1.如何制定企业营运财务内控的自我评价、监督机制

为了衡量内部财务控制的合理性、健全性和有效性，不断完善内控制度，必须制定并执行完善的内部财务控制自我评价体系和内部审计制度。

一方面，建立一套科学可行的财务内部控制衡量标准，将内控制度的自我评价制度化，对企业内控制度的检查有章可循，减少主观性和随意性。设立具有相对独立权限的机构来负责财务内部控制的自我评价，评价各级管理部门是否严格执行内控制度并提出奖惩意见，完善和健全相关制度漏洞，纠正可能存在的内部控制失效问题。

另一方面，建立合理的内部审计机构，提高内部审计人员的素质，增强内审部门的独立性，充分发挥其内部监督的职能，对企业财务内部控制制度的执行进行有效监督。良好的自我评价和监督机制能够确保企业切实、良好地执行财务内部控制制度，保证内部控制制度的实施效果。

2.内部控制评价的报告

内部控制评价报告可分为对内报告和对外报告，对外报告是为了满足外部信息使用者的需求，需要对外披露，在时间上具有强制性，披露内容和格式强调符合披露要求；对内报告主要是为了满足管理层或治理层改善管控水平的需要，不具有强制性，内容、格式和披露时间由企业自行决定。

企业因其外部环境和内部条件的变化，其内部控制系统不可能是固定的、一成不变的，而是一个不断更新和自我完善的动态体系，因此对内部控制需要经常展开评价，在实际工作可以采用定期与不定期相结合的方式。对外报告一般采用定期的方式，即企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制报告。

年度内部控制评价报告应当以12月31日为基准日。值得说明的是，如果企业在内部控制评价报告年度内发生了特殊的事项且具有重要性，或因为具有了某种特殊原因（如企业因目标变化或提升），企业需要针对这种特殊事项或原因及时编制内部控制评价报告并对外发布。

这种类型的内部控制评价报告属于非定期的内部控制报告。内部报告一般采用不定期的方式，即企业可以持续地开展内部控制的监督与评价，并根据结果的重要性随时向董事会（审计委员会）或经理层报送评价报告。

从广义上讲，企业针对发现的重大缺陷等向董事会（审计委员会）或经理层报送的内部报告（内部控制缺陷报告）也属于非定期的报告。企业应尽量按照统一的格式编制内部控制评价报告，以满足外部信息使用者对内控信息可比的要求。

根据《评价指引》第二十一条和二十二条规定，内部控制评价对外报告一般包括以下内容。1.董事会声明。

声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。2.内部控制评价工作的总体情况。

明确企业内部控制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计。3.内部控制评价的依据。

说明企业开展内部控制评价工作所依据的法律法规和规章制度。4.内部控制评价的范围。

描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等。

5.内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。

6.内部控制缺陷及其认定。描述适用本企业的内部控制缺陷具体认定标准，并声明与以前年度保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。

7.内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。

针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果。8.内部控制有效性的结论。

对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

3.企业内部控制怎样评价

内部控制检查与评价业务流程 1. 目标 通过规范内部控制的检查与评价工作流程，确保检查评价工作按规定程序和适当授权进行，实现预期目标；确保检查评价工作的方法和标准一致，减少检查评价工作的随意性；确保集团公司和企业在年度财务决算中恰当披露内部控制制度执行情况，符合国家有关法律法规和外部监管机构的要求，并促进各项内部控制制度的不断改进、完善和严格执行。

2. 风险 由于检查与评价工作流程设计不合理或控制不当，可能导致对内部控制制度及执行情况评价不恰当；可能导致各项内部控制制度的检查评价工作存在随意性；可能导致年度财务决算对内部控制制度的执行情况对外披露的信息失当而受到外部监管机构的处罚。 3. 工作流程步骤与控制点 3.1 成立和确定检查评价领导小组和工作组 ★3.1.1 企业（或总部）应当成立内部控制检查评价工作领导小组（以下简称“检评领导小组”），组长由主要负责人担任，副组长由总会计师/分管财务领导担任，成员由财务、审计、人事、监察、销售、采购等部门的主要负责人组成。

★3.1.2 检评领导小组应当根据实际情况，按照成本和效益原则，确定或组建内部控制检查评价工作组（以下简称“检评组”）。检评组可以设在（或授权）财务或审计部门，也可另行组成由财务、审计、人事、监察等有关部门相关人员参加的检评组，组长可由审计部门负责人担任。

3.2 制定检查评价工作计划 3.2.1 检评组每年年初根据本流程规定和检评领导小组的要求，编制内部会计控制检查评价工作计划，具体明确各类业务定期抽查的时间（按季或半年或年进行抽查）、抽查样本量的比例（5%~15%）以及随机抽查的方法，明确检查人员的分工和各有关部门的配合责任，以及完成检评工作的时间目标和要求。 ★3.2.2 检评组将检评工作计划报总会计师/分管财务领导审阅后，提交检评领导小组审定。

3.3 实施检查和计算得分 3.3.1 检评组人员根据工作计划，按规定的抽样比例和方法，随机抽取各类业务的样本。同时依据各自的分工，对所抽取的业务样本控制点，按照规范的业务流程表中控制点和不相容职务/岗位分离及授权等要求，实施符合性测试。

★3.3.2 检评组人员将检查测试情况按每笔业务逐笔如实进行记录（包括抽查时间、抽查方法、抽查的具体业务合同或凭证编号、检查测试得分结果等），建立检查评价工作底稿，签字后交检评组负责人或其授权人员审核签字。 3.3.3 对检查测试中发现控制点缺失或控制点虽然存在但未按规定实施控制的，一律按扣减法扣减该控制点的权重得分。

每笔业务控制点权重总分为100分，扣除扣减分数后即为该笔业务内部会计控制执行的实际得分。 3.3.4 同类业务逐笔得分相加除以笔数即可得出该类业务内部控制执行情况的实际得分。

各类业务简单平均得分相加除以类别数即可计算出全部业务的内部控制执行情况的实际综合得分。 3.4 编写检查评价报告 3.4.1 检查人员根据抽查业务的内部控制检查测试的得分情况，可以对各类业务的内部控制执行情况做出定量和定性的评价，也可对全部业务内部控制执行总体情况做出定量和定性的综合评价。

3.4.2 凡内部控制检查测试平均得分在95分（含）以上的，且在实际执行中未出现一般性问题或实质性问题，内部控制执行情况可认定为“无疏漏”或者存在“轻微疏漏”，执行情况可评价为好；在85-94分（含）之间，且在实际执行中未出现一般性问题或实质性问题，可认定为存在“一般疏漏”，执行情况可评价为较好；在70-84分（含）之间，且在实际执行中未出现实质性问题，可认定为存在“一般缺陷”，执行情况可评价为一般；在70分以下，不管在实际执行中是否出现一般性问题或实质性问题，可认定为存在“重大缺陷”，执行情况可评价为差。及时检查测试平均得分在70分（含）以上，但在实际执行中发生了一般性问题或实质性问题，则相应认定为存在“一般缺陷”或“重大缺陷”。

3.4.3 检评组根据内部控制业务检查结果情况，编写《内部控制检查评价报告》。检查评价报告的主要内容包括：（1）检查评价工作的组织开展情况；（二）检查样本的抽取方法和测试结果情况；（三）内部控制执行情况的具体分析；（四）加强改进内部控制的意见和建议。

检查评价报告要有定性和定量分析，以数据和事实为依据。 ★3.4.4 检评组负责人对各检查人员的检查工作底稿和扣（计）分情况以及《内部控制检查评价报告》进行审核修改并签字，报分管内控领导/总会计师审阅。

3.5 审定上报检查评价结果 3.5.1 检评组将内部控制检查情况和初步评价意见向内部控制检评领导小组汇报，如实反映检查测试结果和定性定量评价意见，并将《内部控制检查评价报告》报领导小组审定。 ★3.5.2 检评领导小组审议内部控制检评结果，并对存在的缺陷和问题，以及检评组提出的意见和措施予以研究，形成具体改进措施贯彻落实。

★3.5.3 将经审定的《内部控制检查评价报告》和有关业务内部控制检查得分情况汇总表一并上报集团公司内控办公室备案，或对外发布。 3.6 考核奖惩 3.6.1 每年年度终了后，检评组应当根据全年检评综合得分及评价情况（按季检查的。

4.如何开展内控自评工作

企业内控建设实务 企业内控建设应当以经营的效率与效果为主导目标，以财务报告可靠、资产安全与经营合规为三个保障目标，在此基础上，建设实务将围绕内控组织的设置与内控建设的五要素展开。

（1）内部控制组织 组织是体系运行的基本保障。通常的内控组织包括董事会与经营层两个层面，强调内部控制的建设与实施是董事会的责任，并且下设审计（风险）管理专门委员会加强管理。

此外，内控组织的设置特别强调经理层是企业内控建设的具体实施者与责任人，各经营管理部门按照职能归口进行内部控制的建设与实施。其中，是否设置专职的内控部门是企业界关注的焦点，通常的设置方式包括三种： 方式一：单独设置内控部门。

优点是有利于提高内控建设的初期推动效率，缺点是内控部门与经营管理部门割裂，未能很好地体现内部控制责任与经营管理责任的融合。此方式在金融类企业普遍应用，对于实体经济体，通常不设置专职的内控部门。

方式二：由内部审计部门牵头负责内控工作。优点是待体系初建完成且运行平稳后，内部审计作为内控的监督部门，可以立足于公司整体牵头协调各部门定期进行内部控制的自我评价，并且持续完善内控体系的建设。

缺点是国内企业内审部门往往人才匮乏，在内控建设的初期独立当此重任可能力不从心。 方式三：在内部控制建设集中期设立内部控制建设办公室，该办公室从各主要部门抽调人员专职从事内控体系建设工作，待体系正式运行时，办公室解散，人员归位到各经营管理部门，且牵头职能也归位至内审部门。

此方式的优点是可以集中各部门力量完成内部控制的体系化建设，待体系平稳运行后，相关人员回到经营管理部门的骨干岗位上，有利于促进各经营部门对内部控制体系的理解，有利于内控与经营管理的融合。实践表明，对于管理基础弱的实体经济企业，采取方式三的内控推行效果较佳。

当然，组织的设置没有一定之规，企业应当依据自身的特点设置内部控组织，明确相关的管理责任。（2）内部环境的诊断与完善 内部环境是企业内部控制建设与运行的载体，企业在建设内部控制机制时，首先要诊断与完善内部环境。

一方面，内部环境的完善可以为控制活动的设计与运行奠定基础，另一方面，内部环境的诊断可以加强控制活动与内部环境的匹配性，有利于控制活动的顺畅运行。 通常，内部环境的诊断与完善包括六个方面的内容：治理结构、机构设置、权责分配、内部审计、人力资源政策、企业文化。

其中，机构设置、权责分配与内部审计的定位三个方面必须先行完善，后续的控制活动设计与运行才会顺畅。治理结构、人力资源政策与企业文化三个方面，可以伴随控制活动的运行同步完善。

（3）动态的风险评估 风险评估是内部控制体系化建设的重要表现，是后续内控措施设计的重要依据。根据成本效益原则，企业应当针对评估的重要风险强化内部控制措施，有效降低风险。

对于次要风险，企业应当简化控制活动与流程设计，承担相关的风险，体现经营的效率与效果为主导目标的内控建设理念。 风险评估包括风险辨识与风险评估两个阶段。

在风险辨识阶段，企业应当围绕内部控制目标识别影响目标实现的不确定性因素，辨别企业风险并进行分类，形成企业的风险管理库。通常，企业的风险可以划分为战略风险、市场风险、运营风险、财务风险与法律风险五类，并在此基础上进一步细分。

在风险评估阶段，企业应当运用二维风险评估坐标图，从破坏性与发生频率两个维度评估风险，并将风险点界定为重大风险、中风险与低风险。企业应当依据行业特点与目标设置等确定风险评估的标准，评估标准应当注意定量与定性标准相结合。

在实务中我们强调，处于不同行业的企业，或是同一行业的不同企业，或是同一企业处于不同的发展阶段，其风险评估结果各不相同。为此，企业应当至少每年评估一次风险，及时发现新环境、新业务带来的新风险，动态地调整风险评估结果，进而动态地调整控制活动规范，让原本静止的内控制度动起来，始终踏上企业发展的节奏。

（4）控制活动的设计 控制活动是内控体系实施的核心要素，企业在规范控制活动的过程中，应当形成内部控制政策与程序手册（下简称内控手册）。 企业在设计控制活动时，应当树立与经营管理活动相融合的设计理念，首先界定企业的控制活动循环，然后将内部控制措施嵌入控制活动中，完善经营管理活动的制度流程设计，形成企业的内控手册。

内控手册分模块设计，每一模块一般包括五个方面的内容： 第一，管理目标。围绕内部控制的目标，企业在设计内控手册时，首先应当明确控制活动的管理目标。

例如采购付款循环，其管理目标应当包括保障物资供应、提高采购效率、降低资金占用、控制采购成本、保证核算准确等。 第二，管理机构及职责。

该部分将控制活动涉及的组织及职责清晰界定，以确保后续流程运行的顺畅性。 第三，授权审批矩阵。

该部分应当明确控制活动涉及的所有权限在董事会、经理层与各职能部门间的划分，并且明确各级审批责任。 第四，控制活动要求。

该部分一般以制度文本的形式书写，明确控制活动各控制环节的内控要求，作为相。

5.内部控制评价报告的内容有哪些

四、内部控制评价报告 企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。

内部控制评价报告至少应当包括下列内容： （1）组织实施内部控制评价的总体情况； （2）内部控制责任主体的声明； （3）内部控制评价的范围和内容； （4）内部控制评价的标准和依据； （5）内部控制评价的程序和方法； （6）内部控制重大缺陷及其认定情况； （7）内部控制重大缺陷的整改措施及责任追究情况； （8）内部控制有效性的结论； 存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。 《深圳证券交易所上市公司内部控制指引》自我评价报告至少应包括以下内容： （1）对照本指引及有关规定，说明公司内部控制制度是否建立健全和有效运行，是否存在缺陷； （2）说明本指引重点关注的控制活动的自查和评估情况； （3）说明内部控制缺陷和异常事项的改进措施（如适用）； （4）说明上一年度的内部控制缺陷及异常事项的改善进展情况（如适用） 《上海证券交易所上市公司内部控制指引》公司内部控制自我评估报告至少应包括如下内容： （1）内控制度是否建立健全； （2）内控制度是否有效实施； （3）内部控制检查监督工作的情况； （4）内控制度及其实施过程中出现的重大。

四、内部控制评价报告 企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告至少应当包括下列内容： （1）组织实施内部控制评价的总体情况； （2）内部控制责任主体的声明； （3）内部控制评价的范围和内容； （4）内部控制评价的标准和依据； （5）内部控制评价的程序和方法； （6）内部控制重大缺陷及其认定情况； （7）内部控制重大缺陷的整改措施及责任追究情况； （8）内部控制有效性的结论； 存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

《深圳证券交易所上市公司内部控制指引》自我评价报告至少应包括以下内容： （1）对照本指引及有关规定，说明公司内部控制制度是否建立健全和有效运行，是否存在缺陷； （2）说明本指引重点关注的控制活动的自查和评估情况； （3）说明内部控制缺陷和异常事项的改进措施（如适用）； （4）说明上一年度的内部控制缺陷及异常事项的改善进展情况（如适用） 《上海证券交易所上市公司内部控制指引》公司内部控制自我评估报告至少应包括如下内容： （1）内控制度是否建立健全； （2）内控制度是否有效实施； （3）内部控制检查监督工作的情况； （4）内控制度及其实施过程中出现的重大风险及其处理情况； （5）对本年度内部控制检查监督工作计划完成情况的评价； （6）完善内控制度的有关措施； （7）下一年度内部控制有关工作计划。

6.如何开展内控自评工作

企业内控建设实务 企业内控建设应当以经营的效率与效果为主导目标，以财务报告可靠、资产安全与经营合规为三个保障目标，在此基础上，建设实务将围绕内控组织的设置与内控建设的五要素展开。

（1）内部控制组织 组织是体系运行的基本保障。通常的内控组织包括董事会与经营层两个层面，强调内部控制的建设与实施是董事会的责任，并且下设审计（风险）管理专门委员会加强管理。

此外，内控组织的设置特别强调经理层是企业内控建设的具体实施者与责任人，各经营管理部门按照职能归口进行内部控制的建设与实施。其中，是否设置专职的内控部门是企业界关注的焦点，通常的设置方式包括三种： 方式一：单独设置内控部门。

优点是有利于提高内控建设的初期推动效率，缺点是内控部门与经营管理部门割裂，未能很好地体现内部控制责任与经营管理责任的融合。此方式在金融类企业普遍应用，对于实体经济体，通常不设置专职的内控部门。

方式二：由内部审计部门牵头负责内控工作。优点是待体系初建完成且运行平稳后，内部审计作为内控的监督部门，可以立足于公司整体牵头协调各部门定期进行内部控制的自我评价，并且持续完善内控体系的建设。

缺点是国内企业内审部门往往人才匮乏，在内控建设的初期独立当此重任可能力不从心。 方式三：在内部控制建设集中期设立内部控制建设办公室，该办公室从各主要部门抽调人员专职从事内控体系建设工作，待体系正式运行时，办公室解散，人员归位到各经营管理部门，且牵头职能也归位至内审部门。

此方式的优点是可以集中各部门力量完成内部控制的体系化建设，待体系平稳运行后，相关人员回到经营管理部门的骨干岗位上，有利于促进各经营部门对内部控制体系的理解，有利于内控与经营管理的融合。实践表明，对于管理基础弱的实体经济企业，采取方式三的内控推行效果较佳。

当然，组织的设置没有一定之规，企业应当依据自身的特点设置内部控组织，明确相关的管理责任。（2）内部环境的诊断与完善 内部环境是企业内部控制建设与运行的载体，企业在建设内部控制机制时，首先要诊断与完善内部环境。

一方面，内部环境的完善可以为控制活动的设计与运行奠定基础，另一方面，内部环境的诊断可以加强控制活动与内部环境的匹配性，有利于控制活动的顺畅运行。 通常，内部环境的诊断与完善包括六个方面的内容：治理结构、机构设置、权责分配、内部审计、人力资源政策、企业文化。

其中，机构设置、权责分配与内部审计的定位三个方面必须先行完善，后续的控制活动设计与运行才会顺畅。治理结构、人力资源政策与企业文化三个方面，可以伴随控制活动的运行同步完善。

（3）动态的风险评估 风险评估是内部控制体系化建设的重要表现，是后续内控措施设计的重要依据。根据成本效益原则，企业应当针对评估的重要风险强化内部控制措施，有效降低风险。

对于次要风险，企业应当简化控制活动与流程设计，承担相关的风险，体现经营的效率与效果为主导目标的内控建设理念。 风险评估包括风险辨识与风险评估两个阶段。

在风险辨识阶段，企业应当围绕内部控制目标识别影响目标实现的不确定性因素，辨别企业风险并进行分类，形成企业的风险管理库。通常，企业的风险可以划分为战略风险、市场风险、运营风险、财务风险与法律风险五类，并在此基础上进一步细分。

在风险评估阶段，企业应当运用二维风险评估坐标图，从破坏性与发生频率两个维度评估风险，并将风险点界定为重大风险、中风险与低风险。企业应当依据行业特点与目标设置等确定风险评估的标准，评估标准应当注意定量与定性标准相结合。

在实务中我们强调，处于不同行业的企业，或是同一行业的不同企业，或是同一企业处于不同的发展阶段，其风险评估结果各不相同。为此，企业应当至少每年评估一次风险，及时发现新环境、新业务带来的新风险，动态地调整风险评估结果，进而动态地调整控制活动规范，让原本静止的内控制度动起来，始终踏上企业发展的节奏。

（4）控制活动的设计 控制活动是内控体系实施的核心要素，企业在规范控制活动的过程中，应当形成内部控制政策与程序手册（下简称内控手册）。 企业在设计控制活动时，应当树立与经营管理活动相融合的设计理念，首先界定企业的控制活动循环，然后将内部控制措施嵌入控制活动中，完善经营管理活动的制度流程设计，形成企业的内控手册。

内控手册分模块设计，每一模块一般包括五个方面的内容： 第一，管理目标。围绕内部控制的目标，企业在设计内控手册时，首先应当明确控制活动的管理目标。

例如采购付款循环，其管理目标应当包括保障物资供应、提高采购效率、降低资金占用、控制采购成本、保证核算准确等。 第二，管理机构及职责。

该部分将控制活动涉及的组织及职责清晰界定，以确保后续流程运行的顺畅性。 第三，授权审批矩阵。

该部分应当明确控制活动涉及的所有权限在董事会、经理层与各职能部门间的划分，并且明确各级审批责任。 第四，控制活动要求。

该部分一般以制度文本的形式书写，明确控制活动各控制环节的内控要求，作为相。