混沌理论是对确定性非线性动力系统中的不稳定非周期性行为的定性研究（Kellert，1993）。在没有变量的情况下，系统运动是一项有规律的重复行为，通过研究认识这一系统状态，非周期性行为就变成了可以观察的对象。
根据当代数学理论的定义，混沌系统就是“对初始条件极度敏感”的系统。换句话说，为了精确预测系统的未来状态，需要知道它无限精确的初始状态，即便很小的误差，都将立刻导致预测错误。混沌理论已被广泛应用于各个领域，如商业周期研究、动物种群动力学、流体运动、行星运转轨道、半导体电流、医学预测（如癫痫发作）以及军备竞赛建模等等。20世纪60年代，美国麻省理工学院的气象学家Edward Lorenz在计算机上模拟气候类型，他的程序使用了12个回归方程来模拟影响天气的初始因素。当他把一个中间值提高精度再送回模型中去，惊奇地发现本来很小的差异，竟然完全改变了模型结果。Lorenz这一偶然发现，就是著名的“蝴蝶效应”——即便很小的变化，都能造成结果的巨大不同，它是混沌理论的经典例子：香港的一只蝴蝶轻轻振动一下翅膀，就有可能在美国的德克萨斯州引发一场龙卷风。
根据混沌理论，企业、组织都是复杂的、动态的、非线性的、共同作用的、极不平衡的系统，它们的未来表现不可能通过过去的或现在的事件、行为来预测。在混沌状态中，组织行为既不可预测（混沌），又有一定规律（有序）。
内部控制包括了一系列的程序、过程和系统等，而且在操作中，上述内容一定会不断地得到重复，从这个意义上说，回归是固有地内含在内部控制之中的。当然，并非上述所有内容都是如此，但是其中很多内容都是这样设计的。因此，混沌理论可以运用到内部控制中来。
二、内部控制概念中混沌理论的含义
内部控制概念是建立在这样一种观念的基础上，即对于预期要达到的目标而言内部控制可被依赖的程度是有其固有局限的。许多相关主题的权威性著作，包括coso的整体框架都谈到了这些局限性。它们包括人类易犯错误的本性、同内部控制有关的成本和收益以及串通舞弊的可能性。因此，内部控制不能完全保证我们总是能够达到所有预期的效果。可以引用coso整体框架中的一句话来说明这个问题“无论内部控制设计得如何完美，执行得如何良好，它也只能对企业所要达到的目标……提供合理的保证。”
这其中的含义就是，那些不合理的小错误是可以容忍的。然而如果将混沌理论应用于这个问题，则显然可以看出，这些小错误如果经过一段时间的发展，并且与其他异常现象相互作用，就会导致重大的灾难。在这方面有许多例证，例如，巴林银行——这家享有盛誉的老牌银行的崩溃就起源于某个人的未受监督的行为；银行业巨头——日本住友银行所遭受的数十亿美元损失，也源于某个交易员的铜金属期权交易。这两个令人痛惜的案例，显然都是由于缺乏对金融衍生工具交易的控制而造成的，但这一认识为时过晚。
混沌理论同时还证明了那些试图通过扩大内部控制的范围而阻止微小错误发生的努力也是毫无用处的。日常操作中的微小偏差是如此之多而它们的后果也是无法预测的。因此，不可能对这些偏差进行准确的预计，也不可能建立充分的预防机制。谁能够百分百地预测错过一个电话、上班迟到了一会或是忘了准备某个会议的材料所造成的后果呢?这些偏差以及其他不计其数、无伤大雅的问题每天、时时都在发生，而且我们每个人都会犯这样的错误。
因此从概念的层次上来说，我们不能依靠内部控制来预防重大恶性事故的发生。除了蓄意欺诈和明显的大意之外，这些事故的发生实际上是随机的。内部控制水平更好的企业似乎会遭遇更少的灾难，但实际上这个结论并没有得到证明。然而现在，笔者还是建议努力达到最好的内部控制水平，以尽可能地减少遭遇灾难的可能性。
三、混沌理论的应用
在混沌理论下，应该承认：重大不利事件的发生是不可避免的，任何水平的控制都不能防止它们的发生。混沌理论不涉及成本—效益之间的比较，而成本—效益原则是coso框架下确定合理性的一个主要标准。为确定一项控制技术是否值得应用在coso 框架下，会将应用该方法所付出的成本与产生的效益进行对比。如果效益大于成本的话，就采用该技术，反之则不采用，即使当某一项控制技术可以防止重大不利事件的发生时也是如此。 但成本—效益原则很可能是一个陷阱，起初看起来可能十分有吸引力，但在事后看来却存在致命的缺陷。换言之，当一个重大不利事件发生时，除了必须接受罚款、惩罚和制裁以外，后果之一便是采取补救措施，以防将来此类状况再度发生。此时几乎就不存在对成本—效益的考虑了。
一旦对不利事件的不可避免性有了更深刻的理解，成本——效益原则的重要性就会消失。而如果不存在成本—效益原则这个制动闸的话，管理层将会自由地使用任何措施以提高关键的流程、系统、功能和任务等等。已有确凿的证据表明，更高质量的流程以及类似的措施将会带来更高质量的产品和服务，而这又将导致客户满意度的提高。最终，对于持续改进的永不疲倦的承诺将创造并维持竞争优势，从而达到创造价值的目的。在这个过程中不利事件甚至重大不利事件都将会发生。但是，当不利事件发生时，对管理层是否曾尽力采取各种能够采取的措施的质疑将会减少，因为管理层良好的业绩记录将打消所有的疑问，除非是在极端特殊的情况下。
当管理层从成本—效益陷阱里跳出来之后，它就可以自由地采取持续改进、创新方案和承担风险行动，这些与内部控制的管理导向方法的目标是相一致的。这一点非常重要。不难想像，采用这一内部控制方法所取得的结果将比采用coso框架内部控制方法所取得的结果更为理想，不利事件的发生范围也可以变得更小。
可以说，任何事情，不管其性质如何，都不能百分百精确地预测它会如何发生，以及何时发生。这种不可预测的程度随着事件类型的不同而有所不同，许多事件的不可预测水平还会受到有序行为的影响。因此，从原本是混沌的地方可以合理地解析出某种程度的有序。有了秩序之后，可预测性就提高了。大家都相信人类是理性的，因此他们能够通过自己的行动建立秩序。实际上，我们也确实达到了一种有序状态。这种有序使得整个社会在保护环境的同时得以形成并发展。这一切都需要持续不断的努力，因为必须维护秩序，防止因秩序恶化而进入无序的状态。也就是说通过持续的努力来处理不确定性。
在内部控制的管理方法中，风险是与某一行动相伴的不确定性的程度。谨慎的管理者会尽量把风险控制在可以容忍的范围内。但是最终管理者必须自愿接受不能实现预期结果的可能性。混沌理论提供了依据。
正是混沌理论在内部控制中的运用，使得人们对内部控制有了更深层次的理解。正如公众可以接受风暴、洪水、地震和其他自然灾害的不可避免性，同样，也没有理由因为没有达到某些内部控制目标，而得出内部控制制度无效的结论。管理层可以通过设计并维持一个高效的内部控制系统，使风险控制在可接受的水平。毕竟大灾难的发生并不是经常性的！
【参考文献】
[1] （美）史蒂文·丁·鲁牡，刘霄仑，译.超越COSO：强化公司治理的内部控制.中信出版社，2004. 8.
[2] 林钟高，魏立江.会计再造：美国2002萨班斯—奥克斯莱法案启示录.经济管理出版社，2004. 4
、
