在复杂环境下经营的企业，投资者对投资行为的选择，不仅仅是基于财务数据和相关信息，还要基于对公司内部控制系统设计与运行质量的分析，以判断企业的抗风险能力。
内部控制评价是指由企业董事会和管理层实施的，对企业内部控制有效性进行评价，形成评价结论，出具评价报告的过程。上海证券交易所与深圳证券交易所分别从2006年和2007年开始，要求上市公司在年度报告中进行内部控制评价。财政部等五部委制定的《企业内部控制评价指引》即将颁布，并于2009年7月1日起开始实施。
要使内部控制评价产生期望的效果，必须透彻认识内部控制评价的初衷，做好评价中的关键性工作。
评价意图 ：防范风险与树立投资者信心
在复杂环境下经营的企业，投资者对投资行为的选择，不仅仅基于财务数据和相关信息，还要基于对公司内部控制系统设计与运行质量的分析，以判断企业的抗风险能力。
企业的风险来自于两大类：一是来自于违背外部强制性规定，包括合规性、财务报告及相关信息的真实可靠、资产的安全；二是来自于内部管理系统的适应性，包括战略定位与实施手段、管理的效率与经营的效果。第一类风险的发生将使企业承担违规成本，导致企业价值下降，第二类风险的发生将直接影响企业获取现金流的能力，增加投资回报的不确定性。企业建立内部控制系统就是为了防范上述风险。
企业的经营环境、经营业务、公司规模和组织结构是处于变化之中的，因此无论是公司层面的，还是业务层面的内部控制也应随之改变，内部控制系统的有效性体现为设计的科学性和运行的有效性的高度统一。董事会和管理层通过实施内部控制评价，评估内部控制系统对环境变化的适应性，并从设计和执行两个角度不断完善。在披露2007年年报的862家沪市上市公司中，虽然只有144家上市公司披露了内部控制评价报告，但从效果看，这144家上市公司出现重大会计差错、被出具非标准审计意见报告以及受证监会处罚的比例远远低于未披露内部控制评价报告的公司。
尽管我国目前已经出台且即将出台一系列有关内部控制的规定，但作为系统工程，内部控制达到预想的效果并非一日之功。监管部门颁布的内部控制规范是通用性内部控制框架，企业需要据此建立针对特定企业的内控操作系统。内部控制框架具体化的过程也是企业行使内部控制剩余控制权的过程，企业对通用版内部控制框架的遵循程度以及剩余控制权行使的恰当与否十分关键。通过内部控制评价，企业可以向控制者传递相关信息，以便其判断被投资企业的风险度以及投资回报的把握性。
评价组织 ：打造具有合力的组织体系
董事会是内部控制制度建设和评价的核心。但是内部控制评价过程是一个涉及面广、内容繁多的工作，必须改变监事会、审计委员会、审计部之间的松散关系，做好董事会、监事会、审计委员会、审计部（或独立的内部控制评价机构）相关部门的功能定位与职责分工：董事会领导内部控制评价、监事会对董事会领导的内部控制评价过程进行监督、审计委员会负责组织内部控制评价、审计部（或独立的内部控制评价机构）具体实施内部控制评价。对于规模庞大、辐射面广的大型企业，应该将内部控制评价职能从审计部独立出来，设立单独的内部控制评估机构。
评价内容 ：有效性与经济性
内部控制评价是紧密围绕目标进行的。既可以按强制性法律法规的要求，围绕合规性、财务报告及相关信息的真实可靠、资产的安全三个目标进行评价，也可以围绕战略实施手段、管理的效率和经营效果进行评价，还可能是在年报中围绕内部控制五个目标进行全方位评价。此外，在保证有效性前提下追求经济性也是不可忽略的。因此，内部控制评价应同时评价以下三方面内容：
1、内部控制系统设计的有效性。评价内部控制设计有效性是指评估为实现控制目标所必需的内部控制要素是否都存在并且设计恰当，从而判断其中是否存在设计缺陷、是否缺少为实现控制目标所必需的控制。
2、内部控制运行的有效性。评价设定的内部控制系统是否按照规定程序得到了正确执行，是否存在设计完好的控制未按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力。
3、内部控制系统设计及运行的经济性。经济性评价是评价在为内部控制有效性提供合理保证的前提下是否尽可能做到简便易行、降低运行成本，从而在控制风险的前提下为股东创造最大化财富。
