我们不妨来回顾中航油案例：
　　“2004年的新加坡中航油事件反映出尖锐的企业内控问题：从中航油2002年年报来看，当年的投机交易盈利，2002年下半年，中航油开始进行石油期权交易，到年底也获得了明显收益。如果能够利用内控的约束机制，正确识别机会与风险，尤其在公司赚取了大量利润的同时，应该清醒的认识到可能产生的巨大风险。但是，在主观上，中航油的决策者风险意识淡薄，判断、控制和驾驭风险的能力明显偏弱。
　　中航油设计了很完善的《风险管理手册》，手册规定了相应的审批程序和各级管理人员的权限，通过联签的方式来降低资金使用的风险。还规定了损失超过500万美元，必须报告董事会，并立即采取止损措施等。中航油采用当今世界上最先进的风险管理软件系统将现货、纸货和期货三者融合在一起，进行全盘监控。同时，建立了三级风险防御机制，通过环环相扣、层层把关的三个制衡措施来强化公司的风险管理，使风险管理日常化、制度化。
　　而客观上，公司风险管理手册中的止损程序并未得到应用，并且明显缺乏风险补救措施。这从其母公司中航油集团处理危机的几个细节可以得到反映：‘中航油集团2004年10月3日就开始了解到事件的严重性。当时的账面亏损为8,000万美元，如果那时集团决定斩仓，整个盘位的实际亏损可能不会超过1亿美元。然而，集团领导大部分在休假。9日，新加坡公司正式向集团提出书面紧急请示。如果当时斩仓，实际亏损应为1.8亿美元。然而直到16日，集团才召开党政联席会议。’
　　中航油事件致命原因，是个人权力过大，缺乏对个人权力有效制约和监管，导致内控失灵。决策者风险意识淡薄，制度得不到执行，内控未能起到应有的约束力。”
　　透视中航油事件，我们得到的启示是：建立企业内控体系的目标和作用，仍然是防患于未然。内控的功能与作用，体现在细节控制和风险管理、多元主体控制、全程监督评价和全员管控几个方面。
　　1、从细节控制到风险管理，实施全范围控制
　　几乎所有的企业都建立了自己的内部管理制度，这些制度涵盖了大到投融资、小到差旅费报销等方面，从企业制度建设水平可以知微显著。但某些企业的管理层狭隘的认为，这些制度的执行就是内控的所有内容。
　　实际上，内控已经超越了传统意义的会计控制，包含了日常管理的多个方面。但是，由于有限的管理资源和可观的控制成本，使得企业的精力不能放在所有的细小事务上。
　　随着新的企业风险管理理论的成熟，为了应对来自理论界与实务界的挑战，美国COSO委员会于2004年10月发布了《企业风险管理框架》（简称ERM），确立了内控向企业风险管理发展的合理性。ERM框架要求董事会与管理层特别重视可能产生重大风险的环节，且将风险管理作为内控的最主要内容。
　　2、由多元主体构成的牵制系统，实现监督功能
　　我国现行《独立审计基本准则》一般准则第5条指出，建立健全内控制度是被审单位管理当局的责任。《内部会计控制规范-基本规范》第5条规定，单位负责人对本单位内部会计控制的建立健全及有效实施负责。上述法规将内控主体定义为单元主体。
　　而在现代企业制度下，所有权与经营权的分离，导致了经营管理者实质性拥有了企业控制权，所有者本身需要对管理者进行控制，管理者本身就是内控的对象。如果管理者是内控的单一责任主体，负责内控的设计与执行，并对内控的执行情况加以认定与评估，“既当运动员，又当裁判”，势必会滋生滥用职权、牟取私利、独断专行等现象，以至于内控失灵。中航油新加坡公司虽然有健全的内控和风险管理制度，但是事件的核心人物能够亲自操盘，而其本人又是内控的责任主体，没有其他主体对其实施牵制。
　　假设由董事会来承担内控的责任，进行多元控制，就能保证内控实施力度。这也正是ERM框架中所要求的：ERM框架使董事会在企业风险管理方面扮演更加重要的角色，承担总体责任，并且要求其变得更加警惕。企业风险管理的成功与否在很大程度上依赖于董事会，组织的风险偏好需要由董事会来批准。
　　外部机构对企业内控也具有一定的鉴定作用，并提出建议。
　　内控主体应从单元主体向董事会、管理者以及CPA多元主体转变。董事会全面负责内控，管理层负责其具体有效的执行，CPA对内控进行再评价，这样就达到了多元牵制来实现控制的目的。
　　3、全程监督评价
　　有效的内控是全过程的，包含事前控制、事中控制和事后控制三个阶段，每个阶段都不能忽视。事前控制能起到防患于未然的作用，当然这是最理想的，但由于内控本身局限性及固有风险的存在，并不是所有的风险都能在事前、事中得到有效控制。
　　因此内控是依靠全程监督的内部审计机制来保障实施的。内部审计是企业自我独立评价的一种活动，具有得天独厚的优势。它本身在企业中不直接参与相关的经济活动，处于相对独立的位置，但同时又处在各项管理活动中，对企业内部的各项业务比较熟悉，对发生的事件全部过程比较了解。在ERM框架中，内部审计人员在监督和评价成果方面承担重要任务。公司的内部审计，应向审计委员会报告工作，接受审计委员会的业务指导，并直接对董事会负责，任何重要的审计决策由审计委员会提出方案，并经董事会批准。这既保证了公司内部审计的相对独立性，又保证了其权威性。在这样的前提下，内审部门通过对内控的审查和评价，可以从中找出控制薄弱点，发现内部控制不尽完善和执行无力之处，进而提出改进意见和措施，以监督其他控制政策和程序的有效执行。
　　4、对基层、中层、高管进行全员管控，高层对内控承担主要责任
　　组织中的每个人都对内控负有责任，同时要接受内控体系的监控。决策者对内控体系负有根本的责任，并且享有该系统的所有权。决策者是通过高层管理人员并发布指令、评估高层人员管理效率的方式来履行该责任的。高层管理人员将建立更具体的内控政策和程序的责任，并按部门的功能分派给有关人员。
　　一个表面看起来制度明确、组织健全、人员齐备、技术先进的内控或风险管理体系，它在实际运行中能否有效管理风险和防止重大损失的发生，关键在于高层领导在这个体系中所发挥的作用。这不仅因为高层是内控的首要责任主体和最基础的推动力，更重要的是高层本身所拥有的控制权力。因此高层领导必须纳入到以相互检查和权力制衡为基本原则的整个内控体系中，成为控制和约束的重要对象。否则，高层领导将具有超越内控约束的特殊权力，从而导致整个内控或风险管理机制形同虚设，从根本上丧失有效性。　　
　　

　　此外，内控体系建设的同时还要重视对意外事件的补救措施。决策者和管理者识别风险的能力不同，对待风险的态度不同，回避风险的能力不同，都可能有截然相反的结果。因此必须建立补救措施，全面考虑公司存在的潜在风险，对由内控失败或决策失误可能导致的不良后果，加以事中控制、事后弥补。
　　很多案例说明，损失并非在一夜之间发生。一旦公司的控制失效，公司必须利用补救措施，亡羊补牢，才能将损失尽可能的降低。董事会和管理者应站在战略目标的高度重新审时度势，制定适合时宜的政策方针，减少决策失误产生的不利影响。企业内控不仅要通过建立内部牵制力量来控制风险，还要重视防微杜渐和出现意外，“千丈之堤，以蝼蚁之穴溃；百丈之屋，以空隙之烟焚。”