最近一个地方国有企业的中层和我讲了一个故事，为了吸引人才，公司按照近年国资委关于人才工作的政策新导向，进行了一次大范围的公开竞聘，岗位包括所有现有管理职能和新设置的一些管理岗，所有怀揣理想、默默奋斗多年的基层员工都把这次公开竞聘作为一次重大的职业发展机遇，报名踊跃。

经过一轮轮的笔试、面试、专家打分，最后结果公布，大家发现除了领导身边的两个人竞聘上了新设的两个管理岗位外，其余岗位均没有任何变化。

所有人才恍然大悟这次公开竞聘的目的，此处省略一万字......

我听得也是很感慨，符合了新政策、采取了新方式、激发了参与性、调动了积极性，从哪个角度讲这都是一次成功活动，当然，除了结果。

我们之前讲过，规则的出现，就是承认人性中有恶的部分，需要约束、需要规范、需要引导，我们是期望用规则的确定性最大程度的约束人心的不确定性。

对企业来讲，内部控制就是这套规则体系，我们一直强调公司建立完善控制制度的重要性，这是企业管理风险的重要基础。

但是，建立了完善的控制制度并不能保证企业一定能实现预期目标，因为：

规则可以抑恶，恶也可以利用规则来保护自己。

关键看谁来制定规则！

谁来执行规则，谁来监督！

设计再好的规则如果有一闭环缺失，都会再衍生出一套“潜规则”。

而这套潜规则的破坏力极大，足可以摧毁企业辛辛苦苦建立起来的那套“明规则”。

恶可以躲在这套看似完善的“明规则”后面，大行“潜规则”之事。

我在控制环境如果出了问题，再完善的内控体系都没用 中提到，目前中国企业的内部控制中最大的问题，不是业务上哪个控制设计的好不好，而是控制环境出了问题，企业控制环境不利于这套体系生根发芽。

企业的领导层对控制环境的建立负有主要责任，或者说，建立好的控制环境、设定良好的高层基调就是管理者的主要责任之一。

管理者如果不能带头建立一个良好的控制环境，而是有意弱化控制、刻意回避控制、带头突破控制、总想凌驾控制，这个土壤不可能好。

我们之前写了很多篇风险管理和内部控制的关系文章，其中有一个观点就是内部控制建设的再好，也不能完全防范风险不发生，这点从1992年内部控制这套体系诞生那天就决定了：

内部控制的定义沿用至今：

“内部控制是一个过程，由组织的董事会、管理层和所有员工共同实施，旨在为经营的效率效果、财务报告的可靠性、法律法规的遵循性提供合理保证。”

定义好组织文化

• 明确公司的风险文化及哪些行为是属于理想行为；

• 文化对一个企业评估风险过程中的影响；

• 设置顶层基调，保持组织的核心价值观和决策、全员的行为标准相一致；

• 根据环境和情况的变化，适时推动文化转型以适应发展的需要。

展现管理层的承诺

• 建立被充分理解和掌握的核心价值观，并将其融入所有的组织行为和决策中；

• 培育具有风险意识的组织文化，从董事会到管理层建立正确的风险意识和文化基调；

• 对背离核心价值观的行为进行纠正。