4企业内部控制评价指引WORD版

第一篇：4企业内部控制评价指引WORD版

企业内部控制评价指引

第一章总则

第一条为了促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条本指引所称内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。

第三条企业实施内部控制评价至少应当遵循下列原则：

（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。

（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

第四条企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

/ 7

企业董事会应当对内部控制评价报告的真实性负责。

第二章内部控制评价的内容

第五条企业应当根据《企业内部控制基本规范》、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。

第六条企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。

第七条企业组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

第八条企业组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。

第九条企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性

/ 7

等进行认定和评价。

第十条企业组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

第十一条内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

第三章内部控制评价的程序

第十二条企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。

内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。

企业可以授权内部审计部门或专门机构（下称“内部控制评价部门”）负责内部控制评价的具体组织实施工作。

第十三条企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。

/ 7

第十四条企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。

评价工作组成员对本部门的内部控制评价工作应当实行回避制度。企业可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。

第十五条内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。

第四章内部控制缺陷的认定

第十六条内部控制缺陷包括设计缺陷和运行缺陷。企业对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定。

第十七条企业在日常监督、专项监督和年度评价工作中，应当充分发挥内部控制评价工作组的作用。内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。

/ 7

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。

一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

第十八条企业内部控制评价工作组应当建立评价质量交叉复核制度，评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交企业内部控制评价部门。

第十九条企业内部控制评价部门应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。

企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

第五章内部控制评价报告

第二十条企业应当根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报

/ 7

告编制程序和要求，按照规定的权限报经批准后对外报出。

第二十一条内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。

第二十二条内部控制评价报告至少应当披露下列内容：

（一）董事会对内部控制报告真实性的声明。

（二）内部控制评价工作的总体情况。

（三）内部控制评价的依据。

（四）内部控制评价的范围。

（五）内部控制评价的程序和方法。

（六）内部控制缺陷及其认定情况。

（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

（八）内部控制有效性的结论。

第二十三条企业应当根据年度内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

第二十四条内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。

企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。

/ 7

第二十五条企业内部控制审计报告应当与内部控制评价报告同时对外披露或报送。

第二十六条企业应当以12月31日作为年度内部控制评价报告的基准日。

内部控制评价报告应于基准日后4个月内报出。

第二十七条企业应当建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。7 / 7

第二篇：企业内部控制评价指引

附件1：

企业内部控制评价指引

（征求意见稿）第一章

总 则

第一条

为规范企业内部控制评价工作，及时发现企业内部控制缺陷，提出和实施改进方案，确保内部控制有效运行，根据国家有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条

本指引适用于中华人民共和国境内设立的大中型企业。第三条

本指引所称内部控制评价，是指由企业董事会和管理层实施的，对企业内部控制有效性进行评价，形成评价结论，出具评价报告的过程。

内部控制有效性是指企业建立与实施内部控制能够为控制目标的实现提供合理的保证。

第四条

企业应当根据国家有关法律法规和《企业内部控制基本规范》的要求，结合企业实际情况，对战略目标、经营管理的效率和效果目标、财务报告及相关信息真实完整目标、资产安全目标、合法合规目标等单个或整体控制目标的实现进行评价。

第五条

企业实施内部控制评价，应当遵循下列原则：

（一）风险导向原则。内部控制评价应当以风险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标造成的影响程度来确定需要评价的重点业务单元、重要业务领域或流程环节。

（二）一致性原则。内部控制评价应当采用统一可比的评价方法和标准，保证评价结果的可比性。

（三）公允性原则。内部控制评价应当以事实为依据，评价结果应当有适当的证据支持。

（四）独立性原则。内部控制评价机构的确定及评价工作的组织实施应当保持相应的独立性。

（五）成本效益原则。内部控制评价应当以适当的成本实现科学有效的评价。

第六条

企业董事会及其审计委员会负责领导本企业的内部控制评价工作。监事会对董事会实施内部控制评价进行监督。

第七条

企业可以授权内部审计部门负责组织和实施内部控制评价工作。具备条件的企业，可以设立专门的内部控制评价机构（以下合称内部控制评价机构）。

第八条

企业内部控制评价，一般包括评价和专项评价。评价是指企业根据内部控制目标，对企业某一建立与实施内部控制的有效性进行的评价；专项评价是指企业在特定时点对特定范围的内部控制的有效性进行的评价。

第二章

内部控制评价的内容和标准

第九条

企业应当对与实现整体控制目标相关的内部环境、风险评估、控制活动、信息与沟通、内部监督等内部控制要素进行全面系统、有针对性的评价。

第十条

企业实施内部控制评价，包括对内部控制设计有效性和运行有效性的评价。

内部控制设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行有效性是指现有内部控制按照规定程序得到了正确执行。

第十一条

应用信息系统加强内部控制的企业，应当对信息系统的有效性进行评价，包括信息系统一般控制评价和信息系统应用控制评价。

一般控制评价应当着重考虑与信息系统开发有关的信息技术控制目标、程序变更、计算机运行和对数据的接触是否符合企业内部控制的要求，是否有利于企业内部控制目标的实现，并以此评价信息系统的安全性、可靠性和合理性。

应用控制评价应当结合企业业务流程特点，着重考虑信息系统中与业务流程相关的控制点，并以此评价相关应用系统操作数据的真实性、准确性和合规性。

第十二条

企业应当根据《企业内部控制基本规范》及其应用指引的有关规定，建立与实施内部控制，并以此为依据和标准组织开展内部控制评价工作。

第十三条

企业集团对被评价单位内部控制的有效性进行评价，应当至少涉及下列内容：

（一）被评价单位内部控制是否在风险评估的基础上涵盖了企业层面的风险和所有重要的业务流程层面的风险。

（二）被评价单位内部控制设计的方法是否适当，内部控制建设的时间进度安排是否科学、阶段性工作要求是否合理。

（三）被评价单位内部控制设计和运行的组织是否有效，人员配备、职责分工和授权是否合理。

（四）被评价单位是否开展内部控制自查并上报有关自查报告。

（五）被评价单位是否建立有利于促进内部控制各项政策措施落实和问题整改的机制。

（六）被评价单位在评价期间是否出现过重大风险事故等。

第三章

内部控制评价的程序和方法

第十四条

企业应当按照制定评价方案、实施评价活动、编制评价报告等程序开展内部控制评价。

第十五条

内部控制评价机构应当根据企业整体控制目标，制定内部控制评价工作方案，明确评价目的、范围、组织、标准、方法、进度安排和费用预算等内容，报管理层和董事会审批。

第十六条

内部控制评价范围的确定应当遵循风险导向、自上而下的原则来确定需要评价的分支机构、重要业务单元、重点业务领域或流程环节。

第十七条

内部控制评价机构应当根据审批通过的评价方案组织实施内部控制评价工作，通过适当的方法收集、确认、分析相关信息，确定与实现整体控制目标相关的风险及细化控制目标，并在此基础上辨识与细化控制目标相对应的控制活动，然后针对控制活动进行必要的测试，获取充分、相关、可靠的证据对内部控制的有效性进行评价，并做出书面记录。

第十八条

内部控制评估和测试的方法主要包括：

（一）个别访谈法。是指企业根据检查评价需要，对被查单位员工进行单独访谈，以获取有关信息。

（二）调查问卷法。是指企业设臵问卷调查表，分别对不同层次的员工进行问卷调查，根据调查结果对相关项目作出评价。

（三）比较分析法。是指通过分析、比较数据间的关系、趋势或比率来取得评价证据的方法。

（四）标杆法。是指通过与组织内外部相同或相似经营活动的最佳实务进行比较而对控制设计有效性评价的方法。

（五）穿行测试法。是指通过抽取一份全过程的文件，来了解整个业务流程执行情况的评估评价方法。

（六）抽样法。是指企业针对具体的内部控制业务流程，按照业务发生频率及固有风险的高低，从确定的抽样总体中抽取一定比例的业务样本，对业务样本的符合性进行判断，进而对业务流程控制运行的有效性作出评价。

（七）实地查验法。是指企业对财产进行盘点、清查，以及对存货出、入库等控制环节进行现场查验。

（八）重新执行法。是指通过对某一控制活动全过程的重新执行来评估控制执行情况的方法。

（九）专题讨论会法。是指通过召集与业务流程相关的管理人员就业务流程的特定项目或具体问题进行讨论及评估的一种方法。

第十九条

企业应当根据通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。

证据的充分性是指获取证据的数量应当能合理保证相关控制的有效；证据的适当性是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制的实际运行状况。

第二十条

企业应当根据所收集的证据，判断相关控制的设计与运行是否有效。企业在判断内部控制设计与运行有效性时，应当充分考虑下列因素：

（一）是否针对风险设臵了合理的细化控制目标。

（二）是否针对细化控制目标设臵了对应的控制活动。

（三）相关控制活动是如何运行的。

（四）相关控制活动是否得到了持续一致的运行。

（五）实施相关控制活动的人员是否具备必需的权限和能力。第二十一条 企业应当充分评估下列因素导致内部控制失效的风险：

（一）控制活动的类型，一般包括人工控制和自动控制、预防性控制和发现性控制等。

（二）控制活动的复杂性，通常与企业组织结构、市场环境、经营规模、人员素质等相关。

（三）管理层逾越内部控制的风险。

（四）实施控制活动所需要的职业判断的程度。

（五）控制活动所针对风险事项的性质及其重要性。

（六）一项控制活动对其他控制活动有效性的依赖程度。第二十二条

企业应当及时记录开展内部控制评价工作的方法和程序，并以适当形式妥善保存相关证据。

第二十三条

内部控制评价机构应当根据评估结果和经核实的证据，确认内部控制缺陷，出具评价结论，编制评价报告，报送管理层和董事会审阅。

第四章

内部控制缺陷认定和评价报告

第二十四条 企业在内部控制评价中，应对内部控制缺陷进行分类分析。内部控制缺陷一般可分为设计缺陷和运行缺陷。

（一）设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标。

（二）运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。

第二十五条

企业对内部控制评价过程中发现的问题，应当从定量和定性等方面进行衡量，判断是否构成内部控制缺陷。

存在下列情况之一，企业应当认定内部控制存在设计或运行缺陷：

（一）未实现规定的控制目标。

（二）未执行规定的控制活动。

（三）突破规定的权限。

（四）不能及时提供控制运行有效的相关证据。

第二十六条

企业应当根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷（也称实质性漏洞，以下统称重大缺陷）。

重大缺陷，是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。

重要缺陷，是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起企业管理层关注。

内部控制评价机构和管理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离的情形予以确定。

第二十七条

企业判断和认定内部控制缺陷是否构成重大缺陷，应当考虑下列因素：

（一）影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷。

（二）针对同一细化控制目标所采取的不同控制活动之间的相互作用。

（三）针对同一细化控制目标是否存在其他补偿性控制活动。第二十八条

企业应当根据内部控制评价过程中发现的内部控制缺陷，督促相关单位或部门进行整改，并对整改结果进行核查和确认。

第二十九条

对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。

对于为实现某一整体控制目标而设计与运行的控制存在一个或多个重大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无效的。

第三十条

对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响。

第三十一条

企业应当结合年末控制缺陷的整改结果，编制内部控制评价报告。

内部控制评价报告至少应当包括下列内容：

（一）内部控制评价的目的和责任主体。

（二）内部控制评价的内容和所依据的标准。

（三）内部控制评价的程序和所采用的方法。

（四）衡量重大缺陷严重偏离的定义，以及确定严重偏离的方法。

（五）被评估的内部控制整体目标是否有效的结论。

（六）被评估的内部控制整体目标如果无效，存在的重大缺陷及其可能的影响。

（七）造成重大缺陷的原因及相关责任人。

（八）所有在评估过程中发现的控制缺陷，以及针对这些缺陷的补救措施及补救措施的实施计划等。

第三十二条

企业可以根据被评估的整体控制目标的不同，适当调整评价报告的内容。

企业应当在评价报告中明确财务报表日之后截至内部控制评价日发生的、可能影响财务报告控制目标有效性的所有重大变化。

第三十三条

企业应当定期对内部控制整体有效性进行评价、出具评价报告，并向董事会、监事会和管理层报告内部控制设计与运行环节存在的主要问题以及将要采取的整改措施。

第三十四条

企业应当将内部控制评价报告作为进一步完善内部控制、提高经营管理水平和风险防范能力的重要依据。

企业对于内部控制评价报告中列示的问题，应当采取适当的措施进行改进，并追究相关人员的责任。

企业管理层和董事会应当根据评价结论对相关单位、部门或人员实施适当的奖励和惩戒。

第五章

附 则

第三十五条 本指引由中华人民共和国财政部会同国务院其他有关部门解释。

第三十六条 本指引的实施细则由中华人民共和国财政部会同国务院其他有关部门另行制定。

第三十七条 本指引自

****年**月**日起施行。

第三篇：企业内部控制评价指引

企业内部控制评价指引

第一章 总 则

第一条 为了促进企业全面评价内部控制的设计与运行情况，规 范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法 规和《企业内部控制基本规范》，制定本指引。

第二条 本指引所称内部控制评价，是指企业董事会或类似权力 机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报 告的过程。

第三条 企业实施内部控制评价至少应当遵循下列原则：

（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

（二）重要性原则。评价工作应当在全面评价的基础上，关注重 要业务单位、重大业务事项和高风险领域。

（三）客观性原则。评价工作应当准确地揭示经营管理的风险状 况，如实反映内部控制设计与运行的有效性。

第四条 企业应当根据本评价指引，结合内部控制设计与运行的 实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责 任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业董事会应当对内部控制评价报告的真实性负责。

第二章 内部控制评价的内容

第五条 企业应当根据《企业内部控制基本规范》、应用指引以 及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信 息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部 控制设计与运行情况进行全面评价。

第六条 企业组织开展内部环境评价，应当以组织架构、发展战 略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业 的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。

第七条 企业组织开展风险评估机制评价，应当以《企业内部控 制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风 险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风 险识别、风险分析、应对策略等进行认定和评价。

第八条 企业组织开展控制活动评价，应当以《企业内部控制基 本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控 制制度，对相关控制措施的设计和运行情况进行认定和评价。

第九条 企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制 制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财 务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控

制的有效性等进行认定和评价。

第十条 企业组织开展内部监督评价，应当以《企业内部控制基 本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的 规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性 进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是 否在内部控制设计和运行中有效发挥监督作用。

第十一条 内部控制评价工作应当形成工作底稿，详细记录企业

执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

第三章 内部控制评价的程序

第十二条 企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。

内部控制评价程序一般包括：制定评价工作方案、组成评价工作 组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等 环节。

企业可以授权内部审计部门或专门机构（以下简称内部控制评价部门）负责内部控制评价的具体组织实施工作。

第十三条 企业内部控制评价部门应当拟订评价工作方案明确 评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。

第十四条 企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组 应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成 员对本部门的内部控制评价工作应当实行回避制度。

企业可以委托中介机构实施内部控制评价。为企业提供内部控制 审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服 务。

第十五条 内部控制评价工作组应当对被评价单位进行现场测 试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是 否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究 分析内部控制缺陷。

第四章 内部控制缺陷的认定

第十六条 内部控制缺陷包括设计缺陷和运行缺陷。企业对内部 控制缺陷的认定，应当以日常监督和专项监督为基础，结合内部 控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照 规定的权限和程序进行审核后予以最终认定。

第十七条 企业在日常监督、专项监督和评价工作中，应当 充分发挥内部控制评价工作组的作用。内部控制评价工作组应当根据 现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程 度分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重 偏离控制目标。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

第十八条 企业内部控制评价工作组应当建立评价质量交叉复核制度，评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交企业内部控制评价部门。

第十九条 企业内部控制评价部门应当编制内部控制缺陷认定汇总表,结合日常监督和专项监督发现的内部控制缺陷及其持续改进 情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析 和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者 经理层报告。重大缺陷应当由董事会予以最终认定。

企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险

控制在可承受度之内，并追究有关部门或相关人员的责任。

第五章 内部控制评价报告

第二十条 企业应当根据《企业内部控制基本规范》、应用指引 和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控 制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。第二十一条 内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价 过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关 内容作出披露。

第二十二条 内部控制评价报告至少应当披露下列内容：

（一）董事会对内部控制报告真实性的声明。

（二）内部控制评价工作的总体情况。

（三）内部控制评价的依据。

（四）内部控制评价的范围。

（五）内部控制评价的程序和方法。

（六）内部控制缺陷及其认定情况。

（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

（八）内部控制有效性的结论。

第二十三条 企业应当根据内部控制评价结果，结合内部控 制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要 求，及时编制内部控制评价报告。

第二十四条 内部控制评价报告应当报经董事会或类似权力机 构批准后对外披露或报送相关部门。

企业内部控制评价部门应当关注自内部控制评价报告基准日至 内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。

第二十五条 企业内部控制审计报告应当与内部控制评价报告

同时对外披露或报送。

第二十六条 企业应当以 12 月 31 日作为内部控制评价报告 的基准日。

内部控制评价报告应于基准日后 4 个月内报出。

第二十七条 企业应当建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。

第四篇：企业内部控制评价指引

附件1：

企业内部控制评价指引

（征求意见稿）

第一章总则

第一条为了规范企业内部控制评价，全面评估内部控制设计与运行情况，编制内部控制评价报告，根据有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条本指引所称内部控制评价，是指企业董事会（或类似决策机构）或其授权机构，对内部控制设计与运行的有效性进行综合评估的过程。

第三条企业应当根据《企业内部控制基本规范》和本评价指引，结合本企业的实际情况，制定内部控制评价办法，明确内部控制评价的原则和内容、程序和方法、以及报告形式等相关内容，确保内部控制评价工作落到实处。

企业主要负责人应当对内部控制评价结论的真实性负责。第四条企业应当建立内部控制评价结果分析利用和考核制度，将内部控制评价结果和整改情况作为内部绩效考评的重要依据。

第二章评价的原则和内容

第五条企业实施内部控制评价，至少应当遵循全面性、重要性和独立性原则，确保评价工作标准统一、客观公正。

全面性，是指评价工作应当包括内部控制的设计与运行，涵盖企 业及其所属单位的各种业务和事项。

重要性，是指在全面评价的基础上关注重要高风险领域。独立性，是指评价工作应当于内部控制的设计与运行相互分离。第六条企业内部控制评价应当以内部环境为基础，重点关注：治理结构是否形同虚设；发展战略是否可行；机构设臵是否重叠；权责分配是否明晰；不相容岗位是否分离；人力资源政策和激励约束机制是否科学合理；企业文化是否促进员工勤勉尽责；社会责任是否有效履行等。

第七条企业内部控制评价应当以生产经营活动为重点，至少关注：资金的筹集、投放和营运过程是否存在资金链断裂；资产运行中是否存在效能低下或资产流失；采购与销售环节是否存在舞弊行为；研发项目是否经过科学论证；工程项目是否存在商业贿赂等。

第八条企业内部控制评价应当兼顾控制手段，至少关注：全面预算是否具有约束力；合同履行是否存在纠纷；信息系统是否与内部控制有机结合；内部报告是否及时传递和有效沟通等。

第三章评价的程序和方法

第九条企业应当指定内部审计机构或其他机构具体组织实施内部控制评价工作，根据内部控制评价办法制定评价方案，组成评价小组，明确分工和进度安排，采取现场检查等方式开展内部控制评价。

企业可以借助中介机构或外部专家实施内部控制评价，参与企业内部控制评价的中介机构不得同时为同一企业提供内部控制审计服务。第十条企业开展内部控制评价，应当编制工作底稿。工作底稿应当由评价小组直接填写，指定专人严格复核。

第十一条评价小组可以综合运用个别访谈、调查问卷、专题讨论、穿行测试、统计抽样、比较分析等多种方法，广泛收集被评价单位内部控制设计和有效运行的证据，研究认定内部控制设计缺陷和运行缺陷。

评价小组研究认定的内部控制缺陷，应当按照规定的权限和程序报经审批后确定。

第十二条企业应当对内部控制缺陷进行综合判断，按其严重程度分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形。

一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。第十三条重大缺陷应当根据本指引第五条、第六条、第七条规定和重大缺陷的定义，结合企业实际情况，具体加以认定。

重要缺陷和一般缺陷由企业自行确定。

第十四条企业应当建立内部控制缺陷整改机制，明确内部各管理层级和单位整改的职责分工，确保内部控制设计与运行中的主要问题和重大风险得到及时解决和有效控制。

董事会负责重大缺陷的整改，接受监事会的监督。经理层负责重 要缺陷的整改，接受董事会的监督。内部有关单位负责一般缺陷的整改，接受经理层的监督。

第四章内部控制评价报告

第十五条企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告至少应当包括下列内容：

（一）组织实施内部控制评价的总体情况。

（二）内部控制责任主体的声明。

（三）内部控制评价的范围和内容。

（四）内部控制评价的标准和依据。

（五）内部控制评价的程序和方法。

（六）内部控制重大缺陷及其认定情况。

（七）内部控制重大缺陷的整改措施及责任追究情况。

（八）内部控制有效性的结论。

存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

第十六条企业内部控制评价报告应当报企业经理层审核、董事会审定后公布。

第十七条企业应当以12月31日作为内部控制评价报告的基准日，也可选择6月30日为基准日。

内部控制评价报告应于基准日后4个月内报出。

第五篇：电梯企业内部控制评价指引

企业内部控制评价指引

第一章

总则

第一条 为了促进企业全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条 本指引所称内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。

第三条 企业实施内部控制评价至少应当遵循下列原则：

（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。

（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

第四条 企业应当根据本评价指引，结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业董事会应当对内部控制评价报告的真实性负责。

第二章 内部控制评价的内容

第五条 企业应当根据《企业内部控制基本规范》、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。

第六条 企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。

第七条 企业组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

第八条 企业组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。

第九条 企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

第十条 企业组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

第十一条 内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

第三章 内部控制评价的程序

第十二条 企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。

企业可以授权内部审计部门或专门机构（以下简称内部控制评价部门）负责内部控制评价的具体组织实施工作。

第十三条 企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。

第十四条 企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。

企业可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。

第十五条 内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。

第四章 内部控制缺陷的认定

第十六条 内部控制缺陷包括设计缺陷和运行缺陷。企业对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合内部控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定。

第十七条 企业在日常监督、专项监督和评价工作中，应当充分发挥内部控制评价工作组的作用。内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。

一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

第十八条 企业内部控制评价工作组应当建立评价质量交叉复核制度，评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交企业内部控制评价部门。

第十九条 企业内部控制评价部门应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。

企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

第五章 内部控制评价报告

第二十条 企业应当根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。

第二十一条 内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。

第二十二条 内部控制评价报告至少应当披露下列内容：

（一）董事会对内部控制报告真实性的声明。

（二）内部控制评价工作的总体情况。

（三）内部控制评价的依据。

（四）内部控制评价的范围。

（五）内部控制评价的程序和方法。

（六）内部控制缺陷及其认定情况。

（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

（八）内部控制有效性的结论。

第二十三条 企业应当根据内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

第二十四条 内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。

企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。第二十五条 企业内部控制审计报告应当与内部控制评价报告同时对外披露或报送。

第二十六条 企业应当以12月31日作为内部控制评价报告的基准日。内部控制评价报告应于基准日后4个月内报出。

第二十七条 企业应当建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。