《企业内部控制基本规范》第四十六条明确规定：“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告”，这一规定将内部控制评价作为一项政策性的要求呈现在了我们面前。随后发布的《企业内部控制评价指引》（以下简称“评价指引”）则给企业提供了内部控制评价的实施依据，让迷茫中的企业有章可循。因此，企业应该认真解读和学习该指引，评价内部控制的设计与运行情况，规范内部控制的评价程序和评价报告，揭示和防范风险。

一、内部控制评价的概念及作用

企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。完整、客观、有效的内部控制评价不仅是政策的要求，更对企业有着不容忽视的作用。

（一）内部控制评价有助于管理层发现并纠正企业内部控制中存在的问题，完善内部控制体系

内部控制评价是通过评价、反馈调整、再评价的方法，报告企业在内部控制建立与实施中存在的问题，并持续地进行自我完善的过程。通过内部控制评价发现和分析内部控制缺陷并有针对性地进行整改，可以及时完善管理制度，防范影响企业目标实现的多种风险，从而促进企业内部控制体系的不断完善。

（二）内部控制评价有助于利益相关者深入了解企业情况并增强对企业的信心

企业开展内部控制评价的最后一步是形成评价结论，出具评价报告。通过内部控制评价报告，企业可以将自身的内部控制状况、风险管理水平以及与此相关的发展战略、经营目标、可持续竞争优势等公布于众，树立诚信、透明、负责任的企业形象，有利于投资者、债权人以及其他利益相关者深入对了解企业的实际情况并增强信任度和认可度，为自己创造更有利的外部环境，促进企业的长远发展。

（三）内部控制评价有助于内部控制五要素的建立，在企业内部营造内部控制的良好氛围并形成正式、系统的内部控制，有效实现与政府监管的协调互动

在“评价指引”的带动下，企业进行内部控制评价并作出评价报告，这一过程将贯穿企业整个生产经营流程和内部各个部门，这样一来内部控制的实施将深入人心，有助于企业内部控制五要素的建立，并在企业形成良好的内部控制氛围。同时，审计指引要求注册会计师对企业内部控制设计与运行的有效性进行监督检查并出具审计报告。实施企业内部控制自我评价，能够通过自我检查及早排查风险、发现问题，并积极完善，有利于在配合政府监管中赢得主动，并借助监管成果进一步改进企业内部控制实施和评价工作，促进自我评价与政府监管的协调互动。


二、评价指引带来的挑战

根据评价指引的要求，企业应当结合企业实际情况，对战略目标、经营管理的效率和效果目标、财务报告及相关信息真实完整目标、资产安全目标、合法合规目标等单个或整体控制目标的实现进行评价。同时，内部控制评价能否有效发挥它在企业中的作用，取决于企业能否有效实施内部控制自我评价。因此，未进行过内部控制评价或者只进行过简单内部控制评价的企业，将面临很大的困难和挑战，具体体现在以下四个方面：

（一）内部控制评价的内容广泛，包括内部环境、风险评估、控制活动、信息与沟通、内部监督五项要素

企业应结合内部控制五要素、各项应用指引以及企业自身的内部控制制度，确定具体评价内容，对内部控制设计与运行情况进行全面评价。可以看出，内部控制评价不同于外部审计，不仅需要评价与财务报告相关的内部控制，还包括非财务报告内部控制评价。这一点也不同于美国萨班斯法案要求的企业内部控制自我评估，是我们国家的一个创新。我们国家要求的内部控制评价范围相对更广，有利于企业全面实现内部控制目标，也将面临很大的挑战。

（二）内部控制评价对评价的方法、程序、底稿等要求很高，体现了专业审计的特点

评价指引的表述很简练，仅仅包括总则、评价内容、程序、缺陷认定和评价报告五章内容。这给人一种内部控制评价的具体实施并不具有挑战性的假象，实则不然。一方面，评价指引要求企业在评价过程中形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料；另一方面，内部控制评价所要求的程序、方法及报告与专业的审计有很多相似之处，比如测试范围的确定、拟测试的关键控制、确定样本量、选择样本、记录测试结果等。这对非审计专业的评价人员来说是一个不小的挑战。

（三）内部控制缺陷的认定与操作规范的确定具有很高的难度

评价指引要求企业根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。其划分标准以日常监督和专项监督为基础，结合年度内部控制评价，由企业根据评价指引要求自行确定，而在新规范出台以前，企业在这一领域相关的制度和操作规范基本上是空白，这给缺陷的认定带来了很大的困难。虽然缺陷的认定属于操作范畴，但其重要性不容小觑，否则将严重影响内部控制评价实施的效果。
（四）监管上的要求变化

新的评价指引发布之前，上市公司的内部控制自我评估报告一般由注册会计师实施审核并对企业的自我评估出具鉴证报告，即对公司内部控制自我评估报告进行审阅、复核。而新的评价指引发布之后，注册会计师不再对上市公司内部控制自我评价报告进行审阅和复核，而是对企业的内部控制（主要是与财务报告相关的）发表审计意见。如果企业不认真进行内部控制评价，就将面临自我评价意见与注册会计师内部控制审计报告意见不一致的尴尬，降低社会公众对企业的信任度和认可度。

三、应对挑战可采取的措施

面对新规范新评价指引带来的挑战，企业应当采取措施积极应对，按照评价指引的要求高质量地完成内部控制评价工作，为企业经营活动的正常运行提供良好基础，促进企业价值的实现。针对以上面临的挑战，企业应当结合自身情况，在对评价指引进行学习的基础上，采取如下的应对措施：

（一）认真解读评价指引，在明确下列几个大的问题的前提下展开内部控制评价

第一，内部控制评价的对象是内部控制的有效性。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。第二，内部控制评价的原则是开展评价工作应该注意的原则。评价指引第三条规定，企业对内部控制评价至少遵循以下原则：全面性原则、重要性原则和客观性原则，强调的是内部控制评价的范围应当涵盖企业及其所属单位的各种业务和事项、应当在全面性的基础之上着眼于风险、突出重点、准确地揭示经营管理的风险状况，如实反映内部控制设计和运行的有效性。第三，内部控制评价的内容包括内部环境、风险评估、控制活动、信息与沟通、内部监督五个方面。同时，应形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

（二）设置有效的内部控制评价机构，配备具有专业胜任能力的评价人员

内部控制评价可以授权内部审计机构或专门机构负责，特别注意的是，若将内部控制授权给内部审计机构，应明确内部控制和内部审计的区别和联系。内部审计是内部控制评价的重要组成部分，但其所执行的工作并不足以代替内部控制评价的所有方面。内部审计和内部控制又是相互促进的，内部审计有助于内部控制评价，内部控制评价又提高了内部审计的效率。无论是授权内部审计机构还是设立专门的机构，为内部控制配备具有专业胜任能力的评价人员都是至关重要的。在新规范的要求下，企业应实施的评价程序已经接近于外部审计，对于普通的会计人员来说，要完成这一任务是比较困难的。为此，企业可以引进专业或者具有足够审计知识的人员，或者组织专家对会计人员进行培训，学习新规范要求下的相关评价方法、程序和知识。

（三）内部控制缺陷的认定

内部控制缺陷是描述内部控制有效性的一个负向的维度，企业开展内部控制评价，主要工作内容之一就是要找出内部控制缺陷并有针对性地进行整改。内部控制缺陷认定在一定程度上决定内部控制评价的成效，且具有一定难度，还需要运用职业判断。在正确分析企业经营活动链条和内部控制体系的基础上进行客观评价，切实做到客观地认识内部控制，正确区分重大缺陷、重要缺陷和一般缺陷，对于有缺陷的部分一定要严肃对待、有效整改，不得马虎。这一过程，可以聘请外部独立人员，也可以由管理层进行研究分析加以确定。

（四）评价报告的要求

企业应当根据《企业内部控制基本规范》、应用指引和评价指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。内部控制评价报告是内部控制评价的最终体现，按照编制主体、报送对象和时间，分为对内报告和对外报告。其中，对外报告的内容、格式、披露和时间均有严格的限制。对于未曾编制过评价报告的人员来说这是一项新的任务，完成它的唯一办法就是明确评价指引对报告的八项要求，涵盖评价目的及责任主体、评价范围、评价方法、评价结论、评价过程中发现的内部控制缺陷及其整改意见等内容，严格按规定完成。
［1］ 董美霞.增强企业内部控制评价效果的思考———基于《企业内部控制评价指引（征求意见稿）》［J］.审计与经济研究，2010（1）:73-80.

［2］ 杨有红，陈凌云.2007年沪市公司内部控制自我评价研究——数据分析与政策建议［J］.会计研究，2009（4）:58-64.

［3］ 王桂莲.对实施企业内部控制自我评价的思考［J］.会计之友，2009（12）:53-54.

［4］ 张谏忠，吴轶伦.内部控制自我评价在宝钢的运用［J］.会计研究，2005（2）:11-17.