为什么有些企业在内控上越发力-绩效却越差？.doc

为什么有些企业在内控上越发力,绩效却越差？
最近一段时间，《内部控制与风险管理》的内训课程又热起来了，为什么？
因为有不少企业发现，近些年来在内控上发力越猛，绩效却越差！
上周四、周五（9.23-24）两天，我与一家世界500强企业的中层干部们讨论内部控制与风险管理问题时，举了以下两个例子：
2012年在2244家披露内部控制评价报告的上市公司中，只有8家上市公司认为自己的内部控制重大缺陷；
2013年，共有2312家上市公司披露了内部控制评价报告，整体有效的2287家，占98.92%；
2014年度，在2571家披露了内部控制评价报告的上市公司中，2538家内部控制评价结论为整体有效，占披露了内部控制评价报告上市公司的98.72%。
这两年由会计师事务所出具的内部控制审计报告的意见或结论也基本相同，内部控制存在重大缺陷的比例也在1%左右，99%的上市公司内部控制整体上都是有效的。
而上市公司实际绩效呢，年报数据显示：2012年A股2469家上市公司合计实现归属于上市公司股东的净利润近2万亿元，同比出现零增长，这也是继2008年负增长后的同比最低增速。
在这2万亿利润中，仅16家上市银行的净利润就达到1.03万亿元，占2012年上市公司利润总额1.95万亿元的53%。
从归属于上市公司股东净利润角度看，A股所有上市公司干不过16家银行。
2013、2014情况也差不多。
2015年呢，情况可能更糟！
据券商中国记者统计，以发布2015年报的412家上市公司为准，两市共有46家公司的全年净利润不足1500万元。
1500万元是什么概念？是当前深圳市区的一套位置较为优越、稍具品牌优势的商品房，比如，深圳香蜜湖水榭花都12万元一平米。一线城市中，上海静安区或是黄浦江边，价格超过千万的住房已经占了半数，上海华润外滩九里，大三房1500万或许已经买不到；北京的房价更不必赘述。
1
为什么不少企业在内控上花费了相当多的时间和精力，但绩效不见提高，甚至不升反降，问题出在哪里？
我认为：当前国内企业在内部控制（风险管理）体系优化过程中，存在着以下几个重大的认识误区（这些认识误区导致内控优化策略错误）：
1.风险＝不确定性
简单地将风险等同于不确定性，从而忽略了不确定性存在的机会，不能识别机会，将机会融入到目标设定和战略规划的流程中，从而与机会失之交臂。
2.尽可能减少或回避风险
有些企业的高管并未从整体上把握内部控制或风险管理的本质，在内控优化的方向或策略上存在问题，例如：
有企业的领导始终认为，内部控制应尽可能减少或回避风险。实际呢？只有不做事，才能回避风险。
做任何事，只要有目标，就存在风险。并且，金融经济学的基本原理是：资产的安全性、流动性与收益性成反比。风险压得太低，企业的绩效必定不佳。
3.五部委的内控体系是中国版的“萨班斯法案（SOXACT）”
这是对五部委内部控制体系的重大误解，会对企业内控建设产生重大误导。若企业的决策层仍然持有这种认识，则此类企业的绩效不可能持续改进。
4.内控的主要目标是合法合规与报告可靠
就五部委的内部控制来说，目标有五个：经营合法合规、资产安全、财务报告与非财务报告真实完整、提高运营的效率与效果、促进企业战略实现。
我认为，对于前三项目标，企业只要做好基础工作就可以实现，因为影响这些目标实现的主要因素基本上是企业可控的；
而后两个目标实现的影响因素，很多不是企业可以控制的，比如说客户消费偏好的变化、大宗商品价格涨跌，以及竞争对手新产品的领先一步推出，等等。
内部控制也好、风险管理也好，其主要的目的在于，促进企业的管理层识别、评估和管理好运营风险，特别是战略层面的风险。
所以，在我看来，加强或优化企业内控的主要目的，在于促进后两类目标（运营的效率与效果，以后战略）的实现。
5.内控＝内控制度
制度这一概念有广义和狭义之分，这里我们不作深入探讨。从企业层次来说，内控制度或管理制度主要是指“政策和流程”，即内控框架中的“控制活动”。将内控错误地等同于内控制度，以前相关政府管理部门也是这么认识的。
例如，2005年，上交所、深交所发布的就是《上市公司内部控制制度指引》征求意见稿，2006年两个交易所正式发布《上市公司内部控制指引》，将“制度”两字删除了。
内部控制是一个过程或系统，优化内部控制最重要的是要优化内部环境、改善公司治理结构，而不仅仅是对内部控制制度或管理制度的完善。
如果企业的内部环境（包括董事会的职责履行、高管的正直与道德、员工能力承诺、人力资源政策，等等）不好，其他要素（如，事件确认、风险评估、风险管理策略、信息与沟通、监督等）就很难发挥作用。
6.强调内控会削弱企业的技术创新和管理创新动力
2014年，我曾受邀去一家由