内控不是把单子签满：五个日常容易踩的坑

周一早上，供应商来电确认收款。出纳打开银行流水后愣住了：同一张38万元的发票，上周四和周五各付了一次。两张付款单都经过申请、复核和批准，一共留下四个人的签名。刘总看完只问了一句：“每个人都签了，为什么没人发现这笔钱已经付过？”

调查很快还原了过程。业务员收到发票后提交了一次，采购员以为对方还没提交，又发起了一次；系统没有识别重复发票，审批人只核对单笔金额是否在权限内，出纳看到两张均已批准的付款单便先后付款。每个人都完成了自己眼前的一步，却没有人对整笔交易负责到底。

内部控制，指企业为了实现经营、报告和合规等目标，在日常工作中安排的一整套管理措施。它包括谁可以发起业务、谁有权批准、谁实际操作、谁独立核对，以及发现异常后怎样处理。分工、审批、系统权限、对账和监督都属于内控。

内控不能保证企业永远不出错，它提供的是“合理保证”——把重大错误、舞弊和资产损失发生的可能性降到可接受程度。判断一项控制是否有用，不看流程画了多少格，也不看签名有多少个，而看它能否预防问题、及时发现问题，并让异常最终有人处理。刘总沿着这笔重复付款，找到了五个最常见的薄弱环节。

第一处：一个人不能同时拿着所有钥匙

刘总先检查系统权限，发现一名采购人员既能新增供应商，又能修改收款账户，还能发起付款申请。如果这个人输错信息，甚至有意把收款账户换成其他账户，后面的审批人只看金额，就可能一路放行。

内控把这种风险称为“职责分离”。申请、批准、付款和记账等关键动作，应尽量由不同的人完成；系统权限也要与实际分工一致，不能制度上写着分别负责，登录系统后却发现一个账号什么都能做。

小企业人手有限，不一定能把每一步分给不同员工，但仍可以设置替代检查。比如供应商新增或银行账户变更后，由老板或另一位负责人用原先留存的联系方式再次确认；大额付款单独复核；月末由没有参与付款的人核对银行流水。重点不是人数够不够多，而是关键动作不能始终只有同一双眼睛。

第二处：等到付款才检查，刹车已经踩晚了

第二张付款单为什么也能通过？因为审批发生在最后一步。货已经送到，供应商正在催款，审批人面对的是“现在付不付”，而不是“这笔采购一开始是否合理”。即使此时发现价格偏高或交期有问题，公司也已经很难回头。

刘总把检查点往前移：新供应商是否经过核实，报价是否比较过，采购是否在预算内，合同金额或交期变化后是否需要重新批准。供应商突然要求更换收款账户时，不能只回复那封新邮件，而应通过公司原先留存的电话或其他独立方式确认。

审批也不能只剩下签名。批准38万元付款的人，至少应当看到合同、采购申请、验收情况、付款条件和是否已经支付。控制放得越接近风险发生的地方，越容易用较小成本拦住问题；等钱已经到了网银页面，再完整的签名也只能证明大家点过按钮。

第三处：合同和发票都有，事情也未必做完

继续核对那笔采购时，仓库告诉刘总：供应商只送到了第一批货，剩余部分下月交付。发票却按全部合同金额开具，财务也据此申请了全额付款。合同和发票都是真的，但它们不能单独证明货物已经全部收到。

付款前还需要验收证据：收到多少、质量是否符合要求、合同约定的付款节点是否已经达到。采购服务时也一样，不能只看对方开了发票，还要确认约定的工作是否完成、由谁验收。这样才能避免公司提前多付，也避免财务把尚未发生的成本记进错误的期间。

因此，业务部门要保留送货签收、项目进度、验收结果和退换货记录，财务则要看懂这些记录与付款、入账的关系。月末和年末尤其要理清在途货物、未验收项目和退货。信息从现场及时走到财务，账里的数字才不会比真实业务先跑一步。

第四处：写下“待查”，不等于问题已经处理

重复付款其实在周五的银行对账中已经露出过一次：银行流水比账面多出38万元，经办人在表里写了“待查”，准备周一再问。可是这条差异没有负责人，也没有完成期限，直到供应商来电，问题才真正进入处理流程。

一次完整的对账要走完四步：列出差异，查明原因，决定如何处理，确认处理已经完成。表里还应写清负责人和期限；金额大、拖延久或性质异常的事项，要及时报告给更高层级。发现问题只是控制的前半段，把问题关掉才是后半段。

银行、客户和供应商往来、库存、固定资产及集团内部交易，都可以根据风险安排核对频率。长期挂着的差异、大量手工调整和反复出现的“待查”，往往比一次普通输错更值得管理者关注，因为它们说明公司已经看见漏洞，却没有人负责把漏洞补上。

第五处：规则做过要留痕，业务变了也要更新

回看第二张付款单时，审批人说自己曾口头问过发票是否重复，经办人回答“没有”，于是他签了字。但系统里没有显示他核对过哪份资料，也没有任何异常提示。事情也许做过，没有可靠记录，后来的人仍然无法判断当时看了什么、为什么放行。

刘总没有要求大家再多签一遍，而是让系统在提交付款时显示发票号码、合同、收货记录和历史付款，并自动提示重复号码；审批人的处理和意见也会被保留。记录不必为了存档而堆满文件柜，但应当让后来的人看得出谁在何时依据什么作了决定。

控制还要跟着业务变化。公司换了系统、调整岗位或增加新业务后，原来的权限和检查点可能已经失效。每次出现异常，都要分清是有人没有执行现有规则，还是规则本身已经跟不上业务；确定负责人和完成时间后，还要再抽查一次，确认新的做法真的运行起来。

刘总用一笔付款，把流程重新走了一遍

整改完成后，刘总没有只看新制度，而是另挑一笔采购付款现场测试。从供应商建立、询价和合同审批，到收货、发票、付款及银行对账，每一步都请实际经办人操作。系统在遇到重复发票号码时发出提示，审批人能看到合同与收货记录，对账差异也有负责人和期限。

管理者检验一项控制是否管用，可以沿着真实业务问五句话：这一步最怕发生什么；谁有权操作；谁独立检查；检查时能看到哪些资料；出现异常后谁会追到解决。只要其中一句答不上来，流程里就可能还有一个没人看守的空档。

内控提供的是“合理保证”，也就是根据企业规模和风险，用合适的成本把重大错误、舞弊和资产损失的可能性降到可以接受的程度。它不可能保证企业永远不出错。真正有效的内控，不会让正常业务困在无休止的签字里，却能让重复付款、异常账户和长期未处理的差异及时被该看到的人看到。

这一课，只记住一句话

内控好不好，不看一张单据签了多少名字，而看关键风险有没有人在合适的时间、依据足够的信息真正检查，并把异常追到解决。

刘总后来把每月经营会上关于内控的提问缩成四项：本月出现了哪些异常；现有规则为什么没有拦住；谁负责修正；下次怎样证明它不会原样重来。这样既不会让管理层陷在每张单据里，也不会把流程完全交给一句“大家已经按制度办了”。

那笔多付的38万元最终由供应商退回。更重要的是，公司没有把它归结为某位员工粗心，而是找到了职责、审批、信息、对账和跟进中的五个缺口。追回一笔钱解决的是当天的问题，补上这些缺口，才是在保护下一笔钱。