一、两种评价主体的比较
根据我国的实际情况，在现阶段，我们认为内部控制评价的主体应该是内部审计，而不是以注册会计师为主的外部审计。我们更应重视不以鉴证为目的而是用于加强企业自身内部控制建设、由内部审计实施的内部控制评价工作，这才是我们当前的主要任务，也是一项基础性工作，并由此来推动更加完善的内部控制鉴证。这是因为，一方面，外部审计和内部控制鉴证一样，甚至更有利于推动企业内部控制建设；另一方面，它比内部控制鉴证更易于实施。主要表现在：
（1）由内部审计实施的内部控制评价，是以完善企业内部控制、加强企业经营管理为目标的，不会引起不必要的经济纠纷
企业对于自身内部控制评价标准的确定相对容易，因为内部审计是企业的成员，对企业的经营活动比较熟悉，其内部控制标准容易制定，而且其评价成本相对较低，在技术上也不成问题。同时，由董事会领导下的内审人员通过评价管理当局的内部控制状况，容易防止“内部人控制”现象。而注册会计师要面临各种各样的企业，内部控制评价可能超越其专业胜任能力。
（2）侧重于内部管理的内部控制评价主要是为内部控制鉴证做准备，是企业进入内部控制鉴证前的过渡时期，它与内部控制鉴证并不矛盾。董事会委派内部审计对企业内部控制进行评价，必将加速内部控制的建立与完善。当内部控制能够在企业上下各级贯彻执行时，一方面会加强企业员工以及广大投资者的内部控制意识，增强其对内部控制信息的需求；另一方面，内部控制鉴证也会变得相对容易。
注：a。我国《内部控制审核指导》限定在与会计报表相关的内部控制；美国《萨班斯-奥克斯利法案》将评价限定在财务报告内部控制；我国台湾地区的《专案审查作业要点》要求对“与财务报告和保障资产安全有关的内部控制”等。
b。内部审计是在审计委员会的领导下展开工作，而审计委员会属于公司治理层次，通常由独立董事组成，具有较高的独立性。虽然注册会计师是企业的外部人员，但由于其往往受托于公司的董事会（或股东大会），从而其与审计委员会具有相似的独立权威性。而且独立的内部审计有利于各利益相关人之间的信息沟通，能够使各利益相关人了解企业内部控制体系是否完善或是否执行。
二、内部控制评价主体的层次性
《会计法》明确规定单位负责人应对单位内部控制负责，但单位负责人的概念过于模糊、笼统。内部控制的范围非常广泛，涉及企业的方方面面，从权责分工到经营方式，从会计信息到内部审计。其控制对象包括从董事会到职工等全部员工。企业内部控制大致可分为三个层次：高层、中层和底层。每个层次内部控制的内容、具体目的、客体和主体都不同，都有着自身的特点，具体分析如下。
内部控制的高层是指股东大会、监事会、董事会和总经理之间的控制，即公司治理层次。公司治理层是内部控制的源头。根据我国公司治理现状，建立健全这一层次的内部控制要解决的主要问题是：
（1）优化股东结构，完善企业的资本结构，引入机构投资者等大股东，或借鉴德日做法引入银行约束
（2）优化董事会结构，加强对董事会成员的考核和激励
（3）加强对总经理的监督和激励，消除“内部人控制”现象，减少或降低代理成本。这一层次内部控制的主体从理论上讲应是公司的股东，但由于公司的具体情况不同，具体行使此职能的机构也会有所不同，如国有企业可能由国有资产管理部门或国有资产投资公司行使等。
内部控制的中层是指总经理领导下的中层管理人员之间的控制，即公司管理层次。这一层次的内部控制主要表现在各部门的分权和制衡上，是企业内部控制的躯干部分。大部分企业的内部控制失效都表现在这一层次。这一部分内部控制的主体应是总经理，应对内部管理层次的内部控制负责。
内部控制的底层主要是指企业业务部门中基层员工之间的控制，即具体业务层次。这一层的内部控制主要表现为具体的内部管理控制和内部会计控制，可由五大业务循环中的控制来体现，即进货或采购循环、生产过程循环、销售和收款循环、劳动工资循环和理财循环。这一层次内部控制的主体是各业务部门的负责人。
内部控制的主体直接决定了内部控制评价的主体定位。内部控制评价可有鉴证和管理两个角度。对内部控制鉴证来说，其主体是注册会计师。而侧重于管理方面的内部控制评价的主体定位应是内部审计。
本书研究的重点在于公司管理层次和具体业务层次内部控制的评价，而对于公司治理层次内部控制的评价一直是由证监会进行，本书不作研究和论述。
企业内部控制中层和底层的最高负责主体是总经理，按照委托代理的经济学原理，对这部分内部控制的评价应由总经理控制之外的部门来进行。综观企业组织结构的发展历程，这一使命落在了内部审计身上。而内部审计若作为内部控制评价的主体，其在企业中的定位显得尤为重要。内部审计在企业中的隶属关系问题历来是会计审计界讨论的热点。本书运用委托代理理论，并结合国外成熟经验对内部审计加以研究。
根据委托代理理论，如果内部审计成为总经理的代理人，其活动将在总经理的授权或指使下进行，无法对总经理负责的内部控制做出客观的评价，对企业经营无法起到应有的作用。
三、内部审计在企业组织中的定位
在内部审计的组织机构方面，现代西方国家的企业普遍设立审计委员会进行内部审计监督。审计委员会是西方国家实行的一种内部控制制度，从其内容和地位上看，已成为公司治理结构的组成部分。西方许多国家的法律明文规定，企业必须设立审计委员会，健全内部控制。如在COSO报告中，就重申了审计委员会在监督内部控制过程中的重要作用。另外，从审计委员会的职责和作用看，它应该是所有者监督经营者的工具或措施，可以断定审计委员会应该是董事会的代理人，向董事会负责并报告工作，代表董事会监督财务报告过程和内部控制，以保证财务报告的可信性和公司各项活动的合规性，审计委员会只有处于这样的位置才能保证其权威性和客观性，同时为内部审计正常运行打下基础。
内部审计接受董事会的委托，摆脱了总经理的束缚，将会充分发挥自身的效能，在帮助管理当局更有效地达到预期控制目标的过程中，评价企业内部控制系统，以期达到组织成功所需要的内部控制水平。
值得注意的是，委托（聘请）或更换注册会计师是由审计委员会进行的，从而内部审计和外部审计皆接受审计委员会的委托，向审计委员会报告工作，具有相似的独立性和权威性，皆能够代表各利益相关人的利益。
§§第十一章 内部控制评价的基础
