福建注协专家提示第25号 | 内部控制审计
本专家提示由福建省注册会计师协会起草，不能替代中国注册会计师审计准则及其应用指南的相关要求，仅供注册会计师在执业过程中参考。由于被审计单位的情况千差万别，专家提示亦并非对所有可能出现问题的全面描述，其结论亦可能会因不同情况而有所改变，注册会计师在使用时应当合理运用职业判断。
根据《企业内部控制基本规范》、《企业内部控制审计指引》、《企业内部控制审计指引实施意见》（以下简称实施意见）的相关规定，内部控制审计为注册会计师针对被审计单位的内部控制实施合理保证的鉴证业务。注册会计师在执行内部审计工作过程中应重视内部控制审计程序的充分实施及证据的获取，现就内部控制审计进行如下提示：
1.在计划审计工作时应重点考虑的事项：
（6）在计划阶段，应当对与确定内部控制重大缺陷相关的重要性、风险等的因素进行初步判断，并更多地关注内部控制审计的高风险领域。特定领域存在的重大缺陷风险越高，所需要获得的审计证据的相关性、可靠性越强。
2.在测试控制的设计及运行有效性时，可采用询问、观察、检查和重新执行等程序。应特别注意，询问本身并不能为得出控制是否有效的结论提供充分、适当的审计证据。应当在测试控制设计及运行的有效性时，综合运用询问适当人员、观察经营活动、检查相关文件以及重新执行等程序。
（2）若发现例外情况，应进一步判断是否存在控制偏差，对于确认为非系统性偏差的情况下，应当根据实施意见考虑偏差的原因及性质，并考虑采用扩大样本量等适当的应对措施以判断该偏差是否对总体不具有代表性。若该项偏差对总体具有代表性则将与系统性偏差处理一样视做一项内部控制缺陷。
4.在内部控制审计中应当基于财务报表层次识别重要账户、列报及其相关认定，并注意识别的重要账户、列报及其相关认定与财务报表审计中识别的重要账户、列报及其相关认定是否相同。
（1）对具有财务重大性的组成部分执行的工作
对重要组成部分以外的其他组成部分，如果存在重要账户、列报及其相关认定，应当首先评价对整个集团企业层面控制和该组成部分企业层面控制的测试以及针对重要组成部分相同的账户、列报及其相关认定的内部控制已实施的测试能否提供充分、适当 的审计证据。如果不能提供充分、适当的审计证据，应当选择适当数量的其他组成部分，测试与该重要账户、列报及其相关认定相关的业务流程、应用系统或交易层面的控制，直至能够获取充分、 适当的审计证据为止。
6.应当对已经识别出的各项控制缺陷的严重程度进行评价，以确定这些缺陷单独或组合起来，是否构成内部控制的重大或重要缺陷。在评价过程中，应考虑控制不能防止或发现并纠正账户或列报发生错报的可能性的大小，以及因一项或多项控制缺陷导致的潜在错报的金额大小等因素。
7.应当在底稿中充分记录对内部控制缺陷分类汇总情况。分类应当区分财务报告内部控制缺陷、非财务报告内部控制缺陷，并按照严重程度进行归类。对于重大缺陷和重要缺陷，在出具内部控制审计报告之前，应当以书面形式与管理层和治理层沟通。同时应当以书面形式与管理层沟通其在审计过程中识别的所有其他内部控制缺陷，并在沟通完成后告知治理层。所有书面沟通记录以及汇报记录均应形成相应工作底稿。
8.与财务报表审计不同，在进行内部控制审计时，通常不专门针对基准日之后的财务报告内部控制进行具体测试，但是应关注是否存在期后事项的迹象，询问是否存在内部控制的变化或出现其他可能对内部控制产生重要影响的因素，获取被审计单位关于这些情况的书面声明，并按照《中国注册会计师审计准则第1332号——期后事项》的规定，对获取的期后期间的相关文件资料进行检查。一旦发现内部控制在期后有重大改变或存在对内部控制有重大影响的事项，则需要判断期后事项的性质，考虑对审计报告的影响。
9.在财务报表被出具非无保留意见，以及注册会计师对财务报表进行了重大错报调整的情况下，应合理评价相应内部控制缺陷的严重程度，并充分考虑对内部控制审计报告意见的影响。
10.在整合审计中，应关注财务报表审计与内部控制审计之审计证据和结论的相互参照。特别应当评价财务报表审计中实施的实质性程序的结果对控制有效性结论的影响。评价时应关注财务报表审计中实施实质性程序所发现的以下问题是否表明存在财务报告相关的内部控制缺陷：（1）违反法律法规行为和关联方交易方面的问题；（2）管理层在选择会计政策和作出会计估计时存在偏向的情况；（3）实施实质性程序发现的单项或单一性质与方式累积超过重要性水平的错报，一般表明与财务报表相关内部控制存在重大缺陷，应谨慎判断对内部控制审计结论的影响。
11.整合审计时，在财务报表审计报告中注册会计师责任段，应描述为：“了解与审计相关的内部控制，以设计恰当的审计程序”，而不能错误的描述为：“了解与审计相关的内部控制，以设计恰当的审计程序，但目的并非对内部控制的有效性发表意见”。