CPA审计-企业内部控制审计

CPA审计第二十章企业内部控制审计。 导图介绍了内控的概念、人员，目标等内容。 内控审计的概念：概念、计划内部控制审计工作、自上而下的方法、测试控制的有效性、企业层面控制的测试、评价内控缺陷、完成审计工作、内控审计报告

内控审计

• 内控的概念
  • 人员：董事、监事、管理层、全体员工
  • 目标
    • 经营管理合法合规
    • 资产安全
    • 财务报告、相关信息真实完整
      • 与财务报告的可靠性相关
        • 例如：定期对账
    • 提高经营效率和效果
      • 例如：最佳库存
    • 促进企业发展战略
• 内控审计的概念
  • 概念
    • 特定基准日+内控设计&运行有效性
      • 特定基准日：最近的一个会计期间截止日
      • 针对财务报告相关的内控
        • 对有效性发表意见
      • 针对非财务报告相关的内控
        • 在审计报告中增加“非财务报告内控重大缺陷描述”
    • 注意与财务报表审计的区别
      • 财：拟信赖或仅实质性程序不足才做
        • 内：针对每一个重要的账户和列报获取审计证据都要测
      • 财：如果与上年相比没有发生变化+不属于特别风险-至少3年测一次
        • 内：每一年都要测（特定基准日前足够长的一个区间）
      • 财：是否有值得关注的内控缺陷
        • 内：重大缺陷、重要缺陷、一般缺陷
      • 财：值得关注的内控缺陷→书面治理层、治理层+其他重要缺陷→书面Or口头管理层
        • 内：重大&重要→书面治理层、管理层+所有内控缺陷→书面管理层
          • 重大（有责任发现）：可能导致重大错报；重要：需要引起关注
      • 财：四种审计意见类型
        • 内：没有"保留意见"
  • 计划内部控制审计工作
    • 对于内控存在可能存在重大缺陷的领域
      • 亲自测试+靠近基准日+扩大样本量、范围
    • 应对舞弊风险应当
      • 评价内控是否足以应对由于舞弊导致的重大错报风险
      • 如何应对管理层、治理层凌驾于控制之上
  • 自上而下的方法
    • 识别、了解、测试企业层面的内控
      • 一般在早期测企业层面的
      • 可以增加或减少对其他控制的测试（可以减少到不测试）
    • 识别重要账户、列报及其相关认定
      • 考虑的因素相同，所以识别出来的应该与财务报表审计的相同
      • 定量：通常是超过财务报表整体重要性的账户
      • 定性
      • 只考虑固有风险，不考虑控制的影响
    • 了解潜在错报的来源并识别相应的控制
      • 穿行测试
        • 什么时候要做？
          • 固有风险高
          • 以前年度识别出的风险
          • 新人、新系统、新会计政策等带来的流程变化
          • 首次接受委托时，针对重要流程做
        • 怎么做？
          • 每个重要流程选一笔交易，测交易产生、授权、记录、处理、报告
          • 如果多个组成部分都使用同一个集中化的系统，不需要每个组成部分都测
          • 需要结合观察、检查、询问的程序
    • 选择拟测试的控制
      • 怎么选？
        • 每一项相关认定都要选→为整体发表意见，不针对某一控制单独发表意见
        • 不需要测试与某一认定相关的所有控制
        • 不需要测试与报务报表重大错报无关的控制
        • 不需要测试整个流程
          • 选择关键环节测试
        • 企业层面的控制有效且精确时，可能不需要测试
        • 不需要考虑企业管理层在自我评价时自己做的测试
  • 测试控制的有效性
    • 设计有效&运行有效
    • 程序
      • 询问
        • 仅询问不足
      • 观察
        • 仅能观察到当时那个时点的情况
      • 检查
        • 仅检查签字不足
      • 重新执行
        • 以上三项都用了还是不行才会考虑重新执行
          • 不考虑交易的金额、也不会大量测试
    • 时间
      • 尽量接近基准日
        • 风险低的，期中测试可能就够了
        • 风险高的，应当有一部分证据是接近基准日的
      • 要涵盖足够长的期间
    • 被取代的控制测不测？
      • 不测
        • 新控制能够满足目标+已经运行足够长的时间
          • 注意：表审需要测试整个期间的控制
      • 应当测
        • 有重要影响的老控制
    • 以前年度的证据还能不能用？
      • 完全自动的控制
        • 可以用
      • 其他
        • 不可以，必须每年测试
    • 期中的证据能不能用？
      • 需要剩余期间的补充证据
    • 信息技术控制怎么测试？
      • 一般控制有效+关键的自动控制未发生任何变化
        • 不需要前推测试（期中延伸至期末）
      • 一般控制无效+不知道自动控制有没有发生变化
        • 重新测试自动控制在接近基准日的范围内是否有效
    • 范围
      • 怎么确定样本量？
        • 人工控制的最小样本规模
          • 适合低风险、判断少、无缺陷、有其他人帮忙测试的
          • 按执行控制的人来确定样本量
            • 先按执行总次数确定样本量
            • 再用样本量*执行人数
        • 自动控制的最小样本规模
          • 在运行
            • 测试是否一贯运行
              • 测一般控制的运行有效性
              • 确定系统是否发生变动
              • 确定软件版本是否经过授权
  • 企业层面控制的测试
    • 控制环境
      • 管理层的理念和经营风格
      • 管理层诚信和道德文化
      • 治理层是否了解并监督
    • 针对凌驾风险的控制
  • 评价内控缺陷
    • 设计缺陷&运行缺陷
    • 严重程度
      • 与可能性和金额相关，与是否发生错报无关
      • 重大缺陷
        • 有要求要发现的
        • 可能导致重大错报
      • 重要缺陷
        • 足以引起审计委员会关注的
      • 书面治理层+管理层
      • 一般缺陷
        • 应当与企业进行沟通
      • 书面管理层+告知治理层
    • 不需要量化为百分比
    • 要考虑补偿性控制的影响
    • 内部控制整改以后需要运行足够长的时间
      • 取样本量规模表里的最小值
      • 季/2次
        • 2
      • 月/2次
        • 2-5
      • 周/5次
        • 5-15
      • 天/20次
        • 20-40
      • 每天多次的/25次
        • 25-60
  • 完成审计工作
    • 要获取书面声明
      • 如果拒绝提供就是审计范围受限→解除业务约定or无法表示意见
      • 董事会认可其职责
      • 已经交代了所有的内控缺陷，单独交代了重大&重要缺陷
    • 沟通
      • 没要求发现所有内控缺陷，但要求沟通所有发现的内控缺陷
        • 非重大的缺陷不一定要发现
  • 内控审计报告
    • 意见类型
      • 无保留意见
        • 所有重大方面保持了有效的内控
        • 审计范围没有受限
      • 无保留意见+强调事项段
        • 有重大事项需要提请关注
        • 企业的自评报告不完整不恰当
        • 在基准日不存在，但在审计报告日前发生的有重大影响的事项
        • 有豁免主主体或者豁免理由不恰当没有改正的
      • 否定意见
        • 应当考虑对表审的影响，如果影响了表审，要在内控报告中说明
        • 内控存在重大缺陷
          • 企业的自评报告是否包含了这一重大缺陷？
            • 没有包含
              • 在内控报告中说明
            • 已经包含
              • 公允表达重大缺陷没有在所有重大方面得到公允反应
        • 期后发现的在基准日内有重大负面影响的
      • 无法表示意见
        • 审计范围受限
          • 法律法规规定可以豁免的（不算受限）
            • 评价豁免的理由
            • 在强调事项段中说明or注册会计师责任段
        • 不确定期后事项影响的
        • 应当写什么？
          • 指明审计范围受限
          • 单设段落说明实质性理由
          • 已执行的有限程序中已经发现了重大缺陷
            • 对重大缺陷做出详细说明
        • 不应该写什么？
          • 不能说我已经做了什么程序
          • 不能说内控审计有什么特征
          • 哪天发现受限的哪天出具报告，不需要再执行其他程序
      • 发现非财务报告内控重大缺陷怎么办？
        • 一般缺陷&重要缺陷不需要在审计报告中提
        • 单独增加一个段落提醒，但不对这种重大缺陷发表意见