第二十章企业内部控制审计

内部控制审计是通过对被审计单位的 内控制度 的审查、 分析测试 、评价，确定其可信程度，从而对内部控制是否有效作出鉴定的一种现代 审计方法 。. 内部控制审计就是确认、评价 企业内部控制 有效性的过程，包括确认和评价企业控制设计和控制运行缺陷和缺陷等级，分析缺陷形成原因，提出改进内部控制建议。

内部控制审计

• 内部控制审计基本理论
  • 概念：指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。其中，财务报告内部控制审计是服务核心要求。
    • 我们针对特定基准日发表意见，但并不只测试这一天的内部控制，而需要考察足够长一段时间。
  • 相关内部控制
    • 财务报告内部控制：
      • 对其有效性发表审计意见
    • 非财务报告内部控制：
      • 若有重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露
  • 整合审计
    • 概念：将内部控制审计与财务报告审计整合进行
    • 与财报审计异同
      • 相同点
        • 1.二者最终目的一致
        • 2.都采用风险导向审计方法
        • 3.二者运用的重要性水平相同
        • 4.二者了解和测试内部控制设计和运行有效性的基本方法相同（审计程序性质相同）
        • 5.两者识别的重要账户、列报及其相关认定相同
      • 差异点
        • 1.两者侧重不同
        • 2.两者对内部控制进行了解和测试目的不同
        • 3.两者测试内部控制运行有效性的范围要求不同
        • 4.两者内部控制测试期间要求不同
        • 5.两者对利用以前审计中获取的审计证据要求不同
        • 6.两者对控制缺陷的评价要求不同
        • 7.审计报告形式、内容、意见类型不同
  • 控制有效性测试相关理论
    • 含义：设计有效性+内控运行有效性
    • 相关风险：与控制相关风险越高，所需获取审计证据越多
    • 测试程序：询问、观察、检查、重新执行。
      • 只有综合运用询问、观察、检查仍无法获取充分适当审计证据是，才会考虑重新执行，且注重定性而非定量。
  • 控制测试时间安排
    • 总体原则
      • 内控审计，应获取基准日之前一段足够长期间有效运行审计证据
      • 整合审计：控制测试所涵盖期间应尽量与财报审计中你信赖内控期间保持一致
      • 实施时间：越接近基准日，证据越有力。
    • 方法
      • 1、期中测试+前推测试
      • 2、将样本分成两部分测试
  • 测试自动化应用控制
    • 规模
      • 一般控制有效前提下，对每一相关属性进行一次系统查询，即可得出有效结论
    • 偏差处理
      • 有效的内部控制不能提供控制目标的绝对保证，单项控制并非一定要毫无偏差的运行，才被认为有效。
      • 应考虑偏差形成原因。系统偏差/人为--应当考虑舞弊的可能迹象以及对审计方案影响
      • 不是系统偏差。可扩大样本规模，若再次发现偏差可得出该控制无效结论，若未发现偏差，可得出控制有效结论。
• 内部控制审计计划和实施
  • 计划审计工作
    • 三层六点
    • 总体审计策略
      • 确定业务特征，以界定范围
      • 明确业务目标，以计划时间安排和所需沟通性质
      • 根据职业判断，以考虑指导工作方向的重要因素
      • 考虑初步业务活动结果、对被审计单位执行其他业务时获得的经验是否与内控审计业务相关。
      • 确定业务所需资源的性质、时间安排、范围
    • 具体审计计划
      • 了解识别内控
      • 测试设计有效性程序
      • 测试运行有效性程序
      • 其程序的性质、时间安排、范围
  • 内控审计方法论（自上而下）
    • 识别、了解和测试企业层面控制
      • 含义：为应对企业财报整体层面风险而设计
      • 内容
        • 与控制环境相关控制
        • 针对管理层/治理层凌驾于控制之上风险的控制
        • 被审计单位风险评估过程
        • 对内部信息传递/期末财务报告流程控制
        • 对控制有效性的内部监督、评价
        • 集中化处理和控制（包括共享的服务环境），监控经营成果的控制以及针对重大经营控制及风险管理实物的政策。
      • 对其他层面控制影响
        • 第一类：间接重要
        • 第二类：不够精确，能减少
        • 第三类：很精确，能代替
    • 识别重要账户、列报及其相关认定
      • 含义：（略）
      • 识别要求：
        • 应从定性和定量两方面考虑，超过/低于报表整体重要性都不必然为重要账户和列报
        • 识别相关认定时，还应确定重大错报可能来源
        • 识别时，不应考虑控制本身抵消效果
        • 不同的控制应分别考虑，并针对各自风险设计审计程序
        • 应加以考虑以前年度审计中了解到的情况影响注会对固有风险评估
        • 整合审计中，二者识别的重要账户列报及其相关认定应当相同
    • 了解潜在错报来源并识别相应控制
      • （略）
    • 选择拟测试的控制
      • 基本要求
        • 无责任对单项控制有效性发表审计意见
        • 无必要测试与某项相关认定有关所有控制，测关键的控制。
        • 应考虑单独/连同其他控制进行评估相关认定的错报风险
      • 选取关键控制
        • 应运用职业判断选取。
        • 无需测试即使有缺陷也合理预期不会导致财报重大错报的控制
  • 业务流程、应用系统/交易层面控制测试
    • 了解相关活动及流程
      • （略）
    • 识别和了解相关控制
      • 类型：预防性、检查性
      • 应自上而下的询问
      • 若自下而上，应与上做核对
      • 不需了解与之相关所有控制
      • 应考虑识别和了解与认定更直接、更有效的控制
  • 信息系统控制测试
    • 略
• 内部控制缺陷评价
  • 分类
    • 按性质分
      • 设计缺陷
      • 运行缺陷
    • 按严重程度分
      • 重大缺陷
        • 内控中存在、可能导致不能及时防止或发现并纠正财务报表出现重大错报的一项/多项控制缺陷。
      • 重要缺陷
        • 足以引起负责监督被审计单位财务报告人员关注的一项/多项控制缺陷
      • 一般缺陷
        • 上述两种之外的控制缺陷
  • 评价控制缺陷的严重程度
    • 影响因素
      • 发生错报的可能性
        • 严重程度取决于防止/纠正的可能性，而并非是否发生
        • 无需量化错报
        • 应考虑组合影响
      • 潜在错报的金额
        • 应考虑受缺陷影响的报表金额或交易金额
        • 应考虑本期及未来期间受该缺陷影响的账户余额/各类交易的量
    • 对补偿性控制的考虑
      • 应当考虑，且当该补偿性控制足够精确时，才能抵消
  • 内部控制缺陷整改
    • 应在基准日前整改且有效运行足够长一段时间才能使注会的出内控有效审计结论。
• 内部控制审计报告
  • 形成审计意见
    • 应评价从各种来源获取的审计证据
    • 应查阅本年度涉及内控 的内部审计报告，并评价其中指出的缺陷
    • 应评价内部审计报告的要素列报是否完整恰当
    • 整合审计中，二者应分别出具审计报告，并签署相同日期
  • 审计报告类型
    • 无保留意见
      • 所有重大方面保持了有效的内部控制+审计过程未收到限值
      • 同时有重大缺陷及范围受限，应发表“无法表示意见”类型
    • 否定意见
      • 使用情形：一项/多项重大缺陷。
      • 沟通和说明：
        • 审计报告应当包括重大缺陷的定义、性质、对内控的影响程度
        • 应就这些情况以书面形式与治理层沟通
      • 对企业内部控制评价报告的考虑
        • 在审计报告中说明企业没披露的
        • 在审计报告中说明企业没披准确的，并补充完整
      • 对财报审计影响
        • 不应信赖存在重大缺陷的控制，需要实施实质性程序。若实质性程序结果表明该账户不存在重大错报，可以发表无保留意见，但应添加相关说明（受不受影响都应添加）。
    • 无法表示意见
      • 适用情形：
        • 若受到限值，应解除业务约定/出具无法表示意见
        • 法律豁免情形不构成受限
      • 沟通和说明：
        • 不应描述所执行的程序和内控审计特征
        • 已执行有限程序中存在重大缺陷应作出详细说明
        • 受到限制，不必执行任何其他工作即可对内部控制出具无法表示意见的内部控制审计报告
        • 应以书面形式与管理层和治理层进行沟通
    • 强调事项
      • 适用情形
        • 自评报告有缺陷
        • 期后事项影响大
        • 法律豁免
    • 非财务报告内部控制重大缺陷
      • 应以书面形式与企业董事会和经理层沟通，提醒改进
      • 在内控审计报告中增加“非财务报告内部控制重大缺陷描述段”对其性质、影响程度进行披露，但无需对其发表审计意见。