一、小微企业内部控制现状近年来小微企业发展势头良好，成为中国经济发展的坚实基础。为了支持小微企业发展，政府已经出台了一系列支持小微企业的政策，如《关于大力推进大众创业万众创新若干政策措施的意见》、《关于小型微利企业所得税优惠政策的通知》等等，但是2017年中小企业尤其是小微企业经营困境将不会得到根本改善。小微企业目前面临困境主要体现是：宏观经济下行压力加大，企业外部环境存在劣势；创业环境不完善，小微企业创业环境有待提高；发展资金短缺，融资困难；专业人员缺乏，难以吸引优秀人才等。小微企业内部控制存在不同程度的缺陷，小微企业管理层对内部控制普遍不重视；企业没有专门的内部控制部门，缺乏专职的内部控制专业人员；缺乏规范的内部控制制度；中高层管理者身兼数职，职责分工不清晰，职责分离不明确；人力资源管理不系统，员工缺乏长远规划；财务控制不规范，财务制度执行不严格等。小微企业中的内部控制存在很多问题，使得内部控制不能发挥其作用，使得小微企业的财务报告的可靠性、经营的效率和效果、对法律法规的遵守都难于保障，导致小微企业的经营风险加大。
二、小微企业风险导向的内部控制体系构建对小微企业来讲，要完全按照《企业内部控制基本规范》来构建内部控制体系不现实，就小微企业的现状来讲，需要解决的问题就是整体考虑内部控制的各子系统的关系，结合风险管理的过程，构建内部控制体系，以减少风险发生。
（一）风险导向的内部控制体系见图1。整个小微企业的内部控制都全部在全面风险管理过程中包含，不留一点空白，内部控制的决策建立在全面风险管理理念之下，内部控制的每一个子系统均在风险管理过程中监控下，每一个子系统的工作都要经历全面风险管理过程。内部控制系统的子系统并没有依照传统的控制五要素而设计子系统，而是依照企业管理的主要职能进行分类。企业管理的主要职能财务会计职能、人力资源职能、生产运营职能、市场销售职能。图1风险导向的小微企业内部控制体系框架由企业内部控制管理委员会或内部控制领导小组对控制进行审核、认可后方可执行，控制执行过程中，内部控制管理委员会定期进行检查，对重大风险可以紧急叫停控制措施。（二）风险导向内部控制管理1.风险导向的内部控制之风险控制程序图2 风险控制程序从图2中可以看出，基于风险导向的小微企业内部控制体系是一个动态循环的过程，其风险识别、风险衡量、风险处理等紧紧围绕着内部控制目标运转，没有绝对的起点与终点。整个运转均在企业内部控制策略掌握之下，由企业组织中的内部控制管理委员会或内部控制领导小组作组织保证。
图3 风险衡量等级图风险导向的内部控制是在内部控制目标的指导下，以内部控制管理团队为主，定期对企业各种风险分析，形成风险导向的内部控制报告。风险控制过程中最难于准确把握的就是风险衡量。可以将风险发生概率预先分析表示为很小、中等、较大，风险若发生，可能导致的损失预先表示为重大损失、中等损失和轻度损失，风险发生概率及风险发生损失都是定性衡量，与企业实力及企业对风险的态度直接相关。在图3 所示的风险衡量等级图的坐标系中对风险进行定位，定性反映风险量的大小。企业应该根据风险在风险衡量等级图中位置的不同，进而采取不同的管理策略。
2. 风险导向的内部控制之风险处理策略在企业管理资源有限的情况下，小微企业不可能也没有必要关注影响企业的所有风险，小微企业内部管理团队在对风险识别、衡量后，从图3 中可以看出，应对位于风险衡量等级图33区域的风险进行重点控制，而对位于风险衡量等级图11区域的风险可以忽视。例如对位于风险衡量等级图31区域的风险应密切关注，防范风险的发生；对位于风险衡量等级图13区域的风险应制定详细的全面控制计划。三、内部控制体系设计实例根据上述分析，下面以公司为例进行具体分析说明。
（一）企业简介南京某通信科技有限公司2011年成立，主要经营业务通信设备研发、销售、安装、技术服务，网络设备研发、销售、安装、技术服务，信息系统集成服务等。公司由两名自然人创建，2016年末员工11人，2016营业收入566万元，依据企业分类标准，属于小型软件和信息技术服务业。企业的财务会计、人力资源职能由总经理直接管理，生产运营职能（本企业称为技术服务组）、市场营销职能由副总经理管理，见图4。
图4公司组织机构图（二）公司内部控制现状1.控制环境薄弱公司没有规范的公司治理机构，在公司内部没有董事会或监事会结构或人员，相应的权力都在公司总经理的手中；公司没有专门的部门或人员进行内部控制；公司财务与会计职责没有分离；管理层没有细化，没有中低层管理人员，经理层直接管到底。2.风险意识不强公司管理者与员工风险防范意识不强；规章制度也不全面，公司对规定制度的执行严格不够，人情管理存在；公司对风险的态度主要依靠总经理的个人经验和判断，没有专门的人员收集风险信息、衡量风险，更谈不上对风险提前防范措施。3.缺乏适当的控制活动公司没有设置专门的内控机构或人员，没有内部审计人员，更谈不上内部控制系统；公司没有设置重要的控制点，例如公司的日常资金管理、日常财务账册均由一人完成，总经理只是象征性审查签字，公司的采购及货物使用职责未分离，均是技术服务部人员操作。（三）公司风险导向的内部控制体系设计下文将依照风险导向的内部控制体系，构建南京某通信科技有限公司的内控体系。1.控制环境（1）建立内部控制管理委员会。公司比较小，不建立独立设置的内部控制组织，但是应该设置非常设性管理机构，设置内部控制管理委员会，人员由总经理、副总经理、四位职能组的组长组成，采用月度会议或重大事项会议商议制度，会议形成的重大决议以公司会议纪要等形式，向公司员工公布。（2）建立风险导向的内部控制企业文化。公司总经理要在公司全体员工会议上经常宣讲风险导向的内部控制意识，公司对可能的风险要有意识去预防，形成公司风险内部控制措施，对风险常抓不懈。通过公司网站或宣传栏建立风险导向的内部控制管理专栏，建立内部控制文化宣传培训，关注行业政策、规章制度等规定，普及风险及内部控制知识，总结内部控制经验等。2.风险导向的内部控制管理（1）风险识别。采用头脑风暴法对公司风险进行识别、衡量。公司成立仅仅6年时间，还处于创业期，且公司属于技术发展很迅速的小型软件和信息技术服务业，企业生存空间较小，存在经营风险；公司组织结构不健全，管理者风险管理意识淡漠，公司内部控制制度缺乏，存在管理风险；现阶段公司服务的主要客户是区县电力公司小型变电站，但是国家电网正在进行改革，招投标权限向省市一级集中，而该公司因规模小、资金少，招投标资质审查要求越来越高，使得公司面临提高其注册资金资质、公司各种技术服务证书资质的提升问题，公司面临资金风险等。（2）风险衡量。公司面临的风险主要是经营风险、管理风险、资金风险，现将三种风险依照图3风险衡量等级图分析。
公司是新创立的小型企业，且公司也没有独立受保护的技术专利，公司的经营风险发生概率较大；公司总经理创业之前是其它一家中型公司的技术副总，没有全面管理过公司，公司副总经理与总经理工作经历类似，公司的管理风险发生概率较大；针对资金风险，目前公司经营状态良好，开户行中国银行有意向提供公司低息长期贷款，资金风险发生概率中等。
风险若发生风险损失大小是相对于公司的损失承受情况决定的，公司是小型企业，为自然人投资的有限责任公司，风险损失承受能力较小。经营风险损失划分为重大损失，管理风险损失划分为中等损失，资金风险损失划分为重大损失。三种风险位于风险衡量等级图不同的位置，经营风险居于33位置，管理风险居于32位置，资金风险居于23位置。
3.风险导向的内部控制之风险处理策略（1）完善内部控制各项制度。企业要逐步从人治向制度管理转移，形成完善一系列内部控制制度，比如关键控制点的制度一定要完善，如：公司财务相关制度、公司采购制度、公司招聘等人事制度、公司重大投资决策制度等等。只有制度完善，才能从制度上防范权责分离，防范内部人治。（2）践行内部控制措施实施、评价及反馈体系。经识别衡量过的公司风险，应由内部控制管理委员会设计内部控制措施，评价内部控制措施是否有效、是否能防止、发现或纠正相关风险；内部控制执行是否有效，各个关键控制点是否已经考虑；员工是否遵守内部控制制度，是否严格执行内部控制措施；内部控制人员是否将控制状况反馈至内部控制管理委员会；内部控制委员会定期对内部控制体系进行完善。
（3）加强内部沟通。《企业内部控制基本规范》明确企业外部风险因素及内部风险因素29条之多，但是小型企业没有很多人力去关注企业如此繁多的风险影响因素，唯有关注重点，关注与行业直接相关的风险信息等，就要求企业人员之间加强内部沟通，快速将个人关注的信息点扩散到公司内部，利用晨会、邮件、例会等形式，迅速沟通，有效沟通，确保重要信息点不被隐藏。同时，小微企业也应多利用产业集群、或行业协会、或小微企业孵化基地的公共信息平台筛选风险信息，加快内部学习与沟通。总之，小微企业应建立风险导向的企业内部控制体系，将风险管理与内部控制体系相结合，融合企业各项管理职能，发挥小微企业机动灵活的机制，在国家鼓励创业创新大背景下扬帆前进。