《企业内部控制评价指引》第十二条规定：“企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。内部控制评价程序一般包括：制订评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。”简言之，在企业内控自我评价过程中，需要回答下列具体问题：

●谁来进行整体组织？

●谁来实施具体评价？

●谁来编制报告？

●谁来审批报告？

针对上述问题，结合内控自我评价工作的特点，至少需要考虑以下几个关键因素。

（1）内控运行情况掌握程度。

内控评价是对企业内控设计与运行的实际情况进行评价，因此实施内控评价工作的人员必须充分掌握企业经营、管理等情况，否则将《企业内部控制评价指引》第十二条规定：“企业应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。内部控制评价程序一般包括：制订评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。”简言之，在企业内控自我评价过程中，需要回答下列具体问题：

●谁来进行整体组织？

●谁来实施具体评价？

●谁来编制报告？

●谁来审批报告？

针对上述问题，结合内控自我评价工作的特点，至少需要考虑以下几个关键因素。

（1）内控运行情况掌握程度。

内控评价是对企业内控设计与运行的实际情况进行评价，因此实施内控评价工作的人员必须充分掌握企业经营、管理等情况，否则将无法保证内控评价工作的质量。

（2）日常工作相关性。

在安排内控自我评价相关工作时，还需要考虑所评价的内控要素（如制度、流程）为谁所用。理由是内控评价工作并不止于内控评价报告，内控评价工作的成果需体现为未来内控体系的优化才有意义，因此必须考虑优化后的内控体系的具体应用主体，即未来由哪些部门或岗位来执行这些改进后的制度、流程。

（3）内控评价技能。

内控评价工作开展需要一定的专业技能，理解内控标准、识别缺陷、执行测试方法等。一般而言，对于此类技能，业务部门或业务支持部门相对较弱，内控归口管理部门和独立监督部门相对较强。

（4）评价独立性。

《企业内部控制评价指引》第三条规定，企业实施内部控制评价至少应当遵循客观性原则，即评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。此外，《企业内部控制评价指引》第十九条规定，企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

基于上述指引要求，在实施内控评价过程中，还应考虑实施主体是否存在独立性冲突。独立性冲突可以从“内控设计有效性”和“内控执行有效性”两个方面加以考虑。无法保证内控评价工作的质量。

（2）日常工作相关性。

在安排内控自我评价相关工作时，还需要考虑所评价的内控要素（如制度、流程）为谁所用。理由是内控评价工作并不止于内控评价报告，内控评价工作的成果需体现为未来内控体系的优化才有意义，因此必须考虑优化后的内控体系的具体应用主体，即未来由哪些部门或岗位来执行这些改进后的制度、流程。

（3）内控评价技能。

内控评价工作开展需要一定的专业技能，理解内控标准、识别缺陷、执行测试方法等。一般而言，对于此类技能，业务部门或业务支持部门相对较弱，内控归口管理部门和独立监督部门相对较强。

（4）评价独立性。

《企业内部控制评价指引》第三条规定，企业实施内部控制评价至少应当遵循客观性原则，即评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。此外，《企业内部控制评价指引》第十九条规定，企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。

基于上述指引要求，在实施内控评价过程中，还应考虑实施主体是否存在独立性冲突。独立性冲突可以从“内控设计有效性”和“内控执行有效性”两个方面加以考虑。●设计有效性评价方面的独立性冲突：对企业内控设计有效性的评价主要体现为对企业各类管理制度、流程及其他内控文件的评价，这时如果评价人曾参与对应管理制度、流程的编制、审核、审批，则可能存在独立性冲突。

●执行有效性评价方面的独立性冲突：对企业内控执行有效性的评价主要体现为相关部门或岗位对适用制度、流程的遵循情况，这时如果评价人就是对应制度、流程的执行主体，则可能存在独立性冲突。

从上面这些要素可以看出，企业在开展自我评价工作过程中，“由谁来评”存在一定的复杂性。前文中所述的各类主体（不考虑治理层、总经理和分管领导），在上述因素方面存在显著差异（见表6-15）。

表6-15　内控自评主体特征差异比较

从表6-15可以看出，业务执行与支持部门具有更高的“内控运行情况掌握程度”和“日常工作相关性”，但在“内控评价技能”和●设计有效性评价方面的独立性冲突：对企业内控设计有效性的评价主要体现为对企业各类管理制度、流程及其他内控文件的评价，这时如果评价人曾参与对应管理制度、流程的编制、审核、审批，则可能存在独立性冲突。

●执行有效性评价方面的独立性冲突：对企业内控执行有效性的评价主要体现为相关部门或岗位对适用制度、流程的遵循情况，这时如果评价人就是对应制度、流程的执行主体，则可能存在独立性冲突。

从上面这些要素可以看出，企业在开展自我评价工作过程中，“由谁来评”存在一定的复杂性。前文中所述的各类主体（不考虑治理层、总经理和分管领导），在上述因素方面存在显著差异（见表6-15）。

表6-15　内控自评主体特征差异比较

从表6-15可以看出，业务执行与支持部门具有更高的“内控运行情况掌握程度”和“日常工作相关性”，但在“内控评价技能”和“评价独立性”方面则存在显著不足。例如，销售部门对销售相关管理制度有效性及执行情况最为了解，如果销售管理制度得到优化，其自身也会直接受益。然而，如果经过评价，销售管理制度方面被认定存在重大缺陷（特别是执行缺陷），销售部门人员的绩效极可能受到负面影响，因此销售部门即使意识到问题，也缺乏动机将问题主动暴露出来。

正是由于上述因素的影响，《企业内部控制评价指引》中建议企业在明确牵头组织机构的基础上，兼顾专业性、独立性等因素，组建“评价工作小组”或者聘请外部机构实施评价，并且提出了“回避”要求。《企业内部控制评价指引》第十二条规定：“企业可以授权内部审计部门或专门机构负责内部控制评价的具体组织实施工作。”第十四条规定：“企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。企业可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。”

综上，这里的“自我评价”应该是宏观层面的，即相对于企业外审及其他外部监管而言，在企业内部应该体现为“部门与岗位自评”、部门间“互评”、独立部门“他评”以及公司治理层与管理层“自上而下评”的综合。“评价独立性”方面则存在显著不足。例如，销售部门对销售相关管理制度有效性及执行情况最为了解，如果销售管理制度得到优化，其自身也会直接受益。然而，如果经过评价，销售管理制度方面被认定存在重大缺陷（特别是执行缺陷），销售部门人员的绩效极可能受到负面影响，因此销售部门即使意识到问题，也缺乏动机将问题主动暴露出来。

正是由于上述因素的影响，《企业内部控制评价指引》中建议企业在明确牵头组织机构的基础上，兼顾专业性、独立性等因素，组建“评价工作小组”或者聘请外部机构实施评价，并且提出了“回避”要求。《企业内部控制评价指引》第十二条规定：“企业可以授权内部审计部门或专门机构负责内部控制评价的具体组织实施工作。”第十四条规定：“企业内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。企业可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。”

综上，这里的“自我评价”应该是宏观层面的，即相对于企业外审及其他外部监管而言，在企业内部应该体现为“部门与岗位自评”、部门间“互评”、独立部门“他评”以及公司治理层与管理层“自上而下评”的综合。6.9.4　内控自我评价的实施要点企业在开展内控评价的过程中，应关注如下内容。

1.自我评价制度及评价主体

企业应通过建立内控自我评价制度对内控自我评价的实施目标、流程、内容、要求、缺陷认定等进行详细规范的说明，将其作为评价活动各项工作开展的指导性文件，支持自评工作的有序开展。

开展内控自我评价，需要明确自评组织部门和自评参与部门。其中，自评组织部门一般为独立监督部门，负责牵头组织开展具体评价工作，对自评工作的执行效果和工作质量整体负责。自评参与部门通常为具体业务执行及支持部门，主要负责依据自评标准，结合业务实际实施情况，填写完成自评底稿。企业治理层与管理层主要负责监督内控自评过程，审批自评报告。

2.评价方案及程序

（1）制订评价方案。

企业应结合年度目标制订评价方案，评价方案一般包括确定评价范围、评价标准、评价参与主体、评价方法、缺陷认定及整体工作安排。企业应在风险评估的基础上，依据日常内控监督结果，结合管理层需求及期望，识别企业重点业务活动领域，明确评价范围；以《企业内部控制基本规范》《企业内部控制评价指引》及其他适用合规要求为基准，参考企业管理制度、内控手册、风险清单等文件制定评价6.9.4　内控自我评价的实施要点企业在开展内控评价的过程中，应关注如下内容。

1.自我评价制度及评价主体

企业应通过建立内控自我评价制度对内控自我评价的实施目标、流程、内容、要求、缺陷认定等进行详细规范的说明，将其作为评价活动各项工作开展的指导性文件，支持自评工作的有序开展。

开展内控自我评价，需要明确自评组织部门和自评参与部门。其中，自评组织部门一般为独立监督部门，负责牵头组织开展具体评价工作，对自评工作的执行效果和工作质量整体负责。自评参与部门通常为具体业务执行及支持部门，主要负责依据自评标准，结合业务实际实施情况，填写完成自评底稿。企业治理层与管理层主要负责监督内控自评过程，审批自评报告。

2.评价方案及程序

（1）制订评价方案。

企业应结合年度目标制订评价方案，评价方案一般包括确定评价范围、评价标准、评价参与主体、评价方法、缺陷认定及整体工作安排。企业应在风险评估的基础上，依据日常内控监督结果，结合管理层需求及期望，识别企业重点业务活动领域，明确评价范围；以《企业内部控制基本规范》《企业内部控制评价指引》及其他适用合规要求为基准，参考企业管理制度、内控手册、风险清单等文件制定评价