企业内部控制评价指引指引

引言在现代企业治理结构中，内部控制作为防范风险、提升管理效率、保障信息真实可靠的重要手段，其有效性直接关系到企业的稳健运营与可持续发展。内部控制评价，作为对企业现有内部控制体系设计与运行有效性的系统性检验与评估，是企业持续优化内控机制、提升治理水平的关键环节。本指引旨在为企业开展内部控制评价工作提供一套相对完整、具有操作性的框架与思路，助力企业夯实管理基础，释放内控价值。一、内部控制评价的定义与目标（一）定义内部控制评价，是指企业董事会或类似权力机构（以下统称“董事会”）对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。这里的“有效性”，既包含内部控制设计的有效性，也包含内部控制运行的有效性。设计有效性指为实现控制目标所必需的控制要素是否存在且设计恰当；运行有效性指现有控制要素是否按照规定的程序得到了正确执行。（二）目标企业开展内部控制评价，旨在：1.评估现状：全面了解企业内部控制体系的建立健全情况及实际运行效果。2.识别缺陷：及时发现内部控制设计或运行中存在的缺陷与不足。3.改进提升：为优化内部控制流程、完善制度、提升执行力提供依据，促进企业管理水平的持续提升。4.保障合规：确保企业经营管理活动符合法律法规及内部规章制度的要求。5.提升价值：通过有效的内部控制，降低经营风险，提高运营效率，保护投资者利益，最终提升企业整体价值。二、内部控制评价的基本原则企业在实施内部控制评价过程中，应遵循以下基本原则：（一）全面性原则评价工作应覆盖企业所有业务流程和管理环节，涉及所有部门和层级，关注各项内部控制要素，确保评价范围的完整性，避免盲点。（二）重要性原则在全面评价的基础上，应根据风险评估结果，重点关注高风险领域和关键控制点，合理分配评价资源，提高评价效率和效果。（三）客观性原则评价工作应以事实为依据，以制度为准绳，客观公正地识别和评估内部控制缺陷，避免主观臆断和个人偏见。评价证据应具有充分性和适当性。（四）系统性原则评价工作应采用系统化的方法，按照规定的流程有序开展，确保评价过程规范、结果可靠。（五）持续性原则内部控制评价并非一次性工作，而是一个动态持续的过程。企业应建立常态化的内部控制评价机制，定期或不定期开展评价，并根据内外部环境变化及时调整评价重点。三、内部控制评价的内容内部控制评价应围绕企业内部控制的五要素展开，具体内容包括：（一）控制环境评价企业治理结构、机构设置及权责分配、内部审计机制、人力资源政策、企业文化等方面是否为内部控制的有效运行提供了良好基础。重点关注管理层对内部控制的重视程度、员工的职业道德和胜任能力、以及权力制衡机制的有效性。（二）风险评估评价企业是否建立了有效的风险评估机制，能够及时识别、分析与经营管理目标相关的内外部风险，并确定相应的风险应对策略。关注风险评估的全面性、及时性以及应对措施的适当性。（三）控制活动评价企业是否针对已识别的风险点，采取了必要的控制措施，包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。关注控制措施的设计是否科学、执行是否到位。（四）信息与沟通评价企业是否建立了能够及时、准确、完整地收集、处理和传递与经营管理相关信息的机制，并确保信息在企业内部各层级、各部门之间以及与外部利益相关者之间的有效沟通。关注信息系统的可靠性、信息传递的效率以及反舞弊机制的健全性。（五）内部监督评价企业是否建立了持续的内部监督机制，包括日常监督和专项监督，以确保内部控制能够得到有效维护和改进。重点关注内部审计机构的独立性、监督程序的有效性以及对监督发现问题的整改落实情况。四、内部控制评价的程序与方法（一）评价程序1.制定评价方案：明确评价目标、范围、方法、进度安排、人员分工等。评价方案应结合企业实际情况和年度风险评估结果进行制定。2.组成评价工作组：选拔具备专业胜任能力、独立性和客观性的人员组成评价工作组，并进行必要的培训。3.实施现场测试与资料收集：评价工作组根据评价方案，采用适当的方法对被评价单位的内部控制进行现场测试，收集充分、适当的证据。4.认定控制缺陷：根据测试结果，对照内部控制缺陷的认定标准，识别和认定内部控制设计缺陷和运行缺陷，并进行分析和描述。5.汇总评价结果：评价工作组对发现的缺陷进行汇总、分类、分析，形成初步的评价结论，并与被评价单位进行沟通确认。6.编制评价报告：根据汇总的评价结果和初步结论，编制内部控制评价报告，提交董事会审议。（二）评价方法企业在实施内部控制评价时，可综合运用以下方法：1.访谈法：与企业各级管理人员和员工进行访谈，了解内部控制的设计与执行情况。2.检查法：查阅企业的规章制度、业务流程文件、会议纪要、会计凭证、合同协议等资料，检查控制措施的落实情况。3.观察法：实地观察员工执行岗位职责、操作流程的情况，判断控制活动的实际运行状态。4.穿行测试法：选取某一业务流程，按照规定的程序从头到尾模拟执行一遍，以验证控制措施的有效性和实际执行的一致性。5.抽样法：对具有代表性的样本进行测试，以推断总体的控制情况。6.比较分析法：将企业现行的内部控制与相关法律法规、行业标准或最佳实践进行比较，识别差异和不足。企业应根据评价内容的特点和实际需要，选择合适的评价方法，确保评价结果的客观性和准确性。五、内部控制缺陷的认定与报告（一）缺陷的分类内部控制缺陷按其影响程度可分为重大缺陷、重要缺陷和一般缺陷。*重大缺陷：指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标，给企业造成重大损失或负面影响。*重要缺陷：指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标，应引起管理层的高度重视。*一般缺陷：指除重大缺陷、重要缺陷之外的其他控制缺陷。（二）缺陷的认定标准企业应根据自身规模、业务特点、风险承受能力等因素，制定明确的内部控制缺陷认定标准，并保持相对稳定。认定标准应至少包括定性标准和定量标准。定性标准主要考虑缺陷的性质、潜在影响等；定量标准主要考虑缺陷可能导致的损失金额或偏离程度等。（三）评价报告内部控制评价报告是内部控制评价工作的最终成果，应至少包含以下内容：1.董事会对内部控制报告真实性的声明；2.内部控制评价工作的总体情况；3.内部控制评价的依据、范围和方法；4.内部控制缺陷的认定标准；5.内部控制缺陷的发现与认定情况（包括重大缺陷、重要缺陷和一般缺陷的具体描述）；6.内部控制缺陷的整改措施及计划；7.内部控制有效性的结论（对是否存在重大缺陷做出声明）。评价报告应客观、公正、清晰地反映企业内部控制的实际情况。六、内部控制评价结果的运用与持续改进内部控制评价的最终目的在于改进。企业应高度重视评价结果的运用：1.缺陷整改：对于评价中发现的内部控制缺陷，尤其是重大缺陷和重要缺陷，企业应明确整改责任部门、责任人和整改期限，制定切实可行的整改方案，并跟踪整改进度和效果，确保缺陷得到及时有效的修复。2.制度修订与流程优化：结合评价结果，对现行的规章制度、业务流程进行梳理和完善，堵塞管理漏洞，提升控制活动的针对性和有效性。3.考核与问责：将内部控制评价结果及缺陷整改情况纳入企业绩效考核体系，对内部控制有效执行和改进做出贡献的部门和个人给予表彰，对因内部控制失效或整改不力导致损失的，应追究相关人员责任。4.管理提升：将内部控制评价作为提升企业整体管理水平的契机，通过持续的评价与改进，推动企业治理结构的完善、风险意识的增强和经营效率的提升。5.信息披露：按照相关法律法规要求，上市公司需对外披露年度内部控制评价报告，接受市场和投资者的监督。非上市企业也应根据需要向内部治理层和利益相关者报告评价结果。七、内部控制评价的组织与保障1.董事会的领导责任：董事会对企业内部控制的建立健全和有效实施负责，对内部控制评价报告的真实性、完整性负责。可授权审计委员会负责内部控制评价的组织协调工作。2.管理层的实施责任：经理层负责组织领导企业内部控制的日常运行，并积极配合内部控制评价工作，提供必要的资源和支持，确保评价工作顺利开展。3.内部审计部门的作用：内部审计部门通常可作为内部控制评价工作的具体组织实施者，或对评价工作进行监督和质量把关，确保评价过程的独立性和评价结果的客观性。4.全员参与：内部控制评价不仅是管理层或特定部门的工作，需要企业全体员工的理解、支持和参与。各业务部门应积极配合评价工作，如实提供情况和资料，并对本部门的内部控制有效性负责。5.专业能力保障：企业应加强对内部控制评价人员的培训，提升其专业素养和评价技能，确保评价工作的质量。必要时，可聘请外部专业机构提供咨询或协助。6.信息化支持：积极利用信息化手段，提升内部控制评价工作的效率和准确性，