淺析內部控制審計中若干誤區(qū)及應對

【摘 要】20世紀以來，陸續(xù)曝光的財務舞弊案例，給企業(yè)帶來了嚴重的損失、擾亂了社會秩序，引起了國際社會的關注，究其根本原因均是企業(yè)內部控制薄弱甚至失效。因此，各國監(jiān)管機構紛紛加快立法建設，我國財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會五部委2008年聯合發(fā)布《企業(yè)內部控制基本規(guī)范》，2010年聯合發(fā)布了配套指引，已形成“應用+評價+審計”三者結合的內部控制模式。其中，內部控制審計是企業(yè)發(fā)展需要，有利于內部控制的循序改進，幫助企業(yè)、單位維持有效的內部控制。然而在實際實施過程中，仍存在著內部控制審計技術不到位的問題，本文即是從技術層面剖析內部控制審計執(zhí)行中的一些誤區(qū)，并提出應對措施，以期為內部控制審計提供一些思路。從開展內部控制審計工作的上市公司來看，95%以上財報審計是由同一家會計師事務所實施的，因此本文以下討論也基于整合審計而展開。

【關鍵詞】內部控制；審計；誤區(qū)；應對措施

一、內部控制審計的概念以及在我國的實際開展情況

內部控制審計是評價企業(yè)、單位內部控制是否有效的一種現代審計方法，是對內部控制的再控制，包括評價內部控制設計與運行缺陷、分析原因、提出應對措施等，主要從評價內部控制的合法性、完整性、有效性幾方面開展。

財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會五部委2008年聯合發(fā)布的《企業(yè)內部控制基本規(guī)范》是其重要依據。2010年五部委聯合發(fā)布了配套指引，該指引同時規(guī)定了執(zhí)行的時間表，自2011年1月1日起首先在境內外同時上市的公司施行，自2012年1月1日起擴大到在上海證券交易所、深圳證券交易所主板上市的公司施行；在此基礎上，擇機在中小板和創(chuàng)業(yè)板上市公司施行；同時，鼓勵非上市大中型企業(yè)提前執(zhí)行。但是2012年財政部辦公廳、證監(jiān)會辦公廳再次發(fā)布了推遲的時間表，2012年需要內控審計的上市公司縮小到了中央和地方國有控股上市公司，2014年才最終擴大到所有主板上市公司。

二、內部控制審計中存在的誤區(qū)及應對措施

（一）未準確應用風險導向審計理念，教條化的使用準則、生搬硬套

風險評估程序是內部控制審計的核心所在，也是審計過程中不可缺少的一個步驟，即注冊會計師應對內部控制的有效性等重要事項進行風險評估，據以確定相應審計程序的性質、時間和范圍。然而，實務中往往存在這樣的現象，即按照內部控制運用指引分模塊按矩陣對企業(yè)內部業(yè)務流程逐個測試，但是首先應用指引是以制造業(yè)為例的，對其他諸如服務業(yè)、建筑業(yè)卻是不完全適用的；其次，指引中只是指出了18項流程中的關鍵控制點，一般企業(yè)會有數百項流程且各有其獨特之處。因此，18項應用指引只是在進行內部控制審計時的指導和參考，注冊會計師應當在了解企業(yè)行業(yè)特點、自身經營特點的基礎上，首先，對企業(yè)的業(yè)務流程進行梳理，評估重大錯報風險；其次，對于已識別的風險，注冊會計師應當評價其對財務報表和內部控制的影響程度；最后，注冊會計師應當更多地關注內部控制審計的高風險領域，開展審計程序，而沒有必要測試那些即使有缺陷、也不可能導致財務報表重大錯報的控制。

（二）重要組成部分的界定

審計準則“對集團審計的特殊考慮”里明確界定了重要組成部分，內部控制審計指引也援引了上述界定，其中重要組成部分分為兩類，一類是具有財務重大性，第二類是具有特別風險的也就是因為特定性質和情況，可能導致集團財務報表產生重大錯報風險的部分。除重要組成部分外，其余為一般組成部分，一般組成部分中，根據需要僅測試與重要賬戶、列報及其相關認定相關的流程控制；對不重要的組成部分，不實施內控測試。在實務中，我們注意到，有的注冊會計師會對所有組成部分均進行控制測試；有的僅依據財務重大性確定重要組成部分，以上均存在誤區(qū)。

那么，如何做到準確把握重要組成部分呢？這就要求審計人員在審計計劃階段先行考慮，可根據單體財務報表指標占集團財務報表的比重首先列出財務重大性組成部分；其次在考慮外部環(huán)境、內部環(huán)境的基礎上，確定特定風險組成部分。如果某些組成部分單獨或連同其他組成部分導致合并財務報表出現重大錯報的可能性極小，注冊會計師無需進一步考慮這些組成部分；對風險較低的組成部分，注冊會計師可以首先評價、測試企業(yè)層面控制能否提供充分、適當的證據，如果能提供充分、適當的證據，注冊會計師對這些組成部分可以僅測試企業(yè)層面控制；如果某項風險導致企業(yè)合并財務報表發(fā)生重大錯報的可能性不是極小，注冊會計師應當測試針對該項風險而實施的控制。

（三）混淆內部控制審計和財報審計內部控制測試

在整合審計中，財報審計的內部控制測試是在內部控制審計程序中一并進行的，但是兩者的目的是不同的，故而要區(qū)別來看，內控審計是風險—財務報表應對—控制的識別過程；對財報審計來說，甚至可以直接實施實質性方案，而不進行控制測試，但是對于內控審計卻并不可以。我們注意到，有的注冊會計師在評估了財務報表層次、認定層次重大錯報風險后，未再識別相關控制，而直接進行細節(jié)測試；還有的在識別了內控缺陷后，下一步的應對是實施范圍更廣的細節(jié)測試。對于這樣的問題，關鍵在于要把握住兩者不同的審計目標，內控審計是獨立于財報審計的另一道防火墻，必須測試在列報層次識別的重大賬戶認定相關的內部控制，也只有對財報相關的內控合理性獲得了合理保證，才可以結束。

（四）重應用層面控制測試，輕企業(yè)層面控制測試

在實務中我們注意到，有的注冊會計師在應用層面控制測試中濃墨重彩，而對企業(yè)層面控制測試輕描淡寫、一筆帶過。這種做法主要是認為應用層面控制可以直接對應到具體賬戶和認定，抓住應用層面控制就是把握了審計重點。但是，我們要明了的是，企業(yè)層面內部控制是和所有應用層面控制都廣泛相關的，缺陷往往都是重要、重大的，應重視企業(yè)層面的控制測試。

對企業(yè)層面控制的有效執(zhí)行可以在以下幾方面對整個內控審計產生深遠的影響。首先，某些企業(yè)層面控制，例如某些與控制環(huán)境相關的控制，對重大錯報是否能夠被及時防止或發(fā)現有重要影響，雖然這種影響是間接的，但這些控制可能影響注冊會計師擬測試的其他控制及其對其他控制所執(zhí)行程序的性質、時間安排和范圍。其次，某些企業(yè)層面控制能夠監(jiān)督其他控制的有效性，管理層設計這些控制即是為了識別其他控制可能出現的失效情況，雖然這些控制本身并不能精確到足以及時防止或發(fā)現相關認定的重大錯報，但是當這些控制運行有效時，注冊會計師可以減少原本擬對其他控制的有效性進行的測試。最后，某些企業(yè)層面控制本身能精確到足以及時防止或發(fā)現一個或多個相關認定中存在的重大錯報，而如果一項企業(yè)層面控制足以應對評估的重大錯報風險，注冊會計師可能不必測試與該風險相關的其他控制。

（五）不利用或過度利用內部審計工作

首先，在整合審計中，應當最大限度的利用他人的工作，準則的這一規(guī)定主要是基于審計效率的考慮。內部審計和外部審計在很多方面是有結合點的，所以有選擇的利用可以大大的加快審計工作進度，精簡審計成本。但是，有的注冊會計師認為利用內部審計工作會有損審計獨立性，這是非常片面的，內部審計人員并不是內部控制最終的責任方，也不是內部控制的唯一履行者，內部審計與注冊會計師審計同屬于第三方審計，故有選擇的利用內部審計工作是完全可以甚至是必要的。其次，還有一種傾向也是要注意的，就是過度利用內部審計工作，如完全按照內審對內控評價的流程來設計內部控制審計計劃。對內部審計的利用一般都是在工作的基礎環(huán)節(jié)，在關鍵環(huán)節(jié)如識別關鍵賬戶、關鍵控制測試以及進行審計結論的時候，是不可以利用他人的工作來代替自己的專業(yè)判斷的。最后要注意的，利用的基礎是一定要先行評價，在評價內部審計獨立性和客觀性的基礎上合理利用，從而達到有效提高審計效率的目的。

（六）未準確界定內控缺陷

實務中，當發(fā)現內控缺陷時，我們注意到，很多的判斷都是認定為一般缺陷，但該缺陷是否與財務報告相關，以及是如何評價的，卻未見描述。事實上，評價內控缺陷，需要定性和定量結合考慮，在確定一項缺陷或多項缺陷的組合是否導致不能防止或發(fā)現并糾正財務報表錯報時，通常，注冊會計師需要進行合理的定性判斷，不需要進行定量評估；在下一步評價缺陷嚴重程度時，需要運用設定的重要性水平，并且在考慮補償性控制、職業(yè)謹慎性、被審計單位財務主管負責人對缺陷與報告真實準確無相關性的聲明后，進行定量判斷。

（七）不重視信息技術審計

在信息技術迅猛發(fā)展的環(huán)境下，較多公司已經運用了ERP系統(tǒng)、財務系統(tǒng)、OA辦公系統(tǒng)的信息化管理。但是我們注意到，有些注冊會計師仍然像對待其他審計對象一樣，根據內控頻率決定樣本量，然后進行測試，然而此時，由于自動化控制本身的特點，其存在的缺陷通過實施常規(guī)審計程序是無法發(fā)現的。如信息系統(tǒng)開發(fā)與維護、訪問與變更、數據輸入與輸出、文件儲存與保管、網絡安全等，其中任何一個環(huán)節(jié)都可能嵌入錯誤的固化程序，但是觀察、檢查、重新執(zhí)行、有的注冊會計師采用的調查問卷方式等審計程序對發(fā)現這些控制缺陷都是失效的。在信息技術審計環(huán)境下，對于注冊會計師來說，最重要的是判斷是否需要實施信息系統(tǒng)審計以及識別信息技術應用控制并采取具體的測試工作，如有需要可以在考慮信息系統(tǒng)的復雜性及公司對信息系統(tǒng)依賴度的基礎上，邀請信息技術審計專家加入項目組。

當前，全球經濟環(huán)境日益復雜多變、市場競爭日趨激烈，眾多企業(yè)為了在市場上占有一席之地迅速拓展業(yè)務，隨之，企業(yè)面臨的經營風險、財務風險繁多，內部控制的有效實施對企業(yè)健康發(fā)展來說至關重要。注冊會計師應當充分認識內部控制審計制度重要意義，將內部控制審計業(yè)務做好做實做到位，保障企業(yè)內部控制持續(xù)性地有效運行，幫助企業(yè)改善經營管理、提交經濟效益。

參 考 文 獻

[1]解建森，阿不力米提·阿布拉.我國內部控制審計存在的問題及改善措施[J].山東紡織經濟.2012（10）

[2]李紅軍.鐵路加強內部控制審計的必要性及對策[J].鐵道經濟研究.

2012（2）