2026年以来，多家上市公司因内部控制重大缺陷被实施风险警示或行政处罚。从嘉应制药因内控重大缺陷被ST，到岭南股份虚构采购业务掩盖资金占用，再到卫宁健康因子公司单位行贿暴露内控漏洞——这些真实案例共同指向一个问题：企业的内控体系到底"健不健康"？

很多企业并不是没有内控制度，而是制度"挂在墙上、说在嘴上"，并没有真正嵌入业务流程。发现问题的最好方式，是做一次系统、深入的内控诊断——也就是对内控体系进行一次全面"体检"。本文结合最新政策要求和2025-2026年真实处罚案例，系统梳理内控诊断应该查什么、怎么查、查出问题如何分级。

政策背景：内控评价与审计要求持续强化

企业内控诊断不是"自选动作"，而是有明确政策依据的"规定动作"。

基础制度框架。《企业内部控制基本规范》（财会〔2008〕7号）由财政部、证监会、审计署、银监会、保监会五部委联合印发，是我国企业内控体系建设的基础性制度。配套的《企业内部控制评价指引》《企业内部控制审计指引》进一步明确了内控评价和审计的具体要求。

最新监管要求。财政部、证监会《关于强化上市公司及拟上市企业内部控制建设推进内部控制评价和审计的通知》（财会〔2023〕30号）明确要求，上市公司应严格按照《企业内部控制基本规范》及配套指引，持续优化内部控制制度，完善风险评估机制，加强内部控制评价和审计，科学认定内部控制缺陷，强化内部控制缺陷整改，促进公司内部控制的持续改进。

监管执法实践。从2025年至2026年的监管处罚案例看，监管部门在认定企业违法违规问题时，往往同时指出"内部控制存在缺陷""不符合《企业内部控制基本规范》相关条款"。这意味着，内控缺陷不仅是企业内部管理问题，更是监管处罚中被直接援引的违规事实。

案例警示：内控失效的几种典型表现

分析2025-2026年的真实处罚案例，可以归纳出内控失效的几种典型模式。

案例一：核心业务环节内控重大缺陷——嘉应制药被ST。2026年5月，嘉应制药被实施其他风险警示（ST）。核心原因是公司在采购管理、投资管理、关联方交易、资金审批支付、印章使用保管等核心业务环节，存在多项内部控制重大缺陷。年审机构众华会计师事务所对公司2025年度财务报表出具保留意见，同时对其内部控制有效性出具否定意见，直接触及深交所其他风险警示条款。这一案例说明，当内控缺陷覆盖采购、投资、资金、印章等多个核心环节时，其严重程度已经达到"重大缺陷"级别。

案例二：虚构业务掩盖资金占用——岭南股份。2026年9月，岭南股份收到广东证监局《行政处罚决定书》。监管认定公司存在以下问题：未按规定披露资金占用事项，2021年年度报告存在重大遗漏；虚构苗木采购业务，掩盖资金占用进行账务处理，2021年年度报告存在虚假记载。这一案例暴露的内控问题是：资金审批支付环节的控制失效，导致资金被占用后无法被及时发现；业务真实性核验机制缺失，使得虚构采购业务能够通过账务处理掩盖风险。

案例三：子公司违法暴露集团管控漏洞——卫宁健康。2026年3月，卫宁健康披露公告：广东省茂名市中级人民法院终审判决公司全资子公司深圳卫宁中天软件有限公司、公司实际控制人之一周炜（时任公司董事长）犯单位行贿罪。上海证监局在后续监管措施中明确指出，上述事项反映出公司内部控制方面存在缺陷，不符合《企业内部控制基本规范》的相关要求。这一案例说明，集团对子公司的管控如果存在盲区，子公司的违法风险会直接传导到集团层面。

案例四：内部监督流于形式——西安爱科赛博。陕西证监局在对西安爱科赛博电气股份有限公司采取责令改正措施时指出：个别员工为实现部门绩效考核要求，在未满足收入确认条件下，自行填制个别业务对应的签收单、验收单等单据。监管认定公司"未能建立符合内部控制基本规范要求的内部环境、信息与沟通机制，未切实加强员工培训和教育，未能及时识别内部控制存在的重要缺陷，内部监督流于形式"，不符合《企业内部控制基本规范》第十五条、第十七条、第三十六条、第四十二条的规定。这一案例的警示意义在于：当员工可以自行填制关键业务单据而无人审核时，内部监督的最后一道防线已经失效。

内控诊断的核心逻辑：查什么、怎么分级、怎么查

内控诊断并不是简单地"翻制度、查流程"，而是有一套成熟的方法论。

第一，按缺陷成因分类：设计缺陷与运行缺陷。根据《企业内部控制基本规范》及配套指引，内部控制缺陷按成因分为设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或者现有控制设计不适当，即使正常运行也难以实现控制目标——比如制度里根本没有规定"大额资金支付需要双人复核"。运行缺陷是指设计适当的控制没有按设计意图运行，或者执行人员缺乏必要授权或专业胜任能力，无法有效实施控制——比如制度规定了"印章使用必须登记"，但实际执行中印章管理人并未逐笔登记。诊断时，首先要区分问题属于"没设计好"还是"没执行好"，两者的整改方向完全不同。

第二，按严重程度分级：重大缺陷、重要缺陷、一般缺陷。按照《企业内部控制评价指引》，内部控制缺陷按影响严重程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标；重要缺陷是指其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标；一般缺陷是指除重大缺陷、重要缺陷之外的其他缺陷。企业应当结合自身规模、行业特征、风险水平等因素，从定性和定量两个角度综合确定具体的缺陷认定标准。重大缺陷应当由董事会予以最终认定。

第三，按标准程序开展诊断：六个环节。《企业内部控制评价指引》第十二条明确规定了内控评价的标准程序：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告。这六个环节是内控诊断的基本路径：先明确"查什么范围、怎么查"（制定方案），再组建专业团队（工作组），然后通过穿行测试、抽样检查、访谈等方式做现场测试，对照缺陷认定标准逐项认定问题，汇总分析后形成诊断报告。

第四，定量与定性相结合认定缺陷。定量标准可以根据缺陷造成的直接财产损失绝对金额，或直接损失占企业资产、销售收入、利润的比率来确定；定性标准则根据缺陷潜在负面影响的性质、范围等因素确定。从监管案例看，即使金额不大，如果涉及"资金占用""关联交易未披露""印章管理失控""内部监督流于形式"等性质严重的问题，同样可能被认定为重要缺陷甚至重大缺陷。

内控诊断的重点领域

结合监管处罚案例暴露的问题，内控诊断应当重点覆盖以下领域。

资金活动。重点检查资金审批支付是否有明确权限分级、大额资金支付是否有复核机制、资金占用是否能够被及时识别和报告。岭南股份案例中，正是资金审批环节的控制失效，导致资金被占用后长期未被发现。

采购与付款。重点检查供应商准入是否有审核机制、采购价格是否有比价流程、采购业务真实性是否有核验手段。嘉应制药案例中，采购管理是其内控重大缺陷的核心环节之一。

关联方交易。重点检查关联方识别是否完整、关联交易是否履行审议程序和披露义务、是否存在非经营性资金占用。长园集团案例中，关联方非经营性资金占用未及时披露被证监会处罚。

印章管理。重点检查印章是否专人保管、使用是否逐笔登记、用印审批是否与业务审批一致。嘉应制药案例中，印章使用保管失控是内控重大缺陷的组成部分。

投资管理。重点检查对外投资是否有可行性研究和风险评估、投资决策是否履行集体决策程序、投后管理是否跟踪到位。

子公司管控。重点检查集团对子公司是否实现制度全覆盖、子公司重大事项是否及时上报、子公司财务是否并表和统一管理。卫宁健康案例表明，子公司层面的违法风险会直接传导为集团层面的内控缺陷。

内部监督。重点检查内部审计是否独立履职、监督发现问题是否有整改闭环、员工违规行为是否能够被及时发现和纠正。西安爱科赛博案例中，正是"内部监督流于形式"，才导致员工可以自行填制关键业务单据。

从嘉应制药被ST到岭南股份被处罚，从卫宁健康因子公司违法暴露内控漏洞到西安爱科赛博因内部监督失效被监管责令改正——这些真实案例都在提醒企业：内控体系不是"建完制度就万事大吉"，而是需要定期做一次全面、深入的"体检"。

内控诊断的价值，不在于"查出多少问题"，而在于在问题演变成处罚之前发现问题、在风险造成损失之前堵住漏洞。按照《企业内部控制基本规范》和配套指引的要求，科学区分设计缺陷与运行缺陷，合理认定重大缺陷、重要缺陷和一般缺陷，系统覆盖资金、采购、关联交易、印章、投资、子公司管控和内部监督等重点领域——这才是企业内控体系真正"有效"的基础。

合规不是成本，内控不是负担。真正有效的内控体系，是企业行稳致远的基石。