一、现有内部控制审计程序的实践缺陷
缺陷一：理论中，内部控制是否得到执行是进行控制测试的前提条件，但是实务之中不可能凭借被审计单位人员口头表述就认可内部控制是否得到执，而是把内部控制是否得到执行和控制测试作为一个步骤同时来完成的，在了解内部控制是否得到执行的同时进行了控制测试。因此，内部控制是否得到执行和控制测试几乎是同时进行的审计程序。
缺陷二：理论中，了解内部控制和控制测试分为内部控制是否存在、设计是否合理、是否得到执行、执行的有效性共四个方面，由于层次较多，在审计过程中，注册会计师基本没有进行有效的量化，更多的是凭借执业经验进行职业判断，基于此，了解和测试的结果具有主观性。因此，有必要对内部控制的四个方面进行有效的重新组合。
二、内部控制审计的二维模型分析
（一）内部控制完善程度的二维模型分析
内部控制完善程度包括内部控制是否存在（存在多少）、内部控制设计是否合理，根据二维组合分析（见图1）。
内部控制是否存在的衡量标准：与企业财务系统相对应的一些列内部控制，均应设置相应的内部控制制度，已经设置的内部控制制度和应该设置的内部控制制度相比，即可知内部控制存在数量的多少。
内部控制设计是否合理的衡量标准：看内部控制的设计结构是否可以达到牵制管理的作用，如果可以，那么认为合理，合理的内部控制制度与所有内部控制制度相比，即可知内部控制设计整体是否合理。
（二）内部控制执行力度的二维模型分析
内部控制执行力度包括内部控制是否得到执行、内部控制执行的有效性，根据二维组合分析可以分为如下组合（见下页图2）。
内部控制是否得到执行的衡量标准：在实践中运用了的内部控制制度与所有设计合理的内部控制制度相比，即可知内部控制得到执行的多少。
内部控制执行有效性的衡量标准：即审计实务中通常进行的控制测试。
（三）内部控制审计的二维模型分析
通过重新组合，内控是否存在、内控设计是否合理，都体现了内控的完善与否，因此整合划分为内控完善程度。而内控是否得到执行、内控执行的有效性，都体现了内控执行力度的大小，因此整合为内控执行力度。重新划分的维度分为了内部控制完善程度和内部控制执行力度，每一个维度必然有不同的水平，根据上述分析将其设置为三个水平：高、中、低。一共有9个二维组合（见图3）。
1.贫乏型。内控完善程度低、内控执行力度低，这种内控的整体可信赖程度很低，可以称之为贫乏型。
2.完善偏执型。内控完善程度中、内控执行力度低，偏执于内控制度建设，这种内控在完善程度上可能下了一定功夫，但是在执行上仍然非常不到位，可以称之为完善偏执型。
3.执行偏执型。内部控制完善程度低、内部控制执行力度中，偏执于内部控制执行，这种内部控制制度虽然不十分完善，但是对于已有的内部控制执行良好，可以称之为执行偏执型。
4.极端完善偏执型。内部控制完善程度高、内部控制执行力度低，极端偏执于内部控制完善程度，这种内部控制制度看起来设置了大量完美的制度政策，实际上基本上没有得到执行，或者仅得到了较差的执行，可以称之为极端完善偏执型。
5.极端执行偏执型。内部控制完善程度低、内部控制执行力度高，极端偏执于内部控制执行力度，这种内部控制制度看起来执行力度非常大，但仅仅是对已有的部分政策执行到位，而对于尚未完善的其他很多应该具有的内部控制制度却没有有效把控，可以称之为极端执行偏执型。
6.中度平衡型。内部控制完善程度中、内部控制执行力度中，内部控制完善程度和执行力度比较均衡，可以称之为中度平衡型。
7.执行微瑕型。内部控制完善程度高、内部控制执行力度中，这种内部控制制度除了执行力度方面中等外，完善程度很高，因此接近于内部控制完美的程度，可以称之为执行微瑕型。
8.完善微瑕型。内部控制完善程度中、内部控制执行力度高，这种内部控制制度虽然完善程度中等，但是对于已经建立的内部控制制度，执行力度高，可以称之为完善微瑕型。
9.高度平衡型。内部控制完善程度高、内部控制执行力度高，这种内部控制不论是内部控制制度建设还是执行力度都高，可以称之为高度平衡型。比如阿里巴巴、腾讯、中粮、华为等企业就是很好的案例，通过几十年的发展，这些企业已经成为规模庞大的企业集团，内部管理制度和内部执行力度都发展到了高水平。
通过不同的组合情况，对内控的制度建设完善方面、执行力度方面进行了适当的分类、量化，建立内部控制二维模型，能更有效、更准确地评价内部控制的各个方面，也能够更清楚地了解被审计单位的内部控制情况，从而更有效地进行实质性程序。
