我国内部控制规范体系的配套指引“审计指引”指出，“内部控制审计是指被审单位聘请会计事务所对特定基准日的内部控制执行审计，并由注册会计师针对其设计与运行的有效性出具内部控制审计报告和审计意见”。从世界范围看，各国对内部控制审计一般采取两种做法：第一种是以法律法规的形式强制要求上市公司执行内部控制审计，例如美国的SOX法案、日本的J-SOX法案等；第二种是上市公司自愿执行内部控制审计，例如，加拿大证监会（CSA）制定的《年度报告的声明》规定，在多伦多股票交易所（TSE）上市的企业并不强制要求执行内部控制审计，而只需在年报审计过程中评价内部控制的有效性，并披露相关信息。加拿大COCO委员会前任主席迈克尔·甘恩认为：“尽管自愿性内部控制审计制度能够减轻上市公司的执行成本负担，但却给予了上市公司过多的自由选择权，导致近年来COCO《控制指南》的应用情况并不乐观，在全球的影响力逐渐衰退。”^[4]

在2012年以前，我国的内部控制审计制度主要借鉴第二种做法，即上市公司在自愿的基础上执行内部控制审计，且对内部控制自我评价报告与内部控制审计报告不做强制披露要求，这一自愿性的制度安排是由《企业内部控制基本规范》确定的。在2012年以后，我国的内部控制审计制度借鉴了第一种做法，即管理层在强制性披露内部控制自我评价报告的同时，还应聘请会计事务所执行强制性内部控制审计，并披露审计报告，这一强制性的制度安排是由《分类分批实施通知》确定。我国内部控制审计制度的具体结构详见图1-10。

《企业内部控制基本规范》与《分类分批实施通知》二者共同确立了我国上市公司和会计事务所执行强制性内部控制审计的基础框架和具体准则，其贡献在于：一是科学界定了内部控制审计的内涵；二是明确了管理层在内部控制评价方面的职责，即定期针对本企业内部控制的有效性进行自我评价，并强制披露相关评价报告；三是明确了会计事务所在内部控制审计方面的职责，即审计师应对内部控制的有效性执行内部控制审计，并披露内部控制审计报告和审计意见；四是细化了审计工作的具体指引，包括计划审计工作、实施审计工作等；五是确定了上市公司可选择内部控制审计与财务报表的整合审计模式。(www.daowen.com)

图1-10　我国强制性内部控制审计制度结构图