企業內控基本規范的落地

　　【魯百年】∶對任何企業來講，每個法律法規的出臺，都會有好的一面，也會有不好的一面。因為事情都是一分為二的。中國最基本的企業內部控制的基本規范實際上是從去年開始進行的，今年的7月1日做要實施，這個法規對中國而言，影響是非常大的。為什么會有這些法規，最早的是美國的企業在內控方面出了問題，才導致了美國出臺了《薩班斯》法案。我們知道《薩班斯》法案，實際上就是五個大的層次，最基本的是內部環境，這是基礎，內部環境包括什么呢，包括最基本的組織結構，我們的架構、流程、規范、職能、職責，還有跨部門之間的溝通，這些都是內容的環節。第二個是風險的評估，就是說在我們的企業存在哪些風險，它影響的程度對企業有多大，現在很多國內的企業，特別是金融危機之前，采取的都是沖鋒陷陣搶灘式的發展模式，對風險的監控相對來說弱了一些。由于安然事件的出現，使美國出臺了《薩班斯》法案。

　　在中國，為了進行全球化，我們才推出了這個新的規范出來，在這個規范里面，我剛才說了風險評估每一個企業都值得去做，但怎么去做呢?是企業我自己去做嗎，任何一個企業能不能自己做呢?如果你問一個企業可以不可以自己去做，我說可以，但是存在一個問題，很多的企業想做風險評估，但因為他自己在里面待習慣了，就沒有辦法認識到企業實際中存在很多的風險了。我經常開玩笑說，我們在座的有幾個人能告訴我說，你最親近的人，包括你的父母親，您的孩子，或者男朋友，女朋友，眼珠是什么顏色的?我相信80%的人都不知道，因為你習慣了和他待在一起，就會認為應該是黑色的、灰色的吧。但到底是什么顏色你并不知道。所以說，習慣了就不認為是風險。要對企業的風險評估，這個法規出現是最基本的規范，最基本的第二條，第三條就是一旦發現了風險了，我們就要控制，用什么活動控制風險，發現了什么風險，到底是運營風險還是市場風險，是信用風險還是其他的風險;這些風險怎樣控制它等。

我們說控制風險一定是一個過程，評估往往是有一個結果，我一直講企業績效管理。實際上這是兩個方面，績效和風險成正比，績效越高，風險越高。整個企業的績效提升了，一定要做好過程，它代表的不僅僅是績效，不僅僅是一個結果管理。但在我們國家，更多的企業考慮的不是績效管理過程，而幾乎是結果的績效考核，實際上忘掉了很重要的過程。我經常講的是一張照片，這張照片里是男的女的大肚子，看起來一模一樣，看到問一下，他們的區別在哪兒?我們知道，女的肚子大，可以生小孩，男的肚子大但生不出小孩，而且他長的過程一樣，但是反倒出問題，那就是說過程和結果都要考慮，所以在這里面，績效評估，風險的評估這是一個結果，但是要想把風險控制了，讓績效提升，這是一個過程的管理，要想做到過程的管理要實施的監控的風險，什么風險超標。

 

首先要知道企業風險有哪些，風險怎么定義的，公式怎么來的，比如說在銀行行業，我們經常說信用風險。現在首先問一下什么叫信用風險，信用風險的公式是什么?它是與客戶的背景信息有關還是與交易行為有關?當然它和這兩個方面都有關，那么這兩個各占的比重有多大。現在一些銀行里面，很多的信用風險都有幾種分類，比如說，只要是博士可以得5分，如果我是教授，也可以得5分，信用是按照背景給打分的，分越高你的信用額度就越高。但假定我的工作丟了，我的信譽度還是5萬、10萬，這就是很可怕的事情。因此一定要做很多過程控制。通過過程控制可以知道雖然現在你好，但是過了一段時間，工作丟了，你的信譽度馬上就會降低。如果再過一段時間我的還款能力差了，還款還得不好這叫行為分析。因此，所有的信息都要分析風險的定義，有了風險的定義公式之外，緊接著就要門檻值了。比如，我的風險有多大，超過了多大，可能會出問題;再比如上下游門檻值，只要超過門檻值就要預警，這樣可以做到過程管理。所以說，風險管理的一個重要的識別風險的過程。

 

第二個是控制風險，就像剛才我說最基本的像信用風險等任何風險，除了背景信息以外，還有行為信息。比如電信行業里面，一個人什么時候打過電話，打了什么電話，打了多長時間，給哪個地方打的，所有的信息都要記錄，不記錄的話，怎么做到信用跟蹤，怎么信用評估，還有一個要強調的是企業里面的跨部門風險。每一個部門都認為自己做的很多，很多的風險就產生了踢皮球現象。像這樣的事情怎么解決呢，后面我會給大家介紹解決方案。信息與溝通是第四大要素，第五大要素是我們的內部監督。我們知道最基本的風險識別、風險定義、風險監控，發現了風險怎么監控，實施最后有一個監督機構，要把風險時時地監督起來，所以說，風險這些東西，就是這五大要素在規范。這些東西到底給企業帶來多少影響呢?我認為，最主要的影響是任何一個東西都要兩個方面來看：一個是好的方面，一個是差的方面。我想強調一個阿P精神，什么是阿P精神呢，阿P精神比Q精神，強一步，阿Q是總讓別人高興，自己不滿意，阿P精神是雙贏，一定要讓別人滿意，自己高興，保持積極向上的心態，對任何一個企業來說，首先要以積極向上的心態來來看法規的正面影響是什么。從正面來說，首先對整個大型企業或者是上市公司最大的影響是什么?現在這個規范的出臺，很多人馬上要想到，我后面一定要重視風險，如果不重視風險可能摘牌，如果出現了風險可能是公司倒閉，所以企業的每一個人，包括它的CFO甚至還有CRO。CRO(Chief Risk Officer),就是公司的公司的首席風險官，很多的企業沒有這個職務，但這是一個非常重要的職務。現在這個規范的出臺，就會促使很多公司配套出現一個CRO。CRO要關心什么呢?我們說這個法規出臺以后會有一個體制，有一個制度，一定要風險管理起來，所以從整個態度來講，是對整個企業的風險管理的一個提升，所以我說這是最好的一個影響。現在對整個企業的內控來說，企業內部管控原來相對來說比較弱，由于這個法規的出臺，現在企業內部管控不得不走向正規化。對每個企業來說，有了規范的怎么去做管控，如何靠近規范。但這個規范我們知道又和美國的《薩班斯》法案不一樣，是把它很重要的部分更本地化一些，那就是說，既適合于中國的國情，還要走向國際，跟國際接軌。所以從這方面來講相對來說，每一個企業，在風險監控上，有一些組織結構的變化。組織結構會重視這個方面。

 

第三個我們說，從意識形態整個來講，大家的意識越來越高，而且有有了組織結構，現在的企業要加強風險的監控，怎么去做它，會有具體落到實處，每一個企業會說具體改怎么去做，所以這也是對企業正面的影響。還有一個，對整個企業的法律法規的任何也會加大，這個法律法規的這次我們說，整個的規范出臺，相對來說對我們所有人的法律意識會大大地提高，所有的人一定要熏遵循法律的意識，而且要一定走向國際化，這些對企業帶來好的因素。但是它也會帶來一些深入的問題，我們的規范出來非常不錯，但是這個規范，雖然也同時出了《細則指南》西，但是具體的在企業里面的實施，操作怎么做，具體怎么落實，我們還沒有沒看到更具體的，所以導致所有的企業想做強，但到底怎么做不知道。還有一個，做內控也好，做整個的規范管理也好，一定不是一個企業自己做的，一定是要有這方面的權威的咨詢公司、專家介入這些事情。現在問一下中國這方面的專家有幾個呢?有一些人說有，幾大咨詢公司都可以干這些事情。沒錯，咨詢公司在國際上干得不錯，但是他們在中國做過多少?相對來說，他們的人才儲備又有多少? 不得不說，中國這個法規出臺的整個過程，從推出來到現在也就1年多的時間，具體操作實施的還沒有多少企業，大家對它的理解多少，研究了多少。所以說，經驗、最佳實踐，對企業來講，也是最頭痛的地方。這方面來說，公司的治理方面、組織結構、職能職責、流程規范等到底怎么做，風險的定義該怎么定義，規范怎么做，多大的門檻好，多大的門檻不好，因為我們說風險絕對不可能消滅掉，找著一個適合我們運營的風險，到底運營的風險多大，企業能承受得了，誰能告訴我一個，確切的數字，我相信幾乎沒有。這對我們的風險監管也是一個頭疼的地方，下面還有一個說，整個在風險的監控的過程中，企業的內部還需要更多的人才進來。現在企業有沒有這么多的人才，如果沒有，一個企業要培養這樣的人才就要成本，原來的企業只是沖鋒陷陣向前跑，現在企業跑的人越來越少，知道要往前跑，還有法律法規受到限制，很多的企業可能不習慣，一旦不習慣，可能就會認為，怎么這么多的事情，怎么這么麻煩啊，所以對很多一些企業來說要有一個過程，下面說成本。

 

整個組織結構的變化，流程的變化，法律法規的規范，所有這些出臺了，會增加企業的成本，對一個企業來說，影響可能會好的有差的，都會看到一些影響。

 

【記者】∶企業內容的控制規范的實施，給企業帶來很多的要求，您認為，企業在進行法規遵從和風險管理的時候，如何運用信息化的手段，更好地開展這個工作呢?您對企業有什么建議?

 

【魯百年】∶任何一個企業的風險管理都在關心風險管理，到底怎么去做它呢，當時我們說了從ERP做起，那么信息用信息系統，怎么幫助企業去做，剛才我們講了，風險最頭痛的是跨部門的風險，跨部門的溝通，那么在整個信息化建設的過程中，實際上我們看一下，企業我們假定拋開風險。

 

信息化建設一般分三個層次，第一個是核心業務系統，最基本的是核心業務系統，上面是管理信息系統，再到頂層的叫做決策支持系統，這幾個系統里面，首先核心業務系統，比如說在制造業里面，有很多的生產系統就是核心業務系統，在銀行里面，叫core banking 核心銀行系統，電信里的計費系統，網管系統，都是核心業務系統，這些系統要時時的把數據記錄起來，第二個層次是管理信息系統。管理信息系統包括企業的上游、中游，下游。對上游來講我們知道的，最基本的來說，是供應鏈的關系，中游是ERP，下游是CRM，關系管理分了不同的層次，這幾個不同的層次，管理著不同的東西，在頂上叫決策支持系統，決策支持系統，分兩大塊，一個叫績效管理叫EPM，是現在非常火的一個概念，非常火。還有一個GRC，就是公司的治理風險管理和合規，這是最主要的兩大塊內容。這兩大塊里面，整個的信息管理到底怎么去做呢，現在很多說由ERP里面，企業的績效管理里面，肯定要關心風險，首先的企業的戰略目標是什么，怎么制訂企業的戰略目標，拍腦袋嗎?不是，企業的戰略目標一定要有規范，首先要做企業的五力分析法呢，要關心公司行業的競爭，要關心競爭對手之間，有哪些的競爭，要關心我的客戶，要關心還有我們的供應商，還要關心哪些企業是可能會隨即進入?還有我們的有沒有替代產品，會不會替代掉，這些都是我們的企業要關心的問題，還有企業的戰略地圖，企業的平衡計分法，都要企業去做的，從企業的戰略規范里面，肯定依靠的是績效的戰略規劃，一個是風險的戰略規劃，所以一個很關鍵的KPI，這個大家都知道，關鍵績效指標。

 

實際上在建立關鍵績效指標的同時，還要建立另外一套指標，KRI就是關鍵風險指標。有了關鍵的風險指標以后，然后說風險指標的公式怎么定義，這個定義的門檻是多少，這個都是企業要去做的，如果企業沒有一套很好的信息系統，很難把這做成，企業的戰略規劃是企業做風險管理的最基本的戰略層，因為風險歸戰略層，歸運營組合，歸操作層。有三個層次的風險戰略層次的風險是企業的占目標企業的整合方面，怎么去做它，企業的戰略目標以后，企業的投資該怎么投資也就是它的商務模型，企業怎么投資，使企業的賺錢組多效益最大，這一定要做一個分析。一般來說，怎么來說怎么去做模擬，去做根本很難模擬調，我現在增加一部分投資，有多少人力，多少物力，多長的時間，采用給我發生什么樣的效益最優化的值是多少，一定要工作去做它，沒有的話很難做到。有了商務的模型以后，要做預算和規劃，整體的預算和規劃到底怎么做。沒有預算沒有目標，沒有目標怎么去實現它的，這個目標又做預算，做預算的時候，我們分三大大塊，第一個是事先做預算的編制，預算的監控，最后做預算的評估，首先是預算的編制，如果是現在的很多企業，沒有一個IT工具，用各excel來做，我記得七八年前，我也在一個公司里面做預算非常頭疼，費了很大的勁做了一套預算，老板給了一個任務根本完不成，不能跟老板說完不成，說一定能完成，想要完成個目標，我去年有多少資源，今年的資源太少了，怎么辦呢，人太少的時候，增加人吧，增加人就頭疼了，增加人，成本增加成本高，怎么辦給你業務再降低一點。

 

因為預算是討價還價的過程，這樣的做，excel怎么該?增加一個人，工資增加了，福利待遇增加了，然后他買了電腦，值就發生了變化，excel改不了，如果沒有很好的工序的話，怎么做預算編制都很難，就算預算編制做完了，到了季度末，老板說，你沒有完成任務吧，我說命名完成了，老板說沒有，最后看完的結果怎么樣，老板男出的預算是老版本，不是最后的版本，老板說，弄錯了，找完了老板問，誰給我定了這個，為什么要改?不知道，現在能不能有一個很好的預算工具，就會企業，把企業的最基本的預算編制好，誰改了什么東西，什么時候改的，如果有一套工具，可以解決太多了問題了，高預算做完了還不夠，很多的企業，就做了預算，一年用了只有四次，每一個季度用一次，后面都沒有用，為什么?他把預算的結構，導不到ERP里面，沒有辦法操作，如果預算我做一個ABB就基于活動的預算，機遇擇業的運算，我就找到這個部門，你這個部門要增加一個人，增加一臺電腦，原來預算是18000。想提交，提交不了，你做到過程控制，做不到過程控制我怎么做成本?所以我也看到很多的人講，砍掉成本，我看講的好預算100萬高不高，高了砍掉50萬，這個成本不是看出來的，是有效控制出來的，他們要有效控制，企業的風險要去做監控，怎么去控制成本，因為我賺錢賺不上，是我可以，控制的，外部的效益是外部的，怎么把成本控制做，一定要做過程監控，過程監控，哪個過程成本可能會節約，能節約的機會多大，怎么節約，會不影響員工的積極性，就會做到ABC，作業成本法，怎么樣能解決這個問題呢，有沒有工具解決呢，假定沒有呢，預算很難做，要按照產品，做預算，按照地域做預算，按行業，做預算，成本要分攤，怎么分攤，沒有一個，工具做不到這些東西，企業要風險經營的話，預算一定要監控，監控在哪監控，ERP，ERP監控最基本的問題是，預算的結果，能不能導到ERP是最基本的一個問題，現在的很多企業，做預算，作完預算結果，導不到ERP系統，導ERP才可做到監控，預算也不是100%的準確，預算做不對了，就一定要做，發現有差異有分析，什么原因出了問題，哪個地方做的好，哪個地方做不好，怎么調整，這些是什么，最后調整完，我要一個，合并報表，我們要合并在一起，整個按照行業，地域，然后我們整個的成本，是不是會有一個，循環控制的抵消等等，這些都要控制的，都是從這些的成本，我們可以調整企業。這是一個閉環，每一個企業都會有信息化，如果沒有信息化的建設，很多的企業，就會現在把帳記平，都很控制，很多的企業，尤其是大的企業，信息化真的可以幫助企業解決很多風險監控的問題，流程的問題，過程的問題，還有優化的問題都可以做到。