2026年10月8日，财政部办公厅就《行政事业单位内部控制规范（修订征求意见稿）》公开征求意见，明确要以贯彻落实会计法和中办、国办《关于进一步加强财会监督工作的意见》为背景，推动行政事业单位加强内部控制。在此之前，《行政事业单位内部控制评价办法》已于2026年1月1日起施行，国务院国资委令第46号也将内控执行情况纳入违规经营投资责任追究范围。监管层面向内控与合规释放的信号正在持续加密。

对企业而言，一个更关键的变化正在发生：内控与合规不再被当作两条平行线，而是被监管和实务共同推向“一体推进、融合管理”。结合最新监管政策与2026年公开案例，拆解这一变化背后的逻辑与落地路径。

内控合规的制度框架正在加速重构

梳理2025年末以来的政策文件，可以看到监管对内控与合规的要求已经从“提出要求”转向“系统压实”。

在行政事业单位领域，财政部2025年11月印发《行政事业单位内部控制评价办法》，自2026年1月1日起施行，明确县级财政部门可根据实际情况适当延长基层单位评价周期或缩小评价范围，让评价要求更具弹性、也更强调实质。2026年10月启动修订的《行政事业单位内部控制规范（征求意见稿）》，则进一步将内控定位为强化财会监督、提升财政科学管理水平和防范化解风险的重要支撑。

在中央企业领域，国务院国资委令第46号《中央企业违规经营投资责任追究实施办法》自2026年1月1日起施行，内控流程重大缺陷、内控执行不力等情形被纳入责任追究范围，直接改变了“内控是内部管理问题”的旧认知。同年8月印发的《关于推动法治央企建设进一步走深走实的方案》进一步要求合同全生命周期管理、重点合同业务法务“双审”、纠纷风险管控前移，把合规要求落进具体经营环节。

在上市公司与金融机构领域，财政部在《关于严格执行企业会计准则 切实做好企业2025年年报工作的通知》中要求企业明确内控缺陷认定标准、真实完整编制内控评价报告并强化缺陷整改；金融监管总局、中国人民银行、证监会、财政部四部门2026年7月联合印发《关于健全金融机构治理的实施意见》，明确严惩违规占用资金、违规融资或担保等行为，对重大问题依法依规实行终身问责。

这些信号指向同一个方向：内控与合规正在从企业“自愿完善”的管理工具，变成监管“刚性约束”的合规底线。

为什么内控与合规必须“一体推进”

理解“一体推进”，先要分清两者的边界与咬合点。

内控解决的是“权力如何被约束”的问题。按照《企业内部控制基本规范》，内控围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素展开，核心机制是不相容职务分离、授权审批、财产保护与独立监督，目标是保证资产安全、财务信息真实、经营合法合规。

合规管理解决的是“行为如何符合规则”的问题。它覆盖法律法规、监管规定、行业准则和企业章程，核心机制是合规风险识别、合规审查、合规报告与违规问责。

两者天然咬合：内控的风险评估环节需要把合规风险纳入识别范围，控制活动环节需要把合规审查嵌入业务流程，内部监督环节需要把合规执行情况纳入检查对象。财政部内部控制委员会2026年6月召开会议部署财政内控工作时强调，要把握“有效制衡”这一核心理念，推动业务决策、执行和监督相互分离、相互制衡的机制，同时加快内控信息化建设——这正是内控与合规在机制层面融合的具体要求。

简而言之：合规划定“不能做什么”，内控解决“如何保证不做”，两者缺一不可。

内控失效如何放大合规风险

2026年以来，证监会各派出机构披露的案例反复印证同一规律：合规风险事件背后，几乎都能找到内控失效的痕迹，其中以非经营性资金占用最为典型。

深圳证监局2026年8月对海王生物及其控股股东海王集团采取责令改正措施，原因即控股股东非经营性占用上市公司资金，且公司未能在制度层面有效拦截。福建证监局2026年9月对成达兴出具警示函，其实际控制人资金占用在2024年、2025年、2026年上半年各期间日最高余额分别达7111.35万元、2644.93万元、2266.04万元，截至2026年6月30日仍存余额1676.58万元，公司“未采取有效措施”。海南证监局2026年7月对海控能源及相关责任人出具警示函，关联方6362.05万元往来款构成非经营性资金占用。

三起案例的共同点值得注意：资金占用能够持续发生，说明企业在资金审批、授权管理、不相容职务分离和内部监督等关键控制点上存在缺口；而违规行为最终被追责，说明监管已经将“内控有没有发挥作用”纳入追责评价。

需要说明的是，这类案例反映的是监管重点关注的典型风险领域，并不代表所有企业都会发生同类问题。但它的警示意义在于：内控缺陷一旦与合规风险叠加，后果往往不是单一环节的失误，而是企业信用与治理信誉的系统性损伤。

内控与合规“两张皮”的四个表现

误区一：有制度就等于有内控。制度文本是内控的起点，不是终点。评价内控是否有效，看的是制度在业务流程中是否被实际执行、能否形成制衡，而不是文件柜里有多少份手册。

误区二：合规是法务或合规部门的事。合规要求只有嵌入采购、销售、资金、合同等业务环节才可能落地。把合规关在法务部门里，等于让风险在业务一线敞开。

误区三：内控是成本，不是价值。内控当然有建设成本，但它的价值体现在减少违规损失、降低融资成本、保护管理层免于追责上。财政部内控委强调的“有效制衡”，本质上是用制度成本换取风险成本的下降。

误区四：评价报告做完就是闭环。内控评价的价值在于发现缺陷并推动整改，缺陷不整改、整改不验证，评价就退化成一份文书工作。这也是监管反复强调“评价—整改—再评价”闭环的原因。

内控合规一体化建设的落地路径

路径一：把合规要求纳入风险评估。建立覆盖法律法规、监管规定与内部制度的风险清单，让风险评估不只覆盖财务风险，也覆盖合规风险，作为控制活动设计的输入。

路径二：在关键控制点落实“有效制衡”。资金审批、采购付款、关联交易、对外担保、印章管理、合同签署等高风险环节，严格实行不相容职务分离与分级授权审批，把监管强调的“决策、执行、监督相互分离”落到岗位与流程。

路径三：用数智化固化规则。财政部内控委会议明确要求加快内控信息化建设。将授权、审批、预警规则嵌入业务系统，让合规审查从事后检查变为事中拦截，是降低人为干预、提升执行刚性的有效手段。

路径四：建立“评价—整改—再评价”闭环。定期开展内控评价与合规检查，对发现的缺陷按重大、重要、一般分级认定，明确整改责任人与时限，并将整改结果纳入下轮评价验证。

路径五：把内控执行与责任传导挂钩。参照央企责任追究办法的思路，将内控执行情况纳入管理层考核与问责范围，让“内控失效”不再是没有后果的内部事项。

结语

从行政事业单位内控规范的修订，到央企责任追究的强化，再到金融机构治理实施意见的出台，监管正在把内控与合规拧成一股绳。对企业而言，内控合规一体推进不是额外负担，而是风险防控体系建设的必然路径：合规划定边界，内控守住边界，评价验证执行，责任保证落实。

在监管新周期下，能率先把“制度覆盖”升级为“有效运行”的企业，将获得更稳健的经营底盘和更低的合规成本；而仍在“两张皮”状态下运转的企业，面临的不仅是效率损失，更是越来越现实的监管风险。