在讨论具体的 方法 与技术之前，解决基本的认识 问题 更为重要。按照这种思路，下文首先讨论如何转变观念和制定内部控制评估战略，然后介绍如何以风险为导向优化评估方法及调整人力资源机制和有效使用信息技术的要点。
（－）重新认识内部控制评估在内部审计工作中的地位与作用
作为组织内部控制系统的一个重要组成部分，内部审计本质上是一种评价职能，通过衡量和评价其他各种控制的有效性来履行其职责。内部审计人员不可能也不需要与该单位从事各种活动的技术专家或经营专家具有同样知识（更不要说取而代之），但正是通过内部控制这座大门，内部审计得以检查与评价所在单位的所有活动并增加价值。因此，可以说内部审计工作本身就是内部控制评估，这种评估的侧重点可能在财务方面，也可能是在经营管理方面。按照评估范围的区别可将审计类型划分为财务审计与经营审计（或称之为 经济 效益审计）两大类。无论哪种审计，都牵涉到评估范围与评估目的、内部控制模式的选用及评估过程中风险 分析 等问题，内部审计人员对其认真加以 研究 是必要的。
（二）正确理解内部控制概念并选择适当的内部控制标准或模式
正确理解内部控制概念要求内部审计人员牢固树立以下观念：（l）过程观念。内部控制是对 企业 的整个经营管理活动进行监督与控制的动态过程，应与企业的经营管理过程相结合；
（2）重视人的作用。不仅仅是管理人员、内部审计或董事会，组织中的每一个人都对内部控制负有责任，在内部控制设计与评估过程中不能忽视人的重要性；
（3）注重软性控制。高级管理阶层的管理风格、管理 哲学 、企业文化、人员能力、内部控制意识等软性控制决定其他控制要素能否发挥作用；
（4）风险观念。风险是内部控制存在与变化的前提与基础；
（5）成本与效益观念。内部控制受先天条件所限及基于成本与效益原则考虑只能做到“合理”保证，没有不花钱的内部控制，也不存在完美无缺的内部控制。
在内部控制标准或模式选择方面，既然 目前 国内尚无成熟的内部控制标准或模式，适当借鉴国外的先进经验就不失为一个好的办法。COSO已获最广泛认同，企业可以其作为主要的参照标准并根据自己的实际情况加以细化与补充。在具体做法上，有条件的企业可由内审部门牵头编制内部控制手册。该手册并非企业以往所定规章制度的简单汇总，而是按照COSO框架所述的控制环境、风险评估、控制活动、信息与沟通及监督等五个内部控制要素分别展开，明确内部控制责任及各业务循环控制要求甚至包括风险分析与评估要点。手册既可作为全体员工遵循的指南，也可为内审部门及各级管理者提供内部控制与风险管理的 参考 工具。
（三）合理制定内部审计 发展 战略
该战略计划每年根据情况变化滚动编制。
（四）发展一个风险导向的内部控制评估方法风险可视为达成组织目标所面临的不确定性，一个企业的内部控制系统存在的根本目的在于对威胁其目标达成的风险提供管理，没有风险也就不需要内部控制。
目标、风险与控制之间的上述逻辑关系是确立内部控制评估 方法 与思路的基础。以风险为导向意味着战略及目标 分析 和业务过程评估先于具体工作。内部审计人员必须首先对组织所在的行业特点、经营目标及战略与相应的风险管理活动执行战略分析。了解诸如组织在其经营的行业和市场环境中的目标与战略是什么，政府法规或其他力量对组织本来转变有什么 影响 ，什么是影响公司战略的最根本风险等 问题 。
下一步，内部审计人员将分析组织目标、战略和重要经营风险之间的相互关系。并且将注意力集中在那些容易招致经营风险和能够产生额外机会的经营领域；决定哪些经营过程是最重要的，进而评估与这些过程相联系的内部控制活动的效率与效果。
作为上述过程核心部分的风险评估既可采用定量分析方法，也可定性分析。除 参考 IIA 考试 教材提供的风险评估办法（选择风险因于并衡量仅重）外，实践中我们还可对每一个业务过程可能发生的风险进行分类，建立所谓的风险识别图或风险资料库。审计人员通过设置方便衡量的关键变数或指标并监测其变化来实施预防控制，以预警机制及时发现问题并适时发挥监控功能。
此外，有效运用内部控制自评（CSA）也能大大改进内部控制评估过程的效率与效果。CSA不是将评估工作完全交与被审单位，而是采取合作的方式但不失内审人员独立的立场。使用CSA能达到 教育 经营单位，让其了解内部控制的重要性，明白控制与风险管理的最终责任在于其自身之目的。与此同时，内部审计人员也能收集在传统的审计程序中无法取得的有关软性控制的宝贵资料。
CSA并非不合国情，我国内审人员只要周详地计划及与传统的内部控制评估过程相结合，由简而繁，循序渐进地开展，相信将会取得满意的效果。
（五）善加利用信息技术
（六）调整人力资源机制
对于任何内审部门来讲，无论是转变观念还是实施革新的战略与方法，都需要良好的人力资源机制的支持。为解决内审人员的专业素质不高的问题，我们认为可有以下补充办法：一是适当增加管理及计算机等非财会专业人员的数量与比重；二是以某种正式安排吸收企业其他部门优秀人员到审计部门短期工作（2－3年），通过内部合理的人员流动补充审计部门人力资源缺口并可传播风险及控制观念；三是就某些复杂性较高的项目与企业内外部专家开展专项合作。
