许利刚 李知杰 张莹

摘  要：内部控制及其评价已发展成为兼顾审计和管理领域的学科。企业内部控制是现代企业制度的重要内容，并成为现代企业管理的重要手段，贯穿于企业经营活动的各个方面。内部控制评价体系，可以保证内部控制制度得以落实和企业战略的顺利执行，建立科学严格的内部控制评价体系，不仅是内部控制制度本身实施的要求，也是企业经营战略得以有效执行的强有力保障。

关键词：企业，内控控制，评价体系，建设

内部控制评价体系建设背景概述

背景

为了使企业自我评估及外部评价标准的统一、规范，从2008年6月起，由五部委联合陆续发布了《企业内部控制基础规范》【1】和三个配套指引，至此企业内部控制规范体系已然形成，即：一个体系、两个层次、三个指引。企业内部控制要想达到预期效果，企业除了内控体系内容设计方面根据企业实际情况下足功夫外，还应做好评价体系的建设工作。

目标

内部控制评价是对企业内部控制体系的设计和执行的有效性进行调查、测试、分析和评价的活动。企业内部控制是由董事会、支委会、经理办公会和全体员工实施的、旨在实现控制目标的过程。它是内部控制中的必要的系统性活动，是内部控制设计、实施、评价、反馈、改进等连续的动态过程;以通过评价工作的有效开展发现薄弱环节，有效提升内部控制环境，做到全员参与内部控制，监督内部控制的执行情况，促进内控体系的逐步完善、实现发展战略和经济效益的稳步提升。

原则

实施内部控制评价，应当遵循全面性、重要性和客观性原则，确保评价工作标准统一、客观公正。同时应注重成本效益原则。

全面性原则

评价工作应当包括内部控制的设计与运行，涵盖企业全部主要业务和重要事项。全面性含义： 评价范围涵盖内部控制全部五要素，即：内部环境、风险评估、控制活动、信息与沟通、内部监督;评价工作涵盖企业的全部主要业务流程。涵盖内部控制的全过程，包括决策、执行和监督。

重要性原则

内部控制评价工作涵盖企业经营管理的各项业务过程，同时关注重要业务事项和高风险领域。具体而言，内部控制评价遵循风险导向原则 ，以风险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标造成的影响程度来确定需要评价的重点业务单元、重要业务领域或关键流程环节。

客观性原则

通过评价，准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性，内部控制评价既关注控制过程的规范性，又同时考察内部控制的实施效果。客观性的含义：准确性原则、一致性原则和独立性。

成本效益原则

企业内部控制评价应当以适当的成本实现科学有效的评价。

内部控制评价的主要内容

根据财政部等五部委《企业内部控制基本规范》及其配套指引，企业的内部控制相关制度和业务流程、上年度内部控制评价中发现问题的整改情况及外部审计机构管理建议落实情况，企业重点工作规划确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。针对每个业务或管理流程进行具体评价时，评价小组应针对流程中存在的具体风险点，评价控制措施是否设计有效、控制是否到位，是否能够合理保证控制目标的实现，如存在异常，则进一步分析原因，找到差距，并分析可能带来的后果，提出改进的建议。除评价各流程的具体控制措施外，评价小组还应对企业的整体层面控制要素进行评价，包括：内部环境、风险评估、信息与沟通、监督检查。

内部控制评价程序及方法

内部控制体系评价是按照规定的程序、方法和标准，对已经建立和实施的内部控制体系，从设计有效性和执行有效性两个方面对内部控制有效性进行测试、评估和报告的过程。

内控评价依据

内部控制评价必须遵循国家法律、法规以及集团总部相关规章制度。主要包括：《中华人民共和国会计法》【2】、《中央企业全面风险管理指引》【3】、《企业内部控制基本规范》及其配套指引及其他相关法律法规及规范性文件;企业内部控制体系及其他相关规定是企业开展内部控制评价的直接依据。

评价程序

按照内部控制体系评价的基本原则和内部控制評价基本方法，确定内部控制体系评价的基本程序，主要包括四个阶段，分别是：评价准备阶段、评价测试阶段、缺陷评估阶段与评价报告阶段。

评价准备

评价准备阶段是指在年度评价项目计划经批准下达后，由评价部门在具体实施项目前所做的各项准备工作。主要包括建立内部控制评价组织机构、确定评价人员、编制评价工作方案、确定评价范围与内容等。测试范围确定的程序包括重要风险和关键控制确定、测试范围的确定等方面。具体工作包括：成立内控评价小组、下发评价通知、评价前调查需获取的资料、评价资料收集。

评价小组根据评价范围和内容制定评价资料清单，要求被评价企业提供的相关资料名称清单。评价资料清单应提交被评价企业，以便于被评价企业及时准备，提高现场评价工作效率。评价小组将其提交的承诺书作为评价资料归档保存。

评价实施

评价小组进驻被评价企业进行现场测试，综合运用个别访谈、调查问卷、观察法、穿行测试、抽样、分析性复核和研讨法等方法，广泛收集被评价企业内部控制设计和运行是否有效的证据，按照评价的具体内容，研究分析内部控制缺陷。

评价记录

评价工作记录的内容包括：企业层面评价表、业务层面评价表、抽样测试表、穿行测试表等。

评价工作记录编制要求：评价人员应当真实、完整的记录评价工作，不得遗漏、虚构、隐匿、毁弃，其他人不得删改;将测试经过、结果、结论、证据等进行记录，编制内控评价工作底稿。

缺陷评估

缺陷评估是以单个控制缺陷分析为基础，由于与特定会计科目、披露事项以及五要素相关的多个控制缺陷增加了错报的可能性，还应对控制缺陷进行汇总，以此确定汇总后的缺陷是否构成重要缺陷或重大缺陷。

内控评价依据《企业内部控制基本规范》及配套指引、《中央企业全面风险管理指引》等，汇总分析内控评价工作底稿中内部控制缺陷发现内容，填写内部控制缺陷认定底稿，重点描述缺陷事项及可能存在的影响，初步判断内控缺陷的类型及等级。

缺陷认定标准

缺陷类型：分为设计缺陷和执行缺陷。

缺陷等级：分为重大缺陷、重要缺陷及一般缺陷。

编制缺陷认定底稿

缺陷认定底稿要素：被评价企业名称、评价期间、编制人员、编制日期、复核人员、复核日期、控制措施编号、缺陷类型、缺陷编号、缺陷描述，与内控评价工作底稿的要素及内容一致。问题类型、缺陷认定依据、问题描述、原因分析、缺陷类型、缺陷等级、缺陷数量、责任部门、责任领导、计划整改完成时间、整改措施。缺陷认定依据、缺陷等级、改进建议、经理办反馈。

缺陷认定底稿的确认

缺陷认定底稿要详细描述缺陷事项情况、制度依据并提出改进意见和建议。评价组在评价结束后要对本次评价的有效性和评价效果做出总结，并对今后的评价工作提出指导性的意见和建议。

内控缺陷汇总

在缺陷认定后，评价小组编制内控缺陷汇总表，将发现和认定的缺陷逐一列入内控缺陷汇总表中。

评价报告

在测试和缺陷评估结果的基础上，对内部控制有效性进行综合或者单独评价及报告的过程。

评价报告的内容

评价报告的正文包括以下主要内容：企业负责人对内部控制报告真实性的声明、内部控制评价工作的总体情况、内控评价的目的和责任主体、内部控制评价的依据和范围、内部控制评价的程序和方法、内部控制缺陷及其认定情况、内部控制缺陷的整改情况、重大缺陷拟采取的整改措施、内部控制有效性的结论。

评价报告的审批

评价小组在现场测试、分析、抽查各部门、各部门自我评价、管理优化改进方案、反馈意见的基础上，结合日常监督、专项监督、内部控制自评价和外部检查发现内部控制缺陷及整改情况，按照规定的格式、时间等要求，编制内部控制评价报告，提交内控领导小组和经理办公会审议，并由企业负责人签署形成正式公文。

报告下达范围和对外披露范围

根据企业经理办公会确定的报告下达和对外披露范围，将年度内控评价报告及时报送企业内控管理部门或对外披露，同时对内下发至被评价企业，并根据要求下发至相关人员，监督被评价企业在确定的期限内落实整改措施。

评价测试方法

内部控制评价方法的选择直接影响评价结果的真实性、科学性，常用的内部控制评价方法主要有如下几种：

问卷调查法

問卷调查法是指设计一套问卷，同时对于问卷不能解释清楚的部分在附注中用文字加以说明。调查问卷人数应控制在被评价企业总人数的 10%-20%之间，由评价小组随机选取各个层面代表性人员参加，一般情况下可按中层以上管理人员与一般工作人员 3：7 的比例进行选取。问卷调查应由评价小组人员组织，参加问卷调查的人员在固定场所中集中填答、集中收回，及时进行统计分析，复核问卷调查结果。

访谈法

访谈法是指评价人员向被评价企业或部门了解内部控制体系建立、执行和监督的实际情况。访谈是收集信息的一个重要手段，应当在条件许可的情况下以适合于被访谈人的方式进行。在访谈工作中，评价人员应当考虑：访谈人员应当来自被评价范围内实施活动或任务的适当层次或岗位;访谈应当在被访谈人正常工作时间和正常工作地点进行;访谈前和访谈过程中应当努力使被访谈人放松;应当解释访谈和作记录的原因;访谈可通过请被访谈人描述其工作开始;应当避免提出有倾向性答案的问题（即引导性提问）;应当与被访谈人沟通访谈的结果;感谢被访谈人的参与和合作。

观察法

观察法是指评价人员在被评价单位的工作现场实地观看操作过程，观察有关人员的实际工作情况，以确定其规定的控制措施是否得到严格执行，该方法适用于不留书面痕迹的控制措施评价，以及评价控制措施的执行与到位程度。

穿行测试法

穿行测试法是指评价人员在每一类业务循环中选择一项或若干项业务，从头到尾检查其实际处理过程，以验证所描述的内部控制体系的客观性和真实性。

抽样法

抽样法是指企业针对具体的内部控制业务流程，按照业务风险发生的频率，从确定的抽样总体中抽取一定比例的业务样本，对业务样本的符合性进行判断，进而对业务流程控制运行的有效性做出评价。具体测试过程中，应选取合理的样本量，按样本量一定比例抽样，根据业务频次确定的抽样量。

检查法

检查法是指评价人员查阅被评价单位的相关资料进行检查的方法。具体而言，评价人员查阅被评价单位的政策和规章制度，如业务政策、业务程序、财务会计制度、组织结构图、岗位分工等，审查执行内部控制制度生成的文件，如账簿、报表、凭证、记录、合同、报告等，检查其是否存在控制轨迹，以判断内部控制措施是否得到有效执行。

分析性复核法

分析性复核法是指通过对被评价机构内部控制体系中重要情况和趋势的分析，研究被评价机构内部控制体系的异常变动和差异。分析性复核主要包括比较分析、因素分析和趋势分析。

比较分析是指针对同一内部控制体系的内容和指标，在不同的时间和空间进行对比，来说明实际情况与参照系的差异;因素分析是指分析影响内部控制体系变化的若干因素，分析研究其变动原因，从中发现被评价机构内部控制体系的异常变动和差异;趋势分析是指对连续若干期的内部控制体系情况进行比较与分析，了解其变动的幅度和趋势。

研讨法

研讨法是指通过召集与业务流程相关的管理人员或者聘请外部专家就业务管理的特定问题进行讨论、分析的一种方法。

评价测试底稿

企业层面评价表主要包括：表头、内控要素、测试内容、测试记录、测试结论、缺陷描述、缺陷类型、缺陷编号。

业务层面评价表主要包括：表头、控制编号、控制措施、控制方法、控制频率、实施证据、相关制度、责任部门、测试步骤、测试记录、抽样测试索引、测试结论、缺陷描述、缺陷类型、缺陷编号

抽样测试表主要包括：控制编号、控制措施、测试步骤、样本量、样本编号、样本描述、测试结论。

结语

建设完善的企业内部体系，有助于提高企业的市场竞争力，良好的内控机制能够帮助企业更好的应对风险和挑战。同时我们在构建企业内部评价体系时，应弄清评价的目标、评价主体、评价方式、评价标准、评价程序等内容，并结合企业自身情况，构建切实可行的评价体系，并且能够针对企业运营过程中出现的不足及时的进行调整，促进企业目标的实现。除此之外，企业管理人员也要不断探索新的内控机制，适应市场的发展，提高企业竞争力和运营效率，使得企业在市场的地位更加牢固。

参考文献：

[1]  《企业内部控制基本规范》，2008年5月22日由财政部、证监会、审计署、银监会和保监会联合发布

[2]  《中华人民共和国会计法》，1999年10月，再次经第九届全国人大常务委员会第十二次会议修正，由国家主席下令公布，于2000年7月1日起实施

[3]  《中央企业全面风险管理指引》，2006年6月6日，国务院国有资产监督管理委员会以通知的形式印发

作者简介：

许利刚， 1980，男，湖北大冶，汉，硕士，中国船舶重工集团公司第七二二研究所，高级工程师，投资与管理

李知杰， 1981，男，湖北武汉，汉，硕士，中国船舶重工集团公司第七二二研究所，高级工程师，投资与管理

张莹， 1981，女，湖北武汉，汉，本科，中国船舶重工集团公司第七二二研究所，中级会计师，财务管理