市場： 等待井噴

各類廠商紛紛往內控市場擠，并捧出令人目不暇接的方案。這個市場是否如人們所期望的那樣，將成為繼ERP之后又一個新的市場增長點?

市場: 等待井噴

內控是個筐，什么都可以往里裝。客觀上是因為內控涵蓋了企業運行的全過程，每一個企業都可以從中找到與自己產品相結合的點，并將自己的產品包裝成“為企業加強內控服務的”。在主觀上，內控以及風險管理等思想的流行，給了軟件廠商一個跟隨潮流的機會。

于是，ERP廠商、OA協同軟件、業務流程管理軟件、數據集成軟件，甚至備份、郵件歸檔等存儲軟件，各個應用領域涌現出來的廠商和方案令人目不暇接。

它們看好的，都是一個叫做GRC(Governance、Risk、Compliance)的市場，或者叫做企業內控。只是，這個市場能否如人們期望的那樣，成為繼ERP之后另一個新的市場增長點?

蜂擁而至

《基本規范》的出臺，讓IT供應商無一例外地瞄準了中國企業的需求。畢竟，以前在美國上市、需要遵循薩班斯法案的中國企業數量很有限。

用友劉巍認為，眾多覬覦內控管理市場的廠商可以分為三類:一類是慧點公司等從流程管理、協同辦公起家的廠商，內控制度中確實有一個層面是關注內控流程的。同樣的還有國外的IDS Scheer，主張企業在全部的流程運轉中實施監控與控制。第二類是以ERP起家的廠商，其產品和方案會更注重內控執行體系、規范的有效性。第三類則是德勤、IBM等以咨詢服務起家的企業，軟件更側重自我評測、流程管理。

目前，用友、金蝶、浪潮等本土ERP軟件廠商已經積極行動起來。2008年底，用友發布NC 5.5產品時就推出了“用友NC內部控制與風險管理解決方案”，其針對中大型企業的U8也強化了內控的功能。今年3月，金蝶發布了高端ERP的新版本EAS V6.0，也將“管控全面風險，降低運營成本，高效協同供應鏈”作為著力點。

浪潮ERP副總裁魏代森認為，傳統的管理軟件系統本身就具有風險管理和內部控制的一些內容，只不過在《基本規范》出臺之前，大家并沒有把它們歸納出來。不同的是，國外諸如SAP、Oracle等企業已經針對薩班斯法案做出了相應的產品調整。

CA則形成了IT治理、IT安全和IT管理三大系列產品。用檀林的話來說，CA是薩班斯法案最大的受害者與受益者。2003年，美國證監會對CA的審計中發現了一個分期付款被提前確認的漏洞，CA最終受罰十多億美元。新CEO上任后，在CA引入了非常強的治理機制，同時，CA的產品線做了調整。如今，CA建立了一個整合的全球法規遵循知識庫，整合了全球各行業的最佳實踐和法規要求，如銀行業的巴塞爾協議，以及醫療、能源等行業一共400多個法規，建立了一萬多個控制點，將法規遵從所需要的控制點一一對應到IT系統中，形成了可簡化企業風險合規性管理的實施平臺。

面對中國的《基本規范》，檀林也看到了其中的問題，“現在做合規最大的挑戰就是，咨詢商的能力不夠充分強大”。因此，CA也希望在中國找一些本土咨詢服務商，參考國內各行業的合規要求，對產品進行本地化的改造。

眾多廠商中，每類廠商都有自己固有的客戶群，面對企業內控的市場，誰的優勢更大一些呢?

“因為中國剛出《基本規范》，SAP、Oracle等還沒有在國內正式推出類似的產品，從起始點來看，國內、國外ERP廠商的起跑線是相同的，誰動手更早，誰的優勢就更大。”劉巍表示。

魏代森也認為，國內與國外內控市場的差異性還是很大的，如政策、法律、文化以及企業管理方式上都有很大差異，國外公司雖然對薩班斯法案的遵循經驗較多，但在國內市場不一定仍有優勢。

市場有多大

市場無疑是在升溫，廠商都感受到了這一點。

檀林指出，中國對合規越來越重視，國內企業也開始建立內控部門，甚至設立CRO等，這都反映了企業戰略導向的變化: 從以前不計風險、一味追求銷售收入的增長，變為開始追求企業的可持續增長。

慧點的韓國權發現，企業對內控態度的變化有兩個時間點:“一個是去年國家出臺《基本規范》，在那之前，國內企業認為自己不在海外上市，薩班斯法案的遵循跟自己沒有關系。規范出臺后，企業開始有強烈的要求去看、去學習。另外一個時間點與金融危機、風險管理有關，從今年開始，企業風險管理的意識變得特別強。”

這顯然是一個很好的契機，是廠商獲得更多用戶的機會。韓國權樂觀預計，市場的空間是巨大的，“所有的企業都需要管理，只不過這么大的蛋糕要一口一口地吃下去。”

其實，不同類型企業看到的機會并不一樣。如果說慧點看到的是GRC這個市場的話，用友看到的則是推動用戶的IT系統向集成化、統一化發展的契機。

劉巍表示，原來一個企業協同辦公、ERP、網上審計可能用的都是不同廠商的產品，在建立內控體系的要求下，客戶可能會傾向于選擇同一個廠商的產品，以解決信息傳遞的有效性問題。其中，哪個廠商集成得更好、更全，其就更有優勢，企業也會選擇以它為核心，作為總承包商將其他產品集成進來。

所有的企業都需要管理，這句話本身并沒有錯，但并不是所有的企業都需要內控相關的軟件產品。那些受到外在監管壓力、自身有發展動力的企業，才是潛在的用戶群。那么，用戶對內控相關的IT產品的真實需求有多大?

比如恒瑞醫藥，從2005年～2008年，集團內所有子公司都針對集團管理要求上了ERP，這些子公司的ERP都在同一個平臺上，通過對每個子公司ERP當中的關鍵信息如生產、銷售、人事情況等加以匯總，形成管理層需要的各種報表。CIO王衛列認為，加強內控管理的IT軟件有兩類: 一類是集團管理軟件，一類就是數據挖掘。

“GRC的理念很好，但要在企業中落地還是要基于ERP這類軟件的應用，目前我們沒有這個需要，集團管理、財務和預算管理、數據挖掘等就足夠了。”王衛列說。因此，他對國內上市的恒瑞醫藥達到《基本規范》的要求很有信心，盡管企業沒有專門做一些加強內控的IT投資。

有意引入一套內控管理信息系統的先聲藥業曾與IBM、慧點等企業接觸過，但是百萬元的報價讓封磊覺得有些昂貴。在衡量了投入與產出之后，先聲藥業暫時還沒有采購內控管理自動化平臺。封磊認為，與ERP、電子商務等理念一樣，GRC的理念與產品也有一個逐漸普及的過程，至于什么時候能夠普及，他也不知道。未知，正是GRC市場最誘惑人的地方。

01

圖注:先聲藥業有薩班斯法案遵循的經歷，但該公司認為，內控理念和產品在中國的普及，需要一個長期的過程。