内部控制评价实务标准

根据中天恒3C框架基于风险管理的内部控制研究结果，内部控制评价是对内部控制进行调查、测试、审查、评价、报告的动态过程，是主体构建和实施内部控制的重要组成部分。

　　内控评价概述

　　一般认为，内部控制评价应根据资源情况和组织需求来决定，既可以是全部内部控制评价，如对整个内部控制系统进行评价，然后把信息反馈给高管理当局;也可以是局部评价，如对某个部门或某个控制进行评价，然后把发现的不足或某一方面控制准确度的信息反馈给某些管理人员。内部控制评价一般每年进行一次，而局部内部控制评价则视需要而定。

　　人们习惯于把内部控制评价的内容分为整体层面控制评价和业务层面控制评价。中天恒3C框架一直主张内部控制评价包括设计和执行两个方面，但关键还是执行。如果再细化，对内部控制设计层面的评价可分为设计过程和设计结果两个层面;对内部控制运行层面的评价可分为运行过程和运行结果两个层面。实践中，内部控制评价主要是对结果的评价，缺少对过程的评价。

　　我国企业内部控制评价的内容应以《企业内部控制基本规范》及配套指引为起点，以企业设计的《企业内部控制手册》为依据，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容。内部控制评价具体内容应由主体经营业务调整、环境变化、业务发展状态和实际风险水平等自行确定，不能固定化和模式化。

　　内部控制评价流程，就是内部控制评价工作从开始到结束的基本过程，一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。这是我国企业内部控制评价工作的法定程序，是需要要执行的基本的程序。中天恒3C框架把内部控制评价流程分为评价准备、评价实施、评价报告三个阶段，每个阶段又可细分若干内容。

　　评价准备

　　评价准备是内部控制评价的首要环节，对保证内部控制评价工作有序进行具有基础性作用。评价准备的目标是获得管理层将推进该项目的承诺，了解管理层对项目实施和结果的期望，做好内部控制评价的前期准备工作。评价准备工作很多，制定评价工作方案、组成评价工作组是法定要求，也是主要工作。评价准备一般应包括：

　　(一)项目立项。项目立项，就是对内部控制评价工作的立项。内部控制评价是否需要进行立项，我国监管部门发布的规范对此没有明确规定，主体可根据内部管理规定执行。但实际上，内部控制评价的项目立项不是可有可无的程序，通过严肃规范的立项程序，明确内部控制评价的总体目标、基本要求和各自职责等，对获得管理层将推进该项目的承诺，了解管理层对项目实施和结果的期望，以及对内部控制评价后续工作的有序开展是需要的。本阶段主要工作是与高管层进行沟通，办理内部控制立项工作，编制内部控制评价项目立项表，并作为内部控制评价工作底稿。

　　(二)初步了解。初步了解，就是初步了解主体的基本情况及其内部控制状况，是制定具有针对性内部控制评价工作方案的前提。为制定评价方案或评价计划而进行的初步了解不必太详细，要求程度取决于内部控制评价组的构成以及与机构相关的经验年限。委托中介机构进行内部控制评价的，中介机构在进行实质性工作前应该对被评价单位有个的了解，一般要了解主体所处环境、营业特点以及内部控制的构建和运行状况等。

　　(三)制定方案。制定方案，就是制定内部控制评价工作方案，它是实施内部控制评价的具体依据。内部控制评价工作方案应明确本次评价的目的、范围、标准、时间安排和相应的资源配置。《企业内部控制评价指引》要求，企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。这里需要说明的是，不管内部控制评价工作方案由谁来制定，先报经相应的授权机构审批是前提。

　　(四)成立小组。成立小组，就是要成立内部控制评价项目组，这是内部控制评价工作能够进行的组织和人员上的保证。内部控制评价工作应由内部审计部门或专门机构等内部控制评价部门负责。内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体组织实施内部控制评价工作。内部控制评价机构成员除了内部审计人员之外，还应该包括主体相关部门或单位的业务骨干和部门负责人，即应该包括那些了解各部门或单位风险的员工，这些人员可以来自战略管理部门、业务管理部门、财务会计部门、人力资源部门、信息系统管理部门以及法律部门等，因为只有熟悉情况的管理人员才了解控制的缺陷所在，并能针对缺陷提出很好的改进或完善建议。

　　评价项目组组成应考虑组成人员的背景和能力。需要时，可聘请业务或管理方面的专家。决定执行内部控制评价工作所需的人力资源时，需要注意下列几项原则：一是对于所需的内部控制评价人员人数及经验，应取决于对内部控制评价的性质及复杂程度、时间限制及可用资源等因素的评估;二是分配内部控制评价工作时，对于内部控制评价人员的遴选，应考虑其所具备的知识和技能;三是当需要更进一步的知识和技能时，可以使用外部资源，主体可以委托中介机构实施内部控制评价;四是评价工作组成人员对本部门的内部控制评价工作应当实行回避制度。

　　内部控制评价项目组组成及其内部职责分工很重要。就准备阶段，项目组的责任至少包括：界定评价范围;确定重要性水平(考虑数量和质量);确定财务报告中重要的线上项目;确定测试要求和计划;协调评价活动;确定关键流程;执行风险评估;具效的书面记录;监督控制的效率等。

　　五)确定标准。确定标准，就是确定内部控制评价的具体依据。在内部控制评价前应明确评价标准，并要求所有参与评价人员认真阅读，需要时应进行评价前的培训。国内关于内部控制的评价标准很多，COS0报告、加拿大的COCO报告、我国政府部门颁布的法规或者规范性文件等，不一而足。执行哪个标准，在内部控制评价之前需要确定。从理论上讲，我国企业的内部控制评价依据应该统一为财政部、证监会、审计署等五部委颁发的《企业内部控制基本规范》及其配套指引，政府部门不能各自为政另搞一套标准。只有内部控制评价标准相对统一了，评价的结果才有可比性。就某个具体评价项目而言，主体的《内部控制管理手册》、《内部控制评价手册》是具体的标准。当然，内部控制管理及评价手册不能与国家法律、法规相抵触，而应以《企业内部控制基本规范》及其配套指引为起点。

　　(六)编制程序。编制程序，就是编制内部控制评价的具体流程表。在内部控制评价前编制具体评价业务的程序表，对指导评价人员进行具体评价工作非常有帮助。具体评价业务的程序表越具体越有用，要在内部控制标准要求的基础上，结合主体内部控制现状设计，以增强可操作性。

　　(七)资料准备。资料准备，就是内部控制评价前需要准备的相关资料，包括评价机构资料准备及其被评价单位(部门)评价资料准备。评价机构需要准备的资料主要包括评价规范、评价问卷、抽样计划、工作底稿、缺陷认定及报告模板等。在评价工作实施前，将具体评价业务流程表及其相应的工作模板让参与评价人员熟知，对提高内部控制评价工作效率和质量具有十分重要的意义。被评价单位(部门)评价需要准备的资料主要包括内部控制体系文件及相关记录等。在内部控制评价前向被评价单位提供评价资料准备清单非常有用，便于被评价单位提前做好准备，从而提供评价工作效率。

　　(八)下发通知。下发通知，就是在内部控制评价前下发评价通知书，具体明确内部控制评价的有关事宜。内部控制评价是否需要下发通知，我国监管部门发布的规范上对此没有明确规定，主体可根据内部管理规定执行。根据审计工作实际经验，内部控制评价实施前应下发个正规的评价通知，明确内部控制评价目的、范围、内容及其要求等。

　　(九)评前培训。评前培训，就是在内部控制评价进行前对全体评价人员进行需要的有针对性的培训。在进行内部控制评价前组织全体评价人员进行有针对性的培训十分有需要，尤其是对刚开始进行评价的企业更为重要。评前培训的深度、广度因评价组成员的不同而不同，但至少要使全体评价人员深知评价的具体内容、具体标准、具体流程、具体要求以及评价人员职责分工等。

　　(十)组织进点。组织进点，就是组织内部控制评价组入住被评价单位(部门)开始进行内部控制评价现场工作。评价人员进点时组织一个进点讨论会是有意义的，但这并非法定程序，应根据实际情况来确定。内部控制评价工作涉及面广、难度大，需要主体各个部门进行自我评估或全力配合才能完成。在内部评价实施前利用进点会或其他形式对被评价单位的高管人员及其员工进行动员或宣讲十分需要。评价组进点后应按照内部控制评价工作方案要求，按照具体分组、分工及时投入实际评价工作中去。

　　这里需要说明的是，在实际评价工作中，内部控制评价准备阶段上述工作不能人为割裂开来，顺序上也不是固定不变的。