目前已出臺的上市公司內部控制監(jiān)管要求中，最有影響力的兩項規(guī)定分別為：中國證券監(jiān)督管理委員會從2006年開始要求申請Ａ股上市的公司在上市申請中必須提交一份內部控制有效性審計的無保留意見的審計報告；包括財政部、審計署、證監(jiān)會、銀監(jiān)會、保監(jiān)會在內的五部委聯(lián)合頒布了《企業(yè)內部控制基本規(guī)范》（以下簡稱“《基本規(guī)范》”）以及3個配套指引的征求意見稿，計劃從2011年1月1日開始，要求上市公司分批次，對本公司內部控制的有效性進行自我評價，披露年度自我評價報告。

　　這些規(guī)定的推出，意味著企業(yè)內部控制工作的規(guī)范化和持續(xù)化。

　　而對于待上市公司來說，其在內部控制方面所需完成的工作包括：盡快按照《基本規(guī)范》和配套指引的要求，建設和完善內部控制，這有利于短期內企業(yè)通過證監(jiān)會要求的上市前內部控制有效性審計，也便于企業(yè)長期的、持續(xù)的內控維護和完善工作；建立內控評估機制，包括負責部分、評估方法、程序、工具等等。這雖然不是企業(yè)在上市前必須完成的工作，但因為企業(yè)必須在上市當年就進行內控評估，因此應盡早開始這項工作。

　　企業(yè)如何按照《基本規(guī)范》的要求，建立、完善內部控制并進行定期自我評價呢？這主要有幾個要點。

　　內控建設需因企制宜

　　部分企業(yè)感覺目前《基本規(guī)范》的指引不夠具體，欠缺可操作性，因此期待著與《基本規(guī)范》配套的3個指引正式稿出臺，以便企業(yè)內控建設工作可以有一套客觀實用的依據(jù)和標準。這在客觀上導致這些企業(yè)的內控建設工作進展緩慢。

　　實際上，內部控制的許多相關規(guī)范都是原則性的框架，而不是一套剛性的要求或標準：即使兩家同為一個行業(yè)及規(guī)模相若的企業(yè)，他們的內部控制體系也必然會有所不同。這就需要每一家企業(yè)結合其實際的業(yè)務和管理需求進行豐富和“本地化”，以實現(xiàn)建立并維護完善內部控制體系的目的。我們認為企業(yè)可以考慮以下的內控建設基本路線圖：

　　1.公司領導和相關部門明確公司經營目標和管理重點、內部控制的基本要素和主要業(yè)務活動管控目標；從而確定相應的管理手段和控制方法，制定內控改進／實施方案；

　　2.充實、細化改進方案，形成具體的內部控制措施并予以落實；

　　3.選取試點單位進行測試／評估，并對所發(fā)現(xiàn)的缺陷進行整改；

　　4.定期測試和評估，及對所發(fā)現(xiàn)的問題作進一步整改。

　　有效性評價不一定是大規(guī)模測試工作

　　《基本規(guī)范》要求管理層對內部控制有效性進行年度評價。我們認為管理層在確定內部控制有效性自我評價工作的范圍和方法時，應該建立在管理層對內部控制日常執(zhí)行情況了解的基礎上，并根據(jù)企業(yè)面對的風險，選擇合適的、符合成本效益的評價方法（如企業(yè)日常的管理監(jiān)督、專項檢查、內部審計等），以獲取充分的依據(jù)來支持評價結果。

　　此外，自我評價的概念不應該只局限于由“獨立于控制執(zhí)行的人員”所進行的年度測試，而應在測試工作基礎上采用更廣泛方法去獲取能支持評價結論的依據(jù)。評價方法可以結合訪談、問卷、討論、穿行測試、統(tǒng)計抽樣、比較分析等，綜合使用。

　　更關鍵的是，內部控制的有效性評價不應該被理解為1年進行1次的大規(guī)?？刂茰y試工作，而是從多個渠道掌握企業(yè)有關內部控制執(zhí)行情況的信息，如：管理層和業(yè)務人員對日常控制監(jiān)督工作所發(fā)現(xiàn)的問題；分析和跟進內部審計在常規(guī)審計工作中所發(fā)現(xiàn)的問題；企業(yè)其他監(jiān)督職能（如紀檢監(jiān)察）的發(fā)現(xiàn)；掌握外部機構（如監(jiān)管機構）發(fā)現(xiàn)的與內部控制有關的問題；控制執(zhí)行人員的自我評估等。

　　這種多渠道、常態(tài)化的評價方法比較容易全面有效地發(fā)現(xiàn)企業(yè)中常見的內控問題，如：董事會／審計委員會對內部控制缺乏有效的監(jiān)管；缺乏舞弊報告、調查和糾正機制，不能及時發(fā)現(xiàn)和改正舞弊問題；員工對舞弊行為的監(jiān)督和報告意識薄弱；管理制度缺失或流于形式，對制度執(zhí)行缺乏有效的監(jiān)管；對復雜的或特殊的業(yè)務（如金融衍生工具）等缺乏有效的監(jiān)管；缺乏對信息技術／信息系統(tǒng)環(huán)境的有效控制；在內部控制問題上往往是“事后處理”，而后續(xù)的整改處理方法和程序也缺乏統(tǒng)一的標準。

　　當然，通過不同渠道所獲取的信息的可靠性可能會有所差別，但只要采取適當措施，并保證適當?shù)摹ⅹ毩⒌娜藛T充分參與，就可以保障內部控制自我評價工作的客觀性，支持其有效性的評價結論。

　　內控缺陷重要性評價需結合定量和定性因素

　　根據(jù)《基本規(guī)范》的要求，企業(yè)需要評價歸類測試過程中發(fā)現(xiàn)的內部控制問題和缺陷，因此，有必要明確評價方法和相關標準。

　　根據(jù)我們多年的經驗，對內部控制缺陷進行重要性評價需要考慮定量和定性的因素：如內控缺陷可能造成的業(yè)務損失金額，財務報表錯報漏報金額等這些定量因素，以及該缺陷所對應的業(yè)務的重要性、復雜程度、產生缺陷的原因（故意還是疏忽）等定性因素，因此，評價工作非常依賴熟悉企業(yè)業(yè)務的人員的參與，運用專業(yè)判斷，并對相關問題做出評價。

　　同時，為了保證評價工作的權威性和客觀性，建立公司內部一致的評價方法和標準也是非常必要的。

　　自《基本規(guī)范》出臺后，各監(jiān)管機構也開始把各自的工作要求和《基本規(guī)范》相結合，因此，《基本規(guī)范》實施日期的推遲并不代表企業(yè)可以暫緩相關的自我評價工作，而是有更多時間把目前的評價范圍、方法與《基本規(guī)范》的原則和要求進一步融合。

　　企業(yè)的《基本規(guī)范》合規(guī)工作可側重于：跟進監(jiān)管機構發(fā)布的最終指引；根據(jù)公司的上市時間表，制定內控建設的計劃和時間表，識別和改進控制問題；逐步完善企業(yè)內部控制體系；建立內部控價機制；對控制自我評價進行試點運行、完善；進一步整改所發(fā)現(xiàn)的內部控制問題；在上市當年，進行正式的管理層測試／評估以及披露自我評價報告。

　　如何提升內控體系效益

　　第一，企業(yè)的管理層和員工對內部控制的概念以及工作方法，如在明確控制目標、進行風險評估、執(zhí)行控制測試、評價所發(fā)現(xiàn)的問題等方面，每個人往往有不同的理解。為了進一步提升控制改善和評價工作的效率和效果，企業(yè)可以對管理層和員工進行更為系統(tǒng)化的、覆蓋全公司的培訓（如培訓內控基本要素的主要關注點、內控評價方法、缺陷評估方法等），提高參與內控工作人員的知識水平和能力。

　　第二，采用自上而下、基于風險的方法，確保企業(yè)更有效地工作并符合成本效益的原則。對已經開展內部控制準備工作的企業(yè)，管理層可以對前期工作成果的進度、效果、與《基本規(guī)范》的符合程度等進行審閱，使企業(yè)風險和內部控制得以更好地結合。

　　第三，進一步梳理業(yè)務部門和人員的責任、權限，明確企業(yè)的制度要求，并完善對業(yè)務的管理監(jiān)督體系（如管理層將對內部控制文檔的復核作為日常業(yè)務管理的一部分、業(yè)務管理部門的定期和不定期檢查等），提升內部控制整體有效性。在梳理責任體系時，關鍵是明確企業(yè)管理層和業(yè)務／財務部門是相關內控有效性的直接責任主體，對內部控制設計和執(zhí)行的有效性承擔責任。雖然在實際操作中，由于內控體系的建設涉及范圍廣，在企業(yè)內往往指定一個“牽頭”的部門（如內審部、內控部或合規(guī)部等）負責進度和質量控制，但內控的設計與落實最終是企業(yè)管理層和主導業(yè)務部門的責任。

　　有條件的企業(yè)亦可以同時通過使用自動控制（如ERP系統(tǒng)自動過賬、批處理總量控制等）來進一步規(guī)范控制的執(zhí)行。

　　第四，建立／強化內部審計職能。按照監(jiān)管要求，上市公司必須建立內審部門，并保證內部審計機構設置、人員配備和工作的獨立性。內審部門是企業(yè)內控體系中一個重要組成部分：不僅可以協(xié)助董事會對企業(yè)內控起獨立監(jiān)督的作用，同時可以為企業(yè)內控設計與實施提供建議，為企業(yè)的內控建設和評價起到“保駕護航”的作用。

　　上市公司的內部控制建設是復雜、耗時、涉及面廣的工作，需要企業(yè)董事會和管理層給予充分的重視與支持，在全公司范圍內推廣和宣傳內控的重要性，投入相應的人力和資源，及早開展內控建設和評估工作。