一、内部控制评价受外部审计师专业能力限制
当前，外部审计师主要是指注册会计师。注册会计师对企业内部控制制度的评价是站在报表审计的角度上，为了确定实质性测试的广度和深度而对企业内部控制的完整性与有效性进行测试和评价，测试和评价的内容主要是对报表数据的公允性和真实性有影响的部分，即内部会计控制部分。从绝大多数会计师事务所目前的情况来看，注册会计师大都为会计、财务领域的专业人才，注册会计师只能对其在执业过程中发现的企业内部控制所存在的缺陷和改进建议以管理建议书的形式呈交企业的管理当局。要求注册会计师对企业的内部控制进行评价并出具评价意见报告，从某种程度上来说已经超越了注册会计师的专业胜任能力。每个企业的业务性质、经营规模等都是不同的，所设立的内部控制更是深入到企业经营的方方面面，或许只有职业经理人以及对企业了解的专业人员才能有效地制定、评价和完善企业的内部控制。
二、外部审计师对内部控制评价会夸大其有效性
从内部控制评价的发展中我们可以看出，理论界强调的内部控制评价是指注册会计师专门接受委托，就被审计单位管理当局对特定日期的会计报表编制相关的内部控制有效性的认定进行审核，并发表审核意见，即内部控制鉴证。内部控制鉴证对促进企业内部控制建立和健全有着重要意义。但目前世界各国对于内部控制鉴证看法不一，存在很大争议，许多人士认为内部控制报告强制性披露要求（如我国）的合理性仍值得商榷。因为，如果公司或注册会计师在报告中认为上市公司的内部控制是“有效性”的，这就意味着他们做出了某种承诺和保证，且给人绝对承诺和保证的印象，从而夸大其有效性。实际上，内部控制所能提供的仅是“合理”保证，而非“绝对”保证，这种绝对的保证很容易将自身置于潜在的诉讼风险之中。正是出于对诉讼风险的担心，英国上市公司的董事及注册会计师最终取消了对“有效性”报告的规定。而且，由于内部控制的涵盖范围很大，涉及财务会计、经营管理、合法合规等诸多方面，使得任何一起证券市场民事诉讼都有可能牵扯到内部控制。发起人、负有责任的董事、监事以及注册会计师均有可能因对内部控制的“有效性”做出承诺而面临诉讼，导致巨额的赔偿。因此，要求上市公司或注册会计师对内部控制的有效性进行报告的做法，值得进一步探讨。
三、外部审计师对内部控制评价存在的其他困难
注册会计师内部控制鉴证有利于经济的发展，对于加强企业的信息披露、完善信息与沟通、解决信息不对称问题皆有着明显的经济意义。但鉴于我国目前的经济环境，实施仍存在许多难处，主要表现在以下四方面。
1.对股东和投资者而言，一方面由于各种原因，对企业内部控制没有需求，内部控制评价报告对他们无增量信息，而且可能被误用；另一方面，我国企业内部控制现状令人担忧，即使相对规范的上市公司，其状况也不容乐观，在这种情况下，内部控制信息的披露可能不利于企业，不利于股东。
2.我国公众的法律意识不强。这直接关系到企业管理当局能否如实出具内部控制报告；企业管理当局能否真正担负起应有的责任；注册会计师能否如实出具内部控制审计报告，能否对其出具的审计报告负责；广大社会公众对内部控制报告及审计报告能否正确认识与应用，会不会形成很大的期望差距，造成不必要的诉讼与纠纷。
3.对注册会计师而言，一方面，内部控制评价可能超越他们的专业胜任能力。另一方面，内部控制鉴证加大了注册会计师的风险，同时缺乏对内部控制进行评价的动力。另外，相应配套的法律、法规跟不上，容易引起更多的经济纠纷。
4.内部控制标准难以确定。企业内部控制评价规范的制定似乎不成问题，但内部控制自身的标准却难以确定。我国还未提出过类似美国COSO报告的权威性很高的内部控制标准体系。现行具体审计准则第9号《企业内部控制与审计风险》，观念还未更新，还停留在内部控制结构阶段，而且也只是从审计的角度发布的。新修订的《会计法》虽然对内部控制提出了新的要求，但因为它不是专门针对企业内部控制进行规定的，因此在内部控制的实务方面不具有可操作性。这就使得企业在进行内部控制评估及注册会计师在进行内部控制审计时无据可依。而且因为企业性质、规模千差万别，其内部控制必然也不相同，因而从外部对企业内部控制做出评价难度较大。
在向社会公众提供公开内部控制报告方面，有效性要求使董事会和审计师均感到很困惑，因为那将意味着内部控制为避免错误或舞弊提供“绝对保证”，而事实上没有一个内部控制系统能够完全避免人为错误。如果由于非故意原因导致错误陈述或遗漏，董事或审计师将因为其确认的有效性而承担法律责任。当内部控制及其有效性的概念仍处于模糊状态时，董事会及会计师均不愿做出这样的声明。
