企业内部控制评价指引的内容

1. 企业内部控制评价指引的内容

 内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

2. 企业内部控制评价指引的概述

（2010年4月15日财政部 证监会 审计署 银监会 保监会财会〔2010〕11号）为了促进企业建立、实施和评价内部控制，规范会计师事务所内部控制审计行为，根据国家有关法律法规和《企业内部控制基本规范》（财会〔2008〕7号），财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制应用指引第1号——组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》（以下简称企业内部控制配套指引），现予印发，自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行；在此基础上，择机在中小板和创业板上市公司施行。鼓励非上市大中型企业提前执行。请各上市公司及相关非上市大中型企业切实做好执行前的各项准备工作。执行《企业内部控制基本规范》及企业内部控制配套指引的上市公司和非上市大中型企业，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。上市公司聘请的会计师事务所应当具有证券、期货业务资格；非上市大中型企业聘请的会计师事务所也可以是不具有证券、期货业务资格的大中型会计师事务所。执行中有何问题，请及时反馈我们。附件：1.企业内部控制应用指引2.企业内部控制评价指引3.企业内部控制审计指引财政部 证监会 审计署 银监会保监会二○一○年四月十五日

3. 内部控制评价的报告

内部控制评价报告可分为对内报告和对外报告，对外报告是为了满足外部信息使用者的需求，需要对外披露，在时间上具有强制性，披露内容和格式强调符合披露要求；对内报告主要是为了满足管理层或治理层改善管控水平的需要，不具有强制性，内容、格式和披露时间由企业自行决定。企业因其外部环境和内部条件的变化，其内部控制系统不可能是固定的、一成不变的，而是一个不断更新和自我完善的动态体系，因此对内部控制需要经常展开评价，在实际工作可以采用定期与不定期相结合的方式。对外报告一般采用定期的方式，即企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制报告。年度内部控制评价报告应当以12月31日为基准日。值得说明的是，如果企业在内部控制评价报告年度内发生了特殊的事项且具有重要性，或因为具有了某种特殊原因（如企业因目标变化或提升），企业需要针对这种特殊事项或原因及时编制内部控制评价报告并对外发布。这种类型的内部控制评价报告属于非定期的内部控制报告。内部报告一般采用不定期的方式，即企业可以持续地开展内部控制的监督与评价，并根据结果的重要性随时向董事会（审计委员会）或经理层报送评价报告。从广义上讲，企业针对发现的重大缺陷等向董事会（审计委员会）或经理层报送的内部报告（内部控制缺陷报告）也属于非定期的报告。企业应尽量按照统一的格式编制内部控制评价报告，以满足外部信息使用者对内控信息可比的要求。根据《评价指引》第二十一条和二十二条规定，内部控制评价对外报告一般包括以下内容。1．董事会声明。声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。2．内部控制评价工作的总体情况。明确企业内部控制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计。3．内部控制评价的依据。说明企业开展内部控制评价工作所依据的法律法规和规章制度。4．内部控制评价的范围。描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等。5．内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。6．内部控制缺陷及其认定。描述适用本企业的内部控制缺陷具体认定标准，并声明与以前年度保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。7．内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果。8．内部控制有效性的结论。对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

4. 企业内部控制评价指引的程序

 企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。企业可以授权内部审计部门或专门机构（下称“内部控制评价部门”）负责内部控制评价的具体组织实施工作。 企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。企业可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。 企业在日常监督、专项监督和年度评价工作中，应当充分发挥内部控制评价工作组的作用。内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。 企业内部控制评价部门应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

5. 企业内部控制评价指引的总则

 企业实施内部控制评价至少应当遵循下列原则：（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。 企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。企业董事会应当对内部控制评价报告的真实性负责。

6. 内部控制评价报告的内容有哪些

内部控制评价报告至少应当包括下列内容：
（1）组织实施内部控制评价的总体情况；
（2）内部控制责任主体的声明；
（3）内部控制评价的范围和内容；
（4）内部控制评价的标准和依据；
（5）内部控制评价的程序和方法；
（6）内部控制重大缺陷及其认定情况；
（7）内部控制重大缺陷的整改措施及责任追究情况；
（8）内部控制有效性的结论；
存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

7. 企业内部控制评价一般包括哪些评价

上市公司内部控制评价一般是指上市公司内部控制自我评价.内部控制评价的最终目的是实现内部控制的目标。
内部控制评价的内容：

1、内部环境评价

企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据。其中，组织架构评价可以重点从组织架构的设计和运行等方面进行;发展战略评价可以重点从发展战略的制定合理性、有效实施和适当调整三方面进行;人力资源评价应当重点从企业人力资源引进结构合理性、开发机制、激励约束机制等方面进行;企业文化评价应从建设和评估两方面进行;社会责任可以从安全生产、产品质量、环境保护与资源节约、促进就业、员工权益保护等方面进行。

2、风险评估评价

企业组织开展风险评估评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的目标设定、风险识别、风险分析、应对策略等进行认定和评价。

3、控制活动评价

企业组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。

4、信息与沟通评价

企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

5、内部监督评价

企业组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对于内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

8. 企业内部控制评价一般包括哪些内容

关于内部控制评价内容，从范围看，一般认为企业内部控制评价应根据资源情况和组织需求来决定，既可以是全面内部控制评价，如对整个内部控制系统进行评价，然后把信息反馈给最高管理当局；也可以是局部评价，如对某个部门或某个控制进行评价，然后把发现的不足或某一方面控制精确度的信息反馈给某些管理人员。全面内部控制评价一般每年进行一次，而局部内部控制评价视需要而定。从内容看，大多从内部控制要素角度，要求内部控制评价内容至少包括控制环境、风险评估、控制活动、信息与沟通和内部监督五要素或内部环境、目标设定、事件识别、风险评估、控制活动、信息与沟通和监控内部监督八要素。当然，还有把内部控制评价分为内部控制设计和执行，自我评估和独立评估，全面内部控制和业务控制，过程评价和结果评价两个层面的。还有把内部控制评价的内容分为公司治理层面、业务流程层面、信息科技层面，治理结构层面、财务控制层面和业务控制层面等三个层面。从标准看，有些内部控制规范和理论认为，内部控制评价无论是总体还时局部，无论是设计还是执行，都应当以内部控制的健全性、恰当性（或者称为合理性、科学性）和有效性为标准。有些规范和理论认为，内部控制评价，包括对内部控制设计有效性和运行有效性的评价。还有人认为，内部控制评价要对内部控制系统设计的有效性、内部控制运行的有效性和内部控制系统设计及运行的经济性进行评价。
人们习惯于把内部控制评价的内容分为整体层面控制评价和业务层面控制评价。整体层面控制评价，就是对整体层面控制有效性的评价过程，是一个流程。这个流程包括：确定整体层面控制是否创建了一个使业务层面控制有效执行的总体环境；识别整体层面控制的弱点，这些弱点会影响业务层面控制测试的设计。整体层面控制评价不是内部控制总体评价，内部控制总体评价，是对各种控制过程与因素的综合考虑，从而得出一个总体的评论。整体层面控制的测试是针对具体的控制目标，但评价时应将控制作为一个整体，而不是单独的控制目标。如一个控制领域的弱点，可通过其他领域有效控制的设计和执行予以弥补。控制需有多可靠才能被认为是有效的？整体层面控制必须达到最高水平的可靠性才能有效吗？在决策时，应考虑以下事项：一是整体考虑。最终，内部控制有效性应以系统整体而不是单个组成要素来评估。在设计系统时，机构就应进行权衡，是改进系统中某些要素抑或是通过其他更有效的控制进行弥补。二是合理保证和重要性。内部控制仅能提供合理的而不是绝对的保证。内部控制有效性的评价应基于财务报表的整体作出判断，因此应从财务报表的整体来考虑，内部控制未能防止或发现的错报是否重要。用于评价整体层面控制的的流程包括：使用内部控制可靠性模型，为每一个控制目标的有效性分级；将单个控制目标融入组织整体层级控制之中。究竟如何对控制有效性进行最终评价？加拿大特许会计师协会对此进行了研究，一个特别的结论值得注意。证据不仅仅是事实的集合，而且是审计人员所了解的每一件事的整合。证据不是以整齐的先后顺序出现的——它是非线性的、零散的，必须进行整理、归类和综合。一些证据是具体的事实，可以客观地证实，但大多是所见、所听或所感的印象，它包括组织中人们的态度和意图、组织文化和道德论调。在有意或无意的过程中，人们会考虑所有这些因素——当形成结论时，把它们作为证据。业务层面控制评价，就是对业务层面控制有效性的评价过程，是内部控制评价的核心内容。
中天恒3C框架一直主张内部控制评价应当包括会计控制、业务控制和管理控制三个方面，会计控制评价是基础，业务控制评价是核心，管理控制评价是努力的方向。内部控制评价肯定包括设计和执行两个方面，但关键还是执行。
在信息系统环境下与手工处理环境下的内部控制评价内容肯定不同。通常，计算机信息系统内部控制可分为一般控制和应用控制。一般控制适用于较宽范围的风险，这些风险系统地威胁到信息系统环境下所有应用程序的完整性。应用控制是控制特定应用系统的风险（如工资、应收账款和采购应用系统等），其风险来源于信息系统中应用系统本身的漏洞，直接威胁到数据的安全、准确。一般控制评价应当着重考虑与信息系统开发有关的信息技术控制目标、程序变更、计算机运行和对数据的接触是否符合企业内部控制的要求，是否有利于企业内部控制目标的实现，并以此评价信息系统的安全性、可靠性和合理性。应用控制评价应当结合企业业务流程特点，着重考虑信息系统中与业务流程相关的控制点，并以此评价相关应用系统操作数据的真实性、准确性和合规性。
关于内部控制评价的内容，理论上可继续探索，但实际执行中，还是要统一到《企业内部控制评价指引》的要求上来。我国企业内部控制评价的内容应以《企业内部控制基本规范》及配套指引为起点，以企业设计的《企业内部控制手册》为依据，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容。当然要对内部控制设计与运行情况进行全面评价。企业内部控制评价具体内容应由企业经营业务调整、环境变化、业务发展状态和实际风险水平等自行确定，不能固定化和模式化。
这里需要特别强调的，内部控制评价内容不能仅仅限于对五要素的总体评价，而要对企业财务、业务、管理控制进行具体评价。企业的业务千差万别，规模大小也不一样，但企业内部控制评价具体内容应至少包括已经颁布的企业内部控制配套指引主要内容。