企業應當如何制定規則來控制內部風險？中歐國際工商學院會計學教授、EMBA學術副主任、首席財務官課程(CFO)學術主任蘇錫嘉在中歐管理論壇上，就“危機中的企業和企業中的危機”的主題，深入講解企業領導者如何在日益復雜的外部環境中加強企業內部控制，有效管理風險，提升經營業績等問題。
COSO是在美國做舞弊調查的機構，延伸到了內部控制，提出內部控制的框架。COSO最基本的內部控制框架，(是)所謂的“三目標、五要素”。三目標，壹是有效率且有效果的使用公司資源，後面兩個目標是COSO加上去的——財務報表和合規。在三個目標中形成了從下到上、從基本到高端的五個要素。
壹、控制環境。控制環境就是要建立企業的文化，讓正直的人能得到重用。企業文化看不見、摸不著，但帶來的影響是非常大的。做管理就是要形成企業裏面的小環境，這個小環境讓每個人都有意願把自己身上光明、陽光的壹面展現出來，把自己身上負面、不體面的東西想辦法壓下去。前兩年美國有個團隊做了壹個研究，對美國財富500強的大公司說請給我壹張名單，去年妳們公司管理團隊流失的人有多少個？列出來後告訴我有哪幾個人，公司如果有可能的話是壹定想辦法留住他們的。他找這些人壹個壹個地去問，很多人給的理由居然是什麽？我看到辦公室裏很多同事上班用公司的電話講私人的事情，或者用公司的信封寄私人的信件，我不願意和這些人成為同事。這告訴大家壹個道理，公司文化最重要的作用就是把具有相同價值觀的人聚集在壹起，把不認同這個價值觀的人驅離公司，久而久之，所有留在公司的人都是具有同樣價值觀的人。
公司是由人組成的，所以壹個好的公司文化必須要從建立、從招到最合適的人開始。招聘員工其實風險非常大。因為環境誠信有問題，怎樣保證這些人正直、可靠，這是非常關鍵的。運作到後面，要建立各種各樣的機制、機構，董事會、審計委員會，並形成壹定的經營風格、管理風格；很多時候，壹把手決定了這個企業做事情是什麽風格，而且很多風格壹旦形成就很難改變。在壹個沒有宗教信仰的環境中，防範風險的難度比其他環境大壹些。
二、風險評估。風險是將來要發生的可能，在它沒發生之前就找出來，難度很大。風險有各種各樣的分類，壹是內部風險，自己做事情能解決掉的風險；二是外部風險，市場環境突變、自然災害等等；還有固有風險、剩余風險。
風險識別的關鍵是看到每個風險發生的幾率有多大？產生的損失有多大？如果發生的損失可能非常大而且發生的概率非常大，最好的辦法是咱們不幹這個事情。我造成的風險可能非常大，但發生概率並不是太高，什麽辦法？轉移，壹個辦法是買保險，(把)部分(風險)轉移給別人；還有找人合資，找人分享。如果發生概率挺大(但)損失不會太大，最典型的是產品出質量問題，對策是加強質量控制措施，減少不良頻率的發生。如果我采取措施防範，可能成本抵不上得來的好處。
妳真正樹立(風險)觀念以後，妳的行動變得完全不壹樣。有兩家公司在日本福島地震(中)的表現，告訴妳(要)有風險意識。今天晚上誰都不要回家，立刻查出來世界上有什麽東西只在日本福島地區生產的，不管跟我們公司有沒有關系，全世界去找，不管價錢統統買下來，壹個晚上整個公司撲在這個(事情)上面。第二天全部做完以後，現在回去睡覺，大家等著數錢吧！說起來道德上有點惡劣，但從商業敏感度來講絕對厲害。第二個例子是上海汽車在福島地震的第二天早上9點鐘緊急召開集團辦公會議，董事長只提壹個問題，福島地區生產如果不恢復，上海汽車生產可以維持多少時間？因為汽車很多配件都是日本生產的。全公司立刻報上來，6個月。第二個問題，繼續查零配件世界上有沒有可代用的東西？壹項壹項落實，報告上來每壹樣東西世界上都有替代品。又問，能不能用？不能。因為所有汽車零部件用上去必須要有壹個認證過程，認證過程多長？最短9個月。董事長說從今天開始全公司全力以赴解決認證問題，壹定要在6個月之內解決認證。公司對於風險防範的事情，壹有點事情立刻想到(會)受什麽影響，壹天都不能耽擱。
風險還有壹些思考，第壹是應不應該回避風險？妳要想清楚壹點，做企業本質上講就是冒險，成功的企業家都是願意冒險的，不願意冒險的人不可能會成功。但我們永遠想清楚，企業需要冒險，但必須是只冒可以承受的風險，絕對不冒不能承受的風險。比如，我說我掏1塊硬幣拿出來跟妳玩，翻到正面妳給我5塊錢，翻到反面妳給我5塊錢，挺好玩的，玩壹下。我再說，翻到正面妳給我5個億，翻到反面我給妳5個億？玩不玩？妳這時候不會想萬壹我今天賺了5個億晚上怎麽花這個錢呢？妳首先想到(的是)萬壹我輸了，我到哪裏拿5個億還給這家夥？我能不能承擔起這個風險？我才做。如果成功了會有多大的好處？
企業冒險，影響生死存亡的風險是決定。中國人經常說用人不疑、疑人不用，這是非常虛偽的，因為在現代的商業社會裏，疑不疑人是對他負不負責，最好的(是)我不給妳任何犯錯誤的機會。所以我到每壹家公司做獨董，給做風險控制、內部管理的人只給妳八個字，相對獨立、合理歡迎。
我們鼓勵創新，創新是不是等同於冒險？是不是壹旦創新、風險控制壹定會差？越是具有創新能力的公司更多使用控制。創新和控制其實是不矛盾的，真正要創新有效，不是像無頭蒼蠅壹樣到處亂投錢，這不是創新。
如果妳面臨如下選擇，壹種是犧牲核心員工以消除重大風險，二是保護核心員工但可能留下重大風險，妳選擇哪壹個？保護核心員工和消除重大風險，哪壹個更重要？消除重大風險。首先把風險堵上再說，牽涉到不管什麽人以後再說，再冤枉這壹刀必須斬下去。從道理上講，風險防範為上，保護核心員工為次；但真正叫妳動手，那個人看上去那麽的無辜，妳現在為了壹點風險要把他先宰下來，妳下得了手嗎？如果下不了手，臨陣畏縮，妳覺得這個人有沒有罪？應不應該受到處罰？這些都是在實際風險控制中非常實際的問題。碰到這些讓妳困惑的(問題的)時候，很多人往往覺得下不了手，但下不了手，真的導致風險爆發的話很可能整只船就沈下去。我讓大家想壹想，被誤傷的這個人心裏會怎麽樣？會不會怨恨？電影裏面的“007”真是高尚，回到警察總部來毫無怨言，而且要繼續拼殺，實際工作中沒人做得到。沒人做得到會怎麽樣？帶來下面壹個問題，這些人如果證明真的是冤枉的，應不應該、能不能夠讓他回來官復原職？基本規律是打死也不能讓他回來。
為什麽？告訴妳壹個簡單的例子。雷諾汽車前幾年發生壹件事情，壹個副總舉報、揭發另壹個副總把公司機密的商業資料透露給競爭對手，拿出證據來，公司董事會震怒之下把那個副總和手下壹幫人全部開除了。壹年之後，事實證明舉報是陰謀報復，誣告的副總再開除，(被冤枉的)那個副總要求回公司，雷諾(說)要多少錢可以商量，回來壹點商量(余地)都沒有。為什麽？不僅是心態變了，妳要想清楚，當時公司上下經過壹場非常劇烈的政治變動，把那條線的人調出去了，現在如果讓它回來，公司不得安寧，他要回來(整)原來整過他的人，每個人重新站隊，這個公司折騰不起，(所以)不能回來。妳要想清楚，個人對於公司來講永遠是次要的。
三、控制活動。控制活動有很多措施。有壹家公司，所有的存貨采購，任何東西采購進來，如果十天之內沒壹個人領用的話，總經理的電腦上會有壹個紅燈亮起來，(他)立刻查當初是誰提出請購的？請購理由是什麽？批準理由是什麽？為什麽買進來以後十天沒用？資金成本由誰承擔？這個(制度)建立起來以後，類似錯誤不會犯第二次。公司不怕犯錯誤，最怕犯重復性的低級錯誤，這是公司不能忍受的。
建立控制制度，有些事情非常重要：
壹是區分不相容職務，就是奉行壹個基本原則——兩個人幹壹件事情總比壹個人自己幹要安全，因為兩個人有壹個監督和約束。有些工作天生不能由壹個人幹，比如會計和出納不能由壹個人幹。我舉壹個例子，這是企業擔保的職能，把擔保這個環節中牽涉到幾個管理環節，我1、2、3、4、5、6、7列出來，至少有7個職能，哪幾個必須由不同的人做。現在，不相容職務如果劃分出來，做出來以後仍然出問題，這種風險在哪裏？什麽情況下不相容職務分離開來最後還是出事了？串通。所有的控制措施最怕的壹件事情就是串通。怎樣解決串通的可能？這是每個公司都絞盡腦汁的事情。有的比較小的企業、有些老板會有壹些私人的獨門秘訣。有些老板說，我的獨門秘訣就是今天出納不在、會計在的時候說，妳小子註意，出納反映好幾次了，妳經常上班的時候遛出去，會計聽到(之後)對出納恨得都牙癢癢的；(但)等到他們兩個人哪壹天說穿了、說透了，(老板)就慘了，所以這不是控制，這是權謀。也有壹些人說，我的基本原則是這兩個人絕對不能壹男壹女，特別不能年齡相近，壹定不能是同鄉，不能(是)壹個學校畢業的等等，讓妳兩個人***同語言越少越好。怎麽解決串通問題始終是壹個困惑。關鍵崗位必須強制連續休假10天以上，休假期間壹定有人頂崗。比如新加坡把英國銀行搞垮的這些人都有壹個***同的特點，工作特別辛苦，好幾年都沒有休假了。他怎麽可以休假？他壹休假全部都要露餡的。
二是明確崗位責任，我壹再強調必須要有書面的崗位責任承諾書，每年要簽壹次，(這)帶來兩大好處。第壹個好處是每年對每個崗位重新做壹個復核，對他承擔的責任做壹個提醒，盡管是例行公事但至少是壹個提醒。第二個，壹旦有什麽事情上法庭，有法律作用的文件，也就是說妳承諾過必須盡到這個責任，如果妳沒有做到，(在)法律上必須負責任。崗位責任承諾書，現在基本上大的公司壹定要妳簽，但崗位責任承諾書本身公司要有認證和復核，最怕妳沒有準確描述。
三是作業流程圖，把每壹個步驟落實到紙面上，妳先走什麽、後走什麽。比如供應商評選，這件事情在每個公司中都是壹個非常非常煩人的事情，為什麽？因為很多作業流程都是非正式的，壹旦非正式的東西放在紙面上來會發現無窮無盡的爭吵。碰到類似的問題，四個部門的負責人放在壹起，這個事情做下去了，壹旦劃到流程圖不行了，必須先到他這裏，我用流程做下去，四個人全部跳起來說，這怎麽行呢？現在的話如果我同意了，妳們3個人分分鐘可以否決我，我說什麽意思啊？現在他們3個人不同意的東西，我連看到的機會都沒有了？壹旦劃到流程誰有權做什麽，因為牽涉到不同部門的利益、牽涉到責任再劃分，這是壹個非常大的麻煩。
四、信息與溝通。現在是信息時代，讓信息在企業中間起到壹個良好的作用，這是極其關鍵的。對於信息控制，關鍵的壹點就是在合適的時間讓人得到合適的信息。這句話說起來容易，做到太難了。現在每個企業多多少少都有自己的信息系統，但天量的信息每天在產生，究竟起什麽作用？企業裏幾乎沒有人說得清楚。企業接觸信息的授權在絕大部分企業裏都是不精細的，信息系統由於很多看不見的東西，只要有人在裏面有機會打壹個補丁，帶來的後果不堪設想。有的補丁損失還有壹些，有的補丁帶來很大的(損失)。
上海有壹家法資超市，歐尚超市，裏面有個小夥子管計算機系統，每天營業結束關門以後，他把營業數據匯總統計送到法國總部，這註定了他每天下班都在其他人之後。有時候他肚子餓，他有壹天晚上肚子餓就走到超市拿面包，我在上班工作，拿壹個面包吃，數量萬壹和計算機的數字不對，要負責任的。(於是)他就吃壹個面包，打壹個補丁，弄完以後發現這壹招很簡單，肚子餓就到前面拿面包吃。千不該、萬不該，壹天有個裝卸工是他朋友，肚子餓不餓，要不要吃面包？妳隨便拿。妳怎麽有這個本事？我保證妳沒有問題。到底怎麽弄的？我老實告訴妳們，我在計算機打壹個補丁，誰也看不出來。那個人比他多壹個心眼，面包可以拿，那錢也可以拿啊！他說不對，錢我拿不到，錢都在收銀那裏。他說妳別管了，收銀員我搞定，計算機妳搞定，這個人就買通收銀員。他招募了20多名收銀員，計算機上做壹個補丁。(後來)法國總部發現這家分店每天營業額不如以前，好幾個人查也查不出來。後來有壹次法國來的人，非常偶然，撿起小票壹看就知道，打出去有壹個抵扣項，幾個月的時間(他們)拿了200多萬。超市是利很薄的行業，壹個店拿掉200多萬是非常大的數字。
計算機系統如果被人做手腳是非常危險的，但計算機系統用得好，有時候可以幫助妳控制，畢竟計算機是毫不留情的。我有壹個學生經營星巴克咖啡，他說有壹家店老是懷疑有問題，因為這家店的營業收入和消耗怎麽都對不起來，總覺得有問題。後來仔細分析發現，兩家店串通，我們賬上只進3杯，我給妳還是給5杯，最大的可能就是每次收銀機(打開)出來的時候，如果要做手腳停留的時間壹定比平時長。他就測算這家店每次超過多少秒的收銀行為出現的概率和其他分店是不是不壹樣？壹分析，明顯多，就知道這家公司肯定有問題，計算機告訴妳的不可能有假，專門在收銀機上偷偷裝了攝像頭，壹查就查出來了，所以電腦可以幫助妳把握風險，這是信息的質量問題。
五、監控。監控是到了最後壹關了，就像足球場上的守門員繞過妳進球了，所以所有公司領導壹定想辦法讓妳知道，妳承擔的是最後的責任。很多人沒意識到我這個責任有多大。企業領導最後做監控通常用什麽手段來做？簽名。但太多人簽名簽得太隨意。
我曾經在壹家大型企業做獨董，我就看不下去了，我說簽名簽得太隨意，我開董事會的時候要求董事會給我壹個授權，我這個要求太冠冕堂皇了，沒人有理由否定，董事會壹致同意給我這個授權。我拿著授權把風險控制的人召集起來，我說現在(我)得到董事會正式授權，允許我對監控做壹次檢查，現在妳們只聽我的，不聽任何其他人的，做什麽？替我把公司上上下下，從董事長、總經理開始所有人去年的簽名隨機抽查100個，列成表，要做的事情就是找到這個人說，妳去年幾月幾日在什麽東西上簽名，現在請妳告訴我當時簽名掌握了什麽證據？有什麽理由相信妳這個簽名是負責任的？十有八九被問的人壹頭霧水。我把所有調查下來的結果列成壹張表攤到董事會桌面上，我說這就是我們公司的簽名。我這樣做會對很多人以後簽名起到非常大的提醒作用。
我同時(還)要做壹件事，減少公司簽名的數量，特別是要杜絕幾個人***同簽名。幾個人***同簽名說起來是集體負責，其實是沒有人負責的。壹方面減少簽名，另壹方面做到每壹個簽名的人必須讓他明白妳承擔什麽責任。
簽名意味著三件事情。第壹件事情是妳掌握了簽名所需要的所有證據；第二，妳明白簽名以後可能產生的後果；第三，妳願意承擔簽名帶來的所有責任。所以壹個公司要建立文化，讓簽名的人知道簽名意味著三件事情，如果沒有想清楚這三件事情妳千萬不要簽，在這個立場上監控所起的作用。
企業現在大量工作實際上用中介在做，怎樣善於利用中介的力量幫助妳？比如審計師，審計師承擔法定的發表獨立審計意見的責任，但(這)並不妨礙妳請他們幫妳壹個忙。我到很多公司都會對審計師說，我知道妳法律上沒有這個責任，但就算妳幫我壹個忙。什麽忙？第壹，妳到下面去看，會看到很多不壹樣的地方，請妳幫我註意觀察壹下我下面的人在幹什麽？哪怕他們在聊八卦的事情請妳幫我聽壹聽下面的人關心什麽？有沒有問題？第二，請妳告訴我，我下面的人稱不稱職？妳們的工作做得好不好，這樣壹來好處是什麽？好處是審計費用壹分錢也不增加，但額外得到了壹些妳想要的信息。企業所有的中介服務，妳應該想方設法想壹想，能不能讓他多提供壹點有價值的服務？
內部控制最怕的是什麽？最怕的是制度形成、裝訂成冊，鎖進抽屜，從此無人問津，這是最可怕的。所以每個企業要保證制度做下去有後續的行為，這時很多公司想有壹套措施，保證制度的缺陷能夠得到及時的報告。所謂缺陷，壹種是設計缺陷，壹種是執行缺陷。有壹家大型的集團公司采用的辦法是每壹家分公司自己報，妳今年內部控制有幾個設計缺陷，然後叫總集團審計部去查，兩個數字分別報到董事長這裏。這是壹個非常大的羞辱，每壹個分公司幾年以後要報內部控制結果的時候都戰戰兢兢的。妳必須要有壹個辦法讓下面的人不敢掉以輕心。
網上調查很多企業內部控制執行最難的是什麽？絕對占第壹位是壹把手舞弊。這是中國特殊的問題。中航油在新加坡出事以後，當初我們想要壹點面子，是不是讓中國證監會調查？新加坡交易所斷然拒絕，說讓我們調查，不能讓中國調查，他調查以後形成壹個200多頁的調查報告，調查出來的第壹個結論讓所有人都大吃壹驚。第壹個結論是中航油的內部控制制度是世界壹流的，他專門花了幾百萬的錢請安永會計師事務所設計了壹套完整的內部控制(制度)，而且他知道中國人比較講情面、講關系，兩個關鍵崗位，壹個是風險控制官，壹個是操盤手，(這)兩個崗位專門找了老外來做，兩個澳大利亞老外，這樣不講情面。但是這麽好的壹套制度居然會出這麽大的壹個漏洞，接下來的結論非常簡單，這套制度管住了所有人，除了陳久霖。換句話說，再好的制度只要有壹個人可以置身制度之外，這個制度就是廢紙。好的制度涵蓋了所有人、所有的經營環節，這是壹個非常明顯的事實。銷售付款，銷售、采購這兩個在所有制造性企業裏都是最大的風險。銷售和采購正好是兩個階段，做采購的人在公司是孫子，在別人那裏是大爺；做銷售在公司裏是大爺，到別人那裏是孫子。潛在利益非常多，銷售的人說我稍微晚壹點付款行不行？最怕(的情況是)妳給他的工資明顯低，而那個人還是每天陽光燦爛上班，十有八九這裏面肯定有補償機制在裏面。
內部控制，如果妳的大老板不是非常積極的想做這件事，我勸妳千萬別去幹，因為這件事情沒有真正高層的決心和熱情，妳壹定做不下去。因為這件事情牽涉到兩件事情對他影響最大。第壹件事，利益格局；第二件事，成本。所謂利益格局是企業中間任何現行制度的改變，通常都會動到某些人的奶酪，妳都不知道奶酪在哪裏，妳無形之中會傷害壹些人的利益。比如采購制度的改變、供應商的選擇，特別是壹些公司推集中采購的時候，集團采購經常會碰到莫名其妙的障礙，這個障礙就是妳動了某些人的奶酪。
公司做內部控制最經常出現的現象(是)，公司老板推壹套新的控制制度，部門經理就會說，老總啊，我同意，我們公司真需要壹套新的控制制度，這套控制制度我從心底裏贊成，但恐怕今年業績完不成了，我個人覺得業績完不成沒關系，新的制度應該推。老板壹聽就急了，董事會承諾過。老總妳不講理啊，妳又要推制度，又要達到業績，這實在太難了，要麽這樣好不好？我知道業績承諾過、公告過，今年全力以赴先把業績做好，這個制度明年大家來推。這個話說完老板會說什麽？老板說看來也只有這樣了。明年還會不會推？十有八九提都不會有人提了。壹個新制度推下去，如果妳對阻力預先沒有足夠的估計，十有八九後果壹定慘重。
二是收益與成本。妳能夠防範的風險僅僅是壹種可能，但妳花下去的成本是壹個實實在在的數字，很多人講我花錢有沒有必要？因為妳說的風險怎麽從來沒有發生過？如果妳沒有思想準備就做不下去。
三是控制和效果。控制程序越多就越不爽、越不方便，節奏越慢。如果妳要高效率的，能不能做到？這個東西有時候就是非常微妙的，有時候壹個離奇古怪的念頭很可能證明是正確的念頭。恒大許家印當時投票(買足球隊)，結果只要壹票就夠了，許家印不管董事會其他人，做得風生水起。如果按照正常風險控制的程序，許家印這個足球(對)是無論如何不能買的，現在買下來對公司是正面還是負面的？看起來很可能是正面的。換句話說，風險控制如果嚴格按照程序未必讓妳做出最有利的決策，(它的)作用主要是避免危險決策，但不能幫妳形成最高效的決策。企業從根本而言是靠出好產品、好服務來掙錢的，不是靠好的風險控制掙錢的。所有企業的壹切行為必須為企業創造價值。風險控制如果不能帶來經營改善，不能帶來價值增加，所有控制(行為)都不應該存在。所以必須要有經營觀念在風險控制裏面。
做風險控制本質上講，是壹個非常讓人難受的工作。為什麽？風險控制(從)根本上來講，是壹個成本中心。成本中心是什麽呢？花的錢看得到，但真正產生的價值未必能看到。所以做這個行業的人非常苦惱的是風險控制要做到極致的是公司裏大大小小的事情，壹點事情都不出，但如果公司壹點事情都不出，公司就會問要這些人幹什麽？
我舉壹個例子。現在外面有H7N9，禽流感得了這個病壹定會死人，妳相信我，花500元買這顆藥，妳吃下去，壹年真的沒有得這個病，我現在問妳壹句話，妳會不會感激我？100％不會。因為妳壹年之後看，張三、李四、王五都沒有得病。這裏最大的問題是我們永遠沒辦法證明本來就不會得病還是吃了我這個藥不得病。如果企業沒有足夠的雅量，很多時候，在成本壓力大的時候，這方面會舍不得投入；(但)等到妳真正看出拿掉(風險控制)的作用，通常就太遲了。