2002年颁布《萨班斯-奥克斯利法案》,要求公众公司的管理层评估和报告公司最近年度财务报告的内部控制的有效性。第404条款明确规定了管理层应承担设立和维持一个应有的内部控制结构的职责。它要求上市公司必须在年报中提供内部控制报告和内部控制评价报告;上市公司的管理层和注册会计师都需要对企业的内部控制系统做出评价,注册会计师还必须对公司管理层评估过程以及内控系统结论进行相应的检查并出具正式意见。按照《萨班斯-奥克斯利法案》的要求,在美国上市的电信公司在2006年初将要按照“COSO”的要求,向PCAOB和投资者交出自己的内控报告。这实际上已对在美国上市的中国电信公司提出了新的要求。根据该法案,该电信公司在对外披露的信息中也必须包括管理层对内部控制有效性的评估报告,要完成这项工作,必须完善内部控制体系及其评估。2005年,毕马威首次按照《萨班斯-奥克斯利法案》要求,进驻该电信公司,对内控执行情况进行审计。2006年8月毕马威将对该电信的内控执行情况进行审计和评估。为通过国际会计师事务所的审查,尽快达到《萨班斯-奥克斯利法案》要求,该电信公司有秩序地开展了一系列关于内控体系搭建及内控自我评估的活动。本文旨在对某电信公司内部控制评估进行分析,探讨其如何按照《萨班斯-奥克斯利法案》的要求通过对按COSO框架构建的内部控制体系的评估以促进内部控制不断完善并通过外部审计师的评估以及对我国其他企业内部控制评估的启示。本文共分为六章,其主要内容概括如下:第一章导论。主要介绍了本文的研究背景、研究的目的和意义,并简要地介绍了本文的研究方法和贡献与不足之处。第二章内部控制评估的基本理论。首先,介绍内部控制理论的演进历程;接着,阐释COSO《内部控制—整体框架》的主要内容,评价COSO《企业风险管理框架》对内部控制体系发展的影响;西方内部控制评估的演进,重点阐释COSO框架下内部控制评估的发展以及美国财务报告内部控制评估的最新进展。最后,对我国内部控制评估的演进进行阐释。第三章内部控制评估体系。主要介绍内部控制评估的目标、内部控制评估的主体及其相互关系、内部控制评估的方式、基准日、内部控制评估的方法和流程。第四章内部控制评估的程序。主要介绍内部控制评估的主要程序:前期准备、被评估单位内部控制的了解程序、内部控制设计有效性评估程序、内部控制执行有效性评估程序。按COSO框架对内部控制实施评估。第五章内部控制缺陷的判断和报告。主要介绍内部控制缺陷判断的基本原理,交易层面和非交易层面内部控制缺陷判断的基本流程以及内部控制缺陷的报告。第六章某电信公司内部控制评估情况分析。旨在探讨该电信如何依据《萨班斯-奥克斯利法案》的要求在对其按照COSO框架构建的内部控制系统有效性实施评估并通外部审计师的审计、对该电信公司内部控制评估的建议以及对我国其他企业内部控制评估的建议。按照《萨班斯-奥克斯利法案》的要求,电信公司须提交管理层对内部控制有效性的评估报告。《萨班斯-奥克斯利法案》生效后,该电信公司结合电信股份公司内部控制手册和本公司内部控制实施细则,采用COSO内部控制框架作为评估的标准和依据,从三个层面实施评估:(1)公司战略层面内部控制评估。公司战略层面的内部控制是集中于公司管理、重大决策层面以及对全部或多项流程、交易具有普遍深入影响的内部控制。该电信公司制作了《公司层面内部控制评估表》,由公司审计部牵头,按照五大模块(控制环境、风险评估、控制活动、信息和沟通、监控)从公司战略层面对公司的内部控制情况进行评估。(2)流程/交易层面的内部控制评估。该电信公司按照《萨班斯-奥克斯利法案》的内控要求,按照COSO管理体制及集团公司的内控手册的精神,将电信的全部业务及管理程序分解为38个具体的内控流程并分别实施评估。(3)IT内部控制评估。由于COSO框架缺少对IT内部控制的内容,所以,如何改进IT控制和完善IT治理,在短时间内构建一套IT内控系统是该电信面临的一大挑战。该电信的IT内部控制系统主要包括三方面的内容:①公司层面信息技术控制:主要指企业层面的IT信息系统的战略规划。②信息技术整体控制:信息系统整体控制并不针对某一特定应用系统,而强调的是信息系统所处的整体信息技术环境,是其他基于信息系统的应用控制措施的基础。③应用系统控制:应用系统控制主要指重要业务流程中基于信息系统的控制措施。2006年该电信公司在全公司范围内开展内控评估。一方面,总公司及地市分公司根据股份公司统一部署和本地内控实施细则的需要,有步骤、有秩序地组织开展内部控制自我评估工作,将内部控制自我评估分为准备、实施、报告、改进四个阶段,并将自我评估执行情况和整改结果纳入管理层和员工的绩效考核范围。另一方面,还聘请国内多家会计师事务所对总公司及地市分公司自我评估工作进行专业培训和督导工作,并对公司的内控设计和执行情况进行独立评估。对电信公司内部控制评估的建议:充分利用评价结果,确定内部控制评价工作的重要地位。内部控制评价结果应与被评价行综合绩效考核、等级行评定等挂钩,并作为对被评价行领导干部考核奖惩的重要依据。全员参与评价工作,提供评价资料,关注评价结果,落实改进措施。每一成员在实施内部控制方面都扮演着一定的角色,对内部控制也都负有一定的责任,内部控制评价机制的完善离不开每位成员的支持。客观、详实、准确的资料是内部控制评价结果公正性的保证。如何提高评价资料的质量,如何甄别有价值的资料,是要经过实践论证的。运用科学的内部控制评估方法,利用先进的技术手段和电信公司现有的网络资源优势,达到完善内部控制评估机制,以促进电信内部控制水平提高的目的。对国内其他企业内部控制评估的启示:与风险管理评估相结合;与信息化管理结合;评估中招募客座审计师;重视管理层在内部控制评估中的作用;建立管理者定期评价内部控制的机制。