【文章內容簡介】 的成因、表現(xiàn)形式及風險程度進行定量或定性的綜合分析，按照對控制目標的影響程度判定缺陷等級。內部控制評價機構以匯總的評價結果和認定的內部控制缺陷為基礎，綜合內部控制工作整體情況，客觀、公正、完整地編制內部控制評價報告，并報送企業(yè)經理層、董事會和監(jiān)事會，由董事會最終審定后對外披露。4．報告反饋和跟蹤階段對于認定的內部控制缺陷，內部控制評價機構應當結合董事會和審計委員會要求，提出整改建議，要求責任單位及時整改，并跟蹤其整改落實情況；已經造成損失或負面影響的，企業(yè)應當追究相關人員的責任。（二）內部控制評價的頻率企業(yè)每年應對內部控制進行評價并予以披露。但是內部控制自我評價的方式、范圍、程序和頻率，由企業(yè)根據經營業(yè)務調整、經營環(huán)境變化、業(yè)務發(fā)展狀況、實際風險水平等自行確定。國家有關法律法規(guī)另有規(guī)定的，從其規(guī)定。另外，如果內部監(jiān)督程序無效，或所提供信息不足以說明內部控制有效，應增加評價的頻率。（三）內部控制評價的方法《評價指引》第十五條規(guī)定，內部控制評價工作組應當對被評價單位進行現(xiàn)場測試，綜合運用個別訪談、調查問卷、專題討論、穿行測試、實地查驗、抽樣和比較分析等方法，充分收集被評價單位內部控制設計和運行是否有效的證據，按照評價的具體內容，如實填寫評價工作底稿，研究分析內部控制缺陷。1．個別訪談法個別訪談法主要用于了解公司內部控制的現(xiàn)狀，在企業(yè)層面評價及業(yè)務層面評價的了解階段經常使用。訪談前應根據內部控制評價需求形成訪談提綱，撰寫訪談紀要，記錄訪談的內容。2．調查問卷法調查問卷法主要用于企業(yè)層面評價。調查問卷應盡量擴大對象范圍，包括企業(yè)各個層級員工，應注意事先保密性，題目盡量簡單易答（如答案只需為“是”、“否”、“有”、“沒有”等等）。3．穿行測試法穿行測試法是指在內部控制流程中任意選取一筆交易作為樣本，追蹤該交易從最初起源直到最終在財務報表或其他經營管理報告中反映出來的過程，即該流程從起點到終點的全過程（例如，在保險公司的內部控制評價中，選取一筆保險新單，追蹤其從投保申請到財務入賬的全過程），以此了解控制措施設計的有效性，并識別出關鍵控制點。4．抽樣法抽樣法分為隨機抽樣和其他抽樣。隨機抽樣是指按隨機原則從樣本庫中抽取一定數(shù)量的樣本；其他抽樣是指人工任意選取或按某一特定標準從樣本庫中抽取一定數(shù)量的樣本。5．實地查驗法實地查驗法主要針對業(yè)務層面控制，它通過使用統(tǒng)一的測試工作表，與實際的業(yè)務、財務單證進行核對的方法進行控制測試。如實地盤點某種存貨。6．比較分析法比較分析法是指通過數(shù)據分析，識別評價關注點的方法。數(shù)據分析可以是與歷史數(shù)據、行業(yè)（公司）標準數(shù)據或行業(yè)最優(yōu)數(shù)據等進行比較。7．專題討論法專題討論法主要是集合有關專業(yè)人員就內部控制執(zhí)行情況或控制問題進行分析，既可以是控制評價的手段，也是形成缺陷整改方案的途徑。此外，還可以使用觀察、重新執(zhí)行等方法，也可以利用信息系統(tǒng)開發(fā)檢查方法，或利用實際工作和檢查測試經驗。對于企業(yè)通過系統(tǒng)采用自動控制、預防控制的，應在方法上注意與人工控制、發(fā)現(xiàn)性控制的區(qū)別。四、內部控制缺陷的認定內部控制缺陷是描述內部控制有效性的一個負向的維度。企業(yè)開展內部控制評價，主要工作內容之一就是要找出內部控制缺陷并有針對性地進行整改。內部控制缺陷認定在一定程度上決定內部控制評價的成效，且具有一定難度，還需要運用職業(yè)判斷。為了指導企業(yè)科學、合理地認定內部控制缺陷，切實幫助企業(yè)有效開展內部控制評價，《評價指引》第十六條至第十九條對內部控制缺陷的分類、認定作出專門的解釋。（一）內部控制缺陷的分類1．按照內部控制缺陷成因或來源，內部控制缺陷包括設計缺陷和運行缺陷。設計缺陷是指企業(yè)缺少為實現(xiàn)控制目標所必需的控制，或現(xiàn)存控制設計不適當，即使正常運行也難以實現(xiàn)控制目標。運行缺陷是指設計有效（合理且適當）的內部控制由于運行不當（包括由不恰當?shù)娜藞?zhí)行、未按設計的方式運行、運行的時間或頻率不當、沒有得到一貫有效運行等）而形成的內部控制缺陷。內部控制存在設計缺陷和運行缺陷，會影響內部控制的設計有效性和運行有效性。2．按照影響企業(yè)內部控制目標實現(xiàn)的嚴重程度，內部控制缺陷分為重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一個或多個控制缺陷的組合，可能導致企業(yè)嚴重偏離控制目標。當存在任何一個或多個內部控制重大缺陷時，應當在內部控制評價報告中作出內部控制無效的結論。重要缺陷，是指一個或多個控制缺陷的組合，其嚴重程度低于重大缺陷，但仍有可能導致企業(yè)偏離控制目標。重要缺陷的嚴重程度低于重大缺陷，不會嚴重危及內部控制的整體有效性，但也應當引起董事會、經理層的充分關注。一般缺陷，是指除重大缺陷、重要缺陷以外的其他控制缺陷。將內部控制評價中發(fā)現(xiàn)的內部控制缺陷劃分為重大缺陷、重要缺陷和一般缺陷，需要借助一套可系統(tǒng)遵循的認定標準，認定過程中還需要內部控制評價人員充分運用職業(yè)判斷。一般而言，如果一個企業(yè)存在的內部控制缺陷達到了重大缺陷的程度，我們就不能說該企業(yè)的內部控制是整體有效的。3．按照具體影響內部控制目標的具體表現(xiàn)形式，還可以將內部控制缺陷分為財務報告缺陷和非財務報告缺陷。（二）內部控制缺陷的認定標準1．內部控制缺陷的重要性和影響程度《評價指引》第十六條規(guī)定，企業(yè)對內部控制缺陷的認定，應當以構成內部控制的內部監(jiān)督要素中的日常監(jiān)督和專項監(jiān)督為基礎，結合年度內部控制評價，由內部控制評價機構進行綜合分析后提出認定意見，按照規(guī)定的權限和程序進行審核，由董事會予以最終確定。首先，內部控制評價從屬于內部監(jiān)督，是監(jiān)督結果的總體體現(xiàn)。在企業(yè)正常的生產經營中，內部控制評價倚重內部監(jiān)督；其次，充分利用日常監(jiān)督與專項監(jiān)督結果的基礎上，至少每年由內部控制評價機構對內部控制的五要素相對獨立地進行評價，全面地、綜合地分析，提出認定意見，報董事會審定；第三，企業(yè)應當根據評價指引，結合自身情況和關注的重點，自行確定內部控制重大缺陷、重要缺陷和一般缺陷的具體認定標準。第四，根據具體認定標準認定企業(yè)存在的內部控制缺陷，由董事會最終審定。企業(yè)在確定內部控制缺陷的認定標準時，應當充分考慮內部控制缺陷的重要性及其影響程度。內部控制缺陷的重要性和影響程度是相對于內部控制目標而言的。按照對財務報告目標和其他內部控制目標實現(xiàn)的影響的具體表現(xiàn)形式，下面區(qū)分財務報告內部控制缺陷和非財務報告內部控制缺陷分別闡述內部控制缺陷的認定標準。2．財務報告內部控制缺陷的認定標準財務報告內部控制是指針對財務報告目標而設計和實施的內部控制。由于財務報告內部控制的目標集中體現(xiàn)為財務報告的可靠性，因而財務報告內部控制的缺陷主要是指不能合理保證財務報告可靠性的內部控制設計和運行缺陷。換句話說，財務報告內部控制的缺陷，是指不能及時防止或發(fā)現(xiàn)并糾正財務報告錯報的內部控制缺陷。將財務報告內部控制的缺陷劃分為重大缺陷、重要缺陷和一般缺陷，所采用的認定標準直接取決于由于該內部控制缺陷的存在可能導致的財務報告錯報的重要程度。這種重要程度主要取決于兩個方面的因素：（1）該缺陷是否具備合理可能性導致企業(yè)的內部控制不能及時防止或發(fā)現(xiàn)并糾正財務報告錯報。合理可能性是指大于微小可能性（幾乎不可能發(fā)生）的可能性，確定是否具備合理可能性涉及評價人員的職業(yè)判斷。（2）該缺陷單獨或連同其他缺陷可能導致的潛在錯報金額的大小。另外，一些跡象通常表明財務報告內部控制可能存在重大缺陷：（1）董事、監(jiān)事和高級管理人員舞弊；（2）企業(yè)更正已公布的財務報告；（3）注冊會計師發(fā)現(xiàn)當期財務報告存在重大錯報，而內部控制在運行過程中未能發(fā)現(xiàn)該錯報；（4）企業(yè)審計委員會和內部審計機構對內部控制的監(jiān)督無效。一般而言，如果一項內部控制缺陷單獨或連同其他缺陷具備合理可能性導致不能及時防止或發(fā)現(xiàn)并糾正財務報告中的重大錯報，就應將該缺陷認定為重大缺陷。重大錯報中的“重大”，涉及企業(yè)管理層確定的財務報告的重要性水平。一般企業(yè)可以采用絕對金額法（例如，規(guī)定金額超過10000元的錯報應當認定為重大錯報）或相對比例法（例如，規(guī)定超過資產總額1％的錯報應當認定為重大錯報）來確定重要性水平。如果企業(yè)的財務報告內部控制存在一項或多項重大缺陷，就不能得出該企業(yè)的財務報告內部控制有效的結論。一項內部控制缺陷單獨或連同其他缺陷具備合理可能性導致不能及時防止或發(fā)現(xiàn)并糾正財務報告中雖然未達到和超過重要性水平、但仍應引起董事會和管理層重視的錯報，就應將該缺陷認定為重要缺陷。不構成重大缺陷和重要缺陷的內部控制缺陷，應認定為一般缺陷。3．非財務報告內部控制缺陷的認定標準非財務報告內部控制是指針對除財務報告目標之外的其他目標的內部控制。這些目標一般包括戰(zhàn)略目標、資產安全、經營目標、合規(guī)目標等。非財務報告評價應當作為企業(yè)內部控制評價的重點。非財務報告內部控制缺陷認定具有涉及面廣、認定難度大的特點。企業(yè)可以根據風險評估的各項工作，對《企業(yè)內部控制應用指引》中每一篇應用指引所闡述的風險，根據自身的實際情況、管理現(xiàn)狀和發(fā)展要求，加以細化或按內部控制原理補充，參照財務報告內部控制缺陷的認定標準，合理確定定性和定量的認定標準，根據其對內部控制目標實現(xiàn)的影響程度認定為一般缺陷、重要缺陷和重大缺陷。其中：定量標準，即涉及金額大小，既可以根據造成直接財產損失絕對金額制定，也可以根據其直接損失占本企業(yè)資產、銷售收入及利潤等的比率確定；定性標準，即涉及業(yè)務性質的嚴重程度，可根據其直接或潛在負面影響的性質、影響的范圍等因素確定。以下跡象通常表明非財務報告內部控制可能存在重大缺陷：（1）國有企業(yè)缺乏民主決策程序，如缺乏“三重一大”決策程序；（2）企業(yè)決策程序不科學，如決策失誤，導致并購不成功；（3）違犯國家法律、法規(guī)，如環(huán)境污染；（4）管理人員或技術人員紛紛流失；（5）媒體負面新聞頻現(xiàn)；（6）內部控制評價的結果特別是重大或重要缺陷未得到整改。（7）重要業(yè)務缺乏制度控制或制度系統(tǒng)性失效。為避免企業(yè)操縱內部控制評價報告，非財務報告內部控制缺陷認定標準一經確定，必須在不同評價期間保持一致，不得隨意變更。需要強調的是，在內部控制的非財務報告目標中，戰(zhàn)略和經營目標的實現(xiàn)往往受到企業(yè)不可控的諸多外部因素的影響，企業(yè)的內部控制只能合理保證董事會和管理層了解這些目標的實現(xiàn)程度。因而，在認定針對這些控制目標的內部控制缺陷時，我們不能只考慮最終的結果，而主要應該考慮企業(yè)制定戰(zhàn)略、開展經營活動的機制和程序是否符合內部控制要求，以及不適當?shù)臋C制和程序對企業(yè)戰(zhàn)略及經營目標實現(xiàn)可能造成的影響。（三）內部控制缺陷的報告與整改1．內部控制缺陷報告的格式和途徑《評價指引》第十九條規(guī)定，企業(yè)內部控制評價機構應當編制內部控制缺陷認定匯總表，結合日常監(jiān)督和專項監(jiān)督發(fā)現(xiàn)的內部控制缺陷及其持續(xù)改進情況，對內部控制缺陷及其成因、表現(xiàn)形式和影響程度進行綜合分析和全面復核，提出認定意見（針對財務報告內部控制的缺陷，一般還應當反映缺陷對財務報告的具體影響），并以適當?shù)男问较蚨聲?、監(jiān)事會