回到企业内控的问题，目前大多数中国企业内控体系建设水平可分为以下几种情况。
一是形式主义，即为内控而内控，通过各种途径收集一些“最佳实务”的参考资料，生搬硬套，草草了事。这种类型的内控建设，属于初级状态，重形式而轻实效，对企业实际管理能力的提升并无多少实质性帮助。这种类型的企业还不在少数。
二是被动式、救火型，即内控建设缺乏体系性和预见性，管理层往往充当了“消防员”的角色，以问题为导向，出了问题、解决问题。这种类型的企业内控优于形式主义，它是以解决企业实际问题为出发点的，但由于缺乏预见性，内控建设往往落后于企业不断发展的实际管理需求，老是跟着问题跑。这种类型的企业可以说占了较多数。
三是主动式、预防型，即内控体系的建设以风险为导向，企业有限的资源主要针对最有可能出问题的高风险区域。这种类型的内控建设，属于内控建设的较高级阶段，企业管理层在内控建设过程中，立足于过去的经验，着眼于未来的发展，内控管理具备了战略前瞻性，企业有限的资源能够发挥更大的管理效用。然而，这种类型的企业目前并不是很多。
既然以风险为导向的内控建设可以帮助企业更好地配置资源、发挥更高的管理效用，那么，为何大多数企业没有做到这一步呢？最主要的原因是：以风险为导向进行内控建设的思路，对企业各层级人员的综合素质和能力都提出了更高的要求，而这一点恰恰是中国现在大多数企业比较不足的。这种能力的缺失，既有主观原因，也有客观原因。中国企业在市场经济的大环境下开始竞争、生存、发展，至今不过30多年，企业管理者们对企业所面对的各种风险尚处在逐步认识的过程和阶段。并且，多年来中国企业家们所需要面对的还不是完全意义上的市场经济环境，还掺杂着其他形形色色非市场因素的干扰。在这种环境下，多数企业家对风险管理和内控可能带来的企业管理效益的认识和认同，远不如“关系管理”等所带来的效益那么深入、直接。而建立以风险为导向的内控体系，意味着企业内部的管理水平需要提升，要达到这样一种状态，企业需要付出相当的成本投入。当整个大环境还未达到完全市场化竞争时，企业家们对于这样的一种投入最终所带来的管理效益心存疑虑，所以现阶段很多企业并未产生足够的主观能动性。
然而，也有越来越多企业家认识到，随着中国越来越快地融入世界经济大环境，我们如果还只是满足于一个地区、一个国家的小格局，将迟早被市场所淘汰。风险管理的概念早在上世纪50年代已经开始逐步融入国外先进企业的经营管理理念中，因此，对于具有前瞻性的企业而言，需要将以风险为导向的内控体系建设作为一项战略来看待，需要从今后5年、10年可能面对的竞争格局来提前进行准备与部署。
建立这样一种以风险为导向的内控体系，究竟应该怎么操作呢？简单说，以风险为导向的内控体系，可以用这样的一个公式来表示风险管理和内控的逻辑关系：固有风险－内控管理＝剩余风险。这与仅仅关注内控体系本身是否有效有所不同，需要从风险管理的角度出发，考虑内控是否有效地管理了风险，并清楚什么是剩余风险及其应对措施。具体一些的操作步骤如下。
一是围绕企业的战略、运营、财务等目标，识别、评估企业可能面对的所有固有风险，形成风险清单及相应的重要性排序。
二是针对所识别出的风险点和重要性顺序，逐一判断企业现有内控体系的控制措施是否能够有效降低风险发生的可能性或者严重程度。
三是如果现有内控体系的控制措施失效，那么是否可以通过改进工作（设计整改、运行整改）实现控制有效。
四是通过内控体系管理了固有风险发生的可能性或者严重程度之后，剩余的风险是否可以接受？如果不能接受，那么是否可以采取进一步的风险应对措施？建立以风险为导向的内控体系，也就是上述4个步骤反复循环、不断优化的一个过程。
最后，我想以管理大师彼得·德鲁克的一段话作为结语，与各位企业家分享：“明天总会到来，又总会与今天不同，如果不着眼于未来，最强有力的公司也会遇到麻烦。对所发生的事感到吃惊是危险的。哪怕是最大的和最富有的公司，也难以承受这种危险，即使是最小的企业也应警惕这种危险。”（作者为友联时骏企业管理顾问有限公司董事）
相关文章：
新税法下固定资产残值问题04-26
网络环境下会计信息的内部控制04-26
集团企业内部资本市场中的陷阱、风险与规制04-26
张家口煤机公司存货管理的内部控制实践04-26
浅谈中央企业内部控制04-26
深圳能源“提升”内控04-26
内控“起而行”04-26
组织文化与财务内部控制04-26
加强科研事业单位内部会计控制的思考04-26
云铜集团的内部资本市场运作分析04-26