1.如何开展内控自评工作

企业内控建设实务 企业内控建设应当以经营的效率与效果为主导目标，以财务报告可靠、资产安全与经营合规为三个保障目标，在此基础上，建设实务将围绕内控组织的设置与内控建设的五要素展开。

（1）内部控制组织 组织是体系运行的基本保障。通常的内控组织包括董事会与经营层两个层面，强调内部控制的建设与实施是董事会的责任，并且下设审计（风险）管理专门委员会加强管理。

此外，内控组织的设置特别强调经理层是企业内控建设的具体实施者与责任人，各经营管理部门按照职能归口进行内部控制的建设与实施。其中，是否设置专职的内控部门是企业界关注的焦点，通常的设置方式包括三种： 方式一：单独设置内控部门。

优点是有利于提高内控建设的初期推动效率，缺点是内控部门与经营管理部门割裂，未能很好地体现内部控制责任与经营管理责任的融合。此方式在金融类企业普遍应用，对于实体经济体，通常不设置专职的内控部门。

方式二：由内部审计部门牵头负责内控工作。优点是待体系初建完成且运行平稳后，内部审计作为内控的监督部门，可以立足于公司整体牵头协调各部门定期进行内部控制的自我评价，并且持续完善内控体系的建设。

缺点是国内企业内审部门往往人才匮乏，在内控建设的初期独立当此重任可能力不从心。 方式三：在内部控制建设集中期设立内部控制建设办公室，该办公室从各主要部门抽调人员专职从事内控体系建设工作，待体系正式运行时，办公室解散，人员归位到各经营管理部门，且牵头职能也归位至内审部门。

此方式的优点是可以集中各部门力量完成内部控制的体系化建设，待体系平稳运行后，相关人员回到经营管理部门的骨干岗位上，有利于促进各经营部门对内部控制体系的理解，有利于内控与经营管理的融合。实践表明，对于管理基础弱的实体经济企业，采取方式三的内控推行效果较佳。

当然，组织的设置没有一定之规，企业应当依据自身的特点设置内部控组织，明确相关的管理责任。（2）内部环境的诊断与完善 内部环境是企业内部控制建设与运行的载体，企业在建设内部控制机制时，首先要诊断与完善内部环境。

一方面，内部环境的完善可以为控制活动的设计与运行奠定基础，另一方面，内部环境的诊断可以加强控制活动与内部环境的匹配性，有利于控制活动的顺畅运行。 通常，内部环境的诊断与完善包括六个方面的内容：治理结构、机构设置、权责分配、内部审计、人力资源政策、企业文化。

其中，机构设置、权责分配与内部审计的定位三个方面必须先行完善，后续的控制活动设计与运行才会顺畅。治理结构、人力资源政策与企业文化三个方面，可以伴随控制活动的运行同步完善。

（3）动态的风险评估 风险评估是内部控制体系化建设的重要表现，是后续内控措施设计的重要依据。根据成本效益原则，企业应当针对评估的重要风险强化内部控制措施，有效降低风险。

对于次要风险，企业应当简化控制活动与流程设计，承担相关的风险，体现经营的效率与效果为主导目标的内控建设理念。 风险评估包括风险辨识与风险评估两个阶段。

在风险辨识阶段，企业应当围绕内部控制目标识别影响目标实现的不确定性因素，辨别企业风险并进行分类，形成企业的风险管理库。通常，企业的风险可以划分为战略风险、市场风险、运营风险、财务风险与法律风险五类，并在此基础上进一步细分。

在风险评估阶段，企业应当运用二维风险评估坐标图，从破坏性与发生频率两个维度评估风险，并将风险点界定为重大风险、中风险与低风险。企业应当依据行业特点与目标设置等确定风险评估的标准，评估标准应当注意定量与定性标准相结合。

在实务中我们强调，处于不同行业的企业，或是同一行业的不同企业，或是同一企业处于不同的发展阶段，其风险评估结果各不相同。为此，企业应当至少每年评估一次风险，及时发现新环境、新业务带来的新风险，动态地调整风险评估结果，进而动态地调整控制活动规范，让原本静止的内控制度动起来，始终踏上企业发展的节奏。

（4）控制活动的设计 控制活动是内控体系实施的核心要素，企业在规范控制活动的过程中，应当形成内部控制政策与程序手册（下简称内控手册）。 企业在设计控制活动时，应当树立与经营管理活动相融合的设计理念，首先界定企业的控制活动循环，然后将内部控制措施嵌入控制活动中，完善经营管理活动的制度流程设计，形成企业的内控手册。

内控手册分模块设计，每一模块一般包括五个方面的内容： 第一，管理目标。围绕内部控制的目标，企业在设计内控手册时，首先应当明确控制活动的管理目标。

例如采购付款循环，其管理目标应当包括保障物资供应、提高采购效率、降低资金占用、控制采购成本、保证核算准确等。 第二，管理机构及职责。

该部分将控制活动涉及的组织及职责清晰界定，以确保后续流程运行的顺畅性。 第三，授权审批矩阵。

该部分应当明确控制活动涉及的所有权限在董事会、经理层与各职能部门间的划分，并且明确各级审批责任。 第四，控制活动要求。

该部分一般以制度文本的形式书写，明确控制活动各控制环节的内控要求，作为相。

2.完整的内部控制自我评价体糸包括哪些

内部控制评价流程

内部控制评价流程，就是内部控制评价工作从开始到结束的基本过程。国际上权威的观点认为评价一个内部控制体系本身就是一个过程，在这个过程中应有一套规程以及其一些内在的基本要素。内部控制评价流程到底包括哪些基本要素，在理论界和实务界认识是不同的，做法也是不一样的，也因评价主体和内容的不同而不同。管理层自我评估和审计机构评价流程会略有不同。基于财务报告内部控制评价和基于全面内部控制评价的流程也不可能完全一样。我国《企业内部控制评价指引》要求企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价。内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。这是我国企业内部控制评价工作的法定程序，是必须要执行的最基本的程序。中天恒3C框架把内部控制评价流程分为评价准备、评价实施、评价报告三个阶段，每个阶段又可细分若干内容。

企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告至少应当包括下列内容：

(1)组织实施内部控制评价的总体情况；

(2)内部控制责任主体的声明；

(3)内部控制评价的范围和内容；

(4)内部控制评价的标准和依据；

(5)内部控制评价的程序和方法；

(6)内部控制重大缺陷及其认定情况；

(7)内部控制重大缺陷的整改措施及责任追究情况；

(8)内部控制有效性的结论；

存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

《深圳证券交易所上市公司内部控制指引》自我评价报告至少应包括以下内容：

(1)对照本指引及有关规定，说明公司内部控制制度是否建立健全和有效运行，是否存在缺陷；

(2)说明本指引重点关注的控制活动的自查和评估情况；

(3)说明内部控制缺陷和异常事项的改进措施（如适用）；

(4)说明上一年度的内部控制缺陷及异常事项的改善进展情况（如适用）

《上海证券交易所上市公司内部控制指引》公司内部控制自我评估报告至少应包括如下内容：

(1)内控制度是否建立健全；

(2)内控制度是否有效实施；

(3)内部控制检查监督工作的情况；

(4)内控制度及其实施过程中出现的重大风险及其处理情况；

(5)对本年度内部控制检查监督工作计划完成情况的评价；

(6)完善内控制度的有关措施；

(7)下一年度内部控制有关工作计划

3.内部控制评价的报告

内部控制评价报告可分为对内报告和对外报告，对外报告是为了满足外部信息使用者的需求，需要对外披露，在时间上具有强制性，披露内容和格式强调符合披露要求；对内报告主要是为了满足管理层或治理层改善管控水平的需要，不具有强制性，内容、格式和披露时间由企业自行决定。

企业因其外部环境和内部条件的变化，其内部控制系统不可能是固定的、一成不变的，而是一个不断更新和自我完善的动态体系，因此对内部控制需要经常展开评价，在实际工作可以采用定期与不定期相结合的方式。对外报告一般采用定期的方式，即企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制报告。

年度内部控制评价报告应当以12月31日为基准日。值得说明的是，如果企业在内部控制评价报告年度内发生了特殊的事项且具有重要性，或因为具有了某种特殊原因（如企业因目标变化或提升），企业需要针对这种特殊事项或原因及时编制内部控制评价报告并对外发布。

这种类型的内部控制评价报告属于非定期的内部控制报告。内部报告一般采用不定期的方式，即企业可以持续地开展内部控制的监督与评价，并根据结果的重要性随时向董事会（审计委员会）或经理层报送评价报告。

从广义上讲，企业针对发现的重大缺陷等向董事会（审计委员会）或经理层报送的内部报告（内部控制缺陷报告）也属于非定期的报告。企业应尽量按照统一的格式编制内部控制评价报告，以满足外部信息使用者对内控信息可比的要求。

根据《评价指引》第二十一条和二十二条规定，内部控制评价对外报告一般包括以下内容。1.董事会声明。

声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。2.内部控制评价工作的总体情况。

明确企业内部控制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计。3.内部控制评价的依据。

说明企业开展内部控制评价工作所依据的法律法规和规章制度。4.内部控制评价的范围。

描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等。

5.内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。

6.内部控制缺陷及其认定。描述适用本企业的内部控制缺陷具体认定标准，并声明与以前年度保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。

7.内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。

针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果。8.内部控制有效性的结论。

对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

4.内部控制评价报告的内容有哪些

四、内部控制评价报告

企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告至少应当包括下列内容：

(1)组织实施内部控制评价的总体情况；

(2)内部控制责任主体的声明；

(3)内部控制评价的范围和内容；

(4)内部控制评价的标准和依据；

(5)内部控制评价的程序和方法；

(6)内部控制重大缺陷及其认定情况；

(7)内部控制重大缺陷的整改措施及责任追究情况；

(8)内部控制有效性的结论；

存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

《深圳证券交易所上市公司内部控制指引》自我评价报告至少应包括以下内容：

(1)对照本指引及有关规定，说明公司内部控制制度是否建立健全和有效运行，是否存在缺陷；

(2)说明本指引重点关注的控制活动的自查和评估情况；

(3)说明内部控制缺陷和异常事项的改进措施（如适用）；

(4)说明上一年度的内部控制缺陷及异常事项的改善进展情况（如适用）

《上海证券交易所上市公司内部控制指引》公司内部控制自我评估报告至少应包括如下内容：

(1)内控制度是否建立健全；

(2)内控制度是否有效实施；

(3)内部控制检查监督工作的情况；

(4)内控制度及其实施过程中出现的重大风险及其处理情况；

(5)对本年度内部控制检查监督工作计划完成情况的评价；

(6)完善内控制度的有关措施；

(7)下一年度内部控制有关工作计划

5.内部控制自我评价顺序正确的是什么

一、评估准备。

1、组建评估组。

2、制定评估方案。

3、评估资料准备。

二、评估实施。

分公司层面内部控制和业务层面内部控制分别进行。

三、评估与反馈。

四、缺陷报告与整改计划。

1、汇总评估和反馈结果，编制缺陷报告。

2、根据缺陷报告编制相应整改计划。

3、将缺陷报告和整改计划提交公司经理层批阅。

4、落实经理层批阅的整改计划。

5、进行整改的再测试和补充测试。