去年底跟一家做建材的完善老板聊天，他拍着桌子说被自己人坑了——仓库主管和外面司机串通，公司公司虚报出库单，制度半年多拉走几十万的建设经营货。查出来的防止时候，人早跑了。漏洞他问我：制度也有啊，完善墙上挂着呢，公司公司怎么就没防住？制度我问他一句：那出库单谁签字？他说主管签就行。问题就在这。建设经营

制度这玩意儿，防止不是漏洞印出来挂墙上就管用。很多公司的完善制度是抄来的，网上一搜，公司公司模板一套，制度改个公司名就发下去。这种东西跟没写一样，因为压根没卡住你业务里的真实风险点。建材老板那个漏洞，说白了就一句话：出库环节没有第二人复核。一个主管既能开单又能放货，他不搞鬼才奇怪。

我见过做得细的公司，规模不大，一年也就几千万营收，但仓库管理那套流程让人服气。出库单必须两个人签，一个是仓管，一个是销售内勤，而且内勤的工位在办公室，不在仓库现场。司机来提货，先到办公室换单，内勤核对系统库存和纸质单一致才盖章。仓管见盖章单才放货。就这么一个动作，把串通的空间压到最小。你说这制度复杂吗？不复杂。但它长在业务的关键节点上。

制度建设最怕两种病。一种是大而全，把员工手册、考勤、报销、采购全塞一个文件里，几十页，没人看。另一种是只管结果不管过程，比如只写“严禁收受回扣”，但采购比价流程、供应商准入、合同审批权限全是模糊的。不出事才怪。真正有用的制度，往往就针对那么两三个高风险动作，写清楚谁做、什么时候做、留什么痕迹、谁检查。

还有个细节容易被忽略——制度得跟着人走。公司换了ERP系统，审批节点变了，老制度没改，大家就按习惯来。习惯这东西，比制度厉害。我见过一家公司，财务报销制度写着“超过两千需总经理签字”，但总经理常年出差，实际执行是财务经理代签。代着代着，就代出问题了。后来他们改成线上审批，总经理手机点一下就行，制度才算真正落地。制度不是写给检查看的，是给日常操作用的。用不起来，就是废纸。

另外，别指望制度能防住所有漏洞。它防的是普通人的普通贪念，防不住处心积虑的团伙作案。但话说回来，大部分经营漏洞，恰恰就是普通人在普通环节上顺手牵羊。把签字流程拆开，把盘点频率提上去，把异常数据定期拉出来看，这些笨办法比什么内控模型都管用。我认识一个做食品批发的，每个月随机抽三天，让财务去仓库盲盘，不通知仓管。盘完对不上，当天查。就这一招，损耗率降了一半多。

说到底，制度是长出来的，不是贴上去的。你得先知道自己哪里疼，再去找对应的方子。别贪多，先堵住最漏的那个口子。堵住了，再堵下一个。一年能堵住两三个真漏洞，这公司就比八成同行活得稳。