内部控制缺陷是描述内部控制有效性的一个负向的维度。企业开展内部控制评价， 主要工作内容之一就是要找出内部控制缺陷并有针对性地进行整改。

内部控制缺陷认定在一定程度上决定了内部控制评价的成效， 且具有一定难度， 需要做出职业判断。为了指导企业科学、合理地认定内部控制缺陷， 切实帮助企业有效开展内部控制评价， 《企业内部控制评价指引》 第十六条至第十九条对内部控制缺陷的分类、认定做出了专门的解释。

一、内部控制缺陷的分类

按照内部控制缺陷的成因或来源， 内部控制缺陷分为设计缺陷和运行缺陷。内部控制存在设计缺陷和运行缺陷， 会影响内部控制的设计有效性和运行有效性。

按照影响企业内部控制目标实现的严重程度， 内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

按照影响内部控制目标的具体表现形式， 内部控制缺陷分为财务报告缺陷和非财务报告缺陷。

二、内部控制缺陷的认定标准

1. 内部控制缺陷的重要性和影响程度

《企业内部控制评价指引》 第十六条规定， 企业对内部控制缺陷的认定， 应当以日常监督和专项监督为基础， 结合年度内部控制评价， 由内部控制评价部门进行综合分析后提出认定意见， 按照规定的权限和程序进行审核后予以最终认定。

内部控制缺陷的重要性和影响程度是相对于内部控制目标而言的。按照对财务报告目标和其他内部控制目标实现的影响的具体表现形式， 下面分别介绍财务报告内部控制缺陷和非财务报告内部控制缺陷的认定标准。

2. 财务报告内部控制缺陷的认定标准

财务报告内部控制是指针对财务报告目标而设计和实施的内部控制。由于财务报告内部控制的目标集中体现为财务报告的可靠性， 因而财务报告内部控制的缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。换句话说， 财务报告内部控制的缺陷是指不能及时防止或发现并纠正财务报告错报的内部控制缺陷。

将财务报告内部控制的缺陷划分为重大缺陷、重要缺陷和一般缺陷， 所采用的认定标准直接取决于由于该内部控制缺陷的存在可能导致的财务报告错报的重要程度。

3. 非财务报告内部控制缺陷的认定标准

非财务报告内部控制是指针对除财务报告目标之外的其他目标的内部控制。这些目标一般包括战略目标、资产安全、经营目标、合规目标等。非财务报告评价应当作为企业内部控制评价的重点。

非财务报告内部控制缺陷认定具有涉及面广、认定难度大的特点。企业可以根据风险评估的各项工作对 《企业内部控制应用指引》 中每一篇应用指引所阐述的风险， 根据自身的实际情况、管理现状和发展要求加以细化或按内部控制原理补充， 参照财务报告内部控制缺陷的认定标准， 合理确定定性和定量的认定标准， 根据其对内部控制目标实现的影响程度认定为一般缺陷、重要缺陷或重大缺陷。

三、内部控制缺陷的报告与整改

1. 内部控制缺陷报告的格式和途径

《企业内部控制评价指引》 第十九条规定， 企业内部控制评价部门应当编制内部控制缺陷认定汇总表， 结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况， 对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核， 提出认定意见， 并以适当的形式向董事会、监事会或者经理层报告。

内部控制缺陷报告应当采取书面形式， 可以单独报告， 也可以作为内部控制评价报告的一个重要组成部分。

2. 内部控制缺陷整改方案及期限

企业对于认定的内部控制缺陷， 应当及时采取整改措施， 切实将风险控制在可承受度之内， 并追究有关机构或相关人员的责任。

企业内部控制评价机构应当就发现的内部控制缺陷提出整改建议， 并报经理层、董事会 (审计委员会)、监事会批准， 获批后制定切实可行的整改方案， 包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的， 整改目标应明确近期目标和远期目标，以及相应的整改工作内容。