众多学者认为《企业内部控制基本规范》及其配套指引共同构成了我国的内部控制规范体系。内部控制规范体系包括两个层次：《企业内部控制基本规范》是总纲，“指引”则是按照《企业内部控制基本规范》建立的具体操作指引。

图1-9　我国企业内部控制规范体系结构图

由图1-9可知，在内部控制规范体系之中，《企业内部控制基本规范》占据了塔尖位置，它是上市公司开展内部控制建设的指导性文件。《企业内部控制基本规范》对内部控制的基础概念（定义、目标、要素与原则）进行了系统阐述，内部控制被定义为全体员工（包括董事会、监事会与管理层在内）共同参与的、以达成五大控制目标为目的过程，其中五大目标分别是经营的效率与效果、资产的安全性、经营管理的合法合规性、财务报告的真实完整性、发展战略的可达成性。五大要素分别是内部环境、信息与沟通、控制活动、风险评估以及内部监督。五大原则分别是重要性、全面性、适应性、制衡性与成本效益性。(www.daowen.com)

“指引”是对《企业内部控制基本规范》的进一步引申和发展，主要由三个分指引组成——“应用指引”“评价指引”以及“审计指引”，三者既相互联系，又相互独立。在“指引”体系中，“应用指引”是核心，是对《企业内部控制基本规范》阐述的基本概念展开的操作指引，而“评价指引”和“审计指引”则是有机组成部分，分别从自我评价和审计评价两方面对如何评价内部控制有效性展开的具体操作说明。

首先，“应用指引”是对企业如何开展内部控制建设进行的具体说明，主要分为宏观制度层面和具体业务层面，宏观制度层面主要包括企业的组织结构、文化与战略、社会责任等，具体业务层面主要包括日常经营管理过程中的经济业务与活动，例如销售与采购业务、研究与开发活动、资金管理、合同管理等。其次，“评价指引”是企业对内部控制有效性进行自我评价和出具评价报告的具体执行标准，包括评价程序、缺陷认定和评价报告三个部分。对于评价程序，内部控制的评价过程主要由以下程序组成：先创建团队并确定执行方案，然后采用现场调查来搜集内部控制缺陷，并对结果进行分析与汇总，最后编制报告。对于缺陷认定，内部控制缺陷按其严重程度可分为一般缺陷、重要缺陷以及重大缺陷。对于评价报告，上市公司应对外披露缺陷认定依据、类型与修正情况，以及评价结论等内容。最后，“审计指引”是会计师事务所进行内部控制审计的执业准则，它明确了内部控制的责任主体，即管理层和注册会计师，其中管理层的责任包括两方面，一是建立、执行和维护内部控制，二是采用必要的评价程序进行内部控制有效性评价，并出具评价报告，而注册会计师的责任是，一是其出具内部控制审计意见，二是对发现的内部控制缺陷应予以披露。

依据财政部等五部委制定的时间安排，内部控制规范体系的实施应分为三个阶段：第一阶段，从2009年1月1日起，上市公司自愿实施内控规范体系；第二阶段，从2011年1月1日起，境内外同时上市的67家上市公司率先强制实施内控规范体系；第三阶段，从2012年1月1日起，A股上市的主板上市公司分类分批强制实施内部控制规范体系，而中小板和创业板暂不做要求。