在成熟阶段，企业拥有较好的文化氛围，内部规章制度较健全、清晰，内部流程较全面、明确，业务操作具有重复性和模仿性；抗风险能力较强。但缺点是可能存在官僚作风，某些制度流程过于刻板，管理和控制成本较高。由于这类企业内控理念和建设已较成熟，因此如果想在管理效率和业绩上寻求突破，BPR或ERM更适用这类企业。通过BPR对组织的作业流程进行再思考和再设计来降低管理成本，全方位提高效率和业绩。通过ERM，在原有内控基础上进一步提升企业全面抗风险能力以适应新经济背景下的复杂环境。?
而处于转型和成熟之间的转型阶段，则是企业发展的一个至关重要的门槛，能否完成由弱至强的蜕变全看这一过渡阶段的发展。这一阶段企业的特点是具有一定的规模；有一个核心管理团队；有一定的规章制度，但主要是以信任为基础；企业掌握较丰富的资源。同时存在的缺点是企业文化缺失或不稳定，新老管理队伍需要较长的时间进行磨合，老员工之间以及新老员工之间的利益矛盾逐步浮出水面；同时公司规章制度不健全，存在较多漏洞，资产安全难以得到保障。处于此阶段的企业比较容易出现问题，而ERM和BPR在这类企业的推行条件还不成熟且无法对症下药，此时最需要的是内部控制建设。因此，应从基础管理抓起，通过组织结构的适当调整和业务流程的梳理，在全公司范围内建立健全管理控制制度，弥补原有组织流程的控制漏洞，从而保护企业资产的安全。
(三)内控建设的边界在哪里?
在明确了哪类企业更需要内部控制建设后，一个贯穿于内部控制建设整个过程的关键问题是：内部控制的边界在哪里?究竟哪些需要控制?哪些又不需要控制?在AB建设公司内控咨询项目中，笔者就碰到这样的问题：在制度设计阶段初期，公司管理层整理出一百多项规章制度需要中介机构制定，中介机构感觉工作量过大，内控建设成了“无底洞”，管理层也担心如此多的新制度推出后员工的适应情况和执行情况。?
笔者认为，如何解决该问题，从而保证内控建设的成果得以实现，应从以下三方面来考虑：?
1、一个原则：成本——效益原则
任何控制活动都是需要成本的，这牵涉到人力、物力、时间的投入以及这些资源投入造成的机会成本。因此企业在考虑任何经营活动环节是否需要加以内部控制约束时，都应进行成本和效益的衡量比较，即衡量由控制措施带来的相关环节损失的风险减少或经济利益增加能否弥补因设置该控制措施造成的成本，如果能够弥补，则控制是有意义和可行的。例如，对于员工领用公司纸张、文具这一日常管理，如果加以严格控制，明确每张纸或每支笔的去向和用途并加以记录统计，管理成本相当大，而相应的损失减少却并不大，这就得不偿失。相反，对原材料的供应商选择加以严格控制，无论从最初的询价、比价过程，到确定供应商，再到合同谈判，到货验收，直至事后评价，都要求相互独立的岗位人员执行并留下详细的书面记录和证据，这样做虽然管理成本较高，但能保证采购到价廉质优的原材料并降低相关环节员工的舞弊风险，这样的控制效益就大于成本了。?
2、一个方法：曲突徙薪?
“曲突徙薪”源自中国古代一则寓言故事，其字面意义是将烟囱弯曲，把木材移开，通过细微但关键的改变从而防止火灾的发生。事实上，内部控制建设亦是如此，它决不是将企业原有的组织结构、人事安排、业务流程、财会制度等完全推翻重新设计，而是从内部控制的角度出发，审视原有规章制度，合理部分应加以保留，而某些不安全的、存在漏洞的地方，则加入控制因素予以修正，从而达到“四两拨千斤”的作用。例如，规定采购人员不得参与到货验收等。这些内控措施虽然细微，也未根本改变原有流程，但却减少了相关环节员工的舞弊风险，保护了企业资产的安全。?
3、一个过程：持久战?
内部控制建设决不是一朝一夕之事，不是通过一次性的规章制度修订补充就能完成的任务。这有三方面的原因：其一，原先不需要控制的管理环节由于环境条件的变化变得重要起来，控制效益大于成本了，这就需要再修订制度。其二，内部控制本身存在局限性，内控一般针对经常重复发生的业务，一旦设置就具有相对稳定性；不经常发生或未预计到的业务，原有控制可能不适用，因此需要事后补充。其三，企业实施新的内部控制时，管理人员本能会抵触、反对及滥用，使得具有设置良好的内部控制的书面制度同实际执行情况不一致。因此，需要企业高层领导进行不断的教育和贯彻。总之，内部控制建设是一个开放式的、系统性的、循序渐进的过程，企业管理层应做好打“持久战”的准备。
