商业保理公司的内控评价：从判断到留痕

缺陷的严重程度不取决于金额，而取决于它是否会让人看不到真相。先想清楚会被怎么查，做的时候就知道该留什么。先把范围划出来：商业保理公司年收入约3,200万元、26人，下面这套判断的适用边界大致就在这个体量。

一、从审核方看，关注点不同

视角决定了问题的提法，提法决定了答案的方向。

企业视角，看的是投入产出。商业保理公司年营业收入约3,200万元、26人，为供应链上下游提供应收账款保理，以有追索权为主。在这样的经营压力下，内控评价很容易被当成「先放一放」的事。

复核视角，看的是证据。评价范围排除重要子公司，结论失真。这种做法，在企业内部可能被解释为「效率」，在复核者眼里则是缺口。

监管视角，看的是实质。内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。形式上的文件齐全，替代不了对业务实质的说明。

三个视角里，企业最容易忽略的是第三个。原因不难理解：前两个视角每天都要面对，第三个只在特定时点出现。

二、判断顺序不能颠倒

内控评价的处理顺序不能颠倒：先定性，再定范围，最后才谈金额。颠倒过来，算得越细错得越远。

判断一：这件事在规则里叫什么。内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。名称决定适用哪一套规则，而不同的规则在税率、期限、资料要求上完全不同。

判断二：落在谁的范围内。注册会计师应对财务报告内部控制的有效性发表审计意见，发现重大缺陷的应出具否定意见。对商业保理公司来说，这一条要看的是具体业务形态，而不是企业整体规模或行业标签。

判断三，例外。缺陷认定应考虑潜在错报的金额与可能性，并结合定性因素，如是否涉及管理层舞弊、是否影响持续经营。例外是给特定情形留的口子，不是给所有情形留的余地。

如果三个判断里有一个答不上来，先别动手。补这个答案的成本，远低于事后解释的成本。

三、按这张表核对

六个检查点，两个必查——这两项不过，其余的意义有限。

带★的两项是必查项。第一项决定「做不做」，第五项决定「能不能证明做了」——后者在检查时权重更高。

财务体系缺一环，其他环节的效率都会被拖下来。

四、数字不会说谎，但会误导

先给结论：商业保理公司在这一项上的敞口不算小。下面是推算过程。

推算用的是3,200万元的收入与34%的毛利率，两个数都来自商业保理公司的账面，没有做美化。

几个指标里，偏离最明显的内控覆盖率与门槛相差-19.3个百分点，折算影响约248.0万元。这个结果的含义是：现金流预测失真，资金缺口往往在最不该出现的时候暴露。

五、隐患通常藏在细节里

内控评价出问题的地方高度集中，反复出现的就那么几处。

三处问题看起来互不相干，背后其实是同一条约束：重大缺陷是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。少了这条约束，表里每一项都只能靠人记。

管理报表的口径说明要随报表一起分发，否则各人理解不同。按这个思路自查，三处里有几处能过，基本就知道自己的位置了。

六、收口：三句话

回到最初的问题：内控评价对商业保理公司到底意味着什么。答案是三句话。

第一，规则是确定的。内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。这一条不会因为企业大小、行业差异而改变，能改变的只有企业自己的做法。

第二，越早越便宜。建立缺陷整改台账，逐项跟踪至关闭。晚做的代价不是多花钱，而是少了很多可选的方案。

第三，能证明才算做到。制定缺陷认定标准并经理层批准。没有这一层，前面两条都只是判断。

值得留意的是，有追索权保理的终止确认判断。把这一层考虑进去，前面三句话的落点会更具体。

经得起复核的方案，通常也是最省事的方案。结论写给做决定的人，动作留给执行的人，两者不要混在一份文件里。