3. 内部控制测评。首先，项目组根据时间进度收集各职能部门、分支机构的问卷及其附表，进行汇总、分析，确定测评范围。测评范围的确定必须以风险为导向，同时依赖于项目组人员的职业判断。其次，设计并确定测评程序及测评工作底稿。在正式开展测评工作之前，项目组人员必须事先设计并确定各项关键控制活动的测试程序及工作底稿，用以规范内控审计工作，降低审计风险。最后，在下发内部控制测评通知后，项目组根据审计程序开展现场审计工作。
4. 测评报告和后期跟踪。项目组根据各职能部门自我评估以及独立测评的结果，向管理层和董事会提交内部控制测评报告。针对内部控制自我评估及独立测评过程中所发现的内部控制缺陷，相关职能部门、分支机构必须拟定整改计划，并实施整改，项目组负责整改事项的监督，必要时实施后续审计。
三、启示和思考
全面风险管理的内控体系建设在我国尚处于发展阶段，上海大众在整个项目的执行过程中，留给我们许多启示和思考：
1.治理效果问题。每一家企业都有自己的内控体系，只是水平层次不齐。构建全面风险管理内控体系，不是否定原来存在的一切内部控制制度、重新树立一套新的控制体系，而应该在梳理已有内控体系的基础上，根据企业自身治理水平的长处和短处进行完善和提高，整个建设过程应平稳积极，避免过多的震动，同时又能积极提升公司治理水平。
2.建设支持问题。上海大众在内控建设上的成功，在很大程度上归功于董事会、高管层对内控建设的高度重视。内控体系是公司风险管理的重要抓手，是公司健康运行的“神经系统”。在公司内部进行充分宣传，取得公司各个层面的理解和支持，在思想上取得认同，是企业建立真正行之有效的内控体系的关键。
3.收益成本问题。内控体系的成本不仅在于制定的过程需要大量的投入，耗费企业一定的财力和人力，内控体系的日常执行，在一定程度上也会提高公司的运行成本。所以，在内控体系的设计上，对任何企业控制点的设立，必须科学地进行分析，根据企业管理水平进行最为恰当的设计和建立，而不是简单地照照搬其他企业的控制体系。
4.持续改善问题。应该说，内控体系的建设只有起点，没有终点。内控体系的不断完善，实质上也是公司管理水平、治理水平不断提升的过程。上海大众对内控建设提出了“不断完善，追求卓越”的口号，实际上正是出于这一考虑，内控体系建设是一场真正的从普通到优秀、从优秀到卓越的持久战。
