1. Internal Control 内部控制脑图
1.1. 怎么做？
1.1.1. anti-fraud（参考）
1.1.1.1. 识别舞弊
1.1.1.1.1. 热线
1.1.1.1.2. 舞弊三角中的“合理性”
1.1.1.2. 各国法案
1.1.1.2.1. FCPA
1.1.1.2.2. UK bribery Act
1.1.1.2.3. SOX404
1.1.1.2.4. 生物/化学/制药类企业的合规情况
1.1.1.2.5. 俄罗斯联邦反腐败法
1.1.1.3. 盲点
1.1.1.3.1. 盲点之二：“代理”贿赂不算舞弊
1.1.1.3.2. 盲点之一：招待费用不算舞弊？5000元的贿赂
1.1.1.4. 利益链
1.1.1.4.1. 摇号利益链
1.1.2. 如何衡量？
1.1.2.1. 内控情况诊断
1.1.2.2. 厦门大学的课题
1.1.2.3. 走向无尽的SOP？
1.1.2.3.1. 德国发展银行和雷曼的例子
1.1.3. 内审内控人员的工作方法
1.1.3.1. 沟通
1.1.3.1.1. 维度
1.1.3.1.2. 方式
1.1.4. 三个阶段
1.1.4.1. corrective
1.1.4.2. detective
1.1.4.3. preventive
1.1.5. 自上而下的做法
1.1.5.1. 内控框架
1.1.5.1.1. SOX404
1.1.5.1.2. CSOX
1.1.5.1.3. J-SOX
1.1.5.1.4. SSOX
1.1.5.1.5. HK-SOX？
1.1.5.1.6. K-SOX
1.1.5.1.7. ISO9000?!
1.1.5.2. 外脑的必要但不充分
1.1.6. 自下而上的做法
1.1.6.1. 问题-责任-方案-检查
1.1.6.2. 植物大战僵尸
1.1.7. 误区
1.1.7.1. 问错了问题，不会有正确的答案
1.1.7.2. 方向错了，目的地无法到达
1.1.7.3. 天下武功，唯快不破；天下内控，唯细不破？
1.1.7.3.1. 回归企业文化和国民素质
1.1.7.4. 看到一套过时的内控文件框架，夹杂着iso，还有各阶段的的老文件，该细的地方不够细，该有弹性的地方很坚硬，真的有一种冲动全部梳理一遍。 但是，这就像一个程序员看到一套老系统程序一样，你重写的过程，才会发现原来的系统是历史的积淀，重写一套的过程中才发现自己不知道的东西太多。 你写好的新的版本在另外一个毛头小子看来，仍然是一团麻。 有的时候，修修补补才是唯一的办法，大力度地除旧布新才是莽撞之举。破坏掉一个旧秩序不难，建立起一个新秩序很难。 真正的程序内建在每个人的心中，不改变这个程序，什么也改变不了。最多形式上好看些而已。 改变每个层面的人的核心风险意识，教育，反复的教育，才是最有效的出路。意识改变了，规定，制度会自然生长出来。
1.1.7.5. 出于"交易层面的责任感“的考虑，我们时常不得不去做前端和中间环节的工作，但是前端的参与需要资源一贯的投入。中间的参与也是充满问题： 1- 中间参与就意味着交易层面的参与，内审人员的技能是否足够，如果不够，每次交锋输多赢少，团队如何激励，如何生存？ 2- 在交易层面参与的话，如何知道风险的大小，事情没有发生，结果没有出现，拿什么来挑战业务？ 3- 中间环节参与，必然要对风险做一个武断的判断，坏事情发生的概率无法得知，很有可能是拿个别人的错误来惩罚大多数人。 4- 即便引入外脑，还是会有“两张皮”的问题，外脑提的建议可能很细，但也可能很快过时。 前端中端参与业务控制的理由在哪里？把责任感，领导的压力剥除之后，还剩些什么？只怕是个空壳。 在前端中端参与，挑战业务，就像面对一群凶猛的野牛，这些野牛就在绩效鞭子之下的各种交易，你有大能力可以制服其中一头？只怕最后保住自己的小命就是成功。 而在牛阵的后面射杀野牛却可以获得很好的收获。 如同隔辈人带孩子一样，每件事情都帮孩子做好，却不能教会孩子自己做事情，不能总结，不能回头，不能教育。这就是”交易层面的责任感“
1.1.7.6. 如果向左走，你的方向可能是不断地强调教育，培训，提高意识，因为再好的系统，意识不到位也是浪费，因此教育教育再教育， 然后会走入第一个误区，想想邪教是如何影响他人的，“只要自身的免疫力好，精神好，就百病不生了，所以只要精神上努力就好了； 如果向右走，你可能需要一个很好的系统，当系统的细枝末节越来越好的时候，就是不需要人思考的时候， 这个时候，人不过是一个零件，制度才是程序，零件本身的创新能力就被约束了，忽视了，放弃了， 然后德国开发银行的例子就重演了； 想右走，还有一个方向，也许可以叫右后方，我们可以在现有体系下，充分利用企业的能力，对于舞弊者睚眦必报， 警方也可以“服务”公司，最完美的情况下，你可以做到要抓谁就是谁。但这是企业的道德和价值观吗？
1.1.8. 诊断的问题
1.1.8.1. 扁鹊见齐桓公
1.1.9. A
1.2. 为什么？
1.2.1. 股东价值
1.2.1.1. ERM
1.2.2. 从公司角度
1.2.3. 从个人角度
1.2.3.1. 全面理解业务
1.2.4. Q&A
1.2.4.1. 信用问题
1.2.4.2. 紧急的问题的紧急处理，事情到底有多急？
1.2.5. 最常见的思维误区
1.2.5.1. 零库存
1.2.5.2. 压缩成本
1.2.5.3. 前厂
1.2.5.4. 一套程序走天下
1.3. 是什么？
1.3.1. 内部控制的要素（COSO）
1.3.1.1. 监控
1.3.1.1.1. 内外监控方
1.3.1.1.2. 例会的作用
1.3.1.1.3. 考量指标
1.3.1.2. 风险评估
1.3.1.2.1. 识别
1.3.1.2.2. 分析
1.3.1.2.3. 应对
1.3.1.2.4. 风险胃口
1.3.1.3. 信息与沟通
1.3.1.3.1. 民企与外企的区别
1.3.1.3.2. 末端到顶端
1.3.1.3.3. 顶端到末端
1.3.1.3.4. 日常沟通
1.3.1.3.5. 创始人之间
1.3.1.3.6. 创始人与职业经理人
1.3.1.3.7. 创始人与投资人
1.3.1.4. 控制环境
1.3.1.4.1. 诚信原则与道德价值观
1.3.1.4.2. 对胜任能力的重视
1.3.1.4.3. 董事会/审计委员会
1.3.1.4.4. 管理层的理念和经营风格
1.3.1.4.5. 组织架构
1.3.1.4.6. 职权与责任的分配
1.3.1.4.7. 人力资源政策与流程
1.3.1.5. 控制活动
1.3.1.5.1. 主要体现手段
1.3.1.5.2. 控制活动流程
1.3.1.5.3. 内控框架
1.3.1.5.4. 信息系统控制
1.3.2. Control控制的基本出发点
1.3.2.1. 立足于防范坏事情发生
1.3.2.1.1. 审批权限表的日益复杂
1.3.2.1.2. 因为过度核价，质量管理不均衡，最终采购低价劣质原材料
1.3.2.1.3. 制度和制度打架，制度放在哪里才起作用？纸面上？OA里？
1.3.2.1.4. 用个别人的错误惩罚大多数人，用小概率的事件影响最常发生的决策
1.3.2.2. 立足于让好事情按照应该的样子发生
1.3.2.2.1. 裁缝的工作
1.3.2.2.2. 先画好格子，才能判断格子里的笔划有没有出格？预算管理，质量管理，绩效管理就是格子
1.3.2.2.3. 建流程，减流程，还是简流程，回归本质，保护企业家精神
1.3.2.3. 囚徒困境
1.3.3. 内部控制的局限性
1.3.3.1. 在决策时人为判断可能出现错误和由于人为失误而导致内部控制失效
1.3.3.1.1. （1）被审计单位信息技术工作人员没有完全理解系统如何处理 销售交易，为使系统能够处理新型产品的销售，可能错误地对系统进行更改； （2）或者对系统的更改是正确的，但是程序员没能把更改转化为正确的程序代码
1.4. 几时做？
1.4.1. 合规要求
1.4.1.1. 内控框架
1.4.1.1.1. SOX404
1.4.1.1.2. CSOX
1.4.1.1.3. J-SOX
1.4.1.1.4. SSOX
1.4.1.1.5. HK-SOX？
1.4.1.1.6. K-SOX
1.4.1.1.7. ISO9000?!
1.4.2. 企业的生命周期
1.4.2.1. 20岁的人跑马拉松跑赢了60岁的人，还需不需要向60岁的人讨教马拉松经验？
1.5. 谁来做？
1.5.1. 内审
1.5.2. 内控部门？
1.5.2.1. 部门的成立等于让管理当局解脱责任
1.5.2.2. 内控审计可以做，做的好是内部咨询
1.5.3. 财务？
1.5.4. 法务？
1.5.5. 总经办？