第四章 內部控制審計

第四章內部控制審計

目錄第一節(jié)內部控制審計概述第二節(jié)內部審計部門針對內部控制五要素的審計第三節(jié)內部控制審計的具體程序與方法第四節(jié)內部控制缺陷的認定第五節(jié)內部控制審計報告2本章涉及的準則本章內容涉及的內部審計準則是《第2201號內部審計具體準則——內部控制審計》。3（一）兩種“內部控制審計”

內部控制審計，由于實施主體的不同，分為如下兩種情況：（1）會計師事務所實施的內部控制審計，是指會計師事務所接受委托,對特定基準日被審計單位內部控制設計與運行的有效性進行審計。（2）內部審計部門實施的內部控制審計，是指內部審計機構對組織內部控制的設計和運行的有效性進行的審查和評價話動。第一節(jié)

內部控制審計概述一、內部控制審計的概念4內部控制有效性是指組織建立和實施內部控制對實現內部控制目標提供合理保證的程度,設計有效性和運行有效性是內部控制有效性的兩個方面。內部控制設計有效性是指為實現控制目標所必需的內部控制要素存在并且設計恰當,其判斷標準在于所設計的內部控制是否能為內部控制目標的實現提供合理保證。內部控制運行的有效性是指設計有效的內部控制,按照規(guī)定程序得到正確執(zhí)行。如果審計發(fā)現，內部控制設計是無效的,那么,即使內部控制按照該設計得到了執(zhí)行，也不能確認為其運行是有效的。如果內部控制的設計是有效的,但沒有按照設計的程序執(zhí)行,那么，內部控制也不符合運行有效性的結論。第一節(jié)

內部控制審計概述一、內部控制審計的概念5會計師事務所實施的內部控制審計與內部審計部門實施的內部控制審計之間的差異6（二）企業(yè)內部控制評價與企業(yè)內部審計部門實施的內部控制審計之間的差異與聯系除了需要區(qū)分注冊會計師執(zhí)行的內部控制審計、內部審計部門執(zhí)行的內部控制審計之外，還需要與企業(yè)內部控制評價進行恰當的區(qū)分?！镀髽I(yè)內部控制評價指引》第二條規(guī)定，企業(yè)內部控制評價是指企業(yè)董事會或類似權力機構對內部控制有效性進行全面評價、形成評價結論、出具評價報告的過程。企業(yè)內部控制評價與企業(yè)內部審計部門實施的內部控制審計之間的差異，見P88,表4-2所示。

第一節(jié)

內部控制審計概述一、內部控制審計的概念7（二）企業(yè)內部控制評價與企業(yè)內部審計部門實施的內部控制審計之間的聯系企業(yè)內部控制評價與企業(yè)內部審計部門實施的內部控制審計之間的相同點，如表4-3所示。

第一節(jié)

內部控制審計概述一、內部控制審計的概念8內部控制相關責任的劃分如下：（1）董事會及管理層的責任是建立、健全內部控制并使之有效運行。（2）內部審計部門的責任是對內部控制設計和運行的有效性進行審查和評價，出具客觀、公正的審計報告,促進組織改善內部控制及風險管理。（3）董事會對內部控制評價承擔最終的責任。董事會應當對內部控制評價報告的真實性負責。董事會可以通過審計委員會來承擔對內部控制評價的組織、領導、監(jiān)督職責。（4）監(jiān)事會通過審計內部控制評價報告，對董事會建立與實施內部控制的效果進行監(jiān)督。

第一節(jié)

內部控制審計概述二、內部控制相關責任的劃分9內部控制相關責任的劃分如下：（1）董事會及管理層的責任是建立、健全內部控制并使之有效運行。（2）內部審計部門的責任是對內部控制設計和運行的有效性進行審查和評價，出具客觀、公正的審計報告,促進組織改善內部控制及風險管理。（3）董事會對內部控制評價承擔最終的責任。董事會應當對內部控制評價報告的真實性負責。董事會可以通過審計委員會來承擔對內部控制評價的組織、領導、監(jiān)督職責。（4）監(jiān)事會通過審計內部控制評價報告，對董事會建立與實施內部控制的效果進行監(jiān)督。

第一節(jié)

內部控制審計概述二、內部控制相關責任的劃分10內部控制相關責任的劃分如下：（5）內部控制評價部門根據授權承擔內部控制評價的具體組織實施任務。（6）組織內部各業(yè)務部門應負責組織本部門的內部控制自查、測試和評價工作，對發(fā)現的內部控制設計和運行缺陷提出整改方案并積極整改。（7）企業(yè)所屬單位應逐級落實內部控制評價責任，配合內部控制評價部門開展內控自查、測試和評價，發(fā)現問題并擬訂整改方案，報本級管理層審定后，積極整改。

第一節(jié)

內部控制審計概述二、內部控制相關責任的劃分11（一）內部控制審計應根據風險發(fā)生的可能性及影響程度確定審計的范圍和重點內部控制審計應當以風險評估為基礎,根據風險發(fā)生的可能性和對組織單個或者整體控制目標造成的影響程度，確定審計的范圍和重點。（1）當發(fā)現某一個事件帶來的風險對組織的影響非常重大，但組織的應對風險措施非常脆弱時，就不應做傳統的審計，而應改做咨詢，幫助組織設計出更好的控制方式，降低風險的重要性和脆弱程度。（2）當發(fā)現組織的風險應對措施不是非常脆弱，但是風險的影響會非常大時，內部審計部門可以提供確認服務，確認風險管理確實有效，確實發(fā)揮了作用。

第一節(jié)

內部控制審計概述三、內部控制審計的關注重點12（一）內部控制審計應根據風險發(fā)生的可能性及影響程度確定審計的范圍和重點（3）當發(fā)現組織的風險應對措施不是很脆弱，而且風險的影響也非常小時，可以考慮重新分配資源，因為對于這個事件可能產生的影響來說，做內部審計的迫切性不大。（4）當發(fā)現組織針對風險的控制手段、管理措施很脆弱，但風險帶來的影響非常小時要考慮風險是否積累，內部控制部門應當考慮如何緩沖風險。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點13（二）合規(guī)性合規(guī)性是內部控制的五個目標之一。根據內部審計的定義，內部審計的范圍包括內部控制、風險管理、業(yè)務活動。就合規(guī)性來看,內部審計人員應當熟悉與合規(guī)相關的如下網站。（1）政策類:習近平系列講話數據庫(人民網)、中國政府網政策數據庫、國資委政策庫。（2）法律、法規(guī)類:國家發(fā)改委法律法規(guī)庫、中央紀委國家監(jiān)委法規(guī)庫、審計署法律規(guī)庫、中國法律服務網、中國普法網(司法部主辦)等。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點14（二）合規(guī)性（3）信用類:信用中國、拓通綜合信用信息查詢系統、中國高等教育學生信息網、住房和城鄉(xiāng)建設部查詢平臺(企業(yè)和從業(yè)人員資質)。（4）知識產權類:中國商標網、中國及多國專利審查信息查詢、中國版權保護中心。（5）大宗原料物料價格走勢查詢:卓創(chuàng)資訊、生意社、鋼材價格網、我的鋼鐵網、商品混凝土網、中國氯堿網。（6）上市公司信息:證監(jiān)會處罰信息、證監(jiān)會官方網站、上海證券交易所官方網站、深圳證券交易所官方網站、中國證券投資基金業(yè)協會官網。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點15（三）內部審計人員應當關注內部控制的局限性帶來的風險內部控制局限性帶來的風險包括串通舞弊、濫用職權、環(huán)境變化和成本效益等內部控制的局限性。具體體現在以下幾個方面：（1）串通舞弊可能導致內部控制失效，例如，會計和出納之間的串通;門衛(wèi)和廢品回收人員串通等。（2）濫用職權可能導致內部控制失效,例如,單位負責人指示員工私刻公章。（3）環(huán)境變化。（4）考慮內部控制的成本和效益。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點16（四）內部控制審計應當在對內部控制全面評價的基礎上,關注重要業(yè)務單位、重大業(yè)務事項和高風險領域的內部控制（1）重要業(yè)務單位，是指獨立核算的單位或者業(yè)務收入占據較大比重的部門。（2）重大業(yè)務事項,是指直接影響組織經營發(fā)展的事項。（3）高風險領域，是指比較容易出問題的領域,例如,期貨、股票、金融衍生品等。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點17（五）內部控制審計應當真實、客觀地揭示經營管理的風險狀況，如實反映內部控制設計和運行的情況內部審計人員對發(fā)現的內部控制缺陷或缺失,要從其對經營管理造成的風險的角度進行揭示,區(qū)分內部控制設計是否有效和運行是否有效,進行分析,在審計結論中做出客觀反映?？陀^性是內部審計的靈魂,開展內部控制審計要保證審計過程的科學性和審計結果的客觀性,審計結論應當有相關的、可靠的、充分的審計證據支持,做到沒有虛假信息、重大遺漏和誤導性陳述。第一節(jié)

內部控制審計概述三、內部控制審計的關注重點18（六）內部審計人員不要從事內部控制確認、咨詢之外的業(yè)務內部審計在風險管理中應該提供的確認和咨詢服務，但不應該扮演其他角色，例如，不應該成為風險管理的主導者、不應該自己做決定、不應該代表管理層管理風險等。咨詢服務，主要是協助管理層設計風險管理流程、評估風險、降低風險、對風險管理效果進行評估，還要對組織是否實現全面風險管理進行評估，包括有沒有考慮到長遠風險、小概率風險以及從正反兩方面考慮風險等。19內部控制審計按其范圍劃分,分為全面內部控制審計和專項內部控制審計：（一）全面內部控制審計全面內部控制審計,是針對組織所有業(yè)務活動的內部控制,包括內部環(huán)境、風險評估、控制活動、信息與溝通、內部監(jiān)督五個要素所進行的全面審計。（二）專項內部控制審計專項內部控制審計,是針對組織內部控制的某個要素、某項業(yè)務活動或者業(yè)務活動某些環(huán)節(jié),如采購業(yè)務、生產過程、存貨管理、銷售業(yè)務、合同管理、工程項目、擔保業(yè)務等的內部控制所進行的審計。專項內部控制審計往往側重于控制活動要素。第一節(jié)

內部控制審計概述四、內部控制審計的分類20第二節(jié)內部審計部門針對內部控制五要素的審計一、內部控制的內部審計的時間和空間內部審計機構可以參考《企業(yè)內部控制基本規(guī)范》及配套指引的相關規(guī)定，根據組織的實際情況和需要,通過審查內部環(huán)境、風險評估、控制活動、信息與溝通、內部監(jiān)督等要素,對組織層面內部控制的設計與運行情況進行審查和評價。21第二節(jié)內部審計部門針對內部控制五要素的審計一、內部控制的內部審計的時間和空間確定內部控制審計的內容需要從時間和空間兩個角度進行綜合考慮。（1）時間范圍是指內部控制審計所針對的某一時間段內的內部控制設計和運行情況。（2）空間范圍是指整個組織,組織內各個層級、各個部門的內部環(huán)境、風險評估、控制活動、信息與溝通、內部監(jiān)督進行審計。22第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計組織層面的內部控制,是指組織整體的控制,是對組織業(yè)務單元均有影響的一系列控制制度和程序。1.對內部環(huán)境的內部審計審計內部環(huán)境要求要立足本組織的情況。梳理相關的制度、措施，其主要審計關往點包括：（1）組織架構。組織結構的適當性;提供管理活動必要信息流的能力;關鍵管理者的職責定義以及對自身職責的理解;組織內部報告關系的適當性等。（2）組織戰(zhàn)略。董事會是否設立戰(zhàn)略委員會或指定相關機構負責發(fā)展戰(zhàn)略管理工作；制定發(fā)展目標的過程是否科學嚴謹等。23第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計1.對內部環(huán)境的內部審計（3）人力資源。員工招聘、晉升、培訓、薪酬等政策的恰當性;是否存在行為準則沖突和利益沖突;倫理方面的道德標準是否得到有效執(zhí)行等。（4）社會責任。組織的社會責任政策是否恰當;社會責任政策是否在相應部門得到落實。（5）組織文化。組織文化的相關政策是否恰當;組織文化是否得到有效執(zhí)行;對于違反組織文化的行為是否采取措施。24第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計2.對風險評估的內部審計內部審計人員開展風險評估要素審計時,應當以《企業(yè)內部控制基本規(guī)范》有關風險評估的要求，以及各項應用指引中所列主要風險為依據,結合本組織的內部控制,對日常經營管理過程中的風險識別、風險分析、應對策略等進行審查和評價。其主要審計關注點包括:（1）風險管理的組織架構。檢查風險管理機構的設置,是否設立專職部門或者確定相關職能部門履行風險管理的職責。（2）識別風險。確認被審計單位識別內部風險、外部風險的程序是否建立。25第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計2.對風險評估的內部審計（3）評估風險。檢查內部風險、外部風險的評估的書面程序是否科學。（4）應對風險。檢查組織制定風險應對策略的情況,例如,風險規(guī)避、降低、轉移、接受的機制。（5）針對風險的控制活動和監(jiān)督機制。檢查和評價組織的針對風險的控制活動、監(jiān)督機制的制度是否完善;相關制度的執(zhí)行情況。26第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計3.對控制活動的內部審計控制活動是組織為了保障管理層的指令有效實施而建立的政策和程序,包括不相容職務相分離控制、授權審批控制、預算控制、績效考評控制、信息技術政策和程序等。審查和評價控制活動關注兩個方面：一個是針對每一項業(yè)務活動是否都制定了適當的控制政策和程序；二是已經確定的控制政策和程序是否得到了持續(xù)、有效的執(zhí)行。27第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計3.對控制活動的內部審計從組織層面審查和評價控制活動包括:（1）控制活動的類型,包括人工控制和自動控制、預防性控制和發(fā)現性控制等。（2）控制活動的復雜性,復雜性與組織結構、經營規(guī)模、市場環(huán)境、人員素質等有關。（3）控制活動所針對的風險事項及其重要程度。（4）某項控制活動對其他控制活動的依賴程度。28第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計4.對信息與溝通的內部審計信息與溝通,是指及時、準確、完整地收集與組織經營、管理相關的各種信息,并使這些信息以適當的方式在組織內部各有關層級之間有效溝通和正確應用的過程，是實施內部控制的重要條件。29第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計4.對信息與溝通的內部審計其主要審計關注點包括:（1）審查和評價組織的信息是否完整和及時、是否足夠滿足各層級人員有效履行職責的需要。（2）是否建立了反舞弊機制,董事會或審計委員會監(jiān)督反舞弊的職能是否明確,是否建立舉報投訴制度和舉報人保護制度,舞弊舉報的接受、調查、處理程序是否健全,發(fā)現舞弊線索的匯報與溝通渠道是否暢通。（3）財務報告是否真實公允。（4）信息系統的建立是否基于組織各個層級的目標。30第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計5.對內部監(jiān)督的內部審計內部監(jiān)督分為日常監(jiān)督和專項監(jiān)督。日常監(jiān)督是指企業(yè)對建立和實施內部控制的情況進行常規(guī)、持續(xù)的監(jiān)督檢查;專項監(jiān)督是指在企業(yè)發(fā)展戰(zhàn)略、組織結構、經營活動、業(yè)務流程、關鍵崗位員工發(fā)生較大調整或變動的情況下,對內部控制的某一方面或幾個方面行有針對性的監(jiān)督檢查。31第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（一）組織層面的內部控制的內部審計5.對內部監(jiān)督的內部審計其主要審計關注點包括:（1）審查和評價內部監(jiān)督制度是否健全。（2）審查和評價監(jiān)督崗位的設置和職責權限是否明確。（3）審查和評價日常監(jiān)督和專項監(jiān)督是否能夠將發(fā)現的內部控制缺陷及時進行報告，并且切實落實整改。32第二節(jié)內部審計部門針對內部控制五要素的審計二、組織層面的內部控制的內部審計和業(yè)務層面的內部控制的內部審計（二）業(yè)務層面內部控制的內部審計

內部審計人員根據管理需求和業(yè)務活動的特點，可以針對采購業(yè)務、資產管理、銷售業(yè)務、研究與開發(fā)、工程項目、擔保業(yè)務、業(yè)務外包、財務報告、全面預算、合同管理、信息系統等，對業(yè)務層面內部控制的設計和運行情況進行審查和評價。33第三節(jié)

內部控制審計的具體程序與方法一、內部控制審計的程序1.編制項目審計方案項目審計方案的內容包括審計目標、范圍、對象、內容、步驟、標準、方法、人員組織、進度安排、資源分配等。編制方案時需要收集有關內部控制制度、經營管理制度、業(yè)務操作手冊、操作規(guī)程等,同時充分利用有關內部控制的監(jiān)督檢查成果,識別風險點。2.組成審計組內部控制審計工作要求審計人員熟悉內部控制專業(yè)知識,相關的規(guī)章制度、業(yè)務流程,內部控制缺陷的認定標準等,因此,組建內部控制審計小組時,應當考慮審計人員的職業(yè)道德素養(yǎng)、業(yè)務勝任能力,配置具有不同層級、不同專業(yè)背景的人員。如果審計人員存在利益沖突，應當進行回避。34第三節(jié)

內部控制審計的具體程序與方法一、內部控制審計的程序內部控制缺陷是指管理層或者員工在正常執(zhí)行指定職能時,無法及時預防或者發(fā)現的內部控制問題。認定內部控制缺陷是進行現場審計階段的一個重要的內容。內部審計人員應當根據控制缺陷對內部控制目標的影響程度進行定性和定量的評估,按照重大缺陷、重要缺陷、一般缺陷加以認定,作為匯總審計結果的基礎。4.認定控制缺陷

3.實施現場審查現場審查主要圍繞內部控制審計方案的要求,綜合運用訪談、問卷調查、實地查驗、穿行測試、專題討論等多種方法,獲取審計證據。35第三節(jié)

內部控制審計的具體程序與方法一、內部控制審計的程序內部審計小組應當對認定后的缺陷進行匯總,并分析缺陷的形成原因及其造成的影響,以及分析形成內部控制缺陷的主要原因和次要原因、內部原因和外部原因、主觀原因和客觀原因等。編制審計報告階段包括審計報告的寫作與報批以及審計結果的溝通交流。審計小組匯總審計結果,對現場初步認定的內部控制缺陷進行全面復核,對缺陷形成的原因、風險程度進行定性和定量的分析,在此基礎上,進行客觀、公正、完整地編制內部控制審計報告。審計小組在編制過程中應當與被審計單位管理層就報告內容進行充分溝通。5.匯總審計結果6.編制審計報告36第三節(jié)

內部控制審計的具體程序與方法二、內部控制審計的方法訪談是與被審計單位人員面對面交談,或者通過小型座談的形式進行交流,從而獲被審計單位有關信息的方法。這種方法的優(yōu)點是便于審計人員在短時間內了解被審計單位業(yè)務管理的特點、內部控制情況,從而確定審計重點;缺點是被訪談人員的表達意愿能影響信息的質量?！坝^察”某項業(yè)務的工作人員,其履行職責的實際情況如何?！皺z查”與某項業(yè)務有關的憑證和報告。（一）訪談（二）觀察（三）檢查37第三節(jié)

內部控制審計的具體程序與方法二、內部控制審計的方法對某一交易在財務報告信息系統中的流程，進行“穿行測試”,驗證各個環(huán)節(jié)的實際執(zhí)行情況是否與所描述的內部控制一致,進而判斷內部控制是否健全有效的一種方法。這種方法的優(yōu)點是可以全面檢查業(yè)務流程的各個控制點的實際執(zhí)行情況;缺點是工作較大?！爸匦聢?zhí)行”某項業(yè)務的內部控制流程。（四）重新執(zhí)行（五）穿行測試38第三節(jié)

內部控制審計的具體程序與方法二、內部控制審計的方法（六）問卷調查（七）專題討論會問卷調查是通過設計、發(fā)放和回收一系列調查問卷,對問卷反饋的信息進行匯總分析，從而了解被審計單位活動的關鍵控制點或管理流程方面內部控制的情況，這方法的優(yōu)點是問卷發(fā)放范圍廣;缺點是如果問卷的被調查人員胡亂填寫,將影響信息質量。專題討論會是通過召集與業(yè)務流程相關的管理人員，就特定項目或者具體問題進行討論證明的方法。這種方法的優(yōu)點是方式靈活;缺點是受到人為因素影響較大,結論有時不可靠。39第三節(jié)

內部控制審計的具體程序與方法三、內部控制審計工作底稿的內容內部審計人員編制內部控制審計工作底稿應當詳細記錄實施內部控制審計的內容包括審查和評價的內部控制要素、主要風險點、采取的控制措施、有關證據資料,以及內部控制缺陷認定結果等。40第三節(jié)

內部控制審計的具體程序與方法三、內部控制審計工作底稿的內容內部控制審計工作底稿的要素包括：被審計單位的名稱;審計事項及其期間或者截止日期;審計程序的執(zhí)行過程及結果記錄;審計結論、意見和建議;審計人員的姓名和審計日期;復核人姓名、復核日期、復核意見;索引號及頁次;審計標識與其他符號的說明等。注：在實踐中,內部控制審計工作底稿通常采用表格的形式,便于羅列問題，進行比較。41第四節(jié)

內部控制缺陷的認定一、內部控制缺陷的分類按照成因不同,內部控制缺陷包括設計缺陷和運行缺陷。設計缺陷，是指缺少達到控制目標所必需的控制，或者現存的控制設計不恰當、即使正常使用也