企业内部控制评价和审计
报告小组：第六组
内部控制是管理的范畴。内部审计评价
及审计是经济监督的范畴，两者有着密切
的关系。一方面，现代审计是在审查过程
中积极分析偏离目标的原因，归根到底是
对内部控制制度的审查．另一方面，内控
制度的严密程度决定会计信息质量，影响
审计人员的工作质量和效率。
内部控制评价的发展及现状内部控制评价的发展及现状
企业内部控制评价的介绍企业内部控制评价的介绍
企业内部控制审计的介绍企业内部控制审计的介绍
内部控制评价与内部控制审计内部控制评价与内部控制审计
的界定及内控的有效性判定的界定及内控的有效性判定
内部控制评价与内部控制审内部控制评价与内部控制审
计的区别计的区别
案例分析案例分析
一、内部控制评价的发展及现状
1939年10月美国会计师协会发布的《审计程序公告》
1979年4月30日，美国证券交易委员发布的《管理层对内
部会计控制的公告》
1988年7月19日美国证券交易委员会才正式颁布了《报告
管理层的责任》
2002年07月25日美国国会通过的《萨班斯——奥克斯利法
案》
我国于2008年6月28日由财政部、证监
会、审计署、银监会、保监会等五部委联
合发布了《企业内部控制基本规范》。对
内部控制的概念框架、内部控制有效性及
评价问题都做出了相关的规定；2010年4月
发布了企业内部控制配套指引，标志着我
国构建了企业内部控制规范体系。
内部控制的定义及内容
内部控制是企业董事会、监事会、经理
层以及全体员工共同实施的，旨在实现控
制目标的管理流程。即内部控制就是企业
管理本身。
内部控制的目标是合理保证企业经营管
理合法合规、资产安全、财务报告及相关
信息真实完整，提高经营效率和效果，促
进企业实现发展战略。
企
业
建
立
完
善
的
内
部
控
制
机
制
来
明
确
不
同
岗
位
的
职
责
实
现
资
源
的
优
化
配
置
并
形
成
有
效
的
激
励
机
制
实
现
效
益
最
大
化
二、企业内部控制评价的介绍
（一）概念
内部控制评价
是指企业董事会或类似权力机构对内部
控制的有效性进行全面评价，形成评价结
论，出具评价报告的过程。
对于这个定义，可以以下三个角
度进行理解
1、内部控制评价的主体是董事会或类似的权力
机构，是指董事会或类似的权力机构是内部控制
设计和运行的责任主体。
2、内部控制评价的对象是内部控制的有效性，
所谓内部控制的有效性，是指企业建立与实施内
部控制对实现控制目标提供合理保证的程度。
3、内部控制评价是一个过程，是指内部控制评
价要遵照一定的流程来进行。内部控制评价工作
不是一蹴而就的，它是一个涵盖计划、实施、编
报等多个阶段、包含多个步骤的动态过程。
二、企业内部控制评价的介绍
（二）内容
目标：合规目标
资产目标
报告目标
经营目标
战略目标
内容：内部环境
风险评估
控制活动
信息与沟通
内部监督
二、企业内部控制评价的介绍
（三）原则
1、全面性原则。评价工作应当包括内部控制
的设计与运行，涵盖企业及其所属单位的各
种业务和事项。
2、重要性原则。评价工作应当在全面评价的
基础上，关注重要业务单位，重大业务事项
和高风险领域。
3、客观性原则。评价工作应当准确地揭示经
营管理的风险状况，如实反映内部控制设计
与运行的有效性。
二、企业内部控制评价的介绍
（四）方法
从内部控制评价本身以及目前的发展情
况来看，主要存在详细评价法和风险基础
评价法两种方法。
公司在对内部控制有效性进行评价时，必须
保存证据，为内控有效性的评估报告提供合
理的支持，形成和保存这些证据也是有效内
部控制的一个内在要求。
（五）工作底稿
工作底稿
业务流程评价表 控制要素评价表 内部控制评价汇总表
三个层次
形成内部控制报告的直接依据。
（
六
）
内
部
控
制
评
价
报
告
对外报告：为了满足外部
信息使用者的需求，需要
对外披露，在时间上具有
强制性，披露内容和格式
强调符合披露要求。
对内报告：为了满足管理
层或治里层改善管控水平
的需要，不具有强制性，
内容、格式和披露时间由
企业自行决定。
三、企业内部控制审计的介绍
（一）含义
内部控制审计是指会计师事务所
接受托，对特定基准日内部控制设计
和运行的有效性进行审计。它是一种
独立、客观的保证和咨询活动。
三、企业内部控制审计的介绍
（二）审计内容
1、内部控制环境。
2、风险评估。
3、控制活动。
4、内部控制信息和沟通。
5、内部监督制度。
三、企业内部控制审计的介绍
（三）具体目标
内部控制审计的目标是检查并评价内
部控制的合法性、充分性、有效性及适宜
性。可概括为：检查并评价内部控制能否
确保资产、资金的安全。
内部控制审计与财务报表审计在具体
审计目标上有什么不同呢？
归纳为两点：
1、财务报表审计直接评价的是财务报表，
或者说直接评价资产、资金本身的安全状
态，其目标对象是资产、资产本身。而内
部控制审计直接评价的是内部控制能否保
障资产、资金的安全，其目标对象是内部
控制，而资产、资金只是作为中间的观察
对象而存在。
内部控制审计与财务报表审计在
具体审计目标上有什么不同呢？
2、财务报表审计主要评价财务报表所反映
的存量资产、资金的“静的安全”，一般
不评价资产、资金的“动的安全”，即不
评价资产、资金在流转中的增值性。而由
于内部控制既要保障资产、资金静的安全，
又要保障其动的安全，所以内部控制审计
既检查资产、资金的“静的安全”，又检
查资产、资金的“动的安全”。
三、企业内部控制审计的介绍
（四）、程序步骤
1、了解企业的内部控制情况，并做出相应的记录。
2、初步评价内部控制的健全性。
3、实施符合性测试程序，证实有关内部控制的设计
和执行的效果 。
4、评价内部控制的强弱，评价控制风险， 确定在
内部控制薄弱的领域扩展审计程序，制定实质性审
计方案。
四、内部控制评价与内部控制审计
的界定及内控的有效性判定
（一）界定 ：
内部控制以企业为实施主体，企业应当根据
法律法规和企业内部控制规范体系，制定本企业
的内部控制制度并组织实施，同时要建立内部控
制的自我评价和约束激励机制，定期对内部控制
的有效性进行全面评价，形成评价结论，出具评
价报告。政府监管部门应当对企业建立和实施内
部控制的情况进行监督检查。会计师事务所应对
企业内部控制的有效性进行审计，并出具内部控
制的审计报告．这就是内部控制审计。
由此可见。区别在于评价人的立场不同。
前者是企业内部评价，后者是外部评价。
但它们往往依赖同样的证据，遵循类似的
测试方法并使用同一基准日。
（二）有效性判定：
对于为实现单个或整体控制目标而设
计与运行的控制，若不存在重大缺陷，应
当认定这些整体控制目标的内部控制是有
效的。反之，若存在一个或多个重大缺陷
的情形，则应当认定针对该项整体控制目
标的内部控制是无效的。
（三）对注册会计师的要求：
注册会计师必须按照《企业内部控制
审计指引》的要求，对被审计单位内部控
制的设计与运行的有效性进行独立审计，
不能因为被审计单位实施了内部控制评价
就简化审计的程序和内容。
五、内部控制评价与内部控制审计的
区别
内部控制评价 企业董事会的自我评价
内部控制审计 注册会计师外部评价
有
本
质
区
别 六点主要区别
（一）责任主体不同
《企业内部控制审计指引》规定：建立健全
和有效实施内部控制，评价内部控制的有效
性是企业董事会的责任；在实施审计工作的
基础上对内部控制的有效性发表审计意见，
是注册会计师的责任。
（二）评价依据不同
内部控制评价依据《企业内部控制评价指
引》
内部控制审计依据《企业内部控制审计指
引》
（三）评价内容不同
内部控制评价：从内部环境、风险评估、
控制活动、信息与沟通、内部监督等要素
入手，结合企业业务特点和管理要求，确
定评价的具体内容，建立评价核心指标体
系，对内部控制设计和运行情况进行全面
评价。
内部控制审计：侧重对财务报告内部控制
设计与运行的有效性发表审计意见。
（四）处理方式不同
内部控制评价：内部控制评价部门发现内部控
制缺陷，根据重要程度即时上报经理层或董事
会，采取策略，督促整改，并追究相关机构或
人员的责任，核查和确认整改结果，将风险控
制在可承受范围之内。
内部控制审计：注册会计师发现财务报告内部
控制缺陷，识别其严重程度并考虑对审计结论
的影响；对于发现的非财务报告控制缺陷，要
与管理层沟通，提醒加以改进，必要时在审计
结论中对其加以描述和披露，提醒审计报告使
用者注意相关风险。
（五）评论结论不同
内部控制评价：企业董事会对内部控制整体
有效性发表意见，并在内部控制评价报告
中出具内部控制有效性结论。
内部控制审计：注册会计师对财务报告内部
控制的有效性发表意见，对于发现的非财
务报告内部控制的重大缺陷，仅增加“非
财务报告内部控制重大缺陷描述段”予以
披露。
（六）使用目的不同
内部控制评价报告的使用：
1. 政府监管部门：用以了解有关内控法律法
规的实施情况，通过分析比较，发现相关
法律法规在实施过程中存在的问题，并进
一步健全。
2. 投资者及其他利益相关者：用以了解企业
内控水平，评估企业抗风险能力和持续经
营能力，从而进行投资决策、行使相关权
利。
3、研究机构：用以研究分析，以知悉内控发
展现状，进行进一步分析研究，服务于监
管部门、投资者和社会公众。
内部控制审计报告的使用：
为判定该企业内部控制是否有效提供资料。
综上所述，内部控制评价和内
部控制审计既有一定的联系，又有
本质的区别。
需要强调的是，注册会计师虽
然可以利用企业内部控制评价形成
的结论，但需对其本身发表的审计
意见独立承担责任。
内部控制实施与评价案例分析
——以长航集团为例
本文拟以刚刚实现重组的中外运长航集
团前身之一—长航集团为例，分析其内部
控制实施与评价中的做法以及存在的问题，
以其为其他国有企业实施与评价内部控制
提供参考。
一、案例背景
近年来，国有企业逐步参与到国际竞争中后，
一些由于历史原因所导致的内部控制隐患逐渐暴露
出来。特别是2004年中航油新加坡分公司违规投资
原油期货巨亏亿美元被曝光后，如何加强内部控
制就成为越来越多国有企业关注的问题。
2008年6月28日，财政部等部委联合发布《企
业内部控制基本规范》（简称《基本规范》），要
求自2009年7月1日起首先在上市公司范围内施行，
鼓励非上市的其他大中型企业执行。对于国有大中
型企业来说，如何实施有效的内部控制并加以评价
呢？
二、案例介绍
重组前的长航集团是我国内河最大的航运企
业集团，其前身可追溯到清朝末年官督商办的长
江航运企业，至今已有130多年的历史，主要经
营水上运输、船舶制造与修理、物流及相关的配
套服务，其中以水上运输为核心主业。
而在1998～2001年间，由于沿江高速公路和
铁路发展迅速、燃料持续涨价等外部因素影响，
长航集团的主业水上运输受到较大的冲击，加上
企业经营机制不活、管理水平低下及负担过重等
内部因素影响，长航集团经营出现困难，“九五
”期间亏损达10亿元。
二、案例介绍
2002年以来，长航集团通过重组内部资产，
提高企业经营管理水平，加强内部控制等手段逐
步摆脱了不利困境。特别是在加强内部控制方面，
集团从制度层面着手，积极监控企业经营管理和
国有资产安全，保证了财务报告及相关信息的真
实完整，而且通过积极实施内部控制提高了经营
效率和效果，促进了集团的发展。
截至2007年年底，长航集团拥有资产总额412
亿元，年主营收入234亿元；拥有全资子公司16家、
控股子公司4家，主要分布在长江沿线，并在美国、
德国、新加坡等国和香港地区设有子公司、合资
公司和驻外机构。较好地实现了国有资本的保值
与增值。
三、长航集团的内部控制现状
1．内部控制制度相对比较完善。
意义：完善的内部控制制度可以帮助企业规避日常运营
中的风险，促进企业经营管理水平的提高。
内部控制制度的建立与完善不仅使长航集团管理层能
够充分了解企业各项经济活动所面临的风险、性质及严重
程度，保证了企业管理决策的正确性，而且明确了各级员
工的岗位职责，保障了生产经营的稳定。
具体措施：
长航集团针对其“点多、面广、线长”
的特点，积极制定了相应的内部控制制度。
《企业内部控制应用指引》（征求意见
稿）中要求的内部控制结点在该集团的总
覆盖率达%，对于投资、担保、大额
资金调度等涉及企业财务安全的内部控制
重点部分，集团更是明确细化了其操作程
序、审批程序和各级人员的审批权限。
三、长航集团的内部控制现状
2．设立了专门的内部控制机构。
必要性：
内部控制不同于内部审计，内部审计往
往是在经济活动完成后对经济活动的监督，
其侧重于财务范围。而内部控制则是对经
济活动运行中全部风险的控制，包括了企
业运营的所有方面，因此设立专门的内部
控制部门对企业经营活动进行实时监管十
分必要。
机构设置：长航集团为有效控制企业运营
过程中存在的风险，在精简其他组织机构
的同时，主要是：
1、在财务部内增设了综合监督处，负责对
财务部其他部门的日常工作实施监督，以
及对子公司财务状况的监管；
2、强化了集团发展计划部对企业日常经营
的监督职能，该部门主要负责对海内外各
子公司非财务范围内日常经济活动的风险
进行控制。
四、内部控制制度实施中的不足
1．企业员工对于内部控制认知程度低。
表现：
某些员工认为内部控制是领导和监察部门的
事，与自己的日常工作无关；而有些领导在处理
内部控制与企业管理、业务发展的关系时，则认
为若内部控制制度过于详细、控制过严会束缚企
业的业务发展能力，错误地将内部控制与企业发
展和效益对立起来。
原因：
主要是由于他们没有以发展的眼光看待
内部控制，即没有跟上企业内部控制内涵
的发展。目前内部控制已经由以往单一的
内部会计控制转变为了企业的全面风险控
制，基本覆盖了企业所有的日常经营活动。
四、内部控制制度实施中的不足
2．部分部门内部控制缺乏有效的内部监督。
《基本规范》要求： 企业对内部控制的建立与实施
情况进行监督检查，并评价内部控制的有效性，对所发现
的内部控制缺陷应当及时加以改进。
但我们发现，长航集团部分部门并没有对内部控制
实施日常监督或专项监督，而是过分依赖于外部监督机构，
再加上部分人员出于各种原因的逆向选择，也直接导致内
部控制监督的执行力差。
表 现：
出纳人员一般不得同时从事银行对账单的获取、银行
存款余额调节表的编制等工作。确需出纳人员办理上述工
作的，应当指定其他人员定期进行审核、监督。
而长航集团及其部分二级单位虽然在财务工作规章制
度中对此项内容均有具体规定，但出于工作便利、平衡会
计各岗位工作量等因素考虑，都是由出纳人员从事银行对
账单获取、银行存款余额调节表编制等工作，而且没有一
家单位能够出具其他人员曾对此项工作进行过审核、监督
的证据。
四、内部控制制度实施中的不足
3．缺乏完善的内部控制评价体系。
缺乏完善的评价体系主要是因为国内缺
乏相关的操作细则以及企业对此实践经验不
足。
一方面，目前颁布的《企业内部控制评价指
引》（征求意见稿）、《企业内部控制应用指引
》（征求意见稿）仍然属于各行各业普遍适用的
基础平台，需要企业根据自身情况将有关的评价
指引、应用指引转化为能够为企业使用的评价体
系，而企业没有动力或没有能力完成这项工作。
另一方面，如何根据内部控制的框架和构成
要素来系统地确定评价内容与指标，如何确定各
个指标权重以及检查的频次，如何根据检查结果
认定内部控制缺陷等，对于刚开始对内部控制有
效性进行全面评价的国内企业来说，还缺乏实际
操作经验。
四、内部控制制度实施中的不足
4．内部控制外部评价主体的监督能力有
限。
外部监督主体如注册会计师受自身业务范围
与业务能力的限制，无法对非财务范围的内部控
制缺陷做出准确、全面的判断，也就无法对涵盖
企业层面的风险和所有重要的业务流程层面风险
的内部控制做出评价。况且当前企业对内部控制
的评价基本上是参考这些外部监督机构的评价结
论，而这些外部监督主体监督能力的局限导致了
企业对内部控制评价的不全面。
五、几点建议
1．加强员工对于内部控制的认识。
首先，应加强全体员工对内部控制的认识，提高全员
参与、促进、完善内部控制的积极性。其次，应加强每位
员工对内部控制基本原理的学习和理解，使工作流程控制、
岗位分离、绩效考评等内部控制中最基本的制约和监督原
则深入到员工的工作理念中，促使员工自觉执行相关岗位
职责。最后，应使员工意识到，随着内部控制的逐步完善，
工作强度必然有所增加，但工作量的增加对于保障内部控
制的有效实施，防范企业层面和重要业务流程层面的风险
意义重大，不仅可以提高企业经济效益，员工自身的劳动
安全保障和经济效益也会随之增加。
五、几点建议
2．完善企业内部控制的内部监督与反馈机制
首先，企业应当鼓励全员参与建立内部控制的内部监
督。全员参与不仅可使各级员工了解内部控制存在哪些缺
陷以及可能导致的后果，更可以鼓励员工采取行动来改进
这种状况。
其次，采取适当的激励奖惩措施是完善企业内部控制
的内部监督所必需的。企业应根据具体岗位职责需要来设
立相应内部控制运行考核指标，依据内部监督评价结果对
相关单位、部门或人员实施适当的奖励和惩戒，这样才能
充分调动员工的积极性，才能提高企业内部控制的实施水
平，防止“跨越”内部控制的情况出现。
五、几点建议
3．逐步探索企业内部控制的评价体系
目前政府有关部门正着力健全内控规范体系，逐步建
立一套以基本规范为统领，以评价指引、应用指引和内部
控制鉴证指引等配套办法为补充的内控标准体系。
企业自身也要不断积累经验，采取各种科学方式探寻
适合自身特点的企业内部控制评价体系有关部门可以利用
“标杆法”树立不同行业的行业内部控制“标杆”，将成功企
业完善的评价体系向全行业推广。
五、几点建议
4．由多个专业中介机构共同完成对企业内部控
制的外部评价。
为完整地识别企业风险，应该将企业内部控制评价
分为财务部分与非财务部分，其中财务部分可以由会计师
事务所完成，而非财务范围内部控制应由域的学者与专家
来评价，这样才能够有具备企业实践管理经验的人员或者
相关领效识别出企业的风险所在，真正体现出评价中的风
险导向性原则和公允性原则。
