5.內控製度缺失或失效形成的風險。內控製度是風險防範的重要手段，如果在關鍵的控製點沒有設置必要的控製，或者設置的內控製度起不到應有的作用，必然會給企業帶來巨大的風險。
三、將內部控製評價作為供電企業實現向風險管理審計轉變的基礎
（一）內部控製評價與風險管理審計的關係
1.企業製定各種內部控製製度的目的是防範可能發生的風險，因此內部控製是企業風險管理的手段和內容之一。
2.從審計方法的演變上看，風險管理審計是內部控製審計發展到一定階段的產物，因此，內部控製評價是風險管理審計的基礎性內容。
3.從審計目的上看，二者具有一致性。無論是風險管理審計還是內部控製評價，最終的目的都是為了審查和評價審計對象（內部控製或者風險管理）的適當性和有效性，提出改進建議，促進企業目標的實現。
（二）目前供電企業進行內部控製評價需要做的主要工作
1.內部控製的健全性評價。內審人員需通過對企業主要業務流程的梳理，形成完整的業務流程資料，並標示出關鍵控製點，對照每一個關鍵控製點，看企業是否有相應的控製製度。通過這種比對，來評價內部控製的健全性。
2.內部控製的有效性評價。內審人員通過穿行測試等方法來確定內控製度是否被有效執行，如果未被有效執行，要分析原因是什麼，是製度本身缺乏可執行性，還是執行人的問題；如果內控製度被有效執行了，要看執行的結果是否達到了最初設置的目的。
3.內部控製的合理性評價。筆者認為內部控製的合理性評價主要是看內控製度是否符合成本—效益原則。對一個企業來說，內控製度必不可少的，但也並非越多越好。目前供電企業金字塔式的組織結構，雖有利於管理指令的上傳下達，但不利於部門間的橫向溝通，很易形成“多頭管理”，對同一個控製點，出現多個控製製度，且製度間有的相互衝突抵觸，使執行者無所適從，最終使內控製度流於形式。
4.適時改變審計統計報表內容。目前供電企業內部審計統計報表對審計業績的反映主要通過增收節支、查出違規違紀金額、查出損失浪費金額等指標來體現，帶有明顯的政府審計色彩，不適應內部審計職能轉變的要求，也不能準確全麵地反映內部審計在內部控製、風險管理中發揮的作用和取得成效，所以，供電企業應適時對報表格式和內容進行調整，以促進內部審計向企業風險管理審計的轉變。
（三）內部審計人員在進行內部控製評價時，應充分考慮內部控製的限製性因素，做出合理的評價
筆者認為內部控製的限製性因素主要有：
1.內部控製的設置和運行受製於成本效益原則。
2.內部控製一般僅針對常規業務活動而設置。
3.即使是設置完善的內部控製，也可能因有關人員的疏忽、誤解和判斷錯誤而失效。
4.內部控製可能因有關人員相互勾結、內外串通而失效。
5.內部控製可能因執行人員濫用職權或屈從於外部壓力而失效。
6.內部控製可能因經營環境、業務性質的改變而削弱或失效。