编者按：
充满不确定性的VUCA时代对企业的内部管理提出了更高要求。内控部门如何为企业创造价值？怎样找到内控管理的抓手？内控面临哪些机会和挑战？小米集团内控内审监察部副总裁刘少顺在2019年君联资本CFO年度论坛上，结合小米的内控实践，分享了如何做好内控工作的宝贵经验和体会。
刘少顺
01
把内控嵌入到业务流程中去
我们处于一个VUCA时代，在不确定的大环境下，通过把企业的内功做好，内控也能够为企业创造价值。
内控的产生是因为所有权和经营权分离。 内控能否有效最重要的基础是控制环境。决定控制环境的是一把手的心态、意识、态度，也就是他底层核心的价值观和他对诚信的态度。
基于董事会及管理层的公司战略和风险容忍度，企业要管理四个方面的风险：战略风险、运营风险、财务风险、合规风险。内控主要针对后三个层面的风险。通常，风险有三道防线，第一道防线是业务与运营部门，负责设计和执行控制，他们更清楚自己的风险在哪；第二道防线是内控职能部门，对控制进行持续的监督；第三道防线是审计和监察部门，承担独立的监控作用，完善治理架构。
内控的目标包括财务报告真实完整、提升运营效率和效果、企业经营管理合法合规三个方面，内控最低的要求是保证财务报告的真实、准确完整。业务发展特别快，如果财务报告没有反映到位的话，又谈何监督呢？内控作为第二道防线，我们会给出风险评估报告、红绿灯图、改进建议， 但是这些对业务真的有帮助吗？内控管理的抓手在哪里？
小米2016年开始搭建内控体系，当时对制度、流程、体系的关注度没有那么强，在这种情况下，我们要想办法把内控嵌入到业务流程当中去。 我给团队提出的目标就是：刷出存在感，建立归属感，创造成就感。
首先，要找到跟业务紧密结合的场景，跟业务站在一起。比如，没有借款制度，我们帮他写一个；没有门店的收银管理制度，也可以帮他写一个。在500强企业，这是业务一线的责任，内控的责任是检查制度是否存在、测试制度是否有效。但实际不能这样，要因地制宜根据企业的情况，把你的存在感找到，归属到组织里，才能做项目。
存在即合理。不要总是认为只有我们学的五部委内控制度和COSO给的内控框架是对的，有效的才是对的，要根据企业所在的发展阶段，发展适合自己的内控体系。我经常跟同事们说，内控相当于老板的“千里眼”、“顺风耳”，要做他的神经系统，哪儿痛哪儿痒，如果你不是第一个知道的，内控就不合格，这是我们对内控的一个核心要求。
内控到底是未雨绸缪好还是亡羊补牢好？我认为两者没有绝对的对错，有的时候你必须是亡羊补牢，对风险的管理和防范才能在企业里达成共识。企业处于什么样的状态，决定了你采取什么样的策略，有效果才是最重要的。对于年轻的创业企业来说，我们需要用更多的时间去影响我们的上级，影响我们的同级，让他们真正意识到我们跟他们是连在一起的，而不是我们是单独的、分割的。
02
用业务听得懂的话做内控
小米内控体系的搭建紧紧围绕战略目标，内控、内审和合规三个部门像一个轮子一样，把风险管理的动能煽动起来，赋能企业。然后按照硬件、互联网、新零售三驾马车，完善整个内控体系。
我们引入了一个Pulse模型，pulse也是脉搏的意思，脉动的能力有多强，取决于内控能不能成为一个真正给企业诊断把脉的体检医生。
小米的价值观是真诚、热爱，使命是坚持做“感动人心、价格厚道”的好产品，让全球每个人都能享受科技带来的美好生活。我们对小米的价值观进行了进一步的传承。对小米来说，热爱体现在和用户交朋友，在我们部门，热爱体现在不以监察的眼光去审视别人，而是以赋能的眼光去跟别人合作。和业务聊的时候，多从“我能帮你做什么”这个角度切入，做好业务BP。
对运营风险的把握最考验内控的水平和能力，要和业务打成一片，真正看到他们的风险，一个重要手段就是访谈，而访谈最重要的一点是倾听。当你不带着那么多评判去听时，会有很多意外的收获。倾听是一个读其心、解其意的过程，要能懂他到底想说的是什么，很考验情商。内控如果跟别人交不了朋友，很难得到好的效果。
我们是一个从0到1建立起来的部门，难点就在于让别人认识我们，知道我们的定位以及和业务的关系。管理、监督、咨询、评价是我们的职能定位。把定位找准，我们知道自己要干什么了，但是别人还是不知道。于是我们设计了一些口号，比如“内控为尺助发展”，“越自控越自由”。为什么提这些口号？很多人觉得我们说话太专业、太学术，听不懂，那我们提的东西就很难落地， 所以要用业务听得懂的话去聊。
内控的工作很难让别人看得见、摸得着。所以我们提出来 管理显性化，显性制度化，制度流程化，流程表单化，表单信息化，这样从头到尾的抓手就找到了，就可以和业务交互。
内控到底控制的是什么呢？财务控制是基础，合规控制是保证，运营控制是管理。如果做不到运营内控的时候，至少把财务内控做了，财务内控做不到，至少把外部的合规做到，反正有法的东西，怎么都比你在那儿干较劲强，跟业务说话要有一个递进的过程。
有没有，用没用，好不好，这是内控的三个层次。公司里到底有没有内控，需要我们去梳理，看流程、制度。你去找销售总监或者市场总监去访谈时，他们通常会说流程制度我都有，你不用操心。但是他用不用呢？这需要你去测试，测试了以后才知道，这个控制点是不是有用。最后，才是看好不好，有没有达到预想的目标。这个目标到底是内控的目标还是业务的目标，要分清楚，这是非常值得内控人员深入思考的问题。
内控如果只有对历史数据的分析，对业务来说没有意义。要有对效率、效果、效益的前瞻性分析，才能和业务有交互。至于做得到不到位，取决于你是不是有商业思维，能不能和业务探讨竞争策略和方法，同呼吸、共命运，让他们感到自己被理解。
03
顺应企业发展阶段建内控体系
企业有它成长的生命周期，初创期企业处于脆弱的求生存阶段，更多看企业的创新性，从控制角度，要看好现金流，生存是第一位的。成长期，取决于你的产品，原来靠创新带来的优势不存在了，这时候考验的是运营能力。成熟期，要想办法避免同质化，这时候要看再一次创新的能力。转型期，企业在衰退和战略转型的十字路口，这时候取决于你投资的能力，如何利用现金流重新找到投资的领域创造价值。
结合企业的生命周期，小米的内控发展经历了萌芽期、上市期和后上市期的历程。
萌芽期，我们的内控团队规模较小，主要试点进行重点领域的内控工作，逐渐增加业务对内控的认知度，内审以发现和调查内部舞弊案件为主。
上市期，我们利用良好的内外部环境，迅速扩大团队规模，拓展工作领域，建立成熟的BP制度，深入业务一线，同时规范内部审计、内部控制、风险管理三道防线的边界。
我们还通过建设UC2.0权限管理系统，对权限的开放进行规范，加强了对信息系统的控制；建立了制度管理平台，所有制度都按要求统一发布；并且建立了自己的部门网站，扩大宣传。
小米上市时，雷总在总经理大会和干部人员培训会上说， “管理就是管理风险”，这句话告诉业务一线的管理者，风险管理是你们的事情。内控可以看到业务的财务风险、合规风险和运营风险是怎么管的。而产品风险、客户风险、交付风险等，这些是业务一线的责任。
后上市期，保持上市期的成果，以赋能业务为核心目标，围绕价值链梳理内控手册；建立了定期内控测试机制，使内控工作常态化；结合经营管理，把工作范围、风控模式、组织人员和监督模式的框架都搭建起来。
整体来看，内控必然经历合规、优化提升、战略整合和有机协同的发展阶段。无论内控还是内审，都不要越俎代庖。有为自然有位，在别人没有把你当回事的时候，不要那么焦躁，约了业务开会他也不开，说了几次他也不听，这都是正常的，取决于我们企业发展到什么阶段，到了那个阶段，自然就会呼唤你。要看到大势的变化，才能把你的事情做好。
04
小结：对内控的几点思考
❖现在是一个VUCA的时代，如果站得不够高，你的视野就会受到局限。内控管理是亡羊补牢还是未雨绸缪，主“攻”还是主“守”，没有绝对的对错，要看企业的发展阶段和状态，“风险如雾霾，不能等风来”确实很难做到，有时候“风险如雾霾，只能等风来”。领导唱山歌，你唱咏叹调，必然曲高和寡，只有了解企业的状态，才能跟管理者步调同频，让内控落地。在管理的认知没有达到预期时，我们要通过自己的努力自下而上去影响管理者对待风险的态度。
❖内控一定要有抓手。就像我们前面所说的，一定要有制度，有制度才有流程，有流程才有控制点，有了控制点才能设计表单，才能计量风险。这个过程中如果遇到困难，记住，能量化尽量量化，量化不了就细化，实在细化不了就事件化，至少找到一个地方跟业务对话。要对业务深入了解，成为真正懂业务的风险管理伙伴，而不是停留在自己的口头上。
❖心态就是格局。有时候做内控的人感觉自己的归属感和价值感不是很强。企业的成长过程中必然会经过非职业化、半职业化和全职业化的过程，而人才、业务、资源和机制是支撑全职业化体系的基础。所以我们要改变心态，不要被环境限制，自主自发地推动内控的落地，结合不同层级业务人员的实际情况，找到帮助的切入点，把自己和企业的愿景和使命建立起联系。
❖人与人之间的连接越来越疏离，我们更多看到别人的业绩、态度、价值观，却很少看到他人的情绪，当我们关注到情绪的时候，真正管理的才是那个人而不是那件事情。
❖做一件事，能吃苦只能证明你可以，受得住委屈才能看出你是不是真正的热爱。我们团队里最年轻的成员已经是96、97年的了，他们是没有饥饿感的一代人，从小到大得到了足够多的爱，但是在面对挫折时，能不能够应对，这是团队需要面对的问题。从智商到情商到逆商，对内控人员要求会螺旋式上升。
❖ 新技术的快速应用与VUCA时代挤压，把财务的传统职能吞噬很多，内控的未来会怎样？我觉得内控是一个风险导向的工作，很难被取代。我们要快速应用新技术，变革内控审计方法，使财务真正赋能业务，在VUCA时代不焦虑、不焦躁，做企业的定海神针，做企业的容器。
❖随着业务团队组成越来越多样化，需要内控理解的领域也越来越多，要让内控团队实现自身的有机增长，才能去给业务赋能。而内控团队成员在工作中需要成就感，需要感受到新鲜和不同，我们要能够为他们插上翅膀，帮助他们有效地成长起来，承接企业的使命。
❖ 国际化给内控带来巨大挑战。海外是风险的高发区域，不同的国家，不同的场景，不同的民族习惯，不同的合规体系，如何跟当地的场景真正连接，才是内控核心竞争力的体现。
总之，未来内控面临的挑战将会很大，希望大家能站到高处，看到远处。
THE END
联系客服
