上篇文章《企業為什么建立內控體系，這是最硬核的理由》發表后，大家都關注實施落地問題 ，本文就圍繞建立內控管理體系，談落地的十個步驟。

一、召開實施內控建設啟動大會，領導重視是關鍵，上下動員，全員參與

1、內控的管理責任。《企業內部控制基本規范》規定，公司董事會對企業內控的建立實施負責；經理班子對內控的日常運營管理負責；監事會對內控體系建立、實施進行監督；董事會審計委員會負責審核內控自我評價報告。

2、領導重視是關鍵。由此可以看出，董事會對內控建立負總責，強調領導一定要高度重視這項工作，只有領導重視，才能給予內控建立上人力、物力、財力投入上的支持，并在實施上做到政令暢通，令行禁止，保證內控的順利推進。常見的誤區，領導都認為：內控都是虛的，賺錢才是實在的。胡亂應付一下，滿足上市的需要就好。即使做了內控體系，也是寫的和做的是兩張皮。殊不知，這樣的錯誤認知，都會導致內控的方向偏差，最終影響實效性。內控的目的，是為了實現戰略目標，降低風險，采取的一系列自我約束、規范、控制、評價、改進的手段和措施的總稱，隨著企業規模壯大和發展速度加快，企業更要重視做好內控，因為風險加大，需要強有力的內控來降低風險，促進目標的實現，同時，來保證財務報告的真實、準確、完整。

3、內控啟動會講什么。啟動會一般內容：

（1）講企業的發展戰略和近期目標

（2）企業為什么要做內控；

（3）企業建立內控的計劃；

（4）宣布建立內控管理的領導機構和責任，明確內控管理的分管領導、歸口部門、各單位的兼職內控管理員，便于協調推進；

（5）建立監督和獎懲機制。

二、組織內控知識培訓，了解內控體系及目標和任務

聘請專業人士或中介機構對干部員工進行內控基本知識培訓，主要將內控的發展史、為什么做內控、內控的概念、目標、框架體系和實施的核心邏輯、步驟以及內控自我評價、監督改進、外部審計。

三、調研了解現狀，查找內控存在的問題和薄弱環節

1、調研的目的。通過了解現狀，找出問題和薄弱環節，目的是為了抓住內控改進的牛鼻子，做到有針對性，減少盲目，注重實效性。

2、調研的方式。主要有：

（1）穿行測試。依照《內部控制基本規范》《內部控制配套指引》《內部控制評價指引》等對相關業務流程進行測試，發現缺陷集中的環節和流程。

（2）對高層、中層及部分核心員工的訪談；

（3）對公司生產工藝流程、組織運行情況進行梳理，找出問題癥結，并進行項目內部分析；

（4）公司現有運營、管理資料的分析整理，判斷符合性、有效性。

3、調研情況匯報。

（1）調研報告格式。現狀分析、存在問題及建議、改進計劃、預期成果等。

（2）匯報對象。要求企業的董事長、總經理等高管要參加會議，聽取匯報，對存在的問題進行確認，明確改進計劃，確認預期成果能否滿足要求。

四、優化組織架構，清晰權責

組織架構是企業經營活動的承載者，也是流程控制活動的實施者，要求組織架構的形式適應生產經營活動和內控的要求。

1、組織架構的適宜性。一是組織形式與發展階段、規模、產品服務情況相匹配，如選擇職能制、事業部制、矩陣制等；二是部門和崗位的設計既要滿足價值鏈和業務流程運營的需要，也要滿足內控的需要；如生產單元與成品庫分設、采購決策與執行崗位的不相容、會計與出納的分設等要滿足內控的要求，考慮團隊成熟度、管理層級等因素設計部門和崗位，體現簡單、高效、控制有效。

2、權責義務的清晰性。在確定組織架構的基礎上，明確職能部門的職責、確定崗位定員，形成崗位說明書，尤其要明確部門、崗位在內控體系中承擔的職責，在此基礎上，結合業務流程，形成每個崗位的權責清單。

這些內容的完成是梳理內控體系，編制體系文件的基礎，這部分內控構成了內控管理體系框架中內部控制環境的重要內容 。

五、圍繞關鍵目標，評估風險，依托流程實施控制活動

在明確組織架構和職責的基礎上，實施控制活動是構建內控體系中最關鍵的一步。內控框架由內控環境、風險評估、控制活動、信息溝通、監督等五部分組成。

在編寫體系文件之前，要結合上述的調研報告中識別的存在問題和薄弱環節，圍繞關鍵目標、核心流程，識別風險點，采取有效的內控措施進行控制。

1、確定目標。

圍繞戰略和公司存在的問題，結合公司發展戰略和年度目標，梳理業務流程的目標，只有目標清晰了，才能解決為什么做內控的問題，使內控管理成為有本之木、有源之水。

2、識別風險。

從內控的框架體系中，我們看到要進行風險評估，通過風險識別、風險分析，找出風險點和問題所在，進而采取控制措施，降低和消除風險，評估的目的是內控要解決是什么問題，做到有的放矢，有針對性，而不是本本主義，依托《企業內部控制應用指引》，眉毛胡子一把抓，不能突出重點，無法保證企業內控的實效性。

3、實施內控。

在識別風險的基礎上，就要采取措施進行控制。

（1）梳理流程。內控措施是要嵌入流程中的，所以要先梳理流程，實施流程再造。流程的梳理也要關注：

一是梳理業務流程。即研發、采購、生產、銷售、售后等關鍵業務流程，流程鏈條列出之后，要評估流程的合理性，風險點在哪里？存在的問題是否找準了。

二是梳理管理流程。即按照計劃-執行-檢查-改進的思路，梳理業務流程，依托這個流程設計控制活動，分配部門職責和權限清單，這樣構成一個PDCA循環，實現螺旋上升，持續改進。

（2）內控措施。在流程再造的基礎上，采取內控措施，降低風險，消除風險才是目的。控制的手段分為線上和線下形式，線上控制主要依托信息化進行控制。控制方式上依據風險的不同，采取多樣化控制方式，如不相容控制、審核、審批、比對、序號控制、函證等。

六、組織內控體系文件編寫，中介機構做好指導

1、內控管理體系文件的結構。一般情況下，企業規模大、產品多的企業內控管理體系文件的架構為：

（1）《內部控制手冊》，主要對《企業內部控制應用指引》編寫，解決內部職責劃分、流程梳理、風險點識別和內控措施等問題。一般結構有：總則、業務流程、控制矩陣、權限指引或清單等。

（2）《內部控制管理制度》，主要是對《內部控制手冊》的細化，《內部控制管理制度》是從實際操作層面進行的詳細描述。

（3）《內部控制評價手冊》，主要由總責、職責分工、制定評價方案、組織實施評價、內部缺陷認定程序、內部控制缺陷報告、附則等構成。

各個企業可以依據自己的實際情況，將上述內容進行合并、刪減，做到簡單、實效。

2、文件編寫注意事項。

（1）合規性、符合性。對照內部控制基本規范，編寫體系文件結構相同，邏輯符合內控框架，有五個部分組成，強調規定動作。

（2）兼顧超前性。內控手冊、制度匯編中的發展戰略規劃、企業文化管理、全面預算管理、信息化管理等高起點進行設計。

（3）實操性。對業務流程設計規劃，既考慮兼顧合規，又考慮效率，體現操作使用。根據財務梳理結果，在銷售業務中，增加發貨調換貨流程，避免成本核算出現差錯。結合實際，企業沒有外包業務，刪減了業務外包流程等。

（4）簡潔性。如有的企業將文檔管理及印章管理合并，強調簡單實效。

七、內控體系文件評審會簽，定稿下發

歸口管理單位組織與流程實施有關的部門，討論制度落實的可落地性，對于不切合實際的，可以調整修改，做到流程簡單，鏈條最短。

在實際操作中，執行單位會因為感覺執行麻煩，要求提供表單資料多，要求刪減流程，或變通執行流程，如公開招標環節，會因為招標周期長、程序復雜，會要求降低招標限額，或更換招標方式，采用詢價比價方式替代，這時就要堅持原則，不折不扣執行好制度。

會簽的過程，是一個討論爭吵的過程，堅持民主集中制原則，既要聽取意見，也要堅持內控的必要原則。通過會簽，做到意見的相對統一，定稿下發執行。

八、內控體系文件培訓，貫徹執行

公司層面組織好《內部控制手冊》的培訓，講清楚職責權限，清晰控制實施的程序。

各單位組織好《內部控制管理制度》的培訓，關注相關控制文檔、表單的填寫，做好落地前的準備工作。

九、監督評價，完善改進

內部控制評價工作嚴格遵循基本規范、評價指引及公司內部控制評價辦法規定的程序執行，監督部門編制審核計劃——領導審批——組成審核組——編制檢查表——實施審核——匯總認定缺陷——編制報告等。

審核單位的安排，遵循穿行測試的順序，按照從前到后的邏輯，安排審核單位，便于發現審核缺陷。被審核單位、審核人員落實不相容要求。審核內容建議編制更加詳細的檢查表，內容主要依據內控手冊和評價手冊的相關內容確定。

評價過程中，一般采用（個別訪談、調查問題、專題討論、穿行測試、實地查驗、抽樣和比較分析）等適當方法，廣泛收集公司內部控制設計和運行是否有效的證據，如實填寫評價工作底稿，分析、識別內部控制缺陷〔說明評價方法的適當性及證據的充分性〕。

評價關注的重點，九大業務層面的內控測試內容（采購業務、工資與人事、生產與倉儲、銷售與收款、籌資與投資、固定資產管理、在建工程管理、研究與開發管理、貨幣資金管理、信息系統管理）等。

內控評價報告報董事會審批之后，監督單位要向被審核單位進行反饋，組織做好整改工作，實現持續改進。

必要時，請第三方中介機構做好內控審計。

十、做好準備，迎接會計師的內控監督審計

各單位組織做好內控實施工作，尤其要保證相關留痕表單的完整，迎接會計師內控審計，保證讓會計師出具無保留意見的內控審計報告。