财政部解读《企业内部控制评价指引》

第一篇：财政部解读《企业内部控制评价指引》

财政部解读《企业内部控制评价指引》

财政部会计司解读《企业内部控制评价指引》是为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定。

《周易》：“君子终日乾乾，夕惕若，厉，无咎。”是说君子能整天整日显示出自强不息的行为状态，是因为到晚间，也要保持戒慎，即检查自己在白天的所作所为，不要把过错带进第二天。对内部控制的建立、实施进行评价，是优化内部控制自我监督机制的一项重要制度安排，是内部控制的重要组成部分，与内部控制的建立、实施，共同构成有机循环。《企业内部控制基本规范》第四十六条：“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告”。因此，为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定了《企业内部控制评价指引》（下称“《评价指引》”）。

《评价指引》第二条规定，企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。

一、内部控制评价概述

（一）内部控制评价的作用

第一，内部控制评价有助于企业自我完善内控体系。内部控制评价是通过评价、反馈、再评价，报告企业在内部控制建立与实施中存在的问题，并持续地进行自我完善的过程。通过内部控制评价查找、分析内部控制缺陷并有针对性地督促落实整改，可以及时堵塞管理漏洞，防范偏离目标的各种风险，并举一反三，从设计和执行等全方位健全优化管控制度，从而促进企业内控体系的不断完善。

第二，内部控制评价有助于提升企业市场形象和公众认可度。企业开展内部控制评价，需形成评价结论，出具评价报告。通过自我评价报告，将企业的风险管理水平、内部控制状况以及与此相关的发展战略、竞争优势、可持续发展能力等公布于众，树立诚信、透明、负责任的企业形象，有利于增强投资者、债权人以及其他利益相关者的信任度和认可度，为自己创造更为有利的外部环境，促进企业的长远可持续发展。

第三，内部控制评价有助于实现与政府监管的协调互动。政府监管部门有权对企业内部控制建立与实施的有效性进行监督检查。事实上，在有关政府部门，比如审计机关开展的国有企业负责人离任经济责任审计中，已将企业内部控制的有效性，以及企业负责人组织领导内控体系建立与实施情况纳入审计范围，并日益成为十分重要的一部分。尽管政府部门实施企业内控监督检查有其自身的做法和特点，但监督检查的重点部位是基本一致的，比如大多涉及重大经营决策的科学性、合规性以及重要业务事项管控的有效性等。实施企业内控自我评价，能够通过自查及早排查风险、发现问题，并积极整改，有利于在配合政府监管中赢得主动，并借助政府监管成果进一步改进企业内控实施和评价工作，促进自我评价与政府监管的协调互动。

（二）内部控制评价的对象

内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。其中，内部控制设计的有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行的有效性，是指现有内部控制按照规定程序得到了正确执行。评价内部控制运行的有效性，应当着重考虑以下几个方面：（1）相关控制在评价期内是如何运行的；（2）相关控制是否得到了持续一致的运行；（3）实施控制的人员是否具备必要的权限和能力。

需要强调的是，即使同时满足设计有效性和运行有效性标准的内部控制，受内部控制固有局限影响，也只能为内部控制目标的实现提供合理保证，而不能提供绝对保证，不应不切实际地期望内部控制能够绝对保证内部控制目标的实现，也不应以内部控制目标的最终实现情况和程度作为唯一依据直接判断内部控制设计和运行的有效性。

（三）内部控制评价的原则

内部控制评价的原则是开展评价工作应该注意的原则，与内部控制的原则不完全相同。根据《评价指引》第三条规定，企业对内部控制评价至少遵循以下原则：全面性原则、重要性原则和客观性原则。

1．全面性原则。全面性原则强调的是内部控制评价的涵盖范围应当全面，具体来说，是指内部控制评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

2．重要性原则。重要性原则强调内部控制评价应当在全面性的基础之上，着眼于风险，突出重点。具体来说，主要体现在制订和实施评价工作方案、分配评价资源的过程之中，它的核心要求主要包括两个方面：一是要坚持风险导向的思路，着重关注那些影响内部控制目标实现的高风险领域和风险点；二是要坚持重点突出的思路，着重关注那些重要的业务事项和关键的控制环节，以及重要业务单位。

3．客观性原则。客观性原则强调内部控制评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计和运行的有效性。只有在内部控制评价工作方案制定、实施的全过程中始终坚持客观性，才能保证评价结果的客观性。

（四）内部控制评价的组织形式和职责安排

《评价指引》第四条规定，企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业内部控制评价办法应当结合《企业内部控制基本规范》第四十四条的规定，具体明确内部控制评价的组织形式，特别明确各有关方面在内部控制评价中的职责安排，处理好内部控制评价和内部监督的关系，定期由相对独立的人员对内部控制有效性进行科学的评价，界定内部控制缺陷认定标准，保证内部控制评价有序地开展。

1．内部控制评价的组织形式

企业可以授权内部审计机构或专门机构（下称“内部控制评价机构”）负责内部控制评价的具体组织实施工作。内部控制评价机构必须具备一定的设置条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

具体来说，企业可根据自身特点，决定是否单独设置专门的内部控制评价机构。对于单独设有专门内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实施工作。为了保证评价的独立性，负责内部控制设计和评价的部门应适当分离。

企业可以委托会计师事务所等中介机构实施内部控制评价。此时，董事会（审计委员会）应加强对内部控制评价工作的监督与指导。从业务性质上讲，中介机构受托为企业实施内部控制评价是一种非保证服务，内部控制评价报告的责任仍然应由企业董事会承担。另外，为保证审计的独立性，为企业提供内部控制审计的会计师事务所，不得同时为同一家企业提供内部控制评价服务。

2．有关方面在内部控制评价中的职责和任务

无论采取何种组织形式，董事会、经理层和内部控制评价机构在内部控制评价中的职能作用不会发生本质的变化。一般来说：

（1）董事会对内部控制评价承担最终的责任。《评价指引》第四条第二款规定，企业董事会应当对内部控制评价报告的真实性负责。董事会可以通过审计委员会来承担对内部控制评价的组织、领导、监督职责。董事会或审计委员会应听取内部控制评价报告，审定内控重大缺陷、重要缺陷整改意见，对内部控制部门在督促整改中遇到的困难，积极协调，排除障碍。监事会应审议内部控制评价报告，对董事会建立与实施内部控制进行监督。

（2）经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。经理层应结合日常掌握的业务情况，为内部控制评价方案提出应重点关注的业务或事项，审定内部控制评价方案和听取内部控制评价报告，对于内部控制评价中发现的问题或报告的缺陷，要按照董事会或审计委员会的整改意见积极采取有效措施予以整改。

（3）内部控制评价机构根据授权承担内部控制评价的具体组织实施任务，通过复核、汇总、分析内部监督资料，结合经理层要求，拟订合理评价工作方案并认真组织实施；对于评价过程中发现的重大问题，应及时与董事会、审计委员会或经理层沟通，并认定内部控制缺陷，拟订整改方案，编写内部控制评价报告，及时向董事会、审计委员会或经理层报告；沟通外部审计师，督促各部门、所属企业对内、外部内控评价进行整改；根据评价和整改情况拟订内部控制考核方案。

（4）各专业部门应负责组织本部门的内控自查、测试和评价工作，对发现的设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送内部控制机构复核，配合内控机构（部门）及外部审计师开展企业层面的内控评价工作。

（5）企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改，编制内部控制评价报告，对内部控制的执行和整改情况进行考核。

企业内部控制评价办法中的原则、内容、程序、方法和报告形式参考本解读其他部分的规定。

二、关于内部控制评价的内容

（一）内部控制评价的内容和工作底稿设计

《评价指引》第五条到第十条具体介绍了内部控制评价内容。内部控制评价应紧紧围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，企业应结合《企业内部控制基本规范》、各项应用指引以及本企业的内部控制制度，确定具体评价内容，对内部控制设计与运行情况进行全面评价。

内部环境评价应当包括组织架构、发展战略、人力资源、企业文化、社会责任等方面。组织架构评价可以重点从机构设置的整体控制力、权责划分、相互牵制、信息流动路径等方面进行；发展战略可以重点从发展战略的制定合理性、有效实施和适当调整三方面进行；人力资源评价应当重点从企业人力资源引进结构合理性、开发机制、激励约束机制等方面进行；企业文化评价应从建设和评估两方面进行，从而促进诚信、道德价值观的提升，为内部控制的完善夯实人文基础；社会责任可以从安全生产、产品质量、环境保护与资源节约、促进就业、员工权益保护等方面进行。

风险评估评价应当对日常经营管理过程中的目标设定、风险识别、风险分析、应对策略等进行认定和评价。

控制活动评价应对企业各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价。

信息与沟通评价应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

内部监督评价应当对管理层对于内部监督的基调、监督的有效性及内部控制缺陷认定的科学、客观、合理进行认定和评价。

重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥作用。

企业应当以内部控制五要素为基础，建立内部控制核心指标体系，在以上评价内容的基础上，层层分解、展开，进一步细化，以下列举了可供参考核心指标（见附件1）。对于内容不能详尽的，如控制活动涉及方方面面的业务，可以另外按业务列表增加。

具体评价内容确定后，根据《评价指引》第十一条规定，内部控制评价工作应形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。工作底稿可以是通过一系列评价表格加以实现。

三、关于内部控制评价的程序

《评价指引》第十二条至第十四条对企业组织内部控制评价程序和人员、预算作出具体规定。

（一）内部控制评价的一般程序

内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、汇总评价结果、编报评价报告等。概括而言，主要分为以下几个阶段：

1．准备阶段

（1）制定评价工作方案。内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制定科学合理的评价工作方案，经董事会批准后实施。评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。评价工作方案既以全面评价为主，也可以根据需要采用重点评价的方式。

（2）组成评价工作组。评价工作组是在内部控制评价机构领导下，具体承担内部控制检查评价任务。内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员实施评价。评价工作组成员应当吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业应根据自身条件，尽量建立长效内部控制评价培训机制。

2．实施阶段

（1）了解被评价单位基本情况。充分与企业沟通企业文化和发展战略、组织机构设置及职责分工、领导层成员构成及分工等基本情况。

（2）确定检查评价范围和重点。评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。检查重点和分工情况可以根据需要进行适时调整。

（3）开展现场检查测试。评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。其它内部待定

第二篇：财政部会计司解读《企业内部控制评价指引》

切实做好内部控制评价，不断实现内部控制自我提升—财政部会计司解读《企业内部控制评价指引》

《周易》：“君子终日乾乾，夕惕若，厉，无咎。”是说君子能整天整日显示出自强不息的行为状态，是因为到晚间，也要保持戒慎，即检查自己在白天的所作所为，不要把过错带进第二天。对内部控制的建立、实施进行评价，是优化内部控制自我监督机制的一项重要制度安排，是内部控制的重要组成部分，与内部控制的建立、实施，共同构成有机循环。《企业内部控制基本规范》第四十六条：“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告”。因此，为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定了《企业内部控制评价指引》（下称“《评价指引》”）。

《评价指引》第二条规定，企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。

一、内部控制评价概述

（一）内部控制评价的作用第一，内部控制评价有助于企业自我完善内控体系。内部控制评价是通过评价、反馈、再评价，报告企业在内部控制建立与实施中存在的问题，并持续地进行自我完善的过程。通过内部控制评价查找、分析内部控制缺陷并有针对性地督促落实整改，可以及时堵塞管理漏洞，防范偏离目标的各种风险，并举一反三，从设计和执行等全方位健全优化管控制度，从而促进企业内控体系的不断完善。

第二，内部控制评价有助于提升企业市场形象和公众认可度。企业开展内部控制评价，需形成评价结论，出具评价报告。通过自我评价报告，将企业的风险管理水平、内部控制状况以及与此相关的发展战略、竞争优势、可持续发展能力等公布于众，树立诚信、透明、负责任的企业形象，有利于增强投资者、债权人以及其他利益相关者的信任度和认可度，为自己创造更为有利的外部环境，促进企业的长远可持续发展。

第三，内部控制评价有助于实现与政府监管的协调互动。政府监管部门有权对企业内部控制建立与实施的有效性进行监督检查。事实上，在有关政府部门，比如审计机关开展的国有企业负责人离任经济责任审计中，已将企业内部控制的有效性，以及企业负责人组织领导内控体系建立与实施情况纳入审计范围，并日益成为十分重要的一部分。尽管政府部门实施企业内控监督检查有其自身的做法和特点，但监督检查的重点部位是基本一致的，比如大多涉及重大经营决策的科学性、合规性以及重要业务事项管控的有效性等。实施企业内控自我评价，能够通过自查及早排查风险、发现问题，并积极整改，有利于在配合政府监管中赢得主动，并借助政府监管成果进一步改进企业内控实施和评价工作，促进自我评价与政府监管的协调互动。

（二）内部控制评价的对象内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。其中，内部控制设计的有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行的有效性，是指现有内部控制按照规定程序得到了正确执行。评价内部控制运行的有效性，应当着重考虑以下几个方面：（１）相关控制在评价期内是如何运行的；（２）相关控制是否得到了持续一致的运行；（３）实施控制的人员是否具备必要的权限和能力。

需要强调的是，即使同时满足设计有效性和运行有效性标准的内部控制，受内部控制固有局限影响，也只能为内部控制目标的实现提供合理保证，而不能提供绝对保证，不应不切实际地期望内部控制能够绝对保证内部控制目标的实现，也不应以内部控制目标的最终实现情况和程度作为唯一依据直接判断内部控制设计和运行的有效性。

（三）内部控制评价的原则内部控制评价的原则是开展评价工作应该注意的原则，与内部控制的原则不完全相同。根据《评价指引》第三条规定，企业对内部控制评价至少遵循以下原则：全面性原则、重要性原则和客观性原则。

１．全面性原则。全面性原则强调的是内部控制评价的涵盖范围应当全面，具体来说，是指内部控制评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

２．重要性原则。重要性原则强调内部控制评价应当在全面性的基础之上，着眼于风险，突出重点。具体来说，主要体现在制订和实施评价工作方案、分配评价资源的过程之中，它的核心要求主要包括两个方面：一是要坚持风险导向的思路，着重关注那些影响内部控制目标实现的高风险领域和风险点；二是要坚持重点突出的思路，着重关注那些重要的业务事项和关键的控制环节，以及重要业务单位。

３．客观性原则。客观性原则强调内部控制评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计和运行的有效性。只有在内部控制评价工作方案制定、实施的全过程中始终坚持客观性，才能保证评价结果的客观性。

（四）内部控制评价的组织形式和职责安排《评价指引》第四条规定，企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业内部控制评价办法应当结合《企业内部控制基本规范》第四十四条的规定，具体明确内部控制评价的组织形式，特别明确各有关方面在内部控制评价中的职责安排，处理好内部控制评价和内部监督的关系，定期由相对独立的人员对内部控制有效性进行科学的评价，界定内部控制缺陷认定标准，保证内部控制评价有序地开展。

１．内部控制评价的组织形式企业可以授权内部审计机构或专门机构（下称“内部控制评价机构”）负责内部控制评价的具体组织实施工作。

内部控制评价机构必须具备一定的设臵条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

具体来说，企业可根据自身特点，决定是否单独设臵专门的内部控制评价机构。对于单独设有专门内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实施工作。

为了保证评价的独立性，负责内部控制设计和评价的部门应适当分离。

企业可以委托会计师事务所等中介机构实施内部控制评价。此时，董事会（审计委员会）应加强对内部控制评价工作的监督与指导。从业务性质上讲，中介机构受托为企业实施内部控制评价是一种非保证服务，内部控制评价报告的责任仍然应由企业董事会承担。另外，为保证审计的独立性，为企业提供内部控制审计的会计师事务所，不得同时为同一家企业提供内部控制评价服务。

２．有关方面在内部控制评价中的职责和任务无论采取何种组织形式，董事会、经理层和内部控制评价机构在内部控制评价中的职能作用不会发生本质的变化。一般来说：（１）董事会对内部控制评价承担最终的责任。《评价指引》第四条第二款规定，企业董事会应当对内部控制评价报告的真实性负责。董事会可以通过审计委员会来承担对内部控制评价的组织、领导、监督职责。董事会或审计委员会应听取内部控制评价报告，审定内控重大缺陷、重要缺陷整改意见，对内部控制部门在督促整改中遇到的困难，积极协调，排除障碍。监事会应审议内部控制评价报告，对董事会建立与实施内部控制进行监督。

（２）经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。经理层应结合日常掌握的业务情况，为内部控制评价方案提出应重点关注的业务或事项，审定内部控制评价方案和听取内部控制评价报告，对于内部控制评价中发现的问题或报告的缺陷，要按照董事会或审计委员会的整改意见积极采取有效措施予以整改。

（３）内部控制评价机构根据授权承担内部控制评价的具体组织实施任务，通过复核、汇总、分析内部监督资料，结合经理层要求，拟订合理评价工作方案并认真组织实施；对于评价过程中发现的重大问题，应及时与董事会、审计委员会或经理层沟通，并认定内部控制缺陷，拟订整改方案，编写内部控制评价报告，及时向董事会、审计委员会或经理层报告；沟通外部审计师，督促各部门、所属企业对内、外部内控评价进行整改；根据评价和整改情况拟订内部控制考核方案。

（４）各专业部门应负责组织本部门的内控自查、测试和评价工作，对发现的设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送内部控制机构复核，配合内控机构（部门）及外部审计师开展企业层面的内控评价工作。

（５）企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改，编制内部控制评价报告，对内部控制的执行和整改情况进行考核。

企业内部控制评价办法中的原则、内容、程序、方法和报告形式参考本解读其他部分的规定。

二、关于内部控制评价的内容

（一）内部控制评价的内容和工作底稿设计《评价指引》第五条到第十条具体介绍了内部控制评价内容。内部控制评价应紧紧围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，企业应结合《企业内部控制基本规范》、各项应用指引以及本企业的内部控制制度，确定具体评价内容，对内部控制设计与运行情况进行全面评价。

内部环境评价应当包括组织架构、发展战略、人力资源、企业文化、社会责任等方面。组织架构评价可以重点从机构设臵的整体控制力、权责划分、相互牵制、信息流动路径等方面进行；发展战略可以重点从发展战略的制定合理性、有效实施和适当调整三方面进行；人力资源评价应当重点从企业人力资源引进结构合理性、开发机制、激励约束机制等方面进行；企业文化评价应从建设和评估两方面进行，从而促进诚信、道德价值观的提升，为内部控制的完善夯实人文基础；社会责任可以从安全生产、产品质量、环境保护与资源节约、促进就业、员工权益保护等方面进行。

风险评估评价应当对日常经营管理过程中的目标设定、风险识别、风险分析、应对策略等进行认定和评价。

控制活动评价应对企业各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价。

信息与沟通评价应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

内部监督评价应当对管理层对于内部监督的基调、监督的有效性及内部控制缺陷认定的科学、客观、合理进行认定和评价。

重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥作用。

企业应当以内部控制五要素为基础，建立内部控制核心指标体系，在以上评价内容的基础上，层层分解、展开，进一步细化，以下列举了可供参考核心指标（见第4版附件１）。对于内容不能详尽的，如控制活动涉及方方面面的业务，可以另外按业务列表增加。

具体评价内容确定后，根据《评价指引》第十一条规定，内部控制评价工作应形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。工作底稿可以是通过一系列评价表格加以实现。

三、关于内部控制评价的程序

《评价指引》第十二条至第十四条对企业组织内部控制评价程序和人员、预算作出具体规定。

（一）内部控制评价的一般程序内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、汇总评价结果、编报评价报告等。概括而言，主要分为以下几个阶段：１．准备阶段（１）制定评价工作方案。内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制定科学合理的评价工作方案，经董事会批准后实施。评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。评价工作方案既以全面评价为主，也可以根据需要采用重点评价的方式。

（２）组成评价工作组。评价工作组是在内部控制评价机构领导下，具体承担内部控制检查评价任务。内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员实施评价。评价工作组成员应当吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业应根据自身条件，尽量建立长效内部控制评价培训机制。

２．实施阶段（１）了解被评价单位基本情况。充分与企业沟通企业文化和发展战略、组织机构设臵及职责分工、领导层成员构成及分工等基本情况。

（２）确定检查评价范围和重点。评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。

检查重点和分工情况可以根据需要进行适时调整。

（３）开展现场检查测试。评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。

３．汇总评价结果、编制评价报告阶段评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告。评价工作底稿应进行交叉复核签字，并由评价工作组负责人审核后签字确认。评价工作组将评价结果及现场评价报告向被评价单位进行通报，由被评价单位相关责任人签字确认后，提交企业内部控制评价机构。

内部控制评价机构汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总；对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。

内部控制评价机构以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露。

４．报告反馈和跟踪阶段对于认定的内部控制缺陷，内部控制评价机构应当结合董事会和审计委员会要求，提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况；已经造成损失或负面影响的，企业应当追究相关人员的责任。

（二）内部控制评价的频率企业每年应对内部控制进行评价并予以披露。但是内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。

另外，如果内部监督程序无效，或所提供信息不足以说明内部控制有效，应增加评价的频率。

（三）内部控制评价的方法《评价指引》第十五条规定，内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。

１．个别访谈法个别访谈法主要用于了解公司内部控制的现状，在企业层面评价及业务层面评价的了解阶段经常使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的内容。

２．调查问卷法调查问卷法主要用于企业层面评价。调查问卷应尽量扩大对象范围，包括企业各个层级员工，应注意事先保密性，题目尽量简单易答（如答案只需为“是”、“否”、“有”、“没有”等等）。

３．穿行测试法穿行测试法是指在内部控制流程中任意选取一笔交易作为样本，追踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程（例如，在保险公司的内部控制评价中，选取一笔保险新单，追踪其从投保申请到财务入账的全过程），以此了解控制措施设计的有效性，并识别出关键控制点。

４．抽样法抽样法分为随机抽样和其他抽样。

随机抽样是指按随机原则从样本库中抽取一定数量的样本；其他抽样是指人工任意选取或按某一特定标准从样本库中抽取一定数量的样本。

５．实地查验法实地查验法主要针对业务层面控制，它通过使用统一的测试工作表，与实际的业务、财务单证进行核对的方法进行控制测试。如实地盘点某种存货。

６．比较分析法比较分析法是指通过数据分析，识别评价关注点的方法。数据分析可以是与历史数据、行业（公司）标准数据或行业最优数据等进行比较。

７．专题讨论法专题讨论法主要是集合有关专业人员就内部控制执行情况或控制问题进行分析，既可以是控制评价的手段，也是形成缺陷整改方案的途径。

此外，还可以使用观察、重新执行等方法，也可以利用信息系统开发检查方法，或利用实际工作和检查测试经验。对于企业通过系统采用自动控制、预防控制的，应在方法上注意与人工控制、发现性控制的区别。

四、内部控制缺陷的认定

内部控制缺陷是描述内部控制有效性的一个负向的维度。企业开展内部控制评价，主要工作内容之一就是要找出内部控制缺陷并有针对性地进行整改。

内部控制缺陷认定在一定程度上决定内部控制评价的成效，且具有一定难度，还需要运用职业判断。为了指导企业科学、合理地认定内部控制缺陷，切实帮助企业有效开展内部控制评价，《评价指引》第十六条至第十九条对内部控制缺陷的分类、认定作出专门的解释。

（一）内部控制缺陷的分类１．按照内部控制缺陷成因或来源，内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指企业缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制缺陷。

内部控制存在设计缺陷和运行缺陷，会影响内部控制的设计有效性和运行有效性。

２．按照影响企业内部控制目标实现的严重程度，内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。当存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告中作出内部控制无效的结论。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严重危及内部控制的整体有效性，但也应当引起董事会、经理层的充分关注。

一般缺陷，是指除重大缺陷、重要缺陷以外的其他控制缺陷。

将内部控制评价中发现的内部控制缺陷划分为重大缺陷、重要缺陷和一般缺陷，需要借助一套可系统遵循的认定标准，认定过程中还需要内部控制评价人员充分运用职业判断。一般而言，如果一个企业存在的内部控制缺陷达到了重大缺陷的程度，我们就不能说该企业的内部控制是整体有效的。

３．按照具体影响内部控制目标的具体表现形式，还可以将内部控制缺陷分为财务报告缺陷和非财务报告缺陷。

（二）内部控制缺陷的认定标准１．内部控制缺陷的重要性和影响程度《评价指引》第十六条规定，企业对内部控制缺陷的认定，应当以构成内部控制的内部监督要素中的日常监督和专项监督为基础，结合内部控制评价，由内部控制评价机构进行综合分析后提出认定意见，按照规定的权限和程序进行审核，由董事会予以最终确定。

首先，内部控制评价从属于内部监督，是监督结果的总体体现。在企业正常的生产经营中，内部控制评价倚重内部监督；其次，充分利用日常监督与专项监督结果的基础上，至少每年由内部控制评价机构对内部控制的五要素相对独立地进行评价，全面地、综合地分析，提出认定意见，报董事会审定；第三，企业应当根据评价指引，结合自身情况和关注的重点，自行确定内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。第四，根据具体认定标准认定企业存在的内部控制缺陷，由董事会最终审定。企业在确定内部控制缺陷的认定标准时，应当充分考虑内部控制缺陷的重要性及其影响程度。

内部控制缺陷的重要性和影响程度是相对于内部控制目标而言的。按照对财务报告目标和其他内部控制目标实现的影响的具体表现形式，下面区分财务报告内部控制缺陷和非财务报告内部控制缺陷分别阐述内部控制缺陷的认定标准。

２．财务报告内部控制缺陷的认定标准财务报告内部控制是指针对财务报告目标而设计和实施的内部控制。由于财务报告内部控制的目标集中体现为财务报告的可靠性，因而财务报告内部控制的缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。

换句话说，财务报告内部控制的缺陷，是指不能及时防止或发现并纠正财务报告错报的内部控制缺陷。

将财务报告内部控制的缺陷划分为重大缺陷、重要缺陷和一般缺陷，所采用的认定标准直接取决于由于该内部控制缺陷的存在可能导致的财务报告错报的重要程度。这种重要程度主要取决于两个方面的因素：（１）该缺陷是否具备合理可能性导致企业的内部控制不能及时防止或发现并纠正财务报告错报。合理可能性是指大于微小可能性（几乎不可能发生）的可能性，确定是否具备合理可能性涉及评价人员的职业判断。（２）该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。另外，一些迹象通常表明财务报告内部控制可能存在重大缺陷：（１）董事、监事和高级管理人员舞弊；（２）企业更正已公布的财务报告；（３）注册会计师发现当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报；（４）企业审计委员会和内部审计机构对内部控制的监督无效。

一般而言，如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报告中的重大错报，就应将该缺陷认定为重大缺陷。重大错报中的“重大”，涉及企业管理层确定的财务报告的重要性水平。

一般企业可以采用绝对金额法（例如，规定金额超过１００００元的错报应当认定为重大错报）或相对比例法（例如，规定超过资产总额１％的错报应当认定为重大错报）来确定重要性水平。如果企业的财务报告内部控制存在一项或多项重大缺陷，就不能得出该企业的财务报告内部控制有效的结论。

一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报告中虽然未达到和超过重要性水平、但仍应引起董事会和管理层重视的错报，就应将该缺陷认定为重要缺陷。不构成重大缺陷和重要缺陷的内部控制缺陷，应认定为一般缺陷。

３．非财务报告内部控制缺陷的认定标准非财务报告内部控制是指针对除财务报告目标之外的其他目标的内部控制。这些目标一般包括战略目标、资产安全、经营目标、合规目标等。非财务报告评价应当作为企业内部控制评价的重点。

非财务报告内部控制缺陷认定具有涉及面广、认定难度大的特点。企业可以根据风险评估的各项工作，对《企业内部控制应用指引》中每一篇应用指引所阐述的风险，根据自身的实际情况、管理现状和发展要求，加以细化或按内部控制原理补充，参照财务报告内部控制缺陷的认定标准，合理确定定性和定量的认定标准，根据其对内部控制目标实现的影响程度认定为一般缺陷、重要缺陷和重大缺陷。其中：定量标准，即涉及金额大小，既可以根据造成直接财产损失绝对金额制定，也可以根据其直接损失占本企业资产、销售收入及利润等的比率确定；定性标准，即涉及业务性质的严重程度，可根据其直接或潜在负面影响的性质、影响的范围等因素确定。以下迹象通常表明非财务报告内部控制可能存在重大缺陷：（１）国有企业缺乏民主决策程序，如缺乏“三重一大”决策程序；（２）企业决策程序不科学，如决策失误，导致并购不成功；（３）违犯国家法律、法规，如环境污染；（４）管理人员或技术人员纷纷流失；（５）媒体负面新闻频现；（６）内部控制评价的结果特别是重大或重要缺陷未得到整改。（７）重要业务缺乏制度控制或制度系统性失效。

为避免企业操纵内部控制评价报告，非财务报告内部控制缺陷认定标准一经确定，必须在不同评价期间保持一致，不得随意变更。

需要强调的是，在内部控制的非财务报告目标中，战略和经营目标的实现往往受到企业不可控的诸多外部因素的影响，企业的内部控制只能合理保证董事会和管理层了解这些目标的实现程度。因而，在认定针对这些控制目标的内部控制缺陷时，我们不能只考虑最终的结果，而主要应该考虑企业制定战略、开展经营活动的机制和程序是否符合内部控制要求，以及不适当的机制和程序对企业战略及经营目标实现可能造成的影响。

（三）内部控制缺陷的报告与整改１．内部控制缺陷报告的格式和途径《评价指引》第十九条规定，企业内部控制评价机构应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见（针对财务报告内部控制的缺陷，一般还应当反映缺陷对财务报告的具体影响），并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

内部控制缺陷报告应当采取书面形式，可以单独报告，也可以作为内部控制评价报告的一个重要组成部分。一般而言，内部控制的一般缺陷、重要缺陷应定期（至少每年）报告，重大缺陷应立即报告。对于重大缺陷和重要缺陷及整改方案，应向董事会（审计委员会）、监事会或经理层报告并审定。如果出现不适合向经理层报告的情形，例如存在与管理层舞弊相关的内部控制缺陷，或存在管理层凌驾于内部控制之上的情形，应当直接向董事会（审计委员会）、监事会报告。

对于一般缺陷，可以与企业经理层报告，并视情况考虑是否需要向董事会（审计委员会）、监事会报告。

２．内部控制缺陷整改方案及期限企业对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。

企业内部控制评价机构应当就发现的内部控制缺陷提出整改建议，并报经理层、董事会（审计委员会）、监事会批准。获批后，应制定切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。

五、关于内部控制评价报告

内部控制评价报告是内部控制评价的最终体现，按照编制主体、报送对象和时间，分为对内报告和对外报告。对外报告的内容、格式等强调符合披露要求，时间具有强制性，对内报告则主要以符合企业董事会（审计委员会）、经理层需要为主，编制主体层级更多、内容上更加详尽、格式更加多样，时间可以定期或不定期。《评价指引》第二十条规定，企业应当根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。

（一）内部控制评价报告的内容和格式《评价指引》第二十一条和二十二条规定了对外披露的内容，内部控制评价对外报告一般包括以下内容：１．董事会声明。声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。

２．内部控制评价工作的总体情况。明确企业内部控制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计。

３．内部控制评价的依据。说明企业开展内部控制评价工作所依据的法律法规和规章制度。

４．内部控制评价的范围。描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等。

５．内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。

６．内部控制缺陷及其认定。描述适用本企业的内部控制缺陷具体认定标准，并声明与以前保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。

７．内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果。

８．内部控制有效性的结论。对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

内部控制评价报告的参考格式（见附件２）。

对内报告的格式、内容应该在符合以上要求的基础上进一步详尽地设计和表达。

（二）内部控制评价报告的编制和报送《评价指引》第二十三条规定，企业应当根据内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

１．评价报告的编制（１）内部控制评价报告的编制时间企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告分为定期内部控制评价报告和非定期内部控制评价报告。

企业应该定期进行内部控制评价并发布内部控制评价报告。企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制评价报告。内部控制评价报告应当以１２月３１日作为基准日。

非定期内部控制评价报告可以是因特殊事项或原因（如企业因目标变化或提升）而对外发布的内部控制评价报告，也可以是企业针对发现的重大缺陷专项内部控制评价等向董事会（审计委员会）或经理层报送的内部报告（即内部控制缺陷报告）。

（２）内部控制评价报告的编制主体内部控制评价报告的编制主体包括单个企业和企业集团的母公司。单个企业内部控制评价报告指某一企业以自身经营业务和管理活动为辐射范围编制的内部控制评价报告，属于对内报告；企业集团母公司内部控制评价报告是企业集团的母公司在汇总、复核、评价、分析后，以母公司及下属（或控股子公司）的经营业务和管理活动为辐射范围编制的内部控制评价报告，是对企业集团内部控制设计有效性和运行有效性的总体评价，可以是对内或对外报告。

２．评价报告的报送《评价指引》第二十四条至二十六条规定了评价报告及内部控制审计报告对外报送的要求。

此外，企业内部控制评价报告应按规定报送有关监管部门，例如国有控股企业应按要求报送国有资产监督管理部门和财政部门、金融企业应按规定报送银行业监督管理部门和保险监督管理部门、公开发行证券的企业应报送证券监督管理部门。

（三）内部控制评价报告的披露和使用１．评价报告的披露公司的价值创造能力不仅取决于现有的经营基础和目前的盈利水平，更主要取决于公司的决策科学性和管控能力。公众公司必须向社会披露内部控制评估报告，满足投资者及利益相关者了解企业治理水平、管理规范化和抵御各类风险的能力的需要，更好地服务于他们做出投资决策和相关决策。

２．评价报告的使用企业内部控制评价对外报告的使用者包括政府有关监管部门、投资者以及其他利益相关者、中介机构和研究机构等。对内报告的使用者主要是企业董事会（审计委员会）、各层级管理者以及有关监管部门。

内部控制评价是企业董事会对本企业内部控制有效性的自我评价，具有一定的主观性，在此基础上形成的内部控制评价报告也因此只能作为有关方面了解企业内部控制设计与运行情况的途径之一。在使用内部控制评价报告时，还应注意与内部控制注册会计师审计报告、内部控制监管信息、财务报告信息等相关信息结合使用，以起到全面分析、综合判断、相互验证的效果。

《评价指引》第二十七条规定，建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管，报告应永久保存。附件1：内部控制评价的核心指标 附件２：内部控制评价报告的参考格式

.××股份有限公司２０××内部控制评价报告

××股份有限公司全体股东：根据《企业内部控制基本规范》等法律法规的要求，我们对本公司（下称“公司”）内部控制的有效性进行了自我评价。

一、董事会声明

公司董事会及全体董事保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带责任。

建立健全并有效实施内部控制是公司董事会的责任；监事会对董事会建立与实施内部控制进行监督；经理层负责组织领导公司内部控制的日常运行。

公司内部控制的目标是：„一般包括合理保证经营合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略‟。由于内部控制存在固有局限性，故仅能对达到上述目标提供合理保证。

二、内部控制评价工作的总体情况

公司董事会授权内部审计机构„或其他专门机构‟负责内部控制评价的具体组织实施工作，对纳入评价范围的高风险领域和单位进行评价„描述评价工作的组织领导体制，一般包括评价工作组织结构图、主要负责人及汇报途径等‟。

公司„是／否‟聘请了专业机构„中介机构名称‟实施内部控制评价，并编制内部控制评价报告；公司„是／否‟聘请会计事务所„会计师事务所名称‟对公司内部控制有效性进行独立审计。

三、内部控制评价的依据

本评价报告旨在根据中华人民共和国财政部等五部委联合发布的《企业内部控制基本规范》（下称“基本规范”）及《企业内部控制评价指引》（下称“评价指引”）的要求，结合企业内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，对公司截至２０××年１２月３１日内部控制的设计与运行的有效性进行评价。

四、内部控制评价的范围

内部控制评价的范围涵盖了公司及其所属单位的各种业务和事项，重点关注下列高风险领域：„列示公司根据风险评估结果确定的前“十大”主要风险‟纳入评价范围的单位包括：„描述公司及其所属单位的明确范围‟纳入评价范围的业务和事项包括（根据实际情况充实调整）：

（一）组织架构

（二）发展战略

（三）人力资源

（四）社会责任

（五）企业文化

（六）资金活动

（七）采购业务

（八）资产管理

（九）销售业务

（十）研究与开发

（十一）工程项目

（十二）担保业务

（十三）业务外包

（十四）财务报告

（十五）全面预算（十六）合同管理（十七）内部信息传递（十八）信息系统上述业务和事项的内部控制涵盖了公司经营管理的主要方面，不存在重大遗漏。

（如存在重大遗漏）公司本未能对以下构成内部控制重要方面的单位或业务（事项）进行内部控制评价：„逐条说明未纳入评价范围的重要单位或业务（事项），包括单位、或业务（事项）描述、未纳入的原因、对内部控制评价报告真实完整性产生的重大影响等‟

五、内部控制评价的程序和方法

内部控制评价工作严格遵循基本规范、评价指引及公司内部控制评价办法规定的程序执行„描述公司开展内部控制检查评价工作的基本流程‟。

评价过程中，我们采用了（个别访谈、调查问题、专题讨论、穿行测试、实地查验、抽样和比较分析）等适当方法，广泛收集公司内部控制设计和运行是否有效的证据，如实填写评价工作底稿，分析、识别内部控制缺陷„说明评价方法的适当性及证据的充分性‟。

六、内部控制缺陷及其认定

公司董事会根据基本规范、评价指引对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险水平等因素，研究确定了适用本公司的内部控制缺陷具体认定标准，并与以前保持了一致„描述公司内部控制缺陷的定性及定量标准‟，或作出了调整„描述具体调整标准及原因‟。

根据上述认定标准，结合日常监督和专项监督情况，我们发现报告期内存在„数量‟个缺陷，其中重大缺陷„数量‟个，重要缺陷„数量‟个。重大缺陷分别为：„对重大缺陷进行描述，并说明其对实现相关控制目标的影响程度‟。

七、内部控制缺陷的整改情况

针对报告期内发现的内部控制缺陷（含上一期间未完成整改的内部控制缺陷），公司采取了相应的整改措施„描述整改措施的具体内容和实际效果‟。对于整改完成的重大缺陷，公司有足够的测试样本显示，与重大缺陷„描述该重大缺陷‟相关的内部控制设计且运行有效（运行有效的结论需提供９０天内有效运行的证据）。

经过整改，公司在报告期末仍存在„数量‟个缺陷，其中重大缺陷„数量‟个，重要缺陷„数量‟个。重大缺陷分别为：„对重大缺陷进行描述‟。

针对报告期末未完成整改的重大缺陷，公司拟进一步采取相应措施加以整改„描述整改措施的具体内容及预期达到的效果‟。

八、内部控制有效性的结论

公司已经根据基本规范、评价指引及其他相关法律法规的要求，对公司截至２０××年１２月３１日的内部控制设计与运行的有效性进行了自我评价。

（存在重大缺陷的情形）报告期内，公司在内部控制设计与运行方面存在尚未完成整改的重大缺陷„描述该缺陷的性质及其对实现相关控制目标的影响程度‟。由于存在上述缺陷，可能会给公司未来生产经营带来相关风险„描述该风险‟。

（不存在重大缺陷的情形）报告期内，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的目标，不存在重大缺陷。

自内部控制评价报告基准日至内部控制评价报告发出日之间„是／否‟发生对评价结论产生实质性影响的内部控制的重大变化。„如存在，描述该事项对评价结论的影响及董事会拟采取的应对措施‟。

我们注意到，内部控制应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。„简要描述下一内部控制工作计划‟未来期间，公司将继续完善内部控制制度，规范内部控制制度执行，强化内部控制监督检查，促进公司健康、可持续发展。

第三篇：财政部会计司解读企业内部控制评价指引

切实做好内部控制评价，不断实现内部控制自我提升

—— —财政部会计司解读《企业内部控制评价指引》

作者： 来源： 字数：7801 《周易》：“君子终日乾乾，夕惕若，厉，无咎。”是说君子能整天整日显示出自强不息的行为状态，是因为到晚间，也要保持戒慎，即检查自己在白天的所作所为，不要把过错带进第二天。对内部控制的建立、实施进行评价，是优化内部控制自我监督机制的一项重要制度安排，是内部控制的重要组成部分，与内部控制的建立、实施，共同构成有机循环。《企业内部控制基本规范》第四十六条：“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告”。因此，为促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，专门制定了《企业内部控制评价指引》（下称“《评价指引》”）。

《评价指引》第二条规定，企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。

一、内部控制评价概述

（一）内部控制评价的作用第一，内部控制评价有助于企业自我完善内控体系。内部控制评价是通过评价、反馈、再评价，报告企业在内部控制建立与实施中存在的问题，并持续地进行自我完善的过程。通过内部控制评价查找、分析内部控制缺陷并有针对性地督促落实整改，可以及时堵塞管理漏洞，防范偏离目标的各种风险，并举一反三，从设计和执行等全方位健全优化管控制度，从而促进企业内控体系的不断完善。

第二，内部控制评价有助于提升企业市场形象和公众认可度。企业开展内部控制评价，需形成评价结论，出具评价报告。通过自我评价报告，将企业的风险管理水平、内部控制状况以及与此相关的发展战略、竞争优势、可持续发展能力等公布于众，树立诚信、透明、负责任的企业形象，有利于增强投资者、债权人以及其他利益相关者的信任度和认可度，为自己创造更为有利的外部环境，促进企业的长远可持续发展。

第三，内部控制评价有助于实现与政府监管的协调互动。政府监管部门有权对企业内部控制建立与实施的有效性进行监督检查。事实上，在有关政府部门，比如审计机关开展的国有企业负责人离任经济责任审计中，已将企业内部控制的有效性，以及企业负责人组织领导内控体系建立与实施情况纳入审计范围，并日益成为十分重要的一部分。尽管政府部门实施企业内控监督检查有其自身的做法和特点，但监督检查的重点部位是基本一致的，比如大多涉及重大经营决策的科学性、合规性以及重要业务事项管控的有效性等。实施企业内控自我评价，能够通过自查及早排查风险、发现问题，并积极整改，有利于在配合政府监管中赢得主动，并借助政府监管成果进一步改进企业内控实施和评价工作，促进自我评价与政府监管的协调互动。

（二）内部控制评价的对象内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。其中，内部控制设计的有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行的有效性，是指现有内部控制按照规定程序得到了正确执行。评价内部控制运行的有效性，应当着重考虑以下几个方面：（１）相关控制在评价期内是如何运行的；（２）相关控制是否得到了持续一致的运行；（３）实施控制的人员是否具备必要的权限和能力。

需要强调的是，即使同时满足设计有效性和运行有效性标准的内部控制，受内部控制固有局限影响，也只能为内部控制目标的实现提供合理保证，而不能提供绝对保证，不应不切实际地期望内部控制能够绝对保证内部控制目标的实现，也不应以内部控制目标的最终实现情况和程度作为唯一依据直接判断内部控制设计和运行的有效性。

（三）内部控制评价的原则内部控制评价的原则是开展评价工作应该注意的原则，与内部控制的原则不完全相同。根据《评价指引》第三条规定，企业对内部控制评价至少遵循以下原则：全面性原则、重要性原则和客观性原则。

１．全面性原则。全面性原则强调的是内部控制评价的涵盖范围应当全面，具体来说，是指内部控制评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

２．重要性原则。重要性原则强调内部控制评价应当在全面性的基础之上，着眼于风险，突出重点。具体来说，主要体现在制订和实施评价工作方案、分配评价资源的过程之中，它的核心要求主要包括两个方面：一是要坚持风险导向的思路，着重关注那些影响内部控制目标实现的高风险领域和风险点；二是要坚持重点突出的思路，着重关注那些重要的业务事项和关键的控制环节，以及重要业务单位。

３．客观性原则。客观性原则强调内部控制评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计和运行的有效性。只有在内部控制评价工作方案制定、实施的全过程中始终坚持客观性，才能保证评价结果的客观性。

（四）内部控制评价的组织形式和职责安排《评价指引》第四条规定，企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业内部控制评价办法应当结合《企业内部控制基本规范》第四十四条的规定，具体明确内部控制评价的组织形式，特别明确各有关方面在内部控制评价中的职责安排，处理好内部控制评价和内部监督的关系，定期由相对独立的人员对内部控制有效性进行科学的评价，界定内部控制缺陷认定标准，保证内部控制评价有序地开展。

１．内部控制评价的组织形式企业可以授权内部审计机构或专门机构（下称“内部控制评价机构”）负责内部控制评价的具体组织实施工作。

内部控制评价机构必须具备一定的设置条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

具体来说，企业可根据自身特点，决定是否单独设置专门的内部控制评价机构。对于单独设有专门内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实施工作。

为了保证评价的独立性，负责内部控制设计和评价的部门应适当分离。

企业可以委托会计师事务所等中介机构实施内部控制评价。此时，董事会（审计委员会）应加强对内部控制评价工作的监督与指导。从业务性质上讲，中介机构受托为企业实施内部控制评价是一种非保证服务，内部控制评价报告的责任仍然应由企业董事会承担。另外，为保证审计的独立性，为企业提供内部控制审计的会计师事务所，不得同时为同一家企业提供内部控制评价服务。

２．有关方面在内部控制评价中的职责和任务无论采取何种组织形式，董事会、经理层和内部控制评价机构在内部控制评价中的职能作用不会发生本质的变化。一般来说：（１）董事会对内部控制评价承担最终的责任。《评价指引》第四条第二款规定，企业董事会应当对内部控制评价报告的真实性负责。董事会可以通过审计委员会来承担对内部控制评价的组织、领导、监督职责。董事会或审计委员会应听取内部控制评价报告，审定内控重大缺陷、重要缺陷整改意见，对内部控制部门在督促整改中遇到的困难，积极协调，排除障碍。监事会应审议内部控制评价报告，对董事会建立与实施内部控制进行监督。

（２）经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。经理层应结合日常掌握的业务情况，为内部控制评价方案提出应重点关注的业务或事项，审定内部控制评价方案和听取内部控制评价报告，对于内部控制评价中发现的问题或报告的缺陷，要按照董事会或审计委员会的整改意见积极采取有效措施予以整改。

（３）内部控制评价机构根据授权承担内部控制评价的具体组织实施任务，通过复核、汇总、分析内部监督资料，结合经理层要求，拟订合理评价工作方案并认真组织实施；对于评价过程中发现的重大问题，应及时与董事会、审计委员会或经理层沟通，并认定内部控制缺陷，拟订整改方案，编写内部控制评价报告，及时向董事会、审计委员会或经理层报告；沟通外部审计师，督促各部门、所属企业对内、外部内控评价进行整改；根据评价和整改情况拟订内部控制考核方案。

（４）各专业部门应负责组织本部门的内控自查、测试和评价工作，对发现的设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送内部控制机构复核，配合内控机构（部门）及外部审计师开展企业层面的内控评价工作。

（５）企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改，编制内部控制评价报告，对内部控制的执行和整改情况进行考核。

企业内部控制评价办法中的原则、内容、程序、方法和报告形式参考本解读其他部分的规定。

二、关于内部控制评价的内容

（一）内部控制评价的内容和工作底稿设计《评价指引》第五条到第十条具体介绍了内部控制评价内容。内部控制评价应紧紧围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，企业应结合《企业内部控制基本规范》、各项应用指引以及本企业的内部控制制度，确定具体评价内容，对内部控制设计与运行情况进行全面评价。

内部环境评价应当包括组织架构、发展战略、人力资源、企业文化、社会责任等方面。组织架构评价可以重点从机构设置的整体控制力、权责划分、相互牵制、信息流动路径等方面进行；发展战略可以重点从发展战略的制定合理 性、有效实施和适当调整三方面进行；人力资源评价应当重点从企业人力资源引进结构合理性、开发机制、激励约束机制等方面进行；企业文化评价应从建设和评估两方面进行，从而促进诚信、道德价值观的提升，为内部控制的完善夯实人文基础；社会责任可以从安全生产、产品质量、环境保护与资源节约、促进就业、员工权益保护等方面进行。

风险评估评价应当对日常经营管理过程中的目标设定、风险识别、风险分析、应对策略等进行认定和评价。

控制活动评价应对企业各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价。

信息与沟通评价应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

内部监督评价应当对管理层对于内部监督的基调、监督的有效性及内部控制缺陷认定的科学、客观、合理进行认定和评价。

重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥作用。

企业应当以内部控制五要素为基础，建立内部控制核心指标体系，在以上评价内容的基础上，层层分解、展开，进一步细化，以下列举了可供参考核心指标（见第4版附件１）。对于内容不能详尽的，如控制活动涉及方方面面的业务，可以另外按业务列表增加。

具体评价内容确定后，根据《评价指引》第十一条规定，内部控制评价工作应形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。工作底稿可以是通过一系列评价表格加以实现。

三、关于内部控制评价的程序

《评价指引》第十二条至第十四条对企业组织内部控制评价程序和人员、预算作出具体规定。

（一）内部控制评价的一般程序内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、汇总评价结果、编报评价报告等。概括而言，主要分为以下几个阶段：１．准备阶段（１）制定评价工作方案。内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制定科学合理的评价工作方案，经董事会批准后实施。评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。评价工作方案既以全面评价为主，也可以根据需要采用重点评价的方式。

（２）组成评价工作组。评价工作组是在内部控制评价机构领导下，具体承担内部控制检查评价任务。内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员实施评价。评价工作组成员应当吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业应根据自身条件，尽量建立长效内部控制评价培训机制。

２．实施阶段（１）了解被评价单位基本情况。充分与企业沟通企业文化和发展战略、组织机构设置及职责分工、领导层成员构成及分工等基本情况。

（２）确定检查评价范围和重点。评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。

检查重点和分工情况可以根据需要进行适时调整。

（３）开展现场检查测试。评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。

３．汇总评价结果、编制评价报告阶段评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告。评价工作底稿应进行交叉复核签字，并由评价工作组负责人审核后签字确认。评价工作组将评价结果及现场评价报告向被评价单位进行通报，由被评价单位相关责任人签字确认后，提交企业内部控制评价机构。

内部控制评价机构汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总；对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。

内部控制评价机构以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露。

４．报告反馈和跟踪阶段对于认定的内部控制缺陷，内部控制评价机构应当结合董事会和审计委员会要求，提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况；已经造成损失或负面影响的，企业应当追究相关人员的责任。

（二）内部控制评价的频率企业每年应对内部控制进行评价并予以披露。但是内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。

另外，如果内部监督程序无效，或所提供信息不足以说明内部控制有效，应增加评价的频率。

（三）内部控制评价的方法《评价指引》第十五条规定，内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。

１．个别访谈法个别访谈法主要用于了解公司内部控制的现状，在企业层面评价及业务层面评价的了解阶段经常使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的内容。

２．调查问卷法调查问卷法主要用于企业层面评价。调查问卷应尽量扩大对象范围，包括企业各个层级员工，应注意事先保密性，题目尽量简单易答（如答案只需为“是”、“否”、“有”、“没有”等等）。

３．穿行测试法穿行测试法是指在内部控制流程中任意选取一笔交易作为样本，追踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程（例如，在保险公司的内部控制评价中，选取一笔保险新单，追踪其从投保申请到财务入账的全过程），以此了解控制措施设计的有效性，并识别出关键控制点。

４．抽样法抽样法分为随机抽样和其他抽样。

随机抽样是指按随机原则从样本库中抽取一定数量的样本；其他抽样是指人工任意选取或按某一特定标准从样本库中抽取一定数量的样本。

５．实地查验法实地查验法主要针对业务层面控制，它通过使用统一的测试工作表，与实际的业务、财务单证进行核对的方法进行控制测试。如实地盘点某种存货。

６．比较分析法比较分析法是指通过数据分析，识别评价关注点的方法。数据分析可以是与历史数据、行业（公司）标准数据或行业最优数据等进行比较。

７．专题讨论法专题讨论法主要是集合有关专业人员就内部控制执行情况或控制问题进行分析，既可以是控制评价的手段，也是形成缺陷整改方案的途径。

此外，还可以使用观察、重新执行等方法，也可以利用信息系统开发检查方法，或利用实际工作和检查测试经验。对于企业通过系统采用自动控制、预防控制的，应在方法上注意与人工控制、发现性控制的区别。

四、内部控制缺陷的认定

内部控制缺陷是描述内部控制有效性的一个负向的维度。企业开展内部控制评价，主要工作内容之一就是要找出内部控制缺陷并有针对性地进行整改。

内部控制缺陷认定在一定程度上决定内部控制评价的成效，且具有一定难度，还需要运用职业判断。为了指导企业科学、合理地认定内部控制缺陷，切实帮助企业有效开展内部控制评价，《评价指引》第十六条至第十九条对内部控制缺陷的分类、认定作出专门的解释。

（一）内部控制缺陷的分类１．按照内部控制缺陷成因或来源，内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指企业缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制缺陷。

内部控制存在设计缺陷和运行缺陷，会影响内部控制的设计有效性和运行有效性。

２．按照影响企业内部控制目标实现的严重程度，内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。当存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告中作出内部控制无效的结论。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严重危及内部控制的整体有效性，但也应当引起董事会、经理层的充分关注。

一般缺陷，是指除重大缺陷、重要缺陷以外的其他控制缺陷。

将内部控制评价中发现的内部控制缺陷划分为重大缺陷、重要缺陷和一般缺陷，需要借助一套可系统遵循的认定标准，认定过程中还需要内部控制评价人员充分运用职业判断。一般而言，如果一个企业存在的内部控制缺陷达到了重大缺陷的程度，我们就不能说该企业的内部控制是整体有效的。

３．按照具体影响内部控制目标的具体表现形式，还可以将内部控制缺陷分为财务报告缺陷和非财务报告缺陷。

（二）内部控制缺陷的认定标准１．部控制缺陷的重要性和影响程度《评价指引》第十六条规定，企业对内部控制缺陷的认定，应当以构成内部控制的内部监督要素中的日常监督和专项监督为基础，结合内部控制评价，由内部控制评价机构进行综合分析后提出认定意见，按照规定的权限和程序进行审核，由董事会予以最终确定。

首先，内部控制评价从属于内部监督，是监督结果的总体体现。在企业正常的生产经营中，内部控制评价倚重内部监督；其次，充分利用日常监督与专项监督结果的基础上，至少每年由内部控制评价机构对内部控制的五要素相对独立地进行评价，全面地、综合地分析，提出认定意见，报董事会审定；第三，企业应当根据评价指引，结合自身情况和关注的重点，自行确定内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。第四，根据具体认定标准认定企业存在的内部控制缺陷，由董事会最终审定。企业在确定内部控制缺陷的认定标准时，应当充分考虑内部控制缺陷的重要性及其影响程度。

内部控制缺陷的重要性和影响程度是相对于内部控制目标而言的。按照对财务报告目标和其他内部控制目标实现的影响的具体表现形式，下面区分财务报告内部控制缺陷和非财务报告内部控制缺陷分别阐述内部控制缺陷的认定标准。

２．财务报告内部控制缺陷的认定标准财务报告内部控制是指针对财务报告目标而设计和实施的内部控制。由于财务报告内部控制的目标集中体现为财务报告的可靠性，因而财务报告内部控制的缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。

换句话说，财务报告内部控制的缺陷，是指不能及时防止或发现并纠正财务报告错报的内部控制缺陷。

将财务报告内部控制的缺陷划分为重大缺陷、重要缺陷和一般缺陷，所采用的认定标准直接取决于由于该内部控制缺陷的存在可能导致的财务报告错报的重要程度。这种重要程度主要取决于两个方面的因素：（１）该缺陷是否具备合理可能性导致企业的内部控制不能及时防止或发现并纠正财务报告错报。合理可能性是指大于微小可能性（几乎不可能发生）的可能性，确定是否具备合理可能性涉及评价人员的职业判断。（２）该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。另外，一些迹象通常表明财务报告内部控制可能存在重大缺陷：（１）董事、监事和高级管理人员舞弊；（２）企业更正已公布的财务报告；（３）注册会计师发现当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报；（４）企业审计委员会和内部审计机构对内部控制的监督无效。

一般而言，如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报告中的重大错报，就应将该缺陷认定为重大缺陷。重大错报中的“重大”，涉及企业管理层确定的财务报告的重要性水平。

一般企业可以采用绝对金额法（例如，规定金额超过１００００元的错报应当认定为重大错报）或相对比例法（例如，规定超过资产总额１％的错报应当认定为重大错报）来确定重要性水平。如果企业的财务报告内部控制存在一项或多项重大缺陷，就不能得出该企业的财务报告内部控制有效的结论。

一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报告中虽然未达到和超过重要性水平、但仍应引起董事会和管理层重视的错报，就应将该缺陷认定为重要缺陷。不构成重大缺陷和重要缺陷的内部控制缺陷，应认定为一般缺陷。

３．非财务报告内部控制缺陷的认定标准非财务报告内部控制是指针对除财务报告目标之外的其他目标的内部控制。这些目标一般包括战略目标、资产安全、经营目标、合规目标等。非财务报告评价应当作为企业内部控制评价的重点。

非财务报告内部控制缺陷认定具有涉及面广、认定难度大的特点。企业可以根据风险评估的各项工作，对《企业内部控制应用指引》中每一篇应用指引所阐述的风险，根据自身的实际情况、管理现状和发展要求，加以细化或按内部控制原理补充，参照财务报告内部控制缺陷的认定标准，合理确定定性和定量的认定标准，根据其对内部控制目标实现的影响程度认定为一般缺陷、重要缺陷和重大缺陷。其中：定量标准，即涉及金额大小，既可以根据造成直接财产损失绝对金额制定，也可以根据其直接损失占本企业资产、销售收入及利润等的比率确定；定性标准，即涉及业务性质的严重程度，可根据其直接或潜在负面影响的性质、影响的范围等因素确定。以下迹象通常表明非财务报告内部控制可能存在重大缺陷：（１）国有企业缺乏民主决策程序，如缺乏“三重一大”决策程序；（２）企业决策程序不科学，如决策失误，导致并购不成功；（３）违犯国家法律、法规，如环境污染；（４）管理人员或技术人员纷纷流失；（５）媒体负面新闻频现；（６）内部控制评价的结果特别是重大或重要缺陷未得到整改。（７）重要业务缺乏制度控制或制度系统性失效。

为避免企业操纵内部控制评价报告，非财务报告内部控制缺陷认定标准一经确定，必须在不同评价期间保持一致，不得随意变更。

需要强调的是，在内部控制的非财务报告目标中，战略和经营目标的实现往往受到企业不可控的诸多外部因素的影响，企业的内部控制只能合理保证董事会和管理层了解这些目标的实现程度。因而，在认定针对这些控制目标的内部控制缺陷时，我们不能只考虑最终的结果，而主要应该考虑企业制定战略、开展经营活动的机制和程序是否符合内部控制要求，以及不适当的机制和程序对企业战略及经营目标实现可能造成的影响。

（三）内部控制缺陷的报告与整改１．内部控制缺陷报告的格式和途径《评价指引》第十九条规定，企业内部控制评价机构应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见（针对财务报告内部控制的缺陷，一般还应当反映缺陷对财务报告的具体影响），并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

内部控制缺陷报告应当采取书面形式，可以单独报告，也可以作为内部控制评价报告的一个重要组成部分。一般而言，内部控制的一般缺陷、重要缺陷应定期（至少每年）报告，重大缺陷应立即报告。对于重大缺陷和重要缺陷及整改方案，应向董事会（审计委员会）、监事会或经理层报告并审定。如果出现不适合向经理层报告的情形，例如存在与管理层舞弊相关的内部控制缺陷，或存在管理层凌驾于内部控制之上的情形，应当直接向董事会（审计委员会）、监事会报告。

对于一般缺陷，可以与企业经理层报告，并视情况考虑是否需要向董事会（审计委员会）、监事会报告。

２．内部控制缺陷整改方案及期限企业对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。

企业内部控制评价机构应当就发现的内部控制缺陷提出整改建议，并报经理层、董事会（审计委员会）、监事会批准。获批后，应制定切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。

五、关于内部控制评价报告

内部控制评价报告是内部控制评价的最终体现，按照编制主体、报送对象和时间，分为对内报告和对外报告。对外报告的内容、格式等强调符合披露要求，时间具有强制性，对内报告则主要以符合企业董事会（审计委员会）、经理层需要为主，编制主体层级更多、内容上更加详尽、格式更加多样，时间可以定期或不定期。《评价指引》第二十条规定，企业应当根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。

（一）内部控制评价报告的内容和格式《评价指引》第二十一条和二十二条规定了对外披露的内容，内部控制评价对外报告一般包括以下内容：１．董事会声明。声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。

２．内部控制评价工作的总体情况。明确企业内部控制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计。

３．内部控制评价的依据。说明企业开展内部控制评价工作所依据的法律法规和规章制度。

４．内部控制评价的范围。描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等。

５．内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。

６．内部控制缺陷及其认定。描述适用本企业的内部控制缺陷具体认定标准，并声明与以前保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。

７．内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果。

８．内部控制有效性的结论。对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

内部控制评价报告的参考格式（见附件２）。

对内报告的格式、内容应该在符合以上要求的基础上进一步详尽地设计和表达。

（二）内部控制评价报告的编制和报送《评价指引》第二十三条规定，企业应当根据内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

１．评价报告的编制（１）内部控制评价报告的编制时间企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告分为定期内部控制评价报告和非定期内部控制评价报告。

企业应该定期进行内部控制评价并发布内部控制评价报告。企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制评价报告。内部控制评价报告应当以１２月３１日作为基准日。

非定期内部控制评价报告可以是因特殊事项或原因（如企业因目标变化或提升）而对外发布的内部控制评价报告，也可以是企业针对发现的重大缺陷专项内部控制评价等向董事会（审计委员会）或经理层报送的内部报告（即内部控制缺陷报告）。

（２）内部控制评价报告的编制主体内部控制评价报告的编制主体包括单个企业和企业集团的母公司。单个企业内部控制评价报告指某一企业以自身经营业务和管理活动为辐射范围编制的内部控制评价报告，属于对内报告；企业集团母公司内部控制评价报告是企业集团的母公司在汇总、复核、评价、分析后，以母公司及下属（或控股子公司）的经营业务和管理活动为辐射范围编制的内部控制评价报告，是对企业集团内部控制设计有效性和运行有效性的总体评价，可以是对内或对外报告。

２．评价报告的报送《评价指引》第二十四条至二十六条规定了评价报告及内部控制审计报告对外报送的要求。

此外，企业内部控制评价报告应按规定报送有关监管部门，例如国有控股企业应按要求报送国有资产监督管理部门和财政部门、金融企业应按规定报送银行业监督管理部门和保险监督管理部门、公开发行证券的企业应报送证券监督管理部门。

（三）内部控制评价报告的披露和使用１．评价报告的披露公司的价值创造能力不仅取决于现有的经营基础和目前的盈利水平，更主要取决于公司的决策科学性和管控能力。公众公司必须向社会披露内部控制评估报告，满足投资者及利益相关者了解企业治理水平、管理规范化和抵御各类风险的能力的需要，更好地服务于他们做出投资决策和相关决策。

２．评价报告的使用企业内部控制评价对外报告的使用者包括政府有关监管部门、投资者以及其他利益相关者、中介机构和研究机构等。对内报告的使用者主要是企业董事会（审计委员会）、各层级管理者以及有关监管部门。

内部控制评价是企业董事会对本企业内部控制有效性的自我评价，具有一定的主观性，在此基础上形成的内部控制评价报告也因此只能作为有关方面了解企业内部控制设计与运行情况的途径之一。在使用内部控制评价报告时，还应注意与内部控制注册会计师审计报告、内部控制监管信息、财务报告信息等相关信息结合使用，以起到全面分析、综合判断、相互验证的效果。

《评价指引》第二十七条规定，建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管，报告应永久保存。

第四篇：财政部解读_企业内部控制社会责任应用指引

财政部解读 企业内部控制社会责任应用指引

一般认为，企业就是创造利润的，利润最大化或股东财富最大化是企业发展的唯一目标，社会责任是政府的事情，与己无关。这种观点和定位有失偏颇。企业创造利润或实现股东财富最大化固然重要，但在经济社会高速发展的当今时代，尤其是我国作为发展中国家，大力发展社会主义市场经济，企业作为重要的市场主体，如果不顾一切地追逐利润而不履行社会责任，显然不符合科学发展观与建设和谐社会的要求。即使是西方发达国家，企业也要履行社会责任。履行社会责任是企业应尽的义不容辞的义务，也是企业的光荣使命。因此，在企业内部控制应用指引中，从实现企业与社会协调发展的要求出发，单独规定了社会责任指引，旨在促进企业发展中不能忘记履行社会责任。

一、企业为什么要履行社会责任本指引所称的社会责任，是指企业在经营发展过程中应当履行的社会职责和义务，主要包括安全生产、产品质量（含服务）、环境保护、资源节约、促进就业、员工权益保护等。根据本指引对社会责任的描述，企业履行社会责任至少具有如下意义：

（一）企业创造利润或财富与履行社会责任是统一的有机整体企业创造利润或财富，要依法纳税、向股东分红，并向管理者和员工发放年薪或工资，企业创造的利润或财富越多，上缴税收和分红就越多，年薪和工资也就随之升高，从而为国家、股东和员工作出贡献，同时促进客户发展，等等。这在本质上也属于履行社会责任。在这一过程中，要做到安全生产，提升产品质量，重视环境保护和资源节约，促进就业和保护员工权益，属于企业直接为社会相关方面作出贡献。两者之间的目标是一致的，不应将两者对立起来。正确处理两者的关系，实现两者的有机统一，企业才能进入良性发展的轨道。反之，如果单纯为了追求利润或财富而不履行社会责任，就难以实现发展战略。

（二）企业履行社会责任是提升发展质量的重要标志，也是实现可持续长远发展的根本所在随着我国经济的高速发展，党中央和国务院十分强调转变发展方式，归根到底是要求提升发展质量问题。履行社会责任是企业提升发展质量的重要标志。众所周知，如果企业做不到安全生产，事故频繁，人员伤亡，必然是欲速则不达甚至关闭；如果企业产品质量低劣，损害消费者利益，很快将失去市场，或者在全国乃至国际市场造成负面影响，定会导致停产；如果以牺牲环境为代价追逐利润，这就违背了企业发展宗旨；如果环境污染影响人类健康，这是犯罪行为。

以浪费资源为代价追求速度和效益，必然危及子孙后代，如此等等。

由此可见，企业在制定和实现发展战略过程中，应当充分考虑履行社会责任的要求，否则，企业必然短命。企业只有重视和履行社会责任，才能从根本上转变发展方式，提升发展质量，实现持续长远发展的目标。

（三）企业履行社会责任，是打造和提升企业形象的重要举措企业形象是指企业的社会认同度，包括国内认同度和国际认同度。社会认同度高的企业必然是优质企业。企业如何提升社会认同度呢？有的企业通过广告宣传，有的企业通过

包装手段，形式有多种多样。但是，这都不能持久，真正提升企业形象取决于履行社会责任。如果一个企业切实做到安全生产，产品质量第一，环境保护符合国家质量标准，避免掠夺性开发资源，促进社会就业等等，从发展质量上下功夫，苦练内功，重视内涵，在认真履行社会责任的前提下实现发展目标，或将履行社会责任作为发展战略的重要组成部分，这样的优质企业才能从根本上改变和不断提升企业形象，在此基础上的企业形象必然被社会广泛认可。

二、企业应当履行哪些社会责任《企业内部控制应用指引第4号—— —社会责任》规定企业履行的社会责任包括安全生产、产品质量、环境保护、资源节约、促进就业、员工权益保护等方面。这是就一般企业而言，特殊行业的企业应履行的社会责任不完全相同。

（一）安全生产企业如何实现安全生产，社会责任指引规定了以下方面：一是建章建制，建立健全安全生产管理机构。近年来，国家立法部门相继制定了《安全生产法》等近30部关于安全生产的专门法律和行政法规，企业应当依据国家有关安全生产方面的法律法规规定，结合本企业生产经营的特点，建立健全安全生产方面的规章制度、操作规范和应急预案。建章建制的关键是落实到位。近年来的重大安全事故频发，原因并不是没有建章建制，而是在巨大的经济利益驱动下，无视规章制度。人为因素往往是重大安全事故频发的重要原因，这是值得深思的。如果将国家和企业制定的一系列涉及安全生产的规章制度落实到位，就能够杜绝安全事故的发生。

二是不断加大安全生产投入和经常性维护管理。企业特别是高危行业的企业，应当将安全生产投入列为首位，“磨刀不误砍柴功”，急于求成、急功近利是不足取的。

企业一定要重视安全生产投入，将员工的生命安全视为头等大事，加大安全生产的技术更新，保证投入安全生产所需的资金、人力、财物及时和足额到位。企业还应组织开展生产设备的经常性维护管理，及时排除安全隐患，切实做到安全生产。

三是开展员工安全生产教育，实行特殊岗位资格认证制度。加强对员工进行安全生产培训教育至关重要。通过培训教育，让员工牢固树立“安全第一、预防为主”的思想，提高他们防范灾害的技能和水平。培训教育应当经常化、制度化，做到警钟长鸣，不能有丝毫放松和懈怠。对于特殊作业人员和特殊资质要求的生产岗位，因工作接触的不安全因素较多，危险性较大，容易发生事故，必须依法实行资格认证制度，持证上岗。

四是建立安全生产事故应急预警和报告机制。企业必须要建立事故应急处理预案，建立专门的应急指挥部门，配备专业队伍和必要的专业器材等，在发生安全生产事故时做到临危不乱，按照预定程序有条不紊地处理好发生的安全生产事故，尽快消除事故产生的影响，同时按照国家有关规定及时报告，不得迟报、谎报和瞒报。安全生产必须实行严格的责任追究制度。

（二）产品质量产品质量是企业长久发展的生命线。如何保证产品质量，结合社会责任指引要求，企业至少应做到以下方面：一是建立健全产品质量标准体系。产品质量的危害不言而喻，一害自己，二害他人，“损人不利已”。为了更加有效地提升产品质量，企业应当根据国家法律法规规定，结合企业产品特点，制定完善产品质量标准体系，包括生产设备条件、生产技术水平、原料组成、产品规格、售后服务等，努力为社会提供优质安全健康的产品和服务，最大限度地满足消费者的需求，对社会和公众负责。

二是严格质量控制和检验制度。从原材料进厂，一直到产品销售等各个环节和流程，都必须有严格的质量控制标准作保证。企业应当加强对产品质量的检验，严禁未经检验合格的产品流入市场。如果每个企业都能把好市场准入关口，严防假冒伪劣产品进入市场，不仅对企业自身有利，而且能够推动社会进步。

三是加强产品售后服务。企业售后服务不仅是一种经营，更是一种文化、一种理念，是企业与客户、消费者沟通、联系的一个纽带。企业通过优质的售后服务，促进与客户、消费者的关系更加紧密，树立企业形象，提高产品信誉，扩大产品影响，培养客户的忠诚度。企业应当把售后服务作为企业采取有效竞争策略、提高产品服务增值的重要手段，重视和加强售后服务，创新售后服务方法，力争做到件件有结果、有分析、有整改、有考核。

对有缺陷的产品，应当采取及时召回、实行“三包”等，赢得消费者对企业产品的信赖和支持，维护消费者合法权益。

（三）环境保护与资源节约为建设资源节约型、环境友好型企业，社会责任指引从以下方面提出了要求：一是转变发展方式，实现清洁生产和循环经济。企业要在快速增长中破解资源与环境的双重约束，在市场竞争中争取主动，必须转变发展方式，重视生态保护，调整产业结构，发展低碳经济和循环经济。加大对环保工作的人力、物力、财力的投入和技术支持，不断改进工艺流程，加强节能减排，降低能耗和污染物排放水平，实现清洁生产。加强对废气、废水、废渣的自行回收、利用和处臵等综合治理，推动生产、流通和消费过程中对资源的减量化、再利用、资源化，以最小的资源消耗、最少的废物排放和最小的环境代价来换取最大的经济效益。

二是依靠科技进步和技术创新，着力开发利用可再生资源。企业发展离不开能源和资源。随着我国经济的高速发展，能源、资源对企业经济发展的“瓶颈”制约作用也越来越凸显。企业只有不断增强自主创新能力，通过技术进步推动替代技术和发展替代产品、可再生资源，降低资源消耗和污染物排放，实现低投入、低消耗、低排放和高效率，才能有效实现资源节约和环境保护。

三是建立完善监测考核体系，强化日常监控。资源节约和环境保护人人有责。只有建立环境保护和资源节约监测考核体系，完善激励与约束机制，明确职责，各司其职、各尽其责，严格监督，落实岗位责任制，才能保证环境保护和资源节约等各项工作落到实处。企业要加强日常监控，定期开展监督检查，发现问题，及时采取措施予以纠正。发生紧急、重大环境污染事件时，应当立即启动应急机

制，同时根据国家法律法规规定，及时上报，并依法追究相关责任人的责任。

（四）促进就业促进员工就业是企业社会责任的重要体现。保障就业、稳定就业，是社会稳定和发展的大计。中国是世界上人口最多的国家，又是世界上最大的发展中国家。面对宠大的人口数量，国民经济还相对薄弱，要让尽可能多的劳动者享受改革发展的成果，促进社会稳定和谐，就要最大限度地创造就业，这不仅是各级政府的责任，也是企业应尽的义务。中国的企业家身上不能只流淌着金钱和利润的血液，更应流淌着道德的血液，应该做超越资本运营者的更高层次的企业家。

为此，配套指引对企业促进充分就业作出了明确规定。

企业作为就业工作的最大载体，应当以宽广的胸怀接纳各方人士，为国家和社会分担困难，促进充分就业。在各级政府培训提高劳动者专业技能和素质、鼓励企业扩大就业方面给予税收等优惠待遇同时，企业应结合实际需要，转变陈旧或功利的用人观念，在满足自身发展的情况下，公开招聘、公平竞争、公正录用，为社会提供尽可能多的就业岗位，特别是建筑企业、服务型企业、商业零售企业、劳动服务企业等劳动密集型企业，应当成为吸纳农民工就业的主体。企业在录用员工时，不能因民族、种类、性别、宗教信仰不同而受歧视，要保证劳动者依法享有平等就业和自主择业的权利。

（五）保护员工合法权益员工是企业生存发展的内在动力。不断提高员工的素质，维护员工的合法权益，既是社会和谐稳定的需要，也是企业长远发展的需要。企业应当尊重员工，关爱员工，维护员工权益，促进企业与员工的和谐稳定和共同发展。为此，社会责任指引作出了以下要求：一是建立完善科学的员工培训和晋升机制。培训的目的是让员工得到尽快发展。企业应当保证晋升对每个人的公平、公正，每个人主宰自己的命运，适应快、能力强的人能迅速掌握各阶段的技能，自然能得到更快的晋升。不同员工个性化的培训，保持员工及时获得必要的知识储备，才能通过公平竞争和优越的机会吸引大批有能力的员工为企业真诚服务。

二是建立科学合理的员工薪酬增长机制。薪酬的高低，无疑是吸引和争夺人才的一个关键性因素。企业应当遵循按劳分配、同工同酬的原则，结合内外部因素和员工自身表现等，建立科学有效的薪酬正常增长机制，最大限度地激发员工工作热情、敬业精神和工作绩效。员工工资等薪酬应当及时发放，员工各类社会保险应当及时足额缴纳，不得无故拖欠和克扣。企业应当重视和关注，积极缩小高管薪酬与员工的收入差距，促进企业高管人员与员工的薪酬有机协调统一。

三是维护员工的身心健康。现代社会的激烈竞争和快节奏，导致员工身心高度紧张，承受过重的职业压力，很多员工处于亚健康状态。企业应当关心员工身体健康，保障员工充分的休息休假权利，广泛开展娱乐休闲活动。加强职工代表大会和工会组织建设，通过企业内部员工热线、信访接待、内部媒体、员工建议箱等渠道，保证员工与企业上层的信息畅通，帮助员工减压，不断提高员工的身体素质。要加强对职业病的预防、控制和消除，贯彻落实国家有关职业卫生的法

律法规，加强生产安全管理工作，定期对劳动者进行体检，建立职业健康档案等，预防、控制和有效消除职业危害，确保员工身心健康。

（六）重视产学研用结合党和政府历来高度重视产学研用结合工作，企业、高校和科研机构在实践中积极探索产学研用结合的有效模式和机制，取得了明显成效，支撑了我国产业技术进步和相关行业的发展，尤其是推动教育改革和应用型人才培养。为促进企业重视加强产学研用结合，社会责任指引作出了明确规定。

企业应当重视产学研用结合，牢固确立企业技术创新主体地位这个核心，把产学研用结合的基点放在人才培养方面。要充分运用市场机制和手段，积极开展与高校和科研院所的战略合作，联合创建国家重点实验室、工程中心等研发和产业化基地，实行优势互补，激发科研机构的创新活力。要重视和加强与高校和科研院所人才培养和交流，加速科技成果的转化和产业化，引导技术创新要素聚集到企业创造社会财富过程中来，使企业获得持续创新的能力。同时促进应用型人才的培养，确保企业发展中亟需人才不断得到补充。

（七）支持慈善事业中华民族具有深厚的慈善文化传承，乐善好施、扶贫济困、安老助孤、帮残助医、支教助学等慈善爱心活动，是中华民族传统美德和人类社会文明的重要组成部分。大力推动企业支持社会慈善爱心活动，对于组织调动社会资源、调节贫富差距、缓解社会矛盾、促进社会公平、构建和谐社会具有重要而深远的意义。

因此，社会责任指引要求企业重视支持慈善事业，扶助社会弱势群体。

“予人玫瑰，手有余香”。通过捐赠等慈善公益事业，企业能够达到无与伦比的广告效应，既能享受税收优惠，又能提升企业的形象和消费者的认可度与赞誉度，提高市场占有率。著名的王老吉饮料公司2007年销售收入是46亿元，2008年捐赠汶川地震灾区后，全年销售收入实现96亿元，1亿元的捐赠换来了50亿元的收入。“仰承福泽，报效桑梓”。企业在关注公司自身发展的同时，应当勇于承担社会责任，积极支持慈善事业，奉献爱心和善举，扶助社会弱势群体，把参与慈善活动作为创新产品和服务的潜在市场，将慈善行为与企业发展目标有机地联系起来，不断增强自身参与社会慈善事业发展的积极性和可持续性，以实际行动践行企业公民的责任和义务。

三、企业如何履行社会责任企业重视并切实履行社会责任，既是为企业前途、命运负责，也是为社会、为国家、为人类负责。企业应当高度重视履行社会责任，积极采取措施促进社会责任的履行。

（一）企业负责人要高度重视强化企业履行社会责任，很大程度上取决于企业负责人的意识和态度。企业负责人应当高度重视这项工作，树立社会责任意识，把履行社会责任提上企业重要议事日程，经常研究和部署社会责任工作，加强社会责任全员培训和普及教育，不断创新管理理念和工作方式，努力形成履行社会责任的企业价值观和企业文化。

（二）建立和完善履行社会责任的体制和运行机制要把履行社会责任融入企业发展战略，落实到生产经营的各个环节，明确归口管理部门，建立健全预算安排，逐步建立和完善企业社会责任指标统计和考核体系，为企业履行社会责任提供坚实的基础与保障。

（三）建立企业社会责任报告制度发布社会责任报告，是企业履行社会责任的重要组成部分。发布企业社会责任报告，让股东、债权人、员工、客户、社会等各方面知晓自己在社会责任领域所做的工作、所取得的成就，可以增强企业的战略管理能力，使企业由外而内地深入审视与社会的互动关系，全面提高企业服务能力和水平，提高企业的品牌形象和价值。

近几年来，国务院国资委、上交所、深交所、中国银行业协会等政府和行业组织相继出台政策文件，要求和建议企业发布社会责任报告，越来越多的企业争做“优秀企业公民”，积极主动地披露社会责任报告。2009年我国已有各类社会责任报告达582份，是2008年169份的3。5倍，呈现“井喷”式增长态势，涉及到电力、电信、钢铁、石油、化工、纺织、金融、交通、零售等领域，国有企业占到80%。但目前企业发布的责任报告信息非常有限，信息披露的深度和广度存在欠缺，覆盖面不高，难以发挥与利益相关方进行沟通的作用，需要不断加以完善。

一是认真执行政府监管部门和社会行业组织的要求。企业应当根据政府监管部门、社会行业组织的要求，积极主动发布社会责任报告。执行财政部等五部委印发《企业内部控制基本规范》及其配套指引的企业，应当单独发布社会责任报告。条件尚不成熟的企业，在披露自我评价报告中，应当将企业履行社会责任情况作为内部环境自我评价的重要内容。

二是社会责任报告应当覆盖企业已履行的所有社会责任。企业发布的社会责任报告，面对的是政府有关监管部门、股东、债权人、员工、客户等利益相关者，因此，要求社会责任报告覆盖面广，至少涵盖安全生产、产品质量、环境保护和资源节约、促进就业、员工权益保护、慈善捐赠等内容。

三是社会责任报告应当经过独立第三方外部评价。企业对外公布社会责任报告，应当内容真实完整，实事求是。可请独立第三方出具意见，或聘请大中型会计师事务所进行审验并出具审验声明或报告，保证企业社会责任报告客观、公允，同时通过信函调查等方式，听取政府有关监管部门、股东、债权人、客户、员工等利益相关人的反馈意见和建议，以便查漏补缺，持续改进。

责任引领未来，我国企业履行社会责任之路刚刚启航，任重道远。

履行社会责任、做优秀企业公民，实现企业与社会、自然的和谐相融，必定是企业应尽的义务和光荣使命。

第五篇：企业内部控制评价指引

附件1：

企业内部控制评价指引

（征求意见稿）第一章

总 则

第一条

为规范企业内部控制评价工作，及时发现企业内部控制缺陷，提出和实施改进方案，确保内部控制有效运行，根据国家有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条

本指引适用于中华人民共和国境内设立的大中型企业。第三条

本指引所称内部控制评价，是指由企业董事会和管理层实施的，对企业内部控制有效性进行评价，形成评价结论，出具评价报告的过程。

内部控制有效性是指企业建立与实施内部控制能够为控制目标的实现提供合理的保证。

第四条

企业应当根据国家有关法律法规和《企业内部控制基本规范》的要求，结合企业实际情况，对战略目标、经营管理的效率和效果目标、财务报告及相关信息真实完整目标、资产安全目标、合法合规目标等单个或整体控制目标的实现进行评价。

第五条

企业实施内部控制评价，应当遵循下列原则：

（一）风险导向原则。内部控制评价应当以风险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标造成的影响程度来确定需要评价的重点业务单元、重要业务领域或流程环节。

（二）一致性原则。内部控制评价应当采用统一可比的评价方法和标准，保证评价结果的可比性。

（三）公允性原则。内部控制评价应当以事实为依据，评价结果应当有适当的证据支持。

（四）独立性原则。内部控制评价机构的确定及评价工作的组织实施应当保持相应的独立性。

（五）成本效益原则。内部控制评价应当以适当的成本实现科学有效的评价。

第六条

企业董事会及其审计委员会负责领导本企业的内部控制评价工作。监事会对董事会实施内部控制评价进行监督。

第七条

企业可以授权内部审计部门负责组织和实施内部控制评价工作。具备条件的企业，可以设立专门的内部控制评价机构（以下合称内部控制评价机构）。

第八条

企业内部控制评价，一般包括评价和专项评价。评价是指企业根据内部控制目标，对企业某一建立与实施内部控制的有效性进行的评价；专项评价是指企业在特定时点对特定范围的内部控制的有效性进行的评价。

第二章

内部控制评价的内容和标准

第九条

企业应当对与实现整体控制目标相关的内部环境、风险评估、控制活动、信息与沟通、内部监督等内部控制要素进行全面系统、有针对性的评价。

第十条

企业实施内部控制评价，包括对内部控制设计有效性和运行有效性的评价。

内部控制设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行有效性是指现有内部控制按照规定程序得到了正确执行。

第十一条

应用信息系统加强内部控制的企业，应当对信息系统的有效性进行评价，包括信息系统一般控制评价和信息系统应用控制评价。

一般控制评价应当着重考虑与信息系统开发有关的信息技术控制目标、程序变更、计算机运行和对数据的接触是否符合企业内部控制的要求，是否有利于企业内部控制目标的实现，并以此评价信息系统的安全性、可靠性和合理性。

应用控制评价应当结合企业业务流程特点，着重考虑信息系统中与业务流程相关的控制点，并以此评价相关应用系统操作数据的真实性、准确性和合规性。

第十二条

企业应当根据《企业内部控制基本规范》及其应用指引的有关规定，建立与实施内部控制，并以此为依据和标准组织开展内部控制评价工作。

第十三条

企业集团对被评价单位内部控制的有效性进行评价，应当至少涉及下列内容：

（一）被评价单位内部控制是否在风险评估的基础上涵盖了企业层面的风险和所有重要的业务流程层面的风险。

（二）被评价单位内部控制设计的方法是否适当，内部控制建设的时间进度安排是否科学、阶段性工作要求是否合理。

（三）被评价单位内部控制设计和运行的组织是否有效，人员配备、职责分工和授权是否合理。

（四）被评价单位是否开展内部控制自查并上报有关自查报告。

（五）被评价单位是否建立有利于促进内部控制各项政策措施落实和问题整改的机制。

（六）被评价单位在评价期间是否出现过重大风险事故等。

第三章

内部控制评价的程序和方法

第十四条

企业应当按照制定评价方案、实施评价活动、编制评价报告等程序开展内部控制评价。

第十五条

内部控制评价机构应当根据企业整体控制目标，制定内部控制评价工作方案，明确评价目的、范围、组织、标准、方法、进度安排和费用预算等内容，报管理层和董事会审批。

第十六条

内部控制评价范围的确定应当遵循风险导向、自上而下的原则来确定需要评价的分支机构、重要业务单元、重点业务领域或流程环节。

第十七条

内部控制评价机构应当根据审批通过的评价方案组织实施内部控制评价工作，通过适当的方法收集、确认、分析相关信息，确定与实现整体控制目标相关的风险及细化控制目标，并在此基础上辨识与细化控制目标相对应的控制活动，然后针对控制活动进行必要的测试，获取充分、相关、可靠的证据对内部控制的有效性进行评价，并做出书面记录。

第十八条

内部控制评估和测试的方法主要包括：

（一）个别访谈法。是指企业根据检查评价需要，对被查单位员工进行单独访谈，以获取有关信息。

（二）调查问卷法。是指企业设臵问卷调查表，分别对不同层次的员工进行问卷调查，根据调查结果对相关项目作出评价。

（三）比较分析法。是指通过分析、比较数据间的关系、趋势或比率来取得评价证据的方法。

（四）标杆法。是指通过与组织内外部相同或相似经营活动的最佳实务进行比较而对控制设计有效性评价的方法。

（五）穿行测试法。是指通过抽取一份全过程的文件，来了解整个业务流程执行情况的评估评价方法。

（六）抽样法。是指企业针对具体的内部控制业务流程，按照业务发生频率及固有风险的高低，从确定的抽样总体中抽取一定比例的业务样本，对业务样本的符合性进行判断，进而对业务流程控制运行的有效性作出评价。

（七）实地查验法。是指企业对财产进行盘点、清查，以及对存货出、入库等控制环节进行现场查验。

（八）重新执行法。是指通过对某一控制活动全过程的重新执行来评估控制执行情况的方法。

（九）专题讨论会法。是指通过召集与业务流程相关的管理人员就业务流程的特定项目或具体问题进行讨论及评估的一种方法。

第十九条

企业应当根据通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。

证据的充分性是指获取证据的数量应当能合理保证相关控制的有效；证据的适当性是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制的实际运行状况。

第二十条

企业应当根据所收集的证据，判断相关控制的设计与运行是否有效。企业在判断内部控制设计与运行有效性时，应当充分考虑下列因素：

（一）是否针对风险设臵了合理的细化控制目标。

（二）是否针对细化控制目标设臵了对应的控制活动。

（三）相关控制活动是如何运行的。

（四）相关控制活动是否得到了持续一致的运行。

（五）实施相关控制活动的人员是否具备必需的权限和能力。第二十一条 企业应当充分评估下列因素导致内部控制失效的风险：

（一）控制活动的类型，一般包括人工控制和自动控制、预防性控制和发现性控制等。

（二）控制活动的复杂性，通常与企业组织结构、市场环境、经营规模、人员素质等相关。

（三）管理层逾越内部控制的风险。

（四）实施控制活动所需要的职业判断的程度。

（五）控制活动所针对风险事项的性质及其重要性。

（六）一项控制活动对其他控制活动有效性的依赖程度。第二十二条

企业应当及时记录开展内部控制评价工作的方法和程序，并以适当形式妥善保存相关证据。

第二十三条

内部控制评价机构应当根据评估结果和经核实的证据，确认内部控制缺陷，出具评价结论，编制评价报告，报送管理层和董事会审阅。

第四章

内部控制缺陷认定和评价报告

第二十四条 企业在内部控制评价中，应对内部控制缺陷进行分类分析。内部控制缺陷一般可分为设计缺陷和运行缺陷。

（一）设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标。

（二）运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。

第二十五条

企业对内部控制评价过程中发现的问题，应当从定量和定性等方面进行衡量，判断是否构成内部控制缺陷。

存在下列情况之一，企业应当认定内部控制存在设计或运行缺陷：

（一）未实现规定的控制目标。

（二）未执行规定的控制活动。

（三）突破规定的权限。

（四）不能及时提供控制运行有效的相关证据。

第二十六条

企业应当根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷（也称实质性漏洞，以下统称重大缺陷）。

重大缺陷，是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。

重要缺陷，是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起企业管理层关注。

内部控制评价机构和管理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离的情形予以确定。

第二十七条

企业判断和认定内部控制缺陷是否构成重大缺陷，应当考虑下列因素：

（一）影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷。

（二）针对同一细化控制目标所采取的不同控制活动之间的相互作用。

（三）针对同一细化控制目标是否存在其他补偿性控制活动。第二十八条

企业应当根据内部控制评价过程中发现的内部控制缺陷，督促相关单位或部门进行整改，并对整改结果进行核查和确认。

第二十九条

对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。

对于为实现某一整体控制目标而设计与运行的控制存在一个或多个重大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无效的。

第三十条

对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响。

第三十一条

企业应当结合年末控制缺陷的整改结果，编制内部控制评价报告。

内部控制评价报告至少应当包括下列内容：

（一）内部控制评价的目的和责任主体。

（二）内部控制评价的内容和所依据的标准。

（三）内部控制评价的程序和所采用的方法。

（四）衡量重大缺陷严重偏离的定义，以及确定严重偏离的方法。

（五）被评估的内部控制整体目标是否有效的结论。

（六）被评估的内部控制整体目标如果无效，存在的重大缺陷及其可能的影响。

（七）造成重大缺陷的原因及相关责任人。

（八）所有在评估过程中发现的控制缺陷，以及针对这些缺陷的补救措施及补救措施的实施计划等。

第三十二条

企业可以根据被评估的整体控制目标的不同，适当调整评价报告的内容。

企业应当在评价报告中明确财务报表日之后截至内部控制评价日发生的、可能影响财务报告控制目标有效性的所有重大变化。

第三十三条

企业应当定期对内部控制整体有效性进行评价、出具评价报告，并向董事会、监事会和管理层报告内部控制设计与运行环节存在的主要问题以及将要采取的整改措施。

第三十四条

企业应当将内部控制评价报告作为进一步完善内部控制、提高经营管理水平和风险防范能力的重要依据。

企业对于内部控制评价报告中列示的问题，应当采取适当的措施进行改进，并追究相关人员的责任。

企业管理层和董事会应当根据评价结论对相关单位、部门或人员实施适当的奖励和惩戒。

第五章

附 则

第三十五条 本指引由中华人民共和国财政部会同国务院其他有关部门解释。

第三十六条 本指引的实施细则由中华人民共和国财政部会同国务院其他有关部门另行制定。

第三十七条 本指引自

****年**月**日起施行。