附件2：企业内部控制评价指引

（征求意见稿）第一章 总 则第一条 为了规范企业内部控制评价，全面评估内部控制设计与运行情况，编制内部控制评价报告，根据有关法律法规和《企业内部控制基本规范》，制定本指引。第二条 本指引所称内部控制评

（征求意见稿）

第一章 总 则

第一条 为了规范企业内部控制评价，全面评估内部控制设计与运行情况，编制内部控制评价报告，根据有关法律法规和《企业内部控制基本规范》，制定本指引。

第二条 本指引所称内部控制评价，是指企业董事会（或类似决策机构）或其授权机构，对内部控制设计与运行的有效性进行综合评估的过程。

第三条 企业应当根据《企业内部控制基本规范》和本评价指引，结合本企业的实际情况，制定内部控制评价办法，明确内部控制评价的原则和内容、程序和方法、以及报告形式等相关内容，确保内部控制评价工作落到实处。企业主要负责人应当对内部控制评价结论的真实性负责。

第四条 企业应当建立内部控制评价结果分析利用和考核制度，将内部控制评价结果和整改情况作为内部绩效考评的重要依据。

第二章 评价的原则和内容

第五条 企业实施内部控制评价，至少应当遵循全面性、重要性和独立性原则，确保评价工作标准统一、客观公正。全面性，是指评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。重要性，是指在全面评价的基础上关注重要高风险领域。独立性，是指评价工作应当于内部控制的设计与运行相互分离。

第六条 企业内部控制评价应当以内部环境为基础，重点关注：治理结构是否形同虚设；发展战略是否可行；机构设置是否重叠；权责分配是否明晰；不相容岗位是否分离；人力资源政策和激励约束机制是否科学合理；企业文化是否促进员工勤勉尽责；社会责任是否有效履行等。

第七条 企业内部控制评价应当以生产经营活动为重点，至少关注：资金的筹集、投放和营运过程是否存在资金链断裂；资产运行中是否存在效能低下或资产流失；采购与销售环节是否存在舞弊行为；研发项目是否经过科学论证；工程项目是否存在商业贿赂等。

第八条 企业内部控制评价应当兼顾控制手段，至少关注：全面预算是否具有约束力；合同履行是否存在纠纷；信息系统是否与内部控制有机结合；内部报告是否及时传递和有效沟通等。

第三章 评价的程序和方法

第九条 企业应当指定内部审计机构或其他机构具体组织实施内部控制评价工作，根据内部控制评价办法制定评价方案，组成评价小组，明确分工和进度安排，采取现场检查等方式开展内部控制评价。企业可以借助中介机构或外部专家实施内部控制评价，参与企业内部控制评价的中介机构不得同时为同一企业提供内部控制审计服务。

第十条 企业开展内部控制评价，应当编制工作底稿。工作底稿应当由评价小组直接填写，指定专人严格复核。

第十一条 评价小组可以综合运用个别访谈、调查问卷、专题讨论、穿行测试、统计抽样、比较分析等多种方法，广泛收集被评价单位内部控制设计和有效运行的证据，研究认定内部控制设计缺陷和运行缺陷。评价小组研究认定的内部控制缺陷，应当按照规定的权限和程序报经审批后确定。

第十二条 企业应当对内部控制缺陷进行综合判断，按其严重程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形。一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。

第十三条 重大缺陷应当根据本指引第五条、第六条、第七条规定和重大缺陷的定义，结合企业实际情况，具体加以认定。重要缺陷和一般缺陷由企业自行确定。

第十四条 企业应当建立内部控制缺陷整改机制，明确内部各管理层级和单位整改的职责分工，确保内部控制设计与运行中的主要问题和重大风险得到及时解决和有效控制。董事会负责重大缺陷的整改，接受监事会的监督。经理层负责重要缺陷的整改，接受董事会的监督。内部有关单位负责一般缺陷的整改，接受经理层的监督。

第四章 内部控制评价报告

第十五条 企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告至少应当包括下列内容：（一）组织实施内部控制评价的总体情况。（二）内部控制责任主体的声明。（三）内部控制评价的范围和内容。（四）内部控制评价的标准和依据。（五）内部控制评价的程序和方法。（六）内部控制重大缺陷及其认定情况。（七）内部控制重大缺陷的整改措施及责任追究情况。（八）内部控制有效性的结论。存在一个或多个内部控制重大缺陷的，应当作出内部控制无效的结论。

第十六条 企业内部控制评价报告应当报企业经理层审核、董事会审定后公布。

第十七条 企业应当以12月31日作为年度内部控制评价报告的基准日，也可选择6月30日为基准日。内部控制评价报告应于基准日后4个月内报出。