讲到企业内控，第一要素是什么？答案是人性。
任何事情都有两面性，人亦不例外。对于一个企业来说，其本质是单个个体组成的暂时性利益联合体。
所以，内控要做的就是对于人性的风险管理，“所谓一半天使、一半魔鬼，我们要做的便是抑恶扬善。消除员工‘作恶’的意愿和机会是风险管理的根本。”
谈到人性的问题，王晓婷举了一个例子，一家上市公司在发展到一定阶段的时候，被另外一家企业收购，收购后新入股东收到了来自10多名高管对时任CEO的集体举报信。新来的股东收到信后，一方面选择更换了管理层，另一方面对于CEO展开了调查，经过一年多的调查，新任股东发现CEO确实存在问题，随后CEO被依法问罪。
但随之而来的问题是，被误伤的管理层怎么办？是否需要官复原职？
“这个案例不单单涉及到内控的问题，还有风险管理的问题，以及人性的问题。”
最后，结论是原管理层不予官复原职，只予进行经济补偿。
原因在于，此事件已经持续了近两年，如果原管理层回来，对于现有的制度、体系、人事架构等无不会产生重大冲击，此外，更为重要的是：你无法度量两年中人性的发展变化，而这无疑是一项最大的风险。
“企业内控永远是与人斗，其乐无穷。”王晓婷总结道。
那么，一个企业在做内控的时候，最后判断的标准是什么？
答案是KPI考核。
“所有的内控一定要跟KPI考核放在一起。如果没有KPI考核，那么内控将无法进行下去。”王晓婷称。
这又是由人性决定的。
人性现实存在的理性的、自立的特点，决定了投资者对于管理人的不信任，除此之外，还存在着管理层和普通员工之间的信息不对称，所以才有了KPI考核。
KPI所到之处，的确有立竿见影之效。
例如，一家苦恼于市场人员与客户“内外勾结”的互联网金融企业，如何防患这一风险呢？可以选择将市场人员的KPI考核与销售业绩挂钩三个月，如果销售人员三个月内不还款，则扣掉绩效佣金。
但有了KPI不等于消除一切风险，关键还是要看执行效果。“我们的KPI做得对不对？战略上能不能实现？这都是风险。”王晓婷说。
更何况，KPI的制定过程本身也充满了博弈与权衡。
例如，对于一个销售型企业来说，KPI的指标如何制定呢？显然，过低、过高都不合适，过低便可能带来易主的问题，过高则可能会带来其他风险。
此外，很多公司还要处理部门之间的关系平衡问题，销售老大着眼于获客，做产品的注意力在业务量上面。部门之间的博弈，也会影响到KPI的业绩考量。
一个企业最理想的抗风险境界是实现“风平浪静”。即，风险已经通过市场调研法、财务报表分析法、流程图法、事件处理法被识别了。
然而，这并不容易实现。很多企业要一直致力于和风险对抗，即使是那些已经成功的企业。而事实证明，成功的企业风险是最大的，因为其模式可以被广泛复制。
中国可以说是世界上内控最难的国家。市场上充斥着诸多实实在在的风险案例。有一把手舞弊、有内外勾结、有因行业规则而使得内控失效的、亦有因员工素质低无法执行内控制度的……不胜枚举。
因而企业暴露在方方面面的风险之中，有过程性风险、管理的风险、相关性风险、安全性风险、信誉的风险、管理欺诈的风险、人工第三方的风险、非法产品的风险、违规行为的风险等等。
企业的每一个重大的事故背后包含着300个一般事故和29个较大事故，它们共同组成了一起重大事故。所以不要轻易小看任何一起小事故，它甚至可能是将企业推向灭顶之灾的悬崖。
其实一切的风险最后都表现为财务的风险。“没有暴利的风险才是真正的风险。”
对于企业来说，负债既是风险也是机会，它永远是压垮企业的最后一根稻草。
而以什么态度来对待负债、对待现金流显得极为重要。对待现金流的态度是企业风险意识的集中体现。
所以，在做每一项策略的时候，要做出正确的判断：这件事对于行业会带来哪些冲击、蕴含哪些风险？你选择以什么样的方式进行应对。面对同业竞争，很多企业会选择降价，其实这并不是最好的方式，如果你选择降价，则仅需三天的时间便会被同业超过，但若你选择推行新的技术、更新产品，则给自己增加了3-6个月的竞争力。
但事实上，风险管理、尤其是内控管理这条路上，并无捷径可言。其中，“最根本的、最重要的还是对于人性的考量。”王晓婷说。
谈到企业内控，一件至关重要的事情是：披露。
但是现在的一些企业都倾向于向公众、投资人展示好的消息，对于不好的消息则尽量隐瞒。
好消息自然要披露，那坏消息呢，是否需要披露，如何披露都是门道。
如果你有一个大的好消息和一个小的坏消息，或者是你有一个大的坏消息和小的好消息，应该怎么打这个消息组合拳呢？
其实，小的坏消息容易被大的好消息冲击掉，但是大的坏消息和小的好消息的配置就要特别处理。
比如，一家公司拿到了监管的整改通知书，便第一时间向公众公开说明情况，虽然表面上看，收到整改通知似乎不是一件好事，但是对于P2P行业来说，这意味着一只脚已经迈进了监管之门。反而是个好消息。
任何披露都会带来经济后果，任何事情都有成本。信息披露最终将决定公司的财务、利润、收益。因为，披露之后，市场，消费者，监管层都会有新的解读。
所以，我们信息披露的前提条件是什么？是要看当前处在一个理性市场还是非理性的市场。披露是本质，通过充分的披露可以让投资者自行决断，但前提条件是，我们要对所有参与市场的活动者和玩家是否是理性的有个充分判断。
此外，要处理好披露和宣传的边界。我们既往做的最多的其实都是宣传，告知世人企业有了技术升级，引进了行业大咖，产值实现翻番等等。
其实对于内控部门而言，并没有特别关键的指标。
企业首先要对内控有个清醒认知，摆正内控的位置，内控不应该是紧急救火员，而是日常管理的基础。就像扁鹊被奉为神医，他自己不以为然，认为自己的哥哥医术才是最高明的。因为他医治的病人大多是病入膏肓的，而哥哥是防患于未然。“内控也应该做这样的长兄。”
（看得还不过瘾？可识别下文二维码，参加一本财经风控闭门训练营，和风控大师和传奇黑客一起寻找行业破局）
长按图片识别二维码或点击阅读原文报名
▼
