一、国外内部控制评价的历史演进
（一）内部控制评价在美国的发展
美国的独立审计研究自20世纪初就一直走在世界前列，对其他国家的独立审计产生了深远的影响，在内部控制评价方面也同样如此。美国传统的独立审计都是以财务信息为对象，以公认会计准则（GAAP）为指南，对财务信息的确认、计量、分类和表述作鉴定证明。但是，随着实践的发展，独立审计的业务范围从财务鉴证扩展到管理鉴证已是一股不可抗拒的历史潮流。1980年，时任SEC首席会计师的伯顿教授在接受记者采访时谈到：现代企业数据的种类越来越多，因而会计职业就需要提供不同种类的报告，审计需要对这些报告的可信性给予确认，未来将更加强调会计师提供的评价和分析服务，以及内部控制的评价和报告，审计师的基本产出也将不限于对会计报表是否满足公认会计原则所写的审计报告。独立审计的业务范围从财务鉴证扩展到包括内部控制评价在内的管理鉴证的根本原因在于经管责任的变化，当财产所有者将财务会计以外领域的责任（如组织、计划、政策、劳动和环境保护等）委托给财产经营者时，财产经营者自然要承担起履行上述方面的经济管理责任，相应地，独立审计鉴证的内容也要随之变化。
1993年，美国审计准则委员会颁布了《鉴证业务准则第2号——与企业财务报告相关内部控制的报告》（GAAS No。2）和《鉴证业务准则第3号——符合性鉴证》（GAAS No。3）。按照GAAS No。2与GAAS No。3的要求，注册会计师可以受聘对企业管理当局的内部控制认定进行评价和出具报告。管理当局可以采取四种不同的方式对内部控制提出认定：（1）内部控制结构的设计和实际运行的有效性；
（2）内部控制结构的某一环节的设计和实际运行的有效性；（3）内部控制结构设计的适当性；（4）根据管理机构规定的标准所建立的单位内部控制结构的设计和运行的有效性。相应地，注册会计师提供的服务可以有两种：一是审查和报告管理当局对其财务报告中关于内部控制结构效果所做的认定；二是执行商定的与内部控制效果有关的其他程序。但是，管理当局只有具备以下四项条件时，注册会计师才可以接受对内部控制结构签发报告的业务：（1）承担内部控制结构效果的责任；（2）提供书面认定；（3）认定依据是一个合理的标准；（4）这一合理标准有足够有力的证据支持。接受聘任的关键是确认适当的标准，控制标准可以是美国注册会计师协会颁布的公告（如审计准则公告第55号），COSO报告或者主管机关签发的按照适当程序处理的控制标准。
在1979年和1988年，美国证券交易委员会曾两次试图要求强制提供内部控制报告，由于遭到反对，美国证券交易委员会并没有要求上市公司强制提供内部控制报告。但这一时期仍有较多的公司自愿在财务报告中提供内部控制报告。这些内部控制报告中包含的内容有审计委员会的活动、合理保证概念、资产的安全防护、内部审计问题、交易的授权与记录、内部控制的成本与效益考虑、员工培训与录用政策等。
2002年7月30日，布什总统签署了《萨班斯-奥克斯利法案》，又被称为《2002年公众公司会计改革和投资者保护法》（Public Company Accounting Reform and Investor Protection Act of 2002），该法案强制要求公众公司的管理当局对内部控制做出有关的保证，并提供经注册会计师验证的内部控制报告。从而，美国在经历了多年的自愿披露内部控制信息之后，已经要求强制上市公司提供内部控制报告，内部控制评价也变得更加重要。
（二）内部控制评价在其他国家和地区的发展
台湾证券管理委员会及台湾证券交易所，多年来为提升公开发行、上市、上柜公司经营及内部控制水平，以促进资本市场健全发展，一直不遗余力地修订相关法规。在1995年将内部控制及稽核规范由五大循环扩大为七大循环之后，再次于1997年8月17日，由证券管理委员会发布《公开发行公司建立内部控制与内部稽核制制度实施要点》公告。根据此要点，台湾证券交易所发布了《申请上市公司自行评估及会计师审查内部控制制度作业要点》文告。
台湾证券交易所的文告共分四大部分：（1）内部控制制度之观念，在这一部分里详细阐述了内部控制的定义、分类以及组成要素；（2）内部控制之评估，包括应评估及审查的内部控制范围、内部控制有效与否之判断标准、评估内部控制之责任及必要性、评估内部控制之程序以及内部控制制度评估及审查之涵盖期间；（3）内部控制制度之自我评估结果，此部分包括内部控制自我评估之结果得为有效或有重大缺失、致一般大众的内部控制报告书以及致证券承销商、本公司之声明书及致会计师之客户声明书；（4）会计师对内部控制制度之审查，这一部分对会计师之审查准则、会计师审查程序、会计师审查报告以及会计师之内部控制建议书作了详细规定。
1994年，日本审计准则委员会发布了内部控制评价相关准则——《审计准则第20号——内部控制》，并于2002年7月1日对其修订，发布了新的审计准则第20号《控制风险的评价》，同时废止了1994年的《审计准则第20号——内部控制》。日本的内部控制准则几经修订，其概念用语也发生了很大的变化，从最早的“内部控制组织”到“内部控制”，演变到现在的“控制风险的评价”，准则的内容变化也比较大，进一步同国际接轨。
日本《控制风险的评价》准则共104条，内容包括制定该准则的目的、意义，内部控制的构成要素，与内部控制相关的审计目的，IT的内部控制及其影响，控制风险的评价的过程，对内部控制了解的内容、程序和方法，内部控制的缺陷及其适应范围等。在该准则中，详细列出了内部控制五要素与企业经营目标之间的关系，规范了了解内部控制时的审计要点，同样用图示方法列出了控制风险评价的过程；规范了了解内部控制时编制工作底稿的具体内容等。
从上述各国或地区报告和准则的具体内容来看，目前，在内部控制评价的整体框架上基本都是借鉴美国的研究成果，如内部控制的定义、组成要素、自我评价结果、管理当局的报告书以及会计师的审查报告等。但经过其自身的消化，内部控制评价作为各国独立审计的法定鉴证业务之一，已经形成了自己的一套做法，并获得了良好的开展。
从以上可以看出，美国等其他国家已经在强调内部控制的重要性，以及在管理当局对财务报告内部控制的设计和运行有效性认定的基础上，由注册会计师对其进行验证。
二、我国内部控制评价的演进
（一）我国内部控制及评价的历史回顾
新中国成立以后，我国建立了以账户核对和职务分工为主要内容的牵制制度，例如，财会人员岗位责任制、物资采购审批制度、计量验收制度、财产清查制度、财务收支审批制度（如许多单位实行的一支笔审批制度）等内部会计控制的基础性内容，在各单位中或多或少地以正式或非正式的方式存在。但总的来看，这些制度是零散的、不系统的，有些单位虽然订立了一些制度，但只是挂在墙上，印在纸上，说在嘴上，或者只是为了应付上级检查，未能真正执行而流于形式，致使单位内部管理低效，控制弱化。近年来，我国会计信息失真，贪污舞弊时有发生，国有资产大量流失等问题的出现，与之密切相关。
20世纪80年代末至90年代初，国家审计的目标与当时的财政、税收、物价“三大检查”相重叠，主要是审查账目有无错弊，无须对会计报表和形成报表的会计记录发表总体意见，且发现多少问题就处理多少问题，审计人员不必对是否查出问题或查出多少问题负责，因此主要以传统的详细审计为主，在现场往往不进行内部控制评价而直接进入实质性测试。近年来，随着内部控制的发展，以内部控制评价为主的符合性测试开始受到专业人员的关注和使用，但内部控制评价仍停留在对内部管理制度执行的一般了解上，内部控制评价还只是起辅助作用，有的甚至流于形式。而且，在此期间，内部控制评价只是作为一种审计方式，其目的是在了解、测试与会计报表相关的内部控制的基础上评估其控制风险，据以确定实质性测试的性质、时间和范围。
（二）我国内部控制评价准则的发展
独立审计准则制定部门对内部控制鉴证服务的潜在定性形成于1997年1月1日发布的《独立审计准则实务公告第2号——管理建议书》，在总则部分已经把“管理建议书”和专门接受委托的内部控制鉴证服务进行了区分，表现为“注册会计师接受委托，对内部控制专门进行审核，并提出管理建议，不适用本公告”。2001年11月，财政部发布了《独立审计实务公告——内部控制审核（征求意见稿）》，后又在2002年2月以中国注册会计师协会《内部控制审核指导意见》的形式予以发布。
《内部控制审核指导意见》包括总则、业务约定书、审核计划、审核程度、审核报告等五个章节。把内部控制审核定义为“注册会计师接受委托，就被审核单位管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审计意见”。界定了各方责任，指出：“按照国家有关法规的要求，建立健全内部控制并保持其有效性，是被审核单位管理当局的责任。按照本意见的要求，了解、测试和评价内部控制，出具审核报告，是注册会计师的责任。”并明确了内部控制审核报告分为四种类型：无保留意见、保留意见、否定意见和拒绝表示意见。
中国证监会对内部控制鉴证服务的性质界定也有一个变化过程，从最早的“管理建议书”变化到“内部控制评价报告”或“内部控制审核报告”。2000年3月深圳证券交易所发布的《公开发行证券公司信息披露编报规则》第一号、第三号、第五号，要求商业银行、保险公司、证券公司建立内部控制制度，并对内部控制制度的完整性、合理性和有效性做出说明。同时要求注册会计师对其内部控制制度及风险管理系统的完整性、合理性和有效性进行评价，提出改进建议，并以内部控制评价报告的形式做出报告。内部控制评价报告随招股说明书一并呈报中国证监会。第七号和第八号，还分别规定商业银行和证券公司应将其委托会计师事务所出具的内部控制评价报告随年度报告一并报送中国证监会和证券交易所。所聘请的会计师事务所指出以上三性存在严重缺陷的，其董事会应对此予以说明，监事会应就董事会所作的说明明确表示意见，并分别予以披露。2000年4月中国证监会制定并发布了《关于加强期货经纪公司内部控制的指导原则》，以加强期货经纪公司内部控制，清除管理中的薄弱环节，防范风险。2001年1月中国证监会发布《证券公司内部控制指引》，对证券公司内部控制的目标、原则、基本要求和主要内容等做出了规定。2001年10月中国证监会发布《关于做好证券公司内部控制评价工作的通知》，要求证券公司应加强内部控制的稽核、检查与完善，聘请有证券执业资格的会计师事务所对公司内部控制进行评价，以防范风险并促进公司内部控制水平的提高。同时，中国证监会要求商业银行还应委托所聘请的会计师事务所对其内部控制制度，尤其是其风险管理系统的完整性、合理性与有效性，进行评价，提出改进意见，并出具评价报告。
《会计法》（2000年7月1日修订实施）第二十七条规定：各单位应当建立健全本单位内部会计监督制度。为落实《会计法》第二十七条的规定，2001年6月以来，财政部陆续颁布了一系列规章：《内部会计控制规范——基本规范（试行）》；《内部会计控制规范——货币资金（试行）》；《内部会计控制规范——采购与付款（试行）》；《内部会计控制规范——销售与收款（试行）》；《内部会计控制规范——对外投资（试行）》；《内部会计控制规范——担保（试行）》；《内部会计控制规范——工程项目（试行）》等，财政部正在制定并将陆续发布其他主要控制规范。
《企业国有资产监督管理暂行条例》（2003年5月27日国务院发布）第三十六条规定：国有及国有控股企业应当加强内部监督和风险控制，依照国家有关规定建立健全财务、审计、企业法律顾问和职工民主监督等制度。
《中央企业内部审计管理暂行办法》（2004年8月30日国资委发布）第四条规定：企业应当按照国家有关规定，依照内部审计准则的要求，认真组织做好内部审计工作，及时发现问题，明确经济责任，纠正违规行为，检查内部控制程序的有效性，防范和化解经营风险，维护企业正常生产经营秩序，促进企业提高经营管理水平，实现国有资产的保值增值。第八条第（五）项规定：企业审计委员会应当履行审查企业内部控制程序的有效性，并接受有关方面投诉的职责。第十三条第（九）项规定：企业内部审计机构应当履行对本企业及其子企业内部控制系统的健全性、合理性和有效性进行检查、评价和意见反馈，对企业有关业务的经营风险进行评估和意见反馈的职责。
下面以时间顺序对我国最近关于内部控制评价的准则列表显示。
可见，我国正在逐步建立起符合我国国情的内部控制评价规范体系，既有针对银行和非银行金融机构的专门规范，又有覆盖各类企、事业单位的一般性规范；既有注册会计师行业从制度基础审计的角度对企业内部控制的规范，以及证券监管部门从信息披露和监管的角度对企业内部控制评价的规范，也有反映加强企业内部管理要求的规范。但总体而言，我国内部控制制度和评价规范的建设起步较晚，已出台的相关规范还有许多需要完善的地方，内部控制制度的有效实施还有赖于公司治理结构的进一步完善。特别强调对公司内部控制的注册会计师评价，这种评价能否如想像的那样较大程度地提高公司管理水平和规范公司行为呢？
