能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。其次，在设置内部控制评价机构的基础上，还要求企业成立专门的评价工作组，接受内部控制评价机构的领导，具体承担内部控制评价工作的组织。评价指引要求内部控制评价机构根据经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员，组成评价工作组，具体实施内部控制评价工作。评价工作组成员应当吸收企业内部相关机构熟悉情况的业务骨干参加。实施评价工作前，评价人员需要接受相关培训，培训内容一般包括内部控制专业知识及相关规章制度、评价工作流程、检查评价方法、工作底稿填写要求、缺陷认定标准、评价人员的权利与义务及评价中需重点关注的问题等。通过内部控制职能机构和评价工作组这种矩阵式的组织设置，可以有效促进内部控制评价工作的开展。
第三，关于内部控制缺陷的认定。内部控制缺陷的认定，特别是非财务报告内部控制缺陷的认定，是企业内部控制评价工作中面临的重大挑战之一。对于财务报告内部控制缺陷，可由该缺陷可能导致财务报表错报的重要程度来确定，这种重要程度主要取决于两方面因素：一是该缺陷是否具备合理可能性导致内部控制不能及时防止、发现并纠正财务报表错报；二是该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。因此，财务报告内部控制缺陷一般可以通过定量的方式予以确定。相对而言，非财务报告内部控制缺陷的认定很难形成统一的标准，企业可以根据自身的实际情况，参照财务报告内部控制缺陷的认定标准，合理确定非财务报告内部控制缺陷的定量和定性认定标准。其中：定量标准，既可以根据缺陷造成直接财产损失的绝对金额制定，也可以根据缺陷的直接损失占本企业资产、销售收入或利润等的比率确定；定性标准，可以根据缺陷潜在负面影响的性质、范围等因素确定。财政部将在即将发布的内部控制规范讲解中，对内部控制缺陷的认定，尤其是非财务报告内部控制缺陷的认定作出更具指导性的说明。需要强调的是，为避免企业操纵内部控制评价报告，非财务报告内部控制缺陷认定标准一经确定，必须在不同评价期间保持一致，不得随意变更。
第四，关于内部控制评价报告。在评价指引发布前，上海、深圳证券交易所的部分上市公司已经尝试对外披露内部控制评价报告。但由于缺少统一的指导，这些对外披露的评价报告格式五花八门、质量参差不起，少则2、3页，多则数百页，不具可比性，也不利于报告使用者理解。为此，评价指引专门对内部控制评价报告进行规范，要求企业在评价报告中至少披露以下内容：一是董事会对内部控制报告真实性的声明，实质就是董事会全体成员对内部控制有效性负责；二是内部控制评价工作的总体情况，即概要说明；三是内部控制评价的依据，一般指基本规范、评价指引及企业在此基础上制定的评价办法；四是内部控制评价的范围，描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项；五是内部控制评价的程序和方法；六是内部控制缺陷及其认定情况，主要描述适用本企业的内部控制缺陷具体认定标准，并声明与以前年度保持一致，同时，根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷；七是内部控制缺陷的整改情况及重大缺陷拟采取的整改措施；八是内部控制有效性的结论，
16
对不存在重大缺陷的情形，出具评价期末内部控制有效结论，对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的成因、表现形式及其对实现相关控制目标的重要程度。财政部将在内部控制规范讲解中对内部控制评价报告的内容提供进一步指引，包括探索引入使用内部控制评价表，作为对内部控制评价报告的进一步补充。所谓内部控制评价表，就是对评价过程中形成的评价工作底稿的全面整理和综合汇总，是企业对内部控制各构成要素的结论性评估表格，一般由评价内容、业务描述、有效性/缺陷、评价记录等栏目组成。通过使用内部控制评价表，可以使不同企业的内部控制评价报告更具可比性，同时也有利于报告使用者阅读和理解。
第五，关于内部控制评价报告的披露或报送。评价指引要求，内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。企业应当以12月31日作为年度内部控制评价报告的基准日，并于基准日后4个月内报出内部控制评价报告。对于基准日至内部控制评价报告发出日之间发生的影响内部控制有效性的因素，企业应当根据其性质和影响程度对评价结论进行相应调整。需要说明的是，评价指引起草工作组在调研过程中发现，部分企业担心内部控制评价报告可能存在信息过度披露问题。财政部等部门已经根据调研反馈意见对应用指引和评价指引进行了调整，此次发布的应用指引和《企业内部控制评价指引》实际上只要求企业对控制缺陷尤其是重大缺陷作出说明，不涉及企业内部其他保密信息，与此同时，在内部控制规范体系的贯彻实施过程中，财政部等部门还将持续关注类似问题，确保在满足法律法规和监管要求的前提下，尽量减少企业负担。
三、关于内部控制审计指引
内部控制审计是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。它是企业内部控制规范体系实施中引入的强制性要求，既有利于促进企业健全内部控制体系，又能增强企业财务报告的可靠性。美国、日本等国家曾先后做出过类似的制度安排。为了规范注册会计师执行企业内部控制审计业务，我们特别制定了《企业内部控制审计指引》。
内部控制审计指引，着重从以下方面就如何做好内部控制审计业务提出明确要求或强调说明：第一，关于审计责任划分。该指引明确指出，建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任，但对内部控制的有效性发表审计意见，则是注册会计师的责任。第二，关于审计范围。该指引强调，注册会计师执行内部控制审计工作，应当获取充分、适当的证据，为发表内部控制审计意见提供合理保证。同时进一步指出，注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。这些规定传达出一个重要的信息，即：注册会计师审计的范围应当覆盖企业内部控制整体而不限于财务报告内部控制。这与要求企业完整而全面地贯彻实施内部控制规范体系是相一致的。但是，考虑到注册会计师在内部控制审计过程中的风险责任承担能力限制，该指引要求注册会计师针对企业财务报告内部控制有效性发表审计意见，而对相关审计过程中注意到的非财务报告内部控制重大缺
17
陷，则要求其增加描述段予以说明。第三，关于整合审计。该指引指出，注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行。整合审计可以提升效率，也是国际上普遍采用的方法，我们鼓励这种做法。需要特别指出的是，此处所指的“整合”，不包括注册会计师对同一家企业既做咨询又做审计的情形。在《企业内部控制基本规范》中对此已有明确规定，即：“为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务”。第四，关于利用被审计单位人员的工作。有效利用被审计单位人员的工作成果，尤其是自我评价结论，可以减少审计成本。但是，如何才能做到既有效利用又能够保持独立性，是一个两难的问题。就此，该指引提出如下要求：一是，注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用企业内部审计人员、内部控制评价人员和其他相关人员的工作以及可利用的程度，相应减少可能本应由注册会计师执行的工作；二是，注册会计师应当对企业内部审计人员、内部控制评价人员和其他相关人员的专业胜任能力和客观性进行充分评价，与某项控制相关的风险越高，可利用程度就越低，注册会计师应当更多地对该项控制亲自进行测试；三是，注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。第五，关于审计方法。该指引要求注册会计师按照自上而下的方法实施审计工作，并将方法作为识别风险、选择拟测试控制的基本思路。同时，该指引强调，在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。第六，关于评价控制缺陷。该指引对内部控制缺陷的划分与《企业内部控制评价指引》的规定是相一致的。对于如何识别内部控制重大缺陷，该指引要求注册会计师先评价其所识别出的各项内部控制缺陷的严重程度，以此确定这些缺陷单独或组合起来，是否构成重大缺陷。为便于注册会计师进行职业判断，该指引提供了进一步相关指引。比如，在确定一项内部控制缺陷或多项内部控制缺陷的组合是否构成重大缺陷时，注册会计师应当评价补偿性控制（替代性控制）的影响；又比如，将表明内部控制可能存在重大缺陷的迹象作了系统概括，主要包括：注册会计师发现董事、监事和高级管理人员舞弊；企业更正已经公布的财务报表；注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；企业审计委员会和内部审计机构对内部控制的监督无效。注册会计师应当将审计过程中发现的所有控制缺陷与企业进行沟通，对其中的重大缺陷和重要缺陷应以书面形式与董事会和经理层沟通。注册会计师认为审计委员会和内部审计机构对内部控制的监督无效的，还应当就此以书面形式直接与董事会和经理层沟通。所有这些书面沟通应当在注册会计师出具内部控制审计报告之前进行。第七，关于审计报告出具。如何出具内部控制审计报告，是大多数注册会计师所关心的问题。与审计范围相对应，该指引要求注册会计师出具的审计报告涉及财务报告内部控制和非财务报告内部控制两大方面；同时，还提供了四种内部控制审计报告参考格式，分别是：标准内部控制审计报告、带强调意见段的无保留意见内部控制审计报告、否定意见内部控制审计报告和无法表示意见审计报告。对非财务报告内部控制缺陷的处理，该指引分别不同情况特别提出如下要求：注册会计师认为非财务报告内部控制缺陷为一般缺陷的，应当与企业进行沟通，提醒企业加以改进，但无需在内部控制审计报告中说明；注
18
册会计师认为非财务报告内部控制缺陷为重要缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进，但无需在内部控制审计报告中说明；注册会计师认为非财务报告内部控制缺陷为重大缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进；同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实现相关控制目标的影响程度进行披露，提示内部控制审计报告使用者注意相关风险。这些说明，较好地解除了注册会计师一直以来担心的问题，从而有利于注册会计师顺利地开展内部控制审计业务。
四、关于企业执行内部控制规范体系的准备工作
重视和加强实施前的各项准备工作，是确保内部控制规范体系顺利实施的重要前提。为了确保企业内部控制规范体系的顺利贯彻实施，各有关部门、单位要积极行动起来，认真扎实地做好实施前的各项工作。
第一，各级财政部门要把宣传培训、学习贯彻内部控制规范体系作为当前及今后一段时间会计和注册会计师行业管理的一项中心工作，精心组织，周密安排，切实抓紧抓好，抓出成效。一要加强内部控制专业团队建设，指定专人负责，落实责任制，重视和培养业务骨干，全面熟悉和掌握内部控制规范的内容，做好对企业、会计师事务所等有关单位的政策业务指导；二要不断深化内部控制规范的宣传培训工作，先培训上市公司和具有证券期货业务资格的会计师事务所，随后将培训范围逐步扩大到所有大中型企业和大中型会计师事务所。同时，要将内部控制规范纳入会计人员等专业人员继续教育范围，并作为高级会计师专业技术资格考试和注册会计师考试的重要内容。
第二，各上市公司和相关大中型企业，应当切实抓紧建立健全本单位的内部控制制度体系并按规定要求稳步有效实施。
一是，公司董事会或类似机构对此应予高度重视，真正担当起建立健全和有效实施内部控制规范体系的责任；同时，组成专门领导班子，加强对公司内部控制建设工作的指导。
二是，公司应当统筹规划，缜密安排，根据《企业内部控制基本规范》及《企业内部控制配套指引》规定，结合经营特点和管理要求，对现行内控制度和管理要求进行梳理优化，健全适合本单位实际的内部控制制度。
三是，开展全员培训，在公司范围内掀起“人人学内控、人人讲内控、个个受约束”的良好氛围。公司应当积极参加财政部门、中国会计学会等部门或机构组织的正规培训，不参加社会上追逐盈利目的非正规内部控制规范培训活动。
四是，加大对企业信息系统的改造或新建投入，充分运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对各类业务和事项的自动控制，减少或消除人为操纵因素。五是，在公司范围内选择管理基础较好的分（子）公司或业务单位等开展内部控制制度试点，发现并及时解决运行过程中存在的问题，总结经验，逐步推广到全公司范围。
第三，会计师事务所应当把握好企业内部控制规范发布实施的好机会，拓展业务领域。
19
一要积极组织相关内部培训或参加财政部门等单位组织的正规内部控制规范培训，进一提升自身执业能力。
二要合理调配资源，优化业务结构，组建专业团队。
三要深入研究内部控制审计方法，建立健全内部控制审计质量控制标准。 五、关于企业内部控制规范体系实施的监督评价
构建企业、注册会计师和有关监管部门三位一体的、有效的内外部监督评价体系是确保企业内部控制规范体系顺利实施的重要保证。
第一，企业应当重视和发挥审计委员会对内部控制实施的监督作用，赋予审计委员会监督内部控制有效实施和内部控制自我评价情况、协调内部控制审计等方面的职能。通常情况下，企业可以授权内部审计机构具体承担内部控制监督检查的职能，接受董事会和审计委员会的领导。同时，企业应当建立内部控制执行情况与员工绩效考核挂钩的制度，并严格执行。
第二，注册会计师要严格遵循企业内部控制规范提出的各项要求，开展内部控制审计业务。要强化内部控制审计的独立性，保持应有的职业谨慎态度，遵守职业道德规范，在内部控制审计业务与内部控制咨询业务之间建立牢固的“防火墙”，禁止针对同一客户既承担内部控制审计业务，同时又承担内部控制咨询和代行内部控制自我评价业务。
第三，财政部等有关监管部门要将内部控制规范实施有关的政策指导与监督检查结合起来，在为企业、会计师事务所提供良好服务的同时，密切关注和跟踪企业和会计师事务所执行内部控制规范的情况，建立迅速高效的预警、反应和处理机制，妥善处理好内部控制规范实施过程中产生的各种问题。其次，要加强对企业和会计师事务所执行内部控制规范体系的监督检查力度，对违反内部控制规范要求的单位或个人依法严肃处理；要加强部门沟通，协调监管政策，规范监管口径，形成监管合力，提高监管效能。
行百里者半九十。我们应当清醒地认识到，推进企业内部控制规范体系贯彻实施是一项艰巨的系统工程，下一步的任务更加繁重。同时，我们也应当满怀豪情！只要我们继续保持实事求是、脚踏实地的工作作风，精心组织，就一定能够将企业内部控制规范体系学习好、宣传好、实施好，进一步促进企业提升管理水平和风险能力，进一步促进我国经济持续健康快速发展！
20