財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會在國家有關(guān)法律法規(guī)和《企業(yè)內(nèi)部控制基本規(guī)范》的基礎(chǔ)上，于二○一○年四月十五日以“財會[2010]11號《關(guān)于印發(fā)企業(yè)內(nèi)部控制配套指引的通知》”聯(lián)合發(fā)布《企業(yè)內(nèi)部控制配套指引》。該配套指引包括18項《企業(yè)內(nèi)部控制應(yīng)用指引》、《企業(yè)內(nèi)部控制評價指引》和《企業(yè)內(nèi)部控制審計指引》，連同此前發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》，這些文件的出臺標(biāo)志著適應(yīng)我國企業(yè)實際情況、融合國際先進(jìn)經(jīng)驗的企業(yè)內(nèi)部控制規(guī)范體系基本建成,為中國企業(yè)構(gòu)建和實施企業(yè)內(nèi)部控制提供了具體指南,細(xì)化了基本規(guī)范的內(nèi)容,增強了基本規(guī)范的可操作性,促進(jìn)企業(yè)建立、實施和評價內(nèi)部控制,規(guī)范會計師事務(wù)所內(nèi)部控制審計行為,發(fā)展了我國企業(yè)內(nèi)部控制理論,是對世界范圍內(nèi)企業(yè)內(nèi)部控制領(lǐng)域的重要貢獻(xiàn)。其中，《企業(yè)內(nèi)部控制評價指引》的制定發(fā)布，為企業(yè)開展內(nèi)部控制自我評價提供了一個共同遵循的標(biāo)準(zhǔn)，為參與國際競爭的中國企業(yè)在內(nèi)部控制建設(shè)方面提供了自律性要求，有利于提高投資者、社會公眾乃至國際資本市場對中國企業(yè)素質(zhì)的信任度。內(nèi)部控制評價在企業(yè)內(nèi)部控制實務(wù)中占據(jù)相當(dāng)重要的地位，內(nèi)部控制評價是指企業(yè)董事會或類似決策機構(gòu)對內(nèi)部控制有效性進(jìn)行全面評價、形成評價結(jié)論、出具評價報告的過程，“內(nèi)部控制評價指引”，著重就企業(yè)如何做好內(nèi)部控制自我評價工作提出指導(dǎo)性意見。同樣，這套內(nèi)控評價指引也是為適應(yīng)我國社會主義市場經(jīng)濟發(fā)展要求的特色，參考發(fā)達(dá)市場國家或地區(qū)的現(xiàn)成做法，在內(nèi)控基本規(guī)范的前提下，在內(nèi)控評價口徑、范圍、要素和評價活動等內(nèi)容作出了具體規(guī)范，成為我國企業(yè)內(nèi)部控制規(guī)范體系中的一個重要部分。通知要求，該配套指引自2011年1月1日起在境內(nèi)外同時上市的公司施行，自2012年1月1日起在上海證券交易所、深圳證券交易所主板上市公司施行；在此基礎(chǔ)上，擇機在中小板和創(chuàng)業(yè)板上市公司施行。鼓勵非上市大中型企業(yè)提前執(zhí)行。請各上市公司及相關(guān)非上市大中型企業(yè)切實做好執(zhí)行前的各項準(zhǔn)備工作。通知還要求，執(zhí)行《企業(yè)內(nèi)部控制基本規(guī)范》及《企業(yè)內(nèi)部控制配套指引》的上市公司和非上市大中型企業(yè)，應(yīng)當(dāng)對內(nèi)部控制的有效性進(jìn)行自我評價，披露年度自我評價報告，同時應(yīng)當(dāng)聘請會計師事務(wù)所對財務(wù)報告內(nèi)部控制的有效性進(jìn)行審計并出具審計報告。上市公司聘請的會計師事務(wù)所應(yīng)當(dāng)具有證券、期貨業(yè)務(wù)資格。今后企業(yè)施行內(nèi)部控制規(guī)范體系的情況將成為政府監(jiān)管部門進(jìn)行監(jiān)督檢查的重點，成為全面提升上市公司和非上市大中型企業(yè)經(jīng)營管理水平的重要舉措。
“企業(yè)內(nèi)部控制基本規(guī)范”明確要求，企業(yè)應(yīng)當(dāng)根據(jù)國家有關(guān)法律、行政法規(guī)和本規(guī)范，結(jié)合部門或者系統(tǒng)有關(guān)內(nèi)部控制規(guī)定，在對現(xiàn)有經(jīng)營管理制度、措施及其實施情況進(jìn)行全面分析、總結(jié)的基礎(chǔ)上，制定適合本企業(yè)業(yè)務(wù)特點和管理要求、與經(jīng)營管理制度和措施有機結(jié)合的內(nèi)部控制制度，并組織實施。為此，基本規(guī)范還就董事會、董事長、經(jīng)理、總會計師提出基本要求：（1）企業(yè)董事會應(yīng)當(dāng)充分認(rèn)識自身對企業(yè)內(nèi)部控制所承擔(dān)的責(zé)任，加強對本企業(yè)內(nèi)部控制建立和實施情況的指導(dǎo)和監(jiān)督。（2）董事長（或者法定代表人、代表企業(yè)行使職權(quán)的主要負(fù)責(zé)人）對本企業(yè)內(nèi)部控制的建立健全和有效實施負(fù)責(zé)。3、經(jīng)理（或者總裁、廠長）根據(jù)法定職權(quán)、企業(yè)章程和董事會的授權(quán)，負(fù)責(zé)組織領(lǐng)導(dǎo)本企業(yè)內(nèi)部控制的日常運行。4、總會計師（或者財務(wù)總監(jiān)、分管財務(wù)會計工作的負(fù)責(zé)人）在董事長和經(jīng)理的領(lǐng)導(dǎo)下，主要負(fù)責(zé)與財務(wù)報告的真實可靠、資產(chǎn)的安全完整密切相關(guān)的內(nèi)部控制的建立健全與有效執(zhí)行。同時，基本規(guī)范要求企業(yè)健全內(nèi)部審計機構(gòu)、加強內(nèi)部審計監(jiān)督。如在董事會下設(shè)立審計委員會的企業(yè)，應(yīng)當(dāng)保證審計委員會成員具備良好的職業(yè)操守和專業(yè)勝任能力，審計委員會及其成員應(yīng)當(dāng)具有相應(yīng)的獨立性。審計委員會應(yīng)當(dāng)直接對董事會負(fù)責(zé)。審計委員會在企業(yè)內(nèi)部控制建立和實施中承擔(dān)的職責(zé)一般包括：（1）審核企業(yè)內(nèi)部控制及其實施情況，并向董事會作出報告；（2）指導(dǎo)企業(yè)內(nèi)部審計機構(gòu)的工作，監(jiān)督檢查企業(yè)的內(nèi)部審計制度及其實施情況；（3）處理有關(guān)投訴與舉報，督促企業(yè)建立暢通的投訴與舉報途徑；（4）審核企業(yè)的財務(wù)報告及有關(guān)信息披露內(nèi)容；（5）負(fù)責(zé)內(nèi)部審計與外部審計之間的溝通協(xié)調(diào)。其次，規(guī)范要求企業(yè)在企業(yè)內(nèi)部設(shè)立專門的內(nèi)部審計機構(gòu)，應(yīng)當(dāng)保證內(nèi)部審計機構(gòu)具有相應(yīng)的獨立性，并配備與履行內(nèi)部審計職能相適應(yīng)的人員和工作條件。未設(shè)立內(nèi)部審計機構(gòu)的企業(yè)，應(yīng)當(dāng)由董事會授權(quán)或者企業(yè)章程規(guī)定的有關(guān)機構(gòu)承擔(dān)上述職責(zé)。
在設(shè)立內(nèi)部審計機構(gòu)的基礎(chǔ)上，企業(yè)須對其內(nèi)部控制的健全性、合理性和有效性進(jìn)行監(jiān)督檢查與評估，形成書面檢查報告并作出相應(yīng)處理。企業(yè)應(yīng)當(dāng)利用信息與溝通情況，提高監(jiān)督檢查工作的針對性和時效性；同時，通過實施監(jiān)督檢查，不斷提高信息與溝通的質(zhì)量和效率。此次“企業(yè)內(nèi)部控制評價指引”則在此基礎(chǔ)上,更進(jìn)一步要求企業(yè)根據(jù)基本規(guī)范、應(yīng)用指引以及本企業(yè)的內(nèi)部控制制度，圍繞內(nèi)部環(huán)境、風(fēng)險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督“五要素”，對內(nèi)部控制有效性進(jìn)行全面評價，包括財務(wù)報告內(nèi)部控制有效性和非財務(wù)報告內(nèi)部控制有效性。企業(yè)建立有效的內(nèi)部控制，至少考慮五基本要素：（1）內(nèi)部環(huán)境。內(nèi)部環(huán)境是影響、制約企業(yè)內(nèi)部控制建立與執(zhí)行的各種內(nèi)部因素的總稱，是實施內(nèi)部控制的基礎(chǔ)。內(nèi)部環(huán)境主要包括治理結(jié)構(gòu)、組織機構(gòu)設(shè)置與權(quán)責(zé)分配、企業(yè)文化、人力資源政策、內(nèi)部審計機構(gòu)設(shè)置、反舞弊機制等。（2）風(fēng)險評估。風(fēng)險評估是及時識別、科學(xué)分析和評價影響企業(yè)內(nèi)部控制目標(biāo)實現(xiàn)的各種不確定因素并采取應(yīng)對策略的過程，是實施內(nèi)部控制的重要環(huán)節(jié)。風(fēng)險評估主要包括目標(biāo)設(shè)定、風(fēng)險識別、風(fēng)險分析和風(fēng)險應(yīng)對。（3）控制措施?？刂拼胧┦歉鶕?jù)風(fēng)險評估結(jié)果、結(jié)合風(fēng)險應(yīng)對策略所采取的確保企業(yè)內(nèi)部控制目標(biāo)得以實現(xiàn)的方法和手段，是實施內(nèi)部控制的具體方式?？刂拼胧┙Y(jié)合企業(yè)具體業(yè)務(wù)和事項的特點與要求制定，主要包括職責(zé)分工控制、授權(quán)控制、審核批準(zhǔn)控制、預(yù)算控制、財產(chǎn)保護控制、會計系統(tǒng)控制、內(nèi)部報告控制、經(jīng)濟活動分析控制、績效考評控制、信息技術(shù)控制等。（4）信息與溝通。信息與溝通是及時、準(zhǔn)確、完整地收集與企業(yè)經(jīng)營管理相關(guān)的各種信息，并使這些信息以適當(dāng)?shù)姆绞皆谄髽I(yè)有關(guān)層級之間進(jìn)行及時傳遞、有效溝通和正確應(yīng)用的過程，是實施內(nèi)部控制的重要條件。信息與溝通主要包括信息的收集機制及在企業(yè)內(nèi)部和與企業(yè)外部有關(guān)方面的溝通機制等。（5）監(jiān)督檢查。監(jiān)督檢查是企業(yè)對其內(nèi)部控制的健全性、合理性和有效性進(jìn)行監(jiān)督檢查與評估，形成書面報告并作出相應(yīng)處理的過程，是實施內(nèi)部控制的重要保證。監(jiān)督檢查主要包括對建立并執(zhí)行內(nèi)部控制的整體情況進(jìn)行持續(xù)性監(jiān)督檢查，對內(nèi)部控制的某一方面或者某些方面進(jìn)行專項監(jiān)督檢查，以及提交相應(yīng)的檢查報告、提出有針對性的改進(jìn)措施等。企業(yè)內(nèi)部控制自我評估是內(nèi)部控制監(jiān)督檢查的一項重要內(nèi)容。內(nèi)部控制是由企業(yè)董事會、管理層及全體員工共同參與的一個過程，旨在確保企業(yè)行為符合法規(guī)要求、保護資產(chǎn)安全、提高經(jīng)營的效果與效率，企業(yè)董事會應(yīng)對內(nèi)控制度的建立健全、有效實施及其檢查監(jiān)督負(fù)責(zé)，董事會應(yīng)認(rèn)真審閱內(nèi)部控制自我評估報告，以及會計師事務(wù)所對內(nèi)部控制自我評估報告的評價意見。內(nèi)部控制自我評估報告至少應(yīng)包括如下內(nèi)容：內(nèi)控制度是否建立健全、內(nèi)控制度是否有效實施、內(nèi)部控制檢查監(jiān)督工作的情況、內(nèi)控制度及其實施過程中出現(xiàn)的重大風(fēng)險及其處理情況、對本年度內(nèi)部控制檢查監(jiān)督工作計劃完成情況的評價、完善內(nèi)控制度的有關(guān)措施和下一年度內(nèi)部控制有關(guān)工作計劃。例如：金陵藥業(yè)股份有限公司（上市公司）在2010年年初公布“金陵藥業(yè)2009年度內(nèi)部控制自我評價報告”，報告說金陵藥業(yè)公司對生產(chǎn)經(jīng)營、財務(wù)報告、信息披露等相關(guān)的內(nèi)部控制制度的建立和實施情況、內(nèi)部控制有效性進(jìn)行了全面自查，形成了公司內(nèi)部控制自我評價報告。具體有以下幾個方面：1、公司內(nèi)部控制綜述；（1）公司內(nèi)部控制的組織架構(gòu)；（2）內(nèi)部控制制度建立健全情況；（3）內(nèi)部審計部門的設(shè)立情況；（4）2009年公司為建立和完善內(nèi)部控制所進(jìn)行的重要活動、工作及成效。2、公司內(nèi)部重點控制活動；（1）公司控股子公司情況表；（2）公司控股子公司的內(nèi)部控制情況；（3）公司關(guān)聯(lián)交易的內(nèi)部控制情況；（4）公司對外擔(dān)保的控制情況；（5）公司募集資金使用的內(nèi)部控制情況；（6）公司重大投資的內(nèi)部控制情況；（7）公司信息披露的內(nèi)部控制情況；3、公司內(nèi)部控制的后續(xù)完善計劃；4、公司內(nèi)部控制情況的總體評價。該公司董事會認(rèn)為：“公司內(nèi)部控制在內(nèi)部環(huán)境、風(fēng)險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督等各個方面發(fā)揮了較好的管理控制作用。總體上符合深圳證券交易所《上市公司內(nèi)部控制指引》的相關(guān)要求?！?、公司監(jiān)事會對內(nèi)部控制自我評價的意見。6、公司獨立董事對內(nèi)部控制自我評價的意見。金陵藥業(yè)這份自查評價報告公布在此次財政部“企業(yè)內(nèi)部控制評價指引”發(fā)布前，此前，上海、深圳證券交易所發(fā)布了《上市公司內(nèi)部控制指引》，部分上市公司已經(jīng)嘗試對外披露內(nèi)部控制評價報告。但由于缺少統(tǒng)一的指導(dǎo)，這些對外披露的評價報告格式五花八門、質(zhì)量參差不齊，不具可比性，也不利于報告使用者理解。因此，財政部這次頒發(fā)的“企業(yè)內(nèi)部控制評價指引”專門對內(nèi)部控制評價報告進(jìn)行規(guī)范，要求企業(yè)在評價報告中至少披露以下內(nèi)容：（1）董事會對內(nèi)部控制報告真實性的聲明，實質(zhì)就是董事會全體成員對內(nèi)部控制有效性負(fù)責(zé)；（2）內(nèi)部控制評價工作的總體情況；（3）內(nèi)部控制評價的依據(jù)，一般指基本規(guī)范、評價指引及企業(yè)在此基礎(chǔ)上制定的評價辦法；（4）內(nèi)部控制評價的范圍，描述內(nèi)部控制評價所涵蓋的被評價單位，以及納入評價范圍的業(yè)務(wù)事項；（5）內(nèi)部控制評價的程序和方法；（6）內(nèi)部控制缺陷及其認(rèn)定情況，主要描述適用本企業(yè)的內(nèi)部控制缺陷具體認(rèn)定標(biāo)準(zhǔn)，并聲明與以前年度保持一致，同時，根據(jù)內(nèi)部控制缺陷認(rèn)定標(biāo)準(zhǔn)，確定評價期末存在的重大缺陷、重要缺陷和一般缺陷；（7）內(nèi)部控制缺陷的整改情況及重大缺陷擬采取的整改措施；（8）內(nèi)部控制有效性的結(jié)論，對不存在重大缺陷的情形，出具評價期末內(nèi)部控制有效結(jié)論，對存在重大缺陷的情形，不得作出內(nèi)部控制有效的結(jié)論，并需描述該重大缺陷的成因、表現(xiàn)形式及其對實現(xiàn)相關(guān)控制目標(biāo)的重要程度。
企業(yè)內(nèi)部控制的有效性，包括財務(wù)報告內(nèi)部控制有效性和非財務(wù)報告內(nèi)部控制有效性。內(nèi)部控制制度的重點是嚴(yán)格會計管理，設(shè)計合理有效的組織機構(gòu)和職務(wù)分工，實施崗位責(zé)任分明的標(biāo)準(zhǔn)化業(yè)務(wù)處理程序。按其作用范圍大體可以分為以下兩個方面：1、內(nèi)部會計控制：內(nèi)部會計控制其范圍直接涉及會計事項各方面的業(yè)務(wù)，主要是指財會部門為了防止侵吞財物和其他違法行為的發(fā)生，以及保護企業(yè)財產(chǎn)的安全所制定的各種會計處理程序和控制措施。有效的會計系統(tǒng)應(yīng)當(dāng)做到：（1）確認(rèn)并記錄所有真實的經(jīng)濟業(yè)務(wù)，及時并充分詳細(xì)地描述經(jīng)濟業(yè)務(wù)，以便在財務(wù)會計報告中對經(jīng)濟業(yè)務(wù)作出適當(dāng)?shù)姆诸?。?）計量經(jīng)濟業(yè)務(wù)的價值，以便在財務(wù)會計報告中記錄其適當(dāng)?shù)呢泿艃r值。（3）確定經(jīng)濟業(yè)務(wù)發(fā)生的時間，以便將經(jīng)濟業(yè)務(wù)記錄在適當(dāng)?shù)臅嬈陂g。（4）在財務(wù)會計報告中適當(dāng)?shù)乇磉_(dá)經(jīng)濟業(yè)務(wù)和披露相關(guān)事項。2、內(nèi)部管理控制：內(nèi)部管理控制范圍涉及企業(yè)生產(chǎn)、技術(shù)、經(jīng)營、管理的各部門、各層次、各環(huán)節(jié)。其目的是為了提高企業(yè)管理水平，確保企業(yè)經(jīng)營目標(biāo)和有關(guān)方針、政策的貫徹執(zhí)行。從事前防范的環(huán)節(jié)來說，首先，企業(yè)需要根據(jù)內(nèi)部控制規(guī)范及指引，結(jié)合企業(yè)實際情況，建立一套嚴(yán)格的內(nèi)控規(guī)章制度，包括《企業(yè)財務(wù)管理辦法》、《企業(yè)預(yù)算管理辦法》、《資金計劃管理辦法》、《企業(yè)資金授權(quán)審批管理辦法》等制度。內(nèi)部會計控制制度設(shè)計的組織者必須是企業(yè)管理當(dāng)局。設(shè)計者既要熟知企業(yè)經(jīng)營政策和業(yè)務(wù)性質(zhì)，了解經(jīng)營理念和管理目標(biāo)，還應(yīng)熟悉內(nèi)部控制原理和方法，有較強的綜合分析和文字表達(dá)能力。如果企業(yè)內(nèi)部具備這樣的人才，企業(yè)可自行設(shè)計內(nèi)部會計控制制度，否則應(yīng)聘請外部專家來設(shè)計。設(shè)計時要注重選擇關(guān)鍵的控制點，只有找出企業(yè)會計工作和管理工作中的這些關(guān)鍵環(huán)節(jié)，才能有針對性地設(shè)置相應(yīng)內(nèi)部控制制度，做到防范于未然。同時設(shè)計者必須明確控制目標(biāo)，充分考慮各項內(nèi)部會計控制制度是否符合內(nèi)部控制基本原則，認(rèn)真檢查關(guān)鍵控制點是否進(jìn)行了控制，所有的控制目標(biāo)是否已達(dá)到。其次，在制度的基礎(chǔ)上，要合理設(shè)置職能部門，明確各部門的職責(zé)，各司其職，建立財務(wù)、業(yè)務(wù)等控制和職能分離體系。充分考慮不兼容職務(wù)和相互分離的制衡要求，各部門、各崗位形成相互制約、相互監(jiān)督的格局。如會計工作中的會計和出納就屬不相容職務(wù)，需要分離。應(yīng)當(dāng)加以分離的職務(wù)通常有：授權(quán)進(jìn)行某項經(jīng)濟業(yè)務(wù)的職務(wù)要分離；執(zhí)行某項經(jīng)濟業(yè)務(wù)的職務(wù)與審核該項業(yè)務(wù)的職務(wù)要分離；執(zhí)行某項經(jīng)濟業(yè)務(wù)的職務(wù)與記錄該項業(yè)務(wù)的職務(wù)要分離；保管某項財產(chǎn)的職務(wù)與記錄該項財產(chǎn)的職務(wù)要分離等等。各組織機構(gòu)的職責(zé)權(quán)限必須得到授權(quán)，并保證在授權(quán)范圍內(nèi)的職權(quán)不受外界干預(yù)；每類經(jīng)濟業(yè)務(wù)在運行中必須經(jīng)過不同的部門并保證在有關(guān)部門進(jìn)行相互檢查；在對每項經(jīng)濟業(yè)務(wù)的檢查中，檢查者不應(yīng)從屬于被檢查者，以保證被檢查出的問題得以迅速解決。當(dāng)某項經(jīng)濟業(yè)務(wù)的數(shù)額超過某部門的批準(zhǔn)權(quán)限時，只有經(jīng)過特定授權(quán)批準(zhǔn)才能處理。授權(quán)批準(zhǔn)控制的基本要求是要明確一般授權(quán)與特定授權(quán)的界限和責(zé)任；還要明確每類經(jīng)濟業(yè)務(wù)的授權(quán)批準(zhǔn)程序；再次，要建立必要的檢查制度，以保證經(jīng)授權(quán)后所處理的經(jīng)濟業(yè)務(wù)的工作質(zhì)量。企業(yè)設(shè)置內(nèi)部審計機構(gòu)或建立內(nèi)部控制自我評估系統(tǒng)，要加強對本企業(yè)內(nèi)部會計控制的監(jiān)督和評估，及時發(fā)現(xiàn)內(nèi)部控制中的漏洞和隱患，并針對出現(xiàn)的新問題、新情況及內(nèi)部控制執(zhí)行中的薄弱環(huán)節(jié)，及時修正或改進(jìn)控制政策，做到有章必循、違章必究、違規(guī)必罰、以罰促糾，以期能更好地完成內(nèi)部控制目標(biāo)。另外，還要關(guān)注人員素質(zhì)，會計人員在現(xiàn)代經(jīng)濟發(fā)展的新形勢下，僅僅具有較高的專業(yè)素質(zhì)還是不夠的，要加強對會計人員的品德教育、職業(yè)道德教育，在專業(yè)人員的選拔任用方面以德為先，凈化專業(yè)隊伍，造就一支綜合素質(zhì)較高的會計隊伍，才能保證企業(yè)的經(jīng)濟管理工作沿著健康有序的軌道良性運轉(zhuǎn)。從事中控制環(huán)節(jié)來說，事中控制主要體現(xiàn)在安全性、完整性、合法性和效益性的控制，主要方法有：賬實盤點控制、庫存限額控制、實物隔離控制等。從事后監(jiān)督環(huán)節(jié)來說，除事前防范，事中控制環(huán)節(jié)之外，事后監(jiān)督也是必不可少的環(huán)節(jié)。如，在每個會計期間或每項重大經(jīng)濟活動完成之后，內(nèi)部審計監(jiān)督部門都應(yīng)按照有效的監(jiān)督程序，審計各項經(jīng)濟業(yè)務(wù)活動，及時發(fā)現(xiàn)內(nèi)部控制的漏洞和薄弱環(huán)節(jié)。對內(nèi)部控制及其實施情況的監(jiān)督檢查方式主要包括持續(xù)性監(jiān)督檢查和專項監(jiān)督檢查等。（1）持續(xù)性監(jiān)督檢查，是指企業(yè)對建立和實施內(nèi)部控制的整體情況所進(jìn)行的連續(xù)的、全面的、系統(tǒng)的、動態(tài)的監(jiān)督檢查。（2）專項監(jiān)督檢查，是指企業(yè)對內(nèi)部控制建立與實施的某一方面或者某些方面的情況所進(jìn)行的不定期的、有針對性的監(jiān)督檢查。持續(xù)性監(jiān)督檢查和專項監(jiān)督檢查應(yīng)當(dāng)有機結(jié)合。就內(nèi)部審計應(yīng)發(fā)揮的支持內(nèi)部管理的作用來看，我國目前大多數(shù)企業(yè)的內(nèi)部審計，無論從機構(gòu)的設(shè)置、工作重點，還是內(nèi)部審計內(nèi)容的深度和廣度、審計方式和規(guī)范管理等方面還有較大的距離，無法適應(yīng)現(xiàn)代企業(yè)建立健全內(nèi)部控制制度的要求，更有相當(dāng)一部分企業(yè)尚未意識到內(nèi)部控制的重要性,對內(nèi)部控制存在許多誤解,甚至概念模糊,治理結(jié)構(gòu)先天不足,再加上內(nèi)部控制固有的局限性,使企業(yè)內(nèi)部控制薄弱,經(jīng)濟業(yè)務(wù)隨意性大,缺乏有效的內(nèi)部控制審計機制。如，目前企業(yè)大部分的內(nèi)部審計部門,基本上與其他職能部門平行,有些中小企業(yè)甚至還沒有獨立的內(nèi)部審計部門,這種狀況使內(nèi)部審計機構(gòu)及人員往往受利益因素制約、人際關(guān)系影響,無法獨立、客觀、真實、公正、深入地開展工作,做出的審計處理也往往因管理體制的制約得不到有效貫徹落實,久而久之就失去了內(nèi)部審計的權(quán)威性,成了企業(yè)可有可無的部門,難以在內(nèi)部控制監(jiān)督、評價中取得滿意的效果；又如有的企業(yè)的內(nèi)部審計人員往往將大部分精力投入到財務(wù)數(shù)據(jù)的真實性、合法性的查證及生產(chǎn)經(jīng)營的監(jiān)督上,其主要職能是查錯防弊而不是對企業(yè)管理作出分析、評價和作出管理建議,審計的對象主要是會計報表、帳本、憑證及其相關(guān)資料,工作都集中在財務(wù)領(lǐng)域而未深入到管理和經(jīng)營領(lǐng)域；從審計方式看,目前,一般企業(yè)的內(nèi)部審計都是事后審計,只將內(nèi)部控制評價作為審計的一種手段而不是獨立的審計內(nèi)容,無法做到對企業(yè)內(nèi)部控制進(jìn)行全過程、全方位的監(jiān)督和評價,實現(xiàn)事前預(yù)防和事中控制,及時發(fā)現(xiàn)各個環(huán)節(jié)存在的問題,把企業(yè)的風(fēng)險降到最低程度；等等。有鑒于此，此次頒發(fā)的“企業(yè)內(nèi)部控制評價指引”要求企業(yè)實施內(nèi)部控制評價，應(yīng)當(dāng)遵循下列原則：（1）風(fēng)險導(dǎo)向原則。內(nèi)部控制評價應(yīng)當(dāng)以風(fēng)險評估為基礎(chǔ)，根據(jù)風(fēng)險發(fā)生的可能性和對企業(yè)單個或整體控制目標(biāo)造成的影響程度來確定需要評價的重點業(yè)務(wù)單元、重要業(yè)務(wù)領(lǐng)域或流程環(huán)節(jié)。（2）一致性原則。內(nèi)部控制評價應(yīng)當(dāng)采用統(tǒng)一可比的評價方法和標(biāo)準(zhǔn)，保證評價結(jié)果的可比性。（3）公允性原則。內(nèi)部控制評價應(yīng)當(dāng)以事實為依據(jù)，評價結(jié)果應(yīng)當(dāng)有適當(dāng)?shù)淖C據(jù)支持。（4）獨立性原則。內(nèi)部控制評價機構(gòu)的確定及評價工作的組織實施應(yīng)當(dāng)保持相應(yīng)的獨立性。（5）成本效益原則。內(nèi)部控制評價應(yīng)當(dāng)以適當(dāng)?shù)某杀緦崿F(xiàn)科學(xué)有效的評價。之所以將風(fēng)險導(dǎo)向原則列為內(nèi)控評價原則的首條，是為了更多地將風(fēng)險導(dǎo)向中的“風(fēng)險”擴大為企業(yè)在經(jīng)營過程中面臨的不能實現(xiàn)其目標(biāo)的各種風(fēng)險，根據(jù)風(fēng)險管理的需要,尋找所有可能降低風(fēng)險的途徑, 結(jié)合企業(yè)目標(biāo),評價企業(yè)現(xiàn)有控制措施能否將其存在的風(fēng)險降低至可接受水平,以風(fēng)險評估的結(jié)果來主導(dǎo)內(nèi)部控制評價重點,根據(jù)風(fēng)險的性質(zhì)、影響程度、可接受水平,評價內(nèi)部控制的恰當(dāng)性和有效性,提出管理、控制風(fēng)險的建議和方法,將評價、審計結(jié)果直接與企業(yè)經(jīng)營目標(biāo)和風(fēng)險控制聯(lián)系在一起。近年來以風(fēng)險為導(dǎo)向的現(xiàn)代內(nèi)部控制評價方法不斷涌現(xiàn),主要方法有標(biāo)桿比較法、風(fēng)險矩陣法、控制自我評估法等。傳統(tǒng)內(nèi)部控制評價方法主要描述和分析內(nèi)部控制機制的恰當(dāng)性和有效性,以及在完成所指派職責(zé)時的執(zhí)行效果。其對內(nèi)部控制的測試與評價所遵循的邏輯順序是“控制→風(fēng)險→評價控制目的是否實現(xiàn)”,可見, 傳統(tǒng)內(nèi)部控制評價方法更多的是一種事后的反饋,在確認(rèn)內(nèi)部控制薄弱環(huán)節(jié)之后,提供信息以幫助管理層增強和完善內(nèi)部控制。而基于風(fēng)險管理的現(xiàn)代內(nèi)部控制評價方法，其內(nèi)部控制的測試與評價遵循的邏輯順序是“目標(biāo)→風(fēng)險→控制”,同時將根據(jù)企業(yè)風(fēng)險評估調(diào)整評價、審計戰(zhàn)略,確定評價、審計重點,緊密關(guān)注高風(fēng)險的領(lǐng)域,以提供更相關(guān)、更符合管理層和董事會需求的確證信息,從而保證要素投入主體的利益。其中，（1）標(biāo)桿比較法：標(biāo)桿比較法(benchmark)就是將本企業(yè)各項活動與從事該項活動最佳者進(jìn)行比較,從而提出行動方法,以彌補自身的不足。它一般分為以下兩個步驟:首先,企業(yè)需要建立或確認(rèn)自身所在行業(yè)的最佳實務(wù)。其次,了解企業(yè)風(fēng)險管理整體框架實際情況并將其與最佳實務(wù)進(jìn)行對比,用定量或定性方式評估差距。（2）風(fēng)險控制矩陣：風(fēng)險控制矩陣(Risk and Control Matrix, RCM) 是審計人員根據(jù)企業(yè)經(jīng)營目標(biāo)、風(fēng)險與控制之間的聯(lián)系,為確保審計建議，針對重要的風(fēng)險而建立的一張工作表。風(fēng)險控制矩陣是差距分析和審計過程中的一個關(guān)鍵文檔。RCM為公司相關(guān)的風(fēng)險、需要達(dá)到的控制及當(dāng)前控制狀態(tài)等提供了一個控制范例。（3）控制自我評價法：內(nèi)部控制自我評價(Control Self-assessment,CSA)是近年來產(chǎn)生的一種新的內(nèi)部控制評價方法,體現(xiàn)了內(nèi)部控制評價的新觀念控制自我評估?？刂谱晕以u價法是在1987年由加拿大海灣資源有限公司首先采用的,是一種用來檢查和評估內(nèi)部控制有效性的新方法,是由組織成員在內(nèi)部審計機構(gòu)的推進(jìn)和協(xié)助下評估組織活動的風(fēng)險和控制的過程。CSA強調(diào)內(nèi)部控制系統(tǒng)既不是內(nèi)部審計工作的責(zé)任,也不僅僅是高級管理層應(yīng)關(guān)心的問題,相反,應(yīng)該把它看成是所有雇員共同的責(zé)任。控制自我評估體現(xiàn)了應(yīng)該最先詢問那些參與了風(fēng)險評估過程以及執(zhí)行了整個控制過程的人,它所包含的不斷改善理念與現(xiàn)代的全面質(zhì)量管理概念非常匹配,與整體協(xié)作的概念及群體學(xué)習(xí)的模式也有相通之處,因而在今天的商業(yè)社會中存在著巨大的潛能。據(jù)悉，財政部將在內(nèi)部控制規(guī)范講解中對內(nèi)部控制評價報告的內(nèi)容提供進(jìn)一步指引，包括探索引入使用內(nèi)部控制評價表，作為對內(nèi)部控制評價報告的進(jìn)一步補充。所謂內(nèi)部控制評價表，就是對評價過程中形成的評價工作底稿的全面整理和綜合匯總，是企業(yè)對內(nèi)部控制各構(gòu)成要素的結(jié)論性評估表格，一般由評價內(nèi)容、業(yè)務(wù)描述、有效性／缺陷、評價記錄等欄目組成。通過使用內(nèi)部控制評價表，可以使不同企業(yè)的內(nèi)部控制評價報告更具可比性，同時也有利于報告使用者閱讀和理解。
企業(yè)實施內(nèi)部控制評價，包括對內(nèi)部控制設(shè)計有效性和運行有效性的評價。“內(nèi)部控制設(shè)計有效性”是指為實現(xiàn)控制目標(biāo)所必需的內(nèi)部控制要素都存在并且設(shè)計恰當(dāng)；“內(nèi)部控制運行有效性”是指現(xiàn)有內(nèi)部控制按照規(guī)定程序得到了正確執(zhí)行。內(nèi)部控制評價必須審查單位內(nèi)部控制度是否健全、運轉(zhuǎn)功能是否正常、自我調(diào)節(jié)能力是否具備或良好。如果只審計企業(yè)財務(wù)數(shù)據(jù),卻對企業(yè)內(nèi)部控制制度不給予系統(tǒng)性評價,在此情況下,是絕對無法發(fā)現(xiàn)并客觀評價企業(yè)內(nèi)部潛在風(fēng)險的,實質(zhì)性和預(yù)防性的管理意見和建議就更加不可能被提出。在企業(yè)實際管理中,常見風(fēng)險有信息量不足或虛假而導(dǎo)致決策錯誤;信息系統(tǒng)故障;未做到職責(zé)分離等。評估風(fēng)險時,常采用定量或定性的方法,既要分析判斷風(fēng)險發(fā)生的可能性,又要分析風(fēng)險對實現(xiàn)企業(yè)目標(biāo)產(chǎn)生影響的嚴(yán)重程度。目前，企業(yè)內(nèi)部控制評價工作中比較困難的是有關(guān)內(nèi)部控制缺陷的認(rèn)定，尤其是非財務(wù)報告內(nèi)部控制缺陷的認(rèn)定。內(nèi)部控制缺陷，是指內(nèi)部控制的設(shè)計存在漏洞、不能有效防范錯誤與舞弊，或者內(nèi)部控制的運行存在弱點和偏差、不能及時發(fā)現(xiàn)并糾正錯誤與舞弊的情形。重大缺陷，是指業(yè)已發(fā)現(xiàn)的內(nèi)部控制缺陷可能嚴(yán)重影響財務(wù)報告的真實可靠和資產(chǎn)的安全完整。財務(wù)報告內(nèi)部控制缺陷一般可以通過定量的方式予以確定。相對而言，非財務(wù)報告內(nèi)部控制缺陷的認(rèn)定很難形成統(tǒng)一的標(biāo)準(zhǔn)，企業(yè)可以根據(jù)自身的實際情況，參照財務(wù)報告內(nèi)部控制缺陷的認(rèn)定標(biāo)準(zhǔn)，合理確定非財務(wù)報告內(nèi)部控制缺陷的定量和定性認(rèn)定標(biāo)準(zhǔn)。其中：定量標(biāo)準(zhǔn)，既可以根據(jù)缺陷造成直接財產(chǎn)損失的絕對金額制定，也可以根據(jù)缺陷的直接損失占本企業(yè)資產(chǎn)、銷售收入或利潤等的比率確定；定性標(biāo)準(zhǔn)，可以根據(jù)缺陷潛在負(fù)面影響的性質(zhì)、范圍等因素確定。關(guān)于定性評價方法的選擇，有些企業(yè)為了更清晰地反映企業(yè)整體內(nèi)部控制的概況和特征,讓管理者直觀了解內(nèi)部控制的運行狀況,從而發(fā)現(xiàn)內(nèi)部控制中的不足,而采用流程圖法。有的企業(yè)根據(jù)相關(guān)評價指標(biāo)和權(quán)重,結(jié)合各業(yè)務(wù)單位的財務(wù)、業(yè)務(wù)情況在定量評價表中為各項指標(biāo)打分，根據(jù)各業(yè)務(wù)單位的打分信息生成綜合評價表中的各項指標(biāo)的值。關(guān)于定量評價方法的選擇，有的企業(yè)根據(jù)國資委印發(fā)的《中央企業(yè)財務(wù)內(nèi)部控制評價工作指引(2007年度試行)》的相關(guān)公司財務(wù)內(nèi)部控制的評價體系,并結(jié)合權(quán)值因子確定法來對制定公司總部和其子公司的各項財務(wù)內(nèi)部控制指標(biāo),分為健全合理性與有效性兩方面,并賦予相應(yīng)權(quán)重,以便于量化。在綜合評價表中將計算出公司總部和各子公司最后的評價得分結(jié)果。為了讓管理者更清晰地看出各業(yè)務(wù)單位的評價結(jié)果以及內(nèi)部控制的健全和有效性,系統(tǒng)將以最后的評分結(jié)果為依據(jù)來對所有業(yè)務(wù)單位進(jìn)行排名,并以另一工作表的形式來顯示最后的排名信息給評價小組,為評價報告提供量化數(shù)據(jù)。常見的是，企業(yè)的內(nèi)部控制定性評價的結(jié)果未能被定量評價使用,而定量評價又沒有相應(yīng)的定性評價結(jié)果作為基礎(chǔ),則很難從整體的角度來反映企業(yè)整體的內(nèi)部控制評價現(xiàn)狀。因此,定性評價和定量評價的有機、合理的結(jié)合，并形成相應(yīng)的體系，對于完善企業(yè)內(nèi)部控制評價是非常必要的。
關(guān)于對信息系統(tǒng)的有效性進(jìn)行評價，包括信息系統(tǒng)一般控制評價和信息系統(tǒng)應(yīng)用控制評價。信息系統(tǒng)的“一般控制評價”應(yīng)當(dāng)著重考慮與信息系統(tǒng)開發(fā)有關(guān)的信息技術(shù)控制目標(biāo)、程序變更、計算機運行和對數(shù)據(jù)的接觸是否符合企業(yè)內(nèi)部控制的要求，是否有利于企業(yè)內(nèi)部控制目標(biāo)的實現(xiàn)，并以此評價信息系統(tǒng)的安全性、可靠性和合理性。信息系統(tǒng)的“應(yīng)用控制評價”應(yīng)當(dāng)結(jié)合企業(yè)業(yè)務(wù)流程特點，著重考慮信息系統(tǒng)中與業(yè)務(wù)流程相關(guān)的控制點，并以此評價相關(guān)應(yīng)用系統(tǒng)操作數(shù)據(jù)的真實性、準(zhǔn)確性和合規(guī)性。目前大多數(shù)大中型企業(yè)都建構(gòu)了信息交流平臺、ERP系統(tǒng)與會計信息系統(tǒng),這些信息系統(tǒng)已成為企業(yè)內(nèi)部控制的一部分。信息系統(tǒng)是信息內(nèi)部傳遞和信息對外報告的技術(shù)手段，是企業(yè)利用計算機和通信技術(shù)，對內(nèi)部控制進(jìn)行集成、轉(zhuǎn)化和提升所形成的信息化管理平臺。通過信息系統(tǒng)強化內(nèi)部控制，有利于減少人為因素，提高控制的效率和效果。當(dāng)然，信息系統(tǒng)自身也存在風(fēng)險，需要加強管理和控制?！捌髽I(yè)內(nèi)部控制應(yīng)用指引”中的“信息系統(tǒng)應(yīng)用”指引指出，企業(yè)應(yīng)當(dāng)結(jié)合組織架構(gòu)、業(yè)務(wù)范圍、地域分布、技術(shù)能力等因素，制定信息系統(tǒng)建設(shè)整體規(guī)劃，加大投入力度，有序組織信息系統(tǒng)開發(fā)、運行與維護，優(yōu)化管理流程，防范經(jīng)營風(fēng)險。如，根據(jù)信息系統(tǒng)建設(shè)整體規(guī)劃提出項目建設(shè)方案，明確建設(shè)目標(biāo)、人員配備、職責(zé)分工、經(jīng)費保障和進(jìn)度安排等相關(guān)內(nèi)容，按照規(guī)定的權(quán)限和程序?qū)徟髮嵤?；企業(yè)開發(fā)信息系統(tǒng)，應(yīng)當(dāng)將生產(chǎn)經(jīng)營管理業(yè)務(wù)流程、關(guān)鍵控制點和處理規(guī)則嵌入系統(tǒng)程序，實現(xiàn)手工環(huán)境下難以實現(xiàn)的控制功能；加強信息系統(tǒng)開發(fā)全過程的跟蹤管理，組織開發(fā)單位與內(nèi)部各單位的日常溝通和協(xié)調(diào)，督促開發(fā)單位按時保質(zhì)完成編程工作，對配備的硬件設(shè)備和系統(tǒng)軟件進(jìn)行檢查驗收，組織系統(tǒng)上線運行；加強信息系統(tǒng)運行與維護的管理，制定信息系統(tǒng)工作程序、信息管理制度以及各模塊子系統(tǒng)的具體操作規(guī)范，及時跟蹤、發(fā)現(xiàn)和解決系統(tǒng)運行中存在的問題，確保信息系統(tǒng)按照規(guī)定的程序、制度和操作規(guī)范持續(xù)穩(wěn)定運行；等。2007年2月日本企業(yè)會計審議會發(fā)布了《關(guān)于財務(wù)報告內(nèi)部控制評價與審計準(zhǔn)則及其實施準(zhǔn)則的制定(意見書)》，意見書中,將信息化（IT）對應(yīng)作為內(nèi)部控制的一個基本要素,要求對組織內(nèi)外IT環(huán)境和IT的使用和控制與內(nèi)部控制的其他要素作為一個整體進(jìn)行評價。這是日本評估和審計財務(wù)報告內(nèi)部控制的一個重要特征。實施準(zhǔn)則從以下四個方面對使用IT的內(nèi)部控制進(jìn)行評價:一是使用IT的內(nèi)部控制的評價。在這一內(nèi)部控制中,既包括計算機程序之中的自動化的內(nèi)部控制,也包括手工操作與計算機處理為一體發(fā)揮職能的內(nèi)部控制。二是評價范圍的決定。三是評價單位的認(rèn)定。四是使用IT的內(nèi)部控制的構(gòu)建狀況和運行狀況有效性的評價。具體地說,IT的控制評價分為IT總體控制的評價和IT業(yè)務(wù)處理控制的評價。其中,IT總體控制是為確保業(yè)務(wù)處理控制有效地發(fā)揮職能的環(huán)境而進(jìn)行的控制活動,通常是指與多數(shù)業(yè)務(wù)過程控制有關(guān)的政策和程序。IT業(yè)務(wù)處理控制是指為確保所有經(jīng)過授權(quán)的經(jīng)濟活動在企業(yè)業(yè)務(wù)管理系統(tǒng)中正確的處理、記錄的控制活動。該實施準(zhǔn)則列舉了評估IT總體控制的設(shè)計和運行有效性的具體實例,如系統(tǒng)的開發(fā)和維護、系統(tǒng)的運用和管理、系統(tǒng)安全性的確保、委托加工物資的契約管理等。關(guān)于評估IT業(yè)務(wù)處理控制的設(shè)計和運行的有效性,該實施準(zhǔn)則也列示了考慮的要點,包括關(guān)于錄入信息的完整性、正確性、正當(dāng)性等確保的控制,錯誤的修正和再處理,主要數(shù)據(jù)的維護和管理等。我國目前的情況是，財政部前幾年頒布了《會計核算軟件基本功能規(guī)范》，因此，會計信息系統(tǒng)在系統(tǒng)開發(fā)的各個階段，應(yīng)注意審查和考核下列問題： 1.系統(tǒng)的功能是否恰當(dāng)、完備，是否符合財政部頒布的《會計核算軟件基本功能規(guī)范》中的相關(guān)要求，能否滿足用戶核算和管理的要求；2.系統(tǒng)的數(shù)據(jù)流程、處理方法是否符合會計制度、法規(guī)、法令和財經(jīng)紀(jì)律；3.系統(tǒng)是否建立了恰當(dāng)?shù)某绦蚩刂疲苑乐够蚣皶r發(fā)現(xiàn)無意的差錯或有意的舞弊；4.系統(tǒng)是否保留了充分的審計線索，能否為日后順利開展審計提供必要的條件；5.系統(tǒng)的安全保密措施和管理制度是否健全、有效，能否為系統(tǒng)日后安全可靠的運行提供保證；6.系統(tǒng)是否預(yù)留了公共數(shù)據(jù)接口，以便審計抽樣；7.在整個設(shè)計和開發(fā)過程中是否遵守執(zhí)行了系統(tǒng)的開發(fā)控制。審計人員還應(yīng)參加電算化會計系統(tǒng)的調(diào)試、檢測和驗收工作，盡可能及時發(fā)現(xiàn)系統(tǒng)的問題，及時提出改進(jìn)的建議。至于ERP軟件，目前我國還沒有一部對其進(jìn)行規(guī)范的比較全面的法規(guī)出臺。而我國比較著名的軟件開發(fā)商如“用友”、“金蝶”等廠家，各自開發(fā)的ERP軟件都不盡相同，各自的客戶實行各自的實施方案，審計人員在對其客戶進(jìn)行內(nèi)部控制評價時，需了解其ERP軟件，大多停留在表面的評價上，并未對該ERP軟件所涉及到的采購、銷售、生產(chǎn)、倉儲、運輸、成本管理等內(nèi)部環(huán)節(jié)的準(zhǔn)確性、完整性測試。在信息化條件下，資料是存儲在磁性介質(zhì)上的，修改起來不留痕跡，因此舞弊行為較難發(fā)現(xiàn)，從而增加了內(nèi)部審計人員的檢查、評價風(fēng)險。因此，在信息化系統(tǒng)中，內(nèi)控評價與審計的內(nèi)容以及評價方法、審計方法都受到影響，制定一套適應(yīng)有關(guān)計算機評價與審計的標(biāo)準(zhǔn)也就迫在眉睫。應(yīng)盡快在原有的評價指引、審計準(zhǔn)則的基礎(chǔ)上，建立一系列的新的評價標(biāo)準(zhǔn)、審計標(biāo)準(zhǔn)和準(zhǔn)則，以規(guī)范內(nèi)控的計算機評價、審計的開展，維護內(nèi)部評價、外部審計的獨立性、客觀性和公正性。（完）
