内部控制评价标准的思考.docx

内部控制评价标准的思考
平湖支行谢晓
摘要。本文简述内控评价的解释和由来，分析我国内控评价的现状，再研究、探讨国际上内控评价体系的发展历程，从中得到一些体会和经验，最后根据借鉴国际经验和个人分析得出一些建立科学的内控评价体系的思考。
关键词：内控评价国际经验科学体系
一、内控评价的由来
内部控制评价是内部控制发展到一定阶段的必然产物。内部控制是指通过制定和执行一系列具体的制度、程序和方法，对相关风险进行识别、分析和应对的机制和动态过程。内部控制评价是对被评价对象内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动，是对内部控制制度性安排进行的验证、审视和判断。
二、我国内控评价的现状
我国对内部控制评价的研究起步较晚，尤其是对中央银行内部控制评价的研究发展较为滞后。20世纪80年代末至90年代初，随着内部控制的发展，以内部控制评价为主的符合性测试开始受到专业人员的关注和使用，但内.部控制评价仍停留在对内部管理制度执行的一般了解上，内部控制评价还只是起辅助作用。20世纪90年代中后期，我国政府才开始积极推进内部控制和内部控制评价的规范化建设。1997年5月，中国人民银行颁布了《加强金融机构内部控制的指导原则》，对金融机构内部控制的定义、目标、原则和内容等做出了规定。2002年，中国人民银行借鉴coso报告，颁布了《商业银行内部控制指引》，指出内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。2006年4月，中国人民银行出台《中国人民银行分支机构内部控制指引》（以下简称《指引》）。这是一份主要基于coso整体框架思想的内部控制建构指引，它的颁布为人民银行分支机构内部控制建设提出了框架性意见和方向性指导。但是，该指引在范围上没有包括人民银行总行，仅针对人民银行分支机构，在对象上是针对内部控制，并非内部控制评价。
三、国际内控评价发展概况
综观内部控制理论和实践产生和发展的演进历程，可以将内部控制的发展划分为五个阶段，即内部牵制阶段、内部控制制度阶段、内部控制结构阶段、内部控制整体框架阶段、风险管理总体框架阶段。20世纪30年代以来，世界各国行政管理机构、审计部门、企业及研究人员对内部控制进行了理论和实践探讨，取得大量成果。
（一）、美国的内部控制评价
1978年，美国柯恩委员会（cohencommission）就建议企业管理当局在披露财务报告时，提交一份关于内部控制系统的评价报告，说明管理当局对公司会计系统及其控制的评估，包括对控制系统固有限制及公司对独立注册会计师认定的重大缺陷做出反应的描述，并要求独立注册会计师对该报告进行证明。
1987年，treadway委员会（全美反舞弊财务报告委员会）在其报告中也提出了类似的建议，虽然treadway委员会未对内部控制提出结论，但其报告立刻引起了广泛的反应。随后treadway委员会发起的组织（coso），于1992年在《内部控制——整体框架》中提出了内部控制报告的框架。cohen报告、treadway报告、coso报告均认为，内部控制报告应着重说明控制系统的有效性。
在1979年和1998年，美国证券交易委员会（sec）分别提议强制要求提供内部控制报告。1989年，美国政府审计署（gao）也曾提议在存贷机构紧急援助议案中，应规定管理当局和审计人员报告内部控制，但都没有形成最终议案。2001年以来，美国安然、世通等许多著名公司暴露出的一系列财务舞弊问题引起了社会公众的关注，严重影响了公众对公司会计实务、财务报告的信心以及投资者的信心，迫于这种压力和形势，
2002年7月，美国国会通过并颁布了sox法案，致力于治理财务丑闻和财务报告中可能出现的问题，目的是为了恢复公众对公司会计实务和财务报告的信心。sox法案结合公司的财务报告全面提高了对上市公司内部控制的要求，把过去的很多自愿和选择性做法变成了法定的、强制性的要求，其中302节和404节尤为具体，对内部控制的评价和报告进行了明确的规定和要求。
sec根据sox法案的规定，于2003年6月发布的“最终规则：管理层的财务报告内部控制②报告和交易法案定期报告中披露的确认”要求，管理层对公司财务报告内部控制有效性的评价必须依据一个适当的、公认的控制框架，并同时指出，coso框架满足它们的要求。sox法案为上市公司规定了一个内部控制的评价和报告体系，以提高内部控制的有效性，加强内部控制信息的透明度。根据sox法案302节“公司对财务报告的责任”和404节“管理层对内部控制的评价”以及sec的相关规定和pcaob的asno.2，美国上市公司内部控制的评价和报告体系应当包括：公司管理层对财务报告内部控制的有效性进行评价，对内向审计委员会报告，对外发布公开报告；注册会计师对财务报告内部控制进行的审计，对管理层财务报告内部控制有效性评价发表鉴证意见以及对公司财务报告内部控制的有效性发表意见等两个方面。
（二）、英国的内部控制评价
英国内部控制的特色是建立在其特定的内部控制法律框架基础之上的。英国内部控制的法律框架主要包括四个部分：一是公司法和普通法；二是上市股票登记规则；三是公司治理的联合规则；四是turnbull指南③。其中turnbull指南把风险管理、内部控制和商业目标联系了起来，指出风险管理是企业内每个人的责任；认为董事会应当在获得信息和做出承诺时仔细检查公司制度的有效性，确保风险管理流程已经成为公司日常程序的一部分，并能够在遇到风险时做出快速反应；强调内部审计的职能以确保公司经营目标的实现。2005年，turnbull指南在保持基本原则不变的情况下进行了局部修改，并于2005年10月颁布了修改后的turnbull指南。其内容包括：保持健全的内部控制系统，审查内部控制的有效性，内部控制的董事会报告书，内部审计等四项内容。该指南规定董事会在定期审查内部控制报告以及实施年度评价时，需要重点考虑内部控制系统的风险评估、控制环境与控制活动、信息与沟通和监控等四个构成要素的相关问题。turnbull指南认为评价内部控制的有效性是董事会责任的重要组成部分，并要求董事会必须对内部控制进行年度评价并报告。早在1994年，cadbury委员会④在其发布的《内部控制和财务报告》中要求英国各公司公布一份有关其内部财务控制制度的声明，这份声明至少必须包括以下内容：承认董事会对内财务控制负责；为内部控制制度对重大的错报或遗漏的事项仅提供合理保证而非绝对保证作出解释；描述董事会为了确保有效的确认内部财务控制已经建立的关键程序；证实董事会已经审核过内部财务控制制度的有效性。cadbury鼓励但不要求董事会对内部财务控制制度的有效性发表意见。根据当前英国内部控制的法律框架，英国的内部控制评价与报告体系包括以下主要内容：审查内部控制有效性的责任；审查内部控制有效性的过程；董事会对内部控制的声明；注册会计师的责任。
（三）、加拿大的内部控制评价
1.coco的评价标准。1995年，加拿大特许会计师协会（cica）的控制标准委员会（coco）发布了《控制指南》，这是一个关于主体控制系统的设计、评估和报告的指南，其目的是为实体各个层级的人开发、评价和改进控制时提供参考和依据。1999年，coco发布的《评估控制指南》设计了形成一份评估报告的10步程序，其评估的重点是关于目标的信息和相关风险的管理。coco对控制的评估着眼更多的是企业未来，而不是对过去的评价。coco从目的、承诺、能力、监督与学习等四个基本要素出发，制定出了有效控制的20个评价标准。
2.coco的评价体系。coco的评价体系在评估控制的有效性时，通常针对实体的具体情况把评价指标设计成一系列问题，根据问题的答案来评价内部控制的有效性程度。重点从企业的战略目标同经营目标的协调、目标的实现、风险的控制、企业文化、员工能力、监督与控制等方面设计问题，评价内部控制的健全性和运行的有效性。
（四）、巴塞尔银行监管委员会的内部控制系统评价1998年9月，巴塞尔银行监管委员会发布的名为《银行组织内部控制系统的框架》（frameworkfortheinternalcontrolsystemsinbankingorganisations）的报告中提出了一个内部控制系统的框架。该报告规定了银行组织内部控制系统的目标，设计了内部控制的五个相互关联的构成要素，并针对内部控制系统提出了五个要素和12条原则。其中五个控制要素为：（1）管理监督与控制文化。包括董事会、高级管理者、控制文化等；（2）风险识别和评估；（3）控制和职责分离；（4）信息与沟通；（5）监督活动与纠正缺陷。12个基本原则是：董事会最终责任原则；高级管理层的执行原则；塑造控制文化原则；控制风险原则；控制结构原则；职责分离原则；信息获取原则；信息系统原则；信息沟通原则；整体有效性原则；独立内部审计原则；及时报告原则。
巴塞尔银行监管委员会要求监管当局对内部控制系统进行评价，在其第12条原则中提出，“监管者应当要求所有的银行，无论其规模的大小，应当建立一个与其性质、复杂程度和借贷活动固有的风险相一致的内部控制系统，并且对银行环境和条件的变化做出反应。如果监管者确认某一银行的内部控制系统对其特定的风险状况来说是不充分或无效的，他们应当采取适当的行动。”评价标准和依据就是其所提出的目标和12条原则。
四、建立科学的内控评价的个人思考
（一）建立严密的内部控制综合评价体系
人民银行内部控制综合评价活动应由总行统一部署，各分行统一组织，中心支行具体实施。内部控制综合评价工作应每年进行一次，采取下查一级的办法。应制定统一的内部控制综合评价办法和操作规程。各级行应设立内部控制综合评价领导机构——内部监督委员会，负责内控评价的组织计划、监督管理、等级认定和责任人处理。各级内审部门作为内部监督委员会的常设办公机构，具体组织内部控制综合评价活动，行使直接评价职能。内控建设评价属于内部控制健全性评价范畴，是对被评价单位及时贯彻落实上级行金融方针、政策和有关规章制度情况进行的评价；内控执行评价属于内部控制遵循性评价范畴，是按主要业务类别及其主要内部控制点，对被评价单位的内部控制制度执行过程和执行结果进行的有效性评价；内控保障评价主要是根据“三道防线”的控制要求，对专职监管部门和岗位履行监管职能情况进行的评价。
（二）明确评价内容和标准
内部控制评价的范围是人民银行所有业务活动的全过程，重点是单位内部最容易发生风险的失控点，主要集中在直接管人、财、物、权力的重要岗位或环节上，特别是对财务、资金的监督要作为重点。评价的主要内容及主要控制点：
1、内控建设评价。内控建设评价采取通过调查问卷或召开座谈会的形式，了解被评价行各项业务的管理模式，分析这些管理模式能否将不相融岗位分开设置，岗位之间相互制约，工作环节衔接，决策按程序进行。
2、内控执行评价。内控执行系统评价是对各职能部门为完成工作目标和防范风险，对各项业务和内部管理活动进行风险控制、制度管理和相互制约体系的评价。
3、内控保障评价。根据“三道防线”的内部控制要求，对业务主管部门履行监管职责的评价，主要是评价业务主管部门是否按规定对所属机构开展业务检查，是否配备检查人员，对检查发现的问题是否落实整改措施并有整改回复，对重大问题是否移交监督部门。
（三）设定科学的计分方式和评价等级
内部控制综合评价须以量化评价为主，要对有关评价内容或要点赋予一定的分值，并根据各种不同业务及其各个环节在内部控制整体中所产生影响的程度，设定不同的“内控权重”。其中内控建设评价系统占评价总体的10％，应主要包括及时转发上级行有关制度文件的评价，员工对各项规章制度掌握程度的评价，按规定制定有关实施细则的评价。内控执行评价系统占评价总体的70％，应包括会计业务内部控制的评价，财务管理内部控制的评价，国库业务内部控制的评价，信贷资金管理内部控制的评价，外汇业务内部控制的评价，发行业务内部控制的评价，计算机业务内部控制的评价，机要保密、印章管理内部控制的评价等。内控保障评价系统占评价总体的20％，应主要包括业务主管部门履行监管职责的评价，监管部门履行监管职责的评价，领导决策系统及决策行为的评价。
内部控制综合评价计分系统分三个计分层次，采用加权平均方式，按百分制计分。评价等级设置内控一类行、二类行、三类行和四类行四个等级。一类行，属于正常控制行，评价分值在90分以上。这类行内部控制状况良好，各项制度健全有效，岗位设置和分工合理，制度执行严格，能有效地防止违规违纪行为和经济案件的发生。二类行，属于基本控制行，评价分值在90分以下至75分。这类行内部控制基本正常，各项制度齐全，但在制度建设或制度执行方面还存在少量的缺陷和弱点，但这些问题对业务的运行和内部控制效果尚未产生明显影响，没有违章违规问题发生。三类行，属于控制较弱行，评价分值在75分以下至60分。这类行内部控制状况不良，内部控制制度及其执行存在明显缺陷和弱点，部门分工、岗位设置不合理，存在一定的违章违规现象。四类行，属于基本失控行，评价分值在60分以下。这类行内部控制状况很差，内部控制制度不健全，并存在严重的缺陷。部门分工不合理，岗位职责不清，违章违规问题经常发生，并有经济案件，现有的管理体系已经无法避免风险。
内部控制综合评价要坚持定量分析与定性分析相结合，在对各项评价内容严格检查、打分和初步得出评价等级以后，还要结合被评价单位内部管理状况和经济案件发案率的高低情况进行考评。
【参考文献】
[1].吴水澎，邵贤弟，陈汉文，“企业内部控制理论的发展与启示［j］”，《会计研究》，2000（5）[2].罗绍德，唐群力，“企业内部控制的新制度经济学解析［j］
《审计与经济研究》，2003（6）[3].朱荣恩，“内部控制评价［m］”，北京：中国时代出版社，2002[4].张宜霞，舒惠好，“内部控制国际比较研究［m］”，北京：中国财政经济出版社，2006[5].何芹，“内部控制评价的比较分析［j］”，《财会通讯（学术版）》，2005（11）[6].王化成，“企业业绩评价［m］”，北京：中国人民大学出版社，2005[7].沈艺峰，林志扬，“利益相关者理论评析［j］”，《经济管理新管理》，2001（8）[8].王化成，刘俊勇，孙薇，“企业内部控制评价［m］”，北京：中国人民大学出版社，2004
第二篇：内部控制制度-内部控制检查评价内部控制制度
——内部控制检查评价
第一章总则
第一条为了保证某某公司（以下简称“公司”）内部控制制度的建立健全和有效执行，促进公司规范运作和健康发展，根据《中华人民共和国公司法》、《中华人民共和国证券法》等国家有关法律、法规和《企业内部控制基本规范》的规定，结合本公司经营特点和所处环境，制定本制度。
第二条本制度所称内部控制，是指公司为实现经营目标，保护资产安全完整，保证遵循国家法律法规，提高组织运营的效率及效果而采取的各种政策和程序。公司内部控制是由董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程。内部控制的目标是合理保证公司经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进公司实现发展战略。由于人为错误、恶意串通舞弊、环境变化及成本效益原则等因素的影响，内部控制存在固有限制，可能无法发挥其应有作用。
第三条公司应加强宣传引导和教育培训，通过多种途径广泛宣传公司内部控制制度，引导全体员工掌握公司内部控制制度的本质要求，促进全体员工加强职业道德修养、提高专业胜任能力，自觉遵守公司内部控制制度的各项规定。
第四条公司建立与实施内部控制，应遵循下列原则：
（一）全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖公司及所属公司的各种业务和事项。
（二）重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。
（三）制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制，同时兼顾运营效率。
（四）适应性原则。内部控制应当与公司经营规模、业务范围、竞争状况和风险水平相适应，并随着情况的变化及时加以调整。
（五）成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。第五条公司建立与实施有效的内部控制，应当包括下列要素：
（一）内部环境。内部环境是指公司实施内部控制的基础，一般包括治理结构、机构设置、权责分配、内部审计、人力资源政策、企业文化等。
（二）风险评估。风险评估是指公司及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
（三）控制活动。控制活动是指公司根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。
（四）信息与沟通。信息与沟通是指公司及时、准确地收集、传递与内部控制相关的信息，确保信息在公司内部、公司与外部之间进行有效沟通。
（五）内部监督。内部监督是指公司对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，并应当及时加以改进。
第二章职责分工与授权批准
第六条公司指定内部审计部门（以下称“监督检查部门”）负责内部控制的日常监督检查工作，配备专门的内部控制监督检查人员。
第七条建立健全内部控制并保持其有效运作，是被检查单位的责任，监督检查部门的责任是对内部控制是否存在和其有效性进行测试与评价。
第八条内部控制监督检查是指监督检查人员在实施检查过程中对被检查单位内部控制制度的健全性、合理性及内部控制过程的有效性所进行的测试与评价活动，目的是合理保证被检查单位实现以下目标：
（一）遵守国家有关法律法规和公司内部控制制度。
（二）信息的真实、可靠。
（三）资产的安全、完整。
（四）经济有效地使用资源。
（五）提高经营效率和效果。
（六）实现经营目标。
第九条监督检查部门向董事会及其审计委员会报告内部控制监督检查有关工作情况，同时通报监事会。公司董事会及其审计委员会对内部控制监督检查工作进行指导，审阅监督检查部门提交的内部控制监督检查评价报告。
第十条内部控制监督检查既可以作为独立的审计项目实施，也可以作为实施其他审计项目的重要程序。
第三章内部控制检查评价程序、方法和内容
第十一条公司对内控制度的执行情况进行定期和不定期的检查。监督检查部门通过对内控制度执行情况的检查监督，以发现内控制度是否存在缺陷和实施中是否存在问题，评估其执行的效果和效率，并及时报告，同时应督促相关部门、单位及时予以改进，确保内控制度的有效实施。
第十二条监督检查部门应每半年度结束后两个月内对公司的内部控制进行一次定期的持续性检查监督，至少包括重要业务、财务事项，收购和出售资产、关联交易、从事衍生品交易、提供财务资助、为他人提供担保、募集资金使用、委托理财等重大事项。各部门、分公司、子公司应每半年度结束后半个月内进行自查，并向公司监督检查部门汇报自查情况。监督检查部门还将不定期地对公司的内部控制开展各项专项检查、抽查等监督检查工作。
第十三条监督检查部门开展内部控制检查监督工作前，应事先报告公司董事会审计委员会，并制定详细的工作计划。
第十四条监督检查部门开展内部控制检查监督工作时，可以采取现场谈话和问卷调查、财务审计、文件审核、合同协议审查或书面报告等方式进行。
第十五条公司各部门、分公司、子公司的负责人应负责组织相关人员按监督检查部门的要求，及时向监督检查部门提供所需的原始凭证、报表、操作规程、合同协议和书面报告等文件资料，接受监督检查部门的谈话、调查、审查等。
第十六条公司的控制环境主要包括公司的经济性质和经营类型、管理层的经营理念、组织文化、法人治理结构和议事规则、组织结构、职责分工及人员配置、人力资源政策及其执行。公司的监督检查部门对控制环境重点审查以下方面：
（一）组织的管理哲学和经营风格。
（二）诚信原则和道德价值观。
（三）经营活动的复杂程度。
（四）管理权限的集中程度。
（五）管理层对逾越既定控制程序的态度。
（六）法人治理结构的健全性和有效性。
（七）组织结构和职责划分的合理性。
（八）组织各阶层人员的知识与技能。
（九）权责匹配程度以及人力资源政策。
（十）员工业绩考核与激励机制的有效性。
（十一）员工聘用程序及培训制度的有效性。
（十二）员工对企业文化内容的理解和认同程度。
第十七条公司的风险评估主要包括识别和分析影响组织目标实现的各类风险、对业务流程进行风险评估、及时调整风险应对策略，建立风险管理体系。
公司的监督检查部门对风险评估重点审查以下方面：
（一）确定风险、评估风险的重要性。
（二）可能引发风险的内外因素。
（三）风险发生的可能性和预计带来的后果，对抗可能发生风险的能力。
（四）风险管理机制的健全性和有效性。
第十八条公司的控制活动主要包括不相容职务分离、授权审批、明确业务流程、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制、独立业务审核。公司的监督检查部门对控制活动重点审查以下方面：
（一）不相容职务相分离。
（二）货币资金、实物管理的关键控制点，会计记录与实物保管相互制约。
（三）销售政策的健全性和有效性，采购各环节的相互制约机制。
（四）成本费用控制政策的健全性和有效性。
（五）预算管理体系的健全性。
（六）投资决策程序的有效性，投资风险分析估计。
（七）产品研发决策程序的健全有效性，研发风险的评估。
（八）筹资活动控制的有效性。
（九）实施绩效考评的有效性。
第十九条公司的信息与沟通主要包括建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，及时、准确、完整地记录所有信息、保证管理信息系统的安全可靠及有序运行，建立反舞弊机制。公司的监督检查部门对信息与沟通重点审查以下方面：
（一）各部门间信息的传递方式。
（二）各类经济业务的会计处理程序和所依据信息的来源。
（三）管理信息系统控制流程获取及处理信息的能力以及信息传递渠道畅通情况。
（四）信息处理的及时性、适当性，信息系统的安全可靠性。
（五）明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限。
第二十条公司的内部监督主要包括董事会、监事会及管理层对内控制度的监督检查（内部控制的自我评估）、内部控制监督检查部门实施的独立的监督和检查。
公司的监督检查部门对内部监督重点审查以下方面：
（一）对内部控制及经营活动监督、检查和评价而实施再控制情况。
（二）内部控制自我评估系统缺陷处理情况。
（三）内部审计的设置和工作情况。
第二十一条公司内部控制监督检查应关注的其他内容
（一）所在行业状况及近期的经营变化。
（二）管理当局的诚信、能力及发生舞弊的可能性。
（三）管理当局评价内部控制有效性的方法和证据。
（四）对重要性水平、固有风险及其他与确定内部控制重大缺陷有关的因素的初步判断。
（五）交易的性质和金额。
第二十二条公司的内部控制监督检查部门对内部控制实施监督检查时，可对全部内部控制要素实施测试评价，也可对部分内部控制要素实施测试评价。
第二十三条公司监督检查部门对内部控制监督检查时应遵循以下步骤：
（一）对内部控制进行调查了解，描述内部控制，初步评价内部控制风险。
（二）对内部控制的执行情况进行符合性测试及实质性测试。
（三）内部控制综合评价。
第二十四条调查内部控制主要包括以下活动：
（一）查阅各项管理制度和相关文件。
（二）询问管理人员和其他有关人员。
（三）检查经营管理过程中形成的文件和记录。
（四）观察业务活动和内部控制的实际运行情况。
调查时，应当考虑被检查单位业务规模、复杂程度、控制类型和控制程序等，恰当地确定调查范围；关注控制环节、控制执行记录和控制程序运用的连续性。
第二十五条描述内部控制，采用文字记录、调查表、业务流程图的形式将调查的内部控制运行情况加以记录、描述，以供测试和评价；根据现有内部控制描述有关业务的流程和控制点，与理想模式比较，结合专业判断，着重描述应设立的控制点，特别是关键控制点设立情况。
第二十六条了解内部控制设置情况后，应当初步评价内部控制风险，确定符合性测试的范围。
（一）分析可能发生错弊的业务环节和活动领域。
（二）初步评价相关内部控制的合理性和运行的有效性。
（三）确定内部控制风险水平。第二十七条进行符合性测试。
（一）按照业务流程检查各项内部控制规定是否得到执行。
（二）选择有关经济业务，检查流程中的关键控制点是否真正发挥作用。
（三）重新执行有关内部控制。
符合性测试可运用检查、询问、现场观察、穿行测试等方法。监督检查人员应当根据内部控制的性质及其执行的时间和频率，合理确定符合性测试的性质、时间和范围。
第二十八条对内部控制执行情况进行符合性测试后，综合分析被检查单位内部控制的健全性和有效性，提出内部控制测试评价结果，并据此确定实质性测试的范围、重点和方法。
第二十九条测试内部控制的健全性。依据授权原则、效益性原则，检查评价内部控制健全性，并考虑以下因素：
（一）控制措施是否存在。
（二）控制程序是否具备可操作性。
（三）是否存在失控环节，失控的性质和原因、影响。
（四）内部控制的局限性。第三十条测试内部控制的有效性。在健全性测试基础上进行符合有效性测试，可采取检查、监盘、观察、计算、分析性复核、查询及函证等方法，测试有关经济业务活动的运行与相关内部控制的符合程度，评价内部控制措施是否得到贯彻执行；是否达到预期目标；是否存在不遵循内部控制制度处理业务的重大事项；有无因制度失控而造成重大经济损失或资产严重流失等事项。
第三十一条在检查评价内部控制健全性和有效性时，应当考虑内部控制的固有限制。
（一）内部控制的设置和运行受制于成本效益原则。
（二）内部控制一般仅针对常规业务活动而设置。
（三）即使是设置完善的内部控制，也可能因有关人员的疏忽、误解和判断错误、相互勾结、内外恶意串通而失效。
（四）内部控制可能因执行人员滥用职权或屈从于外部压力而失效。
（五）内部控制可能因经营环境、业务性质的改变而削弱或失效。
第三十二条综合评价内部控制。评价内部控制设置的适用性、健全性、合理性以及控制的有效性，能否保证经营目标的实现和规范化管理。
（一）评价内部控制的适用性、科学性，即内部控制是否有利于促进公司发展，有利于推进管理创新和技术创新，增强企业的核心竞争力。
（二）披露各项控制措施存在的缺陷，对相应的业务系统内部控制的影响，揭示面临的风险和可能产生的后果。
（三）对内部控制的健全性、有效性进行整体的分析与评价，针对内部控制存在的缺陷、薄弱环节，提出加强和完善的建议。
第三十三条遵循全面性原则、重要性原则、合法性原则、制衡性原则、适时性原则、成本效益原则。在评价特定内部控制未得到遵循的风险时，监督检查人员应当考虑以下因素：
（一）交易数量和性质发生的变化，以及对特定内部控制的设计和执行产生的不利影响。
（二）内部控制发生的变化。
（三）特定内部控制的复杂程度。
（四）特定内部控制对其他内部控制有效性的依赖程度。
（五）执行或监控内部控制的关键人员发生变动。
第三十四条监督检查人员对内部控制进行评价时应选择适当的标准：选择组织已有的标准，如果认为已有标准不合适，应向适当的管理层报告；如果管理层没有制定合适的标准，监督检查人员可以基于组织利益最大化的原则选择适当的评价标准。
第三十五条监督检查人员应将对被检查单位内部控制调查、测试和评价的过程及结果与被检查单位进行沟通，征求被检查单位的意见。
第四章评价报告程序、方法和内容
第三十六条监督检查部门应对公司内部控制运行情况进行检查监督，并将检查中发现的内部控制缺陷和异常事项、改进建议及解决进展情况等形成内部控制评价报告，向董事会及其审计委员会报告并通报监事会。公司监督检查部门如发现公司存在重大异常情况，可能或已经遭受重大损失时，应立即报告公司董事会及其审计委员会并通报监事会。公司董事会应提出切实可行的解决措施。
第三十七条监督检查部门应在每次的定期检查后及每一次的不定期检查后向公司董事会审计委员会报告内部检查工作情况和发现的问题，并于年度结束后四个月内向董事会及其审计委员会提交年度内部控制评价报告，上述报告同时通报监事会。
第三十八条内部控制评价报告中至少应包括检查中发现的内控制度不健全、不完善之处，内部控制缺陷及实施中存在的问题，针对存在的问题建议采取的改进措施，也可以对公司内控制度下一步发展方向提出建议，以及监督检查部门认为应当写明的其他任何事项。
第三十九条监督检查人员对于检查中发现的内部控制缺陷及实施中存在的问题，应在内部控制检查监督工作报告中据实反映，并在向审计委员会报告后进行后续追踪检查，以确定相关部门已及时采取适当的改进措施，并撰写落实情况报告，对被检查单位的整改措施进行评价。
监督检查人员针对检查中发现的内部控制缺陷及实施中存在的问题，应提出追究相关责任单位或者责任人有关责任的建议；对内部控制比较健全有效的单位，提出表扬和奖励的建议。公司应将内部控制检查所发现的内部控制缺陷及实施中存在的问题列为各部门、分公司及子公司绩效考核的重要项目之一。第四十条公司董事会审计委员会对内部控制检查监督工作进行指导，并审阅监督检查部门提交的内部控制监督检查评价报告。
第四十一条董事会可根据内部控制检查监督评价报告及相关信息，评价公司内部控制的建立和实施情况，形成内部控制自我评估报告。公司董事会在审议年度财务报告等事项的同时，可依据相关规定对公司内部控制自我评估报告形成决议，同时监事会也应对此报告进行审议。
第四十二条公司内部控制自我评估报告至少应包括如下内容：
（一）内控制度是否建立健全；
（二）内控制度是否有效实施运行，是否存在缺陷；
（三）内部控制检查监督工作的情况，尤其是本制度中重点关注的控制活动的自查和评估情况；
（四）内控制度及其实施过程中出现的重大风险及其处理情况（如有）；
（五）对本年度内部控制检查监督工作计划完成情况的评价；
（六）对内部控制整体情况的自我评价；
（七）完善内控制度的有关措施及下一年度内部控制的有关工作计划。第四十三条年度终了，监督检查机构应对本年度内部控制检查过程中发现的内部控制的缺陷及异常事项、相应的处理建议及整改情况进行总结，在监督检查机构工作报告里专题陈述。
第四十四条监督检查部门的工作资料，包括内部控制检查监督评价报告、工作底稿及相关资料，保存时间不少于十年。
第四十五条注册会计师在对公司进行年度审计时，应参照有关主管部门的规定，就公司内部控制情况出具评价意见，如注册会计师对公司内部控制有效性表示异议的，董事会、监事会应针对该评价意见涉及事项进行核实做出专项说明，专项说明至少应包括以下内容：
（一）异议事项的基本情况；
（二）该事项对公司内部控制有效性的影响程度；
（三）公司董事会、监事会对该事项的意见；
（四）消除该事项及其影响的可能性；
（五）消除该事项及其影响的具体措施。
第五章责任追究及奖惩
第四十六条被检查单位应对内部控制的健全性和有效性负责，对所提供资料的真实性、完整性负责。由于被检查单位内部控制程序出现严重缺陷和出现重大违反国家财经法纪的行为，及相关人员失职导致内部控制存在重大缺陷或存在重大风险，给公司造成严重影响或损失的，由监督检查部门建议，追究被检查单位相关责任人的责任。
第四十七条由于监督检查部门失职，导致内部控制缺陷及实施中存在的问题未被发现或提出，给公司造成严重影响或损失的，由董事会审计委员会建议，追究监督检查部门相关责任人的责任。但执行了《内部审计具体准则第17号》中第四章规定程序而未能发现的，应予免除责任。
第四十八条被检查单位拒绝、阻碍内部控制检查，或拒绝、拖延提供相关资料或证明材料，提供虚假资料的，公司应当及时予以处理，给予通报批评、警告、辞退、索赔及追究有关责任人责任；涉嫌犯罪的，依法移交司法机关处理。
第四十九条监督检查人员滥用职权、玩忽职守、徇私舞弊、贪污受贿、泄露秘密的，对严重内控缺陷、重大违纪、违法事项故意不披露的，以及由于未履行职责出现重大审计事项错漏、应当给予通报批评、警告、辞退及追究相关责任的处理；涉嫌犯罪的，依法移交司法机关处理。
第五十条监督检查机构和人员为公司避免或挽回重大经济损失，提出的管理建议被采纳后取得显著经济效益，公司应给予适当的表彰和奖励。
第五十一条公司所有员工均有权随时以书信形式、电子邮件、传真或口头等方式向公司董事会及其审计委员会或监督检查部门反映公司内部控制存在的缺陷及实施中存在的问题，针对存在的问题建议采取的改进措施，以及对公司内控制度下一步发展方向提出建议。同时，公司将视具体情形，对提供建议的员工予以奖励和鼓励。
第六章附则
第五十二条本制度适用于公司及所属公司，包括公司总部、各分公司及全资子公司、控股子公司。
第五十三条公司及所属公司可以参照本制度制定相关实施细则或具体执行办法，实施细则或执行办法不得违反本制度相关规定。实施细则或执行办法经公司总经理办公会批准后执行，并上报公司备案。
第五十四条本制度由公司董事会负责解释和修订。
第五十五条本制度自公司董事会审议批准之日起执行，修改时亦同。
第三篇：内部控制评价报告内部控制自我评价报告模板使用说明：
本模板中，“”内文字指可以根据实际情况具体化。
[xx部门/xx公司]20xx年内部控制评价报告（模板）
[集团公司/xx公司]：
[本公司/本部门]已对20xx年x月x日（以下简称“基准日”）内部控制的有