中小企业做内控，最容易走两个极端：要么觉得“我们人少，不需要”，要么买一套模板文件挂在墙上。真正有用的内控，是四类业务循环里那几个“必须有人复核”的节点。
一、内控的目标不是防舞弊，是防错
按 COSO 框架，内控五要素是控制环境、风险评估、控制活动、信息与沟通、内部监督。落到中小企业，最实际的目标是三个：钱不丢、账不错、事有人负责。舞弊是极端情形，日常损耗更多来自流程缺环。
二、采购与付款：三个节点
- 请购与审批分离。提需求的人不能自己批。金额分级：5 万元以下部门负责人批，5–50 万元总经理批，50 万元以上需股东会或董事会。
- 验收与采购分离。收货必须由使用部门或仓储签收，注明数量、规格、到货时间。这一条能挡掉大部分“货没到、钱已付”。
- 三单匹配后付款。采购订单、入库单、发票三者一致才付款。缺少入库单的付款，是资金流失的主要通道。
常见失控点：老板一个人决定、一个人付款、一个人签收，账上只有发票。这种结构下，即使没有舞弊，也无法发现价格异常与重复付款。
三、销售与收款：三个节点
- 信用审批前置。赊销客户需先定额度与账期，超额需重新审批。没有信用管理，应收账款会变成坏账池。
- 发货与开票分离。发货依据合同与信用额度，开票依据发货单。两者都由销售一个人做，容易出现“货发了没开票”“开票了没发货”。
- 对账制度化。每月与主要客户对账，形成书面对账单。这是发现差异的唯一手段，也是诉讼时的关键证据。
应收账款管理的核心指标是账龄结构。超过一年的应收，回收率通常低于 50%，此时应计提坏账并启动催收或诉讼，而不是继续挂在账上装作资产。
四、资金：最需要“不相容岗位分离”的地方
《会计法》第三十七条明确，出纳人员不得兼任稽核、会计档案保管和收入、支出、费用、债权债务账目的登记工作。这条是底线。
中小企业的现实是“一个人管钱又管账”。可行的折中方案：
- 网银设置两级授权，制单与复核分属两人（可以是老板与出纳）；
- U 盾、密码分开保管；
- 每月银行对账单由第三方（如代账机构或老板本人）直接获取并核对，不经出纳之手；
- 现金收支日清月结，库存现金限额管理。
最简单的失控场景：出纳既做账又管钱，且对账单由她打印。这种情况下，挪用可以通过“修改对账单”长期掩盖。
五、存货与成本：账实相符是唯一标准
- 定期盘点。至少每季度一次，财务与仓储共同参加，盘点表双方签字。
- 出入库单据连续编号。断号要查明原因，这是发现“账外发货”的常用方法。
- 成本结转方法一致。先进先出、加权平均，一经选定不得随意变更；变更需在报表附注披露。
- 呆滞与跌价准备。库龄超过一年的存货单独列示，评估可变现净值，计提跌价准备。
六、一个“没有内控”的代价
某贸易公司年营收 6000 万元，采购与付款全由老板一人操作，仓储由老板亲戚负责，无入库单。2024 年发现某供应商连续 11 个月重复开票，累计多付 87 万元。由于没有入库单与对账单，无法证明哪些货没到，供应商拒绝退款，诉讼也因证据不足败诉。
事后补建流程：采购订单系统化、入库单三联、付款前三单匹配、每月与供应商对账。成本不到 5 万元，但这套流程如果早两年存在，87 万元不会丢。
七、内控建设的低成本路径
- 先画一张“钱和货的流向图”，标出每个交接点；
- 在每个交接点问三个问题：谁做、谁复核、留什么证据；
- 把答案写成一页纸的流程图，而不是一本制度手册；
- 选一个循环先跑三个月，跑顺了再推下一个；
- 每年做一次穿行测试：随便挑一笔业务，看能不能从合同追到付款、从入库追到成本。
内控的敌人不是“没制度”，而是“制度写了但没人执行”。一页纸能执行的流程，胜过一百页没人看的制度。
