内控、内审、风控：三个词的区别与联系

内控、内审、风控三个词经常混用，汇报里张冠李戴是常事。三者目标相近——都为了企业不出事，但视角、方法、责任主体各不相同。分清楚，才知道自己单位缺哪块。

三个词的差别

• 内控：管"制度设计"。通过流程设计让错误不容易发生——不相容岗位分离、审批链、权限控制。责任主体是管理层，成果是制度和流程体系。
• 内审：管"独立验证"。以第三方视角检查内控是否被遵守、是否有效。责任主体是审计部门/审计委员会，成果是审计意见和整改要求。
• 风控：管"不确定性"。识别和应对影响目标达成的风险——市场风险、经营风险、合规风险，范围比内控大得多，很多风险不是流程能防的。责任主体是整个经营层。

三者怎么配合？

风控识别出重大风险，内控把它转化为流程控制点，内审验证控制点是否有效。三者的关系像设计、施工、监理：风控画图纸，内控盖房子，内审验质量。缺少任何一环，另外两个都在裸奔。

中小企业从哪块补起？

从内控补起。流程设计是成本最低、见效最快的抓手——很多问题不需要复杂的风险模型，把审批和不相容分离做对就能挡掉大半。内控站稳后再谈体系化风控，内审前置的思路见管理百科专篇，国资场景可看国资内控内审解决方案。