有没有内控与公司是否存为管理风险完全是两回事。没有内控，公司运营可以做到安然无事；内控设计极尽缜密，公司管理也可能失控。如果想让公司内控真正发挥作用，应重点关注三个层面的问题：

一、设计层面：有没有

公司管理的关键控制点有没有制度流程加以规范，这是内控要优先解决的问题。没有制度设计，等于做事无法可依，把经营管理建立在个人的职业操守与道德良心上是不可持续的，也是危险的。

我以前任职的公司有个案例：

公司采购部长基于特定目的，他自行垄断了价值较高的原材料，他的理由是交给下面的人办不放心。

一次这位采购部长出差了，手机联系不上。这时生产车间急需某项原材料，可仓库断货了。这种原材料平时由采购部长负责，其他采购人员没有供应商信息。最后总经理亲自与供应商总经理联系，商讨采购事宜，供应商总经理给出了最新报价信息。

采购人员到财务部请款时我发现该原材料此次报价只有平时的?，当时我的第一感觉是降价了。我向总经理提出可以加大该原材料的采购量，备一部分货，总经理同意了我的意见。

随即总经理向供应商总经理确认降价原因，供应商总经理表示从未降价过。这时总经理和我都预感到此中有猫腻。

总经理指示，凡由这位采购部长经手采购的材料都要挑出来重新询价。这一较真，问题曝光了，这位采购部长亲自操办的采购其价格几乎都是市面价的三倍。说到这，个中缘由相信谁都能判断清楚了。

总经理就此事问我有何解决办法，我提出了三点建议：第一，采购与询价分开，采购人员不管询价，询价人员不管采购；第二，所有的询价要货比三家，询价信息要公开；第三，采购人员与询价人员要定期轮换，不能长期负责同一供应商。

这个案例我想说明一个道理，设计规则等于框定路径，至少可以保证不偏离大的方向，有总胜于无。

二、执行层面：细不细

设计制度时要考虑执行环节所有可能的场景，要在制度中一一加以明确。如果话语模糊，每个规定就可能存在多样性解读，执行人一定会选择对自己最有利的解读行事。

某公司规定，资金支出单笔超过10万元的需报经董事会审批。这项规定看似具体，实际执行中却被架空了。公司总经理为了规避董事会审批，他授意对大额付款进行分拆，譬如把15万付款分为8万与7万两次付出。

这一现象后被董事会知晓，公司《资金支出管理办法》做了补充规定，同一经济事项付款累加超过10万元的，也需报经董事会审批。

内控在执行层面应尽量做到约定明细，流程接地气，让每种可能都有约定，让每项条文都无歧义。

三、考核层面：用不用

中石化的内控制度大概可以作教科书使用。我曾在北京国家会计学院听过中石化的一个处长讲过内控课，中石化的内控制度文本严谨、周密、完整，看得出中石化人为之费了不少心思。估计不少人会质疑：内控设计得这么好，怎么出了陈同海呢？

再好的内控设计如果没有被认真对待不过是一纸空文，把制度用起来才是关键。

还有一个问题需要注意，内控是明确纪律的，最终要落实到奖惩上。我看过某企业集团的制度汇编，每项制度对可为和不可为的情形规定得很清楚，但有一个问题，制度没有闭环，制度中没有约定归口管理部门，没有规定如何检查制度的落实与执行，自然就更不会有惩处的字样了。