關(guān)于內(nèi)部控制評審到底從何入手的問題，有以目標(biāo)為導(dǎo)向、以目標(biāo)為導(dǎo)向、以程序?yàn)閷?dǎo)向、以過程為導(dǎo)向、以結(jié)果為導(dǎo)向、以價值為導(dǎo)向等多種說法。財政部正在征求意見的《企業(yè)內(nèi)部控制審計指引》（征求意見稿09.2.3）：內(nèi)部控制評價是緊密圍繞目標(biāo)進(jìn)行的。既可以按強(qiáng)制性法律法規(guī)的要求，圍繞合規(guī)性、財務(wù)報告及相關(guān)信息的真實(shí)可靠、資產(chǎn)的安全三個目標(biāo)進(jìn)行評價，也可以圍繞戰(zhàn)略實(shí)施手段、管理的效率和經(jīng)營效果進(jìn)行評價，還可能是在年報中圍繞內(nèi)部控制五個目標(biāo)進(jìn)行全方位評價。此外，在保證有效性前提下追求經(jīng)濟(jì)性也是不可忽略的。
3C框架認(rèn)為，從內(nèi)部控制評審本身以及目前的發(fā)展情況來看，內(nèi)部控制評審主要存在詳細(xì)評審法和風(fēng)險導(dǎo)向評審兩種方法。詳細(xì)評審法遵循的思路是以內(nèi)部控制框架或標(biāo)準(zhǔn)為參照物，根據(jù)內(nèi)部控制框架的構(gòu)成要素是否存在，評價內(nèi)部控制的設(shè)計有效性；然后，測試內(nèi)部控制的運(yùn)行有效性；最后，綜合設(shè)計和運(yùn)行的評價對內(nèi)部控制的有效性做出總體評價，評估內(nèi)部控制目標(biāo)實(shí)現(xiàn)的風(fēng)險，判斷是否存在實(shí)質(zhì)性漏洞，確定內(nèi)部控制是否有效。這種思路和方法的特點(diǎn)是從控制到風(fēng)險，即從內(nèi)部控制到相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險，比較適合用于內(nèi)部控制的建立和保持，而對評價內(nèi)部控制的有效性并不十分恰當(dāng)。
風(fēng)險導(dǎo)向評審法的基本思路是：首先，要評估相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險；其次，識別和確定組織充分應(yīng)對這些風(fēng)險的內(nèi)部控制是否存在，即評價內(nèi)部控制的設(shè)計應(yīng)對相關(guān)目標(biāo)實(shí)現(xiàn)風(fēng)險的有效性；第三，識別和確定內(nèi)部控制運(yùn)行有效性的證據(jù)，評價現(xiàn)有的控制是否得到了有效的運(yùn)行；最后，對控制缺陷進(jìn)行評估，判定是否構(gòu)成實(shí)質(zhì)性漏洞，確定內(nèi)部控制是否有效。這種思路和方法的特點(diǎn)是從風(fēng)險到控制，即從內(nèi)部控制相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險到內(nèi)部控制，充分體現(xiàn)了“自上而下，風(fēng)險基礎(chǔ)”的理念。
從目前的現(xiàn)狀以及未來國際發(fā)展趨勢來看，內(nèi)部控制評價基本上都趨向于采用風(fēng)險基礎(chǔ)評審方法。美國證券交易委員會和公共公司會計監(jiān)督委員會2007年分別發(fā)布的管理層報告內(nèi)部控制的指南（SEC，2007）和內(nèi)部控制審計準(zhǔn)則（PCAOB，2007）都采用了這一方法，英國、日本、加拿大等國的上市公司的內(nèi)部控制年度評價也采用了風(fēng)險基礎(chǔ)評審方法。日本內(nèi)部控制評價與審計準(zhǔn)則：采用一種自上而下的重視風(fēng)險的方法，即著眼于與財務(wù)報告相關(guān)重要虛假記載相聯(lián)系的風(fēng)險，對業(yè)務(wù)流程相關(guān)的內(nèi)部控制進(jìn)行評價，具體策略：運(yùn)用自上而下的風(fēng)險方法；內(nèi)部控制缺陷的分類，將內(nèi)部控制的缺陷區(qū)分為“重要缺陷”和“缺陷”兩類；不采用直接業(yè)務(wù)報告的做法；內(nèi)部控制審計與財務(wù)報表審計一并實(shí)施；內(nèi)部控制審計報告與財務(wù)報表審計報告一并編制等。
在我國《企業(yè)內(nèi)部控制基本規(guī)范》，建立以風(fēng)險防范和增加價值為評價導(dǎo)向、以五大要素（控制環(huán)境、風(fēng)險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督）為核心評價內(nèi)容、以控制標(biāo)準(zhǔn)和評價標(biāo)準(zhǔn)為評估標(biāo)尺的內(nèi)控自我評價體系?！镀髽I(yè)內(nèi)部控制評價指引》（征求意見稿）：內(nèi)部控制評價應(yīng)當(dāng)以風(fēng)險評估為基礎(chǔ)，根據(jù)風(fēng)險發(fā)生的可能性和對企業(yè)單個或整體控制目標(biāo)造成的影響程度來確定需要評價的重點(diǎn)業(yè)務(wù)單元、重要業(yè)務(wù)領(lǐng)域或流程環(huán)節(jié)?！镀髽I(yè)內(nèi)部控制審計指引》（征求意見稿09.2.3）：在內(nèi)部控制審計中，注冊會計師應(yīng)當(dāng)以風(fēng)險評估為基礎(chǔ)，運(yùn)用自上而下的方法，選擇擬測試的控制。自上而下的方法按照下列思路展開：從財務(wù)報表層次初步了解內(nèi)部控制整體風(fēng)險；識別企業(yè)層面控制；識別重要賬戶、列報及其相關(guān)認(rèn)定；了解錯報的可能來源；選擇擬測試的控制。
傳統(tǒng)的內(nèi)部控制評審模式主要是采用“內(nèi)部控制調(diào)查問卷”和符合性測試，對企業(yè)已經(jīng)存在的內(nèi)部控制進(jìn)行評價，評價報告中的建議也是“審核數(shù)豆子的人是否將豆子數(shù)得一粒不差”?，F(xiàn)代的以風(fēng)險為導(dǎo)向評審模式要求內(nèi)部審計人員改變傳統(tǒng)的評價模式，把審計的起點(diǎn)放在關(guān)注企業(yè)發(fā)展戰(zhàn)略和識別企業(yè)業(yè)務(wù)流程的風(fēng)險上，分析風(fēng)險，并提出控制風(fēng)險的建議和方法。特別需要指出，評價內(nèi)部控制并非為了控制本身，而應(yīng)針對企業(yè)經(jīng)營過程中可能面臨的風(fēng)險。在風(fēng)險導(dǎo)向?qū)徲嫹ㄏ?，審計人員更為關(guān)心的是下列問題：
與控制相關(guān)的目標(biāo)是什么？這種控制要解決的問題是什么？這種控制是否對被審計單位的經(jīng)營活動有益？是否存在重復(fù)控制？什么樣的風(fēng)險水平是可以接受的？控制的效果是否影響管理當(dāng)局決策？
現(xiàn)代的以風(fēng)險為導(dǎo)向評審模式下，評審人員大多采用內(nèi)部控制自評（CSA）、內(nèi)部控制矩陣法、利用網(wǎng)絡(luò)信息開展動態(tài)評估。
在內(nèi)部控制評審過程過程中，應(yīng)該以風(fēng)險管理理念為基準(zhǔn)。風(fēng)險管理成為組織管理關(guān)鍵所在，內(nèi)部控制評評價的重點(diǎn)應(yīng)該是確認(rèn)風(fēng)險及測試管理風(fēng)險的方法，在風(fēng)險導(dǎo)向的內(nèi)部控制評審中分析、確認(rèn)、揭示關(guān)鍵性的經(jīng)營風(fēng)險，在評價標(biāo)準(zhǔn)、指標(biāo)和權(quán)重的選擇上把握風(fēng)險管理理念。具體而言，在對內(nèi)部控制進(jìn)行整體評價和對單項內(nèi)部控制項目進(jìn)行評審時，均需確定執(zhí)行中的風(fēng)險點(diǎn)，并根據(jù)風(fēng)險點(diǎn)確定相應(yīng)的控制評價標(biāo)準(zhǔn)，對內(nèi)部控制設(shè)計的有效性和運(yùn)行的有效性進(jìn)行評價。
