内部控制之妥当建立及有效执行，管理阶层责无旁贷，惟制度之设计是否妥当，执行是否落实。到底应由谁来评估，自从内部稽核专业诞生以后，似乎毫无疑问地被认为应由内部稽核人员负责。不过自从20世纪80年代在北美洲有些公司把控制及风险之评估交由各营运单位之管理阶层自行负责 [称为“自我控制评估” （Control Self-Assessment，简称CSA）以来，由于其成效显著，因此自20世纪 90年代中期起，CSA的实际已普受采用自我评估的组织，均有一正式的、有文件记录的过程，在此一过程里：

　　管理阶层及工作团队直接参与营运机能

　　判断企业流程的有效性

　　决定是否能合理保证达成全部或部分之营运目标

　　自我控制评估与品质控制稽核或ISO9000的稽核工作，性质上极为类似，系由各营运单位组成工作团队，例如品管圈定期开会，透过脑力激荡，坦诚沟通，找出作业流程或控制之问题所在，并提出改善之行动方案。

　　自我控制评估乃是针对企业经营流程与控制风险的一种新的咨询做法，可以广泛使用于想获得集思广益成效的全员晶管、持续改善、内部稽核及其他领域。

　　CSA的有效采行，可以减低内部稽核的成本；内部稽核辅以CSA，可以提升内部控制资讯及报告的品质。

　　CSA 虽然是一种极为优良的管理实务，但是其本身并非内部稽核，因其缺少稽核所需之独立性与客观性。CSA如果加以良好设计及了解，对各营运单位之风险管理及流程改善，是极为有用的。但如想以它取代内部稽核，则可能造成一种错误的安全感。在组织及人员缩减的情况下，中级管理阶层减少而使控制幅距加大，内部稽核的功能反而越显重要。

　　自我控制评估的发展，着重于利用相互交流讨论形式的研讨会来评估整个企业的运作-包括确认目标，认识可影响目标的因素及正确的控制这些因素的程序。一些专家把整个过程称为“结构性交流”（Structured Conversations）。

　　自我控制评估通常系透过研讨会（GSA session or workshop），由与会人员坦诚对控制与风险问题提出检讨。内部稽核人员通常会派代表参与并引导如何做好控制评估，因此GSA研讨会可以说是一种知识移转或交流。在此场合，稽核人员会解释控制之目的及其与被稽核者营运活动之关系。被稽核者透过讨论流程相关各单位间的互动，学习更多有关企业的流程，因此使得流程改善及效率问题

　　可以与控制问题一并列入行动方案。

　　自我控制评估如能有效实施，可以达到下列效果：

　　？？稽核人员顺利完成对控制之评估。

　　？？被稽核者了解控制之目的。

　　？？管理阶层主动负责维护良好之控制环境。

　　？？流程改善问题被辨识并加以解决。

　　把控制及风险的评估交由各营运单位自行办理，为确保其成效，内部稽核人员应扮演促进者或引导人（Facilitator）的角色。理想的CSA研讨会通常有8到15位来自各部门的中上层干部参与者。为使研讨会有效及顺利进行，宜有两位主持人（称为促进者或引导人），其中一位熟悉研讨单位的营运作业流程，以确保整个讨论不会离题，通常担当这个责任的人兼任研讨会的记录员；另一位是研讨会的灵魂人物，操纵着整个研讨会。要挑起这份重担，这位主持人对控制评估概念必须有深厚的知识，最理想的莫过于内部稽核人员。

　　CSA成功的关键要素之一是主持人的运作技巧。除了解控制评估概念及熟悉各单位的营运活动之外，主持人必须心胸开放，立场超然，能引导与会人员踊跃发言。他知道如何鼓励较沉默的参与者发言，且避免让较多话者垄断整个局面。另一方面，主持人的任务在确保有系统的讨论并能深人问题的核心，且定时综合所有的论点。因此，主持人必须接受有关的训练，在CSA开始阶段或过渡时期，许多机构聘请外来的顾问以提供援助。

　　自我控制评估最大的功能是它可启发程序教育的作用，把所有与营运活动有关联的人员集中在一个会议室中，探讨评估整个营运程序。CSA研讨会让每位参与者了解个人在机构中所扮演的角色，同时也了解他人对机构的关键作用及贡献。

　　当所有相关的人员同时在一起评估整个流程时，他们多半能共同意识到机构内部单位唇齿相依的天性。更重要的是，他们可共同探讨现行的程序是否适当。因此，  CSA最适于流程改造。由于企业性质、环境、科技的改变而造成的落伍、多余、或不适用的程序，都可在研讨会中或会后删除及改善。CSA的另一边际效用在于每个人员都参与整个评估过程，无形中形成一股认同感，使这些部门主管、经理能较认真地执行他们的职责及与其他部门主管合作。利用CSA可让稽核人员同时与机构内的主要干部沟通，也使主要营运程序同时得到全体人员的仔细审查和汇总。如此一来，稽核人员能有全面反映现实的报告，并且更有效、更恰当的运用有限的稽核资源。CSA也能搜集在传统稽核程序中无法取得的有关于“柔性控制”（soft control）（例如：员工的正直性、品德及相互信任的程度）的宝贵资料。

　　有效的自我控制评估至少应有下列条件的配合：

　　1.决定如何引进CSA；一年举办几次CSA研讨会（通常一年10次比较理想）及由谁主持。

　　2.资深管理阶层对CSA的支持、指引及了解。

　　3.正式的风险分析及评估。

　　4.优秀的CSA主持人。

　　5.对控制的优缺点及风险坦诚讨论及揭露。

　　6.对自我评估所欲达成的结果有明确界定并取得共识。

　　7.有效的报告及追踪，并取得参与人员的回顾意见。

　　自我控制评估的过程，可分为下列五个阶段： .

　　1，取得管理阶层的承诺与支持。如果没有做好事先的行销计划，可能得不到各单位管理阶层对CSA的认知、承诺与支持。

　　2.适当的规划。CSA的工作团队与管理阶层共同制定营运单位的主要目标及为达成主要目标的8～12项支持性目标。规划尚包括针对支持性目标准备研讨会的问题，遴选及通知参与人员，决定日期，安排场所及设备，编制研讨会之资料及电子投票机器等。

　　3.进行研讨会。研讨会是自我控制评估的重要工作，通常每次4～8小时，以不超过两天为原则。研讨会的气氛必须使参与人员均能公开、坦诚及彼此信任，以收集思广益之效。

　　4.报告研讨的结果。在CSA研讨会结束后，工作团队应根据讨论的工作底稿，包括CSA成员对于成功，阻碍及建议的回馈，尽速加以汇总整理，送参与人员复核。然后分析共同的问题及改善的困难与机会，提出报告初稿，连同参与人员的建议及详细的工作底稿，于两星期内送请单位管理阶层。

　　5.提出行动计划。CSA的最后阶段是协助管理阶层针对研讨会的报告所提出之问题，与该单位的最高管理阶层再开会讨论（时间可能2～5小时），由管理阶层决定优先顺序，拟订行动方案，以改善CSA团队所发现的重大问题。在会后两周内，将正式的报告分送所有的营运单位管理阶层及CSA参与人员。， 自我控制评估在当今的经营环境中存在着巨大的潜能，GSA所概括的不断改善的精神与现代的全员品管（TQM）概念非常匹配，GSA与整体运作的概念及群体学习的模式亦有相互吻合之处。最重要的是，CSA提供了一个从基层往上的沟通资讯管道，这个管道能协助资深管理阶层及稽核人员设计一个有效率的营运系统，加强内部控制以降低营运风险，并激发所有相关人员坦诚合作的精神及利害与共的意识。

　　自我控制评估除利用工作研讨会方式进行外，也有些公司采用问卷调查。问卷调查又可分为两种：（1）一般的问卷设计（Questionnaire），填答“是”“否”，或“满意”或“不满意”的程度（例如分为 1～7分尺度）；

（2）风险／控制矩阵（Risk／Control Matrix），列出目的；风险、相关控制，并以文字叙述方式评估其有效性。

　　问卷的设计必须小心，提供明确的指示，俾能正确回答。其次，问题的措词必须明确，避免语意不清。还有，必要时由专家参与解释问卷回收的结果。

　　问卷调查与工作研讨会两种方式各有优缺点。前者之优点在于不具名（可以放心填答）、有效率及避免“团体思考”；缺点则为对问题的探讨不够深入，且易流于形式。后者之优点则为集思广益，增进公开沟通及每一位参与者帮助研拟行动方案；缺点则为需要投入较多的人力物力。

　　依照中国台湾地区证券及期货管理委员会之《公开发行公司建立内部控制制度实施要点》规定，公开发行公司应确实执行内部控制制度，并随时自行评估，以因应内外在环境之变化。依“实施要点”规定，自行评估系由内部各单位定期自行查核其内部控制制度，另由稽核单位考核其成效，以作为评估公司整体内部控制制度有效性之依据。中国台湾地区《金融机构内部控制及稽核制度实施办法》亦规定金融机构应建立自行查核制度，由各营业、财务保管及资讯单位每半年至少办理一次一般自行查核，每月至少办理一次专案自行查核。此一自行查核的精神与前述内控自我评估极为类似，虽然做法容或有不同。