一、内部控制评价的不足
内部控制“是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程”。它对确保公司经营管理活动正常进行，防止舞弊以及财务报告的准确性、可靠性和及时性具有重要意义。评价内部控制对企业管理具有至关重要的作用。然而，长期以来，对内部控制的评价总是从审计人员进行制度基础审计的角度提出的。而在当代复杂的组织结构、激烈的市场竞争下，管理者必须依赖健全的控制制度及准确的信息才能对经营管理及其过程进行调节、沟通和约束。而且，建立健全内部控制制度、提供真实的财务报告是管理当局的责任而不是审计人员的责任，这样就要求管理者支持审计人员的评价及其建议。不过，由于内部控制制度的构成要素多，影响因素也多，要对内部控制制度做出全面、客观和综合的评价，并进行相关决策，就不能只对其做出笼统的定性评价，内部控制的评价仍然依靠内部控制调查表、内部控制流程图等基于主观评价的方法，而且必须建立一套能反映内部控制本质特征的指标体系，并利用科学的方法对这些指标体系的评价结果进行定量分析，以提高内部控制评价的科学性和可比性。
基于COSO报告框架下的企业内部控制评价，由于COSO报告的定性分析多，定量分析少，所以只能对内部控制做出总体的定性评价，要由管理层和董事会以及股东对评价结果做出自己的判断。
我国对COSO报告了解得少，并且从五要素方面进行评价不很直观，对使用内部控制五个业务循环的公司来说，接触和了解起来比较困难。
二、内部控制评价的相关建议
（一）企业应进行控制自我评价
在国外，企业内部控制的一个新趋势是实行“控制自我评价”（control self-assessment），意指每个企业不定期或定期地对自己的内部控制系统进行评价，评价内部控制的有效性及其实施的效率效果，以期能更好地达成内部控制的目标。控制自我评价的基本特征是：关注业务的过程和控制的成效；由管理部门和职员共同进行；用结构化的方法开展评价活动。控制自我评价是为了提高组织内部控制的自我意识所作的努力，这种活动经常以研讨会的形式进行。设计控制自我评价的目的是使人们了解哪里存在缺陷以及可能引起的后果，然后让他们自己采取行动改进这种状况，而不是坐等内部审计人员站出来。研究表明，实施控制自我评价的方法对于一个企业加强管理、提高劳动生产率、改进内部审计程序和业务经营程序以及控制风险等有着积极的作用。我国企业可试行定期或不定期地进行控制自我评价，以便经常发现和解决内部控制过程中出现的问题。
（二）重视管理层在执行内部控制及内部控制评价中的作用
内部控制成败如何取决于企业员工的控制意识和行为，而管理层对内部控制的自觉控制意识和行为又是关键。从理论上讲，内部控制本身也有局限性，其中主要是单位最高领导人控制的随意性或相互串通、搞内部人控制。因此，加强对管理层的内部控制宣传、提高他们自觉执行内部控制的意识，显得尤为重要。从我国一些企业的现状分析，这些企业不是没有内部控制，而是没有很好地执行，其中往往是管理层带头不执行、破坏既定的内部控制程序，导致内部控制形同虚设或只对下不对上，内部控制评价也失去了存在的意义。《会计法》已明确规定，管理层负有执行《会计法》的法律责任。今后在制定内部控制有关规定时同样要明确管理层应负的责任，只是这样，才能使企业自上而下共同执行内部控制的要求，从而推动我国企业内部控制评价的健康发展。
（三）完善公司治理结构以保障内部控制评价的有效运行
目前我国企业，包括上市公司，内部控制乏力和公司治理不完善是两个突出问题，这也限制了内部控制评价的有效运行。但内部控制与公司治理之间既存在差异，又相互影响、相互促进。公司治理既是内部控制系统及其评价得以顺利运行的条件，又是内部控制及其评价有效运行的保证。建立健全公司治理、保护投资者尤其是中小股东的利益是当前资本市场发展的重大问题；而加强内部控制制度建设，保障内部控制评价的有效运行，是解决企业效率低下、会计信息失真的关键所在。因此，加强和完善内部控制，保障内部控制评价的有效运行，应从完善公司治理结构出发，完善企业内部控制环境，以促进内部控制建设，保障内部控制评价的有效运行，防止少数人操纵公司经营和财务报告系统。
（四）在内部控制评价中考虑使用经济数量分析方法
随着计算机、网络等信息技术在会计中的广泛应用，随之而来的网络经济代表着一种全新的经济形式。捕获、传输、处理与运用信息的能力，将成为一个企业能否在新的世纪中生存和发展的关键，因为新经济、新技术正在改变着传统的经济模式，使企业的运行环境发生了根本性的变化，其中也包括了企业的内部控制管理，从而使内部控制评价方法也面临着冲击和挑战。
以往，对于内部控制的评价一般主要利用审阅、询问、观察、调查表、文字说明等方式，具有很大的主观性和不精确性，在多变的网络环境下，更需要选择一套能给企业带来最大经济效益的内部控制制度。因此，在结合传统评价方法的基础上，应该进一步对其进行经济数量分析，精确掌握其可行性。评价内部控制的效果，即评价内部控制的实施是否可行，必须把评价内部控制所带来的相关成本和利益联系起来，在对企业内部控制进行分析的基础上，建立一套能从总体上反映内部控制的评价指标体系，并利用经济数学分析和模糊数学的方法，建立评价模型，将定性指标定量化。
（五）建议借鉴西方企业中的审计委员会制度
“我国公司的内部审计机构设置基本上是沿用了原国营企业的行政模式，内审部与财务部平级，或者内审置于财务部内，受分管财务的副总经理或总会计师在业务上、行政上的领导，内审严重缺乏独立性，形同虚设，根本没能发挥其控制和评价的作用。”而审计委员会是西方企业中普遍建立的一种内部控制制度，在公司管理中发挥着重要的作用。
在我国企业中设立审计委员会，由其向董事会负责并报告工作，代表董事会监督财务报告过程和内部控制，领导内部审计部门，以保证财务报告的可信性和公司各项活动的合规性，促使内部控制及其评价作用的发挥。
（六）建立管理者定期评价内部控制机制
日常监督检查的重点是业务监管，其目的是对业务的合规性和经营结果进行检查，是针对可能存在问题的“负面评价”，是针对“点”的监管。而内部控制评价是对内控体系的监管，是对业务过程的全面评价，是对内部控制水平的“正面评价”，是针对“面”的监管。内部控制评价可以形成确定日常监督检查的基础，即依据内部控制评价的结果确定日常监督检查的重点业务区域，使日常监督检查更具有针对性。
1.健全法律法规，尤其是对内部控制有效性评价进行强制性规定。
中国证监会显然也在考虑吸收美国的一些做法，如加强立法。2002年10月8日，中国证监会颁布了《上市公司收购管理办法》和《上市公司股东持股变动信息披露管理办法》，加强对上市公司的监管，以保护投资者的利益。但是，这两个办法属于行政规章，级别太低，内容也较为单一，仅对上市公司的某一方面来进行规范。
以往的经验证明，法律责任在一定程度上能够帮助提高会计职业质量。目前，仅有2001年10月证监会发布的《关于做好证券公司内部控制评审工作的通知》中对内部控制评审提出了明确的规定，即要求证券公司根据《证券公司内部控制指引》的要求，聘请有证券执业资格的会计师事务所对公司内部控制进行评审，会计师事务所应当向证券公司提交内部控制评审报告。而在其他规范中，没有对管理层进行内部控制有效性评价提出强制性规定。面对我国上市公司的经营失败和公司舞弊指控的增多，内部控制的重要性日益显现，这就对内部控制有效性进行评价提出了新的要求。我们应借鉴美国的经验，在相关法律法规中对内部控制评价提出明确的要求，以将财务报告错误表述的风险降低到一个恰当的水平。
2.制定科学规范的评价标准。
目前我国内部控制评价实务中，管理层建立健全有效的内部控制，一般是参照财政部发布的《内部会计控制规范——基本规范（试行）》进行的，内容主要是以单位的内部会计控制为主，同时兼顾与会计有关的控制独立审计师内部控制审核业务则是根据中国注册会计师协会发布的《内部控制审核指导意见》进行的。由于缺乏一套完整的内部控制体系，造成内部控制有效性评价流于形式。因此，投入一定的人力、物力、财力，尽早建立一套完整的、公认的内部控制标准，使内部控制评价有章可循是必要的。
美国的相关法律条款和实务都对在内部控制评价的早期确定科学的评级标准提出了要求，认为应采用诸如COSO报告中提出的内部控制完整框架的公认标准，作为财务报告内部控制有效性评价的标准。我国可以借鉴COSO报告关于内部控制构成要素的理论，结合前面分析的我国内部控制现状，利用层次分析法，设定层级目标及相应的影响因素。还可在定性评价的基础上，建立一套能反映内部控制本质特征的指标体系，并利用科学的方法对这些指标体系的评价结果进行定量分析，以提高内部控制评价的科学性和可比性。
3.统一内部控制规范的内容。
目前我国理论与实务界没有对内部控制的内容形成一致的意见。有关内部控制规范的内容主要集中在会计领域，以至于很多人认为内部控制就是内部会计控制。随着社会主义市场经济的进一步发展，我国企业内部控制的内容范围需要重新确定。企业作为市场经济的主体，权利与义务在逐步规范中执行并到位，其将在社会经济生活中发挥越来越大的作用，相应地与企业内部控制相关的内容在范围上也会越来越宽。内部控制不仅涉及会计，它还贯穿于整个生产经营全过程，企业的外围环境、文化理念、经营哲学等控制环境与风险因素都应纳入企业内部控制的范围来予以考虑。
4.设计科学的行动指南，为管理层进行内部控制有效性评价提供指引，对管理层评估财务报告内部控制的程序提供建议。
5.内部控制评价的执行成本。
内部控制成本与企业成本呈反向关系，会在某一处达到平衡，使得总成本最低。尽管内部控制系统的建立可以提高生产率和运营效率，优化管理系统，减少独立审计成本，但同时在内部控制体系的建设和执行以及评价中都会产生成本。从长远角度来看，内部控制带来的利益会大于公司为进行内部控制建设和执行以及评价付出的成本，所以公司管理层应该进行全面考虑。
§§第十章 内部控制评价的主体
