美国证券交易委员会关于管理层报告财务报告内部控制的指引

美国证券交易委员会关于管理层报告财务报告内部控制的指引

美国证券交易委员会发布企业内部控制标准委员会秘书处组织翻译

张宜霞译

目录

I 引言

II 解释指引－财务报告内部控制的评价[1]与评估

A.评价过程

1．识别财务报告风险与控制

a.识别财务报告风险

b.识别充分应对财务报告风险的控制

c.对主体层面控制的考虑

d.信息技术一般控制（general control）的作用

e.支持评价结果的证明材料

2．评价财务报告内部控制运行有效性的证据

a.确定支持评价结果所需要的证据

b.实施评价财务报告内部控制运行证据的程序

c.支持评价结果的证明材料

3．多场所的考虑

B.报告的考虑

1．控制缺陷的评价

2．管理层对财务报告内部控制有效性评价结果的表述

3．关于重大漏洞的披露

4．重述以前发布的财务报表对管理层财务报告内部控制报告的影响

5．财务报告内部控制某些不能评价的方面

I 引言

管理层有责任保持一个财务报告内部控制（“ICFR”）系统，它要为财务报告的可靠性以及按照公认会计原则对外编制财务报表提供合理保证。美国证券交易委员会2003年6月通过的实施《2002年萨班斯－奥克斯利法案》[1]（“萨班斯－奥克斯利法案”）404条款的规则要求管理层每年评价财务报告内部控制在提供合理保证方面是否有效，并将评价结果披露给投资者[2]。为了对其评价结果提供合理支持，管理层有责任保存包括文档记录在内的证明材料（evidential matter）。这种证据也为第三方（如公司的外部审计师）评价（consider）管理层实施的工作提供了可能。

由于其固有的局限性，财务报告内部控制不能提供绝对的保证；它是一个涉及人的勤勉和遵循性的过程，而且，常遭受判断失误以及因人为过失（failure）而导致失效的影响。财务报告内部控制也可能被串通舞弊或不当的管理层凌驾（management override）所绕过。因为这些局限，无论是无意识的错误，还是舞弊，财务报告内部控制不能防止或发现所有的错报。但是，这些固有局限是财务报告过程众所周知的特征，因此，在这个过程中设计防护措施以降低（尽管没有消除）这种风险是可能的。

在证券交易委员会实施规则中提及的术语“合理保证”与《1997年反国外贿赂行为法》[3]（FCPA）中的类似术语有关。《证券交易法》第13（b）(7)款把“合理保证”和“适当详细”定义为：“这样一种详细水平和保证程度，它使谨慎的官员在处理自己的事务时感到满

意”[4]。证券交易委员会长期以来一直认为，“合理性”不是一个“公司记录正确性的绝对标准”[5]。而且，证券交易委员会认识到：如果“合理性”是一个客观的标准，那么，在实施404条款和证券交易委员会规则的过程中，发行人对什么是“合理”的做出判断就存在一个范围。因此，就实施404条款而言，术语“合理的”、“合理地”和“合理性”不表示一个单独的结论或方法，而是包括整个范围内适当的可能行为、结论或发行人可以合理地据以做出决策的方法。

自从2004年公司首次开始遵循以来，证券交易委员会收到了有关404款实施规则[6]的重要反馈。这种反馈包括要求发布进一步的指引，以帮助公司管理层遵循证券交易委员会对财务报告内部控制的评价和披露要求。本指引是对这些要求做出的反应，并反映了我们已经收到的重要反馈，也包括对我们2006年12月20日建议的解释指引的意见。在阐明许多普遍识别出的关注领域时，本解释指引：

解释了如何根据风险评估改变收集证据的评价方法；

解释了把“日常相互作用”、“自我评估”和其他持续监控活动用作评价中的证据；

解释了文档记录的目的以及管理层记录评价结果的依据如何灵活的选用方法；

为管理层在低风险领域判断什么构成充分证据提供了重要的灵活性；

容许管理层和审计师有不同的测试方法。

本解释指引围绕两条一般原则来组织。第一条原则是，管理层应当评价其已经实施的控制是否充分应对了没有及时防止或发现财务报表重大错报的风险。本指引描述了这条原则的一种自上而下、风险基础的方法，包括主体层面的控制在评估财务报告风险过程中的作用以及控制的充分性。本指引通过容许管理层把精力集中在充分应对财务报表重大错报风险所需要的那些控制上，提高了效率。本指引没有要求管理层识别流程中的每项控制或记录影响财务报告内部控制的所有业务流程。相反，管理层可以将其评价过程和支持评价结果的文档记录集中在那些被认为充分应对了财务报表重大错报风险的控制上。例如，如果管理层确定一项财务报表重大错报的风险被主体层面的控制充分应对了，那么，就不需要对其他控制实施进一步的评价了。

第二条原则是，管理层应当根据风险评估的结果评价控制运行的证据。本指引提供了对评价所需的证据做出风险基础判断的一种方法。这使管理层可以将评价程序的性质和范围与那些对可靠财务报告（即财务报表在重大方面是否是准确的）造成最大风险的财务报告领域协调一致。因此，管理层能够在低风险的领域使用更有效的方法（如自我评估）来收集证据，在高风险领域实施更广泛的测试。通过遵循这两条原则，我们认为，各种规模和复杂程度的公司将能够有效果和有效率的实施我们的规则。

解释指引重申了证券交易委员会的立场：为了设计一个能够满足公司需要并为其财务报告内部控制是否有效的年度披露提供一个合理依据的评价过程，管理层应当运用自己的经验和有依据的（informed）判断。这容许管理层有充分和适当的灵活性来设计这样一种评价程序。[7]规模较小的公众公司，其内部控制系统的复杂程度通常比规模较大的公众公司低，为了适应它们自己的实际情况和环境，可以应用本指引来调整（scale）和设计（tailor）评价方法和程序。我们鼓励规模较小的公众公司[8]利用这种灵活性和可伸缩性来实施对财务报告内部控制的评价，既有效率又有效果的识别重大漏洞。

对财务报告内部控制实施初始评价所必需的工作（effort）在公司之间将会不同，在一定程度上是因为这种工作取决于管理层对当前财务报告风险的评估以及控制监督活动。第一年的遵循之后，管理层识别财务报告风险和控制的工作通常情况下会减少，因为后续的评价应当更多的关注风险和控制的变化，而不是识别所有的财务报告风险和相关控制。而且，在后续的每一年，风险和控制的记录将只需从前一（或几）年开始更新，而不是重新再做一个。通过风险和控制的识别过程，管理层将会识别出要测试的那些控制，它们仅是那些实现财务

报告内部控制目标（即对财务报告可靠性提供合理保证）所需要的控制以及运行证据可以更有效的获取的控制。评价那些控制是否持续有效运行所要实施程序的性质和范围可以根据公司特定的环境来设计，这样可以避免不必要的遵循成本。

本指引假定管理层已经建立和保持了《反国外贿赂行为法案》所要求的一个内部会计控制系统。它也不试图解释管理层应当如何设计财务报告内部控制以遵从其已选择的控制框架。为了容许适当的灵活性，该指引没有为管理层提供完成评价所应当实施的步骤的清单。本公告中的这个指引在联邦公报公布时即刻生效。[9]

作为这个解释公告的配套措施[10]，我们正在批准对《证券交易法》规则13a-15(c)和15d-15(c)的修正和对规则S-X的修改。[11]对规则13a-15(c)和15d-15(c)的修正将会清楚的表明：按照本解释指引实施的评价是满足那些规则有关管理层年度评价要求的一种方式。我们也修改了我们定义术语“重大漏洞”的规则，并修改了有关审计师对财务报告内部控制的鉴证报告的要求。此外，我们正在征求对术语“重要缺陷”定义的更多建议。[12]

II 解释指引－财务报告内部控制的评价与评估

本解释指引主要阐明下列问题：

A.评价过程

1．识别财务报告风险与控制

a.识别财务报告风险

b.识别充分应对财务报告风险的控制

c.对主体层面控制的考虑

d.信息技术一般控制的作用

e.支持评价结果的证明材料

2．评价财务报告内部控制运行有效性的证据

a.确定支持评价结果所需要的证据

b.实施评价财务报告内部控制运行证据的程序

c.支持评价结果的证明材料

3.多场所的考虑

B.报告的考虑

1．控制缺陷的评价

2．管理层对财务报告内部控制有效性评价结果的表述

3．重大漏洞的披露

4．重述以前发布的财务报表对管理层财务报告内部控制报告的影响

5．财务报告内部控制某些不能评价的方面

A.评价过程

财务报告内部控制[1]（ICFR）[2]的目标是为财务报告的可靠性和按照公认会计原则（GAAP）编制对外财务报表提供合理保证。评价财务报告内部控制的目的是为管理层的年度评估（即财务报告内部控制在财务年度末[3]是否存在重大漏洞[4]）提供一个合理依据。为了实现这个目标，管理层要识别对可靠财务报告的风险；评价是否存在应对这些风险的控制；并根据其风险评估结果评价包括在评价范围内的那些控制的运行证据。[5]这一评价过程将会因公司而异，但是，本指引所描述的自上而下、风险基础的方法将会是实施这种评价的一种非常有效率和效果的方法。

评价过程指引分两个部分描述。第一部分说明财务报告风险的识别以及评价管理层已实施的控制是否是充分应对了这些风险。第二部分说明一种对评价财务报告内部控制是否有效的方法和程序做出判断的方法。两个部分不但说明管理层应当如何将其评价的努力集中在对可靠财务报告的最大风险上面，而且都说明了主体层面的控制[6]如何影响评价过程。[7]

根据证券交易委员会的规则，管理层对财务报告内部控制有效性的年度评估必须根据一个适当控制框架[8]的有效内部控制的定义进行。[9]这些控制框架定义了内部控制的构成要素，它们在一个有效的内部控制系统中预期会出现并发挥作用。适用的内部控制框架把某些内部控制要素视为一个内部控制系统要有效所必需的要素，在评价有效性时，管理层要评价其财务报告内部控制是否包括了与这些内部控制要素相对应的政策、程序和活动。框架的要素描述了一个内部控制系统的特征，它可能与公司财务报告内部控制的单个领域有关，可能普遍深入到许多领域或主体范围内。因此，管理层的评价过程不但包括与特定财务报告领域相关的控制，还包括主体范围的控制以及所选控制框架确定的其他普遍内部控制要素。本指引不打算替代某个控制框架中确定的有效内部控制系统的构成要素。

1．识别财务报告风险与控制

管理层要评价是否已经实施了可以实现财务报告内部控制目标（即为财务报告的可靠性提供合理保证）的控制。这一评价始于识别和评估可靠财务报告（即在重大方面准确的财务报表）的风险，包括这些风险的变化。然后，管理层要评价是否付诸实施了（即在用）用来充分应对这些风险的控制。在评估风险和识别哪些控制可以充分应对这些风险时，管理层通常会考虑公司主体层面的控制。

在此描述的评价方法容许管理层根据公司的财务报告风险（如下定义）调整其识别控制和为控制保存支持性证明材料的方式。这样，管理层识别出的控制以及文档记录都是那些对实现财务报告内部控制目标来说重要的控制和文档记录。从而，这些控制要经历评价其运行有效性证据的那些程序，正如根据II.A2部分所确定的那样。

a.识别财务报告风险

管理层应当识别单独或与其他错报联合起来能够导致财务报表发生重大错报（“财务报告风险”）的那些错报的风险。通常，财务报告风险的识别始于评价公认会计原则的规定如何应用于公司的业务、经营和交易。管理层必须根据公认会计原则（GAAP）为投资者提供公允表述公司财务状况、经营成果和现金流量的财务报表。如果一个或多个财务报表数额或披露（“财务报告要素”）包含重大的错报（包括漏报），那么表述就会缺乏公允性。

管理层应用其对企业、企业的组织、营运和流程的认知和了解来判断财务报告要素错报的来源和潜在可能性。影响企业的内部风险因素和外部风险因素，包括这些风险所发生任何变化的性质和范围在内，会导致错报风险。错报风险也会由这样一些来源产生，比如交易的开始（initiation）、批准、处理和记录以及反映在财务报告要素中的其他调整。为了识别错报的来源和潜在可能性并识别那些能够导致财务报表发生重大错报的错报，管理层会发现考虑财务报告要素中“哪些会出错”是非常有帮助的。

识别财务报告风险的方法和程序会因为公司特征的差异而不同。这些特征不但包括管理层采用的控制框架，还包括公司的规模、复杂性、组织结构以及公司的流程和财务报告环境。例如，为了识别一个规模较大企业或一个复杂业务流程中的财务报告风险，管理层的方法和程序会涉及到包括那些具有专业知识的员工在内的多种公司员工。这些员工总体上必须充分了解公认会计原则、主要业务交易和流程活动（包括计算机技术的作用），它们是开始、批准、记录和处理交易所必需的。相对来说，在一个业务流程不太复杂而且风险或流程几乎没有变化的集中运行的小公司中，管理层对经营的日常参与可以为其适当的识别财务报告风险提供充分的认知。

管理层对错报风险的评价应当包括考虑主体对欺诈活动（比如虚假财务报告、资产滥用和贪污）的脆弱性以及任何这种风险（exposure）能否导致财务报表发生重大错报。[10]评价舞弊风险所必需活动的范围要与公司经营的规模和复杂性以及财务报告环境相当。[11]

管理层应当认识到，由舞弊导致的重大错报的风险通常在所有组织都存在，不论规模和类型，而且它会因为特定的场所或部分以及单个财务报告要素而改变。例如，在财务报告流程中不

当凌驾内部控制的风险是在所有规模和类型的公司都存在的一种会导致虚假财务报告的舞弊风险。尽管识别出舞弊风险不一定表示一项舞弊已经发生，但没有识别出舞弊不表示不存在舞弊风险。更确切的说，这些风险评估用于评价是否实施了充分的控制。

b.识别充分应对财务报告风险的控制

管理层应当评价是否付诸实施了（即在用）充分应对公司财务报告风险的控制[12]。确定一项单独的控制或多项控制联合起来是否充分应对了一项财务报告风险，这涉及到判断这些控制（如果运行适当）能否有效的防止或发现能够导致财务报表发生重大错报的那些错报。

[13]如果管理层确定财务报告内部控制存在一项缺陷，就必须对它进行评价以确定是否存在一项重大漏洞。[14]指引的II.B1部分是用来帮助管理层进行这种评价的。

管理层可以把预防性控制（preventive control）、侦测性控制(detective control)或二者的联合视为充分应对了财务报告风险。[15]可能会存在多项控制应对一个财务报告要素的财务报告风险；相反的，一项控制可能会应对多个财务报告要素的风险。不必识别可能存在的所有控制，也不必识别冗余控制，除非冗余本身是应对财务报告风险所必需的。例如，管理层可能会确定能够导致财务报表发生重大错报的利息费用错报的风险被公司期末财务报告流程中的控制（确切的说，是一项主体层面的控制）充分的应对了。在这种情形下，对财务报告内部控制评价来说，管理层不需要识别与利息费用错报风险有关的任何更多控制。

在识别充分应对财务报告风险的控制时，管理层也要考虑控制的运行证据能够被评价的效率。如果存在多项控制，并且每一项控制都充分应对了某项财务报告风险，管理层可以决定选择那些能够更有效率的获取其运行有效性证据的控制。而且，如果存在充分的信息技术（“IT”）一般控制，并且管理层已经确定这些控制的运行是有效的，那么管理层可以确定：评价自动控制比评价人工控制更有效率。考虑控制的运行能被评价的效率通常会提高评价过程的总体效率。

除了识别应对单个财务报告要素的财务报告风险的控制以外，对于选定的控制框架规定为一个有效的内部控制系统所必需的财务报告内部控制主体层面的要素以及其他普遍要素，管理层还要评价是否实施了与这些要素相对应的控制。比如，这通常包括：考虑与控制环境相关的控制、对管理层凌驾的控制、主体层面风险评估的过程和监督活动、对期末财务报告流程的控制以及应对重要业务控制的政策和风险管理实务对一个有效的内部控制系统来说是怎么样的以及是否充分。控制框架和相关指引是评价这些财务报告内部控制要素充分性的有用工具。

在识别应对财务报告风险的控制时，管理层要了解与这些控制的特征有关的资料，这些资料要为其判断一项控制没有按照设计运行的风险提供信息。例如，这包括这些控制在运行中所需判断的资料以及与其复杂性有关的资料。对于管理层评价的控制，II.A2部分讨论了在确定这些控制的运行证据的性质和范围时如何考虑这些特征。

在这一识别过程结束时，管理层已经识别出了要评价的那些控制：它们是实现财务报告内部控制目标（即为财务报告的可靠性提供合理保证）所必需的，而且其运行证据可以非常有效率的获得。

c.对主体层面控制的考虑

管理层在识别财务报告要素的财务报告风险和相关控制时要考虑主体层面的控制。这样做时，考虑主体层面控制的性质以及这些控制如何与财务报告要素相联系对管理层来说非常重要。一项控制与财务报告要素的关系越间接，它防止或发现错报的有效性就越低。[16]

有些主体层面的控制，比如某些控制环境的控制，对防止或及时发现一项错报的可能性具有重要但间接的作用。这些控制会影响管理层确定的充分应对某个财务报告要素的财务报告风险所必需的其他控制。但是，管理层仅仅将这种主体层面的控制视为充分应对了某个财务报告要素已识别出的财务报告风险，那是不可能的。

其他主体层面的控制可能被设计成识别较低层面的控制可能发生的失效，但其自身并不能充分应对财务报告风险。例如，一项监督运行结果的控制可以设计成发现潜在的错报并调查较低层面的控制是否发生失效。但是，如果在监督控制发现之前就存在的潜在错报的数额太大，那么，这项控制就没有充分应对财务报告要素的财务报告风险。

主体层面的控制可以设计成在流程、应用程序、交易或账户层面运行，而且，其精确程度可以充分防止或及时发现一个或多个财务报告要素中能够导致财务报表发生重大错报的错报。在这些情况下，管理层可以不需要识别或评价与那个财务报告风险相关的更多控制。

d.信息技术一般控制的作用

管理层识别出的应对财务报告风险的控制可能是自动的[17]、依赖于信息技术功能的[18]或人工和自动程序的联合[19]。在这些情形下，管理层的评价过程一般要考虑自动控制或依赖于信息技术的应用控制以及提供信息技术功能的应用软件的相关信息技术一般控制的设计和运行。尽管信息技术一般控制通常单独不会充分应对财务报告风险，但是，自动控制或信息技术功能的适当和一致运行通常取决于有效的信息技术一般控制。识别信息技术的风险和控制不应当是一个单独的评价。相反，它应当是管理层用来识别风险与控制以及确定支持评价结果所必需证明材料的自上而下、风险基础方法的一个组成部分。

与财务报告内部控制评价相关的信息技术一般控制的情况会因公司的实际情况和环境而异。对财务报告内部控制的评价来说，管理层需要评价的信息技术一般控制只是那些用来充分应对财务报告风险的其他控制的适当和一致运行所必需的信息技术一般控制。例如，管理层会考虑信息技术一般控制领域的某些方面，比如程序开发、程序变动、计算机运行和对程序和数据的接触，是否适用于其实际情况和环境。[20]特别是，不必评价那些主要与公司经营的效率或效果相关、但与应对财务报告风险不相关的信息技术一般控制。

e.支持评价结果的证明材料

作为其评价财务报告内部控制的一部分，管理层必须为其评价结果保存适当的证明（support）。[21]对于管理层已经付诸运行的用来充分应对财务报告风险的控制（包括主体层面的控制以及有效财务报告内部控制所必需的其他普遍要素），对其设计的记录是适当证明的一个组成部分。记录的形式和内容会因公司的规模、性质和复杂程度的不同有所不同。它可以采取多种形式（比如，纸质文档、电子或其他介质）。而且，记录可以多种方式呈现（比如，政策手册、过程模型、流程图、工作描述、单证、内部备忘录、表格等）。记录不需要包括影响财务报告的流程中存在的所有控制。相反，记录要集中关注那些管理层认为会充分应对财务报告风险的那些控制。[22]

除了为财务报告内部控制的评价结果提供证明，这些控制设计情况的记录还可以证明一个有效内部控制系统的其他目标。例如，它可以证明财务报告内部控制内的控制（包括这些控制的变化）已经被识别出，能够传达给那些负责它们效果的人，能够受到公司的监督。2．评价财务报告内部控制运行有效性的证据

管理层应当评价财务报告内部控制运行有效性的证据。控制运行有效性的评价要考虑控制是否按照设计运行以及执行控制的人是否拥有有效执行该项控制所必需的权限和胜任能力。对于识别出的那些充分应对财务报告要素的财务报告风险的控制（依据II.A.1.b部分），管理层用来收集其运行证据的评价程序应当与管理层对单个财务报告要素和相关控制的风险特征（总起来说就是财务报告内部控制风险）的评估相适应。管理层通常应当把对控制运行的评价集中在造成最大财务报告内部控制风险的领域。管理层对财务报告内部控制风险的评估还要考虑主体层面控制的影响，比如控制环境的相对优势和缺点，它们会影响管理层对特定控制发生失效风险的判断。

控制有效运行的证据可以通过对控制的直接测试和持续的监督活动获得。管理层获取一

项控制有效运行的充分证据所必需的评价程序的性质、时间和范围取决于评估的财务报告内部控制风险。在确定获得的证据是否足以为其评价财务报告内部控制的运行提供适当的依据时，管理层不但应当考虑证据的数量（比如，样本规模），还要考虑证据的质量特征。证据的质量特征包括已实施评价程序的性质、证据涉及的时期、评价控制的那些人的客观性[23]以及在持续监督活动情况下，通过对基础控制的直接测试证实的程度。对任何单项控制来说，评价程序的性质、时间和范围的不同组合都可以提供充分的证据。证据的充分性不一定是由这些特征中的任何一个单独决定的。

a.确定支持评价结果所需要的证据

对于识别为充分应对财务报告要素的财务报告风险的那些控制，管理层应当评价其财务报告内部控制风险，以确定支持评价结果所需要的证据。这种评价应当考虑这些控制涉及的财务报告要素的特征以及控制自身的特征。

对于财务报告要素的错报风险，管理层要考虑的事项包括财务报告要素的重要性以及主要会计余额、交易或其他证明信息对一个对财务报表重大的错报的敏感性。相对于对财务报表来说重大的错报数额，如果财务报告要素的重要性提高了，那么，管理层评估的财务报告要素的错报风险一般会相应提高。此外，管理层要考虑财务报告要素包含有易于发生重大错报的交易、账户余额或其他证明信息的程度。比如，如果财务报告要素：（1）在确定记录的数额时涉及判断的程度；（2）容易遭受舞弊的程度；（3）有复杂会计要求的程度；（4）主要交易的性质或数量经历变化的程度；（5）易受环境因素变化影响的程度，比如技术和（或）经济发展，它们通常会影响管理层对错报风险是较高还是较低的判断。

管理层对于一项控制未能有效运行的可能性要考虑的事项尤其要包括：

控制的类型（即人工的或自动的）和它运行的频率；

控制的复杂性；

管理层凌驾的风险；

运行该项控制所需的判断；

执行控制或监督其效果的人的胜任能力；

执行控制或监督其效果的关键人员是否发生了变动；

这项控制预计要防止或发现的错报的性质和重要性；

这项控制对其他控制（例如，信息技术一般控制）有效性的依赖程度；

这项控制以前年度运行的证据；

例如，对于其运行需要相当多判断的控制，管理层判断的控制失效风险要比需要较少判断的不复杂的控制要高。

涉及关联方交易、重要会计政策[24]和相关重要会计估计[25]的财务报告要素一般会评估为具有较高错报风险。而且，如果与这些财务报告要素有关的控制易遭受管理层凌驾的风险、涉及重大判断或非常复杂，那么，它们一般应当评估为具有较高的财务报告内部控制风险。如果需要多项控制的联合来充分应对财务报告要素的相关风险，管理层应当分析这些控制的风险特征。这是因为与既定财务报告要素相关的控制不一定共有相同的风险特征。比如，一个涉及重要估计的财务报告要素可能需要累加源数据的自动控制和需要高度判断地确定假设的人工控制的联合应对。在这种情况下，自动控制可能会从属于一个稳定的系统（即没有经过重要改变），并得到有效信息技术一般控制的支持，从而评估为较低风险，而人工控制就要评估为较高风险。

对主体层面控制（比如控制环境内的控制）的考虑会影响管理层确定充分支持其评价结果所需要的证据。比如，管理层判断一项控制未能有效运行的概率会受到一个高度有效的控制环境的影响，从而影响到为该项控制评价的证据。但是，一个强有力的控制环境不会消除对以某种方式评价控制运行的需要。

b.实施评价财务报告内部控制运行证据的程序

对于在II.A.1部分识别出的控制，管理层应当评价为这些控制的运行有效性评价结果提供合理依据的证据。管理层应用II.A.2部分确定的对财务报告内部控制风险的评估来确定获取充分证据所必需的评价方法和程序。评价方法和程序可以与其员工的日常职责结合起来，也可以是专门为了财务报告内部控制评价而实施的。为其他原因（例如，每天管理企业经营的活动）而实施的活动也可以提供相关的证据。此外，为了满足控制框架的监督目标而实施的活动可以提供证据证明财务报告内部控制运行有效性的评价结果。

管理层评价的证据来自于控制的直接测试、持续监督，或二者的联合。控制的直接测试通常是由相对于被测试控制具有高度客观性的人定期实施的测试。直接测试提供某一时点的证据，并且可以提供与持续监督活动的可靠性有关的信息。持续监督包括管理层正常的、循环的活动，提供与控制的运行有关的信息。例如，这些活动包括自我评估[26]程序和分析用于追踪控制运行的效果指标的程序。[27]自我评估是一个广义的术语，它可以指由具有不同客观程度的人实施的不同类型的程序。它包括由运行控制的人做出的评估，也包括不负责控制运行的管理层成员做出的评估。自我评估活动提供的证据取决于参与人和这些活动实施的方式。例如，鉴于评估者较低的客观性，由负责运行控制的人实施的自我评估所提供的证据一般较少。

随着财务报告内部控制风险的增大，管理层通常会调整所获取证据的性质。比如，通过使用更客观的人员和（或）通过对基础（underlying）控制的定期直接测试增大证实的程度，管理层可以增加通过持续监督活动获取的证据。管理层还可以通过调整直接测试涵盖的期间来改变所获取的证据。如果财务报告内部控制风险评估为高，管理层获取的证据通常由具有较高程度客观性的人实施的直接测试或持续监督活动构成。如果一个公司的持续监督活动使用了不充分客观的人，那么，获取的证据通常要由那些独立于这些控制运行的人实施的直接测试来补充。在这些情况下，控制的直接测试不但评价了基础控制的运行以及它们是否充分应对了财务报告风险，而且确证了来自持续监督活动的证据。如果财务报告内部控制风险评估为低，管理层可能会断定：来自持续监督的证据足够了，不需要进行直接测试。此外，管理层的评价通常要考虑来自本年度（包括财务年度末）一个合理期间的证据。

在较小的公司，管理层与控制的日常相互作用可以为其提供对这些控制运行情况的充分了解，足以评价财务报告内部控制的运行。来自日常相互作用的了解包括那些对财务报告内部控制的有效性评价结果负责的人通过对控制的持续、直接参与和直接监督获得的信息。在确定其与控制的日常相互作用是否为评价财务报告内部控制运行的有效性提供了充分证据时，管理层应当考虑其特定的实际情况和环境。例如，如果控制的运行是集中式的而且涉及的人数有限，那么，日常相互作用是足够的。相反，在一个具有多个管理报告层级或经营部门的公司内，日常的相互作用通常不会提供充分的证据，因为，那些负责评价财务报告内部控制有效性的人一般不能充分了解控制的运行。在这些情形下，管理层通常应用直接测试或持续监督类型的评价程序为其评价结果获得合理的依据。

管理层评价其收集的证据来确定控制的运行是否有效。这种评价考虑该项控制是否按照设计运行。它还包括考虑诸如该项控制是如何应用的、该项控制应用的一致性以及实施这项控制的人是否具有有效实施控制所必需的权限和能力等事项。如果管理层确定控制的运行是无效的，那么就存在一项缺陷，必须对其进行评价以确定是否是重大漏洞。

c.支持该评价结果的证明材料

管理层的评价结果必须要有证明材料的证明，它们要为评价结果提供合理的依据。证明材料的性质会因基础控制的财务报告内部控制风险的评估水平以及其他情况的不同而有所不同。对评价结果的合理支持包括管理层评估的依据，它包括对用来收集和评价证据的方法和程序的记录。

证明材料可以采取多种形式，而且会因对每一财务报告要素的控制的财务报告内部控制风险的评估水平不同而异。比如，管理层可以在一个综合备忘录中记录其总体策略，这个总体策略要确定评价方法、评价程序以及管理层对相关控制有效性结论的依据，这些相关控制与财务报告要素、主体层面的要素以及其他对管理层的财务报告内部控制评价结果重要的普遍要素有关。

如果管理层确定公司账簿和记录内的证明材料足以为其评价结果提供合理的支持，那么，就可以确定不必单独保存其评价证据的备份。比如，在较小的公司，如果管理层与公司控制的日常相互作用为其评价结果提供了依据，管理层专门为财务报告内部控制评价生成的记录是有限的。但是，在这些情形下管理层应当考虑其评价结果的合理支持是否要包括相互作用如何为其提供充分证据的记录。这种记录可能包括备忘录、电子邮件以及管理层对公司员工的说明或指示。

此外，在确定支持性证明材料的性质时，管理层还应当考虑控制的复杂程度、运行该项控制所需的判断程度以及能够导致财务报表重大错报的财务报告要素中的错报风险。随着这些因素的增加，管理层可能会确定支持评价结果的证明材料应当单独保存。比如，管理层可能会确定，单独保存某些领域的记录会有助于审计委员会实施对公司财务报告的监督。

构成管理层评价结果合理支持的证明材料通常包括管理层如何对公司主体层面和财务报告内部控制其他普遍要素的有效性形成结论的记录，这些要素被适用的框架描述为一个有效内部控制系统所必需的要素。

3.多场所的考虑

管理层对财务报告风险的考虑通常包括其所有的场所或业务单元。[28]管理层可能会确定财务报告风险由集中运行的控制充分应对了，在这种情形下，评价方法与有单个场所或业务单元的企业相同。如果应对财务报告风险所必需的控制在一个以上的场所或业务单元运行，那么，管理层一般要评价控制在单个场所或业务单元运行的证据。

管理层可能确定运行在单个场所或业务单元的控制的财务报告内部控制风险（如通过II.A.2.a部分确定的）较低。在这种情形下，管理层可能会确定：通过自我评估的日常程序或其他持续监督活动收集的证据联合从监督单个场所运行结果的集中控制获得的证据，为评价构成了充分的证据。在其他情形下，管理层可能会确定，由于单个场所控制运行的复杂性或判断，控制未能运行的风险为高水平，从而需要控制在该场所有效运行的更多证据。

在确定证据的性质和范围是否充分时，管理层一般要考虑每一财务报告要素的控制的风险特征，而不是对该场所的所有控制做单独的判断。在对已识别控制的风险特征实施评价时，管理层应当考虑是否存在会对控制未能有效运行的风险产生影响的场所特定风险。此外，在一个场所可能存在普遍的风险因素，它导致该场所所有的控制或大部分控制被认为具有较高的风险。

B.报告的考虑

1.对控制缺陷的评价

为了确定一项控制缺陷或多项控制缺陷的联合是否是一个重大漏洞，管理层应当评价其注意到的每一控制缺陷的严重性。被确定为是一个重大漏洞的控制缺陷必须在管理层财务报告内部控制有效性评价结果的年度报告中披露。根据管理层遵循《证券交易法》规则13a-14的确认要求，被认为是重要缺陷的控制缺陷要向公司的审计委员会和外部审计师报告。[29] 如果一个或多个财务报告内部控制的缺陷被确定为重大漏洞，那么，管理层不可以披露说他们已把财务报告内部控制评价为有效。作为财务报告内部控制评价的一部分，管理层要考虑每一个缺陷单独或联合起来在财务年度末是否是一个重大漏洞。影响相同财务报表数额或披露的多个控制缺陷增加了错报的可能性，而且，如果财务报表的一个重大错报没有被防止或及时发现存在一个相当的可能性[30]，那么，这些缺陷联合起来构成了一个重大漏洞，

尽管这些缺陷单个的严重性可能小于重大漏洞。因此，管理层应当评价影响同一财务报表数额或披露或内部控制要素的单个控制缺陷，以确定它们是否共同形成了一个重大漏洞。

评价控制缺陷的严重性应当包括定量因素和定性因素。管理层通过考虑公司的财务报告内部控制未能防止或发现一个财务报表数额或披露的错报是否存在一个相当的可能性以及由这个缺陷或这些缺陷导致的潜在错报的大小来评价一个财务报告内部控制缺陷的严重性。一个财务报告内部控制缺陷的严重性并不取决于一个错报是否已经实际发生，而是取决于公司的财务报告内部控制未能防止或及时发现一个错报是否存在一个相当的可能性。

风险因素会影响一个缺陷或多个缺陷的联合导致财务报表数额或披露发生错报是否存在相当的可能性[31]。这些因素包括但不限于：

（1）相关财务报表要素的性质（例如，暂记账户和涉及较大风险的关联方交易）；

（2）相关资产或负债对损失或舞弊的敏感性（即，较大的敏感性增加了风险）；

（3）确定相关数额所需判断的主观性、复杂性或程度（即，较大的主观性、复杂性或判断，像那些与会计估计相关的，增加了风险）；

（4）该项控制与其他控制的相互作用或关系，包括它们是否相互依赖或重复；

（5）缺陷的相互作用（即，如果评价两个或多个缺陷的联合，这些缺陷是否能影响同一的财务报表数额或披露）；

（6）该缺陷未来可能的后果；

影响一项或多项财务报告内部控制缺陷所导致错报大小的因素包括但不限于下列因素：（1）暴露于缺陷的财务报表数额或交易总额；

（2）对于当期已发生或预计未来期间会出现的缺陷，暴露于该缺陷的账户余额或交易类别中所含活动的数量；

在评价潜在错报的大小时，一个账户余额或交易总额可以被多报的最大数额通常是记录的数额，而少报可能更大。而且，在许多情况下，一个小错报的可能性会比一个大错报的可能性大。

在确定一个控制缺陷或控制缺陷的联合是否是一个重大漏洞时，管理层应当评价补偿性控制[32]的作用。为了具有减轻的作用，补偿性控制应当运行在会防止或发现重大的错报的精确层面上。

在确定一个缺陷或缺陷的联合是否表示一个重大漏洞时，管理层要考虑所有相关的信息。管理层应当评价下列情形是否表明存在一个财务报告内部控制缺陷，并且，如果存在，那它是否表示一个重大漏洞：

识别出与高级管理层有关的舞弊，无论重大与否；[33]

为了反映对一个重大错报的更正，重述以前发布的财务报表；[34]

识别出当期财务报表中的一个重大错报，而当期的情形表明公司的财务报告内部控制没有发现这项错报；

公司的审计委员会对公司的对外财务报告和财务报告内部控制的监督无效；

在评价一个财务报告内部控制缺陷或缺陷联合的严重性时，管理层还应当确定详细的程度和保证的水平，它要使谨慎的职员（officials）在处理自己事务的过程中确信：他们合理保证对交易进行了必要的记录以允许按照公认会计原则编制财务报表。如果管理层确定，一个缺陷或缺陷的联合使谨慎的职员在处理自己事务的过程中不能断定他们合理保证对交易进行了必要的记录以允许按照公认会计原则编制财务报表，那么，管理层应当将这个缺陷或缺陷的联合视为一个重大漏洞的迹象。

2．管理层对财务报告内部控制有效性评价结果的表述

管理层应当清晰的表述其对财务报告内部控制有效性的评价结果，因此，不应当通过宣称公司的财务报告内部控制在某些限定条件或例外情况下是有效的来限定其评价结果。比

如，管理层不应当宣称说：除了已识别出某个（些）重大漏洞的范围外，公司的控制和程序是有效的。此外，如果存在一个重大漏洞，管理层不能说公司的财务报告内部控制是有效的。但是，管理层可以说：由于特定的原因，控制是无效的。

3．对重大漏洞的披露

证券交易委员会实施404节的规则试图让公众看到有关财务报告内部控制重大漏洞的信息。鉴于围绕重大漏洞的披露要求的重要性不仅仅是明确说明重大漏洞是存在的，公司还应当考虑在其披露中包括下列内容：[35]

（1）所有重大漏洞的性质；

（2）它对公司财务报告和财务报告内部控制的影响；

（3）为了纠正这些重大漏洞，管理层当前的计划（如果有的话）或已经采取的行动；

披露存在的重大漏洞是重要的，但是，为了形成一个没有误导性的总体描述，还有其他重要和必需的信息。[36]本领域所有披露的目的是为投资者提供超出仅是描述重大漏洞存在之外的披露和分析。有许多种不同类型的重大漏洞，而且，有许多不同的因素对评估任何特定重大漏洞的潜在影响来说是重要的。尽管在存在一个或多个重大漏洞时管理层被要求在其报告中做出结论并说明财务报告内部控制是无效的，但是，公司还应当考虑提供一些披露，以使投资者可以了解控制缺陷的原因和评估每一特定重大漏洞的潜在影响。如果管理层区分了识别出的重大漏洞对财务报表的潜在影响和重要性，包括区分那些对财务报告内部控制有普遍影响的重大漏洞和那些没有普遍影响的重大漏洞，这种披露对投资者来说将会更加有用。

4．以前发布的财务报表的重述对管理层财务报告内部控制报告的影响

规则S-K的308条款要求披露管理层对公司财务报告内部控制在最近财务年度末的有效性的评价结果。如果在以前年度公布的财务报表中发现了一个重大错报，公司就需要重述那些财务报表。但是，财务报表重述本身没有使管理层必须考虑重述对公司以前有关财务报告内部控制有效性结论的影响。

尽管没有要求管理层重新评价或修改其有关财务报告内部控制有效性的结论，但是，管理层应当考虑其最初的披露是否还适当，以及是否应当修改和补充其最初披露，以包括使这些披露在重述的背景下不会令人误解所必需的任何其他重要信息。根据规则S-K的308(c)条款的要求，公司还应当披露财务报告内部控制的任何重大变化。

同样，尽管没有要求管理层重新评价或修改其与披露控制和程序有效性有关的结论，但是，管理层应当考虑其最初有关披露控制和程序有效性的披露是否需要修改或补充，以包括使这些披露不会令人误解所必需的任何其他重要信息。至于有关财务报告内部控制以及披露控制和程序的披露，公司需要披露在这种背景下重述对其最初有关财务报告内部控制以及披露控制和程序有效性结论产生的影响（如果有的话）。

5．财务报告内部控制某些不能评价的方面

在某些情形下，管理层在评价其财务报告内部控制的某些方面时会遇到困难。比如，管理层会把一个重要的流程外包给一个服务机构，而且确定该流程的控制运行有效性的证据是必需的。然而，这个服务机构可能不愿意提供一份SAS 70第2种类型的报告，也不愿意让管理层接触服务机构在用的控制从而使管理层能够评价其有效性。[37]最终，管理层可能没有实施补偿性控制从而可以以替代的方式来确定对该流程控制的有效性。证券交易委员会的披露要求规定，管理层有关财务报告内部控制的年度报告必须包括一个关于财务报告内部控制是否有效的说明，不允许管理层发布一个带有范围限制的财务报告内部控制报告。[38]因此，管理层必须确定，不能评价某一特定流程的控制是否重要到足以在其报告中得出结论：财务报告内部控制是无效的。