企业内部控制审计指引实施意见Word格式.docx
《企业内部控制审计指引实施意见Word格式.docx》由会员分享，可在线阅读，更多相关《企业内部控制审计指引实施意见Word格式.docx（21页珍藏版）》请在冰豆网上搜索。
与此相适应，美国公众公司会计监督委员会（PCAOB）随后发布审计准则，对会计师事务所执行上市公司财务报告内部控制审计工作进行了规范。
同样日本《金融商品交易法》也要求审计师对企业财务报告内部控制进行审计。
顺应国际资本市场监管变革趋势，2008年5月和2010年4月，财政部会同证监会、审计署、银监会和保监会分别发布了《企业内部控制基本规范》和《企业内部控制审计指引》等企业内部控制制度，确立了我国企业内部控制审计制度，要求执行内部控制规范体系的企业，必须聘请会计师事务所对其财务报告内部控制有效性进行审计。
其中《企业内部控制审计指引》自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行。
企业内部控制审计制度的确立，改变了企业在上市或再融资时才委托注册会计师对内部控制进行审计的局面，使得企业内部控制审计与财务报告审计一样，成为经常性、周期性业务，上市公司每年要与年报一同公布企业内部控制审计报告。
实施企业内部控制审计的意义在于，注册会计师对企业内部控制有效性进行客观、独立的鉴证，不仅能够监督、推动企业将内部控制规范落到实处，促进企业加强内部控制规范建设，提升财务报告风险防范能力，同时也能够进一步提升企业信息披露的透明度，增强投资者对企业财务信息可靠性的信心，对保护投资者权益和社会公众利益具有重要作用。
发布实施《意见》的意义则在于，为注册会计师更有效地执行企业内部控制审计业务提供了全面的技术指引。
如果说2010年发布的《企业内部控制审计指引》是“航行的灯塔”，此次发布的《意见》则是走向航行目标的具体“技术路线图”。
具体来说，《意见》在《企业内部控制审计指引》的基础上，对执行内部控制审计各个关键环节的要求进行补充和细化，从业务约定书签订，到总体审计策略和具体审计计划的制定，到审计工作实施，以及控制缺陷评价，形成审计意见到最终的审计报告出具都进行了较为详细的规定，对注册会计师执行企业内部控制审计业务具有较强的指导意义。
特别是对在实务工作中的具体操作问题，如自上而下和风险导向审计方法的运用、控制测试的涵盖期间、控制测试的时间安排、控制测试的样本量、集团企业控制测试、审计工作底稿编制等，《意见》既给出注册会计师需要考虑的基本原则，又提供了具有可操作性的具体措施。
企业内部控制审计的主要内容有哪些？
内部控制审计报告对投资人等利益相关者的价值何在？
内部控制审计是会计师事务所接受委托，对特定基准日企业内部控制设计与运行的有效性进行审计，并发表审计意见，审计内容包括企业治理结构、机构设置、企业文化、人力资源政策等内部控制环境因素，以及企业识别风险的评估程序、应对风险的具体措施和信息传递有效性、保证内部控制规范建设和有效运行的机制等，全面评价企业设计和运行的内部控制是否能够合理保证财务报告及相关信息合法、真实、完整，以及用于保护资产安全的内部控制是否可靠。
企业内部控制审计意见包括无保留意见、否定意见和无法表示意见三种类型。
如果注册会计师审计后认为企业内部控制在所有重大方面是有效的，则出具无保留意见的内部控制审计报告；
如果注册会计师认为企业内部控制存在重大缺陷，则出具否定意见内部控制审计报告；
如果注册会计师审计范围受到限制，则应当解除业务约定或出具无法表示意见的内部控制审计报告。
企业内部控制审计与财务报告审计两种意见类型相互关联，但并非一一对应。
例如，在执行内部审计过程中，注册会计师发现企业财务报告内部控制存在重大缺陷，应该出具否定意见的内部控制审计报告。
如果该内部控制重大缺陷尚未引起企业财务报告的重大错报，注册会计师则出具标准意见的财务报告审计报告。
又如，注册会计师对企业财务报告发表否定意见，意味着财务报告的编制不符合适用的会计准则和会计制度的规定，这种情况下，企业的内部控制也通常存在重大缺陷，应该出具否定意见的内部控制审计报告。
因此，企业内部控制审计能够比财务报告审计提供更进一步的信息，有利于投资者在财务报告审计意见类型基础上，深入分析企业内部控制情况、投资风险和投资价值。
问：
企业内部控制审计与财务报告审计有何联系？
企业内部控制的了解和测试，及其有效性评估是制定财务报告审计策略、实施进一步审计程序的基础和前提。
因此，内部控制审计和财务报告审计存在着多方面联系，主要体现在以下五个方面：
一是两者的最终目的一致，虽然二者各有侧重，但最终目的均为提高财务信息质量，提高财务报告的可靠性，为利益相关者提供高质量的信息。
二是两者都采取风险导向审计模式，注册会计师首先实施风险评估程序，识别和评估重大缺陷（或错报）存在的风险。
在此基础上，有针对性地采取应对措施，实施相应的审计程序。
三是两者都要了解和测试内部控制，并且对内部控制有效性的定义和评价方法相同，都可能用到询问、检查、观察、穿行测试、重新执行等方法和程序。
四是两者均要识别重点账户、重要交易类别等重点审计领域。
注册会计师在财务报告审计中，需要评价这些重点账户和重要交易类别是否存在重大错报；
在内部控制审计中，需要评价这些账户和交易是否被内部控制所覆盖。
五是两者确定的重要性水平相同。
注册会计师在财务报告审计中确定重要性水平，旨在检查财务报告中是否存在重大错报；
在财务报告内部控制审计中确定重要性水平，旨在检查财务报告内部控制是否存在重大缺陷。
由于审计对象、判断标准相同，因此二者在审计中确定的重要性水平亦相同。
既然两者存在多方面的密切联系，企业内部控制审计为什么是独立于财务报告审计的单独业务？
在审计工作中，是否能够对二者实施整合审计？
虽然二者存在着多方面的联系，但财务报告审计是为了提高财务报告的可信赖程度，重在审计“结果”；
而内部控制审计是对保证企业财务报告质量的内在机制的审计，重在审计“过程”。
审计对象、重点等的不同，使得二者存在实质性差异，内部控制审计独立于财务报告审计。
二者差异主要体现在五个方面：
首先，对内部控制了解和测试的目的不同。
注册会计师在财务报告审计中评价内部控制的目的，是为了判断是否可以相应减少实质性程序的工作量，以及支持财务报告的审计意见类型；
在内部控制审计中评价内部控制的目的，则是为了对内部控制本身的有效性发表审计意见。
第二，内部控制测试范围存在区别。
注册会计师在财务报告审计中，根据成本效益原则可能采取不同的审计策略，对于某些审计领域，可以绕过内部控制测试程序进行审计。
而在内部控制审计中，注册会计师则不能绕过内部控制测试程序进行审计，注册会计师应当针对每一审计领域获取控制有效性的证据，以便对内部控制整体的有效性发表意见。
第三，内部控制测试结果所要达到的可靠程度不完全相同。
在财务报告审计中，对控制测试的可靠性要求相对较低，注册会计师测试的样本量也有一定的弹性。
在内部控制审计中，注册会计师则需要获取内部控制有效性的高度保证，因此对控制测试的可靠性要求较严，样本量选择相对弹性较小。
第四，两者对控制缺陷的评价要求不同。
在财务报告审计中，注册会计师仅需将审计过程中识别出的内部控制缺陷区分为值得关注的内部控制缺陷和一般缺陷。
而在内部控制审计中，注册会计师需要对内部控制缺陷进行严格的评估，将值得关注的内部控制缺陷进一步区分为重大缺陷和重要缺陷。
重大缺陷将影响到审计意见的类型。
第五，审计报告的内容不同。
在财务报告审计中，注册会计师一般不对外报告内部控制的情况，除非内部控制影响到对财务报告发表的审计意见。
在内部控制审计中，注册会计师应报告内部控制的有效性。
从以上五个方面可以看出，两者差异主要是具体目标、保证程度、评价要求、报告类型等属性上的实质性差异，这些决定了内部控制审计独立于财务报告审计。
但在技术层面和实务工作中，两者审计模式、程序、方法等存在着相同之处，风险识别、评估、应对等大量工作内容相近，有很多的基础工作可以共享，在一项审计中发现的问题还可以为另一项审计提供线索和思路。
因此，这两项审计工作完全可以整合进行，而由同一家事务所进行整合审计，不仅有利于提高审计效果和效率，降低审计成本，减少重复劳动，而且可以避免审计判断出现不一致的情形，降低企业聘请不同事务所实施审计的负担。
目前，美国《萨班斯——奥克斯利法案》和日本《金融商品交易法》均要求由出具财务报告审计报告的会计师事务所对企业财务报告内部控制进行审计，将企业内部控制审计定位在整合审计。
美国的一项调查也显示，企业执行《萨班斯——奥克斯利法案》404条款第二年的成本比第一年下降46%，将两项审计工作更好地整合起来则是其中的一个主要原因。
为此，我国《企业内部控制审计指引》也提倡将二者整合进行。
如何保证《意见》的贯彻落实和有效执行？
一项制度要发挥好作用，关键在于落实。
下一步，中注协将着力抓好以下工作：
第一，不断深化内部控制审计相关规章制度的宣传、动员和培训工作。
为了帮助事务所更好提供内部控制审计服务，中注协将举办培训班，指导会计师事务所做好内部控制审计业务，帮助审计人员提高此类审计业务所需的知识和技能。
第二，出台“内部控制审计工作底稿编制指南”，引导事务所切实按照中国注册会计师审计准则、《企业内部控制审计指引》和《意见》执行审计工作，把内部控制审计业务作为一项单独的业务切实做实、做好、做到位。
第三，加强对事务所的专业指导。
要求和指导事务所根据自身实际抓紧研究整合审计策略，制定业务规程，建立和完善内部控制审计业务质量控制体系；
严格遵守《中国注册会计师职业道德守则》，并对执业过程中获知的信息保密，不得同时为客户提供内部控制咨询和评价服务；
提示事务所充分认识到内部控制审计业务时间安排的特殊性，尽早与客户沟通，在期中即开展内部控制审计，以给客户整改内部控制缺陷留下充足时间。
第四，在会计师事务所执业质量检查工作中，中注协将有重点地开展对从事内部控制审计业务会计师事务所的监管，有针对性地加大检查力度，督促其严格遵循执业要求，自觉规范执业行为。
发现存在执业质量问题和违背职业道德，将严格惩戒。
您对企业执行内部控制规范有什么建议？
企业是内部控制规范建设和执行的主体，对内部控制的有效性承担主体责任，事务所审计则是鉴证监督责任。
为保证企业内部控制规范的有效实施，发挥实效，提出以下几点建议：
首先，企业管理层应高度重视内部控制规范体系建设实施工作，要建立健全内部控制领导体制和组织机构，根据基本规范及其配套指引的要求，大力推动内部控制规范体系实施，对业务流程进行系统梳理，识别重要业务流程、流程中容易出错的环节、关键控制点，并抓紧开展内部控制自我评价工作，查漏补缺，为会计师事务所开展内部控制审计工作奠定良好的基础。
其次，企业须尽早落实聘请会计师事务所进行内部控制审计事宜。
在财务报表审计中，如果发现重大错报，只要被审计单位最后时刻同意审计调整，注册会计师即可签发无保留意见审计报告。
内部控制审计则不同，在内部控制审计中，如果发现被审计单位内部控制存在重大缺陷，注册会计师提请企业整改后，还要跟踪考察整改情况，才能得出控制是否有效的结论，进而决定是否签发无保留意见的审计报告。
例如，对于每季运行一次的控制，如果存在重大缺陷，被审计单位需要整改后再运行6个月，注册会计师才能得出控制是否有效的审计结论。
因此，企业最好在上半年决定事务所聘请事宜。
再次，推动实现内部控制自我评价工作与内部控制审计工作的良性互动。
企业应充分认识内部控制审计业务特点，在开展内部控制自我评价工作时，应当及时与注册会计师沟通和互动，提高自我评价工作可利用程度，降低审计成本，提高工作效率。
同时，企业应充分理解内部控制审计工作是一项单独业务，需要事务所增加新的投入，在工作中提供充分的支持。
附件
为了规范注册会计师执行财务报告内部控制（以下简称内部控制）审计业务，明确工作要求，提高执业质量，维护公众利益，根据中国注册会计师审计准则、《企业内部控制基本规范》和《企业内部控制审计指引》，在整合审计框架下，制定本意见。
一、关于签订业务约定书只有当内部控制审计的前提条件得到满足，并且会计师事务所符合独立性要求，具备专业胜任能力时，会计师事务所才能接受或保持内部控制审计业务。
（一）内部控制审计的前提条件在确定内部控制审计的前提条件是否得到满足时，注册会计师应当：
（1）确定被审计单位采用的内部控制标准是否适当；
（2）就被审计单位认可并理解其责任与治理层和管理层达成一致意见。
被审计单位的责任包括：
（1）按照适用的内部控制标准，建立健全和有效实施内部控制，以使财务报表不存在由于舞弊或错误导致的重大错报；
（2）对内部控制的有效性进行评价并编制内部控制评价报告；
（3）向注册会计师提供必要的工作条件，包括允许注册会计师接触与内部控制审计相关的所有信息（如记录、文件和其他事项）
允许注册会计师在获取审计证据时不受限制地接触其认为必要的内部人员和其他相关人员等。
（二）签订单独的内部控制审计业务约定书如果决定接受或保持内部控制审计业务，会计师事务所应当与被审计单位签订单独的内部控制审计业务约定书。
业务约定书应当至少包括下列内容：
（1）内部控制审计的目标和范围；
（2）注册会计师的责任；
（3）被审计单位的责任；
（4）指出被审计单位采用的内部控制标准；
（5）提及注册会计师拟出具的内部控制审计报告的形式和内容，以及对在特定情况下出具的内部控制审计报告可能不同于预期形式和内容的说明；
（6）审计收费。
二、关于计划审计工作注册会计师应当贯彻风险导向审计的思路，恰当地计划内部控制审计工作，制订总体审计策略和具体审计计划。
（一）总体审计策略注册会计师应当在总体审计策略中体现下列内容：
（1）确定内部控制审计业务特征，以界定审计范围。
例如，被审计单位采用的内部控制标准、注册会计师预期内部控制审计工作涵盖的范围、对组成部分注册会计师工作的参与程度、注册会计师对被审计单位内部控制评价工作的了解以及拟利用被审计单位内部相关人员工作的程度等。
对于按照权益法核算的投资，内部控制审计范围应当包括针对权益法下相关会计处理而实施的内部控制，但通常不包括针对权益法下被投资方的内部控制。
内部控制审计范围应当包括被审计单位在内部控制评价基准日（最近一个会计期间截止日，以下简称基准日）或在此之前收购的实体，以及在基准日作为终止经营进行会计处理的业务。
注册会计师应当确定是否有必要对与这些实体或业务相关的控制实施测试。
如果法律法规的相关豁免规定允许被审计单位不将某些实体纳入内部控制评价范围，注册会计师可以不将这些实体纳入内部控制审计的范围。
（2）明确内部控制审计业务的报告目标，以计划审计的时间安排和所需沟通的性质。
例如，被审计单位对外公布或报送内部控制审计报告的时间、注册会计师与管理层和治理层讨论内部控制审计工作的性质、时间安排和范围，注册会计师与管理层和治理层讨论拟出具内部控制审计报告的类型和时间安排以及沟通的其他事项等。
（3）根据职业判断，考虑用以指导项目组工作方向的重要因素。
例如，财务报表整体的重要性和实际执行的重要性、初步识别的可能存在重大错报的风险领域、内部控制最近发生变化的程度、与被审计单位沟通过的内部控制缺陷、对内部控制有效性的初步判断、信息技术和业务流程的变化等。
（4）考虑初步业务活动的结果，并考虑对被审计单位执行其他业务时获得的经验是否与内部控制审计业务相关（如适用）。
（5）确定执行内部控制审计业务所需资源的性质、时间安排和范围。
例如，项目组成员的选择以及对项目组成员审计工作的分派，项目时间预算等。
（二）具体审计计划注册会计师应当在具体审计计划中体现下列内容：
（1）了解和识别内部控制的程序的性质、时间安排和范围；
（2）测试控制设计有效性的程序的性质、时间安排和范围；
（3）测试控制运行有效性的程序的性质、时间安排和范围。
（三）对应对舞弊风险的考虑在计划和实施内部控制审计工作时，注册会计师应当考虑财务报表审计中对舞弊风险的评估结果。
在识别和测试企业层面控制以及选择其他控制进行测试时，注册会计师应当评价被审计单位的内部控制是否足以应对识别出的、由于舞弊导致的重大错报风险，并评价为应对管理层和治理层凌驾于控制之上的风险而设计的控制。
被审计单位为应对这些风险可能设计的控制包括：
（1）针对重大的非常规交易的控制，尤其是针对导致会计处理延迟或异常的交易的控制；
（2）针对期末财务报告流程中编制的分录和作出的调整的控制；
（3）针对关联方交易的控制；
（4）与管理层的重大估计相关的控制；
（5）能够减弱管理层和治理层伪造或不恰当操纵财务结果的动机和压力的控制。
如果在内部控制审计中识别出旨在防止或发现并纠正舞弊的控制存在缺陷，注册会计师应当按照《中国注册会计师审计准则第1141号——财务报表审计中与舞弊相关的责任》的规定，在财务报表审计中制定重大错报风险的应对方案时考虑这些缺陷。
三、关于实施审计工作
（一）采用自上而下的方法注册会计师应当采用自上而下的方法选择拟测试的控制。
自上而下的方法始于财务报表层次，以注册会计师对内部控制整体风险的了解开始，然后，将关注重点放在企业层面的控制上，并将工作逐渐下移至重要账户、列报及其相关认定。
随后，验证其对被审计单位业务流程中风险的了解，并选择能足以应对评估的每个相关认定的重大错报风险的控制进行测试。
自上而下的方法分为下列步骤：
（1）从财务报表层次初步了解内部控制整体风险；
（2）识别、了解和测试企业层面控制；
（3）识别重要账户、列报及其相关认定；
（4）了解潜在错报的来源并识别相应的控制；
（5）选择拟测试的控制。
本部分第
（二）至（五）对自上而下的方法的各个步骤进行了规定，第（六）至（十三）对控制有效性测试进行了规定。
（二）识别、了解和测试企业层面控制注册会计师应当识别、了解和测试对内部控制有效性有重要影响的企业层面控制。
注册会计师对企业层面控制的评价，可能增加或减少本应对其他控制进行的测试。
1.企业层面控制对其他控制及其测试的影响不同的企业层面控制在性质和精确度上存在差异，注册会计师应当从下列方面考虑这些差异对其他控制及其测试的影响：
（1）某些企业层面控制，如与控制环境相关的控制，对及时防止或发现并纠正相关认定的错报的可能性有重要影响。
虽然这种影响是间接的，但这些控制仍然可能影响注册会计师拟测试的其他控制，以及测试程序的性质、时间安排和范围。
（2）某些企业层面控制旨在识别其他控制可能出现的失效情况，能够监督其他控制的有效性，但还不足以精确到及时防止或发现并纠正相关认定的错报。
当这些控制运行有效时，注册会计师可以减少对其他控制的测试。
（3）某些企业层面控制本身能够精确到足以及时防止或发现并纠正相关认定的错报。
如果一项企业层面控制足以应对已评估的错报风险，注册会计师就不必测试与该风险相关的其他控制。
2.企业层面控制的内容企业层面控制包括下列内容：
（1）与控制环境（即内部环境）相关的控制；
（2）针对管理层和治理层凌驾于控制之上的风险而设计的控制；
（3）被审计单位的风险评估过程；
（4）对内部信息传递和期末财务报告流程的控制；
（5）对控制有效性的内部监督（即监督其他控制的控制）和内部控制评价。
此外，集中化的处理和控制（包括共享的服务环境）、监控经营成果的控制以及针对重大经营控制及风险管理实务的政策也属于企业层面控制。
3.对期末财务报告流程的评价期末财务报告流程对内部控制审计和财务报表审计有重要影响，注册会计师应当对期末财务报告流程进行评价。
期末财务报告流程包括：
（1）将交易总额登入总分类账的程序；
（2）与会计政策的选择和运用相关的程序；
（3）总分类账中会计分录的编制、批准等处理程序；
（4）对财务报表进行调整的程序；
（5）编制财务报表的程序。
注册会计师应当从下列方面评价期末财务报告流程：
（1）被审计单位财务报表的编制流程，包括输入、处理及输出；
（2）期末财务报告流程中运用信息技术的程度；
（3）管理层中参与期末财务报告流程的人员；
（4）纳入财务报表编制范围的组成部分；
（5）调整分录及合并分录的类型；
（6）管理层和治理层对期末财务报告流程进行监督的性质及范围。
（三）识别重要账户、列报及其相关认定注册会计师应当基于财务报表层次识别重要账户、列报及其相关认定。
如果某账户或列报可能存在一个错报，该错报单独或连同其他错报将导致财务报表发生重大错报，则该账户或列报为重要账户或列报。
判断某账户或列报是否重要，应当依据其固有风险，而不应考虑相关控制的影响。
如果某财务报表认定可能存在一个或多个错报，这些错报将导致财务报表发生重大错报，则该认定为相关认定。
判断某认定是否为相关认定，应当依据其固有风险，而不应考虑相关控制的影响。
为识别重要账户、列报及其相关认定，注册会计师应当从下列方面评价财务报表项目及附注的错报风险因素：
（1）账户的规模和构成；
（2）易于发生错报的程度；
（3）账户或列报中反映的交易的业务量、复杂性及同质性；
（4）账户或列报的性质；
（5）与账户或列报相关的会计处理及报告的复杂程度；
（6）账户发生损失的风险；
（7）账户或列报中反映的活动引起重大或有负债的可能性；
（8）账户记录中是否涉及关联方交易；
（9）账户或列报的特征与前期相比发生的变化。
在识别重要账户、列报及其相关认定时，注册会计师还应当确定重大错报的可能来源。
注册会计师可以通过考虑在特定的重要账户或列报中错报可能发生的领域和原因，确定重大错报的可能来源。
在内部控制审计中，注册会计师在识别重要账户、列报及其相关认定时应当评价的风险因素，与财务报表审计中考虑的因素相同。
因此，在这两种审计中识别的重要账户、列报及其相关认定
升级会员 