上一篇讨论了为什么“形式合规”不等于“实质合规”。这一篇从实操角度，讲清楚基于COSO框架的内控诊断到底查什么、怎么查、查出来之后怎么办。
控制环境：内控体系的“地基”
控制环境是COSO五要素的基础，它决定了整个内控体系的基调。
诊断核查的核心问题：
公司是否有书面的诚信与道德标准？员工是否知晓并在实际中执行？组织架构是否清晰界定了一线业务、风控合规、内部审计的职责边界？董事会或审计委员会是否对内控有实质性的监督，而不只是“开会听汇报”？关键岗位人员的胜任能力是否有评价和保障机制？
常见的缺陷表现：
制度文件齐全但从未更新；管理层对内控的态度停留在口头；审计委员会一年开两次会，议题全是财务数据，不涉及内控运行情况；关键岗位人员流动频繁，交接缺乏系统记录。
诊断输出的价值： 帮公司判断控制环境是“真的有地基”还是“看起来有地基”。
风险评估：公司能不能“看见”自己的风险
风险评估的核心，是公司有没有能力识别、分析和应对与目标相关的风险。
诊断核查的核心问题：
公司是否有明确的风险评估机制？风险评估是否覆盖了治理、决策、业务、财务、法律、数字化技术和数据等维度？风险评估的频率和触发条件是什么？当外部环境（监管、市场、技术）发生变化时，风险清单是否及时更新？
常见的缺陷表现：
风险清单是几年前的版本，从未根据业务变化更新；风险评估由单一部门完成，缺少业务部门的参与；风险评估结果与实际的资源配置没有关联——评估出高风险的事项，在实际工作中并没有优先管控。
诊断输出的价值： 帮公司判断风险评估是“活的机制”还是“死的文件”。
控制活动：制度有没有在“跑”
控制活动是内控体系中最具体、也最容易出现运行缺陷的环节。
诊断核查的核心问题：
针对识别出的关键风险，是否设计了对应的控制措施？这些控制措施是否在运行？运行是否有记录？控制措施是否覆盖了治理、决策、业务、财务、法律、数字化技术和数据等维度？不相容职务是否分离？
常见的缺陷表现：
审批流程在系统中走完了，但审批人根本没看内容就直接点了“通过”；关键控制点的执行记录缺失或后补；同一人既执行操作又执行复核；业务系统和管理系统之间的数据没有对账机制。
诊断输出的价值： 帮公司判断“控制活动”是真正在运行，还是只是“系统里有个流程”。
信息与沟通：信息能不能“到该到的地方”
信息与沟通贯穿其他四个要素，它的核心是：相关信息能否及时、准确地传递到需要的人手中。
诊断核查的核心问题：
内部信息传递是否有明确的渠道和时效要求？员工是否有途径向上反映内控问题？与外部（监管、客户、供应商）的沟通是否有记录和跟踪？数字化系统和数据管理是否有对应的控制措施？
常见的缺陷表现：
重要信息在层级传递中被过滤或延误；员工不知道向谁报告内控异常；数据在业务系统和管理系统之间存在不一致，但无人发现和对账；数字化工具的使用缺乏权限管理和日志留存。
诊断输出的价值： 帮公司判断信息是“流动的”还是“堵住的”。
监督：有没有人在“回头看”
监督是COSO框架中确保内控体系持续有效的关键要素。
诊断核查的核心问题：
是否有持续的监控活动（如日常复核、月度对账、系统日志检查）？是否有独立的评估机制（如内审、外部审计）？发现的内控缺陷是否有整改跟踪机制？整改是否验证关闭？
常见的缺陷表现：
内审部门只做财务审计，不涉及业务内控；发现的缺陷记录了但没有整改跟踪；同一缺陷反复出现，从未被彻底解决；监督活动缺乏独立性——执行监督的人与被监督的业务存在利益关联。
诊断输出的价值： 帮公司判断监督是“有效的闭环”还是“走过场”。
缺陷认定：从“发现问题”到“定义问题”
诊断的目的是识别缺陷，但缺陷需要被准确定义，才能有效整改。
按照COSO和国内监管实践，缺陷从两个维度进行分类：
按成因分： 设计缺陷（控制设计本身不适当）vs. 运行缺陷（设计有效但执行不到位）。
按严重程度分： 重大缺陷（可能导致严重偏离控制目标）vs. 重要缺陷（可能偏离控制目标，需董事会关注）vs. 一般缺陷（除上述之外）。
缺陷的严重程度判断，需要综合考虑：缺陷导致错误发生的可能性、对目标实现的影响程度、是否存在补偿性控制、多个一般缺陷组合后的汇总影响。
诊断之后：体系优化的优先级
诊断输出的不是一份“问题清单”，而是一份有优先级的优化路线图。
第一优先级：涉及财务报告可靠性和重大合规风险的缺陷。 这类缺陷直接影响公司对外披露的可信度和监管合规状态，需要立即整改。
第二优先级：治理和决策层面的控制缺陷。 这类缺陷的影响是系统性的，如果不解决，其他层面的整改效果也会被削弱。
第三优先级：运行层面的控制缺陷。 包括审批流于形式、记录缺失、对账机制不健全等，需要逐一修复和验证。
第四优先级：优化性建议。 控制措施在设计上可以改进的地方，不构成缺陷但能提升效率。
诊断的价值，不在于发现问题本身，而在于让公司知道“先修哪里、后修哪里、怎么修才有效”。
一个务实的建议
内控合规诊断最好的时机，是监管介入之前，其次是融资或并购启动之前，再次是业务复杂度显著上升的阶段。
如果这些时机都已经错过，那现在就是最好的时机。因为内控缺陷不会自己消失，只会在下一次监管检查、下一次尽调、下一次合规事件中，以更大的代价暴露出来。
颐卓咨询管理集团-广州总部
地 址：广州市海珠区琶洲数字科技产业园A15-9栋（总部）
广州市番禺区南村镇捷顺路9号2栋1101房
公司总机：020-38626755
业务咨询：137 1119 5757
邮 箱：liaojun@chinakec.com
公司官网：www.chinakec.com
集团分支机构：上海、重庆、成都、深圳、佛山、东莞、武汉、福建、杭州等