中小企业做内控，最常见的两种极端：一种是不做，靠老板盯、靠老员工的经验；另一种是照搬大企业制度，写了几十页，实际没人执行。
内控的本质不是制度厚度，而是让关键事项「有人发起、有人审批、有人执行、有人复核、有据可查」。人数少的企业同样可以做到，只是方式要更轻。
一、先选流程，不要全面铺开
建议从四类流程开始：资金、采购、销售、费用。这四类覆盖了大多数资金流出和流入，也是风险最集中的地方。税务申报可以单独作为第五类，因为它的错误往往影响面更广。
选择标准很简单：
- 涉及金额大或频次高
- 过去出现过问题或争议
- 高度依赖个别人，一旦离岗就断档
- 外部检查或客户审核经常关注
二、每个流程回答五个问题
不必写成长篇制度，用一页纸把五个问题答清楚，就能形成可执行的控制：
- 谁发起：什么事项由谁提出，需要附什么材料
- 谁审批：按金额或性质分级，超过权限如何上报
- 谁执行：具体操作人，是否可以兼任
- 谁复核：复核什么内容，复核后如何留痕
- 异常怎么办：不符合条件时如何升级、由谁决定
以付款为例：业务部门提交付款申请并附合同、验收单、发票；部门负责人审核业务真实性；财务复核金额、账户、票据和预算；超出一定金额由负责人审批；紧急付款单独登记并事后补审。这套规则不复杂，但能覆盖大部分风险。
三、围绕实际风险设计控制点
控制点应当对应具体风险，而不是为了齐全而设置：
- 大额付款：合同、验收、授权三件套齐全
- 费用报销：业务真实性证明与审批过程完整
- 销售与收款：订单、发货、开票、到账能对应
- 采购与入库：验收记录与发票、付款匹配
- 税务申报：关键数据由经办人与负责人双确认
- 印章与账户：使用登记，权限分离
每条控制都应有明确的执行人和留痕方式，否则只是纸面要求。
四、处理岗位冲突：用补偿控制
小企业很难做到完全职责分离，一个人可能既管钱又管账。这种情况下，可以用补偿性措施降低风险：
- 由负责人定期复核银行流水与账面记录
- 关键操作设置系统权限，保留操作日志
- 每月由非经办人做一次抽查，并记录结果
- 重要支付采用双人确认或限额管理
- 定期轮换或交叉检查部分工作
补偿控制的关键是「有人真的看」，而不是签字了事。
五、定期回看例外情况
例外事项最能反映流程是否有效。建议建立一份例外登记表，记录：
- 紧急付款、超权限审批、先执行后补单
- 手工调整的账务处理
- 无法取得标准凭证的支出
- 客户或供应商的特殊结算安排
每月或每季回顾一次：例外是否集中在某个人、某个部门、某类业务；是否可以通过调整流程减少例外。例外长期高频出现，说明流程设计与实际业务不匹配。
六、让内控跟得上业务变化
企业新增业务线、开设新门店、上线新系统、人员大幅变动时，原有控制可能失效。建议在这些时点主动做一次检查：新流程有没有对应的审批和复核、系统权限是否重新分配、交接是否完成。
七、常见误区
- 把制度当成内控：文件写得漂亮，执行无人负责
- 控制点过多：每个环节都要签字，最后变成走过场
- 只防员工不防管理层：超权限审批没有约束
- 忽视留痕：口头同意、事后补签，无法追溯
- 一次建设长期不改：业务变了，控制还停在两年前
常见问题
只有十几个人的公司需要内控吗？
需要，但形式可以很简单。重点是关键事项有复核、有记录，而不是建立完整体系。
内控会不会降低效率？
设计不当会。建议按金额和风险分级，小额常规事项简化流程，大额或特殊事项严格审批。
内控能保证不出问题吗？
不能。内控提供合理保证，降低发生概率和影响，但不能消除所有风险，也无法替代管理层的判断。
本文为一般管理方法整理。具体控制设计应结合企业组织结构、业务特点与现行规定确定。