘老师的话，收入是真实的吗？审计师们会把行业毛利情况和企业的毛利情况做比较，如果差异较大，在行业整体利润下滑的时候，企业的毛利情况很好，审计师们除了实施函证程序、存货的盘点程序，查看外部凭证，甚至会到企业的客户去实地了解情况。查看资金流、票据流和食物流三流是否一致。经常会在群里听到有人说，外部审计的独立性不高。我的想法是外部控制的效率和效果质量如何是和外部的监管环境、国家的政策的宽松有着密切关系的。
接下来说说2H 。怎么实施内部控制，实施内部控制的程度。关于2H ，由于能力的关系。我只能感性的、肤浅的理解为2H 如何做，是和5W 联系在一起的。5W 做得好不好，将直接反映在2H 上。
无论是审计教材本身，还是企业内部都有一个非常关心的话题，舞弊。财务与会计杂志曾有一篇文章《台湾博达财务舞弊案例》。当时看完这个案例，真的非常有感触，我还写了以下的一些想法：“博达舞弊真的很难发现，相比较其他舞弊案例做到了票据流、资金流、实物流和信息流的多方流转。在国外通过员工建立的公司及国外函证时信息的不完整，都给审计带来了很大的难度。复杂的金融衍生产品，对注册会计师的专业胜任能力提出了更高的要求。该案例表明台湾注册会计师的整体水平还是强过内地。如果提到识别，只能说如此的产能和销售是不正常的，分析行业和国内国外的行情，从分析性程序入手，再进行实质性程序来进一步查出舞弊，询问员工，去车间了解生产工时，因为是一笔业务多次销售，但是不可能重复生产的，那么这个机器的实际生产工时是小于报表上产品的生产工时的。这需要审计人员了解生产工艺流程，必要时需要得到专家的帮助。同时仍旧要从常识入手，比如作者的分析：真有钱为什么还要用海外存托偿还可转债，真有钱还要向银行大额贷款？
制造虚假的销售，利用虚设的人头公司，购买供应商，创造业绩神话，抬高股价，同时利用给员工分红，套现。再把资金汇给人头公司，人头公司汇给博达，拨打汇给供应商。目的在于减少应收账款。利用股市、金融衍生品、可转债套现。例如信用联结票据，实际上银行存款与
信用联结票据已经相互抵消，账上却显示有8500万美元的银行存款，虚增资产。“
再次看这个案例，因为是事后的，所以我自己的一些思考存在着事后诸葛亮。当时看这个案例，是基于怎么在审计的过程中如何提高自己的业务能力。而今这个思路是内控的角度，企业的角度。如此的“用心良苦”到极致的能力，为什么没有在企业管理中运用，为什么不提高企业自身的优势去创造价值？难道因为舞弊更容易获得私利？而不顾广大股民的利益？难道这才是控制环境的第一条：对诚信和道德价值观念的沟通和落实放在第一位的原因所在？
案例给我们的启示，尤其是经过专家分析解读的案例更能让我们获益。我认为本次sharelee 老师在思享会的分享，就给我们带来了很多的经典案例。由于能力问题，我在坐等视频回放，真的很有必要再多回味回味，好好消化。而我这个感悟，也是没有系统的，仅仅是基于自己的个人感受，不足之处大家见谅，也希望大家多提意见！
建立长效内控体系实现企业终极管理目标
非常期待视野举办的第23期活动《分阶段长效内控体系建立》，几乎完整的两个小时，分享者视野网大咖sharelee ，一气呵成又是循序渐进，听完了意犹未尽，还应该找找分享讲义PPT ，再回味一下。”
这是视野网友上海某公司财务总监朱春丽在5月30日第23期思享会结束后在论坛上发出的赞叹。
本期嘉宾为视野资深版主sharelee ，大型会计师事务所管理咨询部门经理，拥有丰富的内控和风险管理经验，曾经主持过大型央企、上市公司、国有企业、民营企业和事业单位等各种类型的内控建设和风险评估项目，对内部控制和全面风险
管理有深入研究和独特的见解。思享会还邀请到了视野资深网友、某事务所所长汪伦，同步点评嘉宾分享的内容，帮助大家更好的理解内控方面的知识。
嘉宾sharelee 做过很多企业的内控项目，但在给企业完善内控的过程中，发现很多问题，sharelee 介绍说，内部控制进入企业时间也不短了，但怎么理解内控的目标，很多企业都不清楚。内控实质是为了实现一个控制目标提出来的，在我们日常工作中哪些方面会出现风险，就根据实际情况建立我们的控制目标。就此问题，嘉宾sharelee 通过解读内部控制目标，帮助大家认识和了解内控，并为大家讲解如何建立内控，并分享了建立长效内控体系的三个阶段：合规内控建设、管理提升内控建设、全面风险管理。
我们目前企业的内控建设的目标怎么样呢？嘉宾sharelee 介绍，证监会和财政部2013年和2014年做过上市公司内控建设的调查，就其结果来看，绝大多数企业都认为是按照五目标的政策来做的，实际上很多企业看上去是建立了相应的内控体系，但财报内控体系不够严谨，非财报内空体系又很少。嘉宾总结了三面的原因：1、压力不足，监管机构指定了很多规范，但企业后期执行情况如何，后续没有很强势的监管或是没有惩罚性的措施，所以企业只是应付交差；2、理解不够，有很多企业的内部控制的建设小组连18项内控指引都不清楚；3、方法不对，希望用一种方法建立一次性的内部控制目标。
用什么方法能够建立真正的日趋完善的内控体系？嘉宾针对这个话题，分享了自己的经验。内部控制体系的建立要分成三个阶段，第一个阶段是合规性内控建设，包括财报目标和合规目标，第二个阶段管理提升的阶段，主要是经营目标和资产安全目标。第三阶段是全面风险管理阶段，主要是达成战略目标。从事过多家企业内控体系建设的汪伦也认为，合规目标内控建设，对照法律法规和规章制度，普遍适用和行业适用。合规性与合理性往往之间就存在空间，硬性的和灵活的往往需要职业判断。
嘉宾sharelee 提到，内控目标之间的管理，战略目标涵盖了合规目标和资产安全目标、经营目标，而这些目标构成了非财务报告目标，非财务报告目标映射出来的信息，可以反映出财务报告的真实情况，从中可以发现企业的内控是否有漏洞。
很多人认为财报内控太简单了，不值得做为一个内控目标，实际上这是对财报内控有认识上的误区，针对着这一问题，嘉宾举出一个案例，在财务报告中反映某个项目情况会很简单，但很多涉及到的单项合同会后补的，合同项目的完成情况在财报中如何核算和反映，需要按照会计准则中的收入确认规定按不同的完工程度确认收入，会计处理上一点也不简单。由此，嘉宾又谈到管理会计，这个财务人员比较关心的话题。有了管理会计这个概念，财务会计职业是不是要消融了呢？其实对财务会计职业的实际影响是，在财务工作中会用到越来越多的职业判断，嘉宾认为，财务会计人员把业务状况真实的反映到财务报表中去，财务会计工作价值会得到提高。
嘉宾sharelee 感慨，期末财务报表内控流程非常弱，很多内控只是粗线条没有展开，结账的时间表需要发给财务部门和业务部门，确定提供资料时间和结账时间，
建立结账事项检查表，签字确认，这些也是企业财务人员没有意识到内控薄弱环节。
汪伦老师对此点评：期末财务报告流程，应该完善相应的内控，清查账实、项目勾稽、暂估入账、内部单证补充完善以便及时入账。
怎样分阶段建立内控体系呢？嘉宾sharelee 认为，可以用不同的内控建设的方法对症下药，内涵不同，方法也不同；先易后难，用固定的格式去思考，是否有财报风险，要像刘翔一样确定目标然后跨越；管理基础的决定，把内控融入到企业管理当中去。建议企业分阶段，一个目标一个目标的建立自己的内控体系。
嘉宾sharelee 非常有感触，为什么很多人去日本买马桶盖、电饭煲，是因为这些产品的设计都是为使用者考虑，这也是企业管理的终极目标。怎么了解客户的目标，怎么能抓住客户，就是把内控中的战略目标融入到企业管理当中去。
针对嘉宾留下的互动话题，网友们也争相发表自己的看法，并提出一些疑问。汪伦称本次分享对他有很大的启发：“同是内控服务方面的同行，今晚的分享，思路纵横都有，有启发的地方在三点：一是，三角的要素，本来就应该是分阶段；二是，长效的内控建设不仅仅就是财务内控，更多是管理内控和内控环境方面；三是，看内控的角度既有从企业角度也有从审计角度，两者之间往往是对立统一的。”也分享了自己对“研发部与财务内控有关的内容”，也引起了大家的兴趣，并提议汪伦老师在适当的时候也来分享一期思享会。
视野思享会历届内容汇总（一）——第1期至第10期（包括视频回放）
视野思享会历届内容汇总（二）——第11期至第20期（包括视频回放）
视野思享会历届内容汇总（三）——第21期至第23期（包括视频回放
大学时曾经开设过一门内部控制课程，具体内容已经差不多忘光了，但是仍然记得课本的大致框架里有对各个流程的内控分析，比如采购流程是怎么样的，哪里会有风险点，要怎么做；还有销售流程、材料验收入库流程、岗位设置等等，比较粗糙，感觉非常枯燥。现在通过特训营和23期思享会的学习，对内部控制又有了新的认识。
首先要问自己，什么是内部控制，内部控制是做什么的，内部控制有什么用，为什么要进行内部控制，需要怎么开展内部控制，先从哪里入手，具体要怎么做。
内部控制，重点是控制二字，控制什么，控制企业内部各业务流程可能会出现的风险，为什么控制，这里就要结合老师所说的五目标（合法合规、财报信息、经营效率和效果、发展战略、资产安全）和三目标（营运效果和效率、财务数据的可靠性、相关法令的遵循）了。
怎么展开内部控制？大牛老师谈到分阶段建设，把内控建设分成三个阶段，一个是合规建设，主要针对财报信息和合法合规；第二是管理提升，主要针对经
营效率和效果以及资产安全；第三个是全面风险管理，这个就要涉及战略目标了。对于分阶段建设内部控制，这与导师说的“企业生命历程的不同阶段，内部控制的相关方面应当与之相适应而有所不同”相类似。所以首先要看清企业目前所处的阶段、环境，再结合企业的控制目标来开展内部控制设计，这应该就是导师说的由面到点了吧。
从哪里入手？coso 的内控五要素是内部环境、风险评估、控制活动、信息与沟通和内部监督，信息与沟通应该是贯穿这几个要素始终的。在导师讲解的内控五要素中很形象的用金字塔来形容，控制环境处于金字塔最底层，所以内部控制应该首先从环境分析入手，整体考虑企业的情况、业务流程，找出风险点，设计出一个总体框架。这里可以结合大牛老师的合规建设6个步骤的前三步，确定重要会计科目和披露事项，确定业务流程（循环），确定相关会计报表认定，这个可以帮助对风险点的认定。
接下去就是风险评估了。企业内部控制规范中对风险评估有这么一句描述：企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。所以并不是只要有风险就必须去控制，要考虑风险的重要程度和企业对风险的承受度。导师的风险评估矩阵中把风险分成四个象限，两个坐标分别对应发生的概率和影响金额的大小，概率与业务的发生频次以及交易过程环节是否复杂有直接关系。对风险进行评估之后就可以确认相关的控制点，之后要做的工作不是马上设置相应的控制活动活动，而是先根据评估出的关键控制点进行分析，看这些点当中有没有派生的或者相互依存的关系，有时候解决了这个问题，其他问题也就迎刃而解了，我觉得这一点可以运用TOC 法则中寻找瓶颈的方法。做完这些工作之后就可以设计相应的控制活动了。
通过这两次的学习，对内部控制有了一些总体思路，不足的地方还望大家指正。对于内部控制我觉得是知易行难，想的跟做的可能差距会很大，而且内部控制的推行也不是那么容易的事情。
分级建立长效内控体系之群讨论
汪伦：内控体系三层：第一层：总体框架；第二层：职责及流程；第三层：内控执行表单。框架文件属于“顶层设计”，包括授权、目标等，含14个大的方面，是按照业务和管理循环为主线进行设计的。职责和流程其实就是将内控目标及内控规范要求下放落地到公司具体部门，明确职责、流程，该层面属于制度化环节。内控执行表单，其实就是根据企业当前状况，找到关键点，顺应其过往操作习惯进行串联、修补、增加设计出来的表格，尤其强调其共享和流转。
Sharelee ：共享很重要。企业内部的表单多如牛毛 ，但系统性不强，没有共享 ，数据重复采集或打架，特别是母子公司之间。
汪伦：是的，就是这样的。
Sharelee ：总部不同部分重复再重复向子公司要数据。
qq25850253：我觉得用软件可以使母子公司流程顺畅起来。
汪伦：其实，软件虽然好，但需要先把内控执行训练到一定程度以后才好实施，否则，过早使用软件管理体系，很可能半途而废。我所在的这家公司原先弄了一套XX 软件，这次我调查时，企业执行人员反感声一片。最后，我和公司老板沟通，废了这个软件。
汪伦：高消费、低执行，还不如先脚踏实地把流程理顺了，然后，瓜熟蒂落之前再上比较好。
飞影：@汪伦。 ERP是一个流程梳理过程, 而不是简单应用一个软件的。反感的原因是前期流程调查与预备如何调整没作好, 碰着问题就系统外灵活处理, 而且领导没下决心处理。此外软件是否合适企业运作也不知道。软件前端销售人员为了业绩就随便答应, 实施人员解决不了就推。
汪伦：在工厂车间调查时，一个很有意思的现象，明明仓库有，但ERP 系统说没有，领料人急得团团转。最后，库管不管了，发，然后在本子上登记一下，过了几天，忘了往电脑上登记。
飞影：这种情况跟数据没有及时录入有关。
lff417：如果企业的管理本身就很薄弱，要通过系统来梳理流程，其实效果并不是很佳，关键点不是流程。
Sharelee ：管理基础薄弱的，上软件是找死。软件是工具的工具，工具都没有，哪里需要工具的工具。
不沉的船：恩，确实，基础不好的企业上SAP 真的很麻烦。上了以后发现跟企业的经营模式有冲突，就要求软件公司按自已的要求开发模块。搞的最后基本变成了具有企业自已特色的SAP ，把SAP 中很多的流程和控制都改了。
lff417：最后搞出来个四不像。
不沉的船：确实是个四不像，钱也不少花。
lff417：内控建设是服务于经营，如果经营处于困难阶段或转型阶段，内控是要承接经营转型的压力，这对于财务的要求就会很高。
samantha79：听了老师的分享才了解到确实有些东西时机还不到，原来想通过内控来梳理其实是颠倒了，是要先梳理才有可能上内控。
汪伦：我看到，每个仓库都有一个或很多个本子，上面象鬼画符一般的划了很多个记号。库管们抓狂，眼看着软件正儿八经做摆设；老板们高端，想象中提升拔苗助长烧钞票。这就是当前一些企业的实际，梦想转型却没有从自身做起，只是一味的求新求跟上“时代的步伐”。
不沉的船：恩，不做流程梳理，一味想着上内控或系统软件，根本无从着手，做出来的东西根本没法用。
lff417：内控这个东西，除了上市公司外，是证监会强制要求外，很多民营企业，特别是很多做业务出身的老板，对于内控这个东西，感觉很微妙。搞紧了，怕把业务搞死了，不搞了，就觉得有漏洞。更谈不上顶层设计了。
汪伦：内控如何分阶段，如何做到长效，这次老师的课的价值就在于此。lff417，说的是！所以说，企业上市不是目的，只是手段——管理上市才是真正的目的所在。可是，如此简单的一个道理，被浮躁的心态给淹没了。
槿思成：现在上市大部分都是为了圈钱。
Sspeed ：专业思维和土豪思维不一样。
Sharelee ：说明上市公司的公司治理机制存在很大问题。
幻欢：大家这一说，似乎明白了一些，管理才是最根本的，内控啊、财务共享、信息化都是为管理服务的，管理到了什么程度，这些工具也该匹配上，管理基础薄弱，硬上这些高、大、上的东西，结果有可能适得其反。
Sharelee ：@幻欢 理解很到位。
汪伦：老师的那个“铁三角”其实就是想把复杂问题做简化的要素分析，大道至简。
幻欢：内审群讨论过华为采购舞弊的事，内控制度再完善，如果窝案，集体舞弊是很难发现的。内控有局限性，其他工具也有，强调工具，也该强调人的能动性，以人为本。
不沉的船：如果出现集体舞弊，至少说明内部控制环境是有问题的。
汪伦：嗯，一语破的。
不沉的船：肯定是符合了舞弊三角理论其中一方面。
汪伦：掩耳盗铃置群中，集体舞弊方便弄，君子协定小人钻，环境内控更显重。
qq25850253：其实ERP 没实施好与投入有关，必须要有超前意识，传统思维是先上ERP 再上生产相关软件。我都是反其道而行之，先上mes ——仓库条码系统，避免数据靠人去输入。
叮当的叮：@qq25850253 为什么要先上mes 这些系统？这样做有什么好处？
qq25850253：mes 是车间级的，先完善基础数据，ERP 是集团层次的，应自下而上。
Sharelee ：garbage in garbageout。
叮当的叮：一般的思维模式不是自上而下比较好推么？
qq25850253：ERP 的采购，销售涉及利益的人太多，阻力大，而生产管理阻力小得多。而且实施mes 之后可以为ERP 实施成本计算提供解决思路，ERP 实施不成功总抱怨ERP 功能不足。
由内部控制想到的
5W+2H
用5W+2H的方式问自己，什么是内部控制（what ）? 内部控制是由谁来做的（who ）？什么时候实施内部控制（when ）？哪些地方需要内部控制（where ）？为什么要实施内部控制(why)?在企业里要怎么开展（how ）？开展的层度，多广、多深(how much)？
根据审计教材对内部控制的定义(coso):内部控制是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计与执行的政策和程序。而我国对内控的目标还增加了资产安全和战略目标。
从内部控制的定义，内部控制是全员参与的，尤其是治理层和管理层要认识到内控的必要性和重要性。而在实际工作中，我和朋友的沟通时发现一个很奇怪的事情，很多人都认为内部控制是内控部门的事情，完全没有那种自己也是内控的参与者的想法。关于什么时候实施内部控
制？听了sharelee 老师的分享，觉得得非常正确，是要分阶段实施内部控制的。结合老师的说法，不同的企业在不同的发展阶段肯定是不一样的。在小型企业不可能按照大型企业的要求执行，不同的行业也必须是有不同的侧重点的。
至于哪些地方要实施内部控制，在审计教材也提出：内控控制是要考虑成本的，不可能不计成本的在所有方面都实施全面的、完善的内部控制。但是也不是说，内控控制的实施是以成本控制为导向的。关于这个，在平时一些专业群的讨论来看，企业在实施内控的过程中确实会存在这个问题。就拿我们经常的采购和工程项目的流程来说，一般情况下在选择供应商的时候，企业会按照招投标程序进行。而在招投标的过程中，虽然价格和质量都有相应的评分标准。但是质量因素，往往是让道价格因素。尤其是一项大型的工程，如果投资几千万甚至更多，在项目未进行阶段，把价格因素放在第一位的。在项目未开始时，表面上看确实是大大节约了成本，一旦后期发现工程质量不达标，会造成项目的不断改进，增加了成本也使工程延期。延期的、不达标的有缺陷的工程，使得内控的三项目标都会遭到影响。如果是一些大型的环保工程项目，没达标的项目有可能会造成企业的停产，这看似是一项法律法规的目标，但是对经营和财务报告的目标的影响是毁灭性的。话分两头，说起来是容易的，实际工作中管理层、项目组负责人难道不明白其中的风险，这不可能。那造成这样的原因是什么？我的想法是，价格因素是显性的，在初始阶段是可量化的，而质量因素呢？在初始阶段，哪怕聘请了在行业内排名靠前的企业来实施工程，也不能保证带来的团队一定是精英团
队，再加上企业内部的部门考核因素、预算因素，前期对工程复杂性的判断因素的影响等等。
最后一个W ，为什么？想到这里，我想到了《萨班斯法案》。在论坛上，胡俊老师的“泸州老窖1.5亿元协定存款失踪案例分析”
（） 和獐子岛一次盘点十亿存货没了（）还有论坛其他的一些讨论上市公司的质疑类文章，我觉得可以给我们一些为什么要实施内控的启示。
在思考的过程中我突然冒出一个想法：我们一直强调内部控制，既然有内部控制，就应该有外部控制。外部控制和内部控制是个什么关系呢？一个企业，要遵守行业的法律法规，也要遵守国家的法律法规。从这个角度分析，内控的三个目标在法律法规这个目标上更多的要受到外部的影响。在审计教材中，我们在考虑证据的可靠性时会说外部证据比内部证据的可靠性更高。我们在做收入的发生认定时，我脑子里经常会想起刘老师的话，收入是真实的吗？审计师们会把行业毛利情况和企业的毛利情况做比较，如果差异较大，在行业整体利润下滑的时候，企业的毛利情况很好，审计师们除了实施函证程序、存货的盘点程序，查看外部凭证，甚至会到企业的客户去实地了解情况。查看资金流、票据流和食物流三流是否一致。经常会在群里听到有人说，外部审计的独立性不高。我的想法是外部控制的效率和效果质量如何是和外部的监管环境、国家的政策的宽松有着密切关系的。
接下来说说2H 。怎么实施内部控制，实施内部控制的程度。关于2H ，由于能力的关系。我只能感性的、肤浅的理解为2H 如何做，是和5W 联系在一起的。5W 做得好不好，将直接反映在2H 上。
无论是审计教材本身，还是企业内部都有一个非常关心的话题，舞弊。财务与会计杂志曾有一篇文章《台湾博达财务舞弊案例》。当时看完这个案例，真的非常有感触，我还写了以下的一些想法：“博达舞弊真的很难发现，相比较其他舞弊案例做到了票据流、资金流、实物流和信息流的多方流转。在国外通过员工建立的公司及国外函证时信息的不完整，都给审计带来了很大的难度。复杂的金融衍生产品，对注册会计师的专业胜任能力提出了更高的要求。该案例表明台湾注册会计师的整体水平还是强过内地。如果提到识别，只能说如此的产能和销售是不正常的，分析行业和国内国外的行情，从分析性程序入手，再进行实质性程序来进一步查出舞弊，询问员工，去车间了解生产工时，因为是一笔业务多次销售，但是不可能重复生产的，那么这个机器的实际生产工时是小于报表上产品的生产工时的。这需要审计人员了解生产工艺流程，必要时需要得到专家的帮助。同时仍旧要从常识入手，比如作者的分析：真有钱为什么还要用海外存托偿还可转债，真有钱还要向银行大额贷款？
制造虚假的销售，利用虚设的人头公司，购买供应商，创造业绩神话，抬高股价，同时利用给员工分红，套现。再把资金汇给人头公司，人头公司汇给博达，拨打汇给供应商。目的在于减少应收账款。利用股市、金融衍生品、可转债套现。例如信用联结票据，实际上银行存款与
信用联结票据已经相互抵消，账上却显示有8500万美元的银行存款，虚增资产。“
再次看这个案例，因为是事后的，所以我自己的一些思考存在着事后诸葛亮。当时看这个案例，是基于怎么在审计的过程中如何提高自己的业务能力。而今这个思路是内控的角度，企业的角度。如此的“用心良苦”到极致的能力，为什么没有在企业管理中运用，为什么不提高企业自身的优势去创造价值？难道因为舞弊更容易获得私利？而不顾广大股民的利益？难道这才是控制环境的第一条：对诚信和道德价值观念的沟通和落实放在第一位的原因所在？
案例给我们的启示，尤其是经过专家分析解读的案例更能让我们获益。我认为本次sharelee 老师在思享会的分享，就给我们带来了很多的经典案例。由于能力问题，我在坐等视频回放，真的很有必要再多回味回味，好好消化。而我这个感悟，也是没有系统的，仅仅是基于自己的个人感受，不足之处大家见谅，也希望大家多提意见！
建立长效内控体系实现企业终极管理目标
非常期待视野举办的第23期活动《分阶段长效内控体系建立》，几乎完整的两个小时，分享者视野网大咖sharelee ，一气呵成又是循序渐进，听完了意犹未尽，还应该找找分享讲义PPT ，再回味一下。”
这是视野网友上海某公司财务总监朱春丽在5月30日第23期思享会结束后在论坛上发出的赞叹。
本期嘉宾为视野资深版主sharelee ，大型会计师事务所管理咨询部门经理，拥有丰富的内控和风险管理经验，曾经主持过大型央企、上市公司、国有企业、民营企业和事业单位等各种类型的内控建设和风险评估项目，对内部控制和全面风险
管理有深入研究和独特的见解。思享会还邀请到了视野资深网友、某事务所所长汪伦，同步点评嘉宾分享的内容，帮助大家更好的理解内控方面的知识。
嘉宾sharelee 做过很多企业的内控项目，但在给企业完善内控的过程中，发现很多问题，sharelee 介绍说，内部控制进入企业时间也不短了，但怎么理解内控的目标，很多企业都不清楚。内控实质是为了实现一个控制目标提出来的，在我们日常工作中哪些方面会出现风险，就根据实际情况建立我们的控制目标。就此问题，嘉宾sharelee 通过解读内部控制目标，帮助大家认识和了解内控，并为大家讲解如何建立内控，并分享了建立长效内控体系的三个阶段：合规内控建设、管理提升内控建设、全面风险管理。
我们目前企业的内控建设的目标怎么样呢？嘉宾sharelee 介绍，证监会和财政部2013年和2014年做过上市公司内控建设的调查，就其结果来看，绝大多数企业都认为是按照五目标的政策来做的，实际上很多企业看上去是建立了相应的内控体系，但财报内控体系不够严谨，非财报内空体系又很少。嘉宾总结了三面的原因：1、压力不足，监管机构指定了很多规范，但企业后期执行情况如何，后续没有很强势的监管或是没有惩罚性的措施，所以企业只是应付交差；2、理解不够，有很多企业的内部控制的建设小组连18项内控指引都不清楚；3、方法不对，希望用一种方法建立一次性的内部控制目标。
用什么方法能够建立真正的日趋完善的内控体系？嘉宾针对这个话题，分享了自己的经验。内部控制体系的建立要分成三个阶段，第一个阶段是合规性内控建设，包括财报目标和合规目标，第二个阶段管理提升的阶段，主要是经营目标和资产安全目标。第三阶段是全面风险管理阶段，主要是达成战略目标。从事过多家企业内控体系建设的汪伦也认为，合规目标内控建设，对照法律法规和规章制度，普遍适用和行业适用。合规性与合理性往往之间就存在空间，硬性的和灵活的往往需要职业判断。
嘉宾sharelee 提到，内控目标之间的管理，战略目标涵盖了合规目标和资产安全目标、经营目标，而这些目标构成了非财务报告目标，非财务报告目标映射出来的信息，可以反映出财务报告的真实情况，从中可以发现企业的内控是否有漏洞。
很多人认为财报内控太简单了，不值得做为一个内控目标，实际上这是对财报内控有认识上的误区，针对着这一问题，嘉宾举出一个案例，在财务报告中反映某个项目情况会很简单，但很多涉及到的单项合同会后补的，合同项目的完成情况在财报中如何核算和反映，需要按照会计准则中的收入确认规定按不同的完工程度确认收入，会计处理上一点也不简单。由此，嘉宾又谈到管理会计，这个财务人员比较关心的话题。有了管理会计这个概念，财务会计职业是不是要消融了呢？其实对财务会计职业的实际影响是，在财务工作中会用到越来越多的职业判断，嘉宾认为，财务会计人员把业务状况真实的反映到财务报表中去，财务会计工作价值会得到提高。
嘉宾sharelee 感慨，期末财务报表内控流程非常弱，很多内控只是粗线条没有展开，结账的时间表需要发给财务部门和业务部门，确定提供资料时间和结账时间，
建立结账事项检查表，签字确认，这些也是企业财务人员没有意识到内控薄弱环节。
汪伦老师对此点评：期末财务报告流程，应该完善相应的内控，清查账实、项目勾稽、暂估入账、内部单证补充完善以便及时入账。
怎样分阶段建立内控体系呢？嘉宾sharelee 认为，可以用不同的内控建设的方法对症下药，内涵不同，方法也不同；先易后难，用固定的格式去思考，是否有财报风险，要像刘翔一样确定目标然后跨越；管理基础的决定，把内控融入到企业管理当中去。建议企业分阶段，一个目标一个目标的建立自己的内控体系。
嘉宾sharelee 非常有感触，为什么很多人去日本买马桶盖、电饭煲，是因为这些产品的设计都是为使用者考虑，这也是企业管理的终极目标。怎么了解客户的目标，怎么能抓住客户，就是把内控中的战略目标融入到企业管理当中去。
针对嘉宾留下的互动话题，网友们也争相发表自己的看法，并提出一些疑问。汪伦称本次分享对他有很大的启发：“同是内控服务方面的同行，今晚的分享，思路纵横都有，有启发的地方在三点：一是，三角的要素，本来就应该是分阶段；二是，长效的内控建设不仅仅就是财务内控，更多是管理内控和内控环境方面；三是，看内控的角度既有从企业角度也有从审计角度，两者之间往往是对立统一的。”也分享了自己对“研发部与财务内控有关的内容”，也引起了大家的兴趣，并提议汪伦老师在适当的时候也来分享一期思享会。
视野思享会历届内容汇总（一）——第1期至第10期（包括视频回放）
视野思享会历届内容汇总（二）——第11期至第20期（包括视频回放）
视野思享会历届内容汇总（三）——第21期至第23期（包括视频回放
大学时曾经开设过一门内部控制课程，具体内容已经差不多忘光了，但是仍然记得课本的大致框架里有对各个流程的内控分析，比如采购流程是怎么样的，哪里会有风险点，要怎么做；还有销售流程、材料验收入库流程、岗位设置等等，比较粗糙，感觉非常枯燥。现在通过特训营和23期思享会的学习，对内部控制又有了新的认识。
首先要问自己，什么是内部控制，内部控制是做什么的，内部控制有什么用，为什么要进行内部控制，需要怎么开展内部控制，先从哪里入手，具体要怎么做。
内部控制，重点是控制二字，控制什么，控制企业内部各业务流程可能会出现的风险，为什么控制，这里就要结合老师所说的五目标（合法合规、财报信息、经营效率和效果、发展战略、资产安全）和三目标（营运效果和效率、财务数据的可靠性、相关法令的遵循）了。
怎么展开内部控制？大牛老师谈到分阶段建设，把内控建设分成三个阶段，一个是合规建设，主要针对财报信息和合法合规；第二是管理提升，主要针对经
营效率和效果以及资产安全；第三个是全面风险管理，这个就要涉及战略目标了。对于分阶段建设内部控制，这与导师说的“企业生命历程的不同阶段，内部控制的相关方面应当与之相适应而有所不同”相类似。所以首先要看清企业目前所处的阶段、环境，再结合企业的控制目标来开展内部控制设计，这应该就是导师说的由面到点了吧。
从哪里入手？coso 的内控五要素是内部环境、风险评估、控制活动、信息与沟通和内部监督，信息与沟通应该是贯穿这几个要素始终的。在导师讲解的内控五要素中很形象的用金字塔来形容，控制环境处于金字塔最底层，所以内部控制应该首先从环境分析入手，整体考虑企业的情况、业务流程，找出风险点，设计出一个总体框架。这里可以结合大牛老师的合规建设6个步骤的前三步，确定重要会计科目和披露事项，确定业务流程（循环），确定相关会计报表认定，这个可以帮助对风险点的认定。
接下去就是风险评估了。企业内部控制规范中对风险评估有这么一句描述：企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。所以并不是只要有风险就必须去控制，要考虑风险的重要程度和企业对风险的承受度。导师的风险评估矩阵中把风险分成四个象限，两个坐标分别对应发生的概率和影响金额的大小，概率与业务的发生频次以及交易过程环节是否复杂有直接关系。对风险进行评估之后就可以确认相关的控制点，之后要做的工作不是马上设置相应的控制活动活动，而是先根据评估出的关键控制点进行分析，看这些点当中有没有派生的或者相互依存的关系，有时候解决了这个问题，其他问题也就迎刃而解了，我觉得这一点可以运用TOC 法则中寻找瓶颈的方法。做完这些工作之后就可以设计相应的控制活动了。
通过这两次的学习，对内部控制有了一些总体思路，不足的地方还望大家指正。对于内部控制我觉得是知易行难，想的跟做的可能差距会很大，而且内部控制的推行也不是那么容易的事情。
分级建立长效内控体系之群讨论
汪伦：内控体系三层：第一层：总体框架；第二层：职责及流程；第三层：内控执行表单。框架文件属于“顶层设计”，包括授权、目标等，含14个大的方面，是按照业务和管理循环为主线进行设计的。职责和流程其实就是将内控目标及内控规范要求下放落地到公司具体部门，明确职责、流程，该层面属于制度化环节。内控执行表单，其实就是根据企业当前状况，找到关键点，顺应其过往操作习惯进行串联、修补、增加设计出来的表格，尤其强调其共享和流转。
Sharelee ：共享很重要。企业内部的表单多如牛毛 ，但系统性不强，没有共享 ，数据重复采集或打架，特别是母子公司之间。
汪伦：是的，就是这样的。
Sharelee ：总部不同部分重复再重复向子公司要数据。
qq25850253：我觉得用软件可以使母子公司流程顺畅起来。
汪伦：其实，软件虽然好，但需要先把内控执行训练到一定程度以后才好实施，否则，过早使用软件管理体系，很可能半途而废。我所在的这家公司原先弄了一套XX 软件，这次我调查时，企业执行人员反感声一片。最后，我和公司老板沟通，废了这个软件。
汪伦：高消费、低执行，还不如先脚踏实地把流程理顺了，然后，瓜熟蒂落之前再上比较好。
飞影：@汪伦。 ERP是一个流程梳理过程, 而不是简单应用一个软件的。反感的原因是前期流程调查与预备如何调整没作好, 碰着问题就系统外灵活处理, 而且领导没下决心处理。此外软件是否合适企业运作也不知道。软件前端销售人员为了业绩就随便答应, 实施人员解决不了就推。
汪伦：在工厂车间调查时，一个很有意思的现象，明明仓库有，但ERP 系统说没有，领料人急得团团转。最后，库管不管了，发，然后在本子上登记一下，过了几天，忘了往电脑上登记。
飞影：这种情况跟数据没有及时录入有关。
lff417：如果企业的管理本身就很薄弱，要通过系统来梳理流程，其实效果并不是很佳，关键点不是流程。
Sharelee ：管理基础薄弱的，上软件是找死。软件是工具的工具，工具都没有，哪里需要工具的工具。
不沉的船：恩，确实，基础不好的企业上SAP 真的很麻烦。上了以后发现跟企业的经营模式有冲突，就要求软件公司按自已的要求开发模块。搞的最后基本变成了具有企业自已特色的SAP ，把SAP 中很多的流程和控制都改了。
lff417：最后搞出来个四不像。
不沉的船：确实是个四不像，钱也不少花。
lff417：内控建设是服务于经营，如果经营处于困难阶段或转型阶段，内控是要承接经营转型的压力，这对于财务的要求就会很高。
samantha79：听了老师的分享才了解到确实有些东西时机还不到，原来想通过内控来梳理其实是颠倒了，是要先梳理才有可能上内控。
汪伦：我看到，每个仓库都有一个或很多个本子，上面象鬼画符一般的划了很多个记号。库管们抓狂，眼看着软件正儿八经做摆设；老板们高端，想象中提升拔苗助长烧钞票。这就是当前一些企业的实际，梦想转型却没有从自身做起，只是一味的求新求跟上“时代的步伐”。
不沉的船：恩，不做流程梳理，一味想着上内控或系统软件，根本无从着手，做出来的东西根本没法用。
lff417：内控这个东西，除了上市公司外，是证监会强制要求外，很多民营企业，特别是很多做业务出身的老板，对于内控这个东西，感觉很微妙。搞紧了，怕把业务搞死了，不搞了，就觉得有漏洞。更谈不上顶层设计了。
汪伦：内控如何分阶段，如何做到长效，这次老师的课的价值就在于此。lff417，说的是！所以说，企业上市不是目的，只是手段——管理上市才是真正的目的所在。可是，如此简单的一个道理，被浮躁的心态给淹没了。
槿思成：现在上市大部分都是为了圈钱。
Sspeed ：专业思维和土豪思维不一样。
Sharelee ：说明上市公司的公司治理机制存在很大问题。
幻欢：大家这一说，似乎明白了一些，管理才是最根本的，内控啊、财务共享、信息化都是为管理服务的，管理到了什么程度，这些工具也该匹配上，管理基础薄弱，硬上这些高、大、上的东西，结果有可能适得其反。
Sharelee ：@幻欢 理解很到位。
汪伦：老师的那个“铁三角”其实就是想把复杂问题做简化的要素分析，大道至简。
幻欢：内审群讨论过华为采购舞弊的事，内控制度再完善，如果窝案，集体舞弊是很难发现的。内控有局限性，其他工具也有，强调工具，也该强调人的能动性，以人为本。
不沉的船：如果出现集体舞弊，至少说明内部控制环境是有问题的。
汪伦：嗯，一语破的。
不沉的船：肯定是符合了舞弊三角理论其中一方面。
汪伦：掩耳盗铃置群中，集体舞弊方便弄，君子协定小人钻，环境内控更显重。
qq25850253：其实ERP 没实施好与投入有关，必须要有超前意识，传统思维是先上ERP 再上生产相关软件。我都是反其道而行之，先上mes ——仓库条码系统，避免数据靠人去输入。
叮当的叮：@qq25850253 为什么要先上mes 这些系统？这样做有什么好处？
qq25850253：mes 是车间级的，先完善基础数据，ERP 是集团层次的，应自下而上。
Sharelee ：garbage in garbageout。
叮当的叮：一般的思维模式不是自上而下比较好推么？
qq25850253：ERP 的采购，销售涉及利益的人太多，阻力大，而生产管理阻力小得多。而且实施mes 之后可以为ERP 实施成本计算提供解决思路，ERP 实施不成功总抱怨ERP 功能不足。