五要素：控制环境（高层基调）、风险评估、控制活动（审批/核对/盘点）、信息与沟通、内部监督。控制环境是基础——如果老板自己不遵守制度，再好的内控设计也是形同虚设。这就是”高层基调”决定一切。
A股主板上市公司需要同时审计财务报表和内部控制。内控审计报告单独出具。内控否定意见或无法表示意见=公司内部管理存在重大缺陷。即使财报意见是干净的，内控非标也是强烈的卖出信号。
一般缺陷、重要缺陷、重大缺陷——等级越高越严重。重大缺陷=可能导致财务报表重大错报而无法被及时发现。常见重大缺陷：财务人员能力不足、ERP系统权限混乱、子公司不受控制。
老板一支笔（审批绕过制度）、采购没有三家比价、仓库随便进出、不相容职务未分离（如出纳兼记账）。这些看似是管理问题，但对于上市公司而言，内控缺陷=信息披露质量不可靠。信息披露质量差=投资风险大。