20-企业内部控制审计

CPA 注会 审计 企业内部控制审计。企业内部控制审计，详细的总结了内部控制审计的基本理论。计划和实施内部控制审计工作，内部控制缺陷评价。完成审计工作和出具审计报告。

第二十章 企业内部控制审计

• 第一节 内部控制审计的基本理论
  • 一、内部控制审计的概念和范围（★★）
    • 1.内部控制审计的概念
      • 内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。其中，财务报告内部控制审计是服务的核心要求。
    • 2.相关内部控制的概念
      • 财务报告内部控制，是指公司的董事会、监事会、管理层及全体员工实施的旨在合理保证财务报告及相关信息真实、完整而设计和运行的内部控制，以及用于保护资产安全的内部控制中与财务报告可靠性目标相关的控制。财务报告内部控制以外的其他内部控制，属于非财务报告内部控制。
    • 3.基准日
    • 4.范围
  • 二、整合审计
    • 注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行（即整合审计）。
  • 三、控制有效性测试的相关理论（★★）
    • 1.内部控制的有效性的含义
      • 内部控制的有效性包括内部控制设计的有效性和内部控制运行的有效性。
    • 2.与控制相关的风险
      • 与控制相关的风险越高，注册会计师需要获取的审计证据就越多。
    • 3.控制测试的性质
    • 4.控制测试的时间安排
    • 5.控制测试的范围
      • （1）测试人工控制的最小样本规模。
      • （2）测试自动化应用控制的最小样本规模。
        • 在信息技术一般控制有效的前提下，除非系统发生变动，注册会计师或其专家可能只需要对某项自动化应用控制的每一相关属性进行一次系统查询以检查其系统设置，即可得出所测试自动化应用控制是否运行有效的结论。
      • （3）发现偏差时的处理。
        • ①由于有效的内部控制不能为实现控制目标提供绝对保证，单项控制并非一定要毫无偏差地运行，才被认为有效；
        • ②注册会计师应当考虑偏差的原因及性质，如果发现的控制偏差是系统性偏差或人为有意造成的偏差，注册会计师应当考虑舞弊的可能迹象以及对审计方案的影响；
        • ③当测试发现一项控制偏差，且该偏差不是系统性偏差时，注册会计师可以扩大样本规模进行测试。如果测试后再次发现偏差，则注册会计师可以得出该控制无效的结论；如果扩大样本规模没有再次发现偏差，则注册会计师可以得出控制有效的结论。
    • 6.控制变更时的特殊考虑
      • 对内部控制审计而言，如果新控制实现了相关控制目标，且运行了足够长的时间，注册会计师能够通过对该控制进行测试评价其设计和运行的有效性，则无须测试被取代的控制。
• 第二节 计划和实施内部控制审计工作
  • 一、计划审计工作
    • 1.计划审计工作时应当考虑的事项
      • 内部控制审计计划分为总体审计策略和具体审计计划两个层次，在计划审计工作时，注册会计师应当评价下列事项对财务报告内部控制、财务报表及审计工作的影响：
      • （1）与企业相关的风险；
      • （2）相关法律法规和行业概况；
      • （3）企业组织结构、经营特点和资本结构等相关重要事项；
      • （4）企业内部控制最近发生变化的程度；
      • （5）与企业沟通过的内部控制缺陷；
      • （6）重要性、风险等与确定内部控制重大缺陷相关的因素；
      • （7）对内部控制有效性的初步判断；
      • （8）可获取的、与内部控制有效性相关的证据的类型和范围。
    • 2.总体审计策略
      • （1）确定审计业务的特征，以界定审计范围；
      • （2）明确审计业务的报告目标，以计划审计的时间安排和所需沟通的性质；
      • （3）根据职业判断，考虑用以指导项目组工作方向的重要因素；
      • （4）考虑初步业务活动的结果，并考虑对被审计单位执行其他业务时获得的经验是否与内部控制审计业务相关；
      • （5）确定执行业务所需资源的性质、时间安排和范围。
    • 3.具体审计计划
      • （1）了解和识别内部控制的程序的性质、时间安排和范围；
      • （2）测试控制设计有效性的程序的性质、时间安排和范围；
      • （3）测试控制运行有效性的程序的性质、时间安排和范围。
  • 二、内部控制审计的方法论——自上而下的方法（★★）
    • （一）识别、了解和测试企业层面控制
      • 1.企业层面控制的含义
        • 企业层面的控制通常为应对企业财务报表整体层面的风险而设计，通常在比业务流程更高的层面上乃至整个企业范围内运行。企业层面控制作用比较广泛，通常不局限于某个具体认定。
      • 2.企业层面控制的内容
        • （1）与控制环境（即内部环境）相关的控制；
        • （2）针对管理层和治理层凌驾于控制之上的风险而设计的控制；
        • （3）被审计单位的风险评估过程；
        • （4）对内部信息传递和期末财务报告流程的控制；
        • （5）对控制有效性的内部监督（即监督其他控制的控制）和内部控制评价；
        • （6）集中化的处理和控制（包括共享的服务环境）、监控经营成果的控制以及针对重大经营控制及风险管理实务的政策。
      • 3.企业层面控制对其他控制及其测试的影响
        • 不同的企业层面控制在性质和精确度上存在差异，注册会计师对企业层面控制的评价，可能增加或减少本应对其他控制所进行的测试。
        • （1）与控制环境相关的控制，对及时防止或发现重大错报的可能性有重要影响，可能影响注册会计师拟测试的其他控制及其对其他控制所执行程序的性质、时间安排和范围。
        • （2）某些企业层面控制能够监督其他控制的有效性，但控制本身并非精确到足以及时防止或发现相关认定的重大错报。当这些控制运行有效时，注册会计师可以减少对其他控制的有效性测试。
        • （3）某些企业层面控制本身能够精确到足以及时防止或发现并纠正相关认定的重大错报。如果一项企业层面控制足以应对已评估的重大错报风险，注册会计师可能就不必测试与该风险相关的其他控制。
    • （二）识别重要账户、列报及其相关认定
      • 1.重要账户、列报及相关认定的含义
        • （1）注册会计师应当基于财务报表层次识别重要账户、列报及其相关认定。
        • （2）某账户或列报可能存在一个错报，该错报单独或连同其他错报将导致财务报表发生重大错报，则该账户或列报为重要账户或列报。
        • （3）如果某财务报表认定可能存在一个或多个错报，这个或这些错报将导致财务报表发生重大错报，则该认定为相关认定。
      • 2.识别要求
        • （1）注册会计师应当从定性和定量两个方面作出评价，包括考虑舞弊的影响。超过财务报表整体重要性的账户，无论是在内部控制审计还是财务报表审计中，通常情况下被认定为重要账户。但是，一个账户或列报的金额超过财务报表整体重要性，并不必然表明其属于重要账户或列报。
        • （2）在识别重要账户、列报及其相关认定时，注册会计师还应当确定重大错报的可能来源。
        • （3）在识别重要账户、列报及其相关认定时，注册会计师应当依据其固有风险，而不应考虑相关控制的影响，因为内部控制审计的目标本身就是评价控制的有效性。
        • （4）如果某账户或列报的各明细项目存在的风险差异较大，被审计单位可能需要采用不同的控制以应对这些风险，注册会计师应当分别予以考虑，并针对各自的风险设计审计程序。
        • （5）以前年度审计中了解到的情况影响注册会计师对固有风险的评估，因而应当在确定重要账户、列报及其相关认定时加以考虑。
        • （6）在内部控制审计中，注册会计师在识别重要账户、列报及其相关认定时应当评价的风险因素，与财务报表审计中考虑的因素相同。因此，在这两种审计中识别的重要账户、列报及其相关认定应当相同。
    • （三）了解潜在错报的来源并识别相应的控制
      • 穿行测试是指追踪某笔交易从发生到最终被反映在财务报表中的整个处理过程，是评价控制设计的有效性以及确定控制是否得到执行的有效方法。注册会计师在实施穿行测试时，通常需要综合运用询问、观察、检查相关文件记录。
    • （四）选择拟测试的控制
      • 1.基本要求
        • （1）注册会计师应当针对每一相关认定获取控制有效性的审计证据，以便对内部控制整体的有效性发表意见，但没有责任对单项控制的有效性发表意见。
        • （2）注册会计师没有必要测试与某项相关认定有关的所有控制。
        • （3）在确定是否测试某项控制时，注册会计风师应当考虑该项控制单独或连同其他控制，是否足以应对评估的某项相关认定的错报险。
      • 2.选取关键控制
        • （1）注册会计师应当选择测试对形成内部控制审计意见有重大影响的控制，在选取关键控制时，需要作出职业判断。
        • （2）注册会计师无须测试即使有缺陷也合理预期不会导致财务报表重大错报的控制。
  • 三、业务流程、应用系统或交易层面的控制的测试（★）
    • 1.了解企业经营活动和业务流程
      • （1）注册会计师可以通过检查被审计单位的手册和其他书面指引获得有关信息，还可以通过询问和观察来获得全面的了解。
      • （2）向负责处理具体业务人员的上级进行询问通常更加有效。
      • （3）注册会计师可以检查并在适当的情况下保存部分被审计单位文件（如流程图、程序手册、职责描述、文件、表格等）的复印件，可以考虑在图表及流程图上加入自己的文字表述。注册会计师需要记录以下信息：①输入信息的来源；②所使用的重要数据档案，如客户清单；③重要的处理程序，包括在线输入和更新处理；④重要的输出文件、 报告和记录；⑤基本的职责划分。
    • 2.识别和了解相关控制
      • （1）控制的类型包括预防性控制和检查性控制。
      • （2）应首先询问级别较高的人员，再询问级别较低的人员；从级别较低人员处获取的信息，应向级别较高的人员核实其完整性。
      • （3）注册会计师并不需要了解与每一控制目标相关的所有控制；控制与认定直接或间接相关，关系越间接，控制对防止或发现并纠正认定错报的效果越小，注册会计师应考虑识别和了解与认定关系更直接、更有效的控制。
  • 四、信息系统控制的测试
    • 1.信息技术一般控制测试
      • （1）信息技术一般控制包括程序开发、程序变更、程序和数据访问以及计算机运行四个方面。
      • （2）由于程序变更控制、计算机运行控制及程序数据访问控制影响信息技术应用控制的持续有效运行，注册会计师需要对上述三个领域实施控制测试。
    • 2.信息技术应用控制测试
      • （1）信息技术应用控制一般要经过输入、处理及输出等环节，与手工控制一样，自动系统控制同样关注信息处理目标的四个要素：完整性、准确性、经过授权和访问限制。
      • （2）所有的自动应用控制都会有一个手工控制与之相对应，在测试的时候，每个自动系统控制都要与其对应的手工控制一起进行测试，才能得到控制是否可信赖的结论。
• 第三节 内部控制缺陷评价
  • 一、控制缺陷的分类
    • 1.按照性质划分
    • 2.按照严重程度划分
  • 二、评价控制缺陷的严重程度（★★）
    • 1.对注册会计师的要求
      • 注册会计师应当评价其识别的各项控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成内部控制的重大缺陷。在计划和实施审计工作时，不要求注册会计师寻找单独或组合起来不构成重大缺陷的控制缺陷。
    • 2.控制缺陷严重程度的影响因素
    • 3.对补偿性控制的考虑
      • （1）在确定一项控制缺陷或多项控制缺陷的组合是否构成重大缺陷时，注册会计师应当评价补偿性控制的影响。
      • （2）在评价补偿性控制是否能够弥补控制缺陷时，注册会计师应当考虑补偿性控制是否有足够的精确度以防止或发现并纠正可能发生的重大错报。
    • 4.控制缺陷评价流程——APEC测试
    • 5.表明可能存在重大缺陷的迹象
      • （1）注册会计师发现董事、监事和高级管理人员的任何舞弊；
      • （2）被审计单位重述以前公布的财务报表，以更正由于舞弊或错误导致的重大错报；
      • （3）注册会计师发现当期财务报表存在重大错报，而被审计单位内部控制在运行过程中未能发现该错报；
      • （4）审计委员会和内部审计机构对内部控制的监督无效。
  • 三、内部控制缺陷整改（★）
    • 如果被审计单位在基准日前对存在缺陷的控制进行整改，整改后的控制需要运行足够长的时间，才能使注册会计师得出其是否有效的审计结论。如果被审计单位在基准日前对存在重大缺陷的内部控制进行了整改，但新控制尚没有运行足够长的时间，注册会计师应当将其视为内部控制在基准日存在重大缺陷。
• 第四节 完成审计工作和出具审计报告
  • 一、形成审计意见
    • （1）注册会计师应当评价从各种来源获取的审计证据，包括对控制的测试结果、财务报表审计中发现的错报以及已识别的所有控制缺陷，形成对内部控制有效性的意见。
    • （2）在评价审计证据时，注册会计师应当查阅本年度涉及内部控制的内部审计报告或类似报告，并评价这些报告中指出的控制缺陷。
    • （3）在对内部控制的有效性形成意见后，注册会计师应当评价企业内部控制评价报告对相关法律法规规定的要素的列报是否完整和恰当。
    • （4）在整合审计中，注册会计师在完成内部控制审计和财务报表审计后，应当分别对内部控制和财务报表出具审计报告，并签署相同的日期。
  • 二、获取书面声明
    • 1.书面声明的内容
      • 书面声明的内容应当包括：
      • （1）被审计单位董事会认可其对建立健全和有效实施内部控制负责；
      • （2）被审计单位已对内部控制进行了评价，并编制了内部控制评价报告；
      • （3）被审计单位没有利用注册会计师在内部控制审计和财务报表审计中执行的程序及其结果作为评价的基础；
      • （4）被审计单位根据内部控制标准评价内部控制有效性得出的结论；
      • （5）被审计单位已向注册会计师披露识别出的所有内部控制缺陷，并单独披露其中的重大缺陷和重要缺陷；
      • （6）被审计单位已向注册会计师披露导致财务报表发生重大错报的所有舞弊，以及其他不会导致财务报表发生重大错报，但涉及管理层、治理层和其他在内部控制中具有重要作用的员工的所有舞弊；
      • （7）注册会计师在以前年度审计中识别出的且已与被审计单位沟通的重大缺陷和重要缺陷是否已经得到解决，以及哪些缺陷尚未得到解决；
      • （8）在基准日后，内部控制是否发生变化，或者是否存在对内部控制产生重要影响的其他因素，包括被审计单位针对重大缺陷和重要缺陷采取的所有纠正措施。
    • 2.拒绝提供书面声明的情况处理
      • （1）注册会计师应当将其视为审计范围受到限制，解除业务约定或出具无法表示意见的内部控制审计报告。
      • （2）注册会计师应当评价拒绝提供书面声明这一情况对其他声明（包括在财务报表审计中获取的声明）的可靠性的影响。
  • 三、沟通相关事项（★）
    • （1）对于重大缺陷和重要缺陷，注册会计师应当以书面形式与管理层和治理层沟通。书面沟通应当在注册会计师出具内部控制审计报告之前进行。
    • （2）注册会计师应当以书面形式与管理层沟通其在审计过程中识别的所有其他内部控制缺陷，并在沟通完成后告知治理层。在进行沟通时，注册会计师无须重复自身、内部审计人员或被审计单位其他人员以前书面沟通过的控制缺陷。
    • （3）虽然并不要求注册会计师执行足以识别所有控制缺陷的程序，但是，注册会计师应当沟通其注意到的内部控制的所有缺陷。内部控制审计不能保证注册会计师能够发现严重程度低于重大缺陷的所有控制缺陷。注册会计师不应在内部控制审计报告中声明，在审计过程中没有发现严重程度低于重大缺陷的控制缺陷。
  • 四、审计报告类型（★★）
    • （一）无保留意见内部控制审计报告
      • 如果符合下列所有条件，注册会计师应当对内部控制出具无保留意见的内部控制审计报告：
      • （1）在基准日，被审计单位按照适用的内部控制标准的要求，在所有重大方面保持了有效的内部控制；
      • （2）注册会计师已经按照《企业内部控制审计指引》的要求计划和实施审计工作，在审计过程中未受到限制。
    • （二）否定意见的内部控制审计报告
      • 1.适用情形
        • 如果认为内部控制存在一项或多项重大缺陷，除非审计范围受到限制，注册会计师应当对内部控制发表否定意见。
      • 2.沟通和说明
        • （1）否定意见的内部控制审计报告应当包括重大缺陷的定义、重大缺陷的性质及其对内部控制的影响程度。
        • （2）注册会计师应当就这些情况以书面形式与治理层沟通。
      • 3.对企业内部控制评价报告的考虑
        • （1）如果重大缺陷尚未包含在企业内部控制评价报告中，注册会计师应当在内部控制审计报告中说明重大缺陷已经识别、但没有包含在企业内部控制评价报告中。
        • （2）如果企业内部控制评价报告中包含了重大缺陷，但注册会计师认为这些重大缺陷未在所有重大方面得到公允反映，注册会计师应当在内部控制审计报告中说明这一结论，并公允表达有关重大缺陷的必要信息。
      • 4.对财务报表审计意见的影响
        • （1）如果拟对内部控制的有效性发表否定意见，在财务报表审计中，注册会计师不应依赖存在重大缺陷的控制，需要实施实质性程序确定与该控制相关的账户是否存在重大错报。
        • （2）如果实施实质性程序的结果表明该账户不存在重大错报，注册会计师可以对财务报表发表无保留意见。
        • （3）如果对财务报表发表的审计意见未受影响，注册会计师应当在内部控制审计报告的导致否定意见的事项段中增加以下类似说明：“在××公司××年财务报表审计中，我们已经考虑了上述重大缺陷对审计程序的性质、时间安排和范围的影响。
    • （三）无法表示意见的内部控制审计报告
      • 1.适用情形
        • 如果审计范围受到限制，注册会计师应当解除业务约定或出具无法表示意见的内部控制审计报告。
      • 2.法律法规的豁免规定
        • （1）如果法律法规的相关豁免规定允许被审计单位不将某些实体纳入内部控制的评价范围，注册会计师可以不将这些实体纳入内部控制审计的范围，这种情况不构成审计范围受到限制，但应当在内部控制审计报告中增加强调事项段，或者在注册会计师的责任段中作出恰当陈述。
        • （2）注册会计师应当评价相关豁免是否符合法律法规的规定，以及被审计单位针对该项豁免作出的陈述是否适当。如果认为被审计单位有关该项豁免的陈述不恰当，注册会计师应当提请其作出适当修改。如果被审计单位未作出恰当修改，注册会计师应当在内部控制审计报告的强调事项段中说明被审计单位的陈述需要修改的理由。
      • 3.沟通和说明
        • （1）注册会计师不应在内部控制审计报告中指明所执行的程序，也不应描述内部控制审计的特征，以避免产生误解。
        • （2）如果在已执行的有限程序中发现内部控制存在重大缺陷，注册会计师应当在内部控制审计报告中对重大缺陷做出详细说明。
    • （四）强调事项
      • 1.总体原则
        • （1）如果认为内部控制虽然不存在重大缺陷，但仍有一项或多项重大事项需要提请内部控制审计报告使用者注意，注册会计师应当在内部控制审计报告中增加强调事项段予以说明。
        • （2）注册会计师应当在强调事项段中指明，该段内容仅用于提醒内部控制审计报告使用者关注，并不影响对内部控制发表的审计意见。
      • 2.适用情形
        • 如果存在下列情况，注册会计师应当考虑在内部控制审计报告中增加强调事项段：
        • （1）企业内部控制评价报告对要素的列报不完整或不恰当，注册会计师应当在内部控制审计报告中增加强调事项段，说明这一情况并解释得出该结论的理由。
        • （2）注册会计师知悉在基准日并不存在、但在期后期间发生的事项，如果这类期后事项对内部控制有重大影响，注册会计师应当在内部控制审计报告中增加强调事项段，描述该事项及其影响，或提醒内部控制审计报告使用者关注企业内部控制评价报告中披露的该事项及其影响。
    • （五）非财务报告内部控制重大缺陷
      • （1）如果认为非财务报告内部控制缺陷为一般缺陷，注册会计师应当与企业进行沟通，提醒企业加以改进，但无须在内部控制审计报告中说明；
      • （2）如果认为非财务报告内部控制缺陷为重要缺陷，注册会计师应当以书面形式与企业董事会和管理层沟通，提醒企业加以改进，但无须在内部控制审计报告中说明；
      • （3）如果认为非财务报告内部控制缺陷为重大缺陷，注册会计师应当以书面形式与企业董事会和管理层沟通，提醒企业加以改进；同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实现相关控制目标的影响程度进行披露，提示内部控制审计报告使用者注意相关风险，但无须对其发表审计意见。