解读企业内部控制评价指引

1、附件2：企业内部控制评评价指引第一章总 则则第一条 为了了促进企业全全面评价内部部控制的设计计与运行情况况，规范内部部控制评价程程序和评价报报告，揭示和和防范风险，根根据有关法律律法规和企企业内部控制制基本规范，制制定本指引。第二条 本指指引所称内部部控制评价，是是指企业董事事会或类似权权力机构对内内部控制的有有效性进行全全面评价、形形成评价结论论、出具评价价报告的过程程。第三条 企业业实施内部控控制评价至少少应当遵循下下列原则：（一）全面性原原则。评价工工作应当包括括内部控制的的设计与运行，涵盖企企业及其所属属单位的各种种业务和事项项。（二）重要性原原则。评价工工作应当在全全面评价的基基础上

2、，关注注重要业务单单位、重大业业务事项和高高风险领域。（三）客观性原原则。评价工工作应当准确确地揭示经营营管理的风险险状况，如实实反映内部控控制设计与运运行的有效性性。第四条 企业业应当根据本本评价指引，结结合内部控制制设计与运行行的实际情况况，制定具体体的内部控制制评价办法，规规定评价的原原则、内容、程程序、方法和和报告形式等等，明确相关关机构或岗位位的职责权限限，落实责任任制，按照规规定的办法、程程序和要求，有有序开展内部部控制评价工工作。企业董事会应当当对内部控制制评价报告的真实性性负责。第二章内部控控制评价的内内容第五条企业应应当根据企企业内部控制制基本规范、应应用指引以及及本企业的内

3、内部控制制度度，围绕内部部环境、风险险评估、控制制活动、信息息与沟通、内内部监督等要要素，确定内内部控制评价价的具体内容容，对内部控控制设计与运运行情况进行行全面评价。第六条企业组组织开展内部部环境评价，应应当以组织架架构、发展战战 略、人力资资源、企业文文化、社会责责任等应用指指引为依据，结结合本企业的的内部控制制制度，对内部部环境的设计计及实际运行行情况进行认认定和评价。第七条企业组组织开展风险险评估机制评评价，应当以以企业内部部控制基本规规范有关风风险评估的要要求，以及各各项应用指引引中所列主要要风险为依据据，结合本企企业的内部控控制制度，对对日常经营管管理过程中的的风险识别、风风险分析

4、、应应对策略等进进行认定和评评价。第八条企业组组织开展控制制活动评价，应应当以企业业内部控制基基本规范和和各项应用指指引中的控制制措施为依据据，结合本企企业的内部控控制制度，对对相关控制措措施的设计和和运行情况进进行认定和评评价。第九条企业组组织开展信息息与沟通评价价，应当以内内部信息传递递、财务报告告、信息系统统等相关应用用指引为依据据，结合本企企业的内部控控制制度，对对信息收集、处处理和传递的的及时性、反反舞弊机制的的健全性、财财务报告的真真实性、信息系统统的安全性，以以及利用信息息系统实施内内部控制的有有效性等进行行认定和评价价。第十条企业组组织开展内部部监督评价，应应当以企业业内部控制

5、基基本规范有有关内部监督督的要求，以以及各项应用用指引中有关关日常管控的的规定为依据据，结合本企企业的内部控控制制度，对对内部监督机机制的有效性性进行认定和和评价，重点点关注监事会会、审计委员员会、内部审审计机构等是是否在内部控控制设计和运运行中有效发发挥监督作用用。第十一条内部部控制评价工工作应当形成成工作底稿，详详细记录企业业执行评价工工作的内容，包包括评价要素素、主要风险险点、采取的的控制措施、有有关证据资料料以及认定结结果等。评价价工作底稿应当设计计合理、证据据充分、简便便易行、便于于操作。第三章内部控控制评价的程程序第十二条企业业应当按照内内部控制评价价办法规定的的程序，有序序开展内

6、部控控制评价工作作。内部控制评价程程序一般包括括：制定评价价工作方案、组组成评价工作作组、实施现现场测试、认认定控制缺陷陷、汇总评价价结果、编报报评价报告等等环节。企业可以授权内内部审计部门门或专门机构构（以下简称称内部控制评评价部门）负负责内部控制制评价的具体体组织实施工工作。第十三条企业业内部控制评评价部门应当当拟订评价工工作方案，明明确评价范围围、工作任务务、人员组织织、进度安排排和费用预算算等相关内容容，报经董事事会或其授权权机构审批后后实施。第十四条企业业内部控制评评价部门应当当根据经批准准的评价方案案，组成内部部控制评价工工作组，具体体实施内部控控制评价工作作。评价工作作组应当吸收

7、收企业内部相相关机构熟悉悉情况的业务务骨干参加。评评价工作组成成员对本部门门的内部控制制评价工作应应当实行回避避制度。企业可以委托中中介机构实施施内部控制评评价。为企业业提供内部控控制审计服务务的会计师事事务所，不得得同时为同一一企业提供内内部控制评价价服务。第十五条内部部控制评价工工作组应当对对被评价单位位进行现场测测试，综合运运用个别访谈谈、调查问卷卷、专题讨论论、穿行测试试、实地查验验、抽样和比比较分析等方方法，充分收收集被评价单位位内部控制设设计和运行是是否有效的证证据，按照评评价的具体内内容，如实填填写评价工作作底稿，研究究分析内部控控制缺陷。第四章内部控控制缺陷的认认定第十六条内部

8、部控制缺陷包包括设计缺陷陷和运行缺陷陷。企业对内内部控制缺陷陷的认定，应应当以日常监监督和专项监监督为基础，结结合年度内部部控制评价，由由内部控制评评价部门进行行综合分析后后提出认定意意见，按照规规定的权限和和程序进行审审核后予以最最终认定。第十七条企业业在日常监督督、专项监督督和年度评价价工作中，应应当充分发挥挥内部控制评评价工作组的的作用。内部部控制评价工工作组应当根根据现场测试试获取的证据据，对内部控控制缺陷进行行初步认定，并并按其影响程程度分为重大大缺陷、重要要缺陷和一般般缺陷。重大缺陷，是指指一个或多个个控制缺陷的的组合，可能能导致企业严严重偏离控制制目标。重要要缺陷，是指指一个或多

9、个个控制缺陷的的组合，其严严重程度和经经济后果低于于重大缺陷，但但仍有可能导导致企业偏离离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。第十八条企业业内部控制评评价工作组应应当建立评价价质量交叉复复核制度，评评价工作组负负责人应当对对评价工作底底稿进行严格格审核，并对对所认定的评评价结果签字字确认后，提提交企业内部部控制评价部部门。第十九条企业业内部控制评评价部门应当当编制内部控控制缺陷认定定汇总表，结结合日常监督督和专项监督督发现的内部部控制缺陷及及其持续改进进情况，对内内部控制缺陷陷及其成因、表表现形式和

10、影影响程度进行行综合分析和和全面复核，提提出认定意见见，并以适当当的形式向董董事会、监事事会或者经理理层报告。重重大缺陷应当当由董事会予予以最终认定定。企业对于认定的的重大缺陷，应应当及时采取取应对策略，切切实将风险控控制在可承受受度之内，并并追究有关部部门或相关人人员的责任。第五章内部控控制评价报告告第二十条企业业应当根据企企业内部控制制基本规范、应应用指引和本本指引，设计计内部控制评价报报告的种类、格格式和内容，明明确内部控制制评价报告编编制程序和要要求，按照规规定的权限报报经批准后对对外报出。第二十一条 内部控制评评价报告应当当分别内部环环境、风险评评估、控制活活动、信息与与沟通、内部部

11、监督等要素素进行设计，对对内部控制评评价过程、内内部控制缺陷陷认定及整改改情况、内部部控制有效性性的结论等相相关内容作出出披露。第二十二条 内部控制评评价报告至少少应当披露下下列内容：（一）董事会对对内部控制报报告真实性的的声明。（二）内部控制制评价工作的的总体情况。（三）内部控制制评价的依据据。（四）内部控制制评价的范围围。（五）内部控制制评价的程序序和方法。（六）内部控制制缺陷及其认认定情况。（七）内部控制制缺陷的整改改情况及重大大缺陷拟采取取的整改措施施。（八）内部控制制有效性的结结论。第二十三条 企业应当根根据年度内部部控制评价结结果，结合内内部控制评价价工作底稿和和内部控制缺缺陷汇总

12、表等等资料，按照照规定的程序序和要求，及及时编制内部部控制评价报报告。第二十四条 内部控制评评价报告应当当报经董事会会或类似权力力机构批准后后对外披露或或报送相关部部门。企业内部控制评评价部门应当当关注自内部部控制评价报报告基准日至至内部控制评评价报告发出出日之间是否否发生影响内内部控制有效效性的因素，并并根据其性质质和影响程度度对评价结论进行相相应调整。第二十五条 企业内部控控制审计报告告应当与内部部控制评价报报告同时对外外披露或报送送。第二十六条 企业应当以以 12 月 31 日作作为年度内部部控制评价报报告的基准日日。内部控制评价报报告应于基准准日后 4 个月内报出出。第二十七条 企业应

13、当建建立内部控制制评价工作档档案管理制度度。内部控制制评价的有关关文件资料、工工作底稿和证证明材料等应应当妥善保管管。财政部解读企企业内部控制制评价指引目目录TOC o 1-3 h z u财政部解读企企业内部控制制评价指引来源：中国会计计报 发发布时间：22010-77-30作作者：财政部部会计司财政部会计司解解读企业内内部控制评价价指引是为为促进企业全全面评价内部部控制的设计计与运行情况况，规范内部部控制评价程程序和评价报报告，揭示和和防范风险，专专门制定。周易：“君君子终日乾乾乾，夕惕若，厉厉，无咎。”是是说君子能整整天整日显示示出自强不息息的行为状态态，是因为到到晚间，也要要保持戒慎，即

14、即检查自己在在白天的所作作所为，不要要把过错带进进第二天。对对内部控制的的建立、实施施进行评价，是是优化内部控控制自我监督督机制的一项重要要制度安排，是是内部控制的的重要组成部部分，与内部部控制的建立立、实施，共共同构成有机机循环。企企业内部控制制基本规范第第四十六条：“企业应当当结合内部监监督情况，定定期对内部控控制的有效性性进行自我评评价，出具内内部控制自我我评价报告”。因因此，为促进进企业全面评评价内部控制制的设计与运运行情况，规规范内部控制制评价程序和和评价报告，揭揭示和防范风风险，专门制制定了企业业内部控制评评价指引（下下称“评价价指引”）。评价指引第第二条规定，企企业内部控制制评价

15、是指企企业董事会或或类似权力机机构对内部控控制有效性进进行全面评价价、形成评价价结论、出具具评价报告的的过程。 一、内部控制制评价概述（一）内部控制制评价的作用用第一，内部控制制评价有助于于企业自我完完善内控体系系。内部控制制评价是通过过评价、反馈馈、再评价，报报告企业在内内部控制建立立与实施中存存在的问题，并并持续地进行行自我完善的的过程。通过过内部控制评评价查找、分分析内部控制制缺陷并有针针对性地督促促落实整改，可可以及时堵塞塞管理漏洞，防防范偏离目标标的各种风险险，并举一反反三，从设计计和执行等全全方位健全优优化管控制度度，从而促进进企业内控体体系的不断完完善。第二，内部控制制评价有助于

16、于提升企业市市场形象和公公众认可度。企企业开展内部部控制评价，需需形成评价结结论，出具评评价报告。通通过自我评价价报告，将企企业的风险管管理水平、内内部控制状况况以及与此相相关的发展战战略、竞争优优势、可持续续发展能力等等公布于众，树树立诚信、透透明、负责任任的企业形象象，有利于增增强投资者、债债权人以及其其他利益相关关者的信任度度和认可度，为为自己创造更更为有利的外外部环境，促促进企业的长长远可持续发发展。第三，内部控制制评价有助于于实现与政府府监管的协调调互动。政府府监管部门有有权对企业内内部控制建立立与实施的有有效性进行监监督检查。事事实上，在有有关政府部门门，比如审计计机关开展的的国有

17、企业负负责人离任经经济责任审计计中，已将企企业内部控制制的有效性，以以及企业负责责人组织领导导内控体系建建立与实施情情况纳入审计范范围，并日益益成为十分重重要的一部分分。尽管政府府部门实施企企业内控监督督检查有其自自身的做法和和特点，但监监督检查的重重点部位是基基本一致的，比比如大多涉及及重大经营决决策的科学性性、合规性以以及重要业务务事项管控的的有效性等。实实施企业内控控自我评价，能能够通过自查查及早排查风风险、发现问问题，并积极极整改，有利利于在配合政政府监管中赢赢得主动，并并借助政府监监管成果进一一步改进企业业内控实施和和评价工作，促促进自我评价价与政府监管管的协调互动动。（二）内部控制

18、制评价的对象象内部控制评价是是对内部控制制有效性发表表意见。所谓谓内部控制有有效性，是指指企业建立与与实施内部控控制对实现控控制目标提供供合理保证的的程度，包括括内部控制设设计的有效性性和内部控制制运行的有效效性。其中，内内部控制设计计的有效性，是是指为实现控控制目标所必必需的内部控控制要素都存存在并且设计计恰当；内部部控制运行的的有效性，是是指现有内部部控制按照规规定程序得到到了正确执行行。评价内部部控制运行的的有效性，应应当着重考虑虑以下几个方方面：（1）相相关控制在评评价期内是如如何运行的；（2）相关关控制是否得得到了持续一一致的运行；（3）实施施控制的人员员是否具备必必要的权限和和能力

19、。需要强调的是，即即使同时满足足设计有效性性和运行有效效性标准的内内部控制，受受内部控制固固有局限影响响，也只能为为内部控制目目标的实现提供供合理保证，而而不能提供绝绝对保证，不不应不切实际际地期望内部部控制能够绝绝对保证内部部控制目标的的实现，也不不应以内部控控制目标的最最终实现情况况和程度作为为唯一依据直直接判断内部部控制设计和和运行的有效效性。（三）内部控制制评价的原则则内部控制评价的的原则是开展展评价工作应应该注意的原原则，与内部部控制的原则则不完全相同同。根据评评价指引第第三条规定，企企业对内部控控制评价至少少遵循以下原原则：全面性性原则、重要要性原则和客客观性原则。1全面性原则则。

20、全面性原原则强调的是是内部控制评评价的涵盖范范围应当全面面，具体来说说，是指内部部控制评价工工作应当包括括内部控制的的设计与运行，涵盖盖企业及其所所属单位的各各种业务和事事项。2重要性原则则。重要性原原则强调内部部控制评价应应当在全面性性的基础之上上，着眼于风风险，突出重重点。具体来来说，主要体体现在制订和和实施评价工工作方案、分分配评价资源源的过程之中中，它的核心心要求主要包包括两个方面面：一是要坚坚持风险导向向的思路，着着重关注那些些影响内部控控制目标实现现的高风险领领域和风险点点；二是要坚坚持重点突出出的思路，着着重关注那些些重要的业务务事项和关键键的控制环节节，以及重要要业务单位。3客

21、观性原则则。客观性原原则强调内部部控制评价工工作应当准确确地揭示经营营管理的风险险状况，如实实反映内部控控制设计和运运行的有效性。只有有在内部控制制评价工作方方案制定、实实施的全过程程中始终坚持持客观性，才才能保证评价价结果的客观观性。（四）内部控制制评价的组织织形式和职责责安排评价指引第第四条规定，企企业应当根据据本评价指引引，结合内部部控制设计与与运行的实际际情况，制定定具体的内部部控制评价办办法，规定评评价的原则、内内容、程序、方方法和报告形形式等，明确确相关机构或或岗位的职责责权限，落实实责任制，按按照规定的办办法、程序和和要求，有序序开展内部控控制评价工作作。企业内部控制评评价办法应

22、当当结合企业业内部控制基基本规范第第四十四条的的规定，具体体明确内部控控制评价的组组织形式，特特别明确各有有关方面在内内部控制评价价中的职责安安排，处理好好内部控制评评价和内部监监督的关系，定定期由相对独独立的人员对对内部控制有有效性进行科科学的评价，界界定内部控制制缺陷认定标标准，保证内内部控制评价价有序地开展展。1、内部控制评评价的组织形形式企业可以授权内内部审计机构构或专门机构构（下称“内内部控制评价价机构”）负负责内部控制制评价的具体体组织实施工工作。内部控制评价机机构必须具备备一定的设置置条件：一是是能够独立行行使对内部控控制系统建立立与运行过程程及结果进行行监督的权力力；二是具备备

23、与监督和评评价内部控制制系统相适应应的专业胜任任能力和职业业道德素养；三是与企业业其他职能机机构就监督与与评价内部控控制系统方面面应当保持协协调一致，在在工作中相互互配合、相互互制约，在效效率效果上满满足企业对内内部控制系统统进行监督与与评价所提出出的有关要求求；四是能够够得到企业董董事会和经理理层的支持，有有足够的权威威性来保证内内部控制评价价工作的顺利利开展。具体来说，企业业可根据自身身特点，决定定是否单独设设置专门的内内部控制评价价机构。对于于单独设有专专门内部控制制机构的企业业，也可以由由内部控制机机构来负责内内部控制评价价的具体组织织实施工作。为了保证评价的的独立性，负负责内部控制制

24、设计和评价价的部门应适适当分离。企业可以委托会会计师事务所所等中介机构构实施内部控控制评价。此此时，董事会会（审计委员员会）应加强强对内部控制制评价工作的的监督与指导导。从业务性性质上讲，中中介机构受托托为企业实施施内部控制评评价是一种非非保证服务，内内部控制评价价报告的责任任仍然应由企企业董事会承承担。另外，为为保证审计的的独立性，为为企业提供内内部控制审计计的会计师事事务所，不得得同时为同一一家企业提供供内部控制评评价服务。2有关方面在在内部控制评评价中的职责责和任务。无论采取何种组组织形式，董董事会、经理理层和内部控控制评价机构构在内部控制制评价中的职职能作用不会会发生本质的的变化。一般

25、般来说：（11）董事会对对内部控制评评价承担最终终的责任。评评价指引第第四条第二款款规定，企业业董事会应当当对内部控制评价报报告的真实性性负责。董事事会可以通过过审计委员会会来承担对内内部控制评价价的组织、领领导、监督职职责。董事会会或审计委员员会应听取内内部控制评价价报告，审定定内控重大缺缺陷、重要缺缺陷整改意见见，对内部控控制部门在督督促整改中遇遇到的困难，积积极协调，排排除障碍。监监事会应审议议内部控制评评价报告，对对董事会建立立与实施内部部控制进行监监督。（2）经理层负负责组织实施施内部控制评评价工作，实实际操作中，可可以授权内部部控制评价机机构组织实施施，并积极支支持和配合内内部控制

26、评价价的开展，创创造良好的环环境和条件。经经理层应结合合日常掌握的的业务情况，为为内部控制评评价方案提出出应重点关注注的业务或事项，审审定内部控制制评价方案和和听取内部控控制评价报告告，对于内部部控制评价中中发现的问题题或报告的缺缺陷，要按照照董事会或审审计委员会的的整改意见积积极采取有效效措施予以整整改。（3）内部控制制评价机构根根据授权承担担内部控制评评价的具体组组织实施任务务，通过复核核、汇总、分分析内部监督督资料，结合合经理层要求求，拟订合理理评价工作方方案并认真组组织实施；对对于评价过程程中发现的重重大问题，应应及时与董事事会、审计委委员会或经理理层沟通，并并认定内部控控制缺陷，拟拟

27、订整改方案案，编写内部部控制评价报报告，及时向向董事会、审审计委员会或或经理层报告告；沟通外部部审计师，督督促各部门、所所属企业对内内、外部内控控评价进行整整改；根据评评价和整改情情况拟订内部部控制考核方方案。（4）各专业部部门应负责组组织本部门的的内控自查、测测试和评价工工作，对发现现的设计和运运行缺陷提出出整改方案及及具体整改计计划，积极整整改，并报送送内部控制机机构复核，配配合内控机构构（部门）及及外部审计师师开展企业层层面的内控评评价工作。（5）企业所属属单位，也应应逐级落实内内部控制评价价责任，建立立日常监控机机制，开展内内控自查、测测试和定期检检查评价，发发现问题并认认定内部控制制

28、有缺陷，需需拟订整改方方案和计划，报报本级管理层层审定后，督督促整改，编编制内部控制制评价报告，对对内部控制的的执行和整改改情况进行考考核。企业内部控制评评价办法中的的原则、内容容、程序、方方法和报告形形式参考本解解读其他部分分的规定。二、关于内部控控制评价的内内容（一）内部控制制评价的内容容和工作底稿稿设计评价指引第第五条到第十十条具体介绍绍了内部控制制评价内容。内内部控制评价价应紧紧围绕绕内部环境、风风险评估、控控制活动、信信息与沟通、内内部监督五要要素进行，企企业应结合企企业内部控制制基本规范、各各项应用指引引以及本企业业的内部控制制制度，确定定具体评价内内容，对内部部控制设计与与运行情

29、况进进行全面评价价。内部环境评价应应当包括组织织架构、发展展战略、人力力资源、企业业文化、社会会责任等方面面。组织架构构评价可以重重点从机构设设置的整体控控制力、权责责划分、相互互牵制、信息息流动路径等等方面进行；发展战略可可以重点从发发展战略的制制定合理性、有有效实施和适适当调整三方方面进行；人人力资源评价价应当重点从从企业人力资资源引进结构构合理性、开开发机制、激激励约束机制制等方面进行行；企业文化化评价应从建建设和评估两两方面进行，从从而促进诚信信、道德价值值观的提升，为为内部控制的的完善夯实人人文基础；社社会责任可以以从安全生产产、产品质量量、环境保护护与资源节约约、促进就业业、员工权

30、益益保护等方面面进行。风险评估评价应应当对日常经经营管理过程程中的目标设设定、风险识识别、风险分分析、应对策策略等进行认认定和评价。控制活动评价应应对企业各类类业务的控制制措施与流程程的设计有效效性和运行有有效性进行认认定和评价。信息与沟通评价价应当对信息息收集、处理理和传递的及及时性、反舞舞弊机制的健健全性、财务务报告的真实实性、信息系系统的安全性性，以及利用用信息系统实实施内部控制制的有效性进进行认定和评评价。内部监督评价应应当对管理层层对于内部监监督的基调、监监督的有效性性及内部控制制缺陷认定的的科学、客观观、合理进行行认定和评价价。重点关注注监事会、审审计委员会、内内部审计机构构等是否

31、在内内部控制设计计和运行中有有效发挥作用用。企业应当以内部部控制五要素素为基础，建建立内部控制制核心指标体体系，在以上上评价内容的基基础上，层层层分解、展开开，进一步细细化，以下列列举了可供参参考核心指标标（见附件11）。对于内内容不能详尽尽的，如控制制活动涉及方方方面面的业业务，可以另另外按业务列列表增加。具体评价内容确确定后，根据据评价指引引第十一条条规定，内部部控制评价工工作应形成工工作底稿，详详细记录企业业执行评价工工作的内容，包包括评价要素素、主要风险险点、采取的的控制措施、有有关证据资料料以及认定结结果等。工作作底稿可以是是通过一系列列评价表格加加以实现。三、关于内部控控制评价的程

32、程序评价指引第第十二条至第第十四条对企企业组织内部部控制评价程程序和人员、预预算作出具体体规定。（一）内部控制制评价的一般般程序内部控制评价程程序一般包括括：制定评价价工作方案、组组成评价工作作组、实施现现场测试、汇汇总评价结果果、编报评价价报告等。概概括而言，主主要分为以下下几个阶段：1准备阶段（1）制定评价价工作方案。内内部控制评价价机构应当根根据企业内部部监督情况和和管理要求，分分析企业经营营管理过程中中的高风险领领域和重要业业务事项，确确定检查评价价方法，制定定科学合理的的评价工作方方案，经董事事会批准后实实施。评价工工作方案应当当明确评价主主体范围、工工作任务、人人员组织、进进度安排

33、和费费用预算等相相关内容。评评价工作方案案既以全面评评价为主，也也可以根据需需要采用重点点评价的方式式。（2）组成评价价工作组。评评价工作组是是在内部控制制评价机构领领导下，具体体承担内部控控制检查评价价任务。内部部控制评价机机构根据经批批准的评价方方案，挑选具具备独立性、业业务胜任能力力和职业道德德素养的评价价人员实施评评价。评价工工作组成员应应当吸收企业业内部相关机机构熟悉情况况、参与日常常监控的负责责人或业务骨骨干参加。企企业应根据自自身条件，尽尽量建立长效效内部控制评评价培训机制制。2实施阶段（1）了解被评评价单位基本本情况。充分分与企业沟通通企业文化和和发展战略、组组织机构设置置及职

34、责分工工、领导层成成员构成及分分工等基本情情况。（2）确定检查查评价范围和和重点。评价价工作组根据据掌握的情况进进一步确定评评价范围、检检查重点和抽抽样数量，并并结合评价人人员的专业背背景进行合理理分工。检查查重点和分工工情况可以根根据需要进行行适时调整。（3）开展现场场检查测试。评评价工作组根根据评价人员员分工，综合合运用各种评评价方法对内内部控制设计计与运行的有有效性进行现现场检查测试试，按要求填填写工作底稿稿、记录相关关测试结果，并并对发现的内内部控制缺陷陷进行初步认认定。3汇总评价结结果、编制评评价报告阶段段评价工作组汇总总评价人员的的工作底稿，初初步认定内部部控制缺陷，形形成现场评价

35、价报告。评价价工作底稿应应进行交叉复复核签字，并并由评价工作作组负责人审审核后签字确确认。评价工工作组将评价结结果及现场评评价报告向被被评价单位进进行通报，由由被评价单位位相关责任人人签字确认后后，提交企业业内部控制评评价机构。内部控制评价机机构汇总各评评价工作组的的评价结果，对对工作组现场场初步认定的的内部控制缺缺陷进行全面面复核、分类类汇总；对缺缺陷的成因、表表现形式及风风险程度进行行定量或定性性的综合分析析，按照对控控制目标的影影响程度判定定缺陷等级。内部控制评价机机构以汇总的的评价结果和和认定的内部部控制缺陷为为基础，综合合内部控制工工作整体情况况，客观、公公正、完整地地编制内部控控制

36、评价报告告，并报送企企业经理层、董董事会和监事事会，由董事事会最终审定定后对外披露露。4报告反馈和和跟踪阶段对于认定的内部部控制缺陷，内内部控制评价价机构应当结结合董事会和和审计委员会会要求，提出出整改建议，要要求责任单位位及时整改，并并跟踪其整改改落实情况；已经造成损损失或负面影影响的，企业业应当追究相相关人员的责责任。（二）内部控制制评价的频率率企业每年应对内内部控制进行行评价并予以以披露。但是是内部控制自自我评价的方方式、范围、程程序和频率，由由企业根据经经营业务调整整、经营环境境变化、业务务发展状况、实实际风险水平平等自行确定定。国家有关关法律法规另另有规定的，从从其规定。另外，如果内

37、部部监督程序无无效，或所提提供信息不足足以说明内部部控制有效，应应增加评价的的频率。（三）内部控制制评价的方法法评价指引第第十五条规定定，内部控制制评价工作组组应当对被评评价单位进行行现场测试，综综合运用个别别访谈、调查查问卷、专题题讨论、穿行行测试、实地地查验、抽样样和比较分析析等方法，充充分收集被评评价单位内部部控制设计和和运行是否有有效的证据，按按照评价的具具体内容，如如实填写评价价工作底稿，研研究分析内部部控制缺陷。1个别访谈法法个别访谈法主要要用于了解公公司内部控制制的现状，在在企业层面评评价及业务层层面评价的了了解阶段经常常使用。访谈谈前应根据内内部控制评价价需求形成访访谈提纲，撰

38、撰写访谈纪要要，记录访谈谈的内容。2调查问卷法法调查问卷法主要要用于企业层面评价价。调查问卷卷应尽量扩大大对象范围，包包括企业各个个层级员工，应应注意事先保保密性，题目目尽量简单易易答（如答案案只需为“是”、“否”、“有”、“没有”等等）。3穿行测试法法穿行测试法是指指在内部控制制流程中任意意选取一笔交交易作为样本本，追踪该交交易从最初起起源直到最终终在财务报表表或其他经营营管理报告中中反映出来的的过程，即该该流程从起点点到终点的全全过程（例如如，在保险公公司的内部控控制评价中，选选取一笔保险险新单，追踪踪其从投保申申请到财务入入账的全过程程），以此了了解控制措施施设计的有效效性，并识别别出关

39、键控制制点。4抽样法抽样法分为随机机抽样和其他他抽样。随机抽样是指按按随机原则从从样本库中抽抽取一定数量量的样本；其其他抽样是指指人工任意选选取或按某一一特定标准从从样本库中抽抽取一定数量量的样本。5实地查验法法实地查验法主要要针对业务层层面控制，它它通过使用统统一的测试工工作表，与实实际的业务、财财务单证进行行核对的方法法进行控制测测试。如实地地盘点某种存存货。6比较分析法法比较分析法是指指通过数据分分析，识别评评价关注点的的方法。数据据分析可以是是与历史数据据、行业（公公司）标准数数据或行业最最优数据等进进行比较。7专题讨论法法专题讨论法主要要是集合有关关专业人员就就内部控制执执行情况或控

40、控制问题进行行分析，既可可以是控制评评价的手段，也也是形成缺陷陷整改方案的的途径。此外，还可以使使用观察、重重新执行等方方法，也可以以利用信息系系统开发检查查方法，或利利用实际工作作和检查测试试经验。对于于企业通过系系统采用自动动控制、预防防控制的，应应在方法上注注意与人工控控制、发现性性控制的区别别。四、内部控制缺缺陷的认定内部控制缺陷是是描述内部控控制有效性的的一个负向的的维度。企业业开展内部控控制评价，主主要工作内容容之一就是要要找出内部控控制缺陷并有有针对性地进进行整改。内部控制缺陷认认定在一定程程度上决定内内部控制评价价的成效，且且具有一定难难度，还需要要运用职业判判断。为了指指导企

41、业科学学、合理地认认定内部控制制缺陷，切实实帮助企业有有效开展内部部控制评价，评评价指引第第十六条至第第十九条对内内部控制缺陷陷的分类、认认定作出专门门的解释。（一）内部控制制缺陷的分类类1按照内部控控制缺陷成因因或来源，内内部控制缺陷陷包括设计缺缺陷和运行缺缺陷。设计缺缺陷是指企业业缺少为实现现控制目标所所必需的控制制，或现存控控制设计不适适当，即使正正常运行也难难以实现控制制目标。运行行缺陷是指设设计有效（合合理且适当）的的内部控制由由于运行不当当（包括由不不恰当的人执执行、未按设设计的方式运运行、运行的的时间或频率率不当、没有有得到一贯有有效运行等）而而形成的内部部控制缺陷。内部控制存在

42、设设计缺陷和运运行缺陷，会会影响内部控控制的设计有有效性和运行行有效性。2按照影响企企业内部控制制目标实现的的严重程度，内内部控制缺陷陷分为重大缺缺陷、重要缺缺陷和一般缺缺陷。重大缺陷，是指指一个或多个个控制缺陷的的组合，可能能导致企业严严重偏离控制制目标。当存存在任何一个个或多个内部部控制重大缺缺陷时，应当当在内部控制制评价报告中中作出内部控控制无效的结结论。重要缺陷，是指指一个或多个个控制缺陷的的组合，其严严重程度低于于重大缺陷，但但仍有可能导导致企业偏离离控制目标。重重要缺陷的严严重程度低于于重大缺陷，不不会严重危及及内部控制的的整体有效性性，但也应当当引起董事会会、经理层的的充分关注。

43、一般缺陷，是指指除重大缺陷、重重要缺陷以外外的其他控制制缺陷。将内部控制评价价中发现的内内部控制缺陷陷划分为重大大缺陷、重要要缺陷和一般般缺陷，需要要借助一套可可系统遵循的的认定标准，认认定过程中还还需要内部控控制评价人员员充分运用职职业判断。一一般而言，如如果一个企业业存在的内部部控制缺陷达达到了重大缺缺陷的程度，我我们就不能说说该企业的内内部控制是整整体有效的。3按照具体影影响内部控制制目标的具体体表现形式，还还可以将内部部控制缺陷分分为财务报告告缺陷和非财财务报告缺陷陷。（二）内部控制制缺陷的认定定标准1内部控制缺缺陷的重要性性和影响程度度评价指引第第十六条规定定，企业对内内部控制缺陷陷

44、的认定，应当当以构成内部部控制的内部部监督要素中中的日常监督督和专项监督督为基础，结结合年度内部部控制评价，由由内部控制评评价机构进行行综合分析后后提出认定意意见，按照规规定的权限和和程序进行审审核，由董事事会予以最终终确定。首先，内部控制制评价从属于于内部监督，是是监督结果的的总体体现。在在企业正常的的生产经营中中，内部控制制评价倚重内内部监督；其其次，充分利利用日常监督督与专项监督督结果的基础础上，至少每每年由内部控控制评价机构构对内部控制制的五要素相相对独立地进进行评价，全全面地、综合合地分析，提提出认定意见见，报董事会会审定；第三三，企业应当当根据评价指指引，结合自自身情况和关关注的重

45、点，自自行确定内部控控制重大缺陷陷、重要缺陷陷和一般缺陷陷的具体认定定标准。第四四，根据具体体认定标准认认定企业存在在的内部控制制缺陷，由董董事会最终审审定。企业在在确定内部控控制缺陷的认认定标准时，应应当充分考虑虑内部控制缺缺陷的重要性性及其影响程程度。内部控制缺陷的的重要性和影影响程度是相相对于内部控控制目标而言言的。按照对对财务报告目目标和其他内内部控制目标标实现的影响响的具体表现现形式，下面面区分财务报报告内部控制制缺陷和非财财务报告内部部控制缺陷分分别阐述内部部控制缺陷的的认定标准。2财务报告内内部控制缺陷陷的认定标准准财务报告内部控控制是指针对对财务报告目目标而设计和和实施的内部部

46、控制。由于于财务报告内内部控制的目目标集中体现现为财务报告告的可靠性，因因而财务报告告内部控制的的缺陷主要是是指不能合理理保证财务报报告可靠性的的内部控制设设计和运行缺缺陷。换句话话说，财务报报告内部控制制的缺陷，是是指不能及时时防止或发现现并纠正财务务报告错报的的内部控制缺缺陷。将财务报告内部部控制的缺陷陷划分为重大大缺陷、重要要缺陷和一般般缺陷，所采采用的认定标标准直接取决决于由于该内内部控制缺陷陷的存在可能能导致的财务务报告错报的的重要程度。这这种重要程度度主要取决于于两个方面的的因素：（11）该缺陷是是否具备合理理可能性导致致企业的内部部控制不能及及时防止或发发现并纠正财财务报告错报报

47、。合理可能能性是指大于于微小可能性性（几乎不可可能发生）的的可能性，确确定是否具备备合理可能性性涉及评价人人员的职业判判断。（2）该该缺陷单独或或连同其他缺缺陷可能导致致的潜在错报报金额的大小小。另外，一一些迹象通常常表明财务报报告内部控制制可能存在重重大缺陷：（11）董事、监监事和高级管管理人员舞弊弊；（2）企企业更正已公公布的财务报报告；（3）注注册会计师发发现当期财务务报告存在重重大错报，而而内部控制在在运行过程中中未能发现该该错报；（44）企业审计计委员会和内内部审计机构构对内部控制制的监督无效效。一般而言，如果果一项内部控控制缺陷单独独或连同其他他缺陷具备合合理可能性导导致不能及时时

48、防止或发现现并纠正财务务报告中的重重大错报，就就应将该缺陷陷认定为重大大缺陷。重大大错报中的“重大”，涉及企业业管理层确定定的财务报告告的重要性水水平。一般企业可以采采用绝对金额额法（例如，规规定金额超过过100000元的错报应应当认定为重重大错报）或或相对比例法法（例如，规规定超过资产产总额1的的错报应当认认定为重大错错报）来确定定重要性水平平。如果企业业的财务报告告内部控制存存在一项或多多项重大缺陷陷，就不能得得出该企业的的财务报告内内部控制有效效的结论。一项内部控制缺缺陷单独或连连同其他缺陷陷具备合理可可能性导致不不能及时防止止或发现并纠纠正财务报告告中虽然未达达到和超过重重要性水平、但

49、但仍应引起董董事会和管理理层重视的错错报，就应将将该缺陷认定定为重要缺陷陷。不构成重重大缺陷和重重要缺陷的内内部控制缺陷陷，应认定为为一般缺陷。3非财务报告告内部控制缺缺陷的认定标标准非财务报告内部部控制是指针针对除财务报报告目标之外外的其他目标标的内部控制制。这些目标标一般包括战战略目标、资资产安全、经经营目标、合合规目标等。非非财务报告评评价应当作为为企业内部控控制评价的重重点。非财务报告内部部控制缺陷认认定具有涉及及面广、认定定难度大的特特点。企业可可以根据风险险评估的各项项工作，对企企业内部控制制应用指引中中每一篇应用用指引所阐述述的风险，根根据自身的实实际情况、管管理现状和发发展要求

50、，加加以细化或按按内部控制原原理补充，参参照财务报告告内部控制缺缺陷的认定标标准，合理确确定定性和定定量的认定标标准，根据其其对内部控制制目标实现的的影响程度认认定为一般缺缺陷、重要缺缺陷和重大缺缺陷。其中：定量标准，即即涉及金额大大小，既可以以根据造成直直接财产损失失绝对金额制制定，也可以以根据其直接接损失占本企企业资产、销销售收入及利利润等的比率率确定；定性性标准，即涉涉及业务性质质的严重程度度，可根据其其直接或潜在在负面影响的的性质、影响响的范围等因因素确定。以以下迹象通常常表明非财务务报告内部控控制可能存在在重大缺陷：（1）国有有企业缺乏民民主决策程序序，如缺乏“三重一大”决策程序；（

51、2）企业业决策程序不不科学，如决决策失误，导导致并购不成成功；（3）违违犯国家法律律、法规，如如环境污染；（4）管理理人员或技术术人员纷纷流流失；（5）媒媒体负面新闻闻频现；（66）内部控制制评价的结果果特别是重大大或重要缺陷陷未得到整改改。（7）重重要业务缺乏乏制度控制或或制度系统性性失效。为避免企业操纵纵内部控制评评价报告，非非财务报告内内部控制缺陷陷认定标准一一经确定，必必须在不同评评价期间保持持一致，不得得随意变更。需要强调的是，在在内部控制的的非财务报告告目标中，战战略和经营目目标的实现往往往受到企业业不可控的诸诸多外部因素素的影响，企企业的内部控控制只能合理理保证董事会会和管理层了

52、了解这些目标标的实现程度度。因而，在在认定针对这这些控制目标标的内部控制制缺陷时，我我们不能只考考虑最终的结结果，而主要要应该考虑企企业制定战略略、开展经营营活动的机制制和程序是否否符合内部控控制要求，以以及不适当的的机制和程序序对企业战略略及经营目标标实现可能造造成的影响。（三）内部控制制缺陷的报告告与整改1内部控制缺缺陷报告的格格式和途径评价指引第第十九条规定定，企业内部部控制评价机机构应当编制制内部控制缺缺陷认定汇总总表，结合日日常监督和专专项监督发现现的内部控制制缺陷及其持持续改进情况况，对内部控控制缺陷及其其成因、表现现形式和影响响程度进行综综合分析和全全面复核，提提出认定意见见（针

53、对财务务报告内部控控制的缺陷，一一般还应当反反映缺陷对财财务报告的具具体影响），并并以适当的形形式向董事会会、监事会或或者经理层报报告。重大缺缺陷应当由董董事会予以最最终认定。企企业对于认定定的重大缺陷陷，应当及时时采取应对策策略，切实将将风险控制在在可承受度之之内，并追究究有关部门或或相关人员的的责任。内部控制缺陷报报告应当采取取书面形式，可可以单独报告告，也可以作作为内部控制制评价报告的的一个重要组组成部分。一一般而言，内内部控制的一一般缺陷、重重要缺陷应定定期（至少每每年）报告，重重大缺陷应立立即报告。对对于重大缺陷陷和重要缺陷陷及整改方案案，应向董事事会（审计委委员会）、监监事会或经理

54、理层报告并审审定。如果出出现不适合向向经理层报告告的情形，例例如存在与管管理层舞弊相相关的内部控控制缺陷，或或存在管理层层凌驾于内部部控制之上的的情形，应当当直接向董事事会（审计委委员会）、监监事会报告。对于一般缺陷，可可以与企业经经理层报告，并并视情况考虑虑是否需要向向董事会（审审计委员会）、监监事会报告。2内部控制缺缺陷整改方案案及期限企业对于认定的的内部控制缺缺陷，应当及及时采取整改改措施，切实实将风险控制制在可承受度度之内，并追追究有关机构构或相关人员员的责任。企业内部控制评评价机构应当当就发现的内内部控制缺陷陷提出整改建建议，并报经经理层、董事事会（审计委委员会）、监监事会批准。获获

55、批后，应制制定切实可行行的整改方案案，包括整改改目标、内容容、步骤、措措施、方法和和期限。整改改期限超过一一年的，整改改目标应明确确近期和远期期目标以及相相应的整改工工作内容。五、关于内部控控制评价报告告内部控制评价报报告是内部控控制评价的最最终体现，按按照编制主体体、报送对象象和时间，分分为对内报告告和对外报告告。对外报告告的内容、格格式等强调符符合披露要求求，时间具有有强制性，对对内报告则主主要以符合企企业董事会（审审计委员会）、经经理层需要为为主，编制主主体层级更多多、内容上更更加详尽、格格式更加多样样，时间可以以定期或不定定期。评价价指引第二二十条规定，企企业应当根据据企业内部部控制基

56、本规规范、应用用指引和本指指引，设计内内部控制评价价报告的种类类、格式和内内容，明确内内部控制评价价报告编制程程序和要求，按按照规定的权权限报经批准准后对外报出出。（一）内部控制制评价报告的的内容和格式式评价指引第第二十一条和和二十二条规规定了对外披披露的内容，内内部控制评价价对外报告一一般包括以下下内容：1董事会声明明。声明董事事会及全体董董事对报告内内容的真实性性、准确性、完完整性承担个个别及连带责责任，保证报报告内容不存存在任何虚假假记载、误导导性陈述或重重大遗漏。2内部控制评评价工作的总总体情况。明明确企业内部部控制评价工工作的组织、领领导体制、进进度安排，是是否聘请会计计师事务所对对

57、内部控制有有效性进行独独立审计。3内部控制评评价的依据。说说明企业开展展内部控制评评价工作所依依据的法律法法规和规章制制度。4内部控制评评价的范围。描描述内部控制制评价所涵盖盖的被评价单单位，以及纳纳入评价范围围的业务事项项，及重点关关注的高风险险领域。内部部控制评价的的范围如有所所遗漏的，应应说明原因，及及其对内部控控制评价报告告真实完整性性产生的重大大影响等。5内部控制评评价的程序和和方法。描述述内部控制评评价工作遵循循的基本流程程，以及评价价过程中采用用的主要方法法。6内部控制缺缺陷及其认定定。描述适用用本企业的内内部控制缺陷陷具体认定标标准，并声明明与以前年度度保持一致或或做出的调整整

58、及相应原因因；根据内部部控制缺陷认认定标准，确确定评价期末末存在的重大大缺陷、重要要缺陷和一般般缺陷。7内部控制缺缺陷的整改情情况。对于评评价期间发现现、期末已完完成整改的重重大缺陷，说说明企业有足足够的测试样样本显示，与与该重大缺陷陷相关的内部部控制设计且且运行有效。针针对评价期末末存在的内部部控制缺陷，公公司拟采取的的整改措施及及预期效果。8内部控制有有效性的结论论。对不存在在重大缺陷的的情形，出具具评价期末内内部控制有效效结论；对存存在重大缺陷陷的情形，不不得作出内部部控制有效的的结论，并需需描述该重大大缺陷的性质质及其对实现现相关控制目目标的影响程程度，可能给给公司未来生生产经营带来来

59、相关风险。自自内部控制评评价报告基准准日至内部控控制评价报告告发出日之间间发生重大缺缺陷的，企业业须责成内部部控制评价机机构予以核实实，并根据核核查结果对评评价结论进行行相应调整，说说明董事会拟拟采取的措施施。内部控制评价报报告的参考格格式（见附件件2）。对内报告的格式式、内容应该该在符合以上上要求的基础础上进一步详详尽地设计和和表达。（二）内部控制制评价报告的的编制和报送送评价指引第第二十三条规规定，企业应应当根据年度度内部控制评评价结果，结结合内部控制制评价工作底底稿和内部控控制缺陷汇总总表等资料，按按照规定的程程序和要求，及及时编制内部部控制评价报报告。1评价报告的的编制（1）内部控制制

60、评价报告的的编制时间。企业应当根根据内部控制制评价结果和和整改情况，编编制内部控制制评价报告。内内部控制评价价报告分为定定期内部控制制评价报告和和非定期内部部控制评价报报告。企业应该定期进进行内部控制制评价并发布布内部控制评评价报告。企企业至少应该该每年进行一一次内部控制制评价并由董董事会对外发发布内部控制制评价报告。年年度内部控制制评价报告应应当以12月月31日作为为基准日。非定期内部控制制评价报告可可以是因特殊殊事项或原因因（如企业因因目标变化或或提升）而对对外发布的内内部控制评价价报告，也可可以是企业针针对发现的重重大缺陷专项项内部控制评评价等向董事事会（审计委委员会）或经经理层报送的的