2024年3月，我接到老同学阿强的电话。他开了一家做五金配件的厂子，年营收大概2000万，语气很急：“兄弟，我出纳跑了，账上少了30多万，你能不能来看看？”
我第二天就去了他厂里。办公室在工业区一栋旧楼的三层，财务室门开着，桌上堆着半尺高的单据。阿强递给我一根烟，苦笑着说：“这出纳跟了我5年，平时看着挺老实的。”我翻了翻银行流水和现金日记账，发现从2023年6月开始，每个月都有几笔几千到两万不等的“备用金”支出，签字栏全是阿强自己的名字——他压根不记得签过。很明显，出纳模仿了他的笔迹。
这件事让我想起2019年帮另一家贸易公司做内控时的情景。那家公司规模更小，年营收800万左右，老板姓陈。我去盘点库存，发现仓库里实际数量比账上少了将近40%。陈老板当场拍了桌子：“我小舅子管的仓库，他跟我说是正常损耗！”后来查清楚，小舅子把货低价卖给外面的批发商，一年下来拿了不少回扣。陈老板最后给了小舅子8万块钱，让他走人了。
这两件事让我深刻体会到，中小企业内控缺失的代价，往往比请一个专业财务的钱多得多。很多老板觉得“内控是大公司的事”，或者“我信任自己人”，但现实是：信任代替不了制度，亲情代替不了流程。
2022年底，我帮第三家公司——一家做包装材料的工厂——搭建内控体系。老板姓刘，年营收3500万，员工60多人。他之前被采购坑过，一个采购员在两年里从供应商那里拿了十几万的回扣。刘老板找到我时说：“预算不多，5万块，3个月，你能不能帮我把主要的漏洞堵上？”
我说可以，但你要答应我几件事：第一，涉及资金和采购的岗位必须分开；第二，所有付款必须有至少两个人的签字；第三，你要亲自参与每月的对账。他犹豫了一下，还是点头了。
我的第一步是梳理流程。我花了整整一周时间，跟着采购员、仓管、出纳各岗位待了半天。发现最大的问题在采购环节：采购员自己选供应商、自己谈价格、自己拿发票来报销，财务只核对发票金额和合同是否一致，但合同也是采购员自己拟的。这就等于把钥匙和锁交给同一个人。
我设计了一个简单的“三单匹配”流程：采购申请单、入库单、发票，三份单据的数量和金额必须一致，财务才付款。采购申请单需要部门主管签字，入库单需要仓管和质检双签。刚开始采购员很不适应，抱怨“太麻烦”。有一次他拿了一张5万多的发票来报销，入库单上少了质检的签字，我直接退回去了。他跑来找我理论，我说：“这批货如果质量有问题，最后损失的是公司，不是你。你愿意承担这个责任吗？”他不说话了。
第二步是资金管理。原来出纳一个人管钱、管账、管银行U盾，这等于把金库钥匙给了同一个人。我让刘老板把U盾分给两个人管，一个管制单，一个管复核。同时规定：单笔付款超过1万元，必须刘老板本人签字；超过5万元，需要提前一天预约。刚开始刘老板觉得麻烦，有次急着付一笔8万的货款，打电话让我通融。我说：“你可以先垫付，但流程必须走完。”后来他习惯了，反而觉得这样更放心。
第三步是每月盘点和对账。以前仓库账和财务账一年都对不上一次。我要求每月最后一天，仓管和财务一起盘点，差异超过500元就要写说明。第一个月盘完，差了将近2万块的货。仓管说“有些是发出去没开单”，我让他把单子补上。第二个月，差异降到了3000多。第三个月，基本平了。
三个月下来，刘老板的5万块预算花了4.2万（主要是请外部审计做了一次内控评估，加上我的顾问费），但他告诉我，光采购成本一项，就比去年同期下降了7%左右，算下来一年能省20多万。更重要的是，他晚上能睡踏实了。
回顾这三次经历，我发现中小企业内控失败，通常有三个误区：一是觉得“没必要”，觉得业务简单、人少，不需要制度；二是觉得“没预算”，请不起专业的人；三是觉得“没时间”，老板忙着跑业务，没空管这些“琐事”。但事实是，内控不是成本，是投资。你花5万块堵住的漏洞，可能帮你省下50万。
如果你也是中小企业老板，我建议你先做一件事：把出纳和会计的岗位分开，把采购和付款的权限分开，把仓库和记账的职责分开。这三件事不需要花什么钱，但能挡住80%的常见风险。剩下的，可以慢慢来。