写作本文的原由是我与一个小企业的老板聊天，跟他说我做内控的，如果他的企业有内控方面的问题，我可以帮忙看看。他问我什么是内控？
我一直以为内控挺抽象的，可能大部分人说不清楚内控是什么，但这个词总是听过的，可能跟企业管理相关。
翻开经济管理的书籍，各种政府部门行业监管机构等颁布的政策制度，“加强内控”，“提高内控管理水平”之类的语句都说烂了。但内控这个词竟然还未被广大的小企业管理者知悉（未做大量调查，可能以偏概全
），看来内控管理对企业的益处还不够显著。很多家长从来不打电子游戏，说不清楚电子游戏到底玩的是什么，但不影响他们对电子游戏深恶痛绝。如果内控的正面作用像电子游戏的负面作用一样广为人知，那么内控人员的春天到了
。
因此今天我想写的浅显点，目的是让不知道内控的人了解内控及其作用。我将简单聊聊以下几个问题：
1. 什么是内控系统
2. 内控能起什么作用，不能解决什么问题
3. 什么样的企业需要内控管理
本文较长，将分两篇发布，第一篇先聊第1个问题。
内控系统，COSO*和中国《企业内部控制规范》给出的定义比较权威。
COSO的定义：内部控制是一个过程，受企业董事会、管理层及其他人员影响，旨在合理保证企业实现与运营、报告和合规相关的目标。
内部控制有五个组成部分：内控环境、风险评估、控制活动、信息与沟通，监督。
这个定义比较学术，我试着简单介绍，不求严谨和全面，只希望讲的基本正确容易理解。
内控系统是企业为实现其目标而实施的一个管理体系，包含很多内容，比如：
1. 企业的各项制度和流程，这是最直观和具体的内控组成部分
制度很好理解，主要是指企业颁布的成文的规则（名称可能是XX规定、流程、政策和章程等，这些都属于制度）。企业可能还有一些不成文的规定，比如研发人员每天加班到9点下班。
流程是指为完成某项工作任务或某个目标而设定的一系列步骤和活动。流程可以是以制度的形式正式颁布（效力强），也可能是在上级要求或执行人自发操作下慢慢形成的惯例，没有成文。
2. 内控系统依赖人，以下与人相关的内容是内控系统的基础
企业老板（高管）塑造企业道德价值观，并努力在企业推行和强化，如果企业员工认可和主动贯彻企业的道德价值观，则企业管理的工作会轻松很多。
企业员工多，需要有一个组织架构并规范各级人员的权利和责任，如果架构不清晰，人员（尤其是部门负责人和团队主管）的权责不清晰，则制度和流程实施不流畅。
企业需建立员工绩效考核、激励和奖惩机制，以避免大锅饭，更大程度的激发员工的工作干劲。企业除了用人，吸引、培养和留用胜任人才也很关键。不同的行业和性质，不同发展阶段的企业，对人才的政策是不同的。企业需要建立并调整人才政策，让胜任的人才为企业所用。
3. 内控系统中存在很多信息，信息完整和沟通顺畅是内控系统的必要支撑
这里所说的信息包含2大类：1）内控系统自身的信息，指上述的制度、流程，组织架构、绩效考核和人力资源政策等；2）内控系统获取和生成的信息，指企业日常经营过程中按流程和制度等要求收集的信息和生成的表单、报表等信息。
信息很关键，但是信息的沟通也很重要。信息沟通指信息的传导，通常是双向的，信息有来有往，得到及时信息反馈。
内控系统自身的信息必须自上而下传达给所有有需要的人员，否则会损害内控系统的有效性。想象一下，公司请了外部顾问设计了一个有效的流程，但是流程的相关信息没有传递给所有流程参与人。同时，关于内控系统的反馈信息也需要自下而上传达给管理层。
内控系统生成的信息，除了在企业内部之间传递外，还有企业外部到内部（比如获取供应商和客户信息，新的行业监管政策等），企业内部到外部（比如向监管机构报送信息）。
企业需尽力促使沟通渠道顺畅，沟通效率高，还要确保信息安全，敏感和重要信息不得透露给不必要的人员。
4. 监督是内控系统的自我更新和优化
提到监督，可能大部分人都会想到专职的内部审计或者内控管理，其实还有主管监督。中小企业没有内审或内控人员，对于他们来说主管监督是实现内控优化的非常重要的途径。主管监督是指主管在日常复核或审查时，发现偏差和差异，查找原因，并因此调整和修改流程，使此类问题不再出现或者能及时被发现以采取后续的纠正或中止措施。这里的主管是指各级管理者。
主管监督有效的前提条件，一是主管有能力发现问题并采取纠正措施，不能发现一个问题解决一个问题，而是着眼于加强内控，解决此类问题；二是主管有权限调整内控流程。如果企业的内控流程更新非常麻烦，无论大小调整都需要报管理层审批，修订书面流程制度后颁布，主管没有权限，我估计大部分的主管不愿自找麻烦。
关于内控系统的补充：
1）上面4部分内容分别对应内控系统的4个组成部分，分别是控制活动、控制基础、信息与沟通和监督，内控还有1个组成部分是风险评估，主要是用于内控系统的建设和评估。中小企业设立内控系统时，多是经验积累和吸取行业最佳实践等，主动用风险评估的不多。本文对风险评估不展开说。
2）内控系统的组成部分是互相影响的。主管监督有效性的2个前提条件跟人才政策都相关，分别是主管胜任和主管拥有适当权限，这其实属于内控环境。
3）内控系统有时简称为内控，但“内控”一词还可能指内控管理或者内控管理人员。内控管理，是指专职的内控人员为了监督和加强内控系统所开展的工作，包括内控的宣传和培训；对内控有效性的评估及提出整改建议；监督和督促（推进）整改措施的实施等。我在前文已经讨论过了，可参见内控和内审的区别（一）
4）不能将内控系统等同于制度和流程，内控建设也不是编写制度，这忽略了人对内控系统的作用。设计有效的内控，如果执行人的能力或责任心不足，可能导致内控失效；有控制漏洞的内控，能力强的执行人或主管可以覆盖控制漏洞。
举个例子
小公司人员少，不相容职位不能分离，行政人事部专员计算考勤和工资，经理复核工资表，经理发现某员工考勤时间比其他人高，再查发现专员故意多算工资。经理的能力强，可以控制并降低不相容职位未分离的风险。
注：
COSO是一个专门研究内控、风险管理和防范舞弊等的组织，由由五个私营组织共同发起，包括美国会计协会（AAA）、美国注册会计师协会（AICPA）、国际财务执行官协会（FEI）、 管理会计师协会（IMA）和内部审计师协会（IIA）。