关于内部控制，新三板挂牌公司容易忽略的三点

内控不是加审批节点，而是让不相容的岗位分开坐。如果换成一个要签字复核的人，他看的东西和你做的顺序正好相反。先把范围划出来：新三板挂牌公司年收入约6,400万元、140人，下面这套判断的适用边界大致就在这个体量。

一、换个角度看这件事

同一件事，企业内部看到的是成本，外部看到的是风险，监管看到的是证据。三种视角的关切点完全不同。

企业视角：这件事划不划算。管理者关心的是投入多少、影响多大、能不能分期。绘制业务流程图并标注控制点。在这个视角下是成本项。

复核视角，看的是证据。采购、验收、付款由同一人负责。这种做法，在企业内部可能被解释为「效率」，在复核者眼里则是缺口。

监管视角，看的是实质。企业内部控制应涵盖内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素。形式上的文件齐全，替代不了对业务实质的说明。

财务体系的建设顺序通常是：先把账做准，再把分析做深，最后才是数字化。

二、判断错了，后面全错

实务中最常见的错误，是把一个定性问题当成计算问题来处理。

判断一，定性。企业内部控制应涵盖内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素。定性一旦确定，后面所有的路径都被锁死了，反悔的成本很高。

判断二，范围。控制活动包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制。背景上还有一个事实：募集资金使用与披露不一致。这类情形在不在范围内，靠的不是直觉，而是对业务实质的描述。

判断三，例外。企业应建立风险评估机制，识别与实现控制目标相关的内部风险与外部风险，并确定风险承受度。例外是给特定情形留的口子，不是给所有情形留的余地。

三个判断做完，管理报表和法定报表服务的目的不同，强行统一只会让两边都不好用。

三、六项自查，两项必查

自查的关键不是项目多，而是每一项都能被第三方验证。

带★的两项是必查项。第一项决定「做不做」，第五项决定「能不能证明做了」——后者在检查时权重更高。

自查做完，新三板挂牌公司通常会发现缺口集中在证据而不是判断上。这其实是好消息：补证据比改判断便宜得多。

四、别在这些地方省事

风险不是均匀分布的，它集中在几个特定的动作上。

三处的共性是同一个：都不是知识问题，而是执行时省了一步。不相容职务一般包括：授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检查、授权批准与监督检查。这一步省掉，前面做得再规范也会被追问。

如果只能改一处，改第一处——它通常是最早发生、也最容易补救的那个环节。

五、这些数字是怎么来的

这类判断最好先算一遍，因为直觉和实际往往差一个量级。

把同样的口径套到不同规模的企业上，结果差异会很明显——这也是不能照搬别人方案的原因。

一旦被认定，缺陷损失下限约68.9万元，缺陷损失上限可达551.3万元，加上整改，合计敞口约758.0万元。一个可以核对的事实是：年报审计为常规审计。这一项之所以年年被提，背景正在这里。

六、留一个可执行的结尾

回到最初的问题：内部控制对新三板挂牌公司到底意味着什么。答案是三句话。

第一，规则是确定的。企业内部控制应涵盖内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素。这一条不会因为企业大小、行业差异而改变，能改变的只有企业自己的做法。

第二，成本是前置的。绘制业务流程图并标注控制点。这件事做得越早，后面的空间越大；拖到申报前或检查前，能选的余地就很小了。

第三，证据决定结果。每年做一次不相容岗位分离检查。复核时不看解释，只看能不能对上。

另一处需要一并考虑的变量是「关联交易未履行审议程序」。把这一层考虑进去，前面三句话的落点会更具体。

复核者要的从来不是解释，而是证据链闭合。