內控體系評價

A. 內部控制評價的報告

內部控制評價報告可分為對內報告和對外報告，對外報告是為了滿足外部信息使用者的需求，需要對外披露，在時間上具有強制性，披露內容和格式強調符合披露要求；對內報告主要是為了滿足管理層或治理層改善管控水平的需要，不具有強制性，內容、格式和披露時間由企業自行決定。
企業因其外部環境和內部條件的變化，其內部控制系統不可能是固定的、一成不變的，而是一個不斷更新和自我完善的動態體系，因此對內部控制需要經常展開評價，在實際工作可以採用定期與不定期相結合的方式。
對外報告一般採用定期的方式，即企業至少應該每年進行一次內部控制評價並由董事會對外發布內部控制報告。年度內部控制評價報告應當以12月31日為基準日。值得說明的是，如果企業在內部控制評價報告年度內發生了特殊的事項且具有重要性，或因為具有了某種特殊原因（如企業因目標變化或提升），企業需要針對這種特殊事項或原因及時編制內部控制評價報告並對外發布。這種類型的內部控制評價報告屬於非定期的內部控制報告。
內部報告一般採用不定期的方式，即企業可以持續地開展內部控制的監督與評價，並根據結果的重要性隨時向董事會（審計委員會）或經理層報送評價報告。從廣義上講，企業針對發現的重大缺陷等向董事會（審計委員會）或經理層報送的內部報告（內部控制缺陷報告）也屬於非定期的報告。
企業應盡量按照統一的格式編制內部控制評價報告，以滿足外部信息使用者對內控信息可比的要求。
根據《評價指引》第二十一條和二十二條規定，內部控制評價對外報告一般包括以下內容。
1．董事會聲明。聲明董事會及全體董事對報告內容的真實性、准確性、完整性承擔個別及連帶責任，保證報告內容不存在任何虛假記載、誤導性陳述或重大遺漏。
2．內部控制評價工作的總體情況。明確企業內部控制評價工作的組織、領導體制、進度安排，是否聘請會計師事務所對內部控制有效性進行獨立審計。
3．內部控制評價的依據。說明企業開展內部控制評價工作所依據的法律法規和規章制度。
4．內部控制評價的范圍。描述內部控制評價所涵蓋的被評價單位，以及納入評價范圍的業務事項，及重點關注的高風險領域。內部控制評價的范圍如有所遺漏的，應說明原因，及其對內部控制評價報告真實完整性產生的重大影響等。
5．內部控制評價的程序和方法。描述內部控制評價工作遵循的基本流程，以及評價過程中採用的主要方法。
6．內部控制缺陷及其認定。描述適用本企業的內部控制缺陷具體認定標准，並聲明與以前年度保持一致或做出的調整及相應原因；根據內部控制缺陷認定標准，確定評價期末存在的重大缺陷、重要缺陷和一般缺陷。
7．內部控制缺陷的整改情況。對於評價期間發現、期末已完成整改的重大缺陷，說明企業有足夠的測試樣本顯示，與該重大缺陷相關的內部控制設計且運行有效。針對評價期末存在的內部控制缺陷，公司擬採取的整改措施及預期效果。
8．內部控制有效性的結論。對不存在重大缺陷的情形，出具評價期末內部控制有效結論；對存在重大缺陷的情形，不得作出內部控制有效的結論，並需描述該重大缺陷的性質及其對實現相關控制目標的影響程度，可能給公司未來生產經營帶來相關風險。自內部控制評價報告基準日至內部控制評價報告發出日之間發生重大缺陷的，企業須責成內部控制評價機構予以核實，並根據核查結果對評價結論進行相應調整，說明董事會擬採取的措施。

B. 簡述如何理解評價內部控制的風險水平

內部控制評價方式，是指內部控制評價工作的基本形式，是解決內部控制評價工作到底如何進行的問題。關於內部控制評價工作到底如何進行，從內部控制評價本身以及目前的發展情況來看，主要存在詳細全面評價和風險導向評價兩種方式。 ◎詳細全面評價。詳細全面評價，就是以內部控制框架或標准為參照物，根據內部控制框架的構成要素是否存在，評價內部控制的設計有效性；然後，測試內部控制的運行有效性；最後，綜合設計和運行的評價對內部控制的有效性做出總體評價，評估內部控制目標實現的風險，判斷是否存在實質性漏洞，確定內部控制是否有效。顯然，詳細全面評價是一種傳統的內部控制評價方式，企業最初進行內部控制建設或日常的評價中應用較多，主要是採用「內部控制調查問卷」和符合性測試，對企業已經存在的內部控制進行評價，評價報告中的建議也是「審核數豆子的人是否將豆子數得一粒不差」。這種方式的特點是從控制到風險，即從內部控制到相關目標實現的風險，比較適合用於內部控制的建立和保持，而對評價內部控制的有效性並不十分恰當，存在著成本高、效率低、結論不可靠性等不足。根據內部控制框架或標准評價內部控制本身並沒有錯，但是，內部控制的框架或標准本身是一個通用的框架，更多地關注內部控制的「What and Why」，盡管這些框架或標准提供了評價有效性的標准，但不夠細致，不足以說明如何完成內部控制有效性的評價。 ◎風險導向評價。風險導向評價，就是以風險為導向，首先，要評估相關目標實現的風險；其次，識別和確定組織充分應對這些風險的內部控制是否存在，即評價內部控制的設計應對相關目標實現風險的有效性；第三，識別和確定內部控制運行有效性的證據，評價現有的控制是否得到了有效的運行；最後，對控制缺陷進行評估，判定是否構成實質性漏洞，確定內部控制是否有效。這種方式是從風險到控制，即從內部控制相關目標實現的風險到內部控制，充分體現了「自上而下，風險基礎」的理念。「自上而下」方法由評估組織整體層級的控制開始，然後到具體作業層級控制的測試，主要體現在：從財務報表整體開始，然後到賬戶、披露；從公司層面的控制開始，然後到活動層面的控制。「風險基礎」主要體現在：以評估控制目標實現的風險為起點；關注重要的財務報告和披露風險與問題；僅評價充分應對風險的控制；證據的獲取和場所的選擇根據風險評估的結果；評價結論（內部控制是否有效）也是風險基礎的，判斷有效與否是根據內部控制是否相當可能沒有防止或發現財務報表中的重要錯報。風險導向評價方式可以充分考慮企業特定的情況，避免與內部控制框架的簡單核對，具有更好的成本效益性和更廣泛的適用性及靈活性；關注最重要的風險，提高了評價的成本效益和效率。不過這種方式與詳細全面評價根據一個確定的框架來評價相比需要更高程度的專業判斷。 風險導向評價是一種現代的內部控制評價方式，要求評價人員改變傳統的評價模式，把評價的起點放在關注企業發展戰略和識別企業業務流程的風險上，分析風險，並提出控制風險的建議和方法。特別需要指出，評價內部控制並非為了控制本身，而應針對企業經營過程中可能面臨的風險。在風險導向評價方式下，評價人員更為關心的是下列問題：與控制相關的目標是什麼？這種控制要解決的問題是什麼？這種控制是否對被審計單位的經營活動有益？是否存在重復控制？什麼樣的風險水平是可以接受的？控制的效果是否影響管理當局決策？風險為導向評價方式下，評價人員大多採用內部控制自評（CSA）、內部控制矩陣法、利用網路信息開展動態評估。 從目前的現狀以及未來國際發展趨勢來看，內部控制評價基本上都趨向於採用風險導向評價方式。美國證券交易委員會和公共公司會計監督委員會2007年分別發布的管理層報告內部控制的指南（SEC，2007）和內部控制審計准則（PCAOB，2007）都採用了這一方式，英國、日本、加拿大等國的上市公司的內部控制年度評價也採用了風險導向評價方式。日本內部控制評價與審計准則：採用一種自上而下的重視風險的方法，即著眼於與財務報告相關重要虛假記載相聯系的風險，對業務流程相關的內部控制進行評價，具體策略：運用自上而下的風險方法；內部控制缺陷的分類，將內部控制的缺陷區分為「重要缺陷」和「缺陷」兩類；不採用直接業務報告的做法；內部控制審計與財務報表審計一並實施；內部控制審計報告與財務報表審計報告一並編制等。在我國擬在建立以風險防範和增加價值為評價導向、以五大要素（控制環境、風險評估、控制活動、信息與溝通、內部監督）為核心評價內容、以控制標准和評價標准為評估標尺的內控自我評價體系。內部控制評價應當以風險評估為基礎，根據風險發生的可能性和對企業單個或整體控制目標造成的影響程度來確定需要評價的重點業務單元、重要業務領域或流程環節

C. 內部控制制度的檢查評價

內部控制的檢查與評價是通過內部審計來完成的。內部審計在某種程度上可以理解為對內部控制的控制。通常可按以下程序和步驟：
1.確定被審計單位內部控制的標准。內部審計將根據標准對被審計單位的內部控制的現狀進行檢查和判斷。
2.檢查、判斷被審計單位內部控制的健全情況，在分析被審計單位控制缺陷及潛在影響的基礎上，即可對被審計單位內部控制的健全性作出評價。
3.測試被審計單位內部控制的有效性。內部審計應當科學地選定具有代表性的測試樣本，藉以正確判斷被審計單位內部控制的質量狀況。
4.寫出內部控制檢查與評價的最終報告。內部審計人員在其最終報告中，提出若干具體調查結論、意見、評價和建議，供單位最高管理層採納，同時送交被審計單位的管理人員以改進內部控制。

D. 如何構建企業內部控制評價體系

建立健全企業內部控制審計評價標准體系和制度,防範企業經營及財務風險,提高經營管理水平,為國民經濟健康發展提供有利保障,已經成為現代企業內部審計工作適應企業發展的必然要求。本文通過論述建立健全企業內部控制審計評價標准體系的必要性及應採用的相應措施等方面,結合工作實際,論述企業內部審計在建立健全企業內部控制審計評價標准體系方面的工作思路。
1. 各監管部門對如何具體實施內部控制評價，如採用何種評價標准進行評價、評價的內容是什麼？採用何種評價方法等尚缺乏明確的規定。
2. 相當多的企業或個人對內部控制評價缺乏應有的了解，對內部控制評價的一些核心和基本問題如「為什麼要評價」、「評價什麼」、「如何評價」、「評價結果如何體現」缺乏清晰的認識。
3. 對各個企業之間，其各自的內部控制體系的有效性和完整性究竟如何，無法進行相互比較。