风险场景
多数企业的内控自评是填表：各部门领一张表，勾选"已建立""执行中"，交上去就算完成。没有人验证勾选是否属实，也没有人跟踪去年发现的问题是否整改。
另一种情况是自评范围年年不变。业务已经扩展到新的品类、新的工厂，自评表还是老三样，新风险根本进不了视野。
缺陷分级也常被模糊处理。重大缺陷与一般缺陷混在一起，整改优先级不清，资源撒胡椒面，最后重要的漏洞依然存在。
控制目标
- 自评覆盖全部重要业务流程与新增业务。
- 缺陷按严重程度分级，整改资源优先投向高风险。
- 整改有责任人、有时限、有验证。
- 自评结论能为管理层决策与外部审计提供依据。
控制措施
- 年度范围界定。年初根据业务变化更新流程清单，新增品类、新增工厂、新系统必须纳入自评范围。
- 自评与测试结合。自评只是起点，内审需对关键控制点做独立测试，抽样验证自评结论的真实性。
- 缺陷三级分类。重大缺陷（可能导致重大损失或系统性失效）、重要缺陷（局部失效）、一般缺陷（操作瑕疵），分级对应不同的整改时限。
- 整改台账。逐项记录缺陷描述、成因、整改措施、责任人、截止日期与验证结果，每月更新进度。
- 管理层审阅。自评报告提交管理层与治理层，重大缺陷单独汇报，不作为普通事项淹没在附件里。
- 与外部审计衔接。把自评发现与底稿提供给外部审计，减少重复工作，也便于交叉验证。
自评要避免两个极端：一是自我美化，各部门只挑做得好的填；二是自我否定，把所有问题都往上堆，导致重点不清。可行的做法是先由内审提供上年问题清单与本年风险提示，各部门据此逐项说明现状与证据，再由内审抽样验证。证据要求具体，例如"权限清单""评审记录""整改台账"，而不是"已执行"三个字。东龙拉链在年度管理评审中坚持用数据说话：比价覆盖率、供应商复审完成率、异常处置率，这些指标比主观评价更能反映体系状态。
缺陷整改要防止"纸面关闭"。整改完成的标志不是提交了报告，而是控制点经过测试确认有效。建议整改期满后由内审做一次回访测试，未通过的重新列入清单并升级汇报。对于反复出现的同类缺陷，应追问制度设计是否合理，而不是反复追究执行人责任。内控自评的最终目的，是让企业每年都知道自己最薄弱的三个环节在哪里，并把资源投到那里，而不是生产一份漂亮的合规文件。
检查方法
| 自评维度 | 关键问题 | 证据要求 |
|---|---|---|
| 岗位分离 | 是否存在一人多权 | 权限清单与岗位矩阵 |
| 供应商管理 | 准入与复审是否执行 | 评审记录、复审台账 |
| 价格控制 | 比价与调价是否合规 | 询价单、调价审批 |
| 收货付款 | 三单是否匹配 | 抽样核对底稿 |
| 整改落实 | 上年缺陷是否关闭 | 整改台账与验证记录 |
自评报告中应包含"未整改事项"清单及其原因，连续两年未整改的缺陷应升级为重大事项上报。
案例与警示
某企业连续三年自评结论都是"内控有效"，第四年却因供应商舞弊造成重大损失。复盘发现，自评表三年未更新，采购比价、供应商准入等关键控制点根本没有列进去，各部门勾选的都是自己熟悉的老流程。自评的价值不在于结论好看，而在于敢不敢把真问题写进去。
还有一点常被忽略：自评报告应保留上一年的版本，便于对比缺陷是否重复出现。同一缺陷连续两年上榜，说明问题不在执行而在设计，必须重新审视制度本身。
本文用于内控意识培训，不构成法律或审计意见。