充滿不確定性的VUCA時代對企業的內部管理提出了更高要求。內控部門如何為企業創造價值？怎樣找到內控管理的抓手？內控面臨哪些機會和挑戰？小米集團內控內審監察部副總裁劉少順在2019年君聯資本CFO年度論壇上，結合小米的內控實踐，分享瞭如何做好內控工作的寶貴經驗和體會。

注：VUCA是指組織將處於"不穩定"(Volatile)、"不確定"(Uncertain)、"複雜"(Complex)、和"模糊"(Ambiguous)狀態之中。VUCA的概念最早是美軍在20世紀90年代，引用來描述冷戰結束後的越發不穩定的、不確定的、複雜、模稜兩可和多邊的世界。在2001年9月11日恐怖襲擊發生之後，這一概念和首字母縮寫才真正被確定。隨後，“VUCA”被戰略性商業領袖用來描述已成為“新常態”的、混亂的和快速變化的商業環境。

劉少順

1 把內控嵌入到業務流程中去

我們處於一個VUCA時代，在不確定的大環境下，通過把企業的內功做好，內控也能夠為企業創造價值。

內控的產生是因為所有權和經營權分離。內控能否有效最重要的基礎是控制環境。決定控制環境的是一把手的心態、意識、態度，也就是他底層核心的價值觀和他對誠信的態度。

基於董事會及管理層的公司戰略和風險容忍度，企業要管理四個方面的風險：戰略風險、運營風險、財務風險、合規風險。

內控主要針對後三個層面的風險。

通常，風險有三道防線，第一道防線是業務與運營部門

內控的目標包括：財務報告真實完整、提升運營效率和效果、企業經營管理合法合規三個方面，內控最低的要求是保證財務報告的真實、準確完整。

業務發展特別快，如果財務報告沒有反映到位的話，又談何監督呢？內控作為第二道防線，我們會給出風險評估報告、紅綠燈圖、改進建議，但是這些對業務真的有幫助嗎？內控管理的抓手在哪裡？

小米2016年開始搭建內控體系，當時對制度、流程、體系的關注度沒有那麼強，在這種情況下，我們要想辦法把內控嵌入到業務流程當中去。我給團隊提出的目標就是：

首先，要找到跟業務緊密結合的場景，跟業務站在一起。比如，沒有借款制度，我們幫他寫一個；沒有門店的收銀管理制度，也可以幫他寫一個。在500強企業，這是業務一線的責任，內控的責任是檢查制度是否存在、測試製度是否有效。但實際不能這樣，要因地制宜根據企業的情況，把你的存在感找到，歸屬到組織裡，才能做項目。

存在即合理。不要總是認為只有我們學的五部委內控制度和COSO給的內控框架是對的，有效的才是對的，要根據企業所在的發展階段，發展適合自己的內控體系。我經常跟同事們說，內控相當於老闆的“千里眼”、“順風耳”，要做他的神經系統，哪兒痛哪兒癢，如果你不是第一個知道的，內控就不合格，這是我們對內控的一個核心要求。

內控到底是未雨綢繆好還是亡羊補牢好？我認為兩者沒有絕對的對錯，有的時候你必須是亡羊補牢，對風險的管理和防範才能在企業裡達成共識。企業處於什麼樣的狀態，決定了你採取什麼樣的策略，有效果才是最重要的。對於年輕的創業企業來說，我們需要用更多的時間去影響我們的上級，影響我們的同級，讓他們真正意識到我們跟他們是連在一起的，而不是我們是單獨的、分割的。

2 用業務聽得懂的話做內控

小米內控體系的搭建緊緊圍繞戰略目標，內控、內審和合規三個部門像一個輪子一樣，把風險管理的動能煽動起來，賦能企業。然後按照硬件、互聯網、新零售三駕馬車，完善整個內控體系。

我們引入了一個Pulse模型，pulse也是脈搏的意思，脈動的能力有多強，取決於內控能不能成為一個真正給企業診斷把脈的體檢醫生。

小米的價值觀是真誠、熱愛，使命是堅持做“感動人心、價格厚道”的好產品，讓全球每個人都能享受科技帶來的美好生活。我們對小米的價值觀進行了進一步的傳承。對小米來說，熱愛體現在和用戶交朋友，在我們部門，熱愛體現在不以監察的眼光去審視別人，而是以賦能的眼光去跟別人合作。和業務聊的時候，多從“我能幫你做什麼”這個角度切入，做好業務BP。

對運營風險的把握最考驗內控的水平和能力，要和業務打成一片，真正看到他們的風險，一個重要手段就是訪談，而訪談最重要的一點是傾聽。當你不帶著那麼多評判去聽時，會有很多意外的收穫。傾聽是一個讀其心、解其意的過程，要能懂他到底想說的是什麼，很考驗情商。內控如果跟別人交不了朋友，很難得到好的效果。

我們是一個從0到1建立起來的部門，難點就在於讓別人認識我們，知道我們的定位以及和業務的關係。管理、監督、諮詢、評價是我們的職能定位。把定位找準，我們知道自己要幹什麼了，但是別人還是不知道。於是我們設計了一些口號，比如“內控為尺助發展”，“越自控越自由”。為什麼提這些口號？很多人覺得我們說話太專業、太學術，聽不懂，那我們提的東西就很難落地，所以要用業務聽得懂的話去聊。

內控的工作很難讓別人看得見、摸得著。所以我們提出來管理顯性化，顯性制度化，制度流程化，流程表單化，表單信息化，這樣從頭到尾的抓手就找到了，就可以和業務交互。

內控到底控制的是什麼呢？財務控制是基礎，合規控制是保證，運營控制是管理。如果做不到運營內控的時候，至少把財務內控做了，財務內控做不到，至少把外部的合規做到，反正有法的東西，怎麼都比你在那兒幹較勁強，跟業務說話要有一個遞進的過程。

有沒有，用沒用，好不好，這是內控的三個層次。公司裡到底有沒有內控，需要我們去梳理，看流程、制度。你去找銷售總監或者市場總監去訪談時，他們通常會說流程制度我都有，你不用操心。但是他用不用呢？這需要你去測試，測試了以後才知道，這個控制點是不是有用。最後，才是看好不好，有沒有達到預想的目標。這個目標到底是內控的目標還是業務的目標，要分清楚，這是非常值得內控人員深入思考的問題。

內控如果只有對歷史數據的分析，對業務來說沒有意義。要有對效率、效果、效益的前瞻性分析，才能和業務有交互。至於做得到不到位，取決於你是不是有商業思維，能不能和業務探討競爭策略和方法，同呼吸、共命運，讓他們感到自己被理解。

3 順應企業發展階段建內控體系

企業有它成長的生命週期，初創期企業處於脆弱的求生存階段，更多看企業的創新性，從控制角度，要看好現金流，生存是第一位的。成長期，取決於你的產品，原來靠創新帶來的優勢不存在了，這時候考驗的是運營能力。成熟期，要想辦法避免同質化，這時候要看再一次創新的能力。轉型期，企業在衰退和戰略轉型的十字路口，這時候取決於你投資的能力，如何利用現金流重新找到投資的領域創造價值。

結合企業的生命週期，小米的內控發展經歷了萌芽期、上市期和後上市期的歷程。

1）萌芽期，我們的內控團隊規模較小，主要試點進行重點領域的內控工作，逐漸增加業務對內控的認知度，內審以發現和調查內部舞弊案件為主。

2）上市期，我們利用良好的內外部環境，迅速擴大團隊規模，拓展工作領域，建立成熟的BP制度，深入業務一線，同時規範內部審計、內部控制、風險管理三道防線的邊界。

在香港聯交所上市過程中，我們按照聯交所的要求，當時識別了2008個控制點，做了83個控制矩陣，實現了166個控制缺陷，於2018年4月底前全部完成了合規性整改，助推公司最終順利上市。

我們還通過建設UC2.0權限管理系統，對權限的開放進行規範，加強了對信息系統的控制；建立了制度管理平臺，所有制度都按要求統一發布；並且建立了自己的部門網站，擴大宣傳。

小米上市時，雷總在總經理大會和幹部人員培訓會上說，“管理就是管理風險”，這句話告訴業務一線的管理者，風險管理是你們的事情。內控可以看到業務的財務風險、合規風險和運營風險是怎麼管的。而產品風險、客戶風險、交付風險等，這些是業務一線的責任。

3）後上市期，保持上市期的成果，以賦能業務為核心目標，圍繞價值鏈梳理內控手冊；建立了定期內控測試機制，使內控工作常態化；結合經營管理，把工作範圍、風控模式、組織人員和監督模式的框架都搭建起來。

整體來看，內控必然經歷合規、優化提升、戰略整合和有機協同的發展階段。無論內控還是內審，都不要越俎代庖。有為自然有位，在別人沒有把你當回事的時候，不要那麼焦躁，約了業務開會他也不開，說了幾次他也不聽，這都是正常的，取決於我們企業發展到什麼階段，到了那個階段，自然就會呼喚你。要看到大勢的變化，才能把你的事情做好。

4 小結：對內控的幾點思考

❖現在是一個VUCA的時代，如果站得不夠高，你的視野就會受到侷限。內控管理是亡羊補牢還是未雨綢繆，主“攻”還是主“守”，沒有絕對的對錯，要看企業的發展階段和狀態，“風險如霧霾，不能等風來”確實很難做到，有時候“風險如霧霾，只能等風來”。領導唱山歌，你唱詠歎調，必然曲高和寡，只有瞭解企業的狀態，才能跟管理者步調同頻，讓內控落地。在管理的認知沒有達到預期時，我們要通過自己的努力自下而上去影響管理者對待風險的態度。

❖內控一定要有抓手。就像我們前面所說的，一定要有制度，有制度才有流程，有流程才有控制點，有了控制點才能設計表單，才能計量風險。這個過程中如果遇到困難，記住，能量化儘量量化，量化不了就細化，實在細化不了就事件化，至少找到一個地方跟業務對話。要對業務深入瞭解，成為真正懂業務的風險管理夥伴，而不是停留在自己的口頭上。

❖心態就是格局。有時候做內控的人感覺自己的歸屬感和價值感不是很強。企業的成長過程中必然會經過非職業化、半職業化和全職業化的過程，而人才、業務、資源和機制是支撐全職業化體系的基礎。所以我們要改變心態，不要被環境限制，自主自發地推動內控的落地，結合不同層級業務人員的實際情況，找到幫助的切入點，把自己和企業的願景和使命建立起聯繫。

❖人與人之間的連接越來越疏離，我們更多看到別人的業績、態度、價值觀，卻很少看到他人的情緒，當我們關注到情緒的時候，真正管理的才是那個人而不是那件事情。

❖做一件事，能吃苦只能證明你可以，受得住委屈才能看出你是不是真正的熱愛。我們團隊裡最年輕的成員已經是96、97年的了，他們是沒有飢餓感的一代人，從小到大得到了足夠多的愛，但是在面對挫折時，能不能夠應對，這是團隊需要面對的問題。從智商到情商到逆商，對內控人員要求會螺旋式上升。

❖ 新技術的快速應用與VUCA時代擠壓，把財務的傳統職能吞噬很多，內控的未來會怎樣？我覺得內控是一個風險導向的工作，很難被取代。我們要快速應用新技術，變革內控審計方法，使財務真正賦能業務，在VUCA時代不焦慮、不焦躁，做企業的定海神針，做企業的容器。

❖隨著業務團隊組成越來越多樣化，需要內控理解的領域也越來越多，要讓內控團隊實現自身的有機增長，才能去給業務賦能。而內控團隊成員在工作中需要成就感，需要感受到新鮮和不同，我們要能夠為他們插上翅膀，幫助他們有效地成長起來，承接企業的使命。

❖ 國際化給內控帶來巨大挑戰。海外是風險的高發區域，不同的國家，不同的場景，不同的民族習慣，不同的合規體系，如何跟當地的場景真正連接，才是內控核心競爭力的體現。

總之，未來內控面臨的挑戰將會很大，希望大家能站到高處，看到遠處。

本文版權歸“君聯資本CEOClub”所有；

閱讀更多 真灼社 的文章

關鍵字: 國創上頭條 雙11致富故事 設計