国有企业内部控制评价体系构建探析
2010年4月财政部颁布《企业内部控制评价指引》（以下简称“《评价指引》”），要求企业结合内部控制设计与运行的实际情况，制定具体的内部控制评价方法，有序看展内部控制评价工作。随着我国企业内部控制规范体系的逐步建立和规范，除上市公司之外的其他大型国有企业也在制度层面和实践中不断探索和完善内部控制评价。
一、国有企业内部控制评价现状分析
首先，企业领导层对内部控制评价的重要性认识不足。内部控制是一个设计、执行、评价和整改的循环过程，很多企业重“设计”、重“执行”，却忽略了至关重要的“评价”和“整改”环节。其次，科学规范的内部控制评价体系尚未建立。财政部2010年正式颁布的《评价指引》主要侧重原则性指导意见；各学者对内部控制评价的主体、范围、内容以及方法等基本问题的研究只是散见于各种文献中。再次，现有内部控制评价缺乏统一性和综合性。目前多数文献的研究集中注意个案或某一切入点；企业在内部控制评价实务中多以某个业务事项或环节为例，没有从整体和系统的角度建立内部控制评价体系。
二、国有企业内部控制评价体系构建
目前，大部分国有企业都已经设立内部审计机构，董事会或总经理办公会等决策机构可授权内部审计机构负责内部控制评价的具体组织实施工作。
1.内部控制评价准备过程
（1）明确内部控制评价目标。根据《评价指引》，内部控制评价目的是“对企业内部控制有效性进行评价”，而内部控制有效性是指“企业建立与实施内部控制能够为控制目标实现提供合理的保证”。应该注意的是，内部控制提供的是“合理保证”而非“100%保证”，而至于偏离多少则取决于企业的风险容量，即风险可容忍的程度。因此，内部控制评价的目标应该是发现内部控制缺陷和管理薄弱环节，并采取措施进行纠正和改进，从而不断调整和完善内部控制。
（2）制定内部控制评价方案。由内部控制评价部门拟定评价工作方案，明确评价范围、人员组织、进度安排等。报董事会或类似机构审批后实施。
2.内部控制评价实施过程
针对每一个业务事项，内部控制评价具体包括六个步骤：
（1）流程分析和作业步骤分解。业务事项的流程应该涵盖内部控制的五个要素，即内部环境、风险评估、控制活动、信息与沟通、内部监督，根据级次可以分为一级流程、二级子流程和具体作业步骤。
（2）业务控制目标设定。确定该类业务控制总目标，在第一步流程分析基础上，将总目标进行分解至各子流程，得到可直接操作的子目标。
（3）关键控制点识别及其风险分析。在流程分析和目标设定的基础上，识别出关键控制点，并对每个关键控制点可能存在的现实和潜在风险进行分析，即达不到子目标的风险。
（4）评价指标及标准设计。评价指标包括内控设计有效性和内控执行有效性。内控设计有效性可以分为信息处理依据和信息载体两个维度，其中信息处理依据包括了“有制度规定的”、“无制度规定但约定俗称”、“无制度规定亦无明确授权”三种情形，内控可依赖性依次递减；信息载体包括“信息系统”、“书面”、“非书面”三种情形，内控可依赖性依次递减。
（5）分数权重设定。包括了两个层次：第一层次是单项业务评价得分，即设定各关键控制点和各指标的权重，从而得出该项业务得分。第二层次是整体评价得分，即设定各类业务权重，再有单项业务得分计算出企业整体内部控制综合量化得分。
（6）风险评估和缺陷认定。编制风险评估和缺陷认定表，针对该业务每个得分偏离点进行分析，一是分析其缺陷成因和表现形式；二是分析风险重要度（严重、中等、不严重）和发生频次（高、中、低），以此对缺陷等级进行认定（重大缺陷、重要缺陷和一般缺陷）；三是确定风险应对形式，即控制、容忍或转移；四是提出有针对性的改进建议。
3.内部控制评价报告过程
（1）整理和报告。根据各项业务内部控制有效性评价结果，运用综合评分法、综合指数法等形成企业整体的内部控制有效性评价结果，提出内部控制评价报告提交董事会或类似机构。
（2）整改和跟踪。对于经董事会或类似机构认定的缺陷，相关单位或部门应及时采取内部控制改进措施，切实将风险控制在可以承受的范围内，并追究相关部门或人员的责任。同时举一反三，确保整改到位。
三、国有企业内部控制评价应关注的问题
根据《评价指引》，内部控制评价是指企业董事会或类似权利机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。
第一，必须有管理层的重视和支持。这是内部控制评价得以顺利开展、评价结果能够推广运用、整改落实到位的前提保证。
第二，内部控制评价应注意全面性、重要性和成本效益原则。一是做到涵盖企业及下属单位的各业务、全流程；二是以风险为导向，关注重要业务单位、重大业务事项和高风险领域；三是注意内部控制“合理保证”的概念，以成本效益原则衡量内部控制评价的内容、范围和标准。
第三，跟踪评价结果运用即整改情况，提升内部控制评价效果。由内部审计机构在日常审计、专项审计、年度综合评价工作中，对之前内部控制评价发现的缺陷整改情况进行跟踪，从整改措施是否到位、整改证据是否可靠充分、风险是否控制在承受度之内三个方面进行判断，确保评价工作取得实效。
