内部控制评价实务标准.doc

内部控制评价实务标准

根据中天恒3C框架基于风险管理的内部控制研究结果，内部控制评价是对内部控制进行调查、测试、审查、评价、报告的动态过程，是主体构建和实施有效内部控制的重要组成部分。
内控评价概述
一般认为，内部控制评价应根据资源情况和组织需求来决定，既可以是全面内部控制评价，如对整个内部控制系统进行评价，然后把信息反馈给最高管理当局;也可以是局部评价，如对某个部门或某个控制进行评价，然后把发现的不足或某一方面控制精确度的信息反馈给某些管理人员。全面内部控制评价一般每年进行一次，而局部内部控制评价则视需要而定。
人们习惯于把内部控制评价的内容分为整体层面控制评价和业务层面控制评价。中天恒3C框架一直主张内部控制评价包括设计和执行两个方面，但关键还是执行。如果再细化，对内部控制设计层面的评价可分为设计过程和设计结果两个层面;对内部控制运行层面的评价可分为运行过程和运行结果两个层面。实践中，内部控制评价主要是对结果的评价，缺少对过程的评价。
我国企业内部控制评价的内容应以《企业内部控制基本规范》及配套指引为起点，以企业设计的《企业内部控制手册》为依据，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容。内部控制评价具体内容应由主体经营业务调整、环境变化、业务发展状态和实际风险水平等自行确定，不能固定化和模式化。
内部控制评价流程，就是内部控制评价工作从开始到结束的基本过程，一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。这是我国企业内部控制评价工作的法定程序，是必须要执行的最基本的程序。中天恒3C框架把内部控制评价流程分为评价准备、评价实施、评价报告三个阶段，每个阶段又可细分若干内容。
评价准备
评价准备是内部控制评价的首要环节，对保证内部控制评价工作有序进行具有基础性作用。评价准备的目标是获得管理层将推进该项目的承诺，了解管理层对项目实施和结果的期望，做好内部控制评价的前期准备工作。评价准备工作很多，制定评价工作方案、组成评价工作组是法定要求，也是主要工作。评价准备一般应包括：
(一)项目立项。项目立项，就是对内部控制评价工作的立项。内部控制评价是否需要进行立项，我国监管部门发布的规范对此没有明确规定，主体可根据内部管理规定执行。但实际上，内部控制评价的项目立项不是可有可无的程序，通过严肃规范的立项程序，明确内部控制评价的总体目标、基本要求和各自职责等，对获得管理层将推进该项目的承诺，了解管理层对项目实施和结果的期望，以及对内部控制评价后续工作的有序开展是需要的。本阶段主要工作是与高管层进行沟通，办理内部控制立项工作，编制内部控制评价项目立项表，并作为内部控制评价工作底稿。
(二)初步了解。初步了解，就是初步了解主体的基本情况及其内部控制状况，是制定具有针对性内部控制评价工作方案的前提。为制定评价方案或评价计划而进行的初步了解不必太详细，要求程度取决于内部控制评价组的构成以及与机构相关的经验年限。委托中介机构进行内部控制评价的，中介机构在进行实质性工作前应该对被评价单位有个全面的了解，一般要了解主体所处环境、营业特点以及内部控制的构建和运行状况等。
(三)制定方案。制定方案，就是制定内部控制评价工作方案，它是实施内部控制评价的具体依据。内部控制评价工作方案应明确本次评价的目的、范围、标准、时间安排和相应的资源配置。《企业内部控制评价指引》要求，企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。这里需要说明的是，不管内部控制评价工作方案由谁来制定，先报经相应的授权机构审批是前提。
(四)成立小组。成立小组，就是要成立内部控制评价项目组，这是内部控制评价工作能够有效进行的组织和人员上的保证。内部控制评价工作应由内部审计部门或专门机构等内部控制评价部门负责。内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体组织实施内部控制评价工作。内部控制评价机构成员除了内部审计人员之外，还应该包括主体相关部门或单位的业务骨干和部门负责人，即应该包括那些最了解各部门或单位风险的员工，这些人员可以来自战略管理部门、业务管理部门、财务会计部门、人力资源部门、信息系统管理部门以及法律部门等，因为只有最熟悉情况的管理人员才最了解控制的缺陷所在，并能针对缺陷提出很好的改进或完善建议。
评价项目组组成应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。决定执行内部控制评价工作所需的人力资源时，必须注意下列几项原则：一是对于所需的内部控制评价人员人数及经验，应取决于对内部控制评价的性质及复杂程度、时间限制及可用资源等因素