我们先来看看企业发生了哪些变化，以及我们如何面对这种变化。
第一，小型化。
90年代，COSO框架建立之初，大型企业，重工业企业遍地皆是，COSO框架很大程度上是针对这类企业设计的，大中型上市公司是其主要适用对象。而今天，小企业像雨后春笋般迅速成长，一个收入刚刚跨过亿元级别的优质资产公司很容易就可以上市。这里面包括大量的“兄弟创业型企业”，“夫妻店”等等。这种企业你让他做COSO框架的企业内部控制，他一没人，二没财力物力，三没心思。即使他为了上市勉强做了，做完之后仅仅就是形成一本没人看的“企业内部控制手册”而已。

我们如何应对这种情况呢？查舞弊。其实内控专家都知道，查舞弊跟建立企业内部控制只有一丁点联系——只是内控的一个角度，但查舞弊确实能成为企业建立内部控制的第一步，进而能成为企业走上规范道路的桥梁。为什么？你跟企业家谈控制，谈运营风险，谈流程规范，企业家根本不知道你在说什么？但如果你告诉企业家，一般来说，一个年收入1亿左右的企业，每年因为管理层舞弊或不作为损失掉50w是非常正常的。那么企业是不是会愿意花5w-10w来应对呢？当然愿意。
也就是说，咨询顾问花几个星期时间去“安利”企业，告诉他们做内控有什么好处，不做有什么坏处，比不上一个简单的查舞弊项目。这就好像我们年轻人平时去医院看病，医生要检查这里，检查那里，甚至全面检查，他告诉你“检查了才能对症下药”，“不检查有什么坏处”，说的天花乱坠，最后病人反问一句，“我先挂瓶水吧，不好我再来检查”。
这不是谁对谁错的问题。医生按照制度来，从医学从病理学角度考虑病情，觉得先确诊，然后对症下药，这么做基本上万无一失。可是病人从自己角度考虑，他觉得自己了解自己的情况，自己9成是感冒，没必要为了那一点点的可能性，又是拍片，又是胃镜，折腾的花钱不说，关键自己吃苦。
企业内控是一样的。公司的小的时候，企业家觉得自己就管得过来，不用花钱做管理建制度，随着企业做大，企业才逐渐开始需要内控了。但这里面会有一个过渡时期，短则2-3年，长则10来年，在这段时间里，内部控制制度处于建与不建处于“可商议”状态。中介机构去“安利”企业，往往效果不佳。这就需要我们找到一种折中的方法，一方面让企业能接受，一方面让中介机构不至于颗粒无收。查舞弊自然而然成为了这种方法。之后随着企业成长，咨询方再提出新的可行性方案。而企业经历了之前的合作，跟咨询方也有了更多的信任关系，合作起来更容易。

这一点就是企业小型化带来的问题——建立内控体系意愿不强烈。而我认为的解决方案就是先缓推内控体系，先搞查舞弊。
感兴趣的朋友可以关注后续“内部控制的变化及应对方案（二）”