内控制度再完美，终究需要人的控制，就像任何监督者都需要监督一样。因此，评价企业内控好坏的内行里手一定会通过华丽的外表看到问题的实质——企业内控制度是否发挥作用，是否能保证企业在安全边界之上高效运行，关键在于是否能把内控制度落实到人，尤其是落实到从董事长到经营层的各级高管。
　　
　　无论是民营企业还是国有企业，中国传统文化的领导、集权意识根深蒂固，从西方舶来的治理架构、管理制度、内控体系，种在中国的文化土壤里，总能长出一些“奇异的果实”，甚至长不出任何东西，最终那些看似科学、无懈可击的制度只是成为了企业的华美外衣，无法变成能创造企业价值和长期增长的助推器。个中缘由，专家、企业家各有说法，但如果深入到企业的各个部门，大概能听到最多的理由就是——领导不重视。花费大价钱来构建内控和风险管理系统，能说领导不重视吗？很难说，因为重视程度与金钱成本相关，但不是因果关系，领导重视与否关键看他本人愿意花多少时间在考虑这个事情，他或她必须从内而外地表现出对某个问题的重视程度，才能至上而下地推动某项制度的有效运转，在这个前提条件下，剩下的事情也许就可以完全交给制度本身了。
　　
　　领导的态度决定一切，这句话在中国的企业文化语境中一点也不为过。即使在西方，这样的论断也是能找到依据的。美国GE（通用电气）公司被认为是上个世纪以来全世界最伟大的公司之一，每次GE领导人的换届更迭，公司付出的努力不亚于做一次几十亿美元的并购重组。之所以如此重视领导人的人选问题，最大的原因是，GE公司认为领导人承载和传承着 “GE成功密码“，这个密码是凝聚企业文化、气质、理念的“舍利子”，选错了人，所有的完美制度都将变成鸡肋，“成功密码”也就失去了功效。
　　
　　因此，可以毫不过分地说，企业内控和风险管理最后的控制人就是企业的最高决策者，中国企业要做好内控和风险管理，必须让领导人做足从心理到知识的储备，真正把风险防范意识变成一种文化意识。