事件回顾：经营困局下的铤而走险

　　2026年7月，*ST英飞（002528.SZ）再次成为资本市场关注的焦点。7月14日，公司披露2026年半年度业绩预告，预计归母净利润亏损8500万元至9800万元，较上年同期亏损增幅高达783.34%至918.44%。

　　仅三日后，公司公告收到深圳证监局《行政处罚事先告知书》，因2019年、2020年连续两年年报财务造假，公司及9名相关责任人合计拟被罚款1750万元。

　　这家2010年登陆深交所的安防企业，曾凭借信创、国资云等概念备受市场追捧，巅峰市值突破170亿元。2019年12月，深圳市投资控股有限公司通过股权受让成为控股股东，企业归入深圳国资体系。

　　国资入主并未扭转经营颓势，2021年至2023年归母净利润分别亏损14.19亿元、9.69亿元、7.71亿元；2024年营收同比下滑32.35%至9.45亿元，亏损4.04亿元；2025年营收再度腰斩至4.95亿元，创下13年新低。上市以来累计亏损已近40亿元，2025年末净资产为负，股票被实施退市风险警示。

　　财务造假：内控失效的必然结果

　　Let''s go!

　　经深圳证监局查明，*ST英飞两家全资子公司，英飞拓（杭州）信息系统技术有限公司和新普互联（北京）科技有限公司在2019年至2020年期间，通过虚构工程项目、伪造流量采买业务、项目未落地提前确认收入等多种手段实施财务舞弊。

　　具体而言英飞拓系统通过虚构“国海建设绿创中心”“向塘镇丁坊村安置房建设”等项目及提前确认设备采购合同收入等方式造假；新普互联则通过提供垫资服务虚构流量采买业务，并在武汉阳光海岸项目未实际实施的情况下确认收入。

　　两年间累计虚增营业收入超8.7亿元，其中2019年虚增营收4.92亿元、占当期披露营收10.36%，2020年虚增营收3.78亿元、占当期营收7.21%；对应两年分别虚增利润总额8436.43万元、4813.29万元，2019年虚增利润甚至超过当期账面净利润一倍以上。

　　这一系统性造假行为，折射出公司内部控制机制的全面失效。从决策审批到财务核算，从子公司管理到信息披露流程，均存在明显漏洞。

　　问题并非孤立，2025年1月，公司即因涉嫌信息披露违法违规收到证监会《立案告知书》；2024年4月，公司曾对相关事项进行会计差错更正。然而这些预警信号未能在事前触发有效的风险阻断机制。

　　反思：内控体系为何失守

　　*ST英飞案暴露出的内控缺陷具有典型性。根据COSO内部控制框架，内部控制包含控制环境、风险评估、控制活动、信息与沟通、监控五大要素。以此检视本案：

　　控制环境层面，公司虽已纳入国资体系，但子公司层面的合规文化未能有效渗透。两家全资子公司的管理层在经营压力下选择财务造假，反映出集团对子公司的管控存在“管不住”的真空地带。

　　风险评估层面，公司未能识别和评估子公司业务模式（工程项目、流量采买）中固有的收入确认风险，也未对业绩承诺压力下的舞弊动机建立有效预判机制。

　　控制活动层面，虚构工程项目、伪造合同、提前确认收入等行为能够连续两年未被发现，说明收入确认、合同审批、资金流水核查等关键控制点形同虚设。

　　信息与沟通层面，子公司财务数据在合并报表层面被直接采纳，缺乏有效的交叉验证和异常信号识别机制。

　　监控层面，内部审计未能发挥应有的监督职能，外部审计亦未能在连续两年内识别出如此大规模的虚增收入和利润。

　　风控模型借鉴：国际经验与本土实践

　　在风险控制的理论与实践层面，国际成熟市场积累了大量可供借鉴的经验。COSO于1992年提出的《企业内部控制——整合框架》及其后续修订版，已成为全球企业内部控制建设的基准范式。

　　2004年发布的COSO企业风险管理框架（ERM框架）进一步将内部控制从“控制”延伸至“管理企业风险”。在财务报告内部控制（ICFR）领域，采用风险导向的方法设计、实施和评估内控体系已成为国际通行做法。

　　中国自2008年起建立了以《企业内部控制基本规范》为核心的内部控制规范体系，涵盖《企业内部控制应用指引》《企业内部控制评价指引》和《企业内部控制审计指引》。

　　基本规范确立了内部控制的五大要素，内部环境、风险评估、控制活动、信息与沟通、内部监督，与国际通行的COSO框架在理念上高度一致。

　　然而，制度框架的完备并不等同于执行的有效性。ST英飞案恰恰说明，内控体系的“形似”与“神至”之间存在巨大落差。

　　从ST高鸿持续9年虚增营收近200亿元，到立方数科连续三年虚增收入和成本，再到*ST卓朗五年虚增营收18.15亿元，近年来一系列重大财务造假案件均指向同一个核心问题：内控体系未能从“合规覆盖”走向“实质有效”。

　　风控体系重建：从制度到文化

　　对于*ST英飞及面临类似困境的上市公司而言，风控体系的重建应从以下几个层面展开：

　　其一，强化子公司穿透式管控。本案中造假行为发生在全资子公司层面，暴露出集团对子公司的管控存在严重缺陷。应建立“董事会（合规与风控委员会）-合规总监-合规管理部-业务线/分支机构合规岗”的垂直管理体系，确保合规管理职能对子公司实现有效覆盖。

　　其二，建立收入确认的实质性审核机制。对于工程项目、流量采买等容易出现收入操纵的业务领域，应建立独立于业务部门的第三方核验机制，包括但不限于实地查验、客户访谈、资金流水交叉比对等。

　　其三，构建异常信号的自动识别与预警系统。利用大数据和AI技术对财务数据进行实时监控，对收入与现金流背离、毛利率异常波动、客户集中度突变等风险信号建立自动预警机制。

　　其四，落实“关键少数”的法定责任。根据《证券法》第八十二条第三款，董事、监事、高级管理人员应当保证上市公司所披露信息真实、准确、完整。本案中董事长、总经理、财务总监、子公司负责人等9名责任人被一并追责，充分体现了监管对“关键少数”的问责力度。风控体系应将高管合规责任制度化、清单化。

　　其五，建立内控缺陷的熔断与整改闭环机制。对内部审计、外部审计及监管检查中发现的内部控制缺陷，应实施分级管理和限期整改，对重大缺陷实施“熔断”——暂停相关业务直至缺陷整改完毕。

　　风控团队的职业准则与思考方式

　　风控团队的专业素养直接决定内控体系的有效性。在职业准则层面，风控人员应秉持独立性、专业性和前瞻性三大原则。独立性要求风控职能不受业务部门的干扰和压力；专业性要求持续更新对行业规律、业务模式和监管政策的理解；前瞻性要求从“事后检查”转向“事前预防”和“事中监控”。

　　在思考方式层面，风控人员应建立“舞弊三角”分析框架—压力、机会、合理化，定期评估各业务单元是否存在舞弊的驱动因素。同时应培养“怀疑性思维”，对异常数据保持职业敏感，而非简单采信业务部门的解释。*ST英飞案中，子公司连续两年虚增营收超8.7亿元，但凡在合并层面建立对子公司收入、利润与现金流匹配性的常态化分析，本应更早发现异常。

　　风控作为经验科学：平衡之道

　　风控本质上是一门经验科学，它既需要制度化的流程和标准化的工具，也依赖于从业者在长期实践中积累的判断力和直觉。

　　有效的风控不是对每一个业务决策说“不”，而是在风险与收益之间找到最优平衡点。

　　过度风控同样值得警惕。过于严苛的审批流程、过度频繁的合规检查、过度保守的风险偏好，都可能扼杀业务活力，导致“风控窒息经营”。

　　*ST英飞在面临连续多年巨额亏损、资金链紧绷的极端经营压力下，管理层铤而走险选择财务造假—这恰恰说明风控体系如果只是“筑墙”而不能“疏导”，反而可能将企业推向更危险的境地。

　　风控的目标不是消灭风险，而是将风险控制在可承受范围内，同时为业务发展保留必要的弹性空间。

　　根据AI风控系统RiskRaider风险雷达“ST英飞”为例进行风险评估，部分截图如下：

　　对其他公司的风控警示

　　*ST英飞案为资本市场所有上市公司提供了深刻警示。2025年，证监会专项开展上市公司财务造假整治行动，全年查办相关案件97起，对65家上市公司、392名相关责任人作出处罚，合计罚没金额达30亿元。“零容忍”已从政策宣示变为执法常态。

　　在此背景下，上市公司应当清醒认识到：财务造假不再是“成本收益”的算计题，而是关乎企业存亡的生死线。

　　ST高鸿因持续9年财务造假面临重大违法强制退市；立方数科触及重大违法强制退市情形。ST英飞虽尚未触及退市红线，但公司股票已被叠加实施其他风险警示，债务逾期本金合计已达5.29亿元。庭外债务重组等自救举措能否落地，存在重大不确定性。

　　风控不是成本中心，而是价值守护者。一套真正有效的风控体系，不仅能够帮助企业规避法律风险，更能在经营困境中守住底线、赢得转机。

　　对于每一家上市公司而言，*ST英飞的教训不应只是新闻头条上的谈资，而应成为推动内控体系从“纸面合规”走向“实质有效”的催化剂。