“那天我去沈阳道那个店巡视，看见下班后扔掉的那些面包，真是心疼得我直哆嗦。这些扔掉的面包要是放在吃不饱的年月，能救多少条人命啊！”

“妈，这事没办法改善。您干这一行的应该知道，面包当天处理，蛋糕隔日处理，这是行规啊。”

“是啊，主要是我好几年没亲眼看到这个场面了。其实原来也知道，行有行规，很多时候都是眼不见心不烦。可那天我是亲眼看见啊，那么好的面包，那么好的原料，说扔就扔。我回去之后在会上还专门拿这件事跟大伙儿议了议，我说咱们能不能搞个半价活动，比如闭店前半个小时都打5折，总好过直接扔了。你猜大家怎么说？”

“我猜大伙敢怒不敢言。”

“这回‘福尔摩斯’可猜错了，大伙儿是勇于发言了。意见基本一致，这个活动不能搞。当时有好几个店的经理都表示，他们之前工作的面包店有过这样的活动，本意是好的，但是活动一出来，白天营业时间的销售额锐减，闭店前的半小时倒是忙得四脚朝天。忙活了半天，把利润都让给了顾客。”

“福尔摩斯”露出神秘的微笑：“这也是经营风险。”

“总体而言，控制由五个部分组成。coso曾经出台过一个有名的直方图，我把它叫作coso魔方。咱们今天主要来讲讲这个魔方怎么玩。”小熊一边说，一边在纸上画了一个立方体。

“首先，是横断面。您看到的是控制的三个目标，咱们之前说过的：运营的效率提升、财务报告的真实准确，以及法律的合规。纵切面的侧面表示企业是一个立体，是由各个不同的运营实体或业务循环构成的。重点在面对您的这一面，看到了吗？一共是五行，每一行都有一个名字。”

“咱们从最下面往上说，最下面的内控元素是内控环境。这是个相对意识形态的内容，我一般把这个元素分为两个部分，一个是硬指标，一个是软环境。”

“先说硬指标，什么是好的内控环境？我觉得一个拥有健康完善的公司治理结构的内控环境就是好的内控环境，它至少得包括下面的几方面：

“股东（大）会由全体股东组成，是公司的最高权力机构和最高决策机构。董事会是股东（大）会闭会期间的办事机构，董事会下面的三个委员会均为独立机构，分管不同方面。审计委员会管审计，监督相关事宜，企业的内部审计职能直接向审计委员会汇报，以保证其独立性；薪酬委员会主要负责制定公司董事及经理人员的考核标准并进行考核，负责制定、审查公司董事及经理人员的薪酬政策与方案；提名委员会则负责向股东（大）会提交每年改选的董事名单和候选人名单，并负责寻找和提出ceo（首席执行官）的继任人选，报请董事会考虑。”

“管理层是受董事会监督的企业运营力量，负责企业日常的运营秩序与经营管理。”

“如果一家企业在大致规模上可以建立这样的治理结构，至少说明这个企业家还具有一定的素养和气象，对于企业的长久发展也有一定思考。”

“为什么说法人治理结构好呢？为什么说它体现了一个企业好的控制环境呢？我先给您讲个内控理论，叫作管理层凌驾。”

“这个词听起来好霸气，我喜欢。”

小熊哈哈笑了，他觉得妈妈是个很可爱的企业家：“对，不光您喜欢，好多民营企业老板都喜欢。这个词用英文表述是management overriding，其实不管是中文还是英文，咱们都能看出来这个词的意思。管理层凌驾就是企业中具备较高权力的高级管理层驾驭、藐视或不受既定的内部控制制度约束的行为。一般而言，管理层凌驾是一种比较严重的内控缺陷，但是它很有地域特点。”

“在西方国家，公司法人治理体系相对成熟，制度和规章的社会基础比较好，管理层凌驾的现象少一些。比如说，美国赫赫有名的p2p行业始祖——lending club的创始人一时兴起，批准了向一名投资人发放一笔数额为2,200万美元的优先级贷款，由于这笔交易的批准没有经过正当合理的授权程序，也没有经过公司治理结构中的集体决策（如董事会），因此一经内部评估程序发现曝光，创始人不得不引咎辞职。”

“但是在中国，由于中国接受现代公司治理理论时间不长，很多中国民营企业家还处在比较初级的一言堂的发展阶段，因此管理层凌驾的现象就显得格外突出和普遍。咱们还举p2p行业的例子，听新闻上说，某公司实质控制人可以一掷千金，拿出几个亿来包养情妇，肆意挥霍，这就是很典型的管理层凌驾。该公司在处于巅峰期时，全国有13万员工几十家分公司，不能说他们的内部一点儿控制都没有吧？但是管理层凌驾仍然是没能逾越的鸿沟。”

“这件事我也在电视上看到了，我看这就是有钱烧的。”

“是啊，贪婪使人疯狂嘛！对了妈，您也回忆回忆，您在公司的日常经营中是不是也存在管理层凌驾的情况，咱们也得在批判中学习成长。”

熊妈妈忽然有点不好意思，说道：“那肯定有啊！按你说的，我们还处在初级阶段嘛。这么多店，咱们这个行业人员的整体素质你也知道，我不能什么都搞民主啊。同时，我对你这套理论有点看法，我感觉你这个理论对那些500强的企业指手画脚还行，对于中小企业来说，什么都得强调授权、集体决策、程序，我觉得挺没效率的。”

小熊点点头：“您说得对，尽信书不如无书。虽然我是吃这碗饭的，但也不能把内控说成包治百病的良药。我想说的是这么两点：第一点，理论是死的，但是人和企业是活的。公司在发展的不同阶段的确需要选择适合自己的公司治理体系，但是选择和接受公司治理的理念，也并不是说不兼顾效率，不灵活思考。第二点，您说得对，在公司发展的初期，效率可能要优于治理和控制，因为这两样的施行都会导致成本增加。在一个业务流程中，有时候增加一个控制点，就需要增加一个工作岗位，或者增加这个流程的运行时间。这个阶段往往机会难得、稍纵即逝，需要企业家快速决断。在我个人看来，这时候对于控制的要求只需要比‘自发控制’这个很初级的控制阶段稍微高一点儿就可以了。随着企业规模越来越大，业务越来越复杂，控制和治理结构就显得越来越重要。咱们可以举个例子，一个小小的控制点就可以节省您很多时间。”小熊站起来，在屋子里走了两步接着说，“比如费用报销这个流程，门店的咱们不说，就说咱们管理总部，您现在是怎么审核的？”

熊妈妈想了想说：“太细的我也不太记得了，好像是部门经理先批，在你来之前是常务副总批，然后财务批，最后送到我这儿批。你来了之后，又需要加一层你批。”

“是啊，我虽然来的时间不长，但是就感觉到时间不够用。白天在公司，感觉大部分的时间都在处理这样的杂事，没有整块的时间进行思考和规划。等到下班了，大家都走了，没有人来烦我了，我才有点思考的时间。其实很简单的一个控制就能改善现在的状况。在控制理论中，有这么一个子理论，叫作分层控制。咱们还拿报销这个事情举例子，咱们可以把报销金额做一个大概的分层，比如分为1,000元以下、1,000～5,000元、5,000～10,000元、10,000元以上四个档次。单次报销金额在1,000元以下的，部门经理审批就可以，到财务的复核不是审批，而是检查一下单据是否齐全，是否有不合规的票据，也就是说财务的审核变成了形式审核，而不是费用合理性的审核；1,000～5,000元的，除了部门经理审核，增加一级常务副总的审核；5,000～10,000元的，增加副总裁的审核；10,000元以上的，再增加一级总裁的审核。这样规划后，高级管理者的时间和精力被解放，您可以把时间放在为企业创造价值的地方。”

熊妈妈半晌没吭声，过了一会儿才略有一点儿迟疑地问：“你的这个理论听起来是不错。不过我一直以来都有个问题想问你，假如你不是我儿子，10,000元以下的费用报销我看不到了，我怎么知道有没有舞弊之类的事情发生呢？”

“其实这不只是您一个人的疑问，我之前在外面讲课的时候，经常有民营企业老板来问我这个问题。对于这个问题我是这么看的：第一，无论是在公司治理方面还是在控制理论方面，其实有个道德前提，就是我相信我的员工人性都是好的，我的公司风气很正，大家都会为了这个公司努力拼搏、公而忘私。当然，这只是一厢情愿的事情。事实上，内控体系的搭建也是为这个前提保驾护航的，比如我们讲风险评估，我们说控制行为，后面还有监督机制，比如定期的内部审计、群众举报，也包括管理层的突击检查，这些手段配套使用，目的就是保证这样的前提得到不断的安全验证。”

“第二，这其实是个博弈问题。企业家对自己企业的风险应该有一个全面、充分、客观的认知，知道自己企业的重灾区在什么地方，可能在哪些方面会出问题，在这些方面多放一些控制。相反，有些流程简单，风险低的问题，就稍微少放一点儿控制来解放自己。还是费用报销这个问题，金额的档位可以进行一些灵活调节，您要是不放心，可以把您自己审核的档位往下降一档，当然，这样您就累一点儿。”

“酥园未来一年的目标是要到美国纳斯达克上市，不是到湘江道的菜市场上市。您说说看，咱们要不要建立公司治理结构和内控体系？”