企业的风险管理与控制

集团管控谈

集团管控一直是大型集团企业的管理难题，由于大型企业的层级和规模都比较大，在运行过程中，很容易出现“大企业病”，内部沟通效率和资源利用效率不高，不能突破规模墙的限制，获得持续高速成长。作为集团企业，应该主要防范哪些风险？集团企业应该建立怎样一个内控体系，才能让集团管理“有的放矢”？金蝶集团风险管理首席专家赵亮，将做客本期畅享网总编会客室与您畅谈。

主持人：畅导专业，畅所欲言，各位会员，下午好，感谢大家关注我们本期的畅享对话。今天我们要聊的话题是关于集团内控的一个话题，我们也是为大家请来一个非常专业的老师。我先给大家介绍一下今天来到我们对话的嘉宾，是金蝶软件中国有限公司的助理总裁，同时也是财政部专业委员会的专家赵亮老师，欢迎赵老师。

赵亮：谢谢，大家好。

主持人：赵老师在金蝶做的具体工作也是企业内控和风险方面的一些具体的工作，在对话开始之前，我也是跟赵老师聊了一下。基于在企业前沿实施的经验，包括赵老师这边也是在财政部专业委员会的一个专家，这里面也是会给一些企业家，包括私人也会去讲一些相关的风险内控的一些课，所以从理论和实践上我想我们今天的对话会给大家一些参考。

那么刚开始的时候其实我有一些问题可能会比较初级一点的问题，这个在之前跟赵老师有一个简单的交流。其实我们现在大家在谈到集团信息化的时候，可能会关联一些概念，比如说像集团管理，集团管控，集团内控，就会有不同的说法。那其实作为媒体来讲的话，其实要搞清楚这里面的一些内涵可能还需要一点时间去研究一下。

那我不知道比如说像企业他们对这个概念是不是理解的比较的清楚，您是不是可以借这个机会跟大家去把这个分别他们都代表的是一个什么样的内容，给大家去介绍一下。

赵亮：好的。我想大家可能关心的大的概念有两个，一个什么是集团管控，一个什么是企业的内部控制，这样两个大的概念。首先我们要说的是企业内部控制把它说全了这个话，叫做以全面风险管理为导向的企业内部控制体系。也就是说它的企业内部控制包括了从应用以来包括了18个方面，18个方面包括了跟控制环境有关的，比如说企业的战略呀，企业的文化呀，企业的人力资源呀，企业的组织架构呀，企业的社会责任这样一类的东西。

那么跟企业的控制，风险控制活动有关系，比如说像财务管理、资金管理、资产管理、销售管理，采购管理、工程项目外包这样一系列的控制手段。包括还有一些跟控制活动有关的，比如说像信息系统，内部传递这样的一些东西。

那么它看起来好像包括了一些方方面面的管理，对吧？内控很全了，所以如果是说你为了简单去理解，你也可以把内部控制理解为一个企业集团管理这样的一个概念。那么它实际上这个中间可能有两个东西可能需要稍加说明一下，一个是内控它没有对专业化的流通提出要求。比如说我是盖房子的，那盖房子的流程。那比如说我是造飞机的，我怎么样造飞机的这些流程，它没有提出要求。但是它在最后是在质量管理那儿卡住你了，因为社会责任的第一项就是质量管理，你生产什么可以去什么，但是我只要把住你的质量关，让你的质量符合国家的标准，你生产的药品必须符合国家GMP的标准，你的食品必须要符合国家的食品添加剂的标准等等等等，这样的它就可以了，那么它就认为一个内部控制的体系就形成了。

第二个就是说我们要跟大家说的就是内控在应用指引里头它只讲了一级流程和一级流程相关的风险和风险管控，一个企业要想真正的把内控真正的运行起来的话，它一定要到二级和三级的流程才有可操作性。因此，在这种情况之下，企业看到内控或者是你想从事的话必须要有这个概念，它告诉我的是一级的，我必须写二级和三级的，这个是我想给大家解释的两个概念。

另外一个就是说大家在学习内控的过程中，一定要贯穿着风险管控的思想。不光要管理内部的风险，也要管理外部的风险，而且还有新增的风险，这样的一个体系在你的思想里才容易形成。那我们刚才说了内控大概是这样的一个管理体系，那为什么领导者那么喜欢它呢？是因为每一个公司的总经理他都希望通过这样一个体系，让这个企业规范化和正规化的去运行，并且把风险降到最低，对风险进行有效的管控，这样的话就解决了企业管理的大问题。

于是大家就喜欢用内控的手段来管理企业，在这一点上可能有三方都有共同的利益。比如说证监会为什么敢提出这么一个强制性的要求，要求境内所有的上市公司这一两内必须要搞，很快要出台一个拟上市公司的一个组织。国资委为什么支持内控，要求企业搞内部控制。企业为什么自己也想搞，很多的企业实际上并不是要求他必须得搞，他是自己就想搞。因此，它就形成了三方共同在推这个东西，是一个市场，所以这个市场很快就会形成。

那我们把话题收回来，我们回到我们说的集团管控的概念。实际上内部控制和集团管控在金蝶的内部以前也是搞不太清楚的一件事情。那么，大家的概念里，从字面上理解集团管控应该很大，但是实际上从内控的角度来看，集团管控是你站在集团的位置对分子公司进行管控的一种策略，或者是你再把它解释的清楚一点就是我对分子公司分别给予什么样的授权，哪家公司给它自主经营权大点，哪一家公司给它的自主经营权小点，这样的策略实际上被称为集团管控。它可能包括了财务方面的自主权，人力资源方面的自主权，经营的自主权，等等方面的自主权。

那么从内控或者是叫风险管控的角度来看集团管控，就是说我为什么给这家分子公司自主权小呢？是因为它的风险比较大，且管控的不好。于是我为了要分散风险，我把它的所有自主权都拿到集团来。让它就干活就行了，没有什么决策权，人力资源的也好，财务的也好没有更多的决策权。所以这样的话，集团公司就承担了风险，因此集团公司承担着它对风险管控的责任，这个我们一般集团管控喜欢把它称为什么呢？运营性的集团管控，你什么自主权都没有，被人拿走了。然后你有一些分子公司可能给它很大的自主权，是因为原因在哪儿呢？原因就代表这家公司对风险管控的很好，它不大且管控的很好。那我们就可以把它，就让它自己经营，这样的一般在集团管控叫做资本性的集团管控，介于二者之间的叫战略性资源管控，所以集团管控分了三个档次。

如果你在认识上把它理解为集团管控实际上是风险管控的一种手段和方式的时候，你就理解就到位了。它是内控中间为了管控风险采取的一种策略，我都给你抓上去或者是我交给你去管，无非是这样的一种情况。

主持人：对，它其实是集团内控体系里面这样一个执行的手段和方式，也可以说成是一种体系。

赵亮：没错。

主持人：这样的话我们就比较的清晰了，我觉得之前大家可能在说这些概念的时候，这个里面有一些内容都是一样的，大家可能也不是很清楚。当然我觉得这个可能也是说我们在这个时间段，五部联合提出企业内控这样的一个要求的时候，我们会清洗的去剖析它的内涵或者是它的意义。

就刚才您也说到了，这件事是多方受益的事情，包括企业它自身它也愿意抓住这次机会。这个里面你可以把它理解为规范，但是对于企业来讲很多地方是促进它快速的发展，快速的成长。所以那我是想了解一下，赵老师以您这么多的经验，像我们中国的集团公司或者是上市企业或者是待上市企业真正是把企业内控做的比较好的，它的状况是怎么样的？

赵亮：它的状况是这样的，它一般分成三步来走，做内控。内控在美国有一个词叫做，它做企业内控的时候有一个叫做ANG，有一个词叫做ING。ANG是什么呢？他说你只是建了那么一套手册，那么一套制度放在那儿了，你为了应付合规用的，那个东西叫做ANG。那么如果你把这套东西和你企业的日常经营活动融为一体了，包括你把它落到你的信息化里头了，就叫做ING。他认为做起来必须要做成ING，而不要做成ANG。

那在这个大的前提之下，一般的话它会分成三步来走。第一步大概它要建立这样一套制度体系，因为由于咱们的企业都是刚刚开始从事这项活动的，内控有的刚刚听说，有的虽然听说了几年，但是没仔细干过，所以难免起步的时候会请一家咨询公司来，来帮助自己来建立这样一套制度体系。一会儿我还会谈到做咨询的时候有什么意图。

第二步它可能就会想，如果我建立好了这样一套体系以后，我怎么去执行它和运行它。那就成了一个问题了，无非是从内控来讲有一种方式，有一种是用人工来执行，我们的术语叫做人工控制，一种是靠信息化去执行，我们的术语叫做自动控制，就是这两种选择。所以现在一般的话，历史的经验告诉我们，基本上内控失败的案例都是做了人工控制，它靠人工去控制的。它大量的依赖人的自觉性，大量的依赖于人的这种照章办事的精神。但是在我们国家里头的企业大家就是做一做可能这事就废了，也没人检查，没人监督，又缺少有了问题以后及时对内控系统进行评价和改进，可能做着做着就做荒的。

那我们现在就发展了一套自动的去控制，已经把一些写好的制度流程，想办法写到ERP和信息化的系统里面去。让它在这里头给你固化好这些制度流程，让他们上来做业务的时候就在自动的执行你的流程。比如说我现在有一个采购的业务，我上来采购业务实际上我在内控已经梳理好了，按照什么制度走，按照什么流程走，已经制定好了，你上来以后你就按部就班的，一步一步的走，把一个采购单从都走到尾。最后总经理批了，你去采购执行了，那你就是在计算机系统里面按照我的固化好的内控的要求去控制住了各种各样的风险。人也很难违规，违约，因为计算机是一个铁面无私东西，它会按部就班的去执行，比人的自觉性靠的住的多。

所以一般的话，就跟大家打一个比较通俗的比喻来说就是什么呢？它落到信息化上，就是说这个流程像一条高速公路，制度就像红绿灯，我们的各种业务，就是上上下下跑的车。你想办法让这些车都在你规定好的路线上靠红绿灯把它调遣起来，然后它就会按部就班的去执行，它就不会乱。我们内控的手册或者叫内控体系就有点像交通法规似的，它约束了你行人机动车必须按什么制度去办事，这样的话你在路上才不会乱。

然后这个内控部实际上是干什么事？内控部干的实际上就是干的警察那点活，我不断的通过摄象头去抓有没有人在违章，我的交通法规已经出来了，有没有人在利用我的规章制度办不法的事儿。那么还同时通过一些违章来反思，是不是我的交通法规做的有问题，我的内控体系本身建的有问题，人家才违章的。它是通过这样一个体系，不但的去纠正自己的漏洞，去弥补自己的漏洞，弥补自己的管理缺陷，让这个内控体系一直完成这样的一个过程。

那么就是说这套信息化，有时候我们需要做内控信息化的资源。它就是说，因为很多的企业咨询公司它只懂管理，它不懂IT，所以它写出的流程制度就完了。但是你要想落地靠它那个东西是不能落地的，所以一般我们做内控信息化的咨询，然后再去上信息系统。那么你要是从管理来讲，内控是写了一二三级的流程，然后你上ERP的时候，你画的业务蓝图是第四级的流程。这样的话，就是说你就可以照着三级的流程写四级流程，ERP就很容易的去做。这样的话你就能达到一个比较好的效果，让整个的内控体系落地，能够让它运行起来，慢慢的就见到实效了，从这个实效的中间大家知道了原来规范化的经营就是走的。其实我也不需要专门去学，我只要在计算机上办业务，它自己就按照规范化的去把它运行起来了。这样中间有规避了风险，它是走了这么一个过程。

主持人：其实我们可以这样去理解，就是说企业内控它不是说有信息化的天然属性，但是它是企业内控真正落地，真正实现的可以说是一个必须的手段，就像您刚才说到的，我们知道不是说企业内控有了信息化之后才要去做的这个事情，或者是有信息化的管理工具和手段之后才做的事情。而它是对企业的一个要求，或者是对企业来讲它的发展来讲是规范的要求。

您刚才谈到的那几个问题，您可能在第一个问题里也谈到了，它可能是风险内控五大部要求的第一个流程，合规层面。那我们企业是要把它再往下分解的，一二三四级，那这里面有什么样的区域点呢？这个步骤是什么样子的？

赵亮：它就是说有点像内控咨询的问题了，一般的话是这样的。你到一个企业去，你首先要对这个企业有一个宏观的了解，比如说它有什么战略，它有什么发展规划和发展计划。为什么你要首先了解一下这些东西呢？因为它对你下一步搞内控有很大的关系，为什么？因为也一些企业它很容易垄断国家资源的企业，它很容易挣钱，所以它搞不搞内控对它来讲无所谓，它搞内控只不过是应个景。

但是现在绝大部分中国的企业他们都是竞争很激烈了，参加了国际的外向型经济了，它在向国际的大企业竞争。所以它内控的要求就非常的高，那么在这个时候首先要了解一下这个企业的概况，再往深里头走的时候它实际上是要梳理它的制度流程。梳理制度流程的时候，一般的企业它都是靠经验去梳理的，咨询管理公司都派一个老一点的，资深一点的顾问到现场去做。那么我因为是从管理咨询公司出来的，自己以前又做过，我自己就觉得知道这个靠经验这种做法必定很多，因为一个人的知识一定是有限的，而且你的知识面一定是有限的，那你怎么解决这个问题呢？一般我们用三个东西来解决。

就是说给很多企业不一样的地方，第一个我非常强调用知识库去解决，金蝶有100万的用户，我们有很多大企业的制度流程，我们现在把它放到了一个内控的知识库里面去，同时把我们这些人，包括我在内的以前做过很多项目都放进去。放进去以后，这些制度能在什么时候有风险，你把它标志出来，什么样的风险，这些风险人家都是怎么管控的。他到企业去干吗呢？到企业去跟你对标，对标实际上就得出两个结果。第一个让你这个企业能够看到外面的流程制度是什么样子的，你这个企业你肯定清楚，那世界管理先进的企业，中国的500强的那些大企业人家是怎么管的，让你能够看到。

另外一个通过这种看到，你就知道你自己的缺陷在哪儿，你是不是通过学习别人能够提升自己，这个它就解决了内控知识不合的问题。到现场去，顾问的知识差一点，但是他能通过知识库让你看到这个东西就可以。我们遇到很多的董事长听到这里的时候，就说其实你能帮我解决这两个问题，第一个让我看看外面的世界是什么样，外面的世界很精彩。通过看外面的世界，我就知道自己的差异，这个是我们的第一个手段。

第二个手段，我比较喜欢用一个软件平台，把一个内控项目给它做成一个像流水线似的东西。大家在软件平台每走一步，就是我做一个内控项目，12345678910步，我给你规定好，每一步你要干什么，你用什么样的工具，用什么样的模板，最后你得出什么样的结果，最后的结果到你交付物的时候，你那个手册是一个什么样子。手册的目录是什么，你每一步得到的结果在目录里面哪一个标题下面，我都给你规定好，所以你到那儿去就照方抓药，我可能为了让你内控手册写的更标准化，可能我还放一其他公司的内控手册，中石油，中石化等等这些公司的手册我给你放在那儿，供你去参考。它这种流水线似的作业的管控有什么好处呢？它解决了一个经验不足的问题。像我这样老一点的人，做项目多一点的和一个年轻一点的去做，大家都在生产线上按照12345678910步走，走出来的质量应该是差不多的，大家得出来的结果的质量应该是差不多，这个是我们第二个软件的体系，这些东西一般都是咨询公司不用的，因为咨询公司不太懂软件。

第三个就是我们有一个内控的一个信息平台，因为这个内控你建立了制度体系以后，它的内控部的人他要开展内控，他开展内控干什么呢？第一个他要把制度体系落到计算机里，让大家看到，让大家查到，可视化。那第二个就是说他要不断的记录在我运行的过程中哪一个地方出了风险，这些风险是由于哪一个管理缺陷造成的，这个单位对这些风险是不是和它的管理是不是进行了整改，整改的计划是什么，什么时候做完。然后改的效果怎么样，有的人改了没效果，有的人改了有效果。然后根据它的内控五部委的要求，它还得要把这些什么地方有重大的风险，改了以后，改的效果怎么样，还有多大的剩余风险进行公布出来，我们叫做内控自评估报告。将来是要提交给证监会的，然后我们把这些报告的模板也放进去。你想没有这样一个这样完整的计算机记录的过程的话，它很难生成一个报告，将来提交给证监会。

所以这一块儿我们也做了一个软件，它专门给企业的内控部将来持续的开展内控用的，不断的评价改进，检查内控体系运行的好坏，找出漏洞，缺陷和记录下来风险在哪一个部门谁谁谁身上发生了什么样的风险事件，造成了什么样的损失，怎么去管的，等等这样的一个体系。那我们有了这三个软件的东西的支撑，所以我们就足以保持我们现在项目顺利执行。

因此，很多项目非常头疼的就是项目的超范围，做不完，托期，可能你们也知道。不管是哪家咨询公司都是一个大毛病，因为我们有这样的一套东西，我们所有的项目基本上没有超期过，而且都能够完成，客户都是很满意的。因为它是标准线生产出来的东西，它不会有什么差异的。如果要是用户随着质量的提高，我们可能在中间加一些步骤就完了。年轻的人去做，跟我这样的老人去做质量都差不多的。

主持人：就是标准化。

赵亮：对，将让它想办法标准化。现在我们的思维就是用一些信息化的手段来支撑你的管理咨询，刚才我说的三个信息化的系统，让你的管理咨询能够达到一个有点像咱们的自动化生产的那种水平上去。

另外一个就是说金蝶公司做这些地方的时候，也是跟其他的咨询公司比较大的不一样我们非常在意知识转移和能力转移。很多咨询公司它不愿意做，为什么不愿意做？因为我们把知识告诉你了以后，我没办法通过项目去挣钱了，你都学会了，教会了徒弟饿死师傅，这是第一个。第二个它不愿意在做咨询的过程中让你参与进来，我在做手册的时候，你老在边上去问我一块儿来做或者是什么，我把你教会了，然后但是我也耽误了我很多的时间，还不如我自己写出来了以后给你，拿了钱就走，这样来的方便。

但是这两种情况我们都是绝对要在项目中间避免的，一个是跟人一起做，一个就是能力的转移。为什么做呢？其中第一个知识转移对用户有好处，而且金蝶它不仅仅是靠自己挣钱的，它后面还可以派软件，没必要把这个东西卡死。第二个为什么要让他参与？因为他参与进来了以后，他还对这件事情是认同的，因为我跟你一起来做的我就认同了，将来上信息化的时候他也是其中的一员，业务的人员，他也要做信息化的这些，报销的人员要报销，采购人员要采购，他以前熟悉过，你才能拉进来一起干过，他自然而然上了信息化的时候就喜欢在那上面操作了，你对你的信息化就铺平了道路。

所以，我们不在乎在这儿多花点时间，一并把用户教会，这样对用户来说也是最有益的一个东西，不会是说你走了，人家什么都不会，你把钱拿走了就行了。

主持人：其实赵老师，您刚才讲的这个流程也是给我们画了一下路线图，我的理解是我们站在一个服务提供商或者是产品提供商这样的一个角度去谈的这个流程。那对于企业来讲的话，我们反过来去理解也是比较的容易理解，我拿到的一个是要求，它就是一个要求，我要求你是什么样子的，你必须具备什么样的特点，你必须具备什么样的功能和体系。

那我是需要知道说在每一个指标下面，我需要做哪些事情，作为企业来讲的话，就是您讲的第二步，第三步，我需要做什么样的事情，这个事情我是通过什么样的途径来实现的，这可能就是我们下一步，第二步，第三步去了解的一些内容。您刚才也大概跟我们介绍了一下几个步骤，第二步可能要知道在这个体系下面，第一个对这个体系有一个解读，第二个在这个体系下面我是要做哪些事情。

我是有一个问题，就是说比如说像我们现在有被要求到的，必须要做集团内控或者是企业自身有这样一个要求他要做企业内控来讲的话，都是发展相对比较好的企业，规模比较大的企业。在这些企业当中，就像您刚才谈到的我们可能是有两步去切入，第一个是我要去给你做规划，第二步这个规划可能是咨询公司做的，有可能是其他的公司做的，都有可能的。第二步可能是用一些流程，信息化的手段把它固化下来，方便你这个体系它真的是能够按照那个要求去落地的。

那在这个过程当中我们可能会遇到一些问题，比如说有一些集团公司它肯定不会说是第一次上系统，因为这里面有一些具体的流程，就像您刚才说的ERP的流程，包括像质量管理体系它后面涉及到的一些流程。那我们当时在做流程的时候，我觉得咨询我们姑且放到下一个问题，就是从我金蝶介入进去做这件事情的时候，如果它原有的一些系统的东西，我们是怎么样去做这个事情的？不至于让这个企业觉得我要走不同的流程。

赵亮：这个问题很好，就是说它是现在，这是一个很现实的问题。因为一个企业你要承认它原来是有一套流程的，有一套管理体系的。第二个它的管理体系下面有一些也照着管理体系做了一些落地的。那么只不过我们的区别在于，第一它的管理体系没有照内控的要求来做，没有照内控的要求来做。没有照内控的要求来做带来两个问题，第一个是它将来的管理问题，因为内控的魅力就在于它总是在用风险来管理制度流程，然后如果它发现你的制度流程里有很多的风险没有管控住，它要去优化你的制度流程或者是再造你的制度流程。也就是说我们回到一个原本的问题，一个企业为什么要有流程制度，流程制度主要是为了管人的，或者是由管人带来的风险的。所以我们才存在着这些流程制度，如果这个企业都没人，那就用不着流程制度了。

那我们有了这个基本的概念我们就知道，第一个我们很可能要重新的来梳理这些流程，我们一般就比较喜欢用优化这个词。因为优化这个词比再造要好，再造有点是推翻人家原来的一些革命性的感觉。优化是在原来的基础上进行提升，这个是第一个。

必然就出现了你优化完了一套体系，要不要落地？再把这个话说的直白一点，要不要改你原来的ERP已经有的一些流程。我认为是必要的，为什么势必要改呢？一个是从管理的一致性来说，第二个是合规性。因为像我，我现在还是山西省和河南省的证监会的技术顾问，将来我会到很多的试点内控企业去验收，帮助证监会一块儿去验收。其中我要干的一件事，就是审计的复合性测试，审计的复合性测试就是你首先有没有内控制度，你说你有了，我就看你说的跟做的是不是一致。你的内控手册说的很漂亮，你的ERP干的是另外的东西，这就是不符合，言行不一，我就可以给你提出保留意见或者是认为你的内控并不合规。因为你说的那套东西就是为了糊弄我的，我一到你的ERP一看，比如说把你的流程制度打出来了，我就看你是按照另外的一套东西来做的，所以他就很难通过合规性的测试。

我是觉得势必你要就一块儿改一块儿，但是做内控一定切忌，我觉得大而全，它有18大类基本上覆盖了企业的方方面面，是一个完整的管理体系。但是它的内控要求并不要求你必须把它做全了才叫合规，它告诉你是存在重大风险的流程和制度要先做，你只要把重大流程给管住了，然后你再管次重的，所以你可以选择问题最多，风险最大的三到五条的流程，你先去把它做出来，然后落到信息系统里面去。必要的时候你再用内控的软件给它做一个评价整改，形成一个管理闭环，然后我再做那么几条，然后我再做那么几条，我一点一点的往上做这个是完全可以的。它没有要求你一下子就把它都建起来，因此我们有的时候就三条三条，三条或者是加上几条分期来做，这样我们企业的压力也会小一点，也会逐渐的给它改善过来。

主持人：是。其实我们第一条做的就是要评估，评估一下现有的体系或者是现有的制度，包括你现有的这些在跑的软件也好，这些流程也好它是不是符合我们的要求。或者说它对于你未来的实现是不是有帮助，其实我们站在企业的角度可能也会考虑一些问题，比如说像您刚才谈到的，我们现在要做两件事情，第一个我要去做这样的一个规划，去帮助企业，其实研究很多的企业都在做这样的事情。另外我在做规划之下去提供一套跟这个规划能够实现这样的一个规划的体系。其实在这个过程当中的话，我觉得很多的企业它可能也会有这样的一个顾虑，比如说我请赵老师来，赵老师肯定会跟金蝶的解决方案会有一些结合点，或者说我是不是赵老师来给我做了，我必须用金蝶的软件或者是金蝶的产品，我有可能在这中间我会请一些人，您可能刚才也说到了会有一些咨询公司他没有办法跟IT结合，有一些公司他是做IT咨询的，他做完了之后我最起码还有一些选择性，我可以选择其他的一些东西。

那我想知道的就是说，假如说这个规划不是我们来做的，不是赵老师来做的。那我们接下来在落地的时候，需要我们的产品，需要我们通过信息化的手段去落地，我们再这样去做的话它会有一个不同吗？

赵亮：有两种情况都需要考虑，一种情况是你的管理咨询体系是别人做的，然后是由我们来做落地的，也就是提供软件的，这种情况我们经常碰到。因为我们跟四大类里面有三大类都是我们的合作伙伴，为什么那一大不是呢？那一大是我们的审计，它不能成为合作伙伴，它负责我们公司的审计。

那么这三大有的时候他们做了管理咨询以后要落地，有的时候找到我们来了，我们帮它去落地。这种情况实际上就是挺麻烦的一件事，为什么挺麻烦的一件事呢？不是说不能做，做一定是能做，它就是说你要给它有很多的工作。比如说这条流程到底是要通过人工去执行还是通过信息化去执行，管理层是根本不管的。然后你中间的控制点是选在哪儿，怎么样去控制表单项，我们这儿有一个管理系统会去控制它的。那么这些东西他一概不管，所以就是说你要接这样的项目，可能衔接的时候第一块儿要做内控的信息化的咨询，把他没做的和IT有关的先给他的咨询补上，这一块儿的工作有的时候跟做一个管理咨询基本上是一样的。

主持人：这一块儿少不了。

赵亮：少不了，因为少了这块儿你落不了地，你的信息化上不去。

主持人：对。

赵亮：你先补了这一块儿，你再说软件的事儿，软件才能够迈进去。所以大家初学的时候一定要知道，这里有一个动作是管理咨询公司不做的，如果你要想上软件，你必须补这个的，你把它补上来，才能谈上ERP上去，这是一种模式。

还有一种模式就是说我们做的管理咨询或者是人家已经有了一套软件，其他企业的软件在这儿运行的提好，你现在在这儿做管理咨询，你做完了以后您怎么往人家的软件上去落。一般的话，像金蝶这样的它既能够做内控管理咨询也能做信息化咨询，它可以把这些，刚才我说的流程要落分出来，甚至于可以帮你设计出来一些内部合规的表单，然后把这个成果给用户。用户就去找原来ERP的厂商，然后你照着他已经做完的成果你去改你的ERP，因为我们这一块儿就衔接的很紧，我们干这个活的，我们会干，知道怎么办。那如果是一个管理咨询公司他就不太会干。

主持人：那其实我觉得在这个里面，我刚才有一些疑虑是什么呢？我是觉得有一些企业会有一些顾虑，我刚才提到的那个问题很直白的，另外一个问题可能会说，像金蝶这样的公司我们不会把它定义为是做管理咨询的公司或者是做IT咨询的公司或者是信息化管理咨询的公司，可能会定义成做解决方案的公司，所以是不是您在和客户接触的时候也会遇到这个问题，首先他会担心你做出来的规划是不是高度不够，对这个企业的理解不够，会不会遇到这样的问题？事实上我们的能力是一个什么样的能力？

赵亮：这个问题是经常遇到的问题，他们可能以前对金蝶的印象都是觉得金蝶是一个做软件的企业，那它的市场品牌形象很明显，就是说想卖企业的就找金蝶。有的时候我一去讲课的时候，人家很惊讶，怎么金蝶还冒出了一帮对内控管理这么明白的人，对企业管理这么明白的人，金蝶到底要干什么呀？后来我们就跟大家讲了，其实现在所有的软件企业都面临一个转型，也就是说一个企业，现在我们打一个比方来说，前几天我跟一家很大的房地产企业，我在跟他讲内控的时候也是打了一个比方。

我说管理咨询公司有点像什么？包括我们现在统称的咨询管理公司，有点像什么？有点像艺术家，画家，他给你画出来的这个东西很美，森林间的小屋，非常的漂亮，但是你盖不成房子，为什么呢？它不会给你建线路图，水陆图，你的土木工程这些图，它不会的。他是艺术的人，他没有学过建筑，他不会画这个东西，这是一类人。

另一类人是像我们这些做软件的人，做软件的人你要给他一个比方他像什么呢？他像农民工。农民工是怎么干活呢？他到你这儿来，他就问你，你想盖一个什么样的房子，你就用嘴跟我说，你想盖一个什么房子，厨房在哪儿，厕所在哪儿，是什么样的平方，我就砌墙搬砖的我就顺着你说的做。那么这中间有两个问题，为什么软件企业它已经快到走到头了或者是我们必须要转型。第一个，我们不懂建筑的理论，你说的这套东西我不能帮你升华到理论或者是帮你提升和优化，这是第一个。第二个我也不太懂你的需求，你的管理需求，有可能你说的东西我理解错了，你这一块儿要一个玄关，我以为就是一个柱子，所以我给你砌出一个柱子来。可能因为做软件的人他是做技术出身的，他不太懂管理，有这个问题。所以就企业看我们这些人，看软件企业的人都是搞技术的，都不懂管理，我跟你说你还听不懂呢，他有这个担心。

所以为什么我说做软件的有点像农民工的架式，我照着你说的干，你怎么说我就怎么干。于是这两者之间就有一个差异，现在随着软件企业转型，就是要把农民工的包工队变成建筑公司，我得有一帮懂设计，懂建筑的人我先把你说的这个东西先画成图纸，然后图纸上我再跟你确认，确认完了之后你认可了我再交给包工队去干，我不会让包工队直接来跟你谈了，这中间就是所谓的管理专家，就是所谓的像我这样的人为什么混迹于软件公司的原因。软件公司它要做这个转型，它必须要有一帮懂建筑的人进来帮助它转型。

那么你就可以看到这两拨人，艺术家和包工队哪一个更容易转型呢？我个人认为包工队更容易转型。因为他已经熟悉了砌墙搬砖的事儿了，他就是没有上这个层次，他上不到建筑，画一些图，搞一些设计的层面上去。有一些管理的人进来给他提升了层次，他很快就上去了。但是艺术家他不屑于干这个，也不想干这个，你要让他干他都不干。于是他自己总是在满足于自己的管理，很美的，阳春白雪的东西就完了。像这些东西是要提升的，因此我为什么选择软件公司而没有选择咨询公司去工作，原因就在这儿，我是觉得我们这些人可以把软件公司转型，而且软件企业它很实，它做出来的一定是要落地的。

前些天我们在一个讨论会上，大家就问我，就说转型的事情。比如说我们把一个企业姑且分成了三个层面来看，第一个层面我们就是讲的商业模式，商业模式是什么？就是企业战略，企业文化，企业的什么市场纵向的分析，新的增长点什么这些东西，我们姑且把它当成商业模式。运营模式我们就指制度，流程这些东西，它为了要实现战略而具体化的一些规则，手段，方法，给你固定下来。还有一些操作模式，就是我们的岗位说明书，作业指导书，ERP，OA，他就是将来在上面具体要干活的。你有了运营的层面，制度的层面，我把制度流程我要放在计算机里面，我要干活，我要真正的能够把企业运行起来，把这些运行起来，它是在这个层面。

这三个层面你可以看到，金蝶实际上是从低往上走的，我们从ERP最低的操作层面在向运营层面走。在走的时候，你像我们业务部门，我给他们说了，现在的金蝶是一个倒三角，大部分人都在ERP上，你要想做转型肯定是要向高处转。我跟他们说，不要好高骛远，第一步先转到运营层面，运营模式的层面做好制度流程。因为在这个层面的管理是可复制的，是一种管理科学。你再往上走，到了商业模式的层面，它就成什么了？它就成管理艺术了，艺术的东西不可复制的，你很难说你拿苹果的战略到中国来，它就成苹果了，那不可能的。所以你要知道自己吃几碗干饭，你在那个层面上做对于你现在拉动ERP有很大的作用做转型，没有必要一步跑到那个高端上去。

到了高端你反而落不了地了，你说的那些战略跟你的软件ERP有什么关系呢？于是，其实我们这个中间就有一个应该说是一个比较重大的一个思考。就是说做转型谁都想做，但是转到哪一步，用什么样的路线图去转，分多少步去走是关键。谁都知道向服务转型这是一个好事，IT家，管理家是一个好事，大的目标没有什么异议，关键是通过什么样的步骤、方式，包括我们的内控就是一种很好的，对于金蝶来说一个非常至关重要的转型，如果它用好了可能拉动了整个集团的转型，如果用不好它可能就是一个管理技术，在那块儿挣点钱就完了，它不会给这个企业带来本质的变化，翻天覆地的变化。但是如果用好了这个地方确实是我们非常好的契机。

主持人：对。其实赵老师的介绍，企业内控真的是很多个行业受利。如果从属性上来讲的话，可能不仅仅是我们的客户受益，还有咨询公司也是受益的，我们可以通过这样的平台实现自己的这样一个转型。其实说到转型的话，现在也是行业内比较热门的一个话题，在之前也有一些国家也在提，政府也在提，现在公司也在提转型这个事情。

但是其实我们看到的那个痕迹的话，它真正的落地它还是一个口号的层面会更多一点。这两年它其实这个环境也有落地的公司，有的公司已经促使了一大批甚至是一个行业里的厂商做了转型，我觉得这个里面，我们现在去看掉队的，虽然这里面也有一些批评的声音，说中国的软件公司或者是中国的产品步子是要慢于国外的一些公司。

但是已经集体的向这个方向去扭转了，另外一个就是，赵老师今天也是提供了另外一个途径，真的是我们在做这个事情的时候，其实多想一下或者说我们要提供一个可实践，可操作的这么一个路径。所以我觉得，其实我们现在也在做这样的一个事情。那我觉得其实在做这样一个事情，其实我们刚才在听您介绍的时候我们听的是很清新，听的也比较的简单。但是我想在做的过程中它还有多种的问题，可能不仅仅是说您刚才说的我到底是选择阳春白雪，还是选择说设计师，建筑设计师。那它这个可能跟企业自身的资源，能力等等也比较的相关，那您从行业的角度来看，姑且把这个平台更放大一点，从这个行业来讲，您觉得什么样的公司才能做这样的事情？具有什么样特点的软件公司它才能做这样的事情？

赵亮：你问的非常的好的一个问题，也是最近我思考比较多的一个问题。就是说像金蝶这样的公司，你学别人是怎么学？就是说你可能成为世界上最大的那些知名的公司不容易，你还是要根据自己的实事求是，根据自己的情况出发，你有多大的财力，你是在什么样的环境下生存，你的竞争对手是谁。因为像管理转型，刚才你提到了云计算是向技术的转型，一种技术转型的提升。那么像现在金蝶是用管理转型的提升，原来我有软件了，现在我再加上管理服务这一块儿的东西，就变成能够帮别人设计东西，帮别人盖房子的人。它原来只会盖房子，是人家自己出图纸告诉你的。它要向这个方面转型，它必然有一些专家，你能够起到什么样的作用，你不可能财力是无限的，这个中间确实是可能有一些大而空的东西在里面，太理想化了，我请一千个顾问，那没用的。

你只要人合用才合适，我们不在于多，我们不是打群架，所以你只要你觉得在你转型中间，所以你必须要瘦身。为什么我只让他们做运营层面的事儿，不让他们做商业模式层面的事儿。那个地方有一大群的公司在那儿，我们是一个正三角形，那像IBM也好，埃森哲也好这都是典型的倒三角形。你越往上走你就越跟它碰得紧，他都干了几百年了，100年了，IBM它就是靠高端的咨询在生存的，你非得跟它挤这个市场，怎么挤呀？你是立足于你的软件在上面走提升，我会盖房子了，但是我也要会设计，你这样的一步一步的走，而且你找到的专家是紧贴着你房子的，我会设计，我会做一些管理咨询。

你像我们的内控，请的这些人能懂一些内控管理，但是他最好懂一些软件。他能够跟人家讲，我做管理咨询是通过软件做的，这样的话，你就运行起来了。我也不跟你讲战略的东西，我也不太多的去给你浅文化的东西，浅哲学的东西我也不跟你讲。我讲这些东西你就容易听的进去，而且能够见到实效，你就知道我不忽悠你。而且我通过对标肯定能够让你提升，这很简单的道理。原来你就知道你自己的这点事，我把其他的公司这些制度都给你看了，这肯定对你有帮助的。所以我们不玩虚的东西，那么在这条路上我觉得每一个企业的情况不一样，一定要从自己的实际情况出发，一步一个脚印的去走。一定不要太想着去跨越式的发展，你越跨越式的发展，你跨到一个你蹬不上的高度你就很危险。

主持人：是不是还可以这样理解，赵老师，像您刚才说我们之所以是做规划这个层面上的，不会再往高上再走。

赵亮：至少暂时不会。

主持人：对。起码这个里面它还有一个点，就是说它有一些东西是可以标准化，可以用一个模板或者是一个平台来实现的，这样操作起来也会比较的容易，那这带给企业的好处也是显而易见的。

赵亮：为什么我们要知识库呢？知识库实际上就是说，你想财务的流程每家都差不多，全面的预算管理都差不多，资金管理都差不多，采购管理，可能卖的东西不一样，大的流程，各行各业都放进去了，它就在里面了，你可能是某一个行业的采购流程，但是我放了一个100个流程企业里面你可能就撞到其中的10个，8个，你参考别人的就可以了。这一个层面是可复制的，为什么我反复的讲这个是管理科学，是可复制的，可借鉴的，所以你拿别人的东西是可以借鉴了以后提升的。

为什么我不太喜欢去做战略的层面，不太容易做通，而且做完了之后成功的经验不可复制。

主持人：这个过程依赖于某一个顾问，知识，经验，智慧。

赵亮：而且你想一想，做那一块儿的事你得比那个董事长还得懂，人家才会付给你钱。你得比那个董事长说的还得对，人家才能付给你钱。你想想看，我们初学乍练到人家企业里去，初来乍到的，你怎么可能比他更懂。

主持人：对。其实我觉得从价值的角度来讲，我觉得可能它是两个层面上的事情。

赵亮：是。

主持人：最起码跟我们的业务结合点来讲这个价值点会高一些，更实在一些。

赵亮：就是说我觉得，第一个我跟我们的顾问来说你要知道你自己能吃几碗干饭，你别干好高骛远的事。第二个你要知道你自己有多大的价值，你给用户提供的价值如果大于用户付给你的薪酬，报酬的话，你可以踏踏实实的做这件事。如果反之这种事长远不了，你骗了一家，你不可能骗第二家。然后人家很快的就知道了，你这些人都是忽悠人的。所以你往上做容易的给人家的印象就是忽悠人，我们遇到了好几家公司花1000多万，都是高端的管理咨询，做完了以后企业一运行大亏，巨亏，甚至于股票就翻着跟头往下跌。后来就不给这家公司钱了，你的管理咨询后面的钱全都不给了，就说你这个东西对我没用，我没让你赔钱就不错了。所以我们轻易不趟这个浑水。

主持人：我觉得赵老师，这个里面对于我们企业来讲，对我们软件公司转型可能还会遇到一个问题是什么呢？我到底是把服务作为我软件的授权还是作为一个新的业务，它是两种不同的操作模式。其实我们刚才听下来的话，我倒是更愿意把它理解成，其实我们之前这一块儿不能说是空白的，但是真正的把这两个点结合起来，把这个两个点做很切实建筑师这样的行业也不是特别的多，不是非常的完善或者是成熟。所以我觉得那我不知道在金蝶是一个什么样的想法？

赵亮：其实你问的这个问题问的非常的深刻了已经，因为我们自己的顾问也有，很多的顾问在下面。我在看的时候实际上我觉得有这么两种人，一种人是在干锦上添花的事儿。就是你刚才说的，这个人家企业需要买一个ERP，我过去只是给他讲讲集团的管控什么样，上了这个软件不让下面的分子公司开帐号了，我全都集中的，集团公司开帐号的，他们的资金调拨完全由公司来做，人力资源统一来做，信息怎么样去共享都讲这些事。这些事实际上是锦上添花的事，但是盘我也要买。

你不给我讲这个，反正我自己琢磨琢磨，我跟你商量商量我也做到这一步来。但是有你这个专家更好，这是一种。其实我更在意的是雪中送炭的事，通过内控的项目拉动你的企业的需求，创造这种需求。以前不知道内控，他突然知道了内控，通过内控梳理我的管理体系挺好，然后我在落到我的信息化上去。那么对于我们来说，那后面的软件也跟着就进去了。因为以前这个企业你是卖不进软件的，你给人家做了一个管理咨询，帮人家梳理，人家觉得你梳理的还不错，还挺见效的，那我有进一步的兴趣，就是把它落地去运行。于是，如果人家没有信息化，就把软件带进去。如果人家有信息化了，那你就落到别人的信息化上去了。那么这种人是雪中送炭的，我更在意的是这种人。或者是我更不断的告诉我们的专员要转型到这方面来，转型到这边来完全是两股劲。

前一种是我找一个CFO，给你说道说道，给你普及普及知识，展示一下我有什么财务的能力。后一种找董事长和CEO，你去跟他说你要有一个管理体系，既要合规又要帮助企业管理他的咨询，建立一套管理体系，帮他提升管理，规避风险，我们怎么分步骤来做，分完了之后我们怎么通过信息化去落地，去创造出一套东西。你要是创造的多了，就把金蝶公司引到了这条道上去，就一直走下去了，你就从一个刚才我们说的包工队真正的变成了建筑公司。

所以我觉得你问的问题确实是很深刻，这也是我这几天，这一段时间以来反反复复在脑子里琢磨的事。

主持人：其实我觉得赵老师您刚才说的这个，我刚才说的那个可能会比这个更远，我刚才说的你回答的这个问题基本上是第二类的，但是我觉得您说的非常有道理。其实我们要做一个建筑公司，建筑公司的价值是在哪里体现的，如果建筑公司的价值只是告诉我说你这个厨房不要放在这儿，你厨房放在那儿，我都已经要盖这个房子了，只是说你告诉我一下这个位置变了而已。

那另外一个位置我觉得对于金蝶的价值来讲是非常大的一个价值，其实我们是给它创造业务的。但是其实我刚才还想了解的，就是从更长远的角度来看，跟其他业务的一个紧密的结合，比如说跟软件业务的紧密结合这是我们发展的一个模式，我可能要这样的模式，我要这样的发展，我做了这个我要带你进来。一个它是两个价值的重叠，对于我这个公司来讲。另外一种可能在这个角度下面，我会有一个独立的发展。

比如说像我们之前谈到的那个问题，这个公司请我来做这个，当然我觉得优先对于我来讲是我公司的产品。那另外一个有可能也会用其他公司的产品，但是对于我来讲这是一个独立的业务，我给这个公司提供的就是这样一个价值，是一个独立的价值。也就是说我为什么说其实对于金蝶来讲，它可能就是一个独立的业务模式。我不知道我们在未来的规划里有没有（这方面的思考）？

赵亮：其实我觉得这个是很OPEN，其实是双向都是OPEN。你比如说你现在的管理咨询，你现在作为一个管理企业的话，你往管理咨询看，你应该是任何一家管理咨询做完了以后，我们为什么说四大有三大在跟我们合作，都允许人家去做，人家不用我们的管理咨询，但是有我们的软件，这是可以的，这个完全可以的。

反向你做完了管理咨询，人家非得挑SAP，为什么不用你。你当然应该让人家用户有这个权力或者是有义务去用，你的责任就是给人家做好内控的信息化咨询，因为你只有这种双向才真正使得用户的利益最大化，我们不能光想自己的利益，想自己的软件多卖一点。实际上用户有他的想法，当然你卖不进去的原因你应该找金蝶，是不是软件有问题，是不是不像SAP的不够好。当然如果有足够好的用户，他也会买你的金蝶，不会有SAP的东西。

主持人：对。其实从我的认识来讲，赵老师我也大概谈一下我的想法。我就从我的认识来谈，我觉得真正要实现一个转型，它其实是有这样的一个业务模式。当然我觉得，如果我们仅仅是做到第一点的话，我们的授权团队已经是非常优秀了，我们可以做这个业务了。当这两个脱离开来各自去看自己价值的时候，是我这个公司靠这个去赚钱，那我觉得这个可能是一个业务模式上对我们来讲更有价值的转变，可能走的会更远。

赵亮：你说的对，现在金蝶今年不是叫做整合、转型、高增长。所谓的整合它就是管理加IT，但是管理加IT并不意味着金蝶的管理加金蝶的IT，你可以是别人的管理加上金蝶的IT，也可以是别人的管理加别人的IT，都可以的。

主持人：是的，是的。这个其实说白了，就是企业的利益最大化，您刚才说的那几点。

赵亮：你追求的是企业利益最大化，你自己才能很好的去生存。

主持人：对。其实最后一个问题，我也是想听一下，赵老师，您比如说像这个行业里面，因为行业转型，大家可能都会往这个方向走，您觉得现在转型的一个怎么讲，就是转型的状况，您觉得转的比较成功的机率大吗？现在从进展的情况来看。更直白一点说，您是觉得有多少公司可以到这个阵营里来？

赵亮：我觉得是这样的，转型是大家一个共同的理想，在走上这条路的时候，转型又会成为这家公司最大的风险，我们是做风险管理的，我个人认为金蝶现在最大的风险是转型的风险。

其实至少我个人认为就是说不在乎金蝶在市场上多盈利了那么几个百分点或者是少盈利了那么几个百分点，而真正的投资人是要看金蝶是不是一个有价值的公司，我们说有价值的公司才是最有意义的公司，才是未来能给公司创造价值的。他是要看你转型的路线方针政策，你要想怎么走，你说你明天就成了IBM了，那投资人也不太信，因为IBM在美国100年了，你在中国也不大容易成。你说你接近IBM，他可能还会比较信，有一些成功的经验。你要清晰的跟人家说出来，你是怎么转型的。

现在我们的内控为什么能说清楚？是因为在过去的一年中我们在不断的每天都在琢磨有点像您刚才问我的许许多多的问题，如果这些问题我自己回答不了，我们的转型永远清晰不了。有很多地方我的对象是什么，我的目标是什么，上市公司他们有没有管理的需要，他们有没有信息化的需要，他们在什么情况下管理加了信息化能进去，就像我们刚才说的商业模式能成立。我们需要跟它的董事长和总经理怎么讲，即便你想的非常的好，你必须用非常朴素的语言，三五分钟要让人家知道你在干什么。像这些东西，都是我们每天晚上睡不着觉反复的去实验和琢磨的东西。

我们在转型中有什么风险，金蝶的优势在哪儿，我们第一步怎么走，第二步怎么走，第三步怎么走，我必须把这些东西想的很清楚，我才能够去跟人家说，我才能够跟金蝶的领导去讲清楚。比如说我的老板，他要知道你赵亮在干什么，你才能带一帮人。他也不懂内控，也不懂风险管理可能，你要让他很快的知道，你是怎么创造价值的。如果我们这个试验田成功了的话，可不可能在金蝶大面积的推广，带动金蝶的各条软件产品线一起走。这样的话，就是我们的很严肃的话题了，那么在这个中间我觉得很多的企业，这又是一轮洗牌，很多的企业如果它转型不能够成功的话，它一定会倒下来的。一些转型成功的企业，可能就此上了一个新的台阶。

所以我觉得我们现在只是一个刚刚开始，只是把一些确实通过一年多的时间我们做了很多的用户，我们现在基本上把这个路子的内控方面是想清楚了，我不敢说在金蝶所有的转型我们想通了，我们只是在金蝶内控方面是想通了。

主持人：您是做了一个探索。

赵亮：我们肯定是一个排头兵，金蝶毫无疑问，我们就是管理加IT的，就是一个整合、转型，高增长的一个案例。我们成功也许带来金蝶的许许多多，当然我必须得要承认包括金蝶在内对我们现在的经验，对我们现在的认知还是很少的。但是他们的认知很少我也不太怎么说，因为我不想让更多的人去知道，等我们再更多的去成功一些更大的案例的时候，我们再去探讨这个问题也不迟。

主持人：对。它其实也是一个互相促进，其实我们之前在做具体的一些泥瓦工的一些活的时候，或者是作为包工队的时候，你可能跟用户实际的需求，第一个你没有这样的经验，第二个他们实际的需求中心的意思又会离的比较远。那当我们中间有这样一个衔接层的话，我们可能在给用户做这些咨询的时候也可以更多的把用户他本身存在的问题，他的一些需求，他可能没有办法反馈，但是我们可以反馈过来的，其实也是产品的一个概念。

赵亮：没错。

主持人：我觉得这个真是多方面都受益的一个事情。那最后我也是想请赵老师再回到之前，从企业的角度来讲的话，您刚才也谈到了企业可能面对的是要多个身份的人，或者是需要有多个需求它可能需要有规划的需求，产品的需求，那我们具体到这两个方面，您觉得企业我要做内控了，那我要做内控我需要做这些工作的时候，我是有一个什么样的标准来选择谁来做我的规划，谁来做我的产品。

赵亮：这个也是一个非常敏感的问题了。

主持人：您可以从一个专家的角度去谈。

赵亮：对，我尽量站在一个中立的角度。因为每次我在证监会讲课的时候，经常被问，我怎么选择咨询公司，我怎么才能选择软件公司。我觉得基于有这样一个前提选择咨询公司，你选择什么样的咨询公司都没有太多的标准，为什么呢？因为咨询公司它是把这边手续给了你，你给了钱，他拿着就走了。至于你这些流程对和不对，运行不运行，运行了有什么问题跟他无关。所以你选谁你都不知道他做的对不对，这是一个大前提了。

那在这种大前提之下你就得有几个要求了，第一个我建议要知识转移和能力转移，你尽量的你要给我把这个知识教给我，让我的人员参与进去，学会。第二个你要尽量的必要的时候做一些软件落地。我们曾经被人家质问过这个问题，我们做完管理咨询，然后人家说你这个管理咨询做不对不对，你把你的ERP拿过来，两条流程你给我落地，你们现操作一下。那咨询公司根本做不到，也许像我们这号人人家才跟我们提这样的需求，我们还跟就给人家干过这样的事，干起来还很麻烦，一般的人不会这么科学，这是第二个。

第三种，你尽量的让他们给你签一个长期的服务协议，将来我落地了我发现错了，你能帮我来改一改。但是实际上如果真的掌握的，倒也用不着他来帮你。

再有一个就是说做咨询的人最好他有一些IT知识，能够把内控的信息化咨询同时做了。但是现在基本上都没有这个知识了，如果他不做的话，将来做信息系统之前一定要补这一块儿的功课。这是作为这一块儿的要求。

对于软件的要求，我想就是老生常谈了，尽量的让这个公司的自有知识产权，这些东西我们就不多说了。但是在这个中间我想提醒大家两个问题，也是我经常被用户问到的问题。第一个问题做内控是一个很敏感的事情，它包括了企业内部的权力再分配，当你遇到这样的情况怎么办呢？有一次我在河北省给上市公司讲课以后，他们专门把八家董事长，试点企业的董事长留下来跟我座谈。在座谈之中其中有一个，是一个煤矿的董事长他讲的挺好的，他说我遇到这样敏感的问题是这样的，你不是有五项权力嘛，咱们把它摆到桌面上，然后把这五项权力有关的十个风险我也给你摆到桌面上，我告诉你行使这个权力就是这个风险，行使那个权力就是那个风险，以前大家只看到权力不看到的风险的时候，大家都想抓权。你跟他说了，我们为了规避风险才把这个权分化出来的，也不是冲你来的，大家觉得这个风险是不是应该规避，那怎么规避？怎么管控，可能把这个权分给别人一块儿，别人帮你把把关，风险就小了，自然而然这个事就分化了，这是一个。

另外一个就是我们要注意效率和效益的关系，你把制度流程建立起来了，是很规范的东西，但是一定要把它留下特事特办的通道。否则的话，你就要授人以柄，人家会说你们这些人最不会办事，我们这个董事长人家要审批一个特批的什么什么东西，某一个专家进到我们公司来需要走一个特批的流程，那你没有，所以你一定要想，在必要的时候，在必要的条件下，一定要给他设定。什么样的条件才可以走特批的流程，这样的话就能够提高他的效率，不至于让人家说你们都是公事公办的人。

主持人：谢谢，谢谢，赵老师。我觉得赵老师今天也确实是给我们，虽然聊的时间有限，但是给我们提供了非常丰富的知识。一方面也是把企业内控，把这个事情讲清楚了，另外一个就是让我们很清晰的看到说企业要实现企业内控，真正的让企业内控发挥价值它还是需要什么样的途径来实现的。另外一个我觉得非常有价值的是，赵老师是谈到我们整个行业转型，管理软件行业转型的问题，也是当前非常非常热或者是说非常非常受大家关注的这样一个问题。

我觉得在这个问题过程当中，赵老师也是通过金蝶这样的例子给我们阐述了我们在转型的过程当中有哪些风险，会规避哪些风险，是怎么做的，也是毫无保留的给大家做了这样一个交流，我觉得这一点要非常的感谢赵老师。

那我想在这个过程当中我们相信关于这两个问题的话，我们有很多的会员包括这个里面可能也有行业里面的同仁，他们可能也会有一些想法和一些观点。那我们也欢迎大家就这个观点跟我们去做一些交流，同时跟赵老师这边也会有一些交流。

好，非常感谢赵老师。好，谢谢大家。

赵亮：谢谢大家。

风险管理解决方案

　　企业应根据风险管理策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案一般应包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具(如：关键风险指标管理、损失事件管理等)。

　　企业制定风险管理解决的外包方案，应注重成本与收益的平衡、外包工作的质量、自身商业秘密的保护以及防止自身对风险解决外包产生依赖性风险等，并制定相应的预防和控制措施。

　　企业制定风险解决的内控方案，应满足合规的要求，坚持经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，针对重大风险所涉及的各管理及业务流程，制定涵盖各个环节的全流程控制措施；对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。

　　企业制定内控措施，一般至少包括以下内容：

　　(一)建立内控岗位授权制度。对内控所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出风险性决定；

　　(二)建立内控报告制度。明确规定报告人与接受报告人，报告的时间、内容、频率、传递路线、负责处理报告的部门和人员等；

　　(三)建立内控批准制度。对内控所涉及的重要事项，明确规定批准的程序、条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任；

　　(四)建立内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；

　　(五)建立内控审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；

　　(六)建立内控考核评价制度。具备条件的企业应把各业务单位风险管理执行情况与绩效薪酬挂钩；

　　(七)建立重大风险预警制度。对重大风险进行持续不断的监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施；

　　(八)建立健全以总法律顾问制度为核心的企业法律顾问制度。大力加强企业法律风险防范机制建设，形成由企业决策层主导、企业总法律顾问牵头、企业法律顾问提供业务保障、全体员工共同参与的法律风险责任体系。完善企业重大法律纠纷案件的备案管理制度；

　　(九)建立重要岗位权力制衡制度，明确规定不相容职责的分离。主要包括：授权批准、业务经办、会计记录、财产保管和稽核检查等职责。对内控所涉及的重要岗位可设置一岗双人、双职、双责，相互制约；明确该岗位的上级部门或人员对其应采取的监督措施和应负的监督责任；将该岗位作为内部审计的重点等。

　　企业应当按照各有关部门和业务单位的职责分工，认真组织实施风险管理解决方案，确保各项措施落实到位。

合规、内控、风控的区别

从风险管控的角度来说，个人认为从低到高应是合规管理-内部控制-全面风险管理。

首先，合规管理是最基础的层面。合规管理的本质并不聚焦于风险管理，它只是机械的避免违反内外部法律制度规范，从结果上看能够起到一定程度上控制操作风险的作用，但是这个作用有多大、够不够，并不是合规管理所关注的，自然也不是它能够解决的。

其次，以coso框架为代表的内部控制，是合规管理的终极版，也可以说是操作风险管理的终极版。内部控制不但要求合规，还要考察这个“规”是不是完善，“规”有没有配备相应的执行点，执行“规”的过程是不是有效。如果说合规管理更注重结果、只要结果合规就OK，那么内部控制就更重视过程，并在此基础上发展出整套完善的工具和方法。

最后，全面风险管理是风险管控的最高形式。在全面风险管理中，风险一般被分为市场风险、信用风险、操作风险、声誉风险、战略风险。刚才说了，内部控制是管理操作风险的终极手段，但是它对其他风险并没有效果。内控再严密，也无法衡量资本市场波动会给公司带来多大风险（市场风险），无法衡量交易对手赖账不给钱有多大风险（信用风险），更无法衡量公司战略方向错误、出了事被人骂的风险。

欧洲纪念币

当然，全面风险管理的精髓，还不只是考虑了这5类风险——毕竟这些风险都不是新鲜玩意。传统上，市场风险归交易部门管，信用风险归信贷部门管，操作风险归合规部门管，剩下俩风险管理层拍脑袋管。这种方式非常自然：谁干的活谁管风险嘛。但是问题在于，干活的是不会真正关注风险的。交易失败无非没有奖金，交易成功就有大笔分红，谁会跟钱过不去呢？

所以，全面风险管理认为，必须把管理风险的职能提升到高级管理层这一级，必须有一个首席风险官和独立于交易部门的风险管理部门，来客观的衡量这些风险。而且从技术上讲，各个风险之间有分散作用，也必须由一个统一的部门来管理，才能真正考虑到这种分散作用。

全面风险管理与内部控制本质上都是为了评估、防范、控制企业风险，从而促进企业经营目标的实现。但国内部分企业在推进全面风险管理和内部控制体系建设及运行实施的过程中，存在着分离管理、分离运行、分离监督、分离评价等问题。

  这主要是两方面原因造成的：

一是两者审视风险的角度不同。

全面风险管理主要是围绕企业战略经营目标，“自上而下”地辨识、评估、分析风险，并提出风险预警防范和应急管理的策略和措施。而内部控制主要是从流程合规、防范舞弊的角度出发，“自下而上”地诊断采购、销售、资金等具体运营流程中相对微观的内部控制缺陷并进行整改。这说明两者所涉及的“风险”大小不对等，从而在本质上割裂了两者在实操中的衔接。

二是两者评估和应对风险的技术方法也存在区别。

全面风险管理主要采用头脑风暴、调查问卷、模糊分析、专家打分等定性与定量相结合的方法。而内部控制则侧重于采用穿行测试、控制测试等审计鉴证技术，诊断重点业务、重要流程的内部控制设计及运行缺陷。由于技术方法不同，风险评估过程就很难统一。

 企业可以考虑从以下六个方面着手推进两个体系的融合：

一是推进组织管理的融合。

企业可以组建一个独立的风险与内控管理部门，也可以将风险管理和内部控制分设两个部门或将相关职责安放在两个不同理流程清晰、紧密协同的部门，避免浪费和扯皮。

二是推进风险分类框架的融合。

企业可以建立统一的风险分类框架，将企业层面的风险细分到二级、三级或四级，并将操作层面的风险（内控涉及的相关流程风险）归入其中。

三是推进风险管理策略的融合。

内部控制是一种重要的风险控制策略，对于需要采取控制策略的主要风险，企业可以将控制点、控制目标、控制措施等内容提炼融入到风险管理策略和风险应对措施之中。

四是推进风险评估技术的融合。

企业可以在采用风险评估方法识别重大、重要风险的基础上，采用内部控制测试方法诊断控制缺陷，实现风险评估和内控诊断的过程统一、信息共享。

五是推进风险评估标准和内控缺陷判定标准的融合。

企业可以制定分类、分级的风险判定标准，统一内部控制中的缺陷判定标准与风险管理中的风险评估标准，从而解决风险宏观、内控微观的问题。

六是推进两个体系监督、评价、考核的融合。

企业还应进一步实现全面风险管理和内部控制在监督、评价、考核等方面的过程统一、组织统一、团队统一、制度统一，以节约资源、提高效率。