内控和业务流程的区别

我们先来看一段摘自《行政事业单位内部控制规范(试行)》中的文字：

具体工作包括梳理单位各类经济活动的业务流程，明确业务环节，系统分析经济活动风险，确定风险点，选择风险应对策略，在此基础上根据有关规定建立健全单位各项内部管理制度并督促相关工作人员认真执行。--行政事业单位内部控制规范(试行)

虽然是行政事业单位内控的政策文件，但其逻辑适用于所有内控建设，即：梳理业务流程->明确业务环节->分析业务风险->确定风险点->选择应对策略->建立健全制度。

从理论原理上看，内控建设的成果仅仅是上图中审批、接触限制、对账等控制活动，所以早期内控建设成果就是汇集了这些环节的风险控制矩阵(RCM)。

但从实务经验看，以风险控制矩阵作为内控建设成果的企业满意度都非常低。究其原因，是我们企业原本流程管理的基础就比较薄弱。没有规范的流程文件，甚至固定的业务流程。因此，如果仅仅提供一份RCM，企业根本不知道怎么用。

如果企业的制度建设较为完善，有规范的制度流程文件，则内控建设更多是需要在具体流程环节中，明确内控的要求与规则，嵌入一些控制环节，使流程在合规条件下运转。

但如果企业原有的制度建设基础比较薄弱，为了让内控建设成果有效，则必须帮企业建立完整的制度流程文件。

所以，可以这么总结：从理论上看，内控建设只是设计一些控制环节，并嵌入原有业务流程中;但从事务上看，内控建设往往需要为企业设计一整套完整的业务流程。