《賭場風云》（英文名Casino）是羅伯特德尼羅和莎朗斯通在1995主演的電影。這是一部精彩的以拉斯維加斯為背景的賭博電影。片中，羅伯特德尼羅扮演一個叫愛司的職業賭場經理人。電影開始的時候，愛司的畫外音在介紹賭場的內部監控體系：“在拉斯維加斯，每一個人都在監視別人。發牌的人時刻監視著賭客，小領班坐在場中間監視發牌手，樓層領班站在身后監視小領班，大堂領班監視樓層領班，當值領班監視大堂領班，賭場經理監視當值領班，我監視賭場經理。空中的眼睛監視我們所有人。”鏡頭轉向樓上的電視監視室。同時樓上還有一些人手持望遠鏡在觀察。愛司的畫外音繼續：“還有更厲害的，我們雇了十幾個人，這些家伙都是些老千前輩，對賭場中的所有騙術都了如指掌。”

　　公司治理的人盯人

　　企業的內部控制思想在原理上與賭場中古老的內控體系一樣。在40年代的美國，內部控制制度出現的初期，它就是以一種“內部牽制制度”的形式出現的。它的出發點很簡單，就是將一項由一個人做讓人不放心的業務，同時交給兩位或兩位以上的人去實施，客觀上造成實施人之間的一種相互牽制關系，從而預防可能發生的差錯。

　　最常見的牽制規則是管錢、管物、管賬分工負責，相互制約。付款的人不能負責記賬，采購的人不能負責收貨，做銷售的不可以自定信用額。到了ERP的信息時代，變成系統操作人員不可以修改系統，修改系統的人不可以操作，以及不同等級的人被授予不同的權限等等。這些方法是企業內部控制的硬方法。

　　隨著商業的發展，內部控制的軟技巧也開始多起來，比如業績評估獎懲，培訓，流程和制度，以及員工的行為規范等等。內部控制開始從單純的財務審計問題轉化為企業內部管理問題，盡管在許多企業控制長（Controller）一職還是由財務擔任。

　　1992年，美國五家會計協會（注會協會、會計協會、內部審計師協會、管理會計協會以及財務管理協會）組成了一個委員會叫COSO （Committee of Sponsoring Organizations）。

　　COSO委員會把內部控制系統化，提出內部控制的三大目的：即取得經營效果和效率，確保財務報告的可靠性和遵循適當的法律法規。按照COSO的解釋，內部控制是一個過程，象西西弗斯推石頭一樣永遠沒有結束的那一天，有企業存在，就有內部控制。而且，內部控制不是一些人的事情，而是企業所有人的事情，企業的流程和制度制約每一個人， 無論是好人還是壞人。好的內部控制制度可以幫助企業達成它的目標，盡管內部控制不能保證企業成功。對于上市公司來說，內部控制保證了投資者對財務報告的信心。因此，財務審計的核心實際上也就是內部控制。

　　COSO提出了著名的COSO模型，認為內部控制主要由控制環境、風險評估、控制活動、信息交流、監督五項要素構成。

　　企業的內部控制環境包含了企業管理層的領導能力、組織結構、預算和內部報告體系、內部稽核、人事架構、健全的實務等。說到環境，中國人相信“水至清則無魚，人至察則無徒”，好處是處處有彈性，不好處是弄不好就導致污染環境，長期結果是魚蝦皆亡。

　　企業的風險評估是財務人的敏感區域，風險管理以預防為主，即通過增加、補充或規范各內部控制環節來規避可能面臨的風險。如果風險實在避不開時，就轉嫁風險，如購買保險，利用對沖和遠期合約等。

　　控制活動是確保管理階層的指令得以實現的政策和程序。控制活動是針對關鍵控制點而制定的，因此，企業在制定控制活動時關鍵就是要尋找關鍵控制點。比如生產、經營性企業的采購作業的交易數量通常都較大，而且存貨易于因廢棄、變質和偷竊等而發生損失，導致重大錯誤或舞弊的可能性也提高。因此，包括采購在內的物流體系是控制活動的關鍵。

　　現在越來越多的企業使用公開招標的方式控制采購。軟銀（編者注：日本的一家投資銀行）的孫正義投資了一家日本公司，提供第三方網上競價服務，使價格決定過程透明化，不受人為左右。在日本，企業有四個利潤來源，在銷售，生產，物流之外，還有采購。這家公司在日本獲得了很大成功，正在試圖將其模式移至中國。中國國有企業內部控制制度有兩個最薄弱的環節，一是貨幣資金，二就是采購。采購業務中弄虛作假，吃“回扣”等現象也許會因采用第三方網上競價而有所控制。

　　企業的內部監督是一種隨著時間的推移而評估制度執行質量的過程。監督的背后是有效的考核制度和激勵制度，這也是中國企業目前比較薄弱的地方。

　　另外，還有信息交流。 這里信息不僅僅是指文書程序， 會計記錄，以及財務報告，還包括其他商業信息。這本是企業管理的基本要求，但是這幾年卻遇到前所未有的挑戰，最終導致了SOX法案的出現。

　　強化的內部控制

　　COSO的內部控制模型在世界各地的企業界里盛行了10年，直到2002年7月25日，美國《薩班斯-奧克斯萊法案》（《2002公眾公司會計改革和投資者保護法案》，英文是Sarbanes－Oxley Act，簡稱SOX）的公布。

　　SOX法案的背景是2001年底的安然公司倒閉案以及2002年中的世界通信會計丑聞事件，投資人對上市公司財務報告出現空前的信任危機。 羅斯福總統簽署了1933年的《證券法》和1934年的《證券交易法》。布什總統稱他自己所簽署的SOX法案是自《證券法》和《證券交易法》以來美國資本市場最大幅度的變革。

　　SOX法案的內容分為兩部分，一是主要涉及對會計職業及公司行為的監管，包括：建立一個獨立的“公眾公司會計監管委員會”，對上市公司審計進行監管；通過簽字合伙人輪換制度以及咨詢與審計服務不兼容等提高審計的獨立性；對公司高管人員的行為進行限定以及改善公司治理結構等，以增進公司的報告責任；加強財務報告的披露；通過增加撥款和雇員等來提高證券交易委員會的執法能力。二是提高對公司高管及白領犯罪的刑事責任，比如，規定銷毀審計檔案最高可判10年監禁、在聯邦調查及破產事件中銷毀檔案最高可判20年監禁；為強化公司高管層對財務報告的責任，要求公司高管對財務報告的真實性宣誓，并就提供不實財務報告分別設定了10年或20年的刑事責任。這與持槍搶劫的最高刑罰一樣了。

　　SOX法案雖然只針對美國上市公司，但是其影響力波及幾乎世界上所有大公司。因為它們也遇到類似的挑戰。SOX法案的核心是內部控制，體現在它的第404章。

　　SOX法案第404章要求證券交易委員會出臺相關規定，所有除投資公司以外的企業在其年報中都必須包括：（1）管理層建立和維護適當內部控制結構和財務報告程序的責任報告；（2）管理層就公司內部控制結構和財務報告程序的有效性在該財政年度終了出具的評價。法案要求管理層的內部控制年報必須包括：（1）建立維護適當公司財務報告內部控制制度的管理層責任公告/聲明；（2）管理層用以評價內部控制制度的框架的解釋公告/聲明；（3）管理層就內部控制制度有效性在該財政年度終了出具的評價；（4）說明公司審計師已就（3）中提到的管理層評價出具了證明報告。公司的CEO和CFO們不僅要簽字擔保所在公司財務報告的真實性，還要保證公司擁有完善的內部控制系統，能夠及時發現并阻止公司欺詐及其他不當行為。若因不當行為而被要求重編會計報表，則公司CEO與CFO應償還公司12個月內從公司收到的所有獎金、紅利或其他獎金性或有權益性酬金以及通過買賣該公司證券而實現的收益。有更嚴重違規情節者，還將受嚴厲的刑事處罰。

　　今年年底，SOX法案第404章正式實施，美國許多公司正在支出數百萬美元更新各自的內部控制措施、更新合規機制、編寫職業道德規范、建立內部投訴熱線、編寫公司治理準則和董事會委員會章程。社會上的專業機構如審計師、律師以及相關財務軟件公司的收入因此提高了不少。

　　內部控制之于公司治理的作用在于防微杜漸，最成功的內部控制是把疾患消失于無形。傳說中扁鵲的故事就暗含了內部控制的精髓。

　　魏文王問名醫扁鵲說：“你們家兄弟三人，都精于醫術，到底哪一位最好呢？”扁鵲答：“長兄最好，中兄次之，我最差。”文王再問：“那么為什么你最出名呢？”扁鵲答：“長兄治病，是治病于病情發作之前。由于一般人不知道他事先能鏟除病因，所以他的名氣無法傳出去；中兄治病，是治病于病情初起時。一般人以為他只能治輕微的小病，所以他的名氣只及本鄉里。而我是治病于病情嚴重之時。一般人都看到我在經脈上穿針管放血、在皮膚上敷藥等大手術，所以以為我的醫術高明，名氣因此響遍全國。”無論是拉斯維加斯賭場的人盯人戰術，COSO模型，SOX法案，還是前一段時間鬧得沸沸揚揚的李金華的審計風暴，都是為了防患于未然，這也許是內部控制的真義。