2010年1月1日，《企業內部控制基本規范》（簡稱內控）在上市公司范圍內正式實施。內部控制作為上市公司風險管理工作中非常重要的一環，對于加強企業風險控制，提高企業經營管理水平、風險行為防范能力和確保公司戰略目標得以實現具有重要意義。
　　《內控》自從2008年5月由財政部、證監會、審計署、銀監會、保監會等五部分聯合提出以后，開始受到正式的關注，實際上早在2000年左右企業內控就已經在大型企業中受到關注。由此可見，內控的發展很早就已經得到上市公司及國有大型企業了廣泛的關注。對于內控，從CIO的角度來看，有一部分CIO表示出內控是企業是合規部或者是審計部的事情和IT本身沒有太大的關系，IT只是給審計部提供一定的IT工具，認為IT和內控的聯系不是很大，而且CIO認為內控會增加企業的成本。那么，如果是基于這樣的原因，內控又是必須做的針對于上市企業，那么內控的落地是否還要還需要IT系統支撐？是否還是需要CIO所去關注？帶著這些問題和困惑，記者日前采訪了中國石油化工股份有限公司信息系統管理部教授級高工 吳正宏，分享了他是如何看待企業內控及其與內控與IT的關系的精彩觀點，以饗讀者。

　　內控的“牧羊人悖論”

　　我們知道從上市的企業來看企業分來兩種類型， 一種是海外上市，一種是國內上市。在國外上市的企業尤其是美國上市的企業，必須要符合美國的薩班斯法案，而美國的薩班斯法案又是極其嚴格的，而在國內上市企業來看，國外的薩班斯法案的要求方面和國內的內控要求基本上是一致。

　　說到內控，相當于中國的“薩班斯法案”，那么薩班斯法案出臺的背景和目的又是什么？吳正宏說道， 實際上講，薩班斯法案出臺的背景是為了規范上市公司的行為。同時他指出，股市是指一個企業的融資的市場，企業缺少資金會把一分部分轉為股權讓股民來認購，認購后拿錢做企業、分享企業的利益。自但從美國的安然事件、中國的銀廣夏事件，股民發現被騙，而且投資者不愿意參與，在這種環境下如果不去規范市場環境，整個融資市場運行就會出問題。

　　基于這樣的背景必須要有一個良好的市場制度，政府要建立一個好良好的市場制序，股民覺得企業是可信的，股民愿意把資金交給企業，然后由政府替監管著企業遵守相關的規矩等，這樣保證企業正常發展、社會的正常發展。

　　現階段，在企業中存在著這樣一種現象決大多數企業是做事為主，但還是有個別的企業，有著“撈一把”就走的想法，要不規避這些企業的不良行為，就不會有一個良好行為，沒有良好的行為，企業就無正常發展。而在管理界，有一套著名的《牧羊人悖論》，講述的是一塊草地所有人都在這里養羊，養多了就會把草地破壞。這時就要做一個規矩，每戶只許養一百只羊。如果有一家多養一只羊，其它人可能看不出來，而養羊戶也可以多增加效益，但所有的人如果都要往這草地多養一只羊，那么這塊草地就會荒了，怎么辦？

　　“必須有人去管理這件事情、必須有一個組織管理，要監督對于不守規矩的人”。 吳正宏指出。

　　從牧羊人理論看企業內控的問題，牧羊人理論反映了內控存在的一些基本問題。，很多的企業認為做內控會增加的很多負擔，尤期是金融危機的關口上，那么它為什么要給企業增加負擔？

　　吳正宏強調，它實際上是給企業一個健康發展的環境，如果沒有政府、沒有監管環境，那我們的企業沒有一個良好的生存環境下，在股市上很多人會擔心企業會不會把資金套走。所以，內控制度本身是從宏觀的角度出發，凡是規范的企業這種環境是有利的。從大的環境來看，對于企業是有利的，它可以創造良好的環境，建立良好的社會環境對于企業非常重要，作為一個負責任的企業有義務完成這種審計的要求；作為負責的企業按照內控的標準去做，合規是企業的社會責任。不這樣做對于企業從局部的角度來講是有利的，如果社會環境變壞，企業也沒有辦法生存。 從這兩個高度來看，內控是完全有必要的，對于企業有利的不是額外給企業增加負擔。

　　另外，如果企業沒有規則可遵循，“羊”越來越多“草地”就會沒有，那怎么來處理？只有少養“羊”，企業都能有“羊”。由此，內控是有必須做的。當市場發展不充分的時上市企業不是很多，那時內控可能不是很明顯，因為只有幾家企業上市很好控制，但是企業上市比較多就必須有監控，這種規則不僅是體現在上市公司的內控方面。 換個角度來看如果沒有銀監會、管控等法規，我們敢把錢往銀行存嗎？ 這些道理是和內控一樣的。

　　IT和內控密不可分

　　內控即然這么重要，那么IT在內控中扮演著什么樣的角色，他們之間又是有何關系？有觀點稱IT會給內控帶來新的風險，但伴隨新風險的產生，新的工具也產生了。只要使用得當，就能非常有效地降低這種風險對組織可能造成的損害直至最終合理保證內部控制的目標。

　　據一份內控資料顯示，IT對企業內部控制系統的影響主要體現在：一是企業的業務流程部分甚至全部由信息系統驅動和承載；二是企業內部控制系統依賴于以信息技術為基礎的控制；三是企業內部控制的建立依賴于信息系統生成的數據。由此可見，I T或者信息化中內控的落地中至關重要。

　　那么，對于石化類的大型企業，內控和IT之間他們又是怎么樣的關系？

　　如果按照內控的規范要求去做會使企業的成本變高，為什么企業說成本變高、做事的效率降低？怎么解決這些問題？吳正宏認為主要有幾點：

　　企業做合規或者是內控來講IT是非常重要的支撐，IT的作用是提供業務自動化的平臺。自動化的平臺是什么？就是用自動化提高我們的效率，比如ERP，沒有自動化的平臺、流程走不下去。手工做ERP的思想是做不下去的。

　　第二、按照合規的要求去做、流程變復雜、更嚴格，怎么保證運行的效率？用自動化平臺用IT的手段， 效率就提高。

　　第三、 流程變得很復雜、監管也很復雜。一定要按照流程去做，不按流程去做又不行，怎么辦？還要用自動化平臺變成一個規范的操作， 如ERP，沒有ERP系統以前有很多的規矩走不下去。在ERP系統里就已經設定流程沒有這步，走不下去， 避免出現“短路”的現像 。

　　第四、計劃外怎么辦？計外內怎么辦？大企業無法查出來，通過系統就可以顯示出來， 沒有計劃就沒有辦法批變成一個種規范操作。

　　第五、要對企業的業務流程不斷的考核依據是什么？以往手工來做很難評價，現在在自動化的平臺上，數據采集自動化同時進行。用這些數據進行分析，用這些數據對于流程的操作進行考核，對于優化有了考核的支撐。”

　　從幾個方面來看，一、是提高運作效率；二、提高規范程度；三、把難以考核、難以優化的系統變為一個可考核、可優化的、可監管的系統。 所以 ，IT在內功的發展中作用非常大，對于企業來講就不用IT，那做內控就事半功半、叫苦更多。