风险管理和内部控制很重要。每个组织都需要它们。组织可以是公司。组织可以是学校。组织可以是政府部门。没有风险管理和内部控制。组织就会遇到麻烦。麻烦可能很小。麻烦可能很大。大的麻烦会让组织倒闭。员工会失去工作。投资者会损失金钱。社会也会受到影响。我们不想看到这些。所以要认真对待风险管理和内部控制。

什么是风险管理。风险管理就是找出危险。危险就是可能发生的坏事。坏事可能来自内部。坏事可能来自外部。内部危险是组织自己的问题。比如员工不诚实。比如设备老旧。比如流程混乱。外部危险是外面的问题。比如市场变化。比如新的法律。比如自然灾害。风险管理要做三件事。第一件事是找到危险。第二件事是评估危险。评估就是看危险有多大。看危险有多可能发生。第三件事是处理危险。处理危险有几种方法。可以避开危险。可以降低危险。可以接受危险。也可以把危险转移给别人。比如买保险就是转移危险。

什么是内部控制。内部控制就是制定规则。规则让工作有条理。规则防止出错。规则防止欺骗。内部控制像一把锁。锁保护公司的财产。财产包括钱。财产包括物品。财产也包括信息。内部控制有五个部分。第一个部分是控制环境。控制环境是基础。领导要重视控制。领导要以身作则。领导要强调诚信。员工就会跟着做。第二个部分是风险评估。就是前面说的风险管理。第三个部分是控制活动。控制活动是具体行动。比如不同的人管钱和记账。比如批准东西需要两个人签字。比如定期检查仓库。第四个部分是信息与沟通。信息要及时准确。员工要知道自己的责任。员工要知道有问题向谁报告。第五个部分是监督。监督就是检查。检查内部控制有没有用。检查内部控制是否被遵守。发现问题就要改正。

风险管理和内部控制有什么关系。它们是一起的。风险管理看外面和里面的危险。内部控制主要对付里面的危险。内部控制是风险管理的重要工具。没有好的内部控制。风险管理就很难做。比如风险管理发现员工可能偷钱。内部控制就建立规则。规则规定钱必须放在保险箱。规则规定取钱需要经理批准。规则规定每天对账。这样偷钱的风险就降低了。它们的目标是一样的。保护组织的安全。帮助组织实现目标。

我们看一个例子。有一家小商店。商店卖日用品。店主一个人忙不过来。雇了一个员工。员工负责收钱。员工负责看店。一开始没有控制。钱箱里的钱谁都能拿。店主发现钱总对不上。有时候少一点。有时候少很多。店主问员工。员工说不知道。这就是风险。风险是钱丢失。可能是员工偷拿。可能是顾客偷拿。可能算错账。店主开始想办法。这是风险管理。他先找出危险。危险是钱箱无人看管。危险是员工可能不诚实。然后他评估危险。丢钱的可能性很高。丢钱的损失不小。最后他处理危险。他决定降低危险。他建立内部控制。他买了收银机。每笔买卖都记录。钱箱只有收银员能打开。他规定每天关门后数钱。数钱要和收银机记录对得上。他偶尔自己核对货物和收入。这就是控制活动。他还告诉员工。诚实是最重要的。这就是控制环境。他每天查看记录。这就是监督。经过这些改变。钱不再少了。商店经营得更好了。这个例子很小。道理是一样的。大公司也是这个道理。只是更复杂。

再看一个大点的例子。一家制造公司。公司有很多部门。采购部买材料。生产部做产品。销售部卖产品。财务部管钱。如果没有内部控制。采购员可能吃回扣。买又贵又差的材料。生产工人可能偷懒。产品质量很差。销售员可能私下打折。把钱装自己口袋。财务可能做假账。公司的钱就危险了。风险很大。公司必须建立内部控制。公司制定明确的制度。采购材料要货比三家。要签订合同。要经过经理批准。生产产品有标准流程。有质量检查。销售产品有统一价格。有销售合同。收款要及时存入银行。管钱和记账要分开。财务报告要定期审计。公司还要评估外部风险。比如材料会不会涨价。比如产品会不会过时。公司想办法应对。可能多找几个供应商。可能多研发新产品。这些就是风险管理和内部控制一起工作。

做不好风险管理和内部控制会怎样。有很多真实的教训。有些大公司做假账。欺骗大家。事情暴露后。公司破产了。高管坐牢了。投资者血本无归。员工失业了。这是因为控制环境坏了。领导自己不诚信。监督也没用。有些银行被骗很多钱。因为贷款时没有好好调查。没有控制好风险。最后产生大量坏账。银行倒闭。大家存在里面的钱可能拿不回来。有些工厂发生爆炸。因为没人检查设备安全。没人管理危险品。这是风险评估没做好。控制活动没到位。结果造成人员伤亡。环境破坏。公司也完了。这些后果很严重。所以不能忽视风险管理和内部控制。

怎么做好风险管理和内部控制。首先领导要真心想做。领导不能只说空话。领导要行动。领导要把控制放在心上。花钱建立制度是值得的。这是投资。能避免更大损失。其次要让大家明白。每个员工都有责任。普通员工要遵守规定。经理要监督好。内部控制和风险管理不是财务部一个部门的事。是所有部门的事。销售部要管销售的风险。生产部要管生产的风险。再次制度要适合自己。别人的制度可以学。但不能照搬。小商店不用像大公司那样复杂。简单有用就行。大公司制度要细致。但要防止太繁琐。太繁琐大家就不愿执行。最后要一直检查。一直改进。世界在变。危险也在变。今天的控制方法明天可能没用了。要经常看看制度还行不行。要听听员工的意见。要利用新技术。比如用电脑软件监控风险。用数据分析发现问题。

风险管理和内部控制听起来很深奥。其实就在日常工作中。仓库管理员锁好门。就是控制。会计对账仔细。就是控制。司机开车前检查刹车。就是风险管理。工人戴安全帽。就是风险管理。它们很普通。它们很重要。它们让组织平稳运行。它们保护大家的利益。做好这些事。组织才能长久。员工才能安心。社会才能信任。这是很朴素的道理。需要我们每个人认真去做。从自己岗位做起。从一点一滴做起。风险就会变小。控制就会有效。目标就能达到。这就是风险管理和内部控制的真正意义。