风险导向的控制活动
各位朋友，大家好，我是老郭。欢迎大家光顾“老郭侃内控”。从今天开始我们进入到内控五要素的第三个要素：控制活动。这个描述呢不是那么口语化，其实说白了就是各种不同类型的规章、制度和流程。
最常见的控制活动包括公司所有的事儿都需要董事会的层层授权、高层的批准才能干；通过信息系统进行标准化操作；预算控制、职责分离等等。关于控制活动的具体类型，我们在后面会专门讲到。企业，就是要赚钱，说得牛B一些就是要创造价值，而在创造价值的同时又要控制风险。以今天各种各样的信息系统为例，比如ERP、供应链管理系统SCM、客户管理系统CRM，今天疫情状态下钉钉的快速普及等等，这些信息系统一方面极大地提升了企业经营管理不同层面的工作效率和效果，另一方面也通过标准化、流程化的操作减少了风险，所以，这一类控制活动往往会产生一体两面的效果----既创造价值、又减少风险。
而有些控制活动比如说像授权、批准、职责分离等等给我们的印象则更多是在控制风险，在创造价值方面似乎不是那么明显，甚至从短期来看简直就是在妨碍价值创造。恰当的授权、需要承担“问责制”的批准、合理的职责分离，短期来看会影响效率、但却能保障长期的可持续发展。不过话虽这么说，现实情况下，这一类的控制却经常是弊大于利，比如签字审批制度。老郭在做咨询项目、辅导企业做流程时，凡是遇到审批，正常情况下它应该会有两个结果，一个是YES,另一个是NO,但实际上似乎没有NO也可以，也就是说这样的审批起不到一个控制的作用。而这种情况极为普遍，可谓见怪不怪。如果一个采购流程一共有五道审批的话，出了问题其实没人会负责，就像我们说“每个人都有责任”，意思就是“每个人都没责任”。像海尔那样能够做到流程零签字的企业，它是要以“人单合一”为前提的----人单合一简单说就是每个人要干的活儿非常明确，和他的收入相对应。不过，全世界不也就只有一个海尔吗。对于签字审批这一类的控制活动，在内控建设时，我们需要问一下自己，如果出了差错或者舞弊到底由谁来担责？如果这个问题回答不了，那这个审批其实控制不了风险。
另外，以这次新冠疫情为例，中国早在1月23号就采取武汉封城、然后是全国停摆这样的雷霆举措，我想主要还2003年SARs带给我们的经验教训；而面对同样的信息，美国、欧洲几乎可以说完全忽略这种风险，只采取了什么撤侨、断航等措施。类似的，面对单一供应商的风险，有些企业会付出很大代价寻找甚至培育替代供应商；而另一些企业则最多通过和单一供应商签订长期采购合同来应对。这当中的区别就在于：是否采取控制活动、采取什么样的控制活动，关键在于你是否意识到可能的风险。
总结一下，第1、控制活动的根本作用是创造价值、同时控制风险，如果达不到这两个作用，这样的控制活动会适得其反，必须优化改善；第2、对风险识别给予充分关注，由专业的人给出专业的判断结果，进而，最大限度地采取合理有效的控制活动。
好，今天的老郭侃内控就到这儿，下期我们不见不散。
讲师介绍：
郭大刚
财务管理资深讲师
英国特许公认会计师资深会员（FA）
英格兰及威尔士特许会计师协会国际会计准则资格（ICAEW Diploma in IFRSs）
用户评论