5企业内部控制评价指引及解读.docx

5企业内部控制评价指引及解读.docx

《5企业内部控制评价指引及解读.docx》由会员分享，可在线阅读，更多相关《5企业内部控制评价指引及解读.docx（29页珍藏版）》请在冰豆网上搜索。

5企业内部控制评价指引及解读

附件2：

企业内部控制评价指引

第一章总则

第一条为了促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条本指引所称内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。

第三条企业实施内部控制评价至少应当遵循下列原则：

（一）全面性原则。

评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

（二）重要性原则。

评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。

（三）客观性原则。

评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

第四条企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业董事会应当对内部控制评价报告的真实性负责。

第二章内部控制评价的内容

第五条企业应当根据《企业内部控制基本规范》、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。

第六条企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。

第七条企业组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

第八条企业组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。

第九条企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

第十条企业组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

第十一条内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

第三章内部控制评价的程序

第十二条企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。

内部控制评价程序一般包括：

制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。

企业可以授权内部审计部门或专门机构（以下简称内部控制评价部门）负责内部控制评价的具体组织实施工作。

第十三条企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。

第十四条企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。

评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。

评价工作组成员对本部门的内部控制评价工作应当实行回避制度。

企业可以委托中介机构实施内部控制评价。

为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。

第十五条内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。

第四章内部控制缺陷的认定

第十六条内部控制缺陷包括设计缺陷和运行缺陷。

企业对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定。

第十七条企业在日常监督、专项监督和年度评价工作中，应当充分发挥内部控制评价工作组的作用。

内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。

一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。

重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

第十八条企业内部控制评价工作组应当建立评价质量交叉复核制度，评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交企业内部控制评价部门。

第十九条企业内部控制评价部门应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。

重大缺陷应当由董事会予以最终认定。

企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

第五章内部控制评价报告

第二十条企业应当根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。

第二十一条内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。

第二十二条内部控制评价报告至少应当披露下列内容：

（一）董事会对内部控制报告真实性的声明。

（二）内部控制评价工作的总体情况。

（三）内部控制评价的依据。

（四）内部控制评价的范围。

（五）内部控制评价的程序和方法。

（六）内部控制缺陷及其认定情况。

（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

（八）内部控制有效性的结论。

第二十三条企业应当根据年度内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

第二十四条内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。

企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。

第二十五条企业内部控制审计报告应当与内部控制评价报告同时对外披露或报送。

第二十六条企业应当以12月31日作为年度内部控制评价报告的基准日。

内部控制评价报告应于基准日后4个月内报出。

第二十七条企业应当建立内部控制评价工作档案管理制度。

内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。

财政部解读《企业内部控制评价指引》目录

财政部解读《企业内部控制评价指引》2

一、内部控制评价概述2

（一）内部控制评价的作用2

（二）内部控制评价的对象3

（三）内部控制评价的原则3

（四）内部控制评价的组织形式和职责安排3

1、内部控制评价的组织形式4

2．有关方面在内部控制评价中的职责和任务。

4

二、关于内部控制评价的内容5

三、关于内部控制评价的程序6

（一）内部控制评价的一般程序6

1．准备阶段6

2．实施阶段6

3．汇总评价结果、编制评价报告阶段6

4．报告反馈和跟踪阶段7

（二）内部控制评价的频率7

（三）内部控制评价的方法7

1．个别访谈法7

2．调查问卷法7

3．穿行测试法8

4．抽样法8

5．实地查验法8

6．比较分析法8

7．专题讨论法8

四、内部控制缺陷的认定8

（一）内部控制缺陷的分类9

（二）内部控制缺陷的认定标准9

1．内部控制缺陷的重要性和影响程度9

2．财务报告内部控制缺陷的认定标准10

3．非财务报告内部控制缺陷的认定标准10

（三）内部控制缺陷的报告与整改11

1．内部控制缺陷报告的格式和途径11

2．内部控制缺陷整改方案及期限11

五、关于内部控制评价报告11

（一）内部控制评价报告的内容和格式12

（二）内部控制评价报告的编制和报送12

1．评价报告的编制12

2．评价报告的报送13

（三）内部控制评价报告的披露和使用13

1．评价报告的披露13

2．评价报告的使用13

附件1：

内部控制评价核心指标14

附件2：

××股份有限公司20××年度内部控制评价报告18

财政部解读《企业内部控制评价指引》

来源：

中国会计报发布时间：

2010-7-30　作者：

财政部会计司

财政部会计司解读《企业内部控制评价指引》是为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定。

《周易》：

“君子终日乾乾，夕惕若，厉，无咎。

”是说君子能整天整日显示出自强不息的行为状态，是因为到晚间，也要保持戒慎，即检查自己在白天的所作所为，不要把过错带进第二天。

对内部控制的建立、实施进行评价，是优化内部控制自我监督机制的一项重要制度安排，是内部控制的重要组成部分，与内部控制的建立、实施，共同构成有机循环。

《企业内部控制基本规范》第四十六条：

“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告”。

因此，为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定了《企业内部控制评价指引》（下称“《评价指引》”）。

《评价指引》第二条规定，企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。

一、内部控制评价概述

（一）内部控制评价的作用

第一，内部控制评价有助于企业自我完善内控体系。

内部控制评价是通过评价、反馈、再评价，报告企业在内部控制建立与实施中存在的问题，并持续地进行自我完善的过程。

通过内部控制评价查找、分析内部控制缺陷并有针对性地督促落实整改，可以及时堵塞管理漏洞，防范偏离目标的各种风险，并举一反三，从设计和执行等全方位健全优化管控制度，从而促进企业内控体系的不断完善。

第二，内部控制评价有助于提升企业市场形象和公众认可度。

企业开展内部控制评价，需形成评价结论，出具评价报告。

通过自我评价报告，将企业的风险管理水平、内部控制状况以及与此相关的发展战略、竞争优势、可持续发展能力等公布于众，树立诚信、透明、负责任的企业形象，有利于增强投资者、债权人以及其他利益相关者的信任度和认可度，为自己创造更为有利的外部环境，促进企业的长远可持续发展。

第三，内部控制评价有助于实现与政府监管的协调互动。

政府监管部门有权对企业内部控制建立与实施的有效性进行监督检查。

事实上，在有关政府部门，比如审计机关开展的国有企业负责人离任经济责任审计中，已将企业内部控制的有效性，以及企业负责人组织领导内控体系建立与实施情况纳入审计范围，并日益成为十分重要的一部分。

尽管政府部门实施企业内控监督检查有其自身的做法和特点，但监督检查的重点部位是基本一致的，比如大多涉及重大经营决策的科学性、合规性以及重要业务事项管控的有效性等。

实施企业内控自我评价，能够通过自查及早排查风险、发现问题，并积极整改，有利于在配合政府监管中赢得主动，并借助政府监管成果进一步改进企业内控实施和评价工作，促进自我评价与政府监管的协调互动。

（二）内部控制评价的对象

内部控制评价是对内部控制有效性发表意见。

所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。

其中，内部控制设计的有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行的有效性，是指现有内部控制按照规定程序得到了正确执行。

评价内部控制运行的有效性，应当着重考虑以下几个方面：

（1）相关控制在评价期内是如何运行的；

（2）相关控制是否得到了持续一致的运行；（3）实施控制的人员是否具备必要的权限和能力。

需要强调的是，即使同时满足设计有效性和运行有效性标准的内部控制，受内部控制固有局限影响，也只能为内部控制目标的实现提供合理保证，而不能提供绝对保证，不应不切实际地期望内部控制能够绝对保证内部控制目标的实现，也不应以内部控制目标的最终实现情况和程度作为唯一依据直接判断内部控制设计和运行的有效性。

（三）内部控制评价的原则

内部控制评价的原则是开展评价工作应该注意的原则，与内部控制的原则不完全相同。

根据《评价指引》第三条规定，企业对内部控制评价至少遵循以下原则：

全面性原则、重要性原则和客观性原则。

1．全面性原则。

全面性原则强调的是内部控制评价的涵盖范围应当全面，具体来说，是指内部控制评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

2．重要性原则。

重要性原则强调内部控制评价应当在全面性的基础之上，着眼于风险，突出重点。

具体来说，主要体现在制订和实施评价工作方案、分配评价资源的过程之中，它的核心要求主要包括两个方面：

一是要坚持风险导向的思路，着重关注那些影响内部控制目标实现的高风险领域和风险点；二是要坚持重点突出的思路，着重关注那些重要的业务事项和关键的控制环节，以及重要业务单位。

3．客观性原则。

客观性原则强调内部控制评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计和运行的有效性。

只有在内部控制评价工作方案制定、实施的全过程中始终坚持客观性，才能保证评价结果的客观性。

（四）内部控制评价的组织形式和职责安排

《评价指引》第四条规定，企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业内部控制评价办法应当结合《企业内部控制基本规范》第四十四条的规定，具体明确内部控制评价的组织形式，特别明确各有关方面在内部控制评价中的职责安排，处理好内部控制评价和内部监督的关系，定期由相对独立的人员对内部控制有效性进行科学的评价，界定内部控制缺陷认定标准，保证内部控制评价有序地开展。

1、内部控制评价的组织形式

企业可以授权内部审计机构或专门机构（下称“内部控制评价机构”）负责内部控制评价的具体组织实施工作。

内部控制评价机构必须具备一定的设置条件：

一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

具体来说，企业可根据自身特点，决定是否单独设置专门的内部控制评价机构。

对于单独设有专门内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实施工作。

为了保证评价的独立性，负责内部控制设计和评价的部门应适当分离。

企业可以委托会计师事务所等中介机构实施内部控制评价。

此时，董事会（审计委员会）应加强对内部控制评价工作的监督与指导。

从业务性质上讲，中介机构受托为企业实施内部控制评价是一种非保证服务，内部控制评价报告的责任仍然应由企业董事会承担。

另外，为保证审计的独立性，为企业提供内部控制审计的会计师事务所，不得同时为同一家企业提供内部控制评价服务。

2．有关方面在内部控制评价中的职责和任务。

无论采取何种组织形式，董事会、经理层和内部控制评价机构在内部控制评价中的职能作用不会发生本质的变化。

一般来说：

（1）董事会对内部控制评价承担最终的责任。

《评价指引》第四条第二款规定，企业董事会应当对内部控制评价报告的真实性负责。

董事会可以通过审计委员会来承担对内部控制评价的组织、领导、监督职责。

董事会或审计委员会应听取内部控制评价报告，审定内控重大缺陷、重要缺陷整改意见，对内部控制部门在督促整改中遇到的困难，积极协调，排除障碍。

监事会应审议内部控制评价报告，对董事会建立与实施内部控制进行监督。

（2）经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。

经理层应结合日常掌握的业务情况，为内部控制评价方案提出应重点关注的业务或事项，审定内部控制评价方案和听取内部控制评价报告，对于内部控制评价中发现的问题或报告的缺陷，要按照董事会或审计委员会的整改意见积极采取有效措施予以整改。

（3）内部控制评价机构根据授权承担内部控制评价的具体组织实施任务，通过复核、汇总、分析内部监督资料，结合经理层要求，拟订合理评价工作方案并认真组织实施；对于评价过程中发现的重大问题，应及时与董事会、审计委员会或经理层沟通，并认定内部控制缺陷，拟订整改方案，编写内部控制评价报告，及时向董事会、审计委员会或经理层报告；沟通外部审计师，督促各部门、所属企业对内、外部内控评价进行整改；根据评价和整改情况拟订内部控制考核方案。

（4）各专业部门应负责组织本部门的内控自查、测试和评价工作，对发现的设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送内部控制机构复核，配合内控机构（部门）及外部审计师开展企业层面的内控评价工作。

（5）企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改，编制内部控制评价报告，对内部控制的执行和整改情况进行考核。

企业内部控制评价办法中的原则、内容、程序、方法和报告形式参考本解读其他部分的规定。

二、关于内部控制评价的内容

（一）内部控制评价的内容和工作底稿设计

《评价指引》第五条到第十条具体介绍了内部控制评价内容。

内部控制评价应紧紧围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，企业应结合《企业内部控制基本规范》、各项应用指引以及本企业的内部控制制度，确定具体评价内容，对内部控制设计与运行情况进行全面评价。

内部环境评价应当包括组织架构、发展战略、人力资源、企业文化、社会责任等方面。

组织架构评价可以重点从机构设置的整体控制力、权责划分、相互牵制、信息流动路径等方面进行；发展战略可以重点从发展战略的制定合理性、有效实施和适当调整三方面进行；人力资源评价应当重点从企业人力资源引进结构合理性、开发机制、激励约束机制等方面进行；企业文化评价应从建设和评估两方面进行，从而促进诚信、道德价值观的提升，为内部控制的完善夯实人文基础；社会责任可以从安全生产、产品质量、环境保护与资源节约、促进就业、员工权益保护等方面进行。

风险评估评价应当对日常经营管理过程中的目标设定、风险识别、风险分析、应对策略等进行认定和评价。

控制活动评价应对企业各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价。

信息与沟通评价应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

内部监督评价应当对管理层对于内部监督的基调、监督的有效性及内部控制缺陷认定的科学、客观、合理进行认定和评价。

重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥作用。

企业应当以内部控制五要素为基础，建立内部控制核心指标体系，在以上评价内容的基础上，层层分解、展开，进一步细化，以下列举了可供参考核心指标（见附件1）。

对于内容不能详尽的，如控制活动涉及方方面面的业务，可以另外按业务列表增加。

具体评价内容确定后，根据《评价指引》第十一条规定，内部控制评价工作应形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

工作底稿可以是通过一系列评价表格加以实现。

三、关于内部控制评价的程序

《评价指引》第十二条至第十四条对企业组织内部控制评价程序和人员、预算作出具体规定。

（一）内部控制评价的一般程序

内部控制评价程序一般包括：

制定评价工作方案、组成评价工作组、实施现场测试、汇总评价结果、编报评价报告等。

概括而言，主要分为以下几个阶段：

1．准备阶段

（1）制定评价工作方案。

内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制定科学合理的评价工作方案，经董事会批准后实施。

评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。

评价工作方案既以全面评价为主，也可以根据需要采用重点评价的方式。

（2）组成评价工作组。

评价工作组是在内部控制评价机构领导下，具体承担内部控制检查评价任务。

内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员实施评价。

评价工作组成员应当吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。

企业应根据自身条件，尽量建立长效内部控制评价培训机制。

2．实施阶段

（1）了解被评价单位基本情况。

充分与企业沟通企业文化和发展战略、组织机构设置及职责分工、领导层成员构成及分工等基本情况。

（2）确定检查评价范围和重点。

评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。

检查重点和分工情况可以根据需要进行适时调整。

（3）开展现场检查测试。

评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。

3．汇总评价结果、编制评价报告阶段

评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告。

评价工作底稿应进行交叉复核签字，并由评价工作组负责人审核后签字确认。

评价工作组将评价结果及现场评价报告向被评价单位进行通报，由被评价单位相关责任人签字确认后，提交企业内部控制评价机构。

内部控制评价机构汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总；对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。

内部控制评价机构以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露。

4．报告反馈和跟踪阶段

对于认定的内部控制缺陷，内部控制评价机构应当结合董事会和审计委员会要求，