RESEARCH ON ASSESSMENT OF INTERNAL CONTROL IN ENTERPRISE
企业内部控制评估研究
摘 要：本文采用文献研究法并将理论与实际相结合，将企业内部控制评估分为以管理层为主导的内部控制自我评估和以注册会计师为主导的内部控制外部评估，分别从企业内部和外部研究内部控制评估的具体方法和评估过程中应注意的问题。同时借鉴国外内部控制评估的有益经验，提出我国应当加快企业内部控制评估准则的制定，企业内部控制评估应注重内部管理层的主动性和外部评估的强制性及评估主体范围的扩展。
关键词：内部控制评估；内部控制自我评估；内部控制审核；内部控制信息；
Research on Assessment of Internal Control in Enterprise
Abstract: This paper uses literature research method and combine theory with practice, to divide assessment of internal control into the management-led internal control self-assessment and the CPA-led external evaluation of internal control, and research the specific methods of control evaluation and what should pay attention to within the assessment process. References for the useful foreign experience in assessment of internal control, this paper proposes that China should accelerate the pace of development of guidelines for assessment of internal control, and should focus on the initiative of internal management and the mandatory of external evaluation.
Key words: Assessment of internal control; Control Self Assessment; Audit of internal control; Information of internal control
一、绪论
（一）研究背景
安然、世通等知名公司相继暴露出严重的管理层欺诈丑闻，使美国上市公司深陷信用危机。会计系统的漏洞、管理层的失职、内部控制的缺乏以及外部审计人员的道德风险是导致管理层欺诈丑闻的根本原因。重建公司信用，规范高级管理层与注册会计师关系和职业道德的要求刻不容缓。
银广夏虚构财务报表事件被曝光，与之相类似的“蓝田股份”、“锦州港”等事件的爆发，说明我国企业（主要指上市公司）的内部控制严重缺位或失灵。2006年，我国财政部、国资委、证监会、审计署、银监会、保监会联合发起成立企业内部控制标准委员会。2007年，企业内部控制标准委员会公布了《企业内部控制基本规范》及17项具体规范的征求意见稿，并于2008年6月颁布。近年来，我国在探索企业内部控制制度建设和监管方面做出了相当程度的努力。
（二）研究目的与意义
企业内部控制评估有利于提高公司所披露的内部控制信息的可信赖程度。企业内部控制评估的目标，一方面是通过敦促企业管理层加强内部控制建设来应对各种风险，避免财务舞弊行为的发生；另一方面是使审计师通过掌握企业内部控制的相关信息来提高审计报告的质量，降低审计风险。
21世纪初发生了一系列令人瞩目的企业管理层欺诈丑闻和失败事件，投资者、公司员工和其他利益相关者因此而遭受了巨大的损失。此后，关于内部控制的研究和立法行动受到社会各界的广泛关注和重视，我国也概莫能外。近年来，关于研究和制定企业内部控制指引的呼吁也日益高涨。在这种背景下，研究企业内部控制评估对于探索如何完善我国企业的内部控制制度具有十分突出的理论价值和现实意义。
（三）国内外研究现状综述
1、国外研究现状
国外内部控制的发展经历了内部牵制时期、内部控制制度阶段、内部控制结构时期、内部控制的整体框架和企业风险管理框架五个阶段，目前正处于企业风险管理框架这一内部控制的最新发展阶段，它强调的是企业管理要将内部控制和风险管理结合起来发挥作用。
国外关于企业内部控制评估的研究主要以美国为源头和中心。从政府对内部控制评估颁布的政策看，美国国会于2002年颁布了《萨班斯——奥克斯利法案》（简称SOX法案），该法案不仅要求管理层评估和报告公司最近年度财务报告的内部控制有效性，还要求公司的外部审计师向股东和公众提供一个信赖管理层对公司财务报告的内部控制描述的独立理由。SEC根据《萨班斯法案》第 404 条所制定的「最终条例」(Final Rule) 明确表明COSO内部控制框架可以作为评估企业内部控制的标准。
2004年10月COSO正式出台《企业风险管理——整合框架》（Enterprise Risk Management Integrated Framework,简称ERM框架）。ERM框架在内部控制框架五要素的基础上增加了目标设定、事件识别和风险评估三个要素，并且强调将企业风险管理覆盖公司治理和内部控制涉及的全部领域。
从内部控制评估的起源来看，Bruce McCuaig最早于20世纪80年代提出了CSA（Control Self Assessment，内部控制自我评估）的概念，而后在海湾公司的子公司加拿大海湾能源公司开展，其特点是易于评价与实施。
在内部控制评估方法方面，Parveen P. Gupta博士（2006）通过问卷调查发现，由美国SEC和PCAOB倡导的能够降低评估成本的风险导向评价方法的实际应用情况并不理想，企业管理者仅仅依赖COSO的1992框架很难做出公允和一致的评价。
对于内部控制自我评估的研究，Wallace和White指出，首席财务官应该指导和监督自我评估过程，他们把自我评估看作是一种持续的管理责任，自我评估的结果能够被审计人员纳入对风险评估和活动计划的考虑。
国外学者对于内部控制报告审计也做过一些实证调查，如美国学者Jian Zhang重点研究的是在审计人员已经识别了内部控制的重大漏洞的情况下，企业是否会充分披露内部控制重大漏洞，有多少企业会收到否定意见的报告以及哪些方面的内容容易导致内部控制存在重大漏洞等。
还有学者对企业内部控制信息披露的情况进行了实证研究，Glass Lewis & Co.指出，2006年美国总共有1420家公司对其财务报表进行了重述，其中685家公司在同一年重述之前（或者之后）披露了内部控制重大漏洞。
关于审计师对内部控制有效性的意见的价值相关性，也有学者对其进行实证性的研究，Lopez,Vandervelde，Wu（University of South Carolina）在其所做的题为“审计师的内部控制报告——相关性”的实证调查中得出如下结论：审计师关于内部控制有效性的意见是具有价值相关性的。当审计师对企业内部控制有效性签发否定意见时，公司的股价明显要比签发无保留意见审计报告时的股价低得多。
2、国内研究现状
目前,我国没有过多地研究内部控制发展的具体阶段，也不易划分其发展的阶段，但是按照美国内部控制发展的五个阶段来看，我国应该处在第四阶段，即内部控制整体框架阶段。其标志是2006年上海证券交易所提出《上市公司内部控制指引》以及《企业内部控制规范——基本规范》和17项具体规范（征求意见稿）的颁布。
对企业内部控制评估的研究，无论是实务界还是理论界都越来越受到关注。具体来看，有些学者将内部控制评估与风险管理结合起来研究，如耿慧敏、景刚（2011）认为全球经济逐步渡过金融危机的恐慌而进入“后危机时代”，无论是国内企业，还是国际上知名的大企业，都逐步将加强企业内部控制和强化风险管理视为完善公司治理的一项重要内容。
还有些学者从评估目标、评估指标、评估方法等不同方面对内部控制评价问题进行了探索，并提出了有益的见解，如陈汉文等（2008）对内部控制的有效性内涵及其评估方法进行了探讨，骆良彬等（2008）、韩传模等（2009）研究了层次分析法在内部控制评估中的运用。
在对内部控制评估主体定位的研究方面，何芹（2005）对内部控制评估主体进行了对比分析，并指出了我国内部控制评估的发展趋势——评估主体多元化、评估方法科学化以及评估指标全面化；徐国强等（2005）认为，多层次内部控制评估主体是未来内部控制评估的发展趋势。
对内部控制评估方法的研究。陈汉文等（2008）、张宜霞（2009）对内部控制有效性进行了深度剖析，并对两种内部控制评估方法即详细评估法和风险基础评估法进行了对比分析，指出风险基础评估法是未来内部控制评价的发展趋势。
实际上，更多的学者是从外部审计或者外部监管的角度来探讨内部控制评估问题的，如李小燕等（2008）提出了持续改进的企业内部财务控制有效性标准体系，张龙平等（2009）则从美国内部控制审计的制度变迁对我国企业内部控制评估报告的审计提出了相关的政策建议。
而在内部控制评估标准方面，张宜霞(2007)认为由于人们赋予了“企业内部控制”不同的范围和性质，忽略了内部控制系统整体内在的联系和一致性，应该从企业整体效率的视角重新界定企业内部控制的范围和性质，根据企业规模的大小分别制定内部控制评价标准。
另一方面，无论是国外还是国内，对企业内部控制的研究主要是针对单个法人企业，其中有很多不适合企业集团，尤其不适用集团公司对下属成员的控制。而在世界五百强的中国企业中，有超过一半的企业采用的是企业集团的组织形式，因此结合内部控制理论和企业集团的特点，研究适合企业集团的内部控制是非常有必要的。
3、简要评述
综上所述，我国对企业内部控制评估已有一定的研究，政府相关部门正在努力建立规范、合理的内部控制评估体系，许多学者也非常关注企业内部控制评估工作的开展并且对其提出了一些富有建设性的意见和建议。企业内部控制评估在实践中也得到了初步的发展，许多上市公司越来越关注内部控制在企业管理中的重要地位，从而采取了自我评估或外部评估的方法定期对其内部控制进行评价，但与国际发展现状相比仍然存在差距。其中，对于内部控制理论的研究较多，而关于内部控制评估的内容、标准及评估方法的研究则较少，尤其是目前我国内部控制评估还缺乏统一的标准和系统科学的评估方法，评估前期准备工作还不够细致充分，评价指标模糊导致评估结果的不确定性，使得大多数企业内部控制评估存在问题，这些都有待进一步研究和在实践中不断探索。
二、企业内部控制评估的基本理论
（一）内部控制评估内容及标准
按照《企业内部控制评价指引》的规定，内部控制评价目的是对企业内部控制有效性进行评价，而内部控制有效性是指企业建立与实施内部控制能够为控制目标的实现提供合理的保证。具体来说，企业内部控制评估应当包含以下几个方面的内容：（一）内部控制制度设计的合法性。企业的内部控制制度应当符合国家法律法规的原则，其经济活动必须依法开展，必须符合国家有关财经法规制度。（二）内部控制的有效性。内部控制的有效性包括内部控制设计的有效性和运行的有效性。评估内部控制设计有效性是指评估企业为实现控制目标所必需的内部控制要素是否都存在并且设计恰当，从而判断其中是否存在设计缺陷、是否缺少必要的控制程序；评估内部控制运行有效性是指评估设定的内部控制系统是否按照规定程序得到了正确执行，是否存在设计完好却未按设计意图运行的控制，或控制程序的执行者没有获得必要的授权或缺乏应有的胜任能力。（三）内部控制运行的经济性。评估经济性是指评估在为内部控制有效性提供合理保证的前提下是否尽可能做到简便易行、降低运行成本，从而在控制风险的前提下为股东创造最大的财富。
从内部控制评估的整个过程来看，不但要明确什么样的内部控制是有效的内部控制，还要明确如何有效地评估内部控制的有效性。不同规模的企业内部控制差别较大，不同企业的内部控制体系运行的有效性水平各不相同。同样，一个特定体系在不同的时期，其运行也可能会不同。确定特定的内部控制体系是否有效是一种主观判断，它来自对内部控制构成要素是否存在并有效运行的评估。因此，这些构成要素是有效内部控制的评价标准之一。从国际范围来看，COSO报告是目前世界范围内影响最大、应用最广泛的一个标准，也是SEC（证券交易委员会）和PCAOB（公众公司会计监管委员会）推荐使用的标准。我国为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，2006年，财政部、国资委、证监会、审计署、银监会、保监会联合发起成立企业内部控制标准委员会，该委员会于2008年6月颁布了《企业内部控制基本规范》，从此我国内部控制建设进入了一个新的阶段。
（二）内部控制评估方法研究
1、内部控制自我评估方法
内部控制自我评估是指企业定期或不定期地对自己的内部控制系统进行评估，评估内部控制系统的有效性及其实施的效率效果，以期能更好地达成内部控制的目标。内部审计人员应当定期对企业内部控制进行监督、检查和评估，及时发现控制过程中存在的漏洞和隐患，帮助管理层改进内部控制，更有效地提高内部控制水平，协助企业实现经营目标。
传统的内部控制系统评价是由内部审计人员从事的内部控制评价，而随着公司治理和风险管理理论的发展，新型的企业内部控制自我评估则是在内部审计人员的指引下由管理部门和员工共同研讨。目前，内部控制自我评估（CSA）在西方发达国家企业内部控制管理领域被广泛运用，是新兴的审计技术和方法。它将运行和维持内部控制的主要责任赋予公司管理层，同时使员工、内部审计人员与管理层一道承担对内部控制评估的责任。
（1）研讨会法是指把代表组织中不同层次的管理者和员工召集起来，对各环节（尤其是风险薄弱环节）内部控制进行分享和讨论的一种方法。在研讨会开始前，会议的引导者应当向管理层和员工介绍内部控制评估的内容和程序，并向与会者声明会议中的发言不得向无关人员透露，确保与会者能够积极参与，畅所欲言，使问题能够在会议上得到充分的讨论并提出切实可行的解决方案。通过这种形式可以使组织中不同层次的成员都了解内部控制系统的哪些环节存有缺陷以及可能产生的后果，然后让他们自己主动采取行动去改进这种状况，而不是被动地坐等会计人员来检查。如果企业采用研讨会法进行内部控制评估，则需要重点关注以下两个问题：一方面，会议的引导者（一般为内部审计人员）要与管理层进行沟通，让管理层充分了解内部控制自我评估的管理作用及可以为企业带来的经济效益，以期得到管理层强有力的支持；另一方面，要切实提高内部审计人员、管理层以及员工的整体素质，使各方面在对某一问题进行讨论时能相互协调、配合，有效地发挥内部控制自我评估的作用。
（2）问卷调查法是调查者根据被调查单位的业务类型、交易循环、内部控制制度等情况，把内部控制制度中的必要事项，特别是与确保会计记录的正确性和可信性以及与确保资产安全完整有关的一切事项作为调查项目，系统地列示出来，只需要受访者做出简单的“是/否”或“有/无”的反应，控制程序的执行者则利用调查结果来评价他们的内部控制系统。这种方法既是调查内部控制制度、获取必要信息资料的重要工具，也是评估内部控制的重要方法。
（3）管理层分析法是由管理层进行的分析。通过这种方法，管理当局安排工作人员学习经营过程。CSA专家（可能是内部审计师）把员工的学习结果与他们从其他方面如其他经理和关键人员收集到的信息加以综合。通过综合分析这些材料，CSA专家提出一种分析方法，使得控制程序执行者能在他们为CSA做出努力时利用这种分析方法。
2、内部控制外部评估方法
内部控制外部评估即内部控制注册会计师评估，是指注册会计师接受委托，就被审核单位管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审核意见。注册会计师进行内部控制评估既可以作为一项独立的审核业务，在了解被审计单位时也必须对其内部控制进行初步的研究与评价，注册会计师在对企业进行内部控制审核时，可以利用在会计报表审计中对内部控制研究与评价的结论，并对内部控制补充和扩大实施了解及测试程序。
注册会计师在执行内部控制审核工作时主要包含以下步骤：了解内部控制的设计；评价内部控制设计的合理性；测试和评价内部控制执行的有效性。根据COSO框架的定义，内部控制包括以下五个要素：控制环境、风险评估、信息与沟通、控制活动、监督。建议分别从这五个方面进行内部控制的评估：
（1）控制环境设定了一个组织的基调，影响其员工的控制意识。它是内部控制的其他所有构成要素的基础，为其提供了秩序和结构。控制环境的要素包括：主体员工的诚信、道德价值观和胜任能力；管理层的理念和经营风格；管理层分配权力和责任、组织和开发其员工的方式；董事会给予的关注和指导。
（2）风险评估过程的作用是识别、评估和管理影响被审计单位实现经营目标能力的各种风险。被审计单位的风险评估过程包括识别与财务报告相关的经营风险，以及针对这些风险所采取的措施，注册会计师应当了解被审计单位的风险评估过程和结果。
（3）信息系统生成包含经营、财务以及与合规有关的信息的报告，从而使经营和控制企业成为可能。它们不仅处理内部生成的信息，还处理与知情的经营决策和对外报告所需的外部事项、行为和情形有关的信息。有效的沟通还必须是广义的，即信息必须在组织内自上而下、平行以及自下而上地传递。
（4）控制活动是指那些有助于保证管理层的指令得到贯彻执行的政策和程序。它们有助于确保采取必要的措施来处置实现主体目标的风险。控制活动发生在整个组织之中，遍及所有的层级和所有的职能。它们包括诸如审批、授权、验证、调节、经营业绩评价、资产保护和职责分离等一系列活动。
（5）对控制的监督是指企业评价内部控制在一段时间内运行有效性的过程，该过程包括及时评价控制的设计和运行，以及根据情况的变化采取必要的纠正措施。对控制的监督可以通过持续监控活动、个别评价或两者的结合来实现。
三、我国企业内部控制评估的发展现状及存在的问题
（一）内部控制评估的发展现状
从国内实务界看，内部控制在企业中并没有得到高度重视，而内部控制评估也没有被广泛应用，只有广大上市公司才在相关法规制度的规范下进行内部控制自我评估并聘请注册会计师对其内部控制有效性进行审核，其中也只有少数企业主动对本身的内部控制制度设计及其运行进行系统、科学的评估。2004年的中航油事件表明其内部控制存在重大漏洞和缺陷，同时也没有健全的内部控制自我评价机制，以至于出现如此大的财务问题却没有相应的内部控制程序加以识别和防范。目前，我国上市公司内部控制信息的披露不规范是导致投资者提高对企业内部控制及财务报告要求的直接原因。在我国，企业内部控制评估的发展不如国外一些国家的水平已是不争的事实，郑百文、深华源、银广厦等业已暴露的上市公司违规事件几乎都源于内部控制失效特别是薄弱的控制环境。如果这些企业能够及时发现和防止内部控制的重大缺陷并将这些信息向公众全面披露，将不会使企业经营管理面临如此困境甚至使投资者受到巨大的损失。面对企业内部控制及其评估出现的这些问题，企业内部控制评估显得尤为重要和迫切。有效的内部控制评估能够及时发现企业内部控制各个环节存在的问题和缺陷，以便及时、有效地解决，不至于使企业在面临严重的经营管理问题时无计可施。
从国内理论界看，内部控制规范实施已经逐渐成为我国企业监管部门、投资者和管理层所关注的焦点。上海证券交易所与深圳证券交易所分别从2006年和2007年开始，要求上市公司在年度报告中进行内部控制评价。财政部等五部委制定的《企业内部控制评价指引》已于2009年7月1日起开始实施。随着《企业内部控制评价指引》的颁布和实施，上市公司必须聘请注册会计师对企业的内部控制进行审核并发表意见，同时在年度财务报告中进行充分披露。虽然政府相关部门已关于企业内部控制的自我评估和外部评估作出了要求，但始终没有一套完整、系统的内部控制标准体系来指导企业内部控制评估工作的实施，许多学者也比较侧重于研究内部控制评估的理论方法，而未将其置于纷繁复杂的经营活动当中，因此无论是自我评估还是外部评估都缺乏应有的有效性。所以，我国迫切需要制定出规范、有效的内部控制评估标准，积极探索企业内部控制评估存在的问题并采取有效的措施予以解决也就非常必要。
（二）内部控制评估存在的问题
尽管我国理论界已在各方面加强企业内部控制制度建设和评估工作，实务中仍然存在一些暂时得不到改善的问题：
1、自我评估存在的问题
（1）企业缺乏内部控制自我评估的强制性和积极性。
目前，不管是国际上还是国内，内部控制评估基本上仅限于对公众公司（即上市公司）的要求，而对一般企业以及小规模单位并没有做硬性规定和强制性要求尽管如此，也并不是所有的上市公司都按照规定执行了内部控制评估。许多上市公司缺乏自愿披露的动机，在内部控制评估方面缺乏主动性，内部控制信息的披露在很大程度上流于形式，披露的信息无论是数量还是质量都难以令人满意。
（2）企业内部控制自我评估的主体没有得到应有的授权。
内部控制自我评估的主体是包括董事会在内的各级管理层，同时，内部审计人员和员工也是企业内部控制自我评估的重要参与者。由此可以看出，这些主体都与企业利益有着密切的关系，尤其是内部审计人员和员工在很大程度上依赖于管理层，受到管理层的控制，其评估的客观性直接影响到内部控制自我评估的效果。
（3）企业内部控制的自我评估制度缺乏统一的标准，具体内容也不够宽泛。
由于我国内部控制发展起步较晚，实务经验也不够丰富，至今仍没有形成带有指导性的内部控制评估标准。即使部分企业每年都进行内部控制自我评估，但其实施范围非常有限，且并没有根据实际业务和管理的需要增加或改变内部控制评估的内容，使得内部控制自我评估仍然无法准确指出企业经营管理过程中存在的问题。
2、外部评估存在的问题
（1）企业内部控制的外部评估主体过于单一。
由于注册会计师大多只具有会计、审计及财务管理方面的知识和经验，缺乏技术和质量管理等方面的知识，因此注册会计师一般只具有对财务报告方面的内部控制（即与会计报表相关的内部控制）进行评价的能力，通常难以胜任对与人事、生产、经营、技术、质量管理等相关的内部控制进行的评价。而内部控制涉及企业生产、经营和管理的各个环节与方方面面，注册会计师无法对所有的内部控制程序做出专业并合理的评价，因此，扩大企业内部控制外部评估主体的范围非常必要。
（2）控制环境在内部控制中的重要作用不被重视。
控制环境奠定了企业经营管理风格的基调，它是企业内部控制的灵魂所在，穿插在内部控制的每一个环节和过程。而注册会计师在对企业内部控制进行评估时往往不是非常关注控制环境，因为它关系到企业的价值观、管理层的经营风格等，而这些不是注册会计师等外部主体可以直接影响到的，因此控制环境在评估的过程中往往不被重视。
（3）对企业风险评估过程了解不透彻。
注册会计师在对企业内部控制有效性进行评估时更多的是注重企业各项内部控制制度的设计是否有效以及控制活动是否有效执行，而对于企业治理层和管理层是否采取合理、有效的措施防止或发现并评估内部控制过程中存在的风险这一问题并没有过多地关注。
（4）对控制活动的评估缺乏统一的标准。
控制活动往往涉及诸如审批、授权、验证、调节、经营业绩评价、资产保护和职责分离等一系列活动，而这些活动或多或少都带有一定的主观性，在没有统一评估标准的情况下，每个外部评估主体根据自身不同尺度来进行评价得出的结论是大不相同的。
四、我国企业内部控制评估发展滞后的原因
目前我国企业的内部控制基础薄弱；现有的内部控制目标单一，缺乏多元性，未能体现企业各个利益相关者的要求；对内部控制的执行缺乏有效的监管，导致我国企业内部控制脆弱不堪，甚至形同虚设；对内部控制固有的局限性还未引起足够的重视。而对于内部控制的评估，不管是内部还是外部，都没有严格和规范的指引及措施，并且还未引起社会各方面的重视，现对导致我国企业内部控制评估存在以上问题的具体原因作以下试探性的分析：
（一）政府相关部门未进行强制规定和规范指导
虽说我国大部分企业的发展是在政府相关部门的监管下运营的，但其主要涉及的是企业经营是否符合法律法规，而没有对企业内部控制进行监督和管理，企业一旦出现经营管理方面的问题，将会导致企业本身及相关利益者不可挽回的损失。
构建起以政府部门为引导、广大企业主动参与的内部控制实施体系一, 直是近些年来政府财政部门努力的方向，尽管《企业内部控制评价指引》已于2009年开始实施，但其主要内容基本上是一些理论性的建议，并没有给出实质性的指导，在具体业务中企业和注册会计师都无法作为标准参考，如企业应当对哪些内部控制的哪些方面予以控制并进行有效的监督，而注册会计师又应该以什么样的标准对其进行评估等。另一方面，即使政府及监管机构规定了上市公司必须对企业的内部控制有效性进行评价和报告，但这一要求一直仅仅流于形式，政府也没有采取强有力的强制措施予以干涉。
（二）企业及各利益相关者不重视内部控制
我国企业已开始被动地接受内部控制在企业经营管理过程中的重要作用这一观点，然而大多数情况下，企业通常会盲目地追求高利润，而忽视企业经营过程中潜在的风险，也就看不到内部控制的必要性，因此更加不会重视企业内部控制评估。据统计，在企业失败的案例中，有70%以上的企业死于内部控制缺失或失效。
同样，投资者也局限于关注企业是否实现其经营目标，是否有较高的收益和利润，企业能否给自身带来较大的经济利益，往往忽略了企业长远发展的支柱——高效的管理制度和内部控制。因此，无论是企业自身，还是企业各利益相关者，都没有看到一套严格的内部控制制度和有效的评估体系所能给企业带来的巨大财富。
（三）上市公司对内部控制信息进行虚假披露
目前，不管是国内还是国外，对内部控制评估有强制性要求的仅仅是上市公司，而上市公司往往为了能够取得投资者的信任，筹集到更多的资金，会对财务报表进行一定的粉饰，内部控制自我评估报告则更加明显。上市公司一般不愿意披露对自己不利的信息，即使内部控制存在严重的缺陷和问题，也会被管理者通过各种方式隐瞒和掩饰，因此内部控制自我评估会因为缺乏公开性而不被受到重视。
（四）对企业内部控制的内部监督独立性较差
对企业内部控制的内部监督是指由内部审计部门执行的内部控制自我评估，但由于内部审计人员受管理层的控制，独立性较差，所以影响了监督职能的发挥，从而无法对企业的内部控制有效性做出合理恰当的评价。遵纪守法、保证会计资料的真实、完整等相关的内部控制反而会给企业带来不利的影响，因此许多企业无视国家的法律法规，甚至弃基本的内部控制制度于不顾，对内部控制内容进行利益选择，形成内部控制成为“内部人的控制”现象。
（五）对企业内部控制的外部监督公平性缺失
对企业内部控制的外部监督是指注册会计师、媒体等对企业内部控制进行的监督活动，外部监督虽然有效，但这些资源稀缺，监管不力，同时注册会计师在对企业的内部控制进行评估时缺乏统一的标准和应有的专业水准，致使企业失去执行内部控制所需的外在公平性，直接遏制了企业执行内部控制的积极性。
五、改进企业内部控制评估的建议
企业内部控制评估是内部控制制度发展不可逆转的趋势，无论是对社会经济的进步，还是对企业的长远发展，都有着极大的推动作用。针对我国企业内部控制评估的发展现状，同时借鉴国外有益的经验，笔者试着对我国企业内部控制评估的发展做以下方面的建议：
（一）构建合理规范的内部控制实施体系
我国目前对于企业内部控制评估的引导和实施还没有健全的体系，内部控制评估工作难以大范围且有效地实施。政府监管部门要加快建立企业内部控制评估标准体系，为解决企业内部控制评估的实际问题提供向导性的意见和建议。当前要以上市公司、金融企业和国有大型企业为重点，结合年度财务会计报告审计工作，探索建立内部控制自我评估、强制披露机制和注册会计师专项审计制度，硬化制度要求，强化监管服务。
（二）企业应当在内部培植一种内部控制执行文化
企业自身必须高度重视内部控制制度的制定和执行，管理上要既关注经营目标的实现，也要重视各项内部控制制度的执行，使各个环节都持续、稳定、有序地发展。企业不但需要建立一套有效的内部控制制度，还必须让这些内部控制有效地执行。企业内部管理层要提高在进行内部控制自我评估工作中的积极主动性，提高管理层在执行CSA过程中的主导力，同时强化员工的主人翁意识，创造积极参与的内部控制制度及评估环境。
（三）规范上市公司内部控制信息的强制披露
对上市公司内部控制信息按统一内容与格式实行强制性披露，有利于投资者了解上市公司的相关信息和投资决策。公司应当对企业的内部控制是否有效执行做出合理的解释和说明，注册会计师也应当对企业内部控制做出有效的评估和合理的保证，并以规范的形式公之于众。
（四）强化内部审计部门的职能
一直以来，内部审计部门在许多上市公司都是形同虚设的部门，没有起到实质性的监督作用。而要使企业内部控制自我评估取得良好的效果，必须充分发挥内部审计部门和审计人员的监督管理作用，授予内部审计人员一定的权限，提高内审人员的地位和威信，在内部控制的实施过程中予以持续的监督和指导。
（五）提高注册会计师审计质量
财政部门可以制定规范有效的内部控制评估标准，以指导注册会计师在评估被审计单位内部控制有效性过程中的各项工作。上市公司必须聘请注册会计师进行独立的外部评估，同时，鉴于注册会计师缺乏技术和质量管理方面的专业知识，注册会计师在评估企业内部控制执行有效性时也可以适当利用专家的工作，将外部评估主体进一步扩展。
六、结束语
随着2010年我国企业内部控制规范体系的基本建立，怎样根据自身实际情况实施内部控制已成为当前我国上市公司和非上市大中型企业所面临的一项重大而迫切的课题。然而，如果企业无法通过内部控制评估了解其内部控制缺陷所在，那么就难以采取有针对性的措施对现行内部控制体系进行整改；即使设计并运行了内部控制程序，如果缺乏持续改善的内部控制评估机制，那么内部控制制度的作用发挥也会受到限制。推动建立以有关政府部门为引导、企业具体实施为基础、注册会计师等中介机构咨询服务为支撑、政府监管、自我评估和社会评价相结合的内部控制实施体系，是我国企业内部控制评估发展的全面目标和任务。为了有效地实施监督与评价机制，应从内部审计、内部控制的自我评估和内部控制的外部评估三个方面三管齐下，从而确保上市公司及非上市大中型企业的持续发展。
参考文献
[1]Richard P. Tritter, Daniel S. Zittnan, Deborah L. DeHaas著,杨雄胜主译.控制自我评价[M].东北财经大学出版社,2010.
[2]Sanjay Anand著,曾嵘译.萨班斯-奥克斯利法案精要[M].中国时代经济出版社,2008.
[3]COSO,Enterprise Risk Management-Integrated Framework,2004(9).
[4]Steven J.Root著,刘宵仓主译.超越COSO——强化公司治理的内部控制[M].中信出版社,2004.
[5]张宜霞等著.内部控制国际比较研究[M].中国财政出版社,2006.
[6]朱荣恩.内部控制评价[M].中国时代经济出版社,2003.
[7]李凤鸣.内部控制学[M].北京大学出版社,2002.
[8]James A. Tackett, Fran Wolf, Gregory A. Claypool, (2006) "Internal control under Sarbanes-Oxley: a critical examination", Managerial Auditing Journal, Vol. 21 Iss: 3, pp.317 – 323.
[9]C. Richard Aldridge, Janet L. Colbert, (1994) "Management's Report on Internal Control, and the Accountant's Response", Managerial Auditing Journal, Vol. 9 Iss: 7, pp.21 – 28.
[10]耿慧敏,景刚.后危机时代基于ERM的企业内部控制评估[J].管理ABC,2011(2)：68-70.
[11]于航.浅议企业内部控制评估[J].中国科技信息,2010,(12)：204-205.
[12]池国华. 基于管理视角的企业内部控制评价系统模式[J].会计研究,2010,(10)：55-61.
[13]唐丽娟.我国企业内部控制存在的问题及相关对策[J].国际商务财会,2010,(3)：46-48.
[14]黄慧.试论现代企业内部控制评估的方法[J].科技广场,2009,(6)：200-201.
[15]刘造林,董明.中美内部控制发展及比较研究[J].财会通讯(综合上),2009,(3)：133-135.
[16]张宏亮.谈我国企业的内部控制与风险管理[J].工业审计与会计,2009,(2)：31-32.
[17]张宜霞.企业内部控制评价方法的比较[J].会计之友,2009,(1)：43-44.
[18]刘素珍.关于企业内部控制自我评估的思考[J].现代商贸工业,2008,(7)：142-143.
[19]王栋. 内部控制评估新方法CSA——在我国的应用分析[J].价值工程,2008,(5)：153-156.
[20]陈吉东. 如何实施内部控制的自我评估[J].财会月刊(理论版),2007,(12)：84-86.
[21]张国昀. 美国萨班斯法案框架下的内部控制自我评估体系探讨[J].财会学习,2007,(11)：23-24.
[22]李心合.内部控制：从财务报告导向到价值创造导向[J].会计研究,2007,(4)：54-60.
[23]段光明.企业内部控制评估的要求与内容[J].财政监督,2006,(11)：46-47.
[24]陈峰青.内部控制自我评估-CSA的应用及思考[J].商业会计,2006,(8)：31-32.
[25]杨雄胜.内部控制理论面临的困境及其出路[J].会计研究,2006,(2)：53-59.
[26]张连起.内部控制:一个棘手的任务[J].财务与会计,2004,(6)：6-8.
[27]刘现祥.内部控制制度的评估[J].交通财会,2005,(8)：46-47.
[28]朱荣恩，应唯，袁敏.美国财务报告内部控制评价的发展及对我国的启示[J].会计研究,2003,(8)：48-53.
[29]朱荣恩,贺欣.内部控制框架的新发展[J].审计研究,2003,(6)：11-15.
[30]林朝华,唐予华.CSA内部控制系统评价的新观念与新方法[J].上海会计,2003,(1)：15-17.
