內(nèi)部控制的目標是合理保證企業(yè)經(jīng)營管理合法合規(guī)、資產(chǎn)安全、財務報告及相關(guān)信息真實完整，提高經(jīng)營效率和效果，促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。在實務中，內(nèi)控體系按目標分成三類，一是合規(guī)型內(nèi)控，主要關(guān)注合法合規(guī)、資產(chǎn)安全和財務報告目標；二是管理型內(nèi)控，除了關(guān)注前三目標，重點關(guān)注經(jīng)營目標；三是戰(zhàn)略型內(nèi)控，五個目標都關(guān)注，特別是經(jīng)營和戰(zhàn)略目標。

目前，大部分企業(yè)的內(nèi)控體系都屬于合規(guī)型內(nèi)控，只有少數(shù)企業(yè)的內(nèi)控是管理型或戰(zhàn)略型內(nèi)控。主要原因有三，一是合規(guī)型內(nèi)控容易設(shè)計和實施，相對于經(jīng)營目標和戰(zhàn)略目標的控制活動，合規(guī)目標、資產(chǎn)安全目標和財務報告目標的控制活動具有一定的強制性和普適性，變化的空間不大。二是內(nèi)控管理是企業(yè)管理的一部分，企業(yè)本身的管理水平不高，因此內(nèi)控管理水平也不高，無法達到管理或戰(zhàn)略型內(nèi)控，比如，戰(zhàn)略型內(nèi)控，目的是要實現(xiàn)戰(zhàn)略目標，但是企業(yè)沒有戰(zhàn)略管理體系，也沒有戰(zhàn)略管理部門，企業(yè)還處于機會導向時期，完全憑老板個人的經(jīng)驗和直覺做戰(zhàn)略決策，在這個階段，往往難以建立起戰(zhàn)略型內(nèi)控。三是，內(nèi)控管理部門人員專業(yè)水平比較低，無法達到管理公司的經(jīng)營風險或戰(zhàn)略風險的水平，只能在低層次的目標上開展工作。

企業(yè)建立內(nèi)控體系是一個長期的過程，從合規(guī)型內(nèi)控到管理型內(nèi)控再到戰(zhàn)略型內(nèi)控需要循序漸進。內(nèi)控體系受企業(yè)的整體管理水平的制約，同時也推動企業(yè)管理水平提升，是相互促進的過程。

目前，企業(yè)的內(nèi)控體系以合規(guī)型內(nèi)控為主，造成內(nèi)控避重就輕，只關(guān)注控制，缺少價值創(chuàng)造。因此，就出現(xiàn)內(nèi)控建設(shè)主要是增加審批環(huán)節(jié)的現(xiàn)象。增加審批環(huán)節(jié)后流程變長，效率變低，但風險不一定得到控制。

一些企業(yè)對某些流程設(shè)計過多控制活動，導致流程效率低下，甚至影響業(yè)務的開展。比如有一家民營企業(yè)，煤是其主要生產(chǎn)燃料。采購煤過磅的時，制度上設(shè)置需要參加的人員包括：倉庫管理員、采購員、生產(chǎn)調(diào)度員、財務、經(jīng)營管理部人員（負責考核的人員），經(jīng)常因為無法及時召集六方人員而導致不能及時過磅。后來咨詢公司給它簡化控制，只要倉庫管理員和采購員兩方在場就可以過磅，效率提升了，也沒有發(fā)生舞弊現(xiàn)象。又比如某國有集團企業(yè)，有一次一個下屬子公司申請水溝修理，費用金額十幾萬，要批到集團董事長，從發(fā)起到結(jié)束有10多個環(huán)節(jié)，中間所有環(huán)節(jié)都順利通過，集團董事長對費用額度提出質(zhì)疑，申請被退回；申請人修改費用額度后重新走流程，中間所有環(huán)節(jié)又順利通過，集團董事長又對使用的材料提出質(zhì)疑，又被退回修改重新走流程，一個水溝修理的事情，審批流程走了三次花了幾個月時間。這是企業(yè)內(nèi)部控制中經(jīng)常出現(xiàn)現(xiàn)象，一方面審批環(huán)節(jié)眾多，一筆費用報銷十幾個人審批是平常事，其中很多是無效審批的，沒有業(yè)務相關(guān)性，不能對業(yè)務作出判斷；另一方面可能導致墮怠，認為反正后面還有人把關(guān)，自己說了不算，就閉著眼睛批了，而常見的現(xiàn)象是，前面十幾個審批都過了，最后一關(guān)被退回。

價值創(chuàng)造環(huán)節(jié)往往因為需要較多的投入，要求專業(yè)水平較高，所以實施難度較大，往往被企業(yè)避開。比如：（1）投資前的可行性研究；（2）采購業(yè)務的供應商管理，包括供應商調(diào)查與評估、供應商選擇等；（3）銷售業(yè)務的客戶信用管理，包括客戶調(diào)查，客戶信用評級，客戶信用政策等；（4）研究開發(fā)業(yè)務的市場調(diào)研、研發(fā)可行性分析；（5）工程項目的可行性研究等五類控制活動做好了，可以給企業(yè)創(chuàng)造較大的價值，可以發(fā)現(xiàn)機會或避免重大的決策失誤，但是很多企業(yè)做的不夠?？梢园l(fā)現(xiàn)，這五類控制活動均屬于事前的控制，事前控制的價值往往比事后控制大，但是事前控制比較難，所以往往被人忽略。

事后控制的控制活動一般是成本消耗，企業(yè)的內(nèi)控建設(shè)要能創(chuàng)造價值，需要從事后控制走向事前控制，去發(fā)現(xiàn)價值，發(fā)現(xiàn)風險，從而主動管理風險。

企業(yè)在進行內(nèi)控建設(shè)時，往往會走向控制一切風險的極端。特別是當企業(yè)把內(nèi)控的責任完全壓到內(nèi)控管理部門，而這個部門的人員又是偏保守型的，這時內(nèi)控建設(shè)導向就可能不自覺地變成控制一切風險，風險越低越好，最終導致流程冗長、效率低下，多做多錯，業(yè)務無法開展的局面。

風險評估是內(nèi)控建設(shè)的重要一環(huán)，是設(shè)計有效控制活動的重要依據(jù)和前提。企業(yè)在風險識別和風險評估后制定風險應對的策略。風險應對策略一般有四種，一是風險分擔，如采取業(yè)務外包、購買保險等方式，將風險控制在可以承受的范圍內(nèi)；二是風險規(guī)避，對于高風險的業(yè)務活動，企業(yè)通過放棄或停止相關(guān)業(yè)務活動的方式來避免或減輕損失；三是風險降低，企業(yè)在成本效益的原則下，采取一定控制活動來降低風險，企業(yè)大部分的流程和控制活動都是為了降低風險；四是風險承受，對于在可以承受范圍內(nèi)的低風險，不采取控制措施。

所謂“風險越大收益越大”，風險和收益是成正比的，沒有風險就沒有收益，沒有風險企業(yè)就沒有發(fā)展。內(nèi)控管理不是要控制一切風險，內(nèi)控管理要把企業(yè)的風險控制在企業(yè)能夠承受的范圍內(nèi)，不是越小越好，也不是越大越好。

企業(yè)在建設(shè)內(nèi)控體系的時候，一般會對照《企業(yè)內(nèi)部控制應用指引》的18個指引進行檢查診斷，全面建設(shè)。18個指引包括：組織架構(gòu)、發(fā)展戰(zhàn)略、人力資源、社會責任、企業(yè)文化、資金活動、采購業(yè)務、資產(chǎn)管理、銷售業(yè)務、研究與開發(fā)、工程項目、擔保業(yè)務、業(yè)務外包、財務報告、全面預算、合同管理、內(nèi)部信息傳遞和信息系統(tǒng)。但這18個指引并非完全適合每個企業(yè)。

比如很多企業(yè)沒有外包業(yè)務，沒有擔保業(yè)務；金融類企業(yè)可能不涉及工程項目；貿(mào)易類企業(yè)不涉及產(chǎn)品與技術(shù)的研究開發(fā)。因此，企業(yè)需要根據(jù)自身的業(yè)務情況，參照《指引》的內(nèi)容進行內(nèi)控建設(shè)。

比如理賠是保險公司一項重要業(yè)務；組團和地接是旅行社的主要業(yè)務，《指引》中沒有涉及。又比如上市公司的關(guān)聯(lián)交易管理和信息披露是一個風險點，在《指引》中沒有涉及。因此，企業(yè)需要根據(jù)自身的業(yè)務情況，而不能僅僅局限于《指引》的內(nèi)容進行內(nèi)控建設(shè)。

對于同一個指引，有些行業(yè)是核心業(yè)務，有些行業(yè)是輔助性業(yè)務，那么它們對內(nèi)控的要求就不一樣。比如對房地產(chǎn)行業(yè)，工程項目是其核心業(yè)務，工程項目模塊的內(nèi)控體系就要細化，要根據(jù)房地產(chǎn)的業(yè)務鏈分成投資、設(shè)計、采購管理、成本管理、施工管理、竣工驗收和項目后評估等細分模塊，每個細分模塊都要有詳細的制度和流程，最后整合成工程項目管理制度集。而對一般的制造企業(yè)，工程項目是非核心業(yè)務，日常只有一些零星工程，大型工程并不經(jīng)常發(fā)生，風險也不高，那么在做制造業(yè)企業(yè)的工程項目控制體系時，就不用像房地產(chǎn)企業(yè)一樣分模塊細化，控制活動可以相對簡單些。 

由于不同發(fā)展階段的企業(yè)，其規(guī)模、管理水平、經(jīng)濟實力、風險偏好等都不一樣，因此其對內(nèi)控建設(shè)的深度也不一樣。比如信息系統(tǒng)，中小企業(yè)業(yè)務簡單、流程簡單、人員少、經(jīng)濟實力有限，企業(yè)沒有信息系統(tǒng)或只有簡單的信息系統(tǒng)，這樣企業(yè)的信息系統(tǒng)風險不大，重要性不高，信息系統(tǒng)模塊的內(nèi)控體系就可以設(shè)計的簡單些；而對于大型企業(yè)，業(yè)務復雜、流程復雜、人員眾多，特別是一些數(shù)據(jù)型大型企業(yè)，數(shù)據(jù)量大，數(shù)據(jù)是其核心資產(chǎn)，這樣企業(yè)的信息系統(tǒng)就非常重要，風險也很大，信息系統(tǒng)模塊的內(nèi)控體系就要嚴格細化。

因此，企業(yè)在進行內(nèi)控建設(shè)的時候，需要根據(jù)企業(yè)的實際情況，參考《指引》進行建設(shè)，而不能生搬硬套。

很多企業(yè)內(nèi)控管理人員清一色的財務審計背景（這里的財務審計背景人員指專業(yè)知識單一，對業(yè)務不了解，缺乏經(jīng)營思維的財務或?qū)徲嬋藛T，不包括既精通財務又精通業(yè)務的人），并在招聘和任職資格中，都要求具有財務和審計專業(yè)。雖然內(nèi)控管理需要財務和審計專業(yè)，但是只有財務和審計專業(yè)遠遠做不好內(nèi)控管理。內(nèi)部控制包括了企業(yè)經(jīng)營管理的方方面面，需要不同專業(yè)的人員和知識配備，內(nèi)控管理人員需要由財務專業(yè)和其他專業(yè)人員共同組成，這樣才能更好地發(fā)揮內(nèi)控管理部門的作用，內(nèi)控管理的效果才會更好。

從不同專業(yè)人員的職業(yè)性格特點來看，內(nèi)控管理的人員配備需要結(jié)合企業(yè)當前的內(nèi)控建設(shè)重點和內(nèi)控策略。內(nèi)部控制有五大原則：全面性、重要性、制衡性、適應性和成本效益原則。不同職業(yè)性格的人可能會對內(nèi)控的五大原則有不同的關(guān)注程度，從而導致內(nèi)控建設(shè)的側(cè)重點和效果不同。長期做財務和審計的人可能會更加關(guān)注全面性和制衡性，所以他們做內(nèi)控會偏控制，偏保守；長期做業(yè)務的人員，特別是做銷售業(yè)務的人員，會更加關(guān)注適應性和成本效益原則，所以他們做內(nèi)控會偏重效益。當企業(yè)的內(nèi)控風險較大，內(nèi)控體系的缺陷較多，過度追求經(jīng)營擴張和忽視經(jīng)營風險時，內(nèi)控管理人員可以以財務、審計和法律方面的人為主；當企業(yè)的內(nèi)控體系控制過嚴，經(jīng)營效率比較低時，內(nèi)控管理人員可以以業(yè)務方面的人為主。