我们在为企业建设内控体系的过程中，经常会遇到一类问题，就是建设内控制度的问题。在遇到这类问题时，客户往往就会提出疑问：内控制度建设的依据和标准是什么？内控制度建设与规章制度建设是不是一样的？是不是已经建设了规章制度体系，就等于已经建设完成了内控制度？通过这篇文章，我们就给各位做一个详细的解释。
首先，内控制度属于规章制度的范畴，但是又不完全等同于规章制度，即便是企业已经建设了较为完备的规章制度体系，一旦需要建设符合监管要求的内控体系，那么仍然得需要针对内控要求对现有的规章制度进行审核优化，使其符合内部控制要求。
一、从内容上：内控制度要比规章制度要求细化
我们需要承认的是，内控制度也属于规章制度，他首先要符合规章制度建设的要求，比如从格式上满足于规章制度建设上“章、节、条、款、项、目”的基本格式结构，从要件上要包含规章制度建设中的“管理要求、管理对象、管理职责、管理内容、检查考核、附则附件”等要件要求，从内容上要符合规章制度编写中的“合法性、合规性、合章性、合责性、合流性、合理性”的要求。（具体要求见《规章制度审核优化的“五审原则”》一文）。可以说，内控制度编制要完全符合规章制度编制的要求，对其内容的审核也必须要符合规章制度内容审核的要求。
规章制度编写的格式要求
但是从另一个方面来说，内控制度不仅仅要满足于规章制度内容编写的要求，还要同时满足于内部风险控制的要求。也就是说，内控制度建设的主要目的是为了防范控制企业内部可能发生的风险，所以在编写内控制度时，一定要确保制度编写中要包含企业对风险控制管理的要求，而这些风险控制的要求，也许并不是我们常规的规章制度编写中所需要具备的。
二、从数量上：内控制度包含在规章制度之内
我们要单独建设内控制度框架清单，与我们要单独建设规章制度框架清单，是两个不同的思路和方式。在之前我们发布的《如何设计规章制度“分层、分类、分级”目录清单》一文中，我们明确提出通过组织功能分析的方式，建立起企业分类分级的规章制度框架目录清单。也就是说，规章制度框架清单的建设方法是组织功能分析的方法，检核的依据是每个项重点职能是否已经实现了制度化管理。
而我们在单独建设内控制度框架清单时，我们依据的是前期通过各种方式识别出来的风险清单，在风险制度化控制要求的背景下，我们需要对每一项风险事项进行一一对应，判断其是否已经有相应的制度对其风险进行控制。也就是说，企业现有的制度是否已经对公司的所有的风险点实现了全覆盖，如果未能实现风险的制度全覆盖，那么其原因是什么？比如通过其他方式实现对风险的管理控制也是可以的，不过必须要给予清楚的说明。
示例：某企业根据内控十八项指引检核内控制度建设情况（研发模块）
从上表可以看出，我们在设计内控制度框架中，依据的是国务院五部委颁布的《内部控制十八项指引》，我们要针对十八项指引中提出的内控体系建设要求进行详细分析，指引中提到的每一个内控要求，都要逐一实现制度化管控。
从这一差异我们也可以看出来，规章制度与内控制度建设的依据并不是完全一致的，规章制度是针对职责，运用组织功能分析的方法，内控制度是针对风险，运用风险分类分级的方法。在这里需要明确一点的是，公司的内控制度小于规章制度，规章制度要涵盖内控制度。如果企业仅仅提出建设内控制度的要求，其涉及的制度范围和数量要远远少于规章制度的范围。
规章制度框架与内控制度框架示意图
三、从标准上：内控制度与规章制度的强度标准不同
在制度编写上，规章制度与内控制度其实也存在着较大的差异。在内控制度编写中，制度建设的目标是对企业面临的风险进行制度化管控，所以主要的聚焦是应该将企业控制风险的措施体现在制度内容中。这其中就存在一个问题，控制风险是以增加审核环节、提高审批权限为主要手段的，其必然在一定程度上会损害企业的运行效率。每一个增加的审批环节、更高职级的审批都会对企业的运行效率带来较大的损害，从而降低企业快速适应市场的能力，但是这又是企业在风险内控中所不得不面对的问题。
而在规章制度建设中，我们所面对的问题不仅仅是风险控制的要求，还有提高效率的要求，或者说是控制风险与提高运行效率之间的有效平衡。而在缺乏内控要求的企业制度建设中，往往又对提高确保运行效率的要求更为迫切与直接。这一点，我们在之前的《【国企内控十篇（10）】在内控体系建设中如何确定“内控强度“》一文中做了部分阐释。
从这个角度来看，内控制度建设的标准较为单一，主要是针对风险控制的要求，通过不断增加审核环节依据不断提高审批权限，来确保风险的控制要求。这与规章制度的编写要求不太一致，规章制度在编写时不但要关注风险控制的要求，还要同时关注运行效率的问题，需要在风险控制与提高效率之间取得一个较为稳定的平衡。而这一平衡点的确定，是需要在不断的业务运行以及不同部门的博弈中逐渐取得共识的。
