内部控制评价主体是什么，也就是由来谁评价内部控制。管理层对内部控制的有效性负责，应对内部控制的有效性进行评估，并对所实施的评估进行记录和报告。董事会是内部控制制度建设和评价的主体，但内部控制评价过程是一个涉及面广、内容繁多的工作，必须打造具有合力的内部控制评价组织体系，做好董事会、监事会、审计委员会、审计部（或独立的内部控制评价机构）相关部门的功能定位与职责分工：董事会领导内部控制评价、监事会对董事会领导的内部控制评价过程进行监督、审计委员会负责组织内部控制评价、审计部（或独立的内部控制评价机构）具体实施内部控制评价。企业可以授权内部审计部门负责组织和实施内部控制评价工作。具备条件的企业，可以设立专门的内部控制评价机构。
通常，内部控制评价采用自我评价的形式，即负责某一业务单元或职能的人员确定针对他们的活动的控制的有效性。公司各部门，包括公司财务部门、业务部门、法律部门、内审部门等在内的所有部门是进行自我评估的具体执行者。内部审计师通常把进行内部控制评价作为其常规性责任的一部分，或者根据董事会、管理层或者子公司或分部执行官的特别要求来进行内部控制评价。同样，管理层在考察内部控制的有效性时，也可以利用外部审计师的工作。可以将两者的工作结合起来，以便实施管理层认为有必要进行的任何控制评价程序。
这里需要说明的是，内部控制评价是一项专业性很强的工作，企业在缺乏这方面专业人才情况下，可以借助于外部中介机构的力量来进行，并在这个过程中逐步建立一套完整内部控制评价制度和体系，培养企业自己的内部控制建设及评价队伍。外部审计师作为公司进行自我评估的专业顾问，提供相关业务支持与指导，但不能参与管理层自我评估的具体工作。公司可以聘请外部审计师以外的独立的咨询顾问提供更加具体的帮助。
