內部控制的目的是什麼？其實就是降低風險。企業面對的風險千百種，但我們仔細分析過，多數都是來自企業內部，因為自己沒有管理好，而讓自己陷於危險的局面。例如，現在企業使用SAP企業管理系統時，最常遇到就是分享ID（帳號）的問題。因為SAP授權一個ID要兩、三萬美元，如果每個人都有一個，那還得了，所以就弄一個，大家來分享。但是，分享時往往會產生一個狀況，就是你做的事情跟我做的有衝突。最簡單的例子，就是管錢的人不管帳，但如果分享一個ID，這裡面就有很大的風險，員工自己做筆交易出來，就可以把錢轉出去了。

目前美國統計，站出來主動對外宣布，擁有良好的內部控制的企業，與宣布自己在內部控制上有重大缺失的企業相比，就股價而言，會有五％到六％的價差，而有重大缺失的比率，約占四分之一的上市企業。

要做好符合沙賓法案的內部控制，整體而言，需要設置四百到六百個控制點，檢查公司內部的作業程序，這數字比以前至少增加四○％到五○％。因此你可以想像，從三百個控制點，增加到六百個控制點，企業要付出的成本非常大。

除了控制點增加外，企業找尋外部顧問也是成本。當企業花一個小時，找外部顧問進來開會時，公司員工也得花一個小時陪著顧問，而且，這還沒有加上事前準備的時間。所以，公司付出去的開銷，絕對不是表面上看到，付給顧問費用而已。

2