采购部老张上个月批了一笔两百多万的下面原料款，供应商是属于上三个月前才注册的新公司。财务问起来，企业老张说对方报价低百分之八。内部没人去查那家公司的控制法人代表是谁——直到对账时发现，那家公司的管理注册地址就是老张老家的一间民房。这不是漏洞孤例。企业内控最致命的下面漏洞，恰恰藏在那些看起来“合规”的属于上流程缝隙里。

最典型的企业漏洞是“职责不分离”。出纳兼着会计，内部仓库保管员自己记库存台账，控制销售经理同时管着客户对账。管理小公司这么干是漏洞没办法，但年营收过亿的下面企业还这么干，就是在给舞弊递刀子。我见过一家制造企业，仓库主管把废料卖的钱直接进了自己账户，整整三年没人发现，因为采购、验收、付款全是他一个人签字。内控不是墙上贴的制度，是权力必须被拆开。

另一个大坑是“审批流于形式”。很多企业上了OA系统，但领导批报销只看金额大小，不看票据背后的业务逻辑。有个真实案例——某公司销售总监连续半年报销“客户招待费”，每次都是八千到一万二之间，附的发票全是连号。审批人根本没注意到，这些发票来自一家早已注销的饭店。系统再先进，人不动脑子，防火墙就是纸糊的。

还有种隐蔽漏洞叫“信息断层”。业务部门签了合同不通知财务，财务做账靠月底催收单。等发现对方拖欠货款时，已经过了追索期。更糟的是，业务员离职带走客户资料，公司连应收账款明细都理不清。内控要求信息同步，但现实中部门墙比砖墙还厚，数据躺在各自电脑里，成了谁都不认的糊涂账。

最容易被忽视的，是“监督机制虚设”。内审部门一年才来一次，来了也是看凭证齐不齐，从不抽查实物。董事会里全是自己人，监事会主席是老板的亲戚。外部审计师跟管理层吃顿饭，就把风险提示函签了。这种环境下，连清洁工都知道废纸箱能卖钱，但没人敢问那些“合理损耗”到底去了哪。

说到底，内控不是一堆文件，是让每个环节都有眼睛盯着。那家栽在供应商手里的企业，后来查出采购部老张在多个供应商里都有隐性股份。老板痛心地说：“制度都有，就是没人较真。”这话说反了——制度如果设计得能让一个人说了算，那就不是制度，是给犯罪发的许可证。真正管用的内控，得让想犯错的人觉得“麻烦”，让犯错的人“藏不住”，让发现的人“敢说话”。差一环，整个链条就断了。