2026年4月，国务院国资委印发《关于推动法治央企建设进一步走深走实的方案》，把“子企业内控与合规体系有效性评价”写入其中，并要求评价结果与考核挂钩。信号由此明确：内部控制不再只是“制度有没有、流程走没走”的合规动作，而是要被检验“运行有没有效、风险管没管住”的管理能力。

2008年，财政部等五部门印发《企业内部控制基本规范》，把内部控制定义为“由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程”。定义的重心不在文本，而在“过程”二字。2010年配套指引落地后，评价与审计两条线补齐，“过程”第一次有了可检查的尺子。

但尺子有了，不等于量得准。一个常见现象是：制度汇编越做越厚，同一类缺陷却年年认定、年年整改。问题往往不在制度缺失，而在控制没有真正长进流程里。

01 政策脉络：内控的评价标准，从“有没有”转向“灵不灵”

我国内控规范的骨架由三个层次构成。

第一层是基本规范。2008年印发的《企业内部控制基本规范》（财会〔2008〕7号）第三条明确，内部控制是由董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，目标包括合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。第五条把有效内控拆成五个要素：内部环境、风险评估、控制活动、信息与沟通、内部监督。

第二层是配套指引。《企业内部控制配套指引》（财会〔2010〕11号）由应用指引、评价指引、审计指引组成。评价指引第二条把内控评价定义为“企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程”；审计指引第二十条则把缺陷按成因分为设计缺陷和运行缺陷，按影响程度分为重大缺陷、重要缺陷和一般缺陷。

第三层是出资人监管要求。2019年印发的《关于加强中央企业内部控制体系建设与监督工作的实施意见》（国资发监督规〔2019〕101号）第八条要求，把内控措施嵌入各类业务信息系统，“确保自动识别并终止超越权限、逾越程序和审核材料不健全等行为”。2022年施行的《中央企业合规管理办法》（国资委令第42号）第二十七条要求中央企业定期开展合规管理体系有效性评价；2026年4月的32号方案进一步把子企业内控与合规体系有效性评价与考核挂钩。

三层文件指向同一件事：内控的合格线，已经从“制度建了没有”，移到“控制跑没跑起来”。

02 为什么“运行”是内控的分水岭

内控失效，很少是因为没写制度，更多是因为三个断层。

一是制度与流程两层皮。制度里写着“重大事项须经集体决策”，流程里却是先办后批、批完补签；制度里写着“不相容岗位分离”，实际是一人兼着录入与复核。文本上的控制点齐全，业务上的控制动作缺席，这类问题在自评价里最容易被写成“已建立、已执行”。

二是控制与评价两张表。业务部门按流程办事，内控部门按要素打分，两套语言互不对应。评价时找不到控制运行留下的痕迹，只能靠访谈和抽样；抽样抽不到，就默认“运行有效”。

三是整改与销号两条线。缺陷认定了，整改方案也有了，但责任压在综合部门，时限写成“持续推进”，销号靠自我声明。结果是同一类问题在不同年度、不同子企业反复出现。

审计指引把缺陷分成设计缺陷与运行缺陷，这个分类本身就是提示：设计缺陷可以靠改制度解决，运行缺陷只能靠改习惯、改系统、改考核解决。多数企业不缺设计，缺的是运行证据。

03 落地关键：四个“进”

控制进流程节点。101号文第八条讲的是“自动识别并终止”，这个要求的分量在于“终止”——控制必须写成系统规则，在越权、跳程序、材料不全的当口把动作拦住，而不是在审批表上留一句“请审核”。控制点一旦变成硬约束，运行才有稳定证据。

缺陷进整改台账。2026年1月6日，钢研高纳披露的《内部控制评价管理办法》第三十八条要求，评价部门要根据认定的缺陷研究制定整改方案，明确整改责任部门、责任人和完成时限，整改方案应符合准确性、可执行性、及时性。中国海油财务的做法是把“问题、整改、销号”分设三本账，逐条制订措施、闭环管理、动态销号（国资委官网2026年7月2日）。台账的价值不在记录，而在每一项都有责任人和时限。

评价进董事会与考核。评价指引第二条把评价主体定为董事会或类似权力机构，这意味着评价结论不是部门意见，而是治理层的判断。42号令第二十七条要求定期开展有效性评价，32号方案第十二条要求评价结果与考核挂钩。评价只有进入考核，才有改运行的压力。

数据进系统底座。42号令第三十四条要求把合规要求嵌入信息系统，第三十五条要求系统互联互通，第三十六条要求运用大数据实时监测、即时预警。内控同理：控制点如果没有数据留痕，评价就只能靠抽样和回忆；系统不联通，跨部门、跨层级的控制链就断在接口上。

04 三个容易走偏的地方

把内控做成制度汇编。制度越厚不等于控制越强。基本规范第五条给的是五个要素，不是五本汇编；要素要落到岗位、节点和记录上，才有评价价值。

把缺陷认定做成文字游戏。审计指引第二十条的三种程度不是修辞。认定从宽、整改从简，短期能让评价报告好看，但审计、巡视和监管检查迟早会把口径拉回事实。缺陷认定的严肃性，决定整改的真实性。

把内控推给内控部门。基本规范第三条写明实施主体是董事会、监事会、经理层和全体员工；42号令第五条要求“管业务必须管合规”。内控部门能做的是定标准、做评价、抓督办，控制动作必须由业务岗位完成，否则评价查到的是文件，不是运行。

控制立在流程节点上，制度才不会停在纸面；

缺陷记进整改台账里，问题才不会年年重来；

评价落到考核结果上，运行才不会失去约束。

把这三件事做实，内部控制才从“建起来”走到“用起来”。