从中钢危机看内控与内审的关系

有个童靴强烈反对内控和内审放在一个部门做，理由是要保持内审的独立性，不能既当运动员、也当裁判员。

关于内审和内控的话题，讨论了许多，但是缺少一个系统性的思维。内审和内控似乎是一对纠缠到死的恋人，清官也难以搞清楚其中的脉络。

但是我觉得，要看清内控和内审的关系，也不是没有办法。我们可以利用金字塔思维模式，去把这个命题切、切、切！切到一定的程度，自然能看出点什么来。

二者是什么关系

一般说来2个概念之间的关系可以有独立关系（互不干扰）、包含关系、交叉关系三种。

很显然，要保持内审的独立性，应该说的是双方是一种独立关系。如果我们把内审和内控看做部门级别的概念，那么各自独立，到底是哪些内容独立。很幸运的是，上市公司有个5独立原则，这也是证监会高管们用金字塔思维得到的分类。他们是：资产独立、业务独立、人员独立、机构独立和财务独立，也叫“五分开”。

由于内审和内控仅仅是部门级别，也没神马资产，所以去掉资产独立，我估计4个独立就差不多了。其中，人员独立、机构独立、财务独立都仅是浮云。关键是业务独立！业务独立才算真正的隔绝开。

从业务层面独立

所以我们还需要对审计和内控的业务利用金字塔思维进一步细分。看看到底能不能从业务层面给独立开！

众所周知，要做好一项工作，要体现所谓PDCA循环。要有完美的内控，同样可以形成PDCA循环。而且，内控工作(其实任何工作都是)的每一步流程，都会有以下角色，就是发起执行者，配合者，决策协调者，见下图。

有了这样一张二维思考图，关于内控和内审的讨论焦点就可以比较具体了。我们可以看到有问号的地方就是争议点。

PDCA

发起

参与配合

决策

内控制度制定P

内控部

审计部？

总经理

内控制度执行D

？？

？？

总经理

内控制度检查C

内审部

内控部？

总经理

内控制度反馈A

内审部？

内控部？

总经理

第一，在内控制度制定的环节，审计部需要不需要参加？

第二，内控制度执行，究竟哪个部门负责？

第三，内审在做内控制度检查的时候，需要不需要内控部配合？

第四，内控制度反馈，是由内审部主动发起要告诉内控部，还是内控部主动要求内审部提供？（这也许是最难以理清的环节）

针对这4个问题做讨论，就能彻底看清内控和内审的逻辑关系，从而决定内审和内控的部门究竟该怎么设置，工作职责该如何分配。

按照一般的组织结构、职能咨询项目，企业内控方面提出以上几个问题后，咨询公司就会把这些问题交给客户自己解答，然后根据客户自己的想法，就可以整理归纳出内控部和内审部的各自分工。

如果这个项目是比较专业的内控咨询，很显然，我们还需要对内控具体工作内容做个深入分析，才有可能回答以上问题。

我心中的COSO

我看到很多内控项目，都是不动脑筋，找个COSO抄一下下，实在没有味道。在上一小段，其实我已经推导出了二维矩阵，其中一个维度是内控的大流程，即PDCA循环。第二个维度是内控工作涉及的部门。在本节里，我索性再增加一个内控内容维度，形成一个三维立体的矩阵。这可是我自己琢磨推导的矩阵！而非COSO。

内控内容，按照一般分法，可以分为操作风险、道德风险、信用风险等等。我觉得这种分类方法并不怎么样，不怎么符合金字塔思维里的独立穷尽原则（也可以参考麦肯锡公司提出的MECE原则）。因为某些道德风险实际上会带来操作风险，不道德的高管可以故意做出错误决策，导致信用风险。

所以，按照我的想法，风险可以先分为两种，一种是可以衡量的风险，另外一种是难以衡量的风险。这种分类有个最重要的好处，符合可测量原则。可测量才可以管理，不可测量则无法管理，这是管理哲学中常见的一种底层思想。

比如，操作中的失误可以带来多大的风险、或者这种风险发生的可能性有多大，这完全可以测量出来。而一个市场决策如果不正确，会带来什么后果，这太复杂难测。所以从审计部门来说，关注那些可测量风险是有益的。而不可测风险只能从软性手段，譬如道德建设、薪酬政策等方面去改善。

所以，本人编制了一个小COSO立方体请大家批评指正。

关心汽车的朋友都知道，我们国家的自主汽车可以分为民营汽车制造和国营汽车制造。国营汽车公司有个最大的优势，就是它们在和外资汽车合资的过程中，掌握了一些表面上能看到的技巧。比如，用什么设备、车间怎么布置。

但是，知道了这些技巧，就能造出好车了吗？古语云，知其然而不知其所以然。这些背后的造车理念、管理哲学，外国人是不会告诉中方管理者的。所以中国的国营大厂只能采用模仿的方式（逆向开发）开发所谓自主汽车。把老的车型拿过来，换个壳子，换个自主牌子继续卖！20多年来，国营汽车大厂没有任何的具有真正自主知识产权的车型问世。

反观民营汽车制造业，他们一开始就是草根，无人合资。所以，他们一开始就是买个国外车型，拆开研究（也是逆向开发），然后模仿制造。靠着模仿赚取了第一桶金。但是，随后这些民营企业中的优秀者已经不再满足于模仿，而是琢磨着自己生产一些核心部件，掌握真正的核心机密，免得小命总是掐在外国人手里（即正向开发）。

我们欣喜的看到，民营企业自己研发出了发动机、变速箱，性能指标相当不错。外形也不再模仿外国汽车，走出了一条自己的道路。从这个意义上看，民营企业的前途肯定将好于国营企业。

在风险内控方面，COSO，COBIT，BASELII等都是外国人制造好的成品。我们可以去抄，也可以借鉴。但是COSO形成的背后逻辑、哲学，却没有那么容易破解。所以我自己试图用自己能够理解的逻辑、哲学建立起自己能够完全理解的个性化“COSO”。那么即使我不在目前的企业做，换个单位，也能够以自己脑海里的风险框架马上搭建一个新COSO。这才是有挑战的事情。

谈谈中钢危机

从内控角度谈谈中钢如果加强内控，有没有可能避免危机。我觉得单纯谈内控建设，不结合中钢实际业务，显得无力。所以我们还是先把中钢的业务给弄明白，才能知道它的危机究竟是什么个玩意。

中钢原来是国资委下面有钢铁类国际贸易权的一个并不算大的公司。在上个世纪，拥有这种权利的企业可谓少之又少。

百度一下就发现以下文字“早在上个世纪80年代，中钢集团就积极响应国家“利用两种资源、面向两个市场”的号召，迈出海外资源开发的坚实步伐，建立起了安全、稳定、可靠的资源供应体系。”

随着国家基础建设的火爆，中钢发现自已手里的钢铁原材料非常走俏，国内大量兴起的小钢厂简直就是求爹爹告奶奶的想办法从自己这弄点铁矿砂以满足疯狂的钢材订单。中钢的老总这时候就算是头猪，也能发现新的商业模式在朝他招手。一方面我手里有几乎垄断的铁矿砂进口权，另一方面国内钢铁价格又持续走高，供不应求。我何不两头通吃。

它和那些小钢铁厂达成协议，我供应给你原材料，但是你的产品必须地板价给我，由我独家包销。这样，众多的小钢铁厂就失去了市场上的独立性，成了它的雇员。它一方面，在原材料方面有国家给予的天然垄断权，能卖个高价。另一方面，它手里有大量的“雇员”给它生产，他统一卖出去也有较强的价格博弈能力。

这就是所谓的中钢模式。是一个典型的借助垄断权力欺凌产业链中小企业。

中钢一方面靠自己收购了一些小舢板，国家再无偿划拨了一些小舢板，用缆绳串起，就号称航母，成为了世界500强。

作为一个集团型的企业，最怕的是神马？就是下面的子公司是一群乌合之众。好比非洲的利比亚，各个部落为了各自的利益每天都吵吵，结果整个国家一团乱麻，别想搞建设了。

看看中钢的这些子公司，有些搞房地产的，有些搞科技研究的，有些搞钢厂设备的，有些搞投资的，互相都算有点业务关系，但又形不成必然的产业链。所以，这些子公司如果硬要统和起来，这里面的博弈关系将复杂庞大到用超级计算机都算不清楚的地步。说实话，我真的很佩服这些掌管国资委领导们的智商。楞是拼凑出这史上最复杂的怪物企业。

所以在这种结构下，我想就是把国家审计署统统给中钢作为其审计部，也完全没有办法起到所谓内控的作用。因为先天结构就是无序的，而且我相信没有任何一个人的脑力能够想清楚各个子公司之间、子公司和集团之间的管控逻辑究竟是如何的。

小舢板们各怀鬼胎的前行一段路后，暴风雨来了。这时候，有些舢板朝东用力，有些朝西用力，最后缆绳崩断，乱作一团。我的预测是，最终肯定会有不少的舢板沉入海底，元气大伤。但是有国资委出手挽救，不至于全军覆没，但是挽救过程也会惊险无比，期间会上演各种壮士断腕、锒铛入狱各种大戏。

回过头来看看，中钢最大的风险，其实就在于它是一个国有企业，不得不听官员的话。官员不是其股东，所以不用真正对其负责。官员为了政绩，为了多造出一个世界500强，可以肆意命令企业做些违背市场规律的事情，这又是我们做内控审计人员所能干预得了的吗？

所以最大的风险控制点，就在于企业是否有真正的股东为决策负责，烧别人的钱自然不心疼。而其他一切内控手段，都不过是浮云。