首先，是战略上“做什么、不做什么？ ”，对于企业来说，结合环境的动态业务规划可以帮助企业准确把握内控建设的核心环节；其次，是战略实施的路径，明确企业在未来3-5年内采取的分阶段战略措施，对于企业正确地规划内控建设的节拍至关重要；其三，在内部环境方面，从运营能力、成长能力、无形资产和重要资源四个方面分析和总结企业的竞争力状况，有助于明确企业核心竞争力的提升方向。关注战略的指引，就像为企业内部控制体系找到了方向，为企业内部控制体系塑造了灵魂。
第二，一定要明确重点建立“核心导向”的内部控制体系。内控体系建设，既要严格按照财政部《基础规范》的要求进行，在实施中又要抓准重点，关注核心模块的建设。
第三，一定要建立“深浅适度”的内部控制体系。内控体系建设，不能一味地求全责备，而是要结合企业的实际情况。在不同的阶段，根据企业的资源与能力，进行阶段性的安排。力争把企业的内控精力用在最为关键的地方。
第四，一定要“内外结合”建立企业内部控制体系。内控体系建设，是一个全新的市场，但不是一个全新的专业领域，只不过国内企业还缺少相应的经验。因此，企业在首次建设企业内部控制体系的过程中，要善于借力，充分发挥专业化知识的优势，先学习，再提高，最后的目标是形成企业自身的内部控制管理和持续优化能力。
四项基本原则，既是企业推进内部控制建设的出发点，也是重要的指导思想和实践原则。
五、推进企业内控建设必须“求真务实”
从央企和上市公司开始强制性要求加强内控到在更大范围内逐步展开，内部控制体系建设正在成为一个大的市场。笔者从2006年财政部着手起草《企业内部控制基本规范》时，就开始关注内部控制的经验积累和方法论形成。从中央企业，到美国上市公司，再到中国上市公司的内控体系建设实践，形成了对于内控建设的系统思考。在我看来，企业推进内部控制最好分四个阶段进行。
第一个阶段就是对企业的战略进行识别。当前中国企业大多数都还没有建立起内部控制体系，通过对企业战略的梳理，包括集团管控、业务特点以及业务环境等的识别，可以明确企业战略对内部控制体系建设的要求是什么。根据企业的战略，了解企业内部控制的特点，风险集中体现在哪些区域。然后进行针对性地规划，确定内部控制体系建设的重心。
第二个阶段就是在企业战略目标的指导下，围绕内部控制的控制环境建设、风险识别、控制活动、信息与沟通、监督等五个方面的具体要求，设计公司级的内部控制。例如，在COSO框架的控制环境要素中，重点关注的包括道德准则、企业文化、人力资源等。这些内容属于整个企业的大环境，我们把它放在一个模块里来建设。通过对风险的识别，发现上述几个方面存在的问题，并通过对公司内部控制管理的测试，全面解决这些问题。
第三个阶段就是流程级和IT级内部控制体系的建设，这是内部控制的重点，也是难点。把通过战略梳理确定的关键风险区域归结成流程地图，对现有的流程进行描述，并找到这些流程中的风险点、现有的控制措施以及控制的缺失，从而制定内部控制措施、风险控制目标等。对于IT（信息系统）而言主要关注的是一般性控制缺陷，例如安全性的缺陷、硬件管理的缺陷等。通过流程级和IT级内部控制体系的建设，要形成企业的风险控制矩阵，系统性地发现风险并制订相应的控制措施。
前三个阶段主要针对公司内部控制的设计缺陷，比如公司没有战略、或者缺失流程、或者流程不合适存在风险，这就通过上述过程解决。但是我们发现，有很多企业所面临的风险不是由于设计缺陷造成的。它有制度、有流程，只是没有去严格地执行。所以需要进行第四个阶段。它主要有两项工作，一是要生成一套内部控制的体系文件，包括控制环境等多个子模块，并在此基础上形成一个持续优化的机制。二是对之前提到的公司级内控、流程级内控以及IT级内控进行跟单测试，通过测试发现运行缺陷，并针对内控建设的基本要求提出整改意见。不仅流程要整改，制度要整改，组织、文化也要整改，管理要系统提升。通过一到两次的测试，弥补内控体系运行的缺陷。就可以让企业的内控真正做实。
第一个阶段通过战略梳理明确内控的要求，第二、第三个阶段是内控建设的核心，通过公司级、流程级和IT级的内部控制，完成对公司内部控制风险的识别和完善。最后通过第四个模块，即内控测试以及体系文件的生成，为公司内控建设形成指导性的体系，同时针对运行缺陷进行适当地整改，使企业内部控制建设上一个台阶。
六、推进企业内控建设是一场“中长跑”
内部控制发源于美国，中国的《企业内部控制基础规范》设立的原则也是参照了COSO的内部控制框架。美国公司在内控方面的建设、操作重点对中国公司具有一定的指导意义。但是一定不能机械地照搬，要在建设过程中体现出中国公司自己的关注要点。各公司要根据行业特点和自身特点，在风险管理的过程中要选择不同的侧重点。另外，内控是一个持续的过程，企业一定要学会对内控体系进行持续优化，每年都对内控建设的状况进行适当的、科学的评估。
在企业内部控制体系建设的过程中，扎实推进企业内控管理文化是企业内部控制管理的基础，是有效实施内部控制的保障。
企业必须尽快建立与企业战略目标相适应的企业内部控制管理理念；制定并推行高级管理人员职业道德规范；制定并推行员工职业道德规范和行为准则；建立畅通无阻的向上信息沟通渠道；通过绩效管理等方法，鼓励正确的行为和态度；加强内控建设的培训和沟通。
有了内控文化的牵引，有了内控组织的保障，企业在推进内部控制体系建设的道路上才能事半功倍。
如果说我最想对企业家说的一句话是什么？那就是：“中国企业推进内部控制体系建设是一场“中长跑”，一定不能取巧！要明确内控体系是保障公司整体运行绩效的重要环节，也是基本手段。企业推进内控建设，要求真务实，扎扎实实一步一步往前走”。
