企業建立內控體系需要在資源的有限性與問題的無限可能性之間尋求一種平衡。那么，應該如何用好企業有限的資源呢？這是很多企業管理人員現實中感到很糾結的問題。我想起很多年前的一部電影《少數派報告》，和《后天》、《盜夢空間》等一樣，這部優秀好萊塢影片的豐富想象力同樣會讓人產生如幻如真的感覺。故事描述的是在未來的世界里，人類可通過“先知”來預見可能會發生的暴力犯罪，預防犯罪小組可以預先制止尚處在疑犯思維概念中的可能事件。
有了這個法寶，暴力犯罪率基本接近于零，整個社會一片和諧。
影片中降低犯罪發生率的最有效手段在于：通過對犯罪風險（可能的暴力犯罪）的預判（先知超級靈敏而準確的判定），在犯罪事實發生之前采取措施（預防犯罪小組的行動）。現實中的犯罪防范成本之所以高，是因為現在的科學技術尚不能對于犯罪風險提前進行準確預判。
回到企業內控的問題，目前大多數中國企業的內控體系建設水平可分為以下幾種情況。
一是形式主義，即為內控而內控，通過各種途徑收集一些“最佳實務”的參考資料，生搬硬套，草草了事。這種類型的內控建設，屬于初級狀態，重形式而輕實效，對企業實際管理能力的提升并無多少實質性幫助。這種類型的企業還不在少數。
二是被動式、救火型，即內控建設缺乏體系性和預見性，管理層往往充當了“消防員”的角色，以問題為導向，出了問題、解決問題。這種類型的企業內控優于形式主義，它是以解決企業實際問題為出發點的，但由于缺乏預見性，內控建設往往落后于企業不斷發展的實際管理需求，老是跟著問題跑。這種類型的企業可以說占了較多數。
三是主動式、預防型，即內控體系的建設以風險為導向，企業有限的資源主要針對最有可能出問題的高風險區域。這種類型的內控建設，屬于內控建設的較高級階段，企業管理層在內控建設過程中，立足于過去的經驗，著眼于未來的發展，內控管理具備了戰略前瞻性，企業有限的資源能夠發揮更大的管理效用。然而，這種類型的企業目前并不是很多。
既然以風險為導向的內控建設可以幫助企業更好地配置資源、發揮更高的管理效用，那么，為何大多數企業沒有做到這一步呢？最主要的原因是：以風險為導向進行內控建設的思路，對企業各層級人員的綜合素質和能力都提出了更高的要求，而這一點恰恰是中國現在大多數企業比較不足的。這種能力的缺失，既有主觀原因，也有客觀原因。中國企業在市場經濟的大環境下開始競爭、生存、發展，至今不過30多年，企業管理者們對企業所面對的各種風險尚處在逐步認識的過程和階段。并且，多年來中國企業家們所需要面對的還不是完全意義上的市場經濟環境，還摻雜著其他形形色色非市場因素的干擾。在這種環境下，多數企業家對風險管理和內控可能帶來的企業管理效益的認識和認同，遠不如“關系管理”等所帶來的效益那么深入、直接。而建立以風險為導向的內控體系，意味著企業內部的管理水平需要提升，要達到這樣一種狀態，企業需要付出相當的成本投入。當整個大環境還未達到完全市場化競爭時，企業家們對于這樣的一種投入最終所帶來的管理效益心存疑慮，所以現階段很多企業并未產生足夠的主觀能動性。
然而，也有越來越多企業家認識到，隨著中國越來越快地融入世界經濟大環境，我們如果還只是滿足于一個地區、一個國家的小格局，將遲早被市場所淘汰。風險管理的概念早在上世紀50年代已經開始逐步融入國外先進企業的經營管理理念中，因此，對于具有前瞻性的企業而言，需要將以風險為導向的內控體系建設作為一項戰略來看待，需要從今后5年、10年可能面對的競爭格局來提前進行準備與部署。
建立這樣一種以風險為導向的內控體系，究竟應該怎么操作呢？簡單說，以風險為導向的內控體系，可以用這樣的一個公式來表示風險管理和內控的邏輯關系：固有風險－內控管理＝剩余風險。這與僅僅關注內控體系本身是否有效有所不同，需要從風險管理的角度出發，考慮內控是否有效地管理了風險，并清楚什么是剩余風險及其應對措施。具體一些的操作步驟如下。
一是圍繞企業的戰略、運營、財務等目標，識別、評估企業可能面對的所有固有風險，形成風險清單及相應的重要性排序。
二是針對所識別出的風險點和重要性順序，逐一判斷企業現有內控體系的控制措施是否能夠有效降低風險發生的可能性或者嚴重程度。
三是如果現有內控體系的控制措施失效，那么是否可以通過改進工作（設計整改、運行整改）實現控制有效。
四是通過內控體系管理了固有風險發生的可能性或者嚴重程度之后，剩余的風險是否可以接受？如果不能接受，那么是否可以采取進一步的風險應對措施？建立以風險為導向的內控體系，也就是上述4個步驟反復循環、不斷優化的一個過程。
最后，我想以管理大師彼得·德魯克的一段話作為結語，與各位企業家分享：“明天總會到來，又總會與今天不同，如果不著眼于未來，最強有力的公司也會遇到麻煩。對所發生的事感到吃驚是危險的。哪怕是最大的和最富有的公司，也難以承受這種危險，即使是最小的企業也應警惕這種危險。”（作者為友聯時駿企業管理顧問有限公司董事）
