随着国际金融危机对企业影响逐步凸显，企业对内部控制的认识在不断加深，企业内部控制在经济生活和企业管理中的作用与地位也越来越重要，同时，全球经济一体化和资本市场全球化日益深入，内部控制也存在国际趋同问题。借鉴国际上较为成熟的企业内部控制框架，并结合我国实情，我国《企业内部控制——基本规范》已正式出台并实施，使我国在企业内部控制制度体系建立中一开始就站在一个较高的起点。企业内部控制评价体系既是一个有机整体，又是一项系统工程，评价与监督是企业内部控制的反馈机制，是企业内部控制一个重要组成部分。《企业内部控制评价指引》（征求意见稿）将企业内部控制评价定义为由企业董事会和管理层实施的，对企业内部控制有效性进行评价，形成评价结论，出具评价报告的过程。为此，笔者以企业内部控制评价作为研究对象，构建一套较适合于我国一般企业的内部控制评价指标体系。

一、企业内部控制评价指标体系的构建原则

（一）服务于企业战略目标的原则 企业内部控制评价作为内部控制监督的主要内容，是内部控制五要素中不可缺少的部分，是内部控制设计合理性和执行有效性的“最后一道防线”，也是合理保证企业内部控制有效性、促进企业内部控制不断改进的重要手段。因此，企业通过实施内部控制评价程序，发现内部控制缺陷，评价内部控制设计的合理性和执行的有效性，提出改进建议并跟踪建议的实施，增强企业内部控制的活力，实现内部控制良性循环，从而更好地服务于企业战略目标。

（二）“自律”和“他律”相结合的原则 企业内部控制评价作为内部控制设计合理性和执行有效性的重要保证，具有评价的全面性、评价的全员性、评价的全过程性等特点。因此，建立企业内部控制评价体系时应以“自律”为主、“他律”为辅，将“自律”和“他律”相结合，两者相互促进，共同实现企业内部控制评价总目标。

（三）评价形式多样性原则 主要体现在以下方面：

一是日常评价和专项评价。日常评价是对权益内部控制的建立与实施情况进行常规、持续的评价检查；专项评价是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对企业内部控制的某一方面或者某些方面进行有针对性的评价。

二是定期评价和不定期评价。企业内部审计应当结合内部控制的设计和执行情况，定期对内部控制进行独立评价，出具内部控制评价报告。企业也可以在企业战略、经营业务、组织结构、业务流程等发生重大变化的情况下，或者在暴露风险因素、内部控制缺陷的情况下，对内部控制设计的合理性和执行的有效性进行不定期评价，出具评价报告。

三是事前评价、事中评价和事后评价。事前评价是在内部控制设计完成但尚未正式运行阶段实施的、着重于对内部控制设计的合理性进行评价，经过事前审计的内部控制将成为事中评价和事后评价的标准；事中评价是在内部控制运行过程中实施的、着重于内部控制设计的合理性与执行的有效性而进行的评价，其目的是及时发现运行中存在的问题并及时予以纠正，把问题控制在萌芽阶段；事后评价是在业务执行完毕后对内部控制设计的合理性与执行的有效性而进行的评价，其目的是通过分析、总结，不断完善内部控制制度设计和提高执行的有效性。

（四）层层把关原则 为了强化企业内部控制的“最后一道防线”，企业建立内部控制评价体系时应牢牢把握层层把关的原则。即：控制执行部门的自我评价关；内部审计部门的独立评价关；企业外部部门的外部评价关。通过控制执行部门的自我评价，促进控制执行部门及其人员明确自身的责任，加强对企业内部控制的理解，有利于企业内部控制的有效执行；通过内部审计的独立评价，能客观、公允地提出内部控制设计和执行中的缺陷，不但有利于改进内部控制制度设计的合理性，同时有利于提高内部控制执行的有效性，而且还发挥着对控制执行部门自我评价关的再把关作用；通过外部部门如会计师事务所的外部评价，不仅对企业内部控制制度建设的状况进行鉴证，而且发挥着对前两道关再把关的第三道关作用。

（五）成本效益原则 企业内部审计建立内部控制评价体系时也需同时注意成本效益原则，不能为了评价而评价。内部审计在明确评价目标、达到评价效果的前提下，根据企业经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定评价的方式、范围、程序和频率，降低评价成本，提高评价效益。

二、企业内部控制评价指标体系设计

（一）评价主体 对企业内部控制评价，应选择内部审计作为评价主体资格，这是因为企业内部审计是企业相对独立设置部门，独立性较强，其既熟悉企业风险管理程序和企业经营情况，又符合《企业内部控制评价指引》中“企业可以授权内部审计部门负责组织和实施内部控制评价工作”的规定。在评价过程中，企业内部审计可以依据中国内部审计协会颁布实施的《内部审计具体准则第5号——内部控制审计》中有关内容获取充分、有效评价证据，形成评价工作底稿，支撑评价结果，保证评价结果公允性和合法性。

（二）评价内容 企业内部审计对企业内部控制评价主要包括对企业内部控制设计有效性和运行有效性评价两个方面，其中：设计有效性评价主要是为实现企业战略目标所必需的内部控制要素都存在且设计恰当；运行有效性评价是指企业现有内部控制制度是否按照规定程序得到正确执行。

（三）企业内部控制评价指标体系设计 企业内部控制评价指标体系是指企业内部控制评价范畴内有关事项相互联系、相互制约而形成的一个内涵与外延相统一的有机系统。该指标体系应既能反映理论的前瞻性，又具有指导实际评价的可操作性，满足企业内部控制评价原则和要求。企业内部控制评价指标设计应该符合企业内部控制完整性、合理性和有效性的要求。在企业内部控制评价的三个一般标准中，有效性以其完整性与合理性为基础，完整性与合理性则以有效性为目的。若企业内部控制评价不具有完整性与合理性，则企业内部控制的有效性无从谈起；同理，若企业内部控制评价失出了有效性，则企业内部控制的完整性与合理性也就丧失了基本意义。为此，应以《企业内部控制基本规范》中五要素作为研究对象，通过借鉴最新研究成果，采取综合评分法和层次分析法，运用模糊综合评价模型，设计适用于企业内部审计在开展内部控制评价的指标体系，该指标体系包括总体评价指标和具体评价指标两部分内容。假设内部审计对企业内部控制独立评价设为N，企业内部环境设为F，风险评估设为P，控制活动设为K，信息与沟通设为X，内部监督设为J，则内部审计对企业内部控制评价可以用如下数学表达式（1）来表示。

（1）

具体评价模型构建方法如下：

第一步，建立内部控制评价因素集和评语集。根据内部控制评价指标体系，建立因素评价集合：N=︱N1，N2，N3，N4，N5︱。其中，N1=︱F1，F2，F3，F4，F5，F6，F7︱，N2=︱P1，P2，P3，P4︱，N3=︱K1，K2，K3︱，N4=︱X1，X2，X3︱，N5=︱J1，J2，J3︱。

为了评价所评价对象的优劣程度，还需建立评语集，本评价模型取n=3,并将V1,V2,V3定义为符合、基本符合和不符合3个档次，则评语集可表示为：V=︱V1，V2，V3︱。

第二步，确定评价权重集。评价指标权数确定关系到每个评价指标在整个评价体系中所起作用不同，因此，必须合理确定权重。笔者结合五要素在企业内部控制中作用重要程度，采取德菲尔法，根据各指标在评价中作用大小预先对各项指标赋予一定分值，采取百分制方式，由各位内部审计专家多次打分，最后求出算术平均数确定，内部控制评价指标分值分布如下：内部环境（F）30分，风险评估（P）25分，控制活动（K）20分，信息与沟通（X）15分，内部监督（J）10分。

第三步，评价结果评判。按内部控制评价指标设计具体的二级指标，然后予以赋值，将评价结果分为三个档次，即有效、基本有效、无效。（１）设计与运行有效。当上述指标符合要求时，即企业内部控制各构成要素的评价指标值≥80分，且只允许一个二级指标分值稍低，但不能低于该项分值的80%，二者缺一则降一个等级。（２）设计与运行基本有效。当基本符合上述指标要求时，即内部控制各要素的评价指标值为60分≤指标值＜80分，且各二级指标的分值不能低于该项分值的60%；在重要业务领域，均制定了相应的企业内部控制制度，基本适应企业业务发展和风险防范的需要，但部分内部控制设计的操作性不强，运行是有效的，个别业务领域和管理环节没有设计相应内部控制制度。（３）设计与运行无效。即企业内部控制不符合上述指标要求，二级指标中的各单项指标得分值＜60分，说明企业内部控制设计存在严重缺陷，重要业务领域或操作环节缺乏相应的内部控制，业务发展缺乏内部控制，潜在风险已影响企业的生存与发展。

三、企业内部控制评价程序与方法

（一）制定评价方案 企业内部审计在制定评价方案中应充分考虑评价人员知识结构和能力水平、评价原则是否遵循风险导向和自上而下原则、评价范围是否包括企业分支机构、重要业务单元、重点业务领域和业务环节或流程，评价指标和评价标准可行性及获取评价证据方式等内容。

（二）实施评价工作 企业内部审计应根据批准评价方案组织实施评价工作，在评价工作中通过个别访谈、调查问卷、比较分析、标杆企业、穿行测试、抽样和实地查验等方法收集、确认、分析相关评价信息，获取充分、相关、可靠评价证据，对企业内部控制进行有效性评价，并作出书面记录，形成评价工作底稿。

（三）出具评价报告 企业内部审计应当企业内部控制评价具体情况，并结合评价过程中发现企业内部控制重大缺陷、重要缺陷或设计缺陷和运行缺陷，出具内部控制评价报告，报告内容主要包括评价主体、评价内容、评价标准和缺陷类型及解决措施等内容向企业董事会、监事会和管理层报告。

四、企业内部控制评价的实践研究——以广西为例

（一）样本来源 采用上述数学评价公式（1），在广西区内选取了有代表性的企业的内部控制进行评价检验，为了便于分析，将调研样本分为非上市公司和上市公司两类，最后评价结果采取算术平均数确定，以比较不同企业类型内部控制有效性，见表1。

表1 广西部分企业内部控制要素评价一览表

企业类型
内部环境
风险评估
控制活动
信息与沟通
监督
总得分

上市公司
28
19
18
11
7
83

非上市公司
8.5
16
13
10
6
53.5


（二）非上市公司 企业内部审计部门经过客观公正评判，非上市公司内部控制评价各一级指标中内部环境为8.5分，风险评估为16分，控制活动为13分，信息与沟通为10分，内部控制为6分，综合总分为53.5分。根据统计结果评价，结论为企业内部控制设计与执行有效性不足，企业内部控制设计存在严重缺陷，重要业务领域或操作环节缺乏相应的内部控制，业务发展缺乏内部控制，潜在风险已影响企业的生存与发展。

（三）上市公司 企业内部审计部门经过客观公正评判，上市公司内部控制评价各一级指标中内部环境为28分，风险评估为19分，控制活动为18分，信息与沟通为10分，内部控制为6分，综合总分为83分。根据统计结果评价，结论为企业内部控制设计与执行有效，重要业务领域均制定了相应的企业内部控制制度且操行性强，能够适应企业业务发展和风险防范的需要。

（四）非上市公司与上市公司比较 从所选取广西的企业内部控制评价结果来看，上市公司的内部控制设计及运行较非上市公司更为有效。两者最大的差距在于内部环境、风险评估和控制活动，特别是内部环境，上市公司这方面评价得分为28分，较非上市公司的8.5分多了19.5分，图2直观地反映了这个差距。



图2 内部控制评价得分比较

测试结果表明，虽然上市公司的评价结论比运行有效的标准值稍高一点，但也应该看到，上市公司的内部控制设计与运行较非上市公司更为有效。

五、研究结论及政策建议

（一）加强政策引导 从政府层面来看，虽然《企业内部控制基本规范》已经颁布并实施，《企业内部控制评价指引》（征求意见稿）也已经出台，但由于我国企业普遍风险意识淡薄，因此，各级政府特别是审计管理部门应借这次机会，大力开展宣传教育工作，引导企业规范内部控制，树立风险管理意识，并积极推动基本规范在除了上市公司以外更多的企业执行。

（二）改善企业内部控制环境 非上市公司较上市公司最大的差距在于内部控制环境的区别，因此，企业应加强企业治理结构的建设，建立合理的职责分工和制衡机制，成立具备专业素质和独立性的内部控制组织和内部审计机构，努力培育健康向上的企业文化，加强法制教育合法经营，制定并实施有利于企业可持续发展的人力资源政策，切实提高员工素质。

（三）重构内部审计体系 从目前大多数企业的现状看，内部审计缺乏独立性。由于内部控制涉及企业的方方面面，因此，为加强内部审计机构的独立性和权威性，可以按照现代内部审计的要求，参考图1创建企业内部审计体系。



审计




图3 内部审计组织地位图

（四）转变内部审计职能 内部审计的传统职能为查错防弊的财务审计，这已经跟不上企业风险管理的需要，因此，应当向为企业内部的管理、决策和效益服务的管理审计转变。同时，将公司治理、内部控制和内部审计结合起来，以形成完整的内部审计监督与评价机制。应当将提高企业经济效益作为内部审计追求的目标，将管理作为内部审计的切入点，积极发挥其在内部控制中监督职能，通过评价内部控制有效性从而为董事会、经营层提供决策依据和建议，以提高内部控制制度运行的效果效率。

（五）构建合理的内部控制评价体系 从企业层面上看，企业管理者当局应该尽快结合企业内部控制实际情况，按照《企业内部控制基本规范》主要内容，并参照《企业内部控制评价指引》（征求意见稿）修改完善企业内部控制制度，企业内部审计部门结合企业内控现状参考评价标准制定企业内部控制评价细则，并付诸实施，不断完善评价指标体系，形成适应本企业内部控制评价指标体系。通过实施内部控制评价评价程序，发现内部控制缺陷，评价内部控制设计的合理性和执行的有效性，提出改进建议并跟踪建议的实施，增强企业内部控制的活力，实现内部控制良性循环，从而更好地服务于企业战略目标。


参考文献：

[1]周春喜：《内控会计控制评价指标体系》，《审计研究》2002年第2期。

[2]王立勇：《内部控制系统评价定量分析的数学模型》，《审计研究》2004年第4期。

[3]王素莲：《企业内部控制评价指标体系研究》，《山西大学学报》(哲社版)2005年第6期。

[4]戴彦：《企业内部控制评价体系的构建》，《会计研究》2006年第1期。

[5]于增彪、王竞达等：《企业内部控制评价指标体系的构建》，《审计研究》2007年第3期。

[6]王卫星、赵钢：《高校内部控制评价指标体系的构建与应用》，《审计与经济研究》2008年第6期。