首先，在开始前风险评估之前，我们需要了解为什么要做这项工作，它对内控建设的意义是什么？

一是内控风险评估是政策要求。根据《行政事业单位内部控制规范（试行）》（财会〔2012〕21号）第八条的规定，单位应当建立经济活动风险定期评估机制，对经济活动存在的风险进行全面、系统和客观评估。并且至少每年进行一次。二是内控风险评估是内控落地的核心前提。内控建设本质就是针对单位经济业务活动中存在的风险制定对应的管理措施，如果不开展内部控制风险评估，制定出来的管理措施就是“空中楼阁”，难以落到实处，甚至增加不必要的人力成本、时间成本。因此只有先把单位各项经济活动中的风险找全、找准，才能针对性搭建适合自身情况的内控体系，真正实现通过内控防控风险、提升管理水平的目标。

其次，需要明确内部控制风险评估需要评估哪些内容。

根据《行政事业单位内部控制规范（试行）》（财会〔2012〕21号）第十条和第十一条的要求，内部控制风险评估应当包含单位层面内部控制风险评估和业务层面的内部控制风险评估。

单位层面：

（一）内部控制工作的组织情况。包括是否确定内部控制职能部门或牵头部门；是否建立单位各部门在内部控制中的沟通协调和联动机制。

（二）内部控制机制的建设情况。包括经济活动的决策、执行、监督是否实现有效分离；权责是否对等；是否建立健全议事决策机制、岗位责任制、内部监督等机制。

（三）内部管理制度的完善情况。包括内部管理制度是否健全；执行是否有效。

（四）内部控制关键岗位工作人员的管理情况。包括是否建立工作人员的培训、评价、轮岗等机制；工作人员是否具备相应的资格和能力。

（五）财务信息的编报情况。包括是否按照国家统一的会计制度对经济业务事项进行账务处理；是否按照国家统一的会计制度编制财务会计报告。

业务层面：

（一）预算管理情况。包括在预算编制过程中单位内部各部门间沟通协调是否充分，预算编制 与资产配置是否相结合、与具体工作是否相对应；是否按照批复的额度和开支范围执行预算，进度是否合理，是否存在无预算、超预算支出等问题；决算编报是否真实、完整、准确、 及时。

（二）收支管理情况。包括收入是否实现归口管理，是否按照规定及时向财会部门提供收入的 有关凭据，是否按照规定保管和使用印章和票据等；发生支出事项时是否按照规定审核各类凭据的真实性、合法性，是否存在使用虚假票据套取资金的情形。

（三）政府采购管理情况。包括是否按照预算和计划组织政府采购业务；是否按照规定组织政 府采购活动和执行验收程序；是否按照规定保存政府采购业务相关档案。

（四）资产管理情况。包括是否实现资产归口管理并明确使用责任；是否定期对资产进行清查 盘点，对账实不符的情况及时进行处理；是否按照规定处置资产。

（五）建设项目管理情况。包括是否按照概算投资；是否严格履行审核审批程序；是否建立有 效的招投标控制机制；是否存在截留、挤占、挪用、套取建设项目资金的情形；是否按照规定保存建设项目相关档案并及时办理移交手续。（若单位当前以及未来很长一段时间内不会发生该项业务，则可以判定为“建设项目”不适用于单位）

（六）合同管理情况。包括是否实现合同归口管理；是否明确应签订合同的经济活动范围和条 件；是否有效监控合同履行情况，是否建立合同纠纷协调机制。

最后，需要确定开展内部控制风险评估的方法。

当前主流的内部控制风险评估方法有定性分析法、定量分析法两种。

定性分析法：依据《行政事业单位内部控制规范（试行）》的要求，结合单位实际情况对内部控制制度的有效性进行评分。但是该种方法带有比较强烈的主观性，对开展内部控制风险评估的人员要求要有丰富的经验和敏锐的直觉。定性分析法包括集体讨论、检查列表、问卷调查、人员访谈等。最常见的是风险评估系图法。

定量分析法：主要通过专家访谈、案例分析和现场观察等方式进行，是试图从数字上对安全风险进行分析评估的一种方法。比较常用的定量分析方法包括情景分析法、敏感性分析法、压力测试等。

定性分析操作容易，但主观性强、结果易失准。定量分析很直观，容易理解，但需大量数据支持。各单位可以根据具体的情况来选择定性或定量的分析方法，也可以选择二者结合使用。

总而言之，内部控制风险评估是行政事业单位内控体系建设的核心环节，既是政策合规的硬性要求，也是提升内部管理水平的内在需要。通过系统开展单位层面和业务层面的风险评估，运用定性与定量相结合的科学方法，精准识别并有效防控经济活动中的各类风险，能够为单位构建起坚实的风险防线。唯有如此，才能真正发挥内部控制的作用，实现“防风险、提效能、促发展”的目标，为单位的稳健运行和长远发展保驾护航。