第五章 企业内部控制讲义9-11

第三节企业内部控制评价和审计一、企业内部控制评价二、企业内部控制审计一、企业内部控制评价（一）内部控制评价概述（二）内部控制评价的原则（3个）（三）内部控制评价的内容（5个）（四）内部控制评价的程序（6个）（五）内部控制评价的方法（7个）（六）内部控制缺陷认定（2个）（七）内部控制评价报告（8个）（一）内部控制评价概述1.内部控制评价的定义2.内部控制评价的责任3.评价内部控制设计的有效性4.评价内部控制运行的有效性1.内部控制评价的定义内部控制评价是指企业董事会或类似决策机构（以下简称董事会）对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。

（1）董事会对内部控制评价承担最终的责任《评价指引》第四条第二款规定，企业董事会应当对内部控制评价报告的真实性负责。

董事会可以通过审计委员会来承担对内部控制评价的组织、领导、监督职责。

董事会或审计委员会应听取内部控制评价报告，审定内控重大缺陷、重要缺陷整改意见，对内部控制部门在督促整改中遇到的困难，积极协调，排除障碍。

监事会应审议内部控制评价报告，对董事会建立与实施内部控制进行监督。

（2）经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。

经理层应结合日常掌握的业务情况，为内部控制评价方案提出应重点关注的业务或事项，审定内部控制评价方案和听取内部控制评价报告，对于内部控制评价中发现的问题或报告的缺陷，要按照董事会或审计委员会的整改意见积极采取有效措施予以整改。

（3）内部控制评价机构根据授权承担内部控制评价的具体组织实施任务，通过复核、汇总、分析内部监督资料，结合经理层要求，拟订合理评价工作方案并认真组织实施；对于评价过程中发现的重大问题，应及时与董事会、审计委员会或经理层沟通，并认定内部控制缺陷，拟订整改方案，编写内部控制评价报告，及时向董事会、审计委员会或经理层报告；沟通外部审计师，督促各部门、所属企业对内、外部内控评价进行整改；根据评价和整改情况拟订内部控制考核方案。

（4）各专业部门应负责组织本部门的内控自查、测试和评价工作，对发现的设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送内部控制机构复核，配合内控机构（部门）及外部审计师开展企业层面的内控评价工作。

（5）企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改，编制内部控制评价报告，对内部控制的执行和整改情况进行评价。

3.评价内部控制设计的有效性设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当。

评价内部控制设计的有效性，应充分考虑：（1）是否为防止、发现并纠正财务报告重大错报而设计了相应的控制；（2）是否为合理保障资产安全而设计了相应的控制；（3）相关控制的设计是否能够保证企业遵循适用的法律法规；（4）相关控制的设计是否有助于企业提高经营效率和效果，实现发展战略。

4.评价内部控制运行的有效性运行的有效性是指现有内部控制按照规定程序得到了正确执行。

评价内部控制运行的有效性，应充分考虑：（1）相关控制在评价期内是如何运行的；（2）相关控制是否得到了持续一致的运行；（3）实施控制的人员是否具备必要的权限和能力；（4）相关控制运行的方式，一般包括人工控制和自动控制、预防性控制和发现性控制。

（二）内部控制评价的原则（3个）企业对内部控制设计与运行的有效性实施评价，应当遵循下列原则：1．全面性原则2．重要性原则3．客观性原则1.全面性原则内部控制评价应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项，对实现控制目标的各个方面进行全面、系统、综合评价。

2.重要性原则内部控制评价应当在全面评价的基础上，以风险为导向，根据风险发生的可能性及其对实现控制目标的影响程度，确定需要评价的重要业务单位、重大业务事项和高风险领域。

3.客观性原则内部控制评价应当结合企业的行业环境、发展阶段、经营规模、业务特点等经营实际，准确揭示经营管理中的风险状况，以事实为依据，如实反映内部控制设计与运行的有效性，确保评价结果有充足且适当的证据支持。

（三）内部控制评价的内容（5个）企业应当从内部环境、风险评估、控制活动、信息与沟通、内部监督等要素入手，结合企业业务特点和管理要求，确定内部控制评价的具体内容，建立内部控制评价的核心指标体系，对内部控制设计与运行情况进行全面评价。

（四）内部控制评价的程序（7个）企业开展内部控制评价工作，一般程序为：1.设置内部控制评价部门；2.制定评价工作方案；3.组成评价工作组；4.实施现场测试；5.汇总评价结果；6.编报评价报告等。

1.设置内部控制评价部门内部控制评价部门必须具备一定的设置条件：（1）能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；（2）具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；（3）与企业其他职能机构就监督与评价内部控制系统保持沟通协调，在工作中相互配合、相互制约，在效率上满足企业对内部控制系统进行监督与评价所提出的有关要求；（4）能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

2.制定评价工作方案内部控制评价部门应当根据企业实际情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，制定科学合理的评价工作方案，经董事会批准后实施。

评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。

评价工作方案既可以全面评价为主，也可以根据需要采用重点评价的方式，一般而言，内部控制建立与实施初期，实施全面综合评价有利于推动内部控制工作的深入有效开展；内部控制系统趋于成熟后，企业可在全面评价的基础上，更多地采用重点评价或专项评价，以提高内部控制评价的效率和效果。

3.组成评价工作组评价工作组在内部控制评价部门领导下，具体承担内部控制检查评价任务。

内部控制评价部门根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员，组成评价工作组，具体实施内部控制评价工作。

评价工作组成员应当吸收企业内部相关机构熟悉情况的业务骨干参加。

实施评价工作前，评价人员需要接受相关培训，培训内容一般包括内部控制专业知识及相关规章制度、评价工作流程、检查评价方法、工作底稿填写要求、缺陷认定标准、评价人员的权利义务、纪律要求及评价中需重点关注的问题等。

4.实施现场测试评价工作组根据评价工作方案确定的内部控制评价范围，入驻被评价单位，实施现场测试。

现场测试的一般步骤为：（1）了解被评价单位基本情况。

评价工作组与被评价单位进行充分沟通，了解其经营业务范围、评价期间内生产经营计划和预算完成情况、组织机构设置及职责分工、领导层成员构成及分工、财务管理及会计核算体制、内部控制工作概况、最近一次内部控制评价（或审计）发现问题的整改情况等。

（2）确定检查评价范围和重点。

评价工作组根据掌握的情况确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。

检查重点和分工情况可以根据需要进行适时调整。

（3）开展现场检查测试。

评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。

评价人员应遵循客观、公正、公平原则，如实反映检查测试中发现的问题，并及时与被评价单位进行沟通。

（4）编制现场评价报告。

评价工作组汇总评价人员的工作底稿，形成现场评价报告。

评价工作底稿应进行交叉复核签字，并由评价工作组负责人审核后签字确认。

（5）提交现场评价结论。

评价工作组将评价结果及现场评价报告向被评价单位进行通报，由被评价单位相关责任人签字确认后，提交企业内部控制评价部门。

5.汇总评价结果内部控制评价部门汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总，对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。

对于认定的内部控制缺陷，内部控制评价部门应当提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况；已经造成损失或负面影响的，企业应当追究相关人员的责任。

6.编报评价报告内部控制评价部门以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露或以其他形式加以合理利用。

（五）内部控制评价的方法（7个）企业在开展内部控制检查评价工作过程中，应当根据评价内容和被评价单位具体情况，综合运用：1.个别访谈；2.调查问卷；3.专题讨论；4.穿行测试；5.实地查验；6.抽样；7.比较分析。

（六）内部控制缺陷认定（2个）1.内部控制缺陷的定义与分类内部控制缺陷是评价内部控制有效性的负向维度，如果内部控制的设计或运行无法合理保证内部控制目标的实现，即意味着存在内部控制缺陷。

内部控制缺陷按不同的分类方式分为：（1）设计缺陷和运行缺陷内部控制缺陷按其成因分为设计缺陷和运行缺陷。

设计缺陷是指内部控制设计不科学、不适当，即使正常运行也难以实现控制目标。

运行缺陷是指内部控制设计比较科学、适当，但在实际运行过程中没有严格按照设计意图执行，导致内部控制运行与设计相脱节，未能有效实施控制、实现控制目标。

（2）财务报告内部控制缺陷和非财务报告内部控制缺陷内部控制缺陷按其表现形式分为财务报告内部控制缺陷和非财务报告内部控制缺陷。

1）财务报告内部控制缺陷，是指在会计确认、计量、记录和报告过程中出现的，对财务报告的真实性和完整性产生直接影响的控制缺陷，一般可分为财务（会计）报表缺陷、会计基础工作缺陷和与财务报告密切关联的信息系统控制缺陷等。

2）非财务报告内部控制缺陷，是指虽不直接影响财务报告的真实性和完整性，但对企业经营管理的合法合规、资产安全、营运的效率和效果等控制目标的实现存在不利影响的其他控制缺陷。

（3）重大缺陷、重要缺陷和一般缺陷内部控制缺陷按其严重程度分为重大缺陷、重要缺陷和一般缺陷。

1）重大缺陷，是指一个或多个控制缺陷的组合，可能严重影响企业内部控制的有效性，进而导致企业无法及时防范或发现严重偏离控制目标的情形。

2）重要缺陷，是指一个或多个控制缺陷的组合，其严重程度虽低于重大缺陷，但仍有较大可能导致企业无法及时防范或发现偏离控制目标的情形，须引起企业重视和关注。

3）一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。

2．内部控制缺陷的认定标准企业对内部控制评价过程中发现的内部控制缺陷，应当综合分析缺陷的成因、表现形式及重要程度，并按照一定的标准将各项内部控制缺陷分别认定为重大缺陷、重要缺陷和一般缺陷。