內部控制相關審計程序缺陷及建議

鄧保華

隨著企業所處經濟環境的巨大變化，傳統賬項審計已不適應經濟發展的需要，對內部控制了解和測試成為財務報表審計的重要組成部分。充分恰當的內部控制審計程序可以為進一步確定審計重點、審計抽樣規模和審計程序提供指導，同時也是識別重大錯報風險和發現舞弊的有效手段。相反，如果未對內部控制實施審計程序或實施不到位，則很可能導致審計失敗，本文以2015年-2022年6月中國證監會對會計師事務所及注冊會計師行政處罰中涉及內控審計程序不當導致審計失敗的案例為研究對象，總結失敗案例中存在不當的具體表現，分析內控相關審計程序缺陷的原因，最后提出應對策略。

一、內部控制審計程序實施現狀分析

2007年起，我國開始推行風險導向審計，2010 年財政部聯合五部委發布《企業內部控制配套指引》，隨后證監會、證券交易所等監管機構相繼出文規定，會計師事務所對內部控制進行審計或鑒證，由此，對內部控制的關注一次次地被提升到一個新的高度。本文考慮到由于證監會對審計違法行為查處時間大致為3-5年，故而選擇區間為2015年至2022年6月發布的53份行政處罰決定書，從中以“內控”、“內部控制”為關鍵詞篩選出涉及內控程序缺陷的行政處罰決定書進行深入研究，共計21份，比例為39.62%，占比較高。

從處罰年度和數目分布來看，其中2018年至2022年6月30日，證監會查處的審計失敗案件中存在內控程序缺陷的案件數占當年度處罰案件總數的比例每年均保持在30%以上，部分年份甚至超過了50%（見表1）。可見，一方面證監會就內控審計程序實施情況加大了監管力度，另一方面，說明注冊會計師實施內控審計程序的質量不容樂觀，因內控審計程序執行不到位而導致審計失敗的現象值得反思。內控審計程序缺陷主要表現在四個方面（見表2）。具體分析如下：

表1 行政處罰情況表

表2 內控審計程序缺陷分析表

（一）未實施了解內部控制和控制測試程序

根據審計準則規定，注冊會計師應當了解與審計相關的內部控制，以評價這些控制的設計并確定其是否得到執行。當預期控制運行有效或僅實施實質性程序不能提供認定層次充分適當的審計證據時，應當設計和實施控制測試。而部分注冊會計師極不重視內控程序的實施，認為實施內控程序也不能降低實質性程序工作量，于是省略內控程序，甚至直接以實質性程序替代內控程序。如大智慧案中，內控程序相關底稿和證據全部未能提供，而注冊會計師卻以已對銷售業務有針對性地抽取銷售發票、銀行進賬單以及服務開通的系統記錄等等為由進行申辯，實際上就是擬用實質性程序的實施來為內控程序的缺失做辯解。

（二）未有效實施了解內部控制和控制測試程序

注冊會計師應設計和實施恰當的審計程序，獲取充分適當的審計證據，以得出合理的審計結論。有效性不足的內控審計程序不僅將形成對內控有效性錯誤的結論，也將影響注冊會計師對進一步審計程序的恰當考慮。處罰案例中，未有效實施了解內部控制和控制測試程序的比例達到59.46%，集中反映了內控審計程序存在的主要問題。具體有以下幾種表現：

未對重要組成部分實施了解內控和控制測試程序。集團財務報表審計中，注冊會計師應當了解集團與組成部分及其環境，并對組成部分財務信息和合并過程獲取充分適當的審計證據，因此存在多業務單元范圍的，在確定內部控制測試對象時應將重要組成部分納入測試范圍，而非僅母公司。針對重大業務內部控制均應進行測試，否則無法獲取充分適當的審計證據。如勝通集團案，注冊會計師未對重要子公司實施控制測試，以致未能發現子公司虛假采購、銷售。

未對信息系統進行充分了解和測試。信息與溝通是內部控制的基本要素之一，信息系統是企業財務、業務信息實現高效采集、存儲、加工、報告的重要平臺，包括財務和業務系統。注冊會計師應當在了解被審計單位及其環境時，了解與財務報告相關的信息系統（包括相關業務流程）。而實務中存在以下幾類問題：（1）未對信息系統進行了解和測試。（2）僅對財務系統而未對業務系統了解和測試。部分注冊會計師在財務報表層面了解被審計單位對信息技術的運用時，未涵蓋業務系統了解其與財務系統數據的勾稽關系，未關注業務財務系統數據是否存在差異及差異原因，業務系統數據是如何結轉至財務系統的等等，康美藥業案即為此類情形。（3）對信息系統存在的異常情形未予調查核實。如索菱股份案，瑞華會計師事務所針對出庫單存在制單員為超級管理員賬戶Administrator的情形，輕易認為是日常管理中的正常現象，未保持職業懷疑進行取證調查，造成未能發現出庫單虛假事項。（4）內控測試中未從業務系統獲取審計證據。注冊會計師過分依賴從財務端獲取證據，未追蹤業務軌跡，對業務數據關注度較低。

未審慎對待內控了解和測試中發現的控制偏差。注冊會計師發現內部控制執行缺陷后,應保持必要的職業懷疑,審慎對待并修正風險評估結果,修改進一步審計程序的性質、時間安排和范圍以應對可能由于舞弊而導致的重大錯報風險，同時應考慮向治理層和管理層通報內部控制缺陷。而注冊會計師因未能保持應有關注，導致對發現的控制偏差簡單認定為一般缺陷，未能引起警惕，更有甚者視而不見。康美藥業、雅百特、索菱股份等案件就存在各種控制偏差，由于注冊會計師未予充分重視，也未采取恰當的審計程序排除異常消除疑慮，以至于未能揭露公司銷售收入造假行為。控制偏差具體常常表現為：（1）合同和業務單據無編號或編號不連續；（2）同一種業務單據存在多種樣式；（3）合同條款空白；（4）不相容職務未分離，由同一人完成；（5）合同或業務單據無企業及經辦人、審批人蓋章簽名或蓋章簽名不全；（6）合同及各類業務單據簽署時間不符合邏輯，如合同簽署日晚于業務單據 、出庫時間晚于簽收時間；（7）信息系統的操作及信息和數據的維護存在設計、執行上的缺陷；（8）部分控制活動樣本無支撐性文件而未關注等等。

關鍵控制點的測試不到位。與財務報告內控審計程序相關的關鍵控制點是指能夠控制并使財務報告錯誤或舞弊因素得到預防、消除或降低到可以接受的水平的關鍵環節和程序，對控制目標的實現尤為重要，對關鍵控制點測試是否到位直接影響審計證據的充分適當性。測試不到位，主要為以下幾種情形：（1）無目標性地選取少量控制點測試，未考慮測試的目的，如東方金鈺案，在成本核算與成本控制的內控測試中,注冊會計師僅僅執行了詢問程序,無法達到對控制點實施有效測試的目標;在銷售業務的控制測試中,僅針對客戶及信用管理的相關控制點進行測試,未見測試訂單錄入、發貨、記錄應收賬款、退換貨、收款等流程的控制點。（2）關鍵控制點識別不完整，未對業務流程中最為關鍵的控制點進行測試，如藍山科技案，注冊會計師未根據公司收入確認政策對其中與產品驗收相關的重要業務流程進行了解和測試，導致獲取的驗收單據異常卻未被發現，又如華銳風電案，與確認收入相關的控制，未就其中的客服部項目日動態表、貨到現場后設備驗收單等重要節點進行測試。（3）測試的控制點與測試目標不相關。如雅百特案，設定的控制目標是所有記錄的應收賬款均已發出貨物，但實施的程序是檢查記賬憑證和發票，而出庫單、運費單據等未予測試。

與重大錯報風險項目、重大或異常事項相關的內控未進行了解和測試。注冊會計師局限于正常業務循環有關內控的了解和測試，未結合對公司內外環境和特殊交易的了解、高風險領域的識別，測試與重大事項相關的控制，舍本逐末。如：超華科技案，其主營業務模式與其他業務收入模式存在明顯區別，且立信會計師事務所關注到超華科技“本年其他業務收入有5,000多萬，成本300多萬，若無其他業務收入，公司本年的利潤為0”這一重大情況，卻未對其他業務收入執行內控相關程序。

未對不同的且重要的業務類別和業務模式分別選取樣本進行測試。公司存在多種業務類別和業務模式，且涉及的業務流程和內部控制措施存在顯著差異時，均應納入測試范圍，否則無法整體評價該業務循環的內部控制的有效性。如科融環境案，發貨確認收入和調試確認收入是不同的收入確認方式，而亞太會計師事務所僅對發貨確認收入進行控制測試,未對調試確認收入進行控制測試，導致未能發現虛假調試收入。

（三）內部控制有效性對實質性程序的影響處理不當

通過內控審計程序發現的內控重大缺陷將表明財務報表很可能發生重大錯報，通過實質性程序發現的錯漏也可能說明內控存在缺陷，有效的內控可以適當減少實質性程序，而無效的內控需通過實質性程序獲取更廣泛的證據。實務中，關于兩者的相互影響處理不當表現為：（1）得出了控制無效的結論，但未能設計和實施充分恰當的進一步審計程序應對；（2）執行細節測試發現異常情況時,未評價是否可能表明內控存在缺陷，是否表明存在舞弊風險因素；（3）未執行內控測試情況下，實質性程序樣本也未擴大；（4）實質性程序實施時間和方式與內控基礎不匹配。通常內控有效的情況下，可以將部分程序置于期中執行，而內控有效性較低的情況下，則更應接近資產負債表日實施程序。如華澤鈷鎳案，在與資產相關的內控存在重大缺陷的情況下，注冊會計師仍通過期后盤點倒軋程序來證實期末余額，獲取的審計證據可靠性低。

（四）工作底稿記錄不準確、不完整

1. 底稿有關記錄與其他信息不符。部分注冊會計師不重視內控底稿記錄的真實性、準確性和邏輯性，導致底稿記錄較為隨意，或者與其他信息明顯矛盾，與其他底稿勾稽不符。例如零七股份案，公司因存在多起違法違規行為被通報，管理層、治理層頻繁變動，牽涉法律訴訟等情形，而注冊會計師在“忽視與侵占資產相關的內部控制，凌駕于控制之上或未對已知內部控制缺陷采取補救措施”底稿中均填寫為“不存在”；且底稿還記錄控制環境“未變化”、“業務層面的風險完全可控”；又如，撫順特鋼案，個別內控審計底稿中訪談記錄獲得的信息與財務信息不符，后續實質性程序未對上述現象予以查實。

2. 底稿不完整、證據缺失。根據審計準則規定，注冊會計師應對制定的審計計劃、實施的審計程序、獲取的審計證據，以及得出的審計結論完整記錄在工作底稿中，證據與之對應，并妥善保管，按要求歸檔。但部分注冊會計師疏于工作嚴謹性，部分底稿未記錄程序結論，或部分底稿和證據未保留，以致被處罰時百口莫辯。如康美藥業、東方金鈺案，底稿記載部分程序已執行卻無證據。

二、內部控制審計程序執行不當的原因

（一）重實質性程序，輕內控程序

內控審計程序是檢查公司是否建立完善的內部控制并得到有效執行；實質性程序是檢查余額、發生額是否存在重大錯報，前者關注過程，后者關注結果，了解內控和控制測試是前置程序。然而，由于內部控制是由一整套體系、政策和程序構成的內在機制，具有抽象的一面，從而顯得似乎脫離實際、晦澀難懂，故部分注冊會計師傾向于從財務結果出發來看問題，認為對內控的了解和測試過程繁瑣，即使經控制測試認定被審計單位內控健全，也不能完全省略實質性測試程序，而實施實質性程序過程中也可發現內控缺陷。因此，注冊會計師錯誤認為內控審計程序增加了工作量，影響了審計效率，將內控審計程序簡單看作是形式程序，未從思想上真正重視，有的甚至將實質性程序和內控程序混為一談，未形成專門的內控底稿，直接以實質性程序底稿取而代之，雖然兩者可以相互提供思路，相互印證整合執行，但卻忽視了兩者的區別。

（二）知識儲備欠缺，勝任能力不足

除會計、審計、財管知識外，內部控制還囊括了人力資源、企業文化、公司戰略、組織架構等內容。由于不少執業人員缺乏管理領域知識、信息化系統知識、行業見聞等等，加上文字組織和表達能力不佳，導致與企業有關人員溝通交流不暢，未能獲得對其內控情況良好和滿意的了解，最終導致未能準確識別關鍵控制點、或識別不完整，未能察覺風險因素、控制偏差。另一方面，對內部控制基本規范、審計準則等法規的學習及實踐運用不夠，對內控有關底稿編制規范一知半解，因而記錄不夠清晰準確、前后底稿勾稽和邏輯關系不正確等。

（三）風險容忍度過高

注冊會計師過于自信，輕易將內控缺陷看成是日常工作失誤，低估內控缺陷的嚴重性，風險容忍度過高。造成這一現象的原因主要為：害怕失去客戶，容易向客戶作出妥協；專業能力不強，風險意識不夠、職業懷疑能力較弱，過于信賴客戶的解釋；為了業務收入，淡漠風險；存在僥幸心理，認為不會被查處等等。

三、提高內部控制審計程序實施質量的建議

（一）加強教育和培訓，提高職業素養

內部控制涵蓋的知識面寬廣，隨著經濟和信息環境的日益變化，對注冊會計師知識層次提出了更高要求。注冊會計師應緊跟時代發展步伐，補齊知識結構短板。目前部分會計師事務所對員工進行的教育培訓很少與內控專題相關，可見其對內控審計規范的強調和要求確有欠缺。因此建議加強對注冊會計師相關法規學習和多領域培訓，專題專項，按期培訓，幫助其知識面和專業能力持續拓寬和深入。

（二）堅定落實強制輪換制度

僅依靠監管處罰無法提高審計公信力，真正保持審計獨立性才是防范審計失敗的有力保障，強制輪換便是維護審計獨立性、提高審計質量的一項重要制度安排，但現實中卻存在規避行為。部分項目只是表面輪換，實則項目合伙人及其他關鍵人員并未變動，獨立性隱性下降。因此，建議進一步改善輪換制度現狀，一方面會計師事務所要健全內部管理機制，嚴格執行輪換規定；另一方面輪換后的注冊會計師要擔負起責任，不過于依賴輪換前注冊會計師的工作。

（三）切實重視內控審計程序

內控程序不是形式程序，敷衍了事只會助長企業舞弊，需要轉變對內控審計意義的認識，發揮其為財務報表審計提供實質性支持的作用。既要著眼于宏觀層面，把握企業所處大環境、行業態勢、自身經營發展狀況，又要于細微處見真章，嚴格實施內控審計程序，審慎對待內控缺陷，增強職業敏感性，獲取充分適當證據，必要時向企業適當人員報告。同時，項目復核人員要強化責任心，認真檢查審視底稿，履行好復核職責，對項目組工作中的不規范、程序和證據不充分、職業判斷不合理應追蹤跟進，而不是聽之任之。

（四）高度關注重大事項相關內控的了解和測試

對重大事項審計不力是審計失敗核心所在，而財務舞弊往往與薄弱的內控有關，特定領域存在的重大缺陷越多，財務報表存在重大錯報的可能性就會越高，需要獲取的審計證據可靠性、相關性要求越高。注冊會計師應通過廣泛了解公司治理和外部環境、財務數據與經營交易等層面信息，識別和關注對財務報表產生重要影響的內控及其變化，重點關注內控高風險領域，包括資金使用、關聯交易、對外擔保、投資活動、資產減值、復雜交易、收入確認、特殊事項等的內控流程和控制措施，而不僅僅是常規銷售采購生產業務控制的測試，并謹慎評估是否存在由舞弊導致的重大錯報風險和管理層凌駕于控制之上的風險，詳實記錄測試過程、證據和結論。

（五）提升對關鍵控制點的識別能力，注重控制點測試的完整性

準確完整識別和測試關鍵控制點對充分適當地獲取審計證據起著至關重要作用。處罰案例中，不乏已識別出重大風險領域卻因未能識別出與之相關的業務流程中的關鍵控制活動而未能獲取說服力足夠的證據，仍然審計失敗的案例。注冊會計師應充分了解重要交易的控制流程，精準選取與業務流程最關鍵的控制活動分別進行測試，包括被審計單位用于應對錯報或潛在錯報的控制、及時防止或發現并糾正未經授權的、導致重大錯報的資產取得、使用或處置的控制等，并獲取與控制活動相匹配的支撐性文件，以證實只有經過核準的業務才被記錄；記錄準確、及時、完整；與對賬、資金收付、崗位職責分工、差異處理程序、信息維護及變更等流程相關的控制有效。