企业应当按照制定评价方案、实施评价活动、编制评价报告等程序开展内部控制评价。
内部控制评价机构应当根据企业整体控制目标，制定内部控制评价工作方案，明确评价目的、范围、组织、标准、方法、进度安排和费用预算等内容，报管理层和董事会审批。
内部控制评价范围的确定应当遵循风险导向、自上而下的原则来确定需要评价的分支机构、重要业务单元、重点业务领域或流程环节。
内部控制评价机构应当根据审批通过的评价方案组织实施内部控制评价工作，通过适当的方法收集、确认、分析相关信息，确定与实现整体控制目标相关的风险及细化控制目标，并在此基础上辨识与细化控制目标相对应的控制活动，然后针对控制活动进行必要的测试，获取充分、相关、可靠的证据对内部控制的有效性进行评价，并做出书面记录。
企业应当根据通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。证据的充分性是指获取证据的数量应当能合理保证相关控制的有效；证据的适当性是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制的实际运行状况。
企业应当根据所收集的证据，判断相关控制的设计与运行是否有效。企业在判断内部控制设计与运行有效性时，应当充分考虑下列因素：是否针对风险设置了合理的细化控制目标；是否针对细化控制目标设置了对应的控制活动；相关控制活动是如何运行的；相关控制活动是否得到了持续一致的运行；实施相关控制活动的人员是否具备必需的权限和能力。
企业应当及时记录开展内部控制评价工作的方法和程序，并以适当形式妥善保存相关证据。
内部控制评价机构应当根据评估结果和经核实的证据，确认内部控制缺陷，出具评价结论，编制评价报告，报送管理层和董事会审阅。
根据中天恒会计师事务所内部控制评价实践，企业内部控制评价程序一般包括评价准备、评价实施、评价报告三个阶段。评价准备阶段主要是为内部控制评价的实施提供必要的准备,包括制订评价方案，明确评价的目的、范围、标准,安排评价的时间,准备评价所需要的相应的资源配置。内部控制评价的实施分为了解内部控制体系阶段和实施测试阶段。评价报告评价人员应当在对各评价项目进行全面评价的基础上，提出内部控制评价报告。
