去年底，内部一家做精密零配件的控制制造企业出了事。仓库主管和采购员串通，环节在系统里虚构了三家供应商，存漏半年时间套走两百多万。内部审计翻凭证时才发现，控制这三家供应商的环节注册地址是同一个城中村出租屋，联系电话是存漏同一个手机号。更离谱的内部是，这家企业用的控制ERP系统里，供应商准入审批流程形同虚设——采购员自己就能新增供应商，环节自己就能下订单，存漏自己就能确认收货。内部一个人把三个环节的控制活全干了，不出事才怪。环节

这种事不是孤例。内部控制环节的漏洞，往往不是制度没写，而是写完了没人当回事。我见过一家公司，报销制度厚得像本书，差旅标准、审批权限、发票要求列得清清楚楚。结果呢？部门经理的报销单，直接跳过财务审核，由行政前台代交到出纳手里。出纳看都不看，照着单子打款。问起来就说“经理很忙，别耽误他时间”。制度挂在墙上，执行时走了样，漏洞就出在“人”这个环节。

内部控制的核心逻辑其实不复杂——不相容岗位分离、授权审批、定期轮岗、独立稽核。但落到实操层面，很多企业卡在“效率”和“信任”这两个词上。财务总监跟我聊过，他们公司出纳休产假，临时让会计顶了三个月。会计既管账又管钱，那段时间账实不符，差了几万块，查了半个月才查出来是会计把一笔收款记错了科目。你说这是故意吗？不是。但岗位没分离，错误就藏得住，藏久了就变成窟窿。

还有个更隐蔽的漏洞：系统权限管理。一家电商公司，运营助理离职半年了，后台账号还能登录，还能改商品价格。后来有人用这个账号把一款热销品价格改成了一折，一夜之间被薅走几十万。IT部门说“忘了停”，运营部门说“以为IT会停”。这种“以为”就是漏洞的温床。权限该收不收，该分不分，等于给内控开了后门。

我观察到一个规律：内控出问题的地方，往往是业务跑得最快的地方。销售急着签单，采购急着拿货，仓库急着发货——流程能省就省，审批能跳就跳。等出了事再回头补制度，成本已经付出去了。有个做食品批发的老板，一直觉得“老员工靠得住”，采购经理干了八年，从没出过岔子。结果去年查账，发现采购经理在外面自己开了家贸易公司，所有高价原料都从自己公司走。八年，没人轮岗，没人审计，没人对账。信任变成了漏洞的遮羞布。

堵漏洞不需要多高深的手段。把该分开的岗位分开，把该走的审批走完，把该停的权限停掉，把该轮换的人轮换。听起来都是笨办法，但管用。怕就怕明明知道有问题，却因为“一直这么干”“大家都方便”而拖着不改。内部控制不是防君子，是防小人，更是防那个一时糊涂的自己人。