作者 | 颜永华

来源 | 心声社区、蓝血研究（lanxueyanjiu)

“构建一个什么样的企业组织模式更有利于企业规范运作、健康发展？如何构建一个良好的内部治理管道，保证其运行得顺畅有效？如何完备企业的内部控制，防范与规避各种风险？一个什么样的制度结构，能够使企业摒弃短期行为，长期可持续发展？……”之前我在会计师事务所工作时，在对企业内部控制进行评价时，经常会被问到这些问题。为了寻找答案，2011年，我带着疑问来到华为内控与企业风险管理部。

指缝太宽，时间太瘦，转眼我来华为已经12年了。这些年我一直从事内控工作，过程中有痛苦，也有快乐。回顾这些年内控的发展，从内控工具推行到内控体系建设，从财报内控到全面建设基本满意，从流程遵从到风险管控，从内控1.0到风控2.0，我有幸参与其中；从机关到区域，从海外最大代表处到海外最大地区部，从运营商业务到消费者业务，再到参与终端BG风控数字化的建设，我也倍感压力。

撷取几个片段，和大家分享我在内控工作中的一些思考。

01

这里的冬天有点“冷”

2011年12月，我外派J国。这里的冬天很漫长，但比天气更冷的是我们内控团队的内心。2012年，J国内控因工程采购和工程交付SACA（自我年度控制评估）虚高，被机关评为全球内控最差的四个地区部之一，内控团队整体考评全在B以下。这对年轻的内控团队而言，犹如当头一棒。

我们没有气馁，决定为荣誉而继续奋斗，就算要走，也是激流勇退，而不是黯然离场。痛定思痛，在次年年初，地总、CFO与各级主管多次组织研讨，讨论内控要如何继续前行，如何涅槃？

▲ 最初外派的日子（一排左二为作者）

最终大家达成一致，还是要从机制着手，制订并发布了J国内控管理制度，明确区域各层级内控组织分工，明确Owner的职责和结果应用机制，重点聚焦TOP问题建设和TOP流程的建设，建立“内控两会”的运作跟踪机制和内控排名评价机制。

经过全体成员的努力，内控取得了一定的成绩。第一期KCFR全球推行，J国被列为先进典型；GTS内控上前线总体评价“业务较规范”；2013年SACA评估中采购、订单履行、信用、管理机会点，税务和管理授权与行权等流程被机关点名表扬，每年发布“J国内控白皮书”，相关经验也被部分区域借鉴；关键痛点问题得到解决，如重复PO、超界面交付问题金额下降超30%，海关预付款金额下降超70%，核销周期从3-4个月下降到2-3周……

“内控就是管理往前走两步”，在我看来，内控组织建设是前提，运作机制建设是保障，流程体系建设是核心，责任体系建设是保障，差距分析是关键，测评体系是评价。

02

西欧的财报内控分为啥这么低？

2015年12月，我被派到西欧担任BC（业务控制人员）。那时终端业务迈入大发展，终端内控作为内控的“新星”，受关注度自然更高，所有的运作都自成体系，所有报告终端都是单独发送，而西欧作为海外终端最大的区域，受关注程度更甚，凡是内控相关的汇报，必有终端且是重点，凡是机关的"各种点名与试点，必有西欧且是痛点，而这一切让我“受宠若惊，应接不暇”。同时，西欧各代整体状况也差异很大，有屡受机关表扬的意大利，也有审计垫底的法国……这一切让我深刻体会到“西欧其实是个艰苦的区域”是多么真实的写照。

分享一个西欧终端财报内控改进的案例。2017年，财报内控开始在西欧终端全面推行，并明确SACA评估结果不得高于财报内控结果，刚开始测评，西欧终端财报内控的结果只有32分，而其他海外区域都在80分以上。大家看各种简报甚至已经习惯拉到最后，寻找那标红加粗的“西欧”。每个月总有那么几天，我们就像经历学生时代的考试一样，又紧张又期待，紧张的是，会不会冒出低级失误造成大额影响，结果进一步变差；期待的是，努力是否能体现，从结果上有所提升，摆脱倒数。

然而，经过半年的努力，2017年上半年西欧的分数仅从32分提升到42分，从全线飘红到部分变绿，不变的是名次——持续排名靠后。

▲ 西欧Team（中间排左一为作者）

西欧CBG财报为什么持续得这么低的分？我曾经无数次问自己，也无数次被人问。其实原因很简单，具体打开每个指标，收入类和应付类是第一梯队，基本全年保持在一个得分率超90%的水平；存货类和AR（应收账款）类是第二梯队，大部分时间是保持在80%的得分率水平；激励类是第三梯队，从0逐步提升40%的得分率的水平；费用类是第四梯队，长期处于得分为0的水平。由于激励和费用西欧的量占了全球的四分之一，不但金额大，而且单量多，大多依赖手工操作，这既有偶然“手抖”造成超大金额的异常，还有因为人员变更快、作业不规范带来的异常，如何建立机制预防类似的事情重复发生？

为了从根上解决问题，结合西欧外包人员变化快的特点，我们探索建立了西欧标准业务共享组织，这就是CBG合同综合履行共享中心的前身。通过统一标准，专业分工，业务处理的准确性和可靠性得以保证，服务质量得以提高。同时，由于人员集中，易于管理，便于赋能，经验更易传承，也解放了业务人员操作性事务，使各代表处更加聚焦核心业务，便于端到端的管理，风险更加可控。

在作业标准化且有共享组织承接后，作业规范性得到了极大的提升。接着，我们基于作业过程中发现的问题，持续总结和改进，优化流程，提升自动化水平。经过两年的努力，2019年西欧的财报内控已全部在80分以上了，意大利成为了全球首个CBG海外审计两分（内控基本满意）。我们还保障西欧10国内控基本满意达成并都经审计验证。

03

变身“产品经理”

2019年12月，我结束了8年的外派生涯，从西欧调回机关。彼时风控数字化如火如荼地开展，终端的数字化建设刚起步，由于在西欧终端时，我曾组织开发过一套营销的标准化作业与验收系统，于是责无旁贷承接了这部分工作，从内控经理变身为“产品经理”。

▲ 终端BG内控团队（左四为作者）

2020年，在集团统一方法论指导下，我们开始搭建CBG风控平台，并以营销服和财经等一线强相关领域的关键风险场景作为试点。2021年，我们开始面向CBG全领域建设探针，并在CBG 风控IOC（智能运营中心）上开发了预警干预平台，实现了从“线上看”到“线上管”的进阶。

分享一个终端BG“三管一会”的小故事。在风控平台持续建设的过程中，越到后面，我们越感觉缺少一个主线，风控平台建到什么程度是个头，还有哪些功能要开发，这些功能与我们原来的内控工作之间有什么关系？只有有了理论指导，我们的目标才能更清楚。

首先，我们分析了当前的主要环境变化，受外部因素影响导致终端业务发展的变化，区域人员开始缩减，如何持续提升风险的管控效率？要做好哪些工作才能确保内控不出大的问题？由于内控涉及领域多，接触面广，我们尝试从多维度去概括内控工作的全景图，从SACA评估的6个维度分析包括哪些工作，总结了三十多项内控基础工作。大家看到这些工作，普遍反映是内容多，容易“吓着人”。后来，我们进一步提炼出“内控20问”，仍是项数多，记不住。

我们陆续提炼了多个版本，都无法清晰地概括出内控的全景。在与区域同事的多轮交流和访谈，以及与领导的多次对标，了解清楚诉求和期望后，我们把内控工作进一步细化，全面梳理出工作项，再来寻找之间的关联，期间我把近两年的所有内控相关总结材料通读了一遍，最终归纳出内控的本质——就是通过一些工具和手段管好风险。

抓住这条主线后，再来看有哪些工具和手段。通过多次研讨，我们最终把这些工作归纳为“管好TOP风险，管好内控环境，管好内控工具，开好内控联席会”，核心是“三管”，运作看“一会”，以评价驱动内控工作持续改进。至此，终端BG内控“三管一会“的概念被正式提出来，并在财经年会、战略预备队赋能、内控例会等多场合传播。“三管一会”不但把内控要做什么高度概括出来了，也把要做什么样清晰传达了。

有了理论框架后，下一步就是探索如何通过数字化平台固化这些要求和能力。经过2022年的建设，“三管一会”的4大类19项工作26个监控点实现了全面的线上化，并推行至区域应用，“三管一会”内控作业线上化率实现了地区部100%的覆盖和近80%的代表处的覆盖，全年线上预警干预率超90%，访问人数突破2万，年访问量突破30万。基于内控作业线上化的前提，风控报告自动生成的功能已基本具备。

04

风控数字化平台应该长什么样？

在整个CBG风控数字化平台建设和开发的过程中，我也学到了很多，面向用户，系统要做得简单，易用性无疑非常重要，如果用着不够爽，需要学习好几个月才能熟练使用，即使功能再强大，系统也无法推行，但大家内心又希望功能越强大越好，能满足各种场景的诉求，同时，还能自由配置，灵活调整。

面对简单与复杂的矛盾体，我们只能把复杂留给自己，把简单留给用户。基于这个理念，我们在设计所有功能的时候，都是坚持这个原则，在配置中迭代更多的功能，做到足够灵活，在用户界面则保持相对稳定，减少用户的学习成本。一个简简单单的交互，背后都需要无数次的调试。

当然，现实情况远比我所描述的复杂，一个好的平台，从概念到方案、原型，到最后上线，需要很长的过程反复对标，由于理解上的偏差导致返工也是常有的事。

需要强调的是，虽然我们想在设计阶段就做一套结构严谨、交互友好的系统，但没有用户的系统是没有生命力的，系统一定是越多人用，越多人吐槽，系统才能越变越好。另一方面，系统没有十全十美的，要照顾到方方面面，有时就得牺牲一部分，这个也需要大家一起想更好的解决方案，让我们的系统更好用。在我看来，没有最好的架构，只有最合适的架构，我们要根据具体的需求、所拥有的资源等因素综合考虑，设计出当前最优的架构方案，同时我们也要随时做好应对变化的准备，因为随着业务的发展，框架也需要不断地打磨和提升，以适应新的业务需要。

作为一名系统建设者和推行者，我一直认为系统是设计出来的，不是一个简单的模块堆积，更不是简单的从线下搬到线上。良好的设计也可进一步指导未来的方向，随着数字化的开展，我们现有的一些作业方式和使用习惯都需要与时俱进。同时，我们也要理解，风控数字化是一个长期的项目，消费者业务特点决定了目前在业务的主流程、业务模式尚不能完全实现数字化，还需要继续坚持接触式开展内控工作，去零售现场，与合作伙伴、主管交流。

05

风控数字化带来哪些“增加”和“减少”

承接风控数字化工作以来，我经常面对许多“灵魂拷问”：数字化究竟替代了我们哪些工作？究竟能带来哪些价值？为什么有的区域还不愿用？……基至，我听到有部分区域的声音认为数字化增加了工作量。

我想试着解剖一个具体的风险模型，来回答这些问题。临时激励真实性风险是区域一个相对比较典型的场景，实际作业过程中单多量大，而且发生频繁，真实性校验一直是比较琐碎且比较头痛的问题。

在传统作业下，基本只能完全依靠手工处理，先导各种表进行基础数据处理，比如导出PRM审批记录，对比审批时间，检查是否有例外审批；查询Ideal中SIP记录，对比单台激励价格合理性；提取PRM结算结果，逐单按产品维度对比激励金额、数量结果是否超交付数量；问题识别后，线下分发给责任人，并跟催问题关闭，手工收集问题闭环状态……单人月均处理60单左右。

但在风险探针覆盖后，我们通过模型就可以自动识别异常，并且通过事先定义好预警规则，当出现异常时，系统就可以自动推送待办给相应的责任人进行审视，如果审视发现有例外特殊情形，还可以在线申请剔除，以保证模型数据更加精准，如果需要生成任务进行跟踪管理，可以创建干预任务，通过任务管理平台跟踪任务进展，并基于预警干预分析看板实时查看预警干预的闭环进展。

通过以上对比，我们可以比较容易看出，在风险探针的加持下，风险的识别和管理效率相对比传统手工，应该是有比较大的提升的。

可为什么有一些同事会觉得风险探针上线后，反而增加了区域的工作量呢？事实上，从工作量本身看，的确会增加，因为对异常事项的确认和管理相较以往开始增多，但我理解这种增加对风险管控是有益的，由于传统手段的限制，我们只能采取抽样，而且相对低频，很多风险可能并没有完全暴露，所以对风险事项的关注的偏少。

风控数字化上线后，用来解决问题的投入和时间增加了，问题发现与定位投入的时间减少了；风险发现的可能性增加了，风险带来潜在损失的可能性减少了。在结果评估环节，高质量评估的支撑数据增加了，评估数据和问题收集整理的时间减少了。

内控的核心是评价，评价的核心是数据，数据的核心是数字化，风控数字化平台是我们风控从业者的未来的作战平台，作为内控的老兵，我们有责任去贡献一份自己的力量。

总之，风控数字化充满挑战，但又意义深远。数字化是未来的趋势和风控的基石。2023年，CBG风控数字化开启了全面融入风控平台的新征程，但我相信，只要在路上，就没有到不了的远方！

华为内控老兵总结了一个“三管一会”