爱华网本文是过去做内控是的讲稿，通过这个讲稿将企业内部控制原理和制度设计作一个较通俗的讲解，希望能够帮助公司管理层或管理者能够结合公司制度管理现状，重新认识什么叫内控管理，制度化建设的含义是什么，控制逻辑和制度设计基本框架如何构建，它对公司的基本管理会带来什么。你可以当作学习一门管理学课程来学习，会对你有很大的帮助或者对管理学有进一步的认识。
导论
l 管理是什么
管理是什么？我说就是控制。有人说还有组织，计划制定，激励，协调和评估等等。我说他们都是在不同种类的控制。想想看：整个机构的所有活动都是控制下产生的，同时也是以实现控制目标为目的的。剩下的都是个体的脑力和体力活动了，不是管理。比如，你做计划工作，首先是人家要控制你计划的方向，质量，之后你的计划要与实施人征求反馈，你想的是控制人家提供建设性的反馈，你自己找资料、阅读资料的过程不算管理。但是你向别人要资料你就得想怎么才能使别人给你，一个让人家为你做事的过程就是控制。虽然不能明说。最后，计划的目的是使人按照它做，也是为的控制。别的管理过程分析起来会更简单一点。总之，这些过程中除了控制就是些个体的活动了，所以我说管理就是控制，控制就是管理。咱们稍微停一下，想想是不是这样。咱们大家都会开车，我问您，您是开车呢还是控制呢？要我说，您也是开车，也是控制。开车就是控制。您得控制方向盘，控制刹车，控制油门。刨除这些您说什么叫开车呀？学控制，就是学方向盘是干什么的，油门刹车怎么用。甭管是大奔还是大公共，都差不太多。这就像无论是大老板还是小经理，管理的核心方法都差不多。管理职能有好多种，比如建设，生产，销售，财务，就好像车有无级变速的，还有十几个档的，但控制的核心方法都一样。无论什么职能的管理，控制是我们唯一不变的主题。
您要是现在就明白了，我还能把您说糊涂。美国的管理控制研究权威组织COSO（Committee of SponsoringOrganizations），把管理分成了经营，控制，和审计。他们把控制根经营给分开了，您说是为什么？您不信随便再看几本书，看看是不是把控制作为管理的一个子成分了。
为什么？原因就是控制这个话题是财务职能发起的，至今还是从他们的视角讨论。为什么是这样，咱们下面就分析一下。
咱们还是COSO这个例子：这个组织是全美国财务和审计五大自律组织组成的，专门研究控制。把控制的工具发给所有的成员组织。COSO他们自律的方向就是尽量为企业起到Watchdog的作用。为他们的职业负责，就是为大伙儿的饭碗负责。他们搞出来的东西，代表的是一种职能，为的是指导这些财务，内审怎么做，所以分析的角度根咱们非财务的经理不太一样。因此他们说的控制和操作经理们说的控制还不太是一回事。感觉上有点财务、审计怎么控制经理们、怎么帮助经理们的意思。还别说，无论是内审还是外审，还是财务控制监督，根经理们还真得有点距离，不然就开始坏事了，象世通和环球那么编假账儿。所以，再强调一下，人家没错，人家编的是给人家那群儿用的。群体有立场，有利益，所以有独特的视角。弄出来的东西对咱们不一定全有用。要是今后有一个非财务经理人组成的控制研究学会，我猜出来的控制理论肯定更适用您。现如今，我跟您说，还真没有太多这种的文献，至于原因，我猜是没人写。
不是有用的东西就一定有人写。举一个极端的例子。非道德的企业行为。他们广泛存在于经济生活的各个层面，发达和不发达的国家都一样，谁也好不到哪去，只是一个操作方式和手段问题。有多少买卖是诚信起家的？有多少企业是一路完全按照道德方式操作的？有的时候，研究邪门歪道比研究企业管理管用得多呢！但是哪有一本书教你怎么靠邪门歪道起家？我要说的是：一个课题没人写，不代表在经济生活中不重要。
那么为什么管理控制逻辑没人写呢？首先，他不是一个拿来就用的东西。您搞销售管理，您是选择学销售管理呢，还是内部控制逻辑呢？老板给您安排培训课程，也不可能安排那八竿子打不着的课。绝大多数MBA课程里都不包括这方面专门的课程。太钻了。学生是来学实用的东西的。你管理中遇到了问题，想查书，也想不起控制逻辑这类东西。太不解渴了。小时候学校里学的许多东西我们也不知道他的重要，直到后来才逐渐明白。他们搭建了我们的思维框架，受用终生。当时是有人逼着我们学，我们才学的。如今终于解放了，没人逼着我们学习了，我们可以选择我们认为重要最能救急的东西学；老板也不会要求我们学这些东西。因为见效慢，而且弄不好还会耽误事。真正从思维习惯上改变，还是个脱胎换骨的过程。真的不简单。改变一个思维框架就像换一个新大脑，挺难的。“书呆子”就是这类学习过程中的半成品，学到办中间，复杂的事情还分析不了，简单的事情还给想复杂了。谁会找这个麻烦？所以你能发现，在职培训的科目都是些速成和速用的。所以无论事实上对您多么重要，还就是没有很多人写书授课，因为您也不爱听，也没有人逼您去听。但是，您听我说，这是个非常重要的思维框架。只是您没有意识到。
小九九大家都背过，目的是帮助学会乘法。有了乘法，比一遍一遍相加来得快多了。但是，小九九只解决了10以内的相乘，而更大的数只能靠两个办法：第一，学会用一种方法，把这个小九九使用到更大的数；还有就是查一个更大的表，比如，一个100乘100的矩阵，咱就叫大九九吧。我问您，要是没有老师逼着，您学哪种办法？联想到我们的管理人，有的买了一大柜子管理的书，有了问题就翻开看看，就像是一个大九九，全都是情景和解决；总能查到一些别人怎么做的。可惜这个大九九不全，差之毫厘，失之千里。想想看，我们看这些书，是为了当成查表还是学推导方法？
l 管理者是天生的吗
管理者是天生的吗？管理学界对这个问题一直在争论。因为一方面，从科学角度讲，不认为人的能力的差异会有多大，所谓天生，可能是指这个人脑量大一点，神经联线多一点。脑供氧条件好一点。差不了太多。而且有的人虽然很聪明，但不是一个管理的材料，而另一些人别无所长，可是管理一门灵：战略能力强，人际能力强，又能适应压力。看来，单纯讲大脑的质量是不能解释的。从生活和管理经历上，教育上和价值取向上，也很难看出代表性的特征，只能解释一部分，所以半个管理学界就无奈地接受了关于天生管理素质的假设，用什么Instinct(直觉)，Charisma(魅力)来解释，另半个学界还在孜孜不倦地寻找已知变量之间的关系。大量成功管理人的传记，都在试图解开这个谜。我是不相信天生的。就像我不相信迷信和魔术一样。我不相信奇迹，我相信所有的“天生”都只是我们暂时没有发现的原因。在这个信念下，我找到了一种解释，现在，我向您推荐这个假设，这个假设可以帮助解释为什么在同样背景的条件下，一个人能够成为优秀的管理者，而别人却失去了机会。这个假设就是：偶然地，某个人建立了一个比较优势的思维框架。并且由于正反馈效应这种框架不断完善，因此具备了更好的管理能力。而这种思维框架，独立于智力，教育经历，管理经历，和价值取向。
这个框架的原点可能就是管理逻辑，因为，管理逻辑
独立于智力：适合于管理，而不一定适合于其他领域，比如艺术，自然科学等。
独立于教育：目前没有在教育内容之内，或者不通过正规的教育就能得到。
独立于管理：管理经历，不一定能够影响思维的原点；而即便没有经验，也可能具有这个原点。
独立于价值取向：无论是不是愿意做管理，都有可能具备这种逻辑
核心的假设：优势的管理逻辑具有生产性，能够控制生成大量优质的逻辑判断模块。而劣质的逻辑不能产生正确的分析结果，因此无法产生优质判断模块。只能依靠查询相似经验的记录做出对新信息的反映。
直觉定义：新鲜的外界的信息通过基础逻辑处理过，除生产对外响应的指令外，如果经过反复验证证明结果正确，将固化形成许多处理模块，临时或永久存在，用于快速判断。所谓直觉。
这种直觉，是正确的基础逻辑的产物。而敏捷的直觉反映，在沟通中产生魅力。
最关键的一点，能够解释为什么管理逻辑创造“天才”：因为管理经历与成长有一定的负反馈。管理职位提升后，赋予有更多的职责，总有一天会接应不暇，限制进一步成长。而那些有优势框架的，能够随着位置的提升，不断完善框架，形成正反馈，最终成就“奇才”。这个假设能够很好的解释管理素质与环境的不强相关性。
成功的管理者才没有动机告诉你它不是天才，只不过是个优势框架的拥有者。那多跌份那。况且他也说不清他是怎么有这个思维框架的。更不可能系统地把这个框架给你。这个框架确切说是个习惯，就像游泳一样，能教的不多。
控制逻辑的思维框架，需要训练。这种训练需要载体，这个载体就是我们处理、管理事务的过程。这个载体也可以是你学习本文的过程。所以您的训练现在已经开始了。高质量的MBA教育有一个特点，就是课程负荷大的惊人。按照一位教授的话：Youtry to Understand it, if you can’t, remember it, if you can’t,forgetit.意思说，你尽量理解，实在不行，你先背下来，要再不行，那就去他的吧。就像我们从小背古诗那样，一篇一篇地读，最后董了，体会了。为什么？其实，课上教的东西书上都有，你可以学一辈子，可是，那种丢盔卸甲的感觉，那种必须在众多的不可能的目标中寻找可能的东西，这种经历才是真正要传达给你的。说平均每天需要念近100页书，实际仔细看过的的可能只有30－40页。看什么，人跟人就不一样，有看热闹的，有看门道的，还有看到了书上没写的。听课也是，一堂课下来，听到的东西根本就不一样，两个极端的人甚至联重合的地方都没有。我说思维框架与教育无关，我敢说多数人直到拿到名牌MBA文凭的那一天，脑子里装的全是些教条，销售应该怎么管理，SWOT怎么列，些这家公司是怎么倒闭的，哪家公私哪年创造了什么奇迹，而思维的框架根本没进步，应该说是个巨大的损失。
既然没有控制逻辑专论，有没有相关的书？有，一般叫管理学原理。但是不能指导你形成实质框架。教游泳的书有教你蛙泳的，蝶泳的，有交给你怎么漂起来吗，您漂不起来，什么都没用。管理学原理一类的书应该看看，但是这类书从控制逻辑方面的分析成分不大。所以您得斜者眼从侧面看：只专注有关逻辑。我建议您一种处理信息的方法，我叫“三眼”：正眼：看是什么，接受直接的信息原料，侧眼：看其实是什么，带着怀疑的眼光，批判的眼光，认识信息的真正的内涵。闭眼：想为什么，就是控制逻辑。给大家讲个故事：18世纪有个法国化学家，到一个染料作坊串门儿，那儿正在熬染料，一个伙计拿着个大铁棍子在大锅里拼命搅和，难听极了。“嘿，干啥哪？换个家什搅和好不好？”他问。“您不知道，这搅和的声儿越难听，这染料成色就越好”伙计自豪地说。“得得，您歇菜，让我看三眼”。这三眼不要紧，第一眼，看到的是拿着一个铁棍子搅和，这第二眼，看到的是实际上是为了磨下铁粉，这一闭眼，嗐，是铁粉生成了化合物增加了染料的光泽，下回倒进去点铁粉不就结了！
在所有经营管理实践中，无论什么信息，是听汇报，学制度，看战略，还是处理事情，都用这“三眼”。赶明儿别人再夸您一眼就看到本质了，您告诉他，不是一眼，是三眼。
我希望大家能够用这种方式接受我的信息。作为一种训练。您要是觉得枯燥，您先忍住，想想科学的美妙正是在枯燥的后面。
老师和老板
回想一下我们做学生的时候，倒是都做了些什么事情？就是对着书本讲。但为什么需要老师呢？教会了认字，老师就没什么用了。无论是物理、化学还是数学，政治经济，有那么多书，自己念去不就行了？要个老师干什么？要我说，老师的作用就是控制。控制什么？首先是督促，把您学习的成绩和自尊联系起来，自尊没有那么敏感的干脆就跟体罚或者根家长告状，让家长体罚联系起来。不然，有些东西您可能就不会主动学。上面说的是督促，产生动机。其次，是控制进程。好的老师讲课抑扬顿挫，这里有学问，重要的东西声音大，不重要的声音小。需要你琢磨的东西，他索性停下来，用提问的办法强化你的关注。现在有了多媒体教材，老师音容笑貌都看得见，为什么还是需要真人讲课呢？关键在于提问。老师提问您老答不上来，多丢脸啊！所以你就有动机去从过程上服从老师的安排。老师知道什么重要，知道你可能会忽略什么重要内容，所以就会在那里特别地强调，建立控制点。上课在这里提问，课后在这方面出题。就是让你掌握那些你并不认为重要的东西。注意，老师的作用是，强迫你学习一些你没有认识到重要的东西。你可能会说，还能让我认识到一些东西的重要，我会主动去学。没错，我们叫指导性控制。所以我说老师的工作实质是控制，而手段分成过程控制和结果控制和指导性控制。控制的对象是人，而内容是那些不强迫就没有动机去做的东西。我有意把话说得绝对一些，很一些。为的是引导思路。十平八稳面面俱到就没重点了。这就是很多管理文献的毛病。
想想老板的工作。是不是一样呢？对比工作留给您自己想。
好的老师能够最终实现育人的目的，蹩脚的老师却还不如没有老师。想想我们上学学的椭圆的方程。谁也记不得了，能够在工作中用到的人也不会超过1％。但是，为什么要教它。要我说，交给你就是为了让你忘的，没指望你能记一辈子。但是为什么要教给你呢？为的是告诉你这样一个事实：图画是可以用数字描述的。一长串数字的背后就是一个美丽的图画。这是我的老师告诉我们的。一点点，你学会了抽象是什么东西，您第一次领会到了什么叫模型。今天，当你看到用一条上升的曲线代表销售的上升时才会觉得那么理所当然。您问抽象有什么用。我问您，刚出生的婴儿有什么用？Itis Nothing, but could become Everything.
是不是所有的老师都这么教书呢？不一定，别的办法也一样能让你取得好成绩。就让你背，应付考试。这种死记硬背不一定就会输给别人。关键是看考核的是什么。考核要进行多少年。您对员工的要求是什么样的呢？
作为一个管理者，您向你的下级传达的是什么信息呢？您希望您的下级领会什么呢？您通过什么对下级控制呢？
l 管理学原理
要说原理，任何方向的科学都有。比如物理学原理、机械原理，化学原理。都是些公认的可靠的东西。而管理学原理，却按照学派分成了五花八门。那其实就不是原理了。说盲人摸象不公道，但是确实是用实用主义的目的从不同的方面研究的。真正的“原理的核心”太小了。您知道是什么？我说是控制逻辑。泰勒的科学管理学是一个总工程师角度的科学管理，核心是生产操作动作的固化和定量化研究。是大工业生产的产物，指导的也是大工业生产，对证券公司就没有一点意义。而马斯洛的需求学说是说工人也需要社会承认，需要自我实现。所有管理者必须关注。因为什么？在大工业生产面临危机，工人从动机上抵制管理者的把他们当成工具的做法。因为出了工会捣乱。管理者就不得不研究怎么回事，除了钱之外还能给工人什么。到了Mcgregor的X-Y理论，X假设人是懒惰的，除非强迫，不愿意工作，不愿意承担责任，Y说人并不是这样，工作可以根娱乐一样愉快，人可以通过承担责任产生满足感。为什么？这个时候工人队伍已经分化成了脑力和体力劳动者，实际上人无本性，只是针对不同的劳动内容，人也就分成了两类。搬运工和编电脑游戏的不可能用同样的对工作的态度，相应的管理方法也就不一样。当工商管理科学正式成为科学广泛研究和探讨的时候，出现了管理经理学派。他们就一句话，实用即真理。这就是管理原理研究的状况，所有的理论都是为当时的需求出发的理论，甚至都是为理论创始者职业的角度写的。所以搬哪一本，也不一定适用。不了解因果关系，一定搬错。可是真要是知道了因果。您已经不需要读书了。您天成了，能写书了。这个因果，就是真正核心的原理，也是我们今天要推荐给大家的这个控制逻辑。所有的各种管理学说，我们都可以当成是这个控制逻辑的产物，这些伟大的管理原理的背后，是同一个逻辑支撑的。但是这个逻辑的核很小，小到了几乎就是一个原点。因为实用的要求，各种学说都必须将他们扩展。但是，当我们看这些学说的时候，我们却忽视了这个核。这个核是什么？我们这就告诉您。
内部控制原理
先交代给大家这个原点。作为内控管理介绍的基础。
1．管理控制的实质是把个体的目标与机构的目标联系起来的过程。2。控制实现是通过告诉每个人：Do it orelse…照这样做，否则对你不利。
前者是个定义，后者我当成是个公理，是逻辑之外的东西。如果对这两点有疑问，请现在提出来。否则，我们就全体通过。在通篇介绍过程中，请始终记住这个最重要的逻辑原点。我也会反复提醒大家。
l 控制
您能回答我一个问题：为什么企业不会无限膨胀，成为一个世界上唯一的企业？大家知道有规模效应，生产的规模越大，就可能产生效率的提高和成本的降低。因为有大量的东西可以共享，机构内的交易成本低于对外的交易成本，竞争中提高了BargainingPower（讨价还价力）。按这么说，总应该有企业能够越来越大，最终控制一个产业，甚至所有产业。但是为什么企业都不能无限膨胀？并不是所有国家都有向美国一样的反垄断立法，但所有公司都是发展发展着就停了，再过几年就死了。想想看，活够50年的公司现在还有几个？是什么抵消了规模效应，成为限制企业发展的障碍？经济学界的答案是控制。随着企业的扩大，企业的所有者和每一个基层经营者的关系越来越远，控制的层级和范围就越来越大，个人的利益与机构整体的利益就越来越远，最终控制成本的升高抵消了规模效益。企业发展就停止了。一个平稳成长的公司能够发展得很大，而一个急速膨胀的公司却可能由于控制设计的不完善迅速夭折。控制决定了一个企业的生命周期。
l 控制体系框架
为了便于理解，我把一个机构的控制体系从高层次到基础层次划分为：公司运作体制，控制标准，流程，职责。那些控制标准，流程和职责的规定都叫做制度。由高层次到低层次有决定作用，而由低到高，又有限制和反馈。
这是搭了一个台子，我好用这个台子唱戏。这个台子，说白了是一些定义。而唱什么呢？唱逻辑。有的课本，有的课程，从头到尾搭台子，搭完就完了。没戏。制度应该这么写，写完定义写流程。可是课不能这么讲。因为咱们要让人家听的是道理。不是所有的管理观念都提倡让人家听道理的。泰勒那种就是您就是工具，不用思考，Youjust do as I told you to, let me do thethinking.现如今不行了，您想不过来，得让大家分别想。
为什么这个台子这么搭呢？咱们还是改口儿叫模型吧，比较洋气。因为我觉得更容易展开我想描述的一些逻辑。COSO的内控模型就不一样，人家为的是人家的逻辑。
这个模型您可以说是一个公司，也可以说是一个部门，反正都是机构。逻辑是通用的。只是为了更直观，举例子方便，咱们假设是一个公司。
l 运作体制
对于控制设计来说，运作体制是控制设计的背景条件并不是控制的对象。比如，是集中管理，还是子公司二级法人或事业部建制；垂直管理还是矩阵管理；什么部门负责什么职能等。体制安排是公司管理层的工作。体制决定了我们控制的设计，应该响应这些需求。比如，网通的体制是各职能管理部门制定相关制度和执行监督，但同时负责一定的直接操作，那么应该怎么对其自身的控制呢；谁控制他的工作质量，谁对他的那部分操作监督呢？再比如，对于分公司，哪些职能是总经理直线领导，哪些是总部职能部门直接控制，哪些是矩阵式？相应管理责任和权利分工，或者决策权重分配是怎样？这些体制的内容必须清晰。否则，总部的制度得不到贯彻，而总部职能部门由于没有这种清晰的体制分工，出了问题也没责任。也没有动机设计好和监督好制度。再比如，分公司总经理不是法人代表，那么除了业绩外，对她的职责还有什么标准吗？体制不清晰，制度的设计和执行都会有重大的不确定性。带来机构整体的控制风险。因此运作体制是决定性因素。之所以列出运作体制，还有就是要告诉您的可控制范围。知道哪些是您左右不了的。这方面造成的问题，您不用内疚。
l 控制标准
就是管理者希望实现什么样的具体目标，什么样的控制力度。控制目标是分解企业的经营目标得到的。这种质量标准逐级分解到各个下层次的控制点。从管理质量，到技术质量（操作质量、行为规范、服务质量、产品质量、建设质量，技术标准）。控制标准和控制目标是完全相同的，都是指想要实现的东西。随便叫。
公司层面对控制体系更关心的是管理质量，而技术质量是靠管理质量保证的。技术质量标准由相应职能部门制定，无须公司管理层批准，管理层也没有这个专业能力。公司应该支持这些质量标准的效力。比如，建设部，运维部，客服，财务等颁布的大量标准就属于这一类。质量标准的特征是：必须依赖于管理质量标准得以实现。公司层面管理质量标准可以由一个或多个部门共同参与实现，为了实现这个标准，每个部门可能还需要建立部门层面的管理质量标准，直至技术质量标准。最终通过一个个技术目标的实现保证了机构整体目标的实现。关于哪些标准应该在公司层面建立，哪些在下层部门层面建立，我们在之后的关于过程管理和结果管理的内容中还会谈到。各个层次的管理标准必须做到可衡量。每一个部门（每个人）所负责实现的控制标准的集合就是这个部门（个人）的职责描述。
控制标准是战略的体现，因为不同公司不同时期的战略重点和控制的成本效益是不一样的，也是不断变化的。没有一个普遍适用的控制标准，无论是对多么成熟的职能，所有现成的标准都只能作为参考。
l 操作流程
标准是静的，操作是动的。我们的操作大多是信息的传送，不是工厂流水线上产品的流动。信息如何流动才能够保障实现标准呢？换句话说，怎么让不符合标准的流不过去，或者之后能被检查出来呢？流程设计保证控制的实现。能够制约违反控制目标的动机或手段。
SOP我们比较熟悉，叫做标准操作程序。我们在财务，采购等许多环节都建立了比较完善的SOP。但是，还有相当多的环节流程制度还存在控制缺失或冗余。关于我们公司制度管理的状况，我们在后面还会专门分析。
制度包括质量标准和操作流程两部分，而我们的制度制定中这个观念还不明确，甚至有些提法即不是质量标准也不是流程。只是一些空话。打个假设的比方，如果关于采购招标的制度中规定“招标负责人保证招标过程的记录的真实性”？这句话有什么意义呢？首先，这不是一个控制标准，因为无法衡量，谁是招标负责人啊？什么需要记录呀？另外，也没有流程保障。现在，如果改为“所有参加开标的招标和投标方人员在开标记录上签字”，就成为了可衡量的标准，并且成为流程的一部分，之后为了保障这个标准，在流程中还可以要求授标书盖章时检查这种开标记录单，管理部门又可以抽查盖章时是否检查了这种记录单等等，直至确信控制标准得到保证。
另外，大块的技术质量标准不要在流程文件中，稀释影响效果。
l 职责
制度最终是以操作环节中各个岗位的职责体现的。岗位职责描述是针对每一个岗位的，控制质量标准的集合。管理制度是通过岗位职责最终落实到人的。我们说管理是对人的管理。个人是所有行为活动的主体。规定了岗位职责，所有处于这个岗位的个人都承担职责描述中的责任，并应该依照履行岗位职责程度受到奖惩。在一个成熟稳定，分工明确的机构，岗位职责可以非常精细和确定。管理很稳定的企业，能统一把这种职责描述给列出来，人可以来回调动，岗位职责不变。当机构变化快时，来不及列，一句话，遵守制度。当制度不健全时，这种职责相对模糊。直属主管与下属间达成的对下属的岗位职责的共识并不一定反映实际需要。给评估和奖惩带来了问题。与这种主管评估方法对应的是360度评估。360度评估是把上下游，上下级和同事分别对一个员工进行的评估综合，形成的对该员工评估。360度评估能够在控制标准不完善的情况下，维护一种基本的和自发的提高效率和效果动机。使得个人能够主动在价值链中发挥作用，创造价值。但缺点是这种评估不是基于一个精细安排的，方向明确的符合企业控制目标的标准。关于360度评估的应用，这一点我们之后谈到公司制度管理现状时会提到。
l 小节
控制体系包括了运作体制，控制标准，操作流程，和岗位职责。运作体制是公司最高管理层决定的，属于控制环境的一部分。其不同特点决定了控制的不同需要。其清晰与否决定了制度的设计和执行的质量。对机构风险有最大的决定。控制标准是根据机构的战略目标制定的。分为各个层面的管理标准和最终的技术质量标准。没有一成不变和普遍适用的标准。流程设计保证控制标准在操作中实现。制度审查中应注意哪些没有流程保障的标准。防止控制假相。职责是将控制标准落实到每个具体岗位和个人的手段。通过岗位职责的确定，将控制目标联系到对人的奖惩，才会产生控制作用。控制的实质是把个体的目标与机构的目标联系起来的过程。控制实现是通过告诉每个人：照这样做，否则对你不利。
上面我们介绍了机构的控制体系结构，这些控制标准，操作流程和岗位职责是需要制定和设计的。下面我们就这方面的问题进行探讨。
l 制度设计介绍
l 制度是什么
机构的管理制度是法律的一部分。美国的法律体系更明确地把法律分为公法（Public Law）和私法(PrivateLaw)。公法是公家立的，私法是所有的其它契约规定，包括企业的规定和制度。私法可以通过公法来产生效力。只要这种私法不与公法相抵触，公法就支持其效力。比如公司规定工作时间善离职守，否则罚款500元。而你违反了，公司就可以罚，你不给，法院就判你给。再不给，就犯了公法了，因为你不听法院的。当然这有很多条件。首先，这个规定要合理，否则显失公平，法律就不支持了。其次，你要曾经接受过，比如，公司曾经通知过您这条规定，或者强调过必须阅读职工守则，而职工守则上写着有。否则，你与公司并未就此达成过约定，也就不用承担约束了。这还包括业绩合同，员工岗位责任，都是必须双方以某种形式同意的。比如，你念过了岗位责任，还决定继续在这个岗位上。就算接受了。公司其他制度，依赖员工守则上遵守公司制度及相应奖惩的规定产生效力。
那么，制度应该怎么设计，由谁设计呢？
让我给大家讲一个故事。1933年，美国罗斯福总统认为针对证券市场的混乱状况，应该专门立法，由国家管起来。于是找了一个老律师，证券江湖上顶顶有名，方案写了一年，100多页。设计思路围绕着联邦政府怎么直接管理这个行业。太多的工作，100多页纸，想写清楚也不容易，国会大伙也看不太懂。倒是明白了一条：政府得增加好大的管理负担，弄不好还要担责任。结果没通过。后来，找了两个年轻人，不太懂所以也写不多。熬一个通宵，第二天交稿，一页纸，原则17条。后来居然国会就通过了，居然一直70多年到今天这些原则基本没变。写的是什么呢？大概意思是：政府不直接管，政府只监督行业自律机构，同时也支持他们，赋予他们权利，后者再执行控制。他们出于利益，有动机把事情做好。
这个故事对人挺有启发：首先，尽量利用别人已经有的动机，完成机构的目标。分层管理，上层形成别人进行管理的动机即可，不用越俎代庖，再给人家必要的资源，自己轻松，别人满意。第二，简洁的制度稳定性强。不用老变。省得人家每天说你的政策过时了，干脆不当回事。第三，易懂能得到更多支持和执行，太复杂八股，人看不懂，没有机会反对，也没有心思支持。你就自己折腾吧。第四，操作专家不一定是控制专家。当然操作专家学了控制，那就如虎添翼了。
l 把控制目标连接到固有约束
控制设计，制度设计的实质，是把机构的目标连接到最基本，最可靠的个人需求。一个好的设计，应该使得个体要想满足个人需求，就必须帮助实现机构的目标；而违反这些目标，个人的需求将受到净损失。只要作不到这一点，制度就无效。
l 固有约束
管理的对象永远是人。因此所有的控制最终应该落实到对人的约束。而对于人，存在各种固有的约束，包括个体需求（经济的和精神的）；作用于个人的法律规定，已有控制等。固有约束是控制的基础材料，通过设计安排，利用固有约束及其相互间的制约，实现机构的目标。
举一些利用个体需求构造控制设计的例子，比如人都需要钱，设计中就可以用经济手段来刺激符合机构目标的行动。人有安全需要，那么即便营私舞弊来钱快，但怕被法律制裁的精神负担却很大，设计中可以在高风险环节考虑记录保存能够支持立案和刑事判决的证据。人有自我实现的要求，比如主持公道，不希望看到别人不劳而获，设计中就可以利用来舆论监督和举报。又比如，如果具备使命感，良好的道德，就能产生自发自觉的行动，设计中也可以根据道德状况，相应降低控制力度和成本。关于建立使命感和道德环境，以弥补制度缺失的问题，后面还会提到。
机构中个体间存在竞争，他的原因是个体需求间的冲突，通过竞争分配有限资源。制度设计中可以引导这种竞争服务于控制目标。而防止这种竞争破坏控制目标。
除了个体需求，还有一类固有约束，他们存在于本系统之外，却能够作为基础材料，服务于本系统的控制目的。比如法律，直接作用于个人，比如，对于贪污等，只要我们制度保证能够发现就可以了，不用另外规定处理。再比如已经有效的其他控制，分公司建设进度，分公司出于业务保障原因，已经很关心，对于总部建设管理部门来说，可以认为存在固有约束，可以不再另外设计控制了。
l Do it or else
如何使人按照你的目标行动呢？只有一个答案：这样做对他有好处。或者不这样做对他有坏处。支持所有控制的后台，是奖励和惩罚。
管理控制的宗旨是创造动机，引导个体服务于整体的目标。这一点和法律制度的宗旨是完全相同的。
法律效力的核心是“Do it or else”,即“照这样做，否则……(惩罚)”管理控制也是如此。比如，违反制度应该受处罚。如果不然，制度就没有效力。从这个角度看，网通目前的SOP制度，实际大量是一些质量标准。因为他们在流程限制的空缺点上，没有可审计手段。或者没有奖惩的标准。
国际法是法吗？不是，因为，没有实施措施。是超级大国和利益集团规定的，对他们没有约束。因此并不是“国际法”而是超级势力对弱小国家的统治标准。
l 控制点
控制点就是不控制就不能自动实现的目标。关键控制点就是风险大的控制点。并不是所有的控制点都有条件被覆盖。但应该尽量调动资源，覆盖关键的控制点。
l 违规的成本
对个体来说，当违反控制目标的成本高于相应的收益时，就没有违反的动机。违反的成本指个人的（注意，是个人的）经济上的，精神上的损失，或者上述损失的可能。比如被罚款，解雇，行政、刑事处罚或失去晋升机会；经济成本大家关注和研究的比较多了。精神方面，除了安全成本，还有信誉，荣誉和道德上的成本。这种成本人人不同，时时不同，事事不同。人人不同：一个英勇的战士，临阵脱逃的道德成本甚至高于自己的生命。时时不同：荣誉和道德成本，与企业的道德环境有关。比如，建立崇高的使命感，弘扬正气，提高员工的思想境界，实际上就提高了违反制度的道德成本。西方一些企业，通过拔高企业的使命，实际上提高了每个个体违规的道德成本，从而产生控制方面的效益。事事不同：一个环境道德可接受和不可接受的行为不一样，你允许公司的海外机构行贿，他就会觉得在国内受贿是正常的，这就败坏了道德体系，控制成本就增加了。信誉成本，其实也可以算成经济的成本，全世界商人都知道。公司提倡信任，首先假设你是可以信任的，你的信誉成本就高了，因为你有的可丢；但同时，部门的风险也可能增加，关键看如果不信任你还有什么办法，如果反正没法控制，那也就无所谓了。这才有了“用人不疑”的说法，其实，多数是疑你也没办法的时候说的。当所有个体的道德到达理想高度，也就是充分的自律和利他的时候，机构通过沟通就可以解决很大部分问题。控制的目的是为了防错而不用防止舞弊了，惩罚措施也不必要了。总之，崇高的使命感，信任和沟通，对企业目标实现有重大帮助，特别是在控制资源相对匮乏的时候。
制度设计，最可靠的办法是基于经济和精神上的最基本的需求。因为这时控制的所采用的假设最可靠。当然，这样成本也会高一些。如何判断企业的控制环境和控制对象，鉴别哪些地方需要控制，哪些不需要，判断针对被控制对象哪方面的成本实施控制最划算。靠的是管理者的水平。
l 违规的收益
高风险表示为结果可能区间幅度很大，即可能出现非常好的结果，也可能是另一个极端。这时，对于操作个体来说，如果好的结果能够兑现，而坏的结果由于某种机制在反馈到个体的过程中被削平。则个体冒这种风险的预期收益为正。
比如，风险大的生意什么人愿意做？是那些赚了钱就收进腰包，亏了拔腿就跑的人。人跑了，债当然也不用还了。谁还？企业还。这就是他们的风险控制。很有效。有了这么有效的风险控制，当然是风险越大的生意越赚钱了！规规矩矩的生意赚不了大钱。这是经济规律决定的。
舞弊也是一个高风险的活动，如果只有收益而能够规避风险，舞弊的动机就很强。比如，那些敢做大坏事的人，都有外国护照，出了事儿一走了之；或者早就用金钱美女在贪官那里买了保险。这也是有效的风险控制。
不同的违规收益不同，那么，通过制度设计赋予它的相应成本也应该与之匹配。比如，采购中如果单纯采用结果控制，省减了100元奖励10元，那么操作者虽然会损失10元奖励，仍然有动机提价拿回扣。但如果通过过程控制，维护一个竞争性采购的过程要求，操作者之一要么无法操作舞弊，要么要冒相当大的被发现和惩罚的风险，就能有效防止违反。
l 违规的合理动机
如果制度不合理，不能保证企业目标的实现，那么违反它就可以提高效率和效果。我们的一些政策在设计上存在错误，或者不再适用。这种情况下，会出现大量的违反。根本原因是知道自己不会受惩罚。“Anunjustified law is no law atall”意思是不正义的法律就根本不是法律。虽然核心是美帝国主义的霸权逻辑，但从修辞学上倒也无懈可击。
对于这类情况，我们要分析是否修改制度，和是否进行惩罚。具体情况千差万别，制度当然不能保证所有个案中的效率和效果。根本原因是针对每个个案的制度将不是制度，而是人为判断。就丧失了制度本身特有的客观性和强制性。有时，从维护整个制度体系权威性的考虑出发，甚至对这种合理的违规也必须惩罚。因为，一旦认可合理违规，就产生了由谁判断是否是合理违规，违规之后如何处理，搞不好就成了一事一议，就有人以合理违规为借口大行违规之道，机构控制的负担就会加重。
减少合理违规的关键是平衡制度的控制性和灵活性，按照风险的不同设计相应的控制。比如，5万元以下的采购不需要进行比价，而5－10万元的需要两家比价，大于10万元的三家投标。这样就兼顾了效率和效果。
l 职责分离
增加违规成本的办法之一是职责分离。合伙违规和舞弊需要组织和控制，也存在内部利益冲突，因此会产生额外的成本。在制度设计中加入职责的分离和牵制，在违规收益不变的情况下，如果必须合伙才能完成，企图者就可能知难而退。
例如出纳和记账的关系，不相容职责的核心是如果你出了错我不指出，我就要损失，因为不是你的错，就是我的错。这种职责的分离起到了有效的控制。因为，两个参与者在一方发生错误时，利益是矛盾的。但是我们有一些管理环节，没有真正的控制。比如，明显的不相容职责，可以也应该设立控制，结果是虽然职能是分离了，但是相容。也就是说，你有错我不指出来，我也能交代过去。甚至，有一些情况是，检查出你的错，报告了，我反而有责任了（比如，影响我的业绩），不报告反倒没事。就算设定了监督检查要求，由于发生问题后，没有利益的矛盾。导致控制无效。我们的制度中有不少这种情况。
l 控制方法种类
制度有效的条件是流程过程中预防性的控制，或在这种预付性限制不足时，保证检测手段和惩罚措施。
l 流程限制
也叫预防性控制，就是通过设计流程，引入固有约束实现符合目的的控制。如果完全实现了流程限制，就不再需要之外的检测了。
l 检查性控制
在流程限制做不到控制的情况下，必须设计检查性控制，必须实现可审计性，以及惩罚措施。
另外，按照COSO，（Committee of SponsoringOrganizations，美国的5大财务、审计协会的联合建立的组织，致力于企业控制标准的研究。）还有纠正性控制，补偿性控制，指导性控制。纠正性控制指违背了之后怎么办，补偿性控制是比如一种控制实现的可靠性不能满足，同时通过几个控制方式保证一个目标。而指导性控制其实说的是用指导的方法，而不是强制的方法帮助实现控制目标。
l过程控制和结果控制
合理区分过程管理和结果管理，才能管理的效率和效果。
之所以存在管理层次，就是因为每一个管理层次不能够将控制无限地细化。细致到什么程度呢？
这涉及到结果控制还是过程控制的问题。结果控制和过程控制是有矛盾的。因为如果你控制过程要求怎么做，对结果别人就不能完全负责了。所以，当两种控制同时使用在一个控制点时，除了效率的考虑，还应该考虑两种控制的冲突。有可能不仅没有提高控制，反而降低了实际效果。
l 结果控制
只要结果是可衡量的，应该尽量采用结果控制，而把实现的手段留给执行人自己决定，上级可以提供指导控制。比如商店的收银员，只要规定一天的账能对上，不用关心收款时是数一遍还是两遍。少了自己要掏钱补上；不用规定不许多收钱，对方不干；也不用规定不许卷钱逃跑，那犯法。这些都是固有约束。
下级要实现被要求的结果，就会自己设计控制方法和过程。在这里，上级可以提供的是指导（采用指导性文件），而不是硬性规定。这种指导，下级可以执行，也可以不执行，会综合平衡资源、利害取舍、轻重缓急。进行本层次的过程控制，
l 过程控制
结果无法衡量的情况下，无法采用结果控制。比如，结果不好量化：或者时间跨度较长，或者有舞弊的机会。这时应该采用过程控制。过程控制必须要保证过程检查的措施。比如采购循环，公司不能单纯要求：采购要实现性价比最好，而必须通过采用多种可衡量的标准。
l 区别过程和结果控制举例
比如，某个岗位，简称X，对审核“采购性价比最好”这个控制目标负责。有如下控制点：提出申请人A提出适当，而非最高的质量需求a；技术负责人B保证全程全网b；预算负责人C保证有预算c；法律负责人D防止法律风险d，采购经理E，获得最好价格e。
假设ABCD存在对于遵循的固有约束，不用控制其过程。因此，对这4个人的控制，只要要求“签字认可”即可，X不关心他们具体的决策和操作细节。而对于e，我们假设无法直接考核是否是最好价格，因此只能采用过程控制：要求E进行招标或比价e1，记录的保留e2，经过同事的检查确认e3。对于E，X实行的就是过程控制，不是说你签字确认是最便宜就可以了，而是请你把你怎么做的给我看。
X应该看到ABCD的确认和E提供的e1,e2,e3的证据，才能认为符合“采购性价比最好”这个控制标准。并据此批准发出采购订单。最后这句话，就是对X的职责描述。在对X的遵循性考核中，要看是否按照上述要求审查过才批准的。
我们说可衡量，是指通过一个明确信号，就可以判断符合了控制要求。比如，法律负责人D会仔细审查合同，因为另外的制度会规定如果合同出了疏漏，她会担责任，受处罚，总之没有放宽的动机。因此，只要法律负责人签字，就说明已经符合了控制要求。当然法律部门的内部，会有流程质量标准安排等等。但对于“采购性价比最好”这个控制目标，X就不用对D进行过程控制了。
这个例子里全是假设，比如，申请人会提出最合适的质量需求，就明显是假设。
l 管理细则的效力
管理细则、技术质量标准是不需要经过公司级别审查的，由相应管理职能部门，下级组织发布的管理文件。公司不对其进行审批。首先因为管理部门有动机把这些做好，其次，公司没有资源进行审查。但是从保证执行角度出发，公司必须支持这些细则的效力，只要它们与公司制度不冲突。这些东西生效的保障是制定部门能够直接或间接影响对执行人的奖惩。
l 适当控制
控制必须符合机构的目标。当机构目标要求放松控制，提高流程速度或降低流程某节点的负担时，制度必须体现这种取向，防止控制成本和收益不划算，并因为不合理而得不到执行。控制质量标准应该了解研究公司的具体实际实事求是地制定，不要人为地拔高。防止照办照抄；而且关注造成负担的外延。
比如，总部一个部门要求分公司填报的报表中有大量冗余的项目，动用分公司大量的人力和精力。浪费了控制成本；同时，因为用处不大，总部又没有花力气去控制分公司准确填报，所以也得不到认真执行。
再比如说，控制流程时间，有些流程的节点上不是越快越好。在工作质量不易考核的情况下，上游工作萝卜快了不洗泥，会增加了下游工作负担，产生积压和风险。因此，维持一个安全的速度，甚至设一些减速坎，使环节间能够匹配。有的节点看上去很快，但后面收拾烂摊子的事情就多了，事倍功半不说，烂摊子里面容易藏污纳垢。其实，这种节点速度后面隐藏的可能正是低效率和高风险。必须从计划性上找原因，从本位主义倾向上找原因。
l 内部控制标准体系
为保证操作制度制定中对所有控制点的覆盖，以及为审计评估提供一个统一的标准，机构可以建立一个内部控制制标准体系。内部控制标准和标准操作流程构成机构的管理制度。
《内部控制标准》用于检查流程控制的覆盖。标准操作流程的制定和修订的宗旨，应是根据控制环境及其变化，通过操作流程保证实现《内部控制标准》的要求。
对于职能管理部门和个人，能够通过按照内部控制标准的检查和审计，对工作质量进行考核。而对于经营单位和管理者，仅以运营业绩衡量管理是不够的。因为经营风险，对企业整体、长远的利益的影响、以及对其他部门的影响外延不能体现在当期的、本位的运营业绩中。因此，制度执行程度的评估，应该在管理人评估中占有重要位置。《内部控制标准》将提供一个统一的、公允的、可量化的标准。
l 单纯经营业绩考核的缺陷
对于经营单位，单纯经营业绩考核尚余三个问题未能有效评估。一个是风险问题，一个是外延性问题，还有就是评估期间外影响。这些是业绩考核不容易覆盖到的。被考核者有动机牺牲上述方面来获得业绩。
1、风险问题是指执行人通过违反制度扩大经营风险，换取更好的业绩表现的可能。一旦风险实现，将对整个企业带来重大损失。
2、外延性指一个部门或个人的行动对外部带来的影响。一个行动可能会影响其部门或个人的风险、负担、效率、业绩、利益。如果对此不加控制，将造成本位主义，破坏评价的公正性，和公司整体的运作。
3、评估期间外影响是指当部门和个人关心的PlanningHorizon短于公司时，评估期间之外的后果可能被忽视。造成短期行为。
制度不仅用来保证业绩的完成，而且是用来规定完成业绩的规则。比如1000米赛跑，运动员又串道，又拉人，最后跑了第一，但是违反了规则，影响了别人，破坏了比赛，应该要扣分或干脆取消资格。
因此，即便是对接受经营业绩评估的人，也必须加入制度遵循性的评估，而这个评估结果应该影响对管理人的评价和奖惩。
l 遵循性评估进入评估体系的条件
《内部控制标准》的建立：公允的，平衡的，全面的，可量化的标准；
足够的人力和能力保障普遍覆盖的评估，与普遍的业绩评估可整合。
公司最高管理层的授权：管理层必须认可内控评估的重要性，并确定与业绩评估的权重安排。
控制的实质是把个体的目标与机构的目标联系起来的过程。控制实现是通过告诉每个人：照这样做，否则对你不利。
l 控制的局限
l 必须接受的风险
比如：采购问题上，有使用部门和采购部门，在选择供应商环节上，是技术优先还是价格优先，权重如何分配？仅这一点，就是永远的争论焦点。特别是当两个部门分属不同的上一级领导，协调和终论也没有可能。这种时候，制度就变得无力了。有的企业用投资收益模型，用于分析不同产品的净收益，但有时这种模型中主观的东西更多，根本无法用。比如，广告采购，一个创意比另一个创意到底能相差多少净收益？一种网络设备比另一种呢？总之，连评标的原则都没有。谈何控制？
再比如，公司总部的预算工作，不给分公司预算，分公司如何做计划？为了实现收入任务，就有可能做出高风险的行动。但对总部来说，战略形式不明确，怎么能做预算？即便各级建立了预算制度，总部、分公司也没法保证执行。这种企业环节固有的风险，可能转嫁到各个管理层面。
我们必须接受，我们无法做好所有控制，甚至是那些看上去必须的至关重要的控制。因为控制目标的不确定性。我们必须理智地接受这种情况。
l 控制被破坏
机构管理层在董事会等机构控制之下，但是在机构本身的控制系统之外。我们无法控制那些雇佣我们进行控制的人。
最高管理层可以授权任何一个职能部门突破制度；或者决定对其放任。这可能是机构战略的一部分，出于资源和成本的考虑。但需要注意，最高级别的这种决定应该听取控制方面的意见。
机构管理层发出通知和指示。一些情况下，从性质上可以是管理细则和指导性文件。它们可以通过各种形式书面或口头发布。特点是符合控制要求。但是还有一种，本身与原由的制度不一致，确切说而是制度的改变。这些应该经过控制检查。否则，可能造成破坏制度体系的后果。
l 内部审计部的职能局限
审计部首先是一个调查和报告部门，不是一个执行或决策部门。制度授予了内部审计部检查的权利，和向管理层报告的责任。同时，根据当前体制和资源的安排，不能把内部审计部作为普遍制度遵循性检查的执行部门。审计部只能接受管理层委托，对风险重大的项目进行专向审计。另外，从资源和能力方面考虑，审计部可以将一些专向审计项目委托给具备资源的方面操作，并对过程和结论审核，对报告负责。
而真正制度遵循性的检查，应该通过各职能部门的检查评估或调查实现。
l 说来容易作来难
控制体系理论上说说容易，但实际操作总是面临着控制成本和风险的权衡，效率和安全的权衡；部门间、个人间利益的竞争；控制环境的制约，机构目标的理解和分解等等。职能管理部门的任务就是在这些矛盾和不确定中寻找有约束的优化（boundedoptimization）这需要大量的该职能管理的理论和经验。内部审计部在这个工作中将提供控制理论方面的指导服务，并代表公司的利益对这些制度进行基本的控制审查。这次管理制度修订项目，无意、也不可能覆盖所有环节必要的流程。因为控制目标和控制环境的不稳定；因为有些风险和控制点可能还没有意识到；因为意见还不能取得统一等等。但是我们的目标是建立一个框架和一种方法，在未来不断增补和修改和完善。
l 管理制度现状
按照我们前面所讲述地控制系统地结构和制度设计的要求，来描述和分析一下我们公司目前的制度状况。帮助我们更好地理解控制理论和制度设计实务，同时看看我们应该向什么方向改进。应该更注意什么。
SOP虽然是总部管理部门编写的，普遍存在两个被忽视的方面：首先，总部这个职能自身有什么责任（不仅是权利）。其次，分公司总经理的管理权利和责任。
l 对总部职能部门的控制缺失
首先，应该关注SOP中对总部职能部门的监督。SOP是这些部门编的，又负责解释，有时候又负责操作。设计者是不会主动关心对自己的控制的。那么，怎么来衡量这些部门的业绩呢？连一个横向比较的参照都没有，就算要领导层评，也需要有一个基础。职能部门自己也好知道公司对他们的质量标准（即管理控制标准）是什么。总部部门即设计监管同时又有一部分操作任务。在这种情况下，必须做到设计、监管与操作的分离。比如，骨干网的建设、运维，都是由总部进行，对本身的操作职能的监督机制并不健全。不能做到不相容职能的分离或引入外部控制。
l 没有规定分公司总经理的职责
另外一点，就是应该特别注意分公司总经理的控制职责。当管理权逐渐向地方下放的时候，总部对下级对口部门的管理无论虚线或实线都越来越“虚”了。应该讲，对这些基层部门，谁做评估和奖惩谁就是实线领导。谁就要对他们的表现负责。而这个负责人的制度遵循情况必须接受更高一级的考核。比如，分公司采购部的评估在分公司，他就不再是总部的直线部门，分公司领导就应该对他的表现负责。同时，分公司领导要接受公司一级对制度遵循性的监督和评估。这个工作应该由职能管理部门实施。评估的对象不应再是分公司的相应部门。
l 控制对象错位
总部出于控制考虑，由职能管理部门对分公司的部分职能直接管理，所谓直线。这些部门相关的操作，存在分公司局部和公司整体的利益的冲突；或者存在比较高的风险，需要提高控制级别。总部直接控制分公司对口人员，这种冲突会反映到分公司的对口部门执行总部制度和管理还是服从分公司领导指挥的两难选择。必须将这种矛盾排除。
拿采购职能举例。总部采购部应该负责制定政策并进行控制，要控制有效就必须能够落实评估和奖惩。最早是这样的。后来，由于分公司转向运营和收入，分公司总经理目前掌握着评估和奖惩，因为这种安排有助于对业务保障。这样就产生了一个问题，总部采购管理部门怎么能落实控制呢？总部部门控制不了评估和奖惩，分公司采购部不听你的；总经理还没有责任，因为她也不受这方面的评估。还不如规定分公司总经理有责任监督采购部执行公司制度。总经理为此接受评估。
l 没有惩罚措施
有一个因素使我们控制设计负担比较重，就是体制没有规定违规的处罚。本来，对于一个面临急剧变化的企业，人的流动，职务岗位变化快，本应该有特别及时，力度较大的奖惩，但是，因为内控标准体系本身尚不成熟，不足以作为奖惩的依据，至今没有针对违反制度的惩罚措施。造成了违规有恃无恐，处理无法可依。那么，在这个前提（控制环境）下，只能是通过特别严格的流程设计，保证将重大的违规连接到法律层次，即只要违反了某些控制目标，总能受到法律惩罚。（比如，你伪造了签字，那么造成的损失就可以通过起诉的方式惩罚）。这样的控制流程设计和操作起来负担就比较重了
l 问题产生原因
必须了解这些问题产生的原因，才能找到最实质的解决方法。
首先，从公司的发展看，一直面临一个很独特的矛盾：生存和发展之间的矛盾。生存需要以最快的速度膨胀，否则就失去了生存机会。网通是政府在电信产业改革放下的一颗棋子，除非能够短时间内发挥作用，就会失去存在的价值。失去政策的支持。而电信业又是极度依赖政策的，甚至直至今天是单纯依赖政策的产业。这种要么膨胀要么消失的选择决定了网通与大多数企业发展的轨迹不同。大多数企业可以选择在创立之初选择稳健发展，只有在管理能力和各种资源具备时在进一步扩张，每一步都照顾到下几步的发展。我们的管理和战略规划做不到这一点。因此，每一步的发展都受到上一步的牵累。业务的进一步拓展受到基础网络规划不合理的牵累，综合营帐受到系统不兼容的连累，资产管理受到建设物资失控的牵累，人事管理受到先期没有职位职称体系的牵累。制度建设严重滞后于公司的发展规模。从“人治”到“法治”，从创业型公司向成熟型公司的过渡仍在进行。
从管理能力上，团队组成强调新意识和创业的能力，而对一个新的电信企业如何建设没有经验。事实上，世界上也没有这种在垄断缝隙中高速发展的经验。从这个角度说，我们创造了历史。理解了这一点，我们就不用避讳我们管理制度的缺陷，不用埋怨我们的职能管理管理经验不足，管理上有许多不尽人意的地方。当规模和收入高速膨胀实质上是唯一的目标时，无论是控制的设计还是业绩考核的方法都会背离精细管理的要求。这种背离不能说是错误的选择。
从控制环境看，一个稳定和成熟的企业，部门之间，个人之间，部门与个人之间形成了长期稳定的战略互动关系。有名声、信誉、报复、报答等互动因素。博弈学上成为“RepeatedGamePattern”，这时，即使是完全出于私利，人也有动机维护一个好的名声，照顾别人，别的部门的利益，和服务于群体的动机。而一个动荡中的企业，各种关系不确定。个人之间、个人与部门利益之间的关系不密切，部门间的互动不长久。人的计划地平线缩短，形成“一锤子买卖”的模式。对名声、信誉，甚至职务地位等长期的发展因素不关心，短期的直接的自利动机增强。在这时，如果精密管理不到位，评价机制，奖惩机制力度不够，必然造成损害企业目标，违规和舞弊的动机。而在这种情况下，各级部门为了实现起码的控制，将可能利用非合规动机来刺激行为。比如，为了保证一线人员的积极性，有可能放松对假公济私的控制。又比如，为了保证一些管理者的积极性，放纵其对制度的破坏和违规，只要她能实现收入业绩。对于只有短期目标的机构，只要这种放纵能够支持机构目标的实现，机构就有动机维持这种放纵。但从长远看，这种隐形利益和违规机会分配成为激励机制成分的现象，会毒化道德环境，从而进一步损害控制。建立在这个基础上的控制，一旦机构被赋予长期目标，所有的控制方法必须彻底改变。
对于有长远发展信心和规划的企业，必须建立以公司长远目标为基础的控制标准体系、考核和评估机制，以及足够力度的分配和奖惩机制。这个认识，能帮助我们找到问题的起因，和解决的关键。企业或许在某个时期，实际上不需要这些制度。机构要速度，你非要托后腿；我要结果考核，你非要过程控制。得不到管理层的全力关注和支持，难怪不少制度无法推行。但一个机构，总有一天要精细管理，就会推翻以往的许多制度和控制方法。理解公司目标与控制的关系，能够帮助我们通过分析机构战略目标的变化，设计相应的控制，前瞻性地采用行动。
l 管理控制发展的趋势
信息技术的进步导致管理控制的变化。同时，机构从建立到成熟，管理制度也在不断的改变和完善。我们要用发展的眼光前瞻性的认识管理制度，一些我们绞尽脑汁没有答案的问题可能通过技术的进步就很容易解决了，而同时可能又会提出新的课题。我们应该从能力和知识上做好准备。
l 扁平化趋势
通过技术手段，管理层可以更详细更及时地了解各个部门的状况，先进的管理支持系统提供各种分析，报告。使得企业的管理结构可以更加扁平。管理于实地的距离缩短。管理者甚至越来越多地直接实施操作。每个管理岗位的职责将变得更加复杂。需要把更多地经理放到控制设计上。
l 从财务和遵循性向运营和创造性发展
为什么内部审计的重点从财务审计转向经营效率的审计，向管理咨询发展。这个现象是信息技术的进步一手造成的。不是企业的觉悟提高了，几千年来头一次想到除了查账，原来关心管理效率，流程设计那么重要。而是查账不用那么操心了。有计算机能够帮助实现综合服务平台，所有各处的帐务都在这个平台上处理，财务软件进步了，你想作假，不仅作不成，连你作假的尝试都马上报告给老板。坐在中央控制办公室搞定。信息手段的提高，使得许多以前必须靠对人的信任的环节转移到了对计算机系统的信任。这就使管理人从统计、报告、监督和指示的繁重工作中解脱出来，更多地关注管理控制系统的设计和改进。
l 共享服务中心
共享的网络和数据库实现跨地域的操作、服务和监督。控制从地域管理将向职能管理转变。可能今后有一天公司各地所有的成本会计都在一个办公室里办公，这将大大地改善控制环境。
l 坦白
最后，还得把您再说糊涂。免得您说全懂了，那可就把您给害了。从头到尾，我们讲管理就是控制，控制就是管理。这话没错。但是，要是有人说，管理就是决策，决策就是管理，您能说不对吗？从大战略的决策到最低层的小判断，比如螺丝拧在哪里，判断完了，剩下的就是体力活了。体力活不是管理。所以管理就是决策，决策就是管理。也可以说管理就是财务，因为所有的管理活动都是有形和无形资产在公司的分配和流动的过程。能够合理规划和控制，最经济地完成这个过程，管理就成功了。我还要说管理就是人力资源，事情是人做的，我们的所有活动都不过是对人力资源的组织，给所有人合适的事，监督他们，激励他们，剩下的事其实都是每个人自己做了。所以，只要你说人力资源搞定，管理就算搞定了。出了管理问题，一定是人的问题。哪项管理没做好，说到头都是人没组织好，或者能力不行。你说管理除了人力资源还有什么？现在您可能已经听出了门道：从不同的角度看管理，看到的是不同的东西。
但从控制看管理，是唯一的，把人的动机同机构动机联系起来的角度。解决的是动机问题。正是这种动机，决定了机构的所有活动。
让我们再回顾一次控制逻辑的原点：
控制的实质是把个体的目标与机构的目标联系起来的过程。控制实现是通过告诉每个人：Do it orelse…（照这样做，否则对你不利。）
l 管理人的视角是能力的关键。
管理是个Fashion，却又是科学。科学分硬科学和软科学。硬科学比如ERP、融资投资管理，财务管理等等，都是跟随着现代的信息技术手段和全球化的进程不断发展的科学，尽管都是“术”，但非常重要。他们为管理提供了有效的工具，给管理人的竞争码了更高的门槛。软科学就不一样了，这与Fashion的界限就划不清了。就像服装的Fashion,有貂皮的，塑料的，稻草的，都是大师的杰作。出了那么多书，算挂瞎说的不少，得便宜卖乖得也有。赌博赌赢了，也写一本如何大胆冒险的书。如何做一个好老板，如何管理你的老板，您看这本书的时候，你的老板正看如何管理您呢。这类书需要看，但看多了就胡涂了。为什么？因为根本就没有标准。无论出一个什么花样都有一群看热闹。与此同时，管理科学最深刻和实在的东西被忽视了。控制科学，这个精美的逻辑科学被冷落到了一边，被浮躁的实用教条取代了。为什么？因为现今所有东西都讲究快，快就能掘到金子。先吹起大泡，财富就滚滚而来。有些成功的企业家当初可能就看到了这点。要真是这样，队伍中当然要选快枪手了。但当我们要扎实做企业的时候，这些快枪手必须补课。一个产业，当它从投机到常规的时候，变化最大的就是管理的精细化。超市零售业最成功的企业和破产的企业的产品利润率差距不到1％。管理人每天就要想办法在售价上能加上这1％，或者成本上降下这1％。这时候，没有一点扎实的功力恐怕就不行了。管理学上，有同数学、哲学一样美丽的“控制逻辑学”。它可以作为我们分析的基础。
像看魔术，小孩子学到什么？拿根棍子在帽子上敲一下再翻过来，就会飞出一只活鸽子。回家怎么也练不会。原因是咱学的东西方向不对，应该到后台去学。这是我们说的机会。想得到这个机会入围，你必须从后台扫地打水开始。但另外，你还要用心,从心里有这个需求。人家牛顿看到苹果落地，就能拼命想苹果和地球之间的关系。要放我们一般人，捡起来就吃了，再有追求也不过晃荡晃荡树，看看还掉不掉。我们吃了一肚子苹果，人家牛顿就发现了万有引力。一本书，有人看的是热闹儿，人家是怎么干的！有人看门道，人家是怎么想的。这样同样经过了一样的历程，心路却是不一样的。这就是管理人境界提高的道路。
悟道如果真的比读教条用教条更容易的话，所有人都会选择这样了。为什么没有呢？这是因为有利有弊。弊在暂时的效率牺牲，你上手就是不如人家快。人家拿教条已经把事情做完了，你还在琢磨道理。与多数人的习惯不一样，在别人眼里会显得迟钝和没有效率。甚至你看到的东西根人家看到的不一样，沟通不了，会真的影响执行能力。选择学道还是学“术”，关键要看你的环境。必须能够游刃有余地完成基本的任务，使得人家不会因为你没有贡献或效率把你开除圈外。之外，再拿出精力来悟。这就要求一个人不能总是急功近利，急于追求自己很吃力的操作。拿出精力来挑战自己的悟性。英文Striver就是形容一种每天都在挣扎的人。有的为温饱，有的为更多的财富和权利。后者其实也挺不幸，因为他永远没有安全感。为什么？因为他知道自己并不胜任。怎么能把他们同那种开发自身潜力，不懈追求理想的人区分开呢？我想就是看他们是不是尽可能在悟道。因为悟道是远见，而理想也是远方的东西。
不是鼓励所有人随时都去悟道，再强调一遍，这是一种选择，不是另一个教条。有许多时候环境并不允许你这种奢侈，只能慌不择路饥不择食。孤注一掷地做事而不多想，对于化解生存危机和尽快达到一个更广泛的视野都是合理的选择。但是，看到这种悟道选择，你的眼界会更宽广，你可以在不同的条件下做不同的选择。这就向自由王国更进了一步。
