对于中国企业来说，2009年是值得铭记的一年:中国经济经历了高速发展的“黄金六年”，遇到了经济周期的转折点。在与众多企业家交流的过程中，笔者深刻感受到，经济环境的变化确实给很多企业敲响了警钟:没有恒久不变的市场环境，任何企业都可能遇到来自宏观环境和微观环境的挑战。面对这些挑战，中国企业不仅缺乏勇气，而且缺乏克服困难的机制和能力。
从2004年CAO投资金融衍生品失败，到去年三鹿奶粉事件。近年来，中国企业的经营风险越来越暴露。企业内部控制越来越受到中国企业家的重视，也成为监管部门重要的管控手段之一。
一、内部控制制度建设会成为必然吗？
几年前，创业者遇到的最大困惑就是如何快速发展。“更快、更快”是众多企业面对各种成长诱惑的唯一可行选择。
增长需要速度和质量。如果企业战略能保证企业正确的发展方向，那么内部控制就能保证企业不在前进的道路上栽跟头。随着市场经济的发展，新的游戏规则正在建立，其中最重要的是对企业风险和内部控制的要求逐渐加强，企业日益复杂的市场竞争环境客观上要求企业及其决策者重视风险管理。
的确，中国在发展中需要解决经济结构优化的问题，但这种增长绝不能再是粗放无序的增长。无论是中国经济发展到这个特定阶段，还是中国企业发展到今天这个特定水平，他们都会更加注重增长所代表的质量。因此，可以说加强企业内部控制制度应运而生！
我们有理由关注内部控制制度建设会成为企业经营的奢侈品还是必需品。
事实上，很少有企业把内部控制制度作为自己的核心竞争力！即使是最早意识到这个问题的企业，也是由于极其偶然的原因:石油行业的人会清楚地记得，从2003年到2005年，中国石油行业一直处于一个多事之秋。最终对这个行业影响非常深远的有两件事:一是2003年重庆开县川东钻井公司“12.23”井喷事故，造成243人死亡；另一个是CAO新加坡公司投资金融衍生品的巨额亏损，最终造成了冉冉的一颗新星，CAO新加坡公司总裁陈九林突然倒下。后来在对此事的进一步分析中发现，最大的诱因是内部控制制度的建设和执行控制的缺失。这两件事看似大相径庭，却挑动了更多人的神经，促使他们深思:一个企业的内控制度会如何影响其生存和发展？因此，许多企业将管理创新的视角转向了内部控制制度的建设和完善。
也许一位企业经理的话可以作为企业管理核心竞争力的注脚:“我们公司是最早意识到内部控制制度建设重要性的企业之一。企业做大后，要及时从人治向法治转变，多方面同步升级，否则肯定会出现问题。相信以后其他企业也会遇到我们遇到的问题，我们今天所做的探索和在内部控制建设方面积累的经验，在以后也会逐渐被运用。或许内部控制制度建设领域在国内还很少见，但相信用不了多久，内部控制制度建设就会成为更多企业和企业家的选择。”
果不其然，2006年，我国发布了新会计准则，并修订了新公司法、证券法和物权法。均要求公司从公司治理结构层面的内部控制环境，到公司各级规章制度中的内部控制职能，进一步加强和完善内部控制职能，规范公司经营行为；2008年，财政部、中国证监会、审计署、中国银行业监督管理委员会、中国保险监督管理委员会联合发布《企业内部控制基本准则》，首次要求上市公司在2009年7月1日前建立内部控制制度；国有企业和其他类型的企业对内部控制的要求逐渐提高。
当内部控制制度建设正在成为上市公司、国有企业和民营企业的核心竞争力时，我们可以看到内部控制制度建设的春天正在到来。
CAO新加坡对衍生品的投资，以及最近的三鹿事件，都给中国企业家敲响了警钟。企业走得慢，会面临被竞争对手超越的问题，但如果不注重风险控制，可能会面临企业生存的问题。
内部控制制度建设正在从过去的可有可无向现在的不得不建转变。
第1页
二、内部控制建设“外因紧迫，内因是本”在谈及中国企业海外并购时，我曾提出一个观点:中国企业可以有选择地进行海外并购，但绝不能因为所谓人民币升值或企业低估而进行并购。就好像可以谈朋友结婚，但永远不必因为年纪大了就结婚。坦白说，我也很担心推动企业内部控制建设:会不会很多企业因为政府相关部门的大力推动，而忘记了推动内部控制建设的基本面，只注重满足一些合规要求，到头来却是浪费生命，得不到结果！
对此，我有一个给创业者的建议:企业可以应财政部等相关部门的要求，加紧内部控制建设，但绝不能“为建而建”。在内部控制建设中，“外因是当务之急”，但“内因是根本”。
真正应该重视企业风险管理，通过推进内部控制制度建设来完成核心竞争力建设的企业有三类。
首先，面临战略转型和产业转型的企业，客观上会增加其经营风险，对企业风险管理提出新的要求。一种情况是，经过一段时间的快速发展，很多企业积累了很多突出的矛盾和问题，需要在战略层面及时调整，才能化危为安；另一种情况是，企业所在的行业遇到了重大转折，供求关系的变化使得企业不得不积极应对才能生存；另一种情况是，企业正处于集团化转型的关键阶段，管控模式也面临较大变化。能否实现规模经济，将决定企业未来的发展。对于所有这些处于重大转型期的企业来说，战略风险需要特别关注，绝不能出错。因此，内部控制和风险管理是帮助企业渡过难关的诺亚方舟。
其次，是自身业务结构存在重大缺陷或资源能力存在重大劣势的企业。这些企业要么业务布局不合理，重要业务环节风险较大。要么是资源和能力严重不足，使得企业的可持续发展能力严重不足。如果这些企业不能专注于内部控制，当外部环境发生巨大变化时，这些缺陷和弊端将成为致命的毒药。
最后，深受经济周期影响的企业，要勤于修内功，磨刀不误。面对这场经济危机，不同的企业受到不同程度的影响。例如，出口导向型企业和融资受限型企业将受到危机更大的负面影响。这场危机对世界经济的影响是深远的，未来对一些行业的影响还会持续很长一段时间。因此，这些行业的企业必须放弃运气，先生存下来，然后才能发展得更好。
三、国内企业推进内部控制建设的“五大犯罪”
虽然有必要，但中国企业内部控制建设的意识和积累毕竟还很薄弱，说到推进内部控制，往往很让人摸不着头脑。首先，目前中国企业对风险管理和内部控制的理解比较简单，既可以理解为财务控制，也可以理解为审计手段。很多企业在业务风险暴露后才开始关注这个问题。
国内企业风险管理集中度存在五个问题:
一是风险管理意识薄弱。由于风险管理意识淡薄，企业片面追求发展速度，设定不切实际的目标或盲目扩大投资，使其承担不必要的风险。
二是公司治理结构存在缺陷。由于公司治理结构不规范，不能有效制衡管理层的强大权力，董事会没有或不能承担监督管理层的责任。
三是管控模式不合理。如果企业管控模式不合理，企业风险就无法得到有效控制。如果组织结构设计不合理，就无法建立有效的内部控制和相互制衡机制。
四是风险管理组织不健全。缺乏完整的风险管理组织，包括决策、管理和具体实施。内部审计仅限于财务报表审计和经济责任审计，缺乏对风险管理的检查和监督。
第五，风险管理体系不完善。缺乏一套完整系统的风险管理体系，识别影响企业合规性的风险，对其进行监控和管理。风险管理手段和内部控制程序没有融入管理和业务系统和流程。
因此，要做好内部控制，就要有正确的内部控制理念。企业对内部控制的重视程度和主动性决定了风险管理和内部控制的水平。其次，构建内部控制应采取的具体步骤和措施，包括内部控制组织的建设、公司层面内部控制风险的识别、过程风险的识别、控制活动和措施等。，从而形成一个体系。制定工作计划，扎实推进。
第2页
第四，推进企业内部控制建设的“四项基本原则”推进内部控制制度建设，企业必须始终贯彻四项基本原则:
一是要建立“战略导向”的内部控制制度。传统内部控制建设关注风险，战略导向内部控制建设关注战略导向与风险控制的平衡。
首先是战略上的“该做什么不该做什么？”对于企业来说，结合环境的动态业务规划可以帮助企业准确把握内部控制建设的核心环节；其次是战略实施的路径，通过明确企业未来3-5年采取的阶段性战略措施，对企业正确规划内部控制建设的节奏非常重要；再次，在内部环境方面，从运营能力、成长能力、无形资产和重要资源四个方面对企业竞争力进行分析和总结，有助于明确提升企业核心竞争力的方向。注重战略导向，就像为企业内部控制体系找到方向，塑造灵魂。
二是要明确重点，建立“核心导向”的内部控制制度。内部控制制度建设要严格按照财政部《基本准则》的要求进行，要围绕核心模块建设。
第三，必须建立“适度”的内部控制制度。内部控制制度的建设不应盲目求全责备，而应结合企业的实际情况。在不同的阶段，根据企业的资源和能力，做出阶段性的安排。力争把企业的内控能量用在最关键的地方。
第四，企业内部控制制度必须结合内部和外部因素来建立。内控体系建设是一个全新的市场，但不是一个全新的专业领域，但国内企业还缺乏相应的经验。因此，在第一次构建内部控制体系的过程中，企业要善于借力，充分发挥专业知识的优势，先学习，再完善，最终目标是形成自己的内部控制管理和持续优化能力。
四项基本原则既是企业推进内部控制建设的出发点，也是重要的指导思想和实践原则。
5.推进企业内部控制建设必须“求真务实”
自从中央企业和上市公司开始要求强制加强内部控制逐步在更大范围内扩大以来，内部控制制度建设正在成为一个大市场。笔者从2006年财政部起草《企业内部控制基本准则》开始关注内部控制的经验积累和方法论形成。从中央企业，到美国上市公司，再到中国上市公司内部控制制度建设的实践，形成了对内部控制建设的系统思考。我认为，企业最好分四个阶段推进内部控制。
第一阶段是确定企业的战略。目前，中国大多数企业尚未建立内部控制制度。通过对企业战略的梳理，包括集团管控的识别、业务特点和经营环境，可以明确企业战略对内部控制体系建设的要求。根据企业的战略，了解企业内部控制的特点和风险集中在哪些领域。然后进行有针对性的规划，确定内部控制体系建设的重点。
第二阶段是在企业战略目标的指导下设计公司级内部控制，重点是控制环境建设、风险识别、控制活动、信息与沟通、监督等五个方面对内部控制的具体要求。例如，在COSO框架的控制环境要素中，关键关注点包括道德、企业文化、人力资源等。这些内容属于整个企业环境，所以我们把它们放在一个模块中来构建。通过对风险的识别，发现上述方面存在的问题，并通过对公司内部控制管理的测试，全面解决这些问题。
第三阶段是流程层面和IT层面的内部控制体系建设，这是内部控制的重点和难点。将战略梳理确定的关键风险领域归纳为流程图，描述现有流程，发现这些流程中的风险点、现有控制措施和控制不足，从而制定内部控制措施和风险控制目标。对于IT(信息系统)来说，主要关注的是一般的控制缺陷，比如安全缺陷、硬件管理缺陷等等。通过构建流程级和IT级的内部控制体系，形成企业的风险控制矩阵，系统地发现风险，制定相应的控制措施。
前三个阶段主要针对公司内部控制的设计缺陷，如公司缺乏战略，或缺乏流程，或流程和风险不当，通过上述流程解决。然而，我们发现许多企业面临的风险并不是由设计缺陷引起的。它有规则和程序，但没有严格执行。因此，需要第四阶段。主要有两个任务:一是生成一套内部控制体系文件，包括控制环境等子模块，并在此基础上形成持续优化机制。二是对上述公司级内部控制、流程级内部控制、IT级内部控制进行了文件化测试，通过测试发现了操作性缺陷，并根据内部控制建设的基本要求提出了整改意见。不仅流程，制度、组织、文化、管理都要系统改进。通过一两次测试，弥补内控体系运行的缺陷。你可以让企业的内部控制变得真实。
第一阶段通过战略明确内部控制的要求，第二、三阶段是内部控制建设的核心。通过公司层面、流程层面和IT层面的内部控制，识别和改进公司的内部控制风险。最后，通过第四个模块，即内部控制测试和体系文件的生成，形成对公司内部控制建设的指导体系，同时对运行缺陷进行适当整改，使企业内部控制建设达到更高水平。
6.推进企业内部控制建设是一场“中长跑”
内部控制起源于美国，我国《企业内部控制基本准则》确立的原则也参考了COSO的内部控制框架。美国公司在内部控制方面的建设和操作重点对中国公司具有一定的指导意义。但绝不能生搬硬套，中国公司关注的重点要在建设过程中体现出来。公司在风险管理过程中应根据自身特点和行业特点选择不同的侧重点。此外，内部控制是一个持续的过程，企业必须学会持续优化内部控制体系，每年对内部控制建设进行适当、科学的评估。
在构建企业内部控制体系的过程中，提升企业内部控制管理文化是企业内部控制管理的基础，是内部控制有效实施的保障。
企业必须尽快树立内部控制管理理念；制定和实施高级管理人员职业道德；制定并实施员工职业道德和行为准则；建立畅通的向上信息沟通渠道；通过绩效管理等方法鼓励正确的行为和态度；加强内部控制建设的培训和沟通。
有了内部控制文化的牵引，有了内部控制组织的保障，企业在推进内部控制制度建设的道路上才能事半功倍。
我最想对创业者说的一句话是什么？即:“中国企业推进内部控制制度建设是一个‘中长线’，千万不能占便宜！要明确内部控制制度是保证公司整体业绩的重要环节和基本手段。企业推进内部控制建设，要求真务实，脚踏实地一步一个脚印往前走”。
对于中国企业来说，2009年是值得铭记的一年:中国经济经历了高速发展的“黄金六年”，遇到了经济周期的转折点。在与众多企业家交流的过程中，笔者深刻感受到，经济环境的变化确实给很多企业敲响了警钟:没有恒久不变的市场环境，任何企业都可能遇到来自宏观环境和微观环境的挑战。面对这些挑战，中国企业不仅缺乏勇气，而且缺乏克服困难的机制和能力。
从2004年CAO投资金融衍生品失败，到去年三鹿奶粉事件。近年来，中国企业的经营风险越来越暴露。企业内部控制越来越受到中国企业家的重视，也成为监管部门重要的管控手段之一。
一、内部控制制度建设会成为必然吗？
几年前，创业者遇到的最大困惑就是如何快速发展。“更快、更快”是众多企业面对各种成长诱惑的唯一可行选择。
增长需要速度和质量。如果企业战略能保证企业正确的发展方向，那么内部控制就能保证企业不在前进的道路上栽跟头。随着市场经济的发展，新的游戏规则正在建立，其中最重要的是对企业风险和内部控制的要求逐渐加强，企业日益复杂的市场竞争环境客观上要求企业及其决策者重视风险管理。
的确，中国在发展中需要解决经济结构优化的问题，但这种增长绝不能再是粗放无序的增长。无论是中国经济发展到这个特定阶段，还是中国企业发展到今天这个特定水平，他们都会更加注重增长所代表的质量。因此，可以说加强企业内部控制制度应运而生！
我们有理由关注内部控制制度建设会成为企业经营的奢侈品还是必需品。
事实上，很少有企业把内部控制制度作为自己的核心竞争力！即使是最早意识到这个问题的企业，也是由于极其偶然的原因:石油行业的人会清楚地记得，从2003年到2005年，中国石油行业一直处于一个多事之秋。最终对这个行业影响非常深远的有两件事:一是2003年重庆开县川东钻井公司“12.23”井喷事故，造成243人死亡；另一个是CAO新加坡公司投资金融衍生品的巨额亏损，最终造成了冉冉的一颗新星，CAO新加坡公司总裁陈九林突然倒下。后来在对此事的进一步分析中发现，最大的诱因是内部控制制度的建设和执行控制的缺失。这两件事看似大相径庭，却挑动了更多人的神经，促使他们深思:一个企业的内控制度会如何影响其生存和发展？因此，许多企业将管理创新的视角转向了内部控制制度的建设和完善。
也许一位企业经理的话可以作为企业管理核心竞争力的注脚:“我们公司是最早意识到内部控制制度建设重要性的企业之一。企业做大后，要及时从人治向法治转变，多方面同步升级，否则肯定会出现问题。相信以后其他企业也会遇到我们遇到的问题，我们今天所做的探索和在内部控制建设方面积累的经验，在以后也会逐渐被运用。或许内部控制制度建设领域在国内还很少见，但相信用不了多久，内部控制制度建设就会成为更多企业和企业家的选择。”
果不其然，2006年，我国发布了新会计准则，并修订了新公司法、证券法和物权法。均要求公司从公司治理结构层面的内部控制环境，到公司各级规章制度中的内部控制职能，进一步加强和完善内部控制职能，规范公司经营行为；2008年，财政部、中国证监会、审计署、中国银行业监督管理委员会、中国保险监督管理委员会联合发布《企业内部控制基本准则》，首次要求上市公司在2009年7月1日前建立内部控制制度；国有企业和其他类型的企业对内部控制的要求逐渐提高。
当内部控制制度建设正在成为上市公司、国有企业和民营企业的核心竞争力时，我们可以看到内部控制制度建设的春天正在到来。
CAO新加坡对衍生品的投资，以及最近的三鹿事件，都给中国企业家敲响了警钟。企业走得慢，会面临被竞争对手超越的问题，但如果不注重风险控制，可能会面临企业生存的问题。
内部控制制度建设正在从过去的可有可无向现在的不得不建转变。
第1页
二、内部控制建设“外因紧迫，内因是本”在谈及中国企业海外并购时，我曾提出一个观点:中国企业可以有选择地进行海外并购，但绝不能因为所谓人民币升值或企业低估而进行并购。就好像可以谈朋友结婚，但永远不必因为年纪大了就结婚。坦白说，我也很担心推动企业内部控制建设:会不会很多企业因为政府相关部门的大力推动，而忘记了推动内部控制建设的基本面，只注重满足一些合规要求，到头来却是浪费生命，得不到结果！
对此，我有一个给创业者的建议:企业可以应财政部等相关部门的要求，加紧内部控制建设，但绝不能“为建而建”。在内部控制建设中，“外因是当务之急”，但“内因是根本”。
真正应该重视企业风险管理，通过推进内部控制制度建设来完成核心竞争力建设的企业有三类。
首先，面临战略转型和产业转型的企业，客观上会增加其经营风险，对企业风险管理提出新的要求。一种情况是，经过一段时间的快速发展，很多企业积累了很多突出的矛盾和问题，需要在战略层面及时调整，才能化危为安；另一种情况是，企业所在的行业遇到了重大转折，供求关系的变化使得企业不得不积极应对才能生存；另一种情况是，企业正处于集团化转型的关键阶段，管控模式也面临较大变化。能否实现规模经济，将决定企业未来的发展。对于所有这些处于重大转型期的企业来说，战略风险需要特别关注，绝不能出错。因此，内部控制和风险管理是帮助企业渡过难关的诺亚方舟。
其次，是自身业务结构存在重大缺陷或资源能力存在重大劣势的企业。这些企业要么业务布局不合理，重要业务环节风险较大。要么是资源和能力严重不足，使得企业的可持续发展能力严重不足。如果这些企业不能专注于内部控制，当外部环境发生巨大变化时，这些缺陷和弊端将成为致命的毒药。
最后，深受经济周期影响的企业，要勤于修内功，磨刀不误。面对这场经济危机，不同的企业受到不同程度的影响。例如，出口导向型企业和融资受限型企业将受到危机更大的负面影响。这场危机对世界经济的影响是深远的，未来对一些行业的影响还会持续很长一段时间。因此，这些行业的企业必须放弃运气，先生存下来，然后才能发展得更好。
三、国内企业推进内部控制建设的“五大犯罪”
虽然有必要，但中国企业内部控制建设的意识和积累毕竟还很薄弱，说到推进内部控制，往往很让人摸不着头脑。首先，目前中国企业对风险管理和内部控制的理解比较简单，既可以理解为财务控制，也可以理解为审计手段。很多企业在业务风险暴露后才开始关注这个问题。
国内企业风险管理集中度存在五个问题:
一是风险管理意识薄弱。由于风险管理意识淡薄，企业片面追求发展速度，设定不切实际的目标或盲目扩大投资，使其承担不必要的风险。
二是公司治理结构存在缺陷。由于公司治理结构不规范，不能有效制衡管理层的强大权力，董事会没有或不能承担监督管理层的责任。
三是管控模式不合理。如果企业管控模式不合理，企业风险就无法得到有效控制。如果组织结构设计不合理，就无法建立有效的内部控制和相互制衡机制。
四是风险管理组织不健全。缺乏完整的风险管理组织，包括决策、管理和具体实施。内部审计仅限于财务报表审计和经济责任审计，缺乏对风险管理的检查和监督。
第五，风险管理体系不完善。缺乏一套完整系统的风险管理体系，识别影响企业合规性的风险，对其进行监控和管理。风险管理手段和内部控制程序没有融入管理和业务系统和流程。
因此，要做好内部控制，就要有正确的内部控制理念。企业对内部控制的重视程度和主动性决定了风险管理和内部控制的水平。其次，构建内部控制应采取的具体步骤和措施，包括内部控制组织的建设、公司层面内部控制风险的识别、过程风险的识别、控制活动和措施等。，从而形成一个体系。制定工作计划，扎实推进。
第2页
第四，推进企业内部控制建设的“四项基本原则”推进内部控制制度建设，企业必须始终贯彻四项基本原则:
一是要建立“战略导向”的内部控制制度。传统内部控制建设关注风险，战略导向内部控制建设关注战略导向与风险控制的平衡。
首先是战略上的“该做什么不该做什么？”对于企业来说，结合环境的动态业务规划可以帮助企业准确把握内部控制建设的核心环节；其次是战略实施的路径，通过明确企业未来3-5年采取的阶段性战略措施，对企业正确规划内部控制建设的节奏非常重要；再次，在内部环境方面，从运营能力、成长能力、无形资产和重要资源四个方面对企业竞争力进行分析和总结，有助于明确提升企业核心竞争力的方向。注重战略导向，就像为企业内部控制体系找到方向，塑造灵魂。
二是要明确重点，建立“核心导向”的内部控制制度。内部控制制度建设要严格按照财政部《基本准则》的要求进行，要围绕核心模块建设。
第三，必须建立“适度”的内部控制制度。内部控制制度的建设不应盲目求全责备，而应结合企业的实际情况。在不同的阶段，根据企业的资源和能力，做出阶段性的安排。力争把企业的内控能量用在最关键的地方。
第四，企业内部控制制度必须结合内部和外部因素来建立。内控体系建设是一个全新的市场，但不是一个全新的专业领域，但国内企业还缺乏相应的经验。因此，在第一次构建内部控制体系的过程中，企业要善于借力，充分发挥专业知识的优势，先学习，再完善，最终目标是形成自己的内部控制管理和持续优化能力。
四项基本原则既是企业推进内部控制建设的出发点，也是重要的指导思想和实践原则。
5.推进企业内部控制建设必须“求真务实”
自从中央企业和上市公司开始要求强制加强内部控制逐步在更大范围内扩大以来，内部控制制度建设正在成为一个大市场。笔者从2006年财政部起草《企业内部控制基本准则》开始关注内部控制的经验积累和方法论形成。从中央企业，到美国上市公司，再到中国上市公司内部控制制度建设的实践，形成了对内部控制建设的系统思考。我认为，企业最好分四个阶段推进内部控制。
第一阶段是确定企业的战略。目前，中国大多数企业尚未建立内部控制制度。通过对企业战略的梳理，包括集团管控的识别、业务特点和经营环境，可以明确企业战略对内部控制体系建设的要求。根据企业的战略，了解企业内部控制的特点和风险集中在哪些领域。然后进行有针对性的规划，确定内部控制体系建设的重点。
第二阶段是在企业战略目标的指导下设计公司级内部控制，重点是控制环境建设、风险识别、控制活动、信息与沟通、监督等五个方面对内部控制的具体要求。例如，在COSO框架的控制环境要素中，关键关注点包括道德、企业文化、人力资源等。这些内容属于整个企业环境，所以我们把它们放在一个模块中来构建。通过对风险的识别，发现上述方面存在的问题，并通过对公司内部控制管理的测试，全面解决这些问题。
第三阶段是流程层面和IT层面的内部控制体系建设，这是内部控制的重点和难点。将战略梳理确定的关键风险领域归纳为流程图，描述现有流程，发现这些流程中的风险点、现有控制措施和控制不足，从而制定内部控制措施和风险控制目标。对于IT(信息系统)来说，主要关注的是一般的控制缺陷，比如安全缺陷、硬件管理缺陷等等。通过构建流程级和IT级的内部控制体系，形成企业的风险控制矩阵，系统地发现风险，制定相应的控制措施。
前三个阶段主要针对公司内部控制的设计缺陷，如公司缺乏战略，或缺乏流程，或流程和风险不当，通过上述流程解决。然而，我们发现许多企业面临的风险并不是由设计缺陷引起的。它有规则和程序，但没有严格执行。因此，需要第四阶段。主要有两个任务:一是生成一套内部控制体系文件，包括控制环境等子模块，并在此基础上形成持续优化机制。二是对上述公司级内部控制、流程级内部控制、IT级内部控制进行了文件化测试，通过测试发现了操作性缺陷，并根据内部控制建设的基本要求提出了整改意见。不仅流程，制度、组织、文化、管理都要系统改进。通过一两次测试，弥补内控体系运行的缺陷。你可以让企业的内部控制变得真实。
第一阶段通过战略明确内部控制的要求，第二、三阶段是内部控制建设的核心。通过公司层面、流程层面和IT层面的内部控制，识别和改进公司的内部控制风险。最后，通过第四个模块，即内部控制测试和体系文件的生成，形成对公司内部控制建设的指导体系，同时对运行缺陷进行适当整改，使企业内部控制建设达到更高水平。
6.推进企业内部控制建设是一场“中长跑”
内部控制起源于美国，我国《企业内部控制基本准则》确立的原则也参考了COSO的内部控制框架。美国公司在内部控制方面的建设和操作重点对中国公司具有一定的指导意义。但绝不能生搬硬套，中国公司关注的重点要在建设过程中体现出来。公司在风险管理过程中应根据自身特点和行业特点选择不同的侧重点。此外，内部控制是一个持续的过程，企业必须学会持续优化内部控制体系，每年对内部控制建设进行适当、科学的评估。
在构建企业内部控制体系的过程中，提升企业内部控制管理文化是企业内部控制管理的基础，是内部控制有效实施的保障。
企业必须尽快树立内部控制管理理念；制定和实施高级管理人员职业道德；制定并实施员工职业道德和行为准则；建立畅通的向上信息沟通渠道；通过绩效管理等方法鼓励正确的行为和态度；加强内部控制建设的培训和沟通。
有了内部控制文化的牵引，有了内部控制组织的保障，企业在推进内部控制制度建设的道路上才能事半功倍。
我最想对创业者说的一句话是什么？即:“中国企业推进内部控制制度建设是一个‘中长线’，千万不能占便宜！要明确内部控制制度是保证公司整体业绩的重要环节和基本手段。企业推进内部控制建设，要求真务实，脚踏实地一步一个脚印往前走”。
