內部控制 步驟 要點
一、企業內部控制工作的步驟
第一，確認目標。這包括各企業部門所設立目的、愿景、策略及實施目標等應有整體層級目標，并通過內部各部門業務進行，確認以作業類別或作業項目為基礎的作業層級目標；各企業部門應每年定期或不定期檢查既有整體層級目標與作業層級目標的一致性。
第二，風險評估。首先是各企業部門得參考企業風險管理與危機處理作業基準及作業手冊的觀念、方法，辨識整體層級與作業層級目標不能達成的內、外在因素，分析其影響程度及發生的可能性，并進行風險評價；其次是各企業部門進行風險評估時，得參考以往經驗或現行作業缺失，通過量化或非量化方式，分析風險因素的影響及機率，以決定風險等級；最后是各企業部門應綜合考慮風險評估結果及風險容忍度，就不可容忍的風險，研究及采取適當回應措施。對于可容忍的風險，應監督并定期檢討，以確定該等風險仍維持可容忍的程度。
第三，選定業務項目。各企業部門設計內部控制制度時，應涵蓋內部各部門的業務，并審視各該業務的重要性及風險性，決定納入內部控制制度的業務項目，其中有關出納與財產管理、人事、公共建設計劃編審、行政管理、科技發展計劃等共通性業務項目，可參照企業所制訂的共通性作業范例辦理。
第四，設計控制作業。首先是各企業部門應針對選定的業務項目，由內部各部門對其承辦作業流程，視業務性質需要，設計控制重點，包括核準、驗證、調節、復核、定期盤點、記錄核對、職能分工、實體控制及計劃、預算或前期績效的分析比較等程序。其次是各企業部門應針對已發生內部控制設計缺失的業務項目，立即修正應有的控制重點。
第五，建立檢查機制。首先是例行監督，各企業部門主管應于例行業務督導作業中，及時評估內部控制制度的有效性；其次是自行檢查，企業應就內部控制制度設計及執行的有效性，每年至少自行檢查一次，遇有特殊情形，得隨時辦理，并作成紀錄建檔備供主管企業部門訪查及督導。
二、企業內部控制工作的要點
第一，控制環境，即塑造企業文化及影響員工對內部控制認知的綜合因素。首先是職業操守及倫理價值觀念的建立與維持，強調職業操守重要性及法制責任觀念，排除或減少高層主管及員工從事非法行為的環境誘因、壓力或機會；其次是高層主管對推動及落實內部控制制度的重視與支持，企業管理人員應全力支持且對內部控制制度的有效運作負責，各部門主管以上人員以身示范將行動風格導入正向，為企業部門設定明確的整體層級目標且避免承受過量風險；最后是企業組織架構及授權的適當明確，各部門責任明確分工，授給員工的權力與其擔負的責任相稱。
第二，風險評估，即企業需辨識風險、分析該風險的影響程度與發生可能性，以及評價對風險容忍度的過程，據以決定如何處理或回應相關風險。首先是風險辨識，辨識影響目標達成的風險因素（事項）。工作計劃的擬訂，應切合企業整體層級目標，進而辨認作業層級目標，考慮可能引發整體層級風險與作業層級風險的因素；其次是風險評價，即評價對風險的容忍度并依據風險等級，決定需優先處理的風險因素；最后是風險處理，即對于不可接受的風險因素，選擇可行的風險處理方式（如減輕影響程度或降低發生機率等），逐步設計必要的控制作業，以降低該等風險。
第三，控制作業，即為了合理確保企業部門達成目標、降低風險，且有助于落實執行企業部門決策，所訂定的控制規范及程序。首先是整體層級控制，針對企業各部門多項業務有廣泛影響的控管措施，設計企業部門整體層級的控制規范（如各類制度）；其次是作業層級控制，依據企業部門個別業務所設定的作業層級目標與風險評估結果，選定作業流程，堅持化繁為簡原則，逐項設計重要作業程序與關鍵控制重點。并配合業務調整及作業變動，適時檢討修訂[2]。
第四，信息與溝通，即適時有效編制及管理信息，并傳達給相關人員，使其有效履行職責。首先是對稱信息，包括與企業部門目標有關，且完整、及時與可靠的財務及非財務信息，可由內部產生或自外部取得，以供決策及監督使用。其次是所稱溝通，包括內部溝通與外部溝通。最后是內部控制制度的文件化質量，為企業部門能否落實的基礎。通過信息處理作業，將內部控制制度設計及執行相關信息，以紙本、電子或其他文件化方式儲存、管理及傳達，有利連貫與支援包括如下要素：宣傳企業部門管理人員及設定的目標等，以營造企業部門控制環境；進行風險評估時，將文件化的質量納入考慮；將各項業務的控制作業，整合形諸于文件，使企業部門人員可了解、易遵循，并掌握控制重點；監督時，依此檢視內部控制制度是否有效設計及執行，而相關評估結果、建議及后續改善的紀錄，可供回饋或追蹤辦理情形。
第五，監督，即企業部門評估內部控制制度設計及執行成效的過程，評價管控內部控制制度是否有效設計及執行，并適時修正改善。首先是例行管理，由各項業務承辦人及其主管，經常執行的一般控管及督導作業；其次是自行檢查，由企業部門內部各部門，就內部控制制度設計及執行的有效性加以評估，并及時補救或改正，且作成紀錄建檔；最后是稽核機制，統合或運用相關稽核職能，復核內部各部門的內部控制制度自行檢查結果，據以客觀評估企業部門整體內部控制制度是否有效運作，就稽核所發現的缺失及改善建議，提報企業部門內部控制專案小組，并追蹤改善情形。
