企业内部控制评价指引
第一节企业内部控制评价指引的概念
一、企业内部控制评价指引的目的及依据
为了促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法规和《企业内部控制——基本规范》，制定本指引。
二、企业内部控制评价指引的基本目标及原则
本指引所称内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。企业董事会应当对内部控制评价报告的真实性负责。
企业实施内部控制评价至少应当遵循下列原则：
（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。
（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。
（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
三、内部控制评价的重用作用
在企业内部控制实务中，内部控制评价是极为重要的一环。《企业内部控制基本规范》及配套指引，在保持框架大体一致的前提下，立足中国经济、社会、文化及管理的现实，进行了一系列改进，较世界主要市场经济体的通行做法，又有很多适应我国社会主义市场经济发展要求的特色。无论是制度要求的口径和范围，还是具体要素和业务活动的内容及相互关系中均加入了与中国企业相适应的条例。《企业内部控制评价指引》的制定发布，为企业开展内部控制自我评价提供了一个共同遵循的标准，为参与国际竞争的中国企业在内部控制建设方面提供了自律性要求，有利于提高投资者、社会公众乃至国际资本市场对中国企业素质的信任度。
第二节内部控制评价的内容
评价指引对内部控制评价内容的有关规定，是我国内部控制规范体系建设的一大创新。企业应当根据《企业内部控制基本规范》、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。在发达市场经济国家或地区，内部控制评价通行做法是要求企业对与财务报告相关的内部控制有效性进行自我评价。我国内部控制评价指引则在此基础上更进一步，还进一步要求企业根据基本规范、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对内部控制有效性进行全面评价，包括财务报告内部控制有效性和非财务报告内部控制有效性。
这一模式从根本上改变了内控制度的执行对下不对上的问题，将内控成为从上至下相互制约的主体，因而得到了国内企业董事长和总会计师的广泛认可和好评。内部控制评价真正抓住了企业“一把手”关心重视的焦点，最大限度地释放了内部控制的作用和效力。
一、内部控制评价——环境
企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。强有力的组织领导体制是内部控制评价工作能否有效实施的基本保证。企业组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。内部控制评价工作对大多数国内企业而言仍是新生事物，为切实指导企业做好该项工作，评价指引专门就内部控制评价的组织领导体制作出明确要求，具体的要求包括：
1.授权审批
内部控制基本规范及评价指引要求企业授权内部审计机构或者其他专门机构作为内部控制评价机构，负责内部控制评价的具体组织实施工作，即为企业内部控制评价工作的开展设置了专门的职能机构。同时，为了确保内部控制评价机构职能的有效发挥，内部控制基本规范及评价指引要求内部控制评价机构必须具备一定的设置条件：
（1）具有相对独立性。能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；
（2）胜任能力的要求。授权内部审计机构或者其他专门机构应具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；
（3）协调与制约。授权内部审计机构或者其他专门机构与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率上满足企业对内部控制系统进行监督与评价所提出的有关要求；
（4）支持与监督。授权内部审计机构或者其他专门机构能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。
2.职责分工
在设置内部控制评价机构的基础上，还要求企业成立专门的评价工作组，接受内部控制评价机构的领导，具体承担内部控制评价工作的组织。
（1）评价指引要求内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员，组成评价工作组，具体实施内部控制评价工作。
（2）评价工作组成员应当吸收企业内部相关机构熟悉情况的业务骨干参加。实施评价工作前，评价人员需要接受相关培训，培训内容一般包括内部控制专业知识及相关规章制度、评价工作流程、检查评价方法、工作底稿填写要求、缺陷认定标准、评价人员的权利与义务及评价中需重点关注的问题等。通过内部控制职能机构和评价工作组这种矩阵式的组织设置，可以有效促进内部控制评价工作的开展。
二、内部控制评价——风险评估机制
企业组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。风险评估，作为内部控制的组成部分，与计划、程序或其他管理层认为必要来处理风险的行为是有区别的。这些行为，如同前面所讨论的，是更大范围管理过程的一部分，而非内控系统的组成部分。
与管理风险的行动联系在一起的，是确立程序使管理层能对这些行动的执行和效果予以追踪。例如，企业一项用于防范电脑服务损失风险的措施就是制定一个系统灾难恢复计划。然后实施相应的程序以确保计划
