内部控制审计相关问题

一、内部控制审计及类型

内部控制审计是审计部门接受委托或授权,对特定基准日被审计单位或部门内部控制设计与运行的有效性进行审计.2010年4月26日,财政部会同证监会、审计署、国资委、银监会、保监会等部门发布了《企业内部控制配套指引》（以下简称配套指引）.该配套指引连同2008年5月发布的《企业内部控制基本规范》,共同构建了中国企业内部控制规范体系,自2011年1月1日起首先在境内外同时上市的公司施行.

本文主要将内部控制审计划分为如下两种类型：首先,按内部控制审计实施主体不同,将内部控制审计划分为内部审计部门实施的内部控制审计和注册会计师实施的内部控制审计两部分.其次,按照审计涉及的内部控制范围的大小不同,可将其分为业务流程内部控制审计,即对某个业务循环涉及的业务流程内部控制设计和执行的有效性实施的审计；部门内部控制审计,即针对某个部门或机构所涉及的内部控制审计,如投资中心、利润中心、子公司,单独或非单独设置财务机构的分公司等.

二、内部控制审计的程序

（一）计划审计业务阶段（1）接受委托或根据授权,确定内部控制审计对象.注册会计师承接内部控制审计业务,必须了解内部控制具体审计范围和审计对象,评价专业胜任能力,然后与被审计单位签订审计业务约定书.如果是内部审计部门,需根据管理层的授权,提出内部控制审计的重点内容和重点部门,编制年度、半年度内部控制审计计划,并根据实际工作出现的新情况,及时对计划进行调整、修改和补充.（2）组成审计小组.根据内部控制审计业务的工作量、审计难度及时间进度,考虑专业胜任能力,必要时可聘请相关专家,组织有经验的审计人员,组建内部控制审计工作小组,可根据实际情况,对小组成员进行法律规范、业务审查等方面的培训,为审计实施阶段打好基础.（3）初步了解基本情况,以风险评估为基础,编制审计总体方案和具体审计计划.在编制审计计划前,了解相关情况是展开审计工作的必要前提,影响着整个审计的过程和结果.审计人员应从行业概况、法律法规情况、被审计单位内部的组织结构、各机构的人员规模和岗位结构、单位生产经营或专业怎么写作的特点、财务会计机构及其工作组织、可获取的、与内部控制有效性相关的证据的类型和范围、内部控制特定领域重大缺陷风险等方面对被审计单位进行了解,在初步评估的基础上,编制总体审计策略和具体审计计划,确定拟采取的审计方法、重点进行控制测试的领域、审计人员的分工、时间预算等.

（二）实施审计业务阶段（1）详细调查、了解企业内部控制情况,并作出相应记录.了解被审计单位已经建立的内部控制制度及执行情况,并做出记录、描述,是内部控制审计现场实施阶段首先要完成的工作.审计人员应重点关注控制环境、控制政策和程序、信息系统、针对管理层凌驾于内部控制之上的风险而设计、实施的控制、对内部控制信息传递和财务报告流程的控制、对控制有效性的内部监督和自我评价、信息系统对内部控制及风险评估的影响等内容,并通过调查表、流程图、文字叙述等方式将内部控制详细情况记录下来,形成审计工作底稿.（2）进行控制测试.审计人员按照内部控制审计计划中确定的审计步骤、审计重点领域、审计人员及分工等情况,把握重要性原则,结合实际情况,采用适当的审计方法,对企业的内部控制尤其是生产经营活动中的重要业务与事项的控制进行测试,检查内部控制是否执行以及执行的程度.（3）评价内部控制,形成审计工作底稿.审计人员根据控制测试结果,评价被审单位或部门内部控制的强弱,是否存在重大缺陷,评价内部控制设计和执行的有效性及控制风险,并将内部控制测试情况及评价结果详细记录于审计工作底稿,形成审计档案.

（三）完成审计业务阶段（1）取得被审计单位的书面声明,明确责任归属.完成审计工作后,审计人员应取得被审计单位签署的书面声明,声明中应明确,建立健全和有效实施内部控制,评价内部控制的有效性是被审单位的责任；被审单位已对内部控制的有效性做出自我评价,没有利用审计人员执行的审计程序及结果作为自我评价的基础；被审计单位已向审计人员披露识别出的所有内部控制缺陷等内容.如果被审计部门拒绝提供书面声明,则应视为审计范围受限,解除业务约定或出具无法表示意见的内部控制审计报告.（2）撰写内部控制审计报告.内部控制审计报告是对审计工作结果的一种总结.审计人员在完成整个审计工作后,应当对审计工作底稿、相关证据进行分析筛选、汇总整理,完善审计意见,撰写审计报告.审计报告应包括被审计单位的基本情况、审计发现的问题、改进建议和审计评价结论等.

三、内部控制审计的方法

（一）实地观察法实地观察法简称观察法,是指审计人员亲临现场,对被审计单位的经济管理和业务活动进行实地观察,借以查明被审计事项的事实真相的一种审计方法.在内部控制审计中,观察法是最常用的方法之一,适合于观察企业内部控制的设计及执行情况.但观察提供的审计证据仅限于观察发生的时点,属于时点证据,并且在相关人员已知被观察时,相关人员从事活动或执行程序可能与日常的做法不同,从而会影响审计人员对真实情况的了解.因此,注册会计师有必要获取其他类型的佐证证据.

（二）查询法查询法是指审计人员通过书面或口头方式,向被审计单位内部或外部的知情人员获取相关信息,证实客观事实或书面资料,取得审计证据的一种审计方法.查询分为面询和函询两种方式,区别在于调查询问是当面进行还是发函进行.在了解被审计单位内部控制的设计及执行情况时,审计人员都可以采用查询法.通过查询,审计人员能获取口头证据或书面证据,帮助审计人员发现疑点或问题.但其中的口头证据并不具有实际证明力,不能证明内部控制设计或运行的有效性,只能给审计人员提供线索,还需运用检察、观察等方法加以证实.

（三）检查法检查法是指通过审查阅读文件、合同、凭证等相关资料的方式,获取审计证据的一种审计方法.检查法取得的审计证据证明力较强,能够有效证明内部控制设计与运行的有效性.但如果内部控制的运行没有留下轨迹,则检查法得出的结论往往具有片面性.

（四）分析性程序分析性程序简称分析法,是通过对相关资料的观察、推理、分解和综合,以揭示其本质和重大异常变动现象,提供审计线索,为确定审查重点指明方向的一种审计方法.在审计过程中,分析法运用非常广泛,几乎贯穿于审计全过程各阶段.但分析法在使用过程中,需注意被分析对象之间是否存在一定的逻辑关系,否则分析法将失去意义.

（五）穿行测试穿行测试是指通过追踪交易的处理过程,用以了解内部控制的执行情况的一种审计方法.穿行测试是审计人员了解被审计单位业务流程及其相关控制时经常使用的审计程序,来证实审计人员对控制的了解、评价控制设计的有效性以及确定控制是否得到执行.穿行测试的实施需要以被审计单位的内部控制留下轨迹为前提.由于穿行测试更多地在了解内部控制时运用,测试的数量较少,一般不能提供充分适当的审计证据.

（六）重新执行重新执行是指审计人员以人工方式或使用计算机辅助审计技术,重新独立执行作为被审计单位内部控制组成部分的程序或控制的一种审计方法.重新执行是控制测试中常用的审计程序,目的是测试被审计单位内部控制设计的合理性和执行的有效性.重新执行获得的审计证据可靠性较高,但重新执行的工作量很大,还需被审计单位或部门积极配合才能实施,甚至在某种程度上会降低审计的效率.

四、内部控制审计应注意的问题

（一）关注管理层对内部控制的态度管理层是整个内部控制体系的结点,内部控制体系的健全与否及执行力度强弱与管理层的观点和态度息息相关.即使在完善的内部控制制度,如果得不到管理层的支持和有效执行,其结果只能是形同虚设,易导致错弊行为,使财务报表存在重大错报风险.

（二）抓住关键控制点所谓关键控制点,是指容易发生错弊,需要加以控制的关键环节.为了对被审计单位或部门的内部控制做出客观公正的审查评价,审计人员在审计过程中必须抓住关键控制点,以保证内部控制审计目标得以顺利实现.

（三）透过现象看本质实际审计中,不少被审单位内部控制制度设计非常合理、完善,但实际执行效果却不乐观,内部控制成了花瓶摆设；相反,有些被审计单位虽然从表面上看内部控制设计不够合理,但实际执行效果却非常理想,基本不存在错弊现象.再加之内部控制有其固有的局限性,因此审计时不能被内部控制的表面现象蒙蔽,应在搜集充分、适当的审计证据的基础上,得出恰当的审计结论.