## 230讲：内部控制 | Facebook数据泄露的背后

你好，欢迎回到《宁向东的清华管理学课》。

这一讲，我们讨论管理控制中的一个重要的方面，内部控制。很多企业最后出现了大问题，都是因为内部控制的某些环节出了小毛病。小毛病没有得到应有的重视，一点一点就变成了大问题，甚至会把企业搞垮。内部控制体系，可以说，是企业解决这类问题的第一道防线。

2018年初，脸书出现了信息大量泄漏的情况，涉及到了几千万人的信息外泄，引起了新一轮关于信息伦理和信息安全的讨论风潮。其实，像脸书这种情况并不是什么新鲜事，在脸书之前，包括谷歌在内的很多公司，都出现了黑客入侵公司服务器，窃取信息数据的情况。只不过这一次，与以往不同。脸书是世界级的社交平台，美国前五大公司，而且，数据泄漏还涉及到了美国总统选举和英国脱欧这样影响世界进程的大事件。我们等着调查结论吧。

![图片](https://piccdn3.umiwi.com/img/201804/26/201804261610483138483021.jpg)

不过，不管调查结论如何，这都是公司控制上的大问题。脸书，是一家上市公司，它一定设置了代表广大投资者利益的董事会。尽管脸书的创始股东扎克伯格可以因为我们昨天所讲的AB股制度，在脸书的股东大会上拥有比较多的投票权。但是，脸书在法律上的决策主体和责任主体，是公司的董事会。如果脸书泄密是商业模式问题，公司的董事会及其下属的战略委员会一定有推卸不掉的责任。而如果脸书泄密不是商业模式层面的问题，则公司的董事会、下属的审计委员会，以及公司所聘请的会计师都难逃干系。

一家公司如果没有上市，它的内部控制问题，就是公司少数股东个人的事情。而公司一旦选择上市，公司的任何事情就是所有股东的事情了，所以，必须要定期给大家一个交待。交待什么呢？核心就是两件事：第一，公司经营了一段时间，究竟是挣了钱，还是赔了钱，这个钱是怎样挣的。这些内容是股东最关心的，所以，经营层必须要给大家做一个报告。公司的这种报告是定期进行的。年度结束了，进行的报告，叫做年报；年中进行的，叫做中报；按季度进行的，叫做季报。

经营层向股东、向董事会做报告，心态上和学生是一样的。如果没有讲真话的压力和动力，他们一定是报喜不报忧的。所以，股东和董事会并不相信，于是，就会找一家会计师事务所去做审计，看看这个年度报告是不是真实的。世界上有名的会计师事务所，包括普华永道、安永、德勤、毕马威，人称“四大”。它们的工作就是审计别人的公司，然后发表一个意见，就像一个证人，给经营层作证。

财务和经营报告是经营层给股东和董事会做的，但是准确与否，全看会计师事务所后面发表什么意见了。事务所可以发表“标准无保留”的意见，这就意味着他们用自己的专业能力，给公司的经营层做了一个担保。当然，事务所也可以拒绝发表意见，这就意味着他们认为经营层的那个报告完全是胡扯。按照常理，一个有名的会计师，给你发表标准无保留的审计意见，这就意味着经营报告的真实性，还是可以的。

当然，也不排除会计师为了钱出卖名誉的情况。四大会计师事务所，原来是五大，少了的那一家叫做“安达信”。因为和2001年美国金融丑闻案的主角安然公司穿一条裤子，最后被灭掉了，所以，现在只剩下了四家，改称为“四大”。安达信之后，大家都很谨慎，所以，事务所的意见，公信力在增加。如果事务所告诉股东和董事会，公司经营层的报告是可信的，自己没有什么意见要发表，要说明。一般来说，年报、中报这些经营报告中的经营信息和财务数据基本上就是可信的，可以作为后续投资的依据。

事务所每年向公众投资者、向公司众多的股东、向公司的董事会所呈交的报告，除了对于经营和财务方面的意见之外，还要对于公司的内部控制状况发表一个意见，这形成了对于第二份公司报告“内部控制报告”的意见。

按照公司治理的原则，公司内部一定要设置审计功能。公司内部进行经营控制和财务控制的系统，叫做“内部审计”系统。业务做得怎么样，控制体系是不是健全，财务体系对于业务活动的反映是不是准确，这属于公司内部审计部门必须要监督的内容，这属于自查、自我监督。但是，为了保证自查也要受到监督，外部聘请的事务所也要就自查的情况进行监督检查，并且发表意见。

简单地说，每年到了三四月份，如果是上市公司，我一般都要等会计师事务所的两个意见，一个是关于年度经营报告的意见，一个是关于内部控制体系报告的意见。多说一句，我在股票市场上的投资是比较稳健的，即使是以投机的心态去短期持有，我都一定要读一读公司的年报，看一看会计师请的是谁，发表了什么意见。是标准无保留意见，还是同意你这个报告，但是事务所还是写了一段说明的话。事务所的态度不同，公司的质量就会完全不同。

---

所以，我现在就很想看看脸书经营层，以及公司所聘请的会计师事务所对于脸书信息外泄事件所给予的报告和意见。如果不是公司有意为之，那就意味着公司在使用用户信息方面存在着重大控制上的纰漏。

很多人在认知上有一个误区，就是好公司出现问题的概率低。现实并不是这样，现实的情况其实正好相反。财务舞弊和失控问题，往往发生在好公司里面，往往出现在明星业务部门身上。好公司，管理机制相对完善，所以，当问题初显端倪的时候，公司预设的各种控制机制往往并不能及时作出反应。因为你好嘛，所以，各方面往往选择忽视问题的存在，以至于最后问题爆发之后，大家才发现是一个要命的大问题。

有一个基本观念，是这节课程的要点，请你无论如何要记住。这个观念是：没有一个能够完全把舞弊风险和问题全部排除在外的控制体系。

你都可以想象得出：如果一个控制体系能够严丝合缝，把所有的潜在问题都处理掉，这个体系得多烦人，多违背人性。在这样的一个体系里面，一点点小事，都可能被无限放大，放到显微镜下面去盘查。所有的正常失误，都会被那些刻板的后期检查程序反复调查，被探寻莫须有的动机。所有的创新活动，都会被严苛的制度盘查，让人激情耗尽。所以，有效的管理一定要留有行动空间，而在行动空间里面，重要的约束就是信任。而所有舞弊失控的一个共同特征，就是滥用信任。滥用信任，是导致内部控制体系失灵的一个关键。

---

最后，我想建议管理者关注如下一些事情，这些事情是内部控制防范的重点，也是导致内部控制体系失灵的高发区：

显然，脸书所出现的情况就有可能属于上面情况的一种，或是几种。如果属于商业模式和盈利的需要，这就比较严重，已经超出了一般公司控制范畴的内容。如果属于扎克伯格失察，则就是互联网公司内部控制问题的一个生动案例。

总之，我觉得这个案件的深入调查非常有意义。美国人立法过程也许会比较缓慢。但我相信不管多慢，都会有助于改善中国的互联网环境。脸书事件，极有可能和安然事件一样会成为一个标志性的事件。

说句题外话。中国是一个互联网大国，现在也有朝向互联网强国进军的趋势。但是，像脸书这样的情况，在我们的身边其实挺多的，只是我们在观念上还没有重视，隐私保护也相对不够健全。最近出现的所谓新零售，或者叫智慧零售，本质上都是在用消费者的行为数据来做文章。而这里面一个极其重要的问题，就是该如何善用这些数据，保护我们每一个公民的权益。我认为我们在制度上还没有准备好。

---

同样是2018年初，有位互联网大佬说，中国人愿意用隐私换方便，这一讲课后，就请你思考一下：这个说法真的反映了事实吗？

### 💡 精华要点
- 1.没有一个能够完全把舞弊风险和问题全部排除在外的控制体系。
- 2.有效的管理一定要留有行动空间，而在行动空间里面，重要的约束就是信任。而所有舞弊失控的一个共同特征，就是滥用信任。

![图片](https://piccdn3.umiwi.com/img/201804/26/201804261616578232271845.jpg)

![图片](https://piccdn3.umiwi.com/img/201804/26/201804261626178824062674.jpg)
