企業內部控制審計指引實施意見★(編輯修改稿)

　

【文章內容簡介】 重新執行某些控制，獲取有關控制是否有效的充分、適當的 審計證據。注冊會計師在測試控制設計的有效性時，應當綜合運用詢問適當 人員、觀察經營活動和檢查相關文件等程序。注冊會計師執行穿行測 試通常足以評價控制設計的有效性。注冊會計師在測試控制運行的有效性時，應當綜合運用詢問適當 人員、觀察經營活動、檢查相關文件以及重新執行等程序。（十）控制測試的涵蓋期間 對控制有效性的測試涵蓋的期間越長，提供的控制有效性的審計 證據越多。單就內部控制審計業務而言，注冊會計師應當獲取內部控制在基 準日之前一段足夠長的期間內有效運行的審計證據。在整合審計中，控制測試所涵蓋的期間應當盡量與財務報表審計中擬信賴內部控制的期間保持一致。注冊會計師執行內部控制審計業務旨在對基準日內部控制有效 性出具報告。如果已獲取有關控制在期中運行有效性的審計證據，注 冊會計師應當確定還需要獲取哪些補充審計證據，以證實剩余期間控 制的運行情況。在將期中測試結果更新至基準日時，注冊會計師應當 考慮下列因素以確定需要獲取的補充審計證據：（1）基準日之前測試的特定控制，包括與控制相關的風險、控 制的性質和測試的結果；（2）期中獲取的有關審計證據的充分性和適當性；（3）剩余期間的長短；（4）期中測試之后，內部控制發生重大變化的可能性。針對所有重要賬戶和列報的每個相關認定，注冊會計師應當獲取 控制有效性的審計證據。《中國注冊會計師審計準則第 1231 號——針 對評估的重大錯報風險采取的應對措施》第十四條提及的“三年輪換 測試”不適用（本意見第四部分提及的與基準相比較的策略除外）。（十一）控制測試的時間安排 對控制有效性測試的實施時間越接近基準日，提供的控制有效性 的審計證據越有力。為了獲取充分、適當的審計證據，注冊會計師應 當在下列兩個因素之間作出平衡，以確定測試的時間：（1）盡量在接近基準日實施測試；（2）實施的測試需要涵蓋足夠長的期間。整改后的內部控制需要在基準日之前運行足夠長的時間，注冊會 計師才能得出整改后的內部控制是否有效的結論。因此，在接受或保 持內部控制審計業務時，注 冊會計師應當盡早與被審計單位溝通這一情況，并合理安排控制測試的時間，留出提前量。例如，注冊會計師 在基準日前３個月完成期中測試工作。此外，由于對企業層面控制的 評價結果將影響注冊會計師測試其他控制的性質、時間安排和范圍，注冊會計師可以考慮在執行業務的早期階段對企業層面控制進行測試。（十二）控制測試的范圍 注冊會計師在測試控制的運行有效性時，應當在考慮與控制相關 的風險的基礎上，確定測試的范圍（樣本規模）。注冊會計師確定的測試范圍，應當足以使其獲取充分、適當的審 計證據，為基準日內部控制是否不存在重大缺陷提供合理保證。1．測試人工控制的最小樣本規模在測試人工控制時，如果采用檢查或重新執行程序區間確定具體的樣本規模；（3）表 1 假設控制的運行偏差率預期為零。如果預期偏差率不 為零，注冊會計師應當擴大樣本規模；（4）如果注冊會計師不能確定控制運行頻率，但是知道控制運 行總次數，仍可根據“控制運行總次數”一列確定測試的最小樣本規 模。 信息技術處理具有內在一貫性。在信息技術一般控制有效的前提 下，除非系統發生變動，注冊會計師只要對自動化應用控制的運行測 試一次，即可得出所測試自動化應用控制是否運行有效的結論。3．發現偏差時的處理 如果發現控制偏差，注冊會計師應當確定其對下列事項的影響：（1）與所測試控制相關的風險的評估；（2）需要獲取的審計證據；（3）控制運行有效性的結論。評價控制偏差的影響需要注冊會計師運用職業判斷，并受到控制 的性質和所發現偏差數量的影響。如果發現的控制偏差是系統性偏差 或人為有意造成的偏差，注冊會計師應當考慮舞弊的可能跡象以及對 審計方案的影響。在評價控制測試中發現的某項控制偏差是否為控制缺陷時，注冊會計師可以考慮的因素包括：（1）該偏差是如何被發現的。例如，如果某控制偏差是被另外 一項控制所發現的，則可能意味著被審計單位存在有效的發現性控 制。（2）該偏差是與某一特定的地點、流程或應用系統相關，還是 對被審計單位有廣泛影響。（3）就被審計單位的內部政策而言，該控制出現偏差的嚴重程 度。例如，某項控制在執行上晚于被審計單位政策要求的時間，但仍 在編制財務報表之前得以執行，還是該項控制根本沒有得以執行。（4）與控制運行頻率相比，偏差發生的頻率大小。由于有效的內部控制不能為實現控制目標提供絕對保證，單項控 制并非一定要毫無偏差地運行，才被認為有效。在按照表 1 所列示的 樣本規模進行測試的情況下，如果發現控制偏差，注冊會計師應當考 慮偏差的原因及性質，并考慮采用擴大樣本 量等適當的應對措施以判 斷該偏差是否對總體不具有代表性。例如，對每日發生多次的控制，如果初始樣本量為 25 個，當測試發現一項控制偏差，且該偏差不是 系統性偏差時，注冊會計師可以擴大樣本規模進行測試，所增加的樣 本量至少為 15 個。如果測試后再次發現偏差，則注冊會計師可以得 出該控制無效的結論。如果擴大樣本量沒有再次發現偏差，則注冊會 計師可以得出控制有效的結論。（十三）控制變更時的特殊考慮 在基準日之前，被審計單位可能為提高控制效率、效果或彌補控 制缺陷而改變控制。對內部控制審計而言，如果新控制實現了相關控制目標，且運行 了足夠長的時間，使注冊會計師能夠通過對該控制進行測試評價其設 計和運行的有效性，則無需測試被取代的控制。對財務報表審計而言，如果被取代控制的運行有效性對控制風險 的評估有重大影響，注冊會計師應當測試被取代控制的設計和運行的有效性。（十四）利用他人的工作 注冊會計師應當評估是否利用他人（包括被審計單位的內部審計 人員、內部控制評價人員和其他人員以及在管理層或治理層指導下的 第三方）的工作以及利用的程度，以減少可能本應由注冊會計師執行 的工作。如果他人的工作能夠提供有關內部控制有效性的審計證據，注冊會計師可以利用其工作或者提供的直接幫助。注冊會計師應當參照《中國注冊會計師審計準則第 1411 號—— 利用內部審計人員的工作》的規定，評價他人的專業勝任能力和客觀 性，以確定可利用的程度。在評價他人的專業勝任能力時，注冊會計師應當考慮其專業資 格、專業經驗與技能等相關因素。在評價他人的客觀性時，注冊會計 師應當考慮是否存在某些因素，將削弱或者增強其客觀性。無論他人的專業勝任能力如何，注冊會計師都不應利用客觀程度 低的人員的工作。同樣，無論他人的客觀程度如何，注冊會計師都不 應利用專業勝任能力低的人員的工作。被審計單位內部負責監督、稽核或合規工作的人員，如內部審計 人員，通常擁有較高的專業勝任能力和客觀性。他們的工作可能對注 冊會計師有用。注冊會計師利用他人工作的程度還受到與所測試控制相關的風 險的影響。與某項控制相關的風險越高，注冊會計師應當越多地親自 對該項控制進行測試。在識別、了解和測試企業層面控制時，注冊會計師不得利用他人 的工作。（十五）對被審計單位使用服務機構的考慮 如果服務機構提供的服務和對服務的控制，構成被審計單位與財 務報告相關的信息系統（包括相關業務流程）的一部分，注冊會計師 應當按照《中國注冊會計師審計準則第 1241 號——對被審計單位使 用服務機構的考慮》的規定辦理。注冊會計師在對被審計單位內部控制的有效性發表意見時，不應 在內部控制審計報告中提及服務機構注冊會計師的報告。四、關于連續審計時的特殊考慮 在連續審計中，注冊會計師在確定測試的性質、時間安排和范圍 時，應當考慮以前年度執行內部控制審計所了解的情況。（一）影響連續審計中與某項控制相關風險的因素 除本意見第三部分第（八）項“與控制相關的風險和擬獲取的審 計證據之間的關系”所列因素外，下列因素也會影響連續審計中與某 項控制相關的風險：（1）以前年度審計中所實施程序的性質、時間安排和范圍；（2）以前年度對控制的測試結果以及以前年度發現的缺陷是否 得以整改；（3）上次審計之后，控制或其運行所處的流程是否發生變化。在考慮本意見所列的風險因素，以及連續審計中可獲取的進一步 信息后，如果認為與控制相關的風險水平比以前年度有所下降，注冊 會計師在本年度審計中可以減少測試。（二）對自動化應用控制實施與基準相比較的策略 在連續審計中，由于完全自動化的應用控制通常不會因人為失誤 而失效，因此，注冊會計師可以考慮對自動化應用控制實施與基準相比較的策略。與基準相比較的策略，是指如果認為程序變更、訪問權限及計算 機操作方面的一般控制有效，且可持續對其進行測試，并能證實自動 化應用控制自最近一次測試之后未發生變化，則可將最近一次測試設 為基準，在以后年度測試時，注冊會計師不必重復執行測試，只需將 該年的情況與基準相比較，就可以認為自動化應用控制是持續有效 的。注冊會計師為證實控制未發生變化而需獲取審計證據的性質和 范圍，可能隨情況的變化而變化。例如，被審計單位程序變更控制的 強弱將影響需獲取審計證據的性質和范圍。自動化應用控制能否一貫有效地運行可能取決于所使用的相關 文件、表格、數據和參數的正確性。例如，計算利息收入的自動化應 用控制，其運行的有效性可能取決于使用的利率表的正確性。注冊會計師應當在評價下列風險因素的基礎上，確定是否使用與 基準相比較的策略：（1）應用控制與相關應用程序直接對應的程度；（2）應用系統的穩定性，即各期間的變化大小；（3）有關投入使用的程序編譯日期的信息的可獲得性和可靠性（該信息可作為此程序中的控制未發生變化的審計證據）。當上述因素表明風險較低時，對所評價的控制可能比較適合使用 與基準相比較的策略。反之，不宜使用與基準相比較的策略。但是基 礎數據的準確性與完整性，以及依賴系統的人工控制部分不適用與基 準相比較的策略。在一段時期之后，注冊會計師應當重新設臵自動化應用控制運行的基準。在確定何時重設基準時，注冊會計師應當考慮下列因素：（1）信息技術控制環境的有效性，包括針對應用及操作系統和 數據庫系統的取得與維護、訪問權限以及計算機操作而實施控制的有 效性；（2）如果包含控制的具體程序發生變化，注冊會計師對該變化 性質的了解；（3）其他相關測試的性質和時間；（4）相關應用控制發生錯誤導致的后果；（5）控制是否易于受到其他可能變化的經營因素的影響。（三）增加測試的不可預見性 為使對控制有效性的測試具有不可預見性并能夠應對環境的變 化，注冊會計師應當每年改變測試的性質、時間安排和范圍。注冊會計師可以每年在期中不同的時間測試控制，并增加或減少 所執行測試的數量和種類，或者改變所使用測試程序的組合。五、關于集團審計的 特殊考慮（一）識別重要賬戶、列報及其相關認定 在執行集團內部控制審計業務時，注冊會計師應當基于集團財務 報表識別重要賬戶、列報及其相關認定。（二）確定對組成部分執行的工作1．一般原則 在執行集團內部控制審計業務時，注冊會計師應當采用自上而下 的方法，合理運用職業判斷，確定對組成部分執行的工作。注冊會計師應當評估與組成部分相關的導致集團財務報表發生 重大錯報的風險，并根據其風險程度給予相應的審計關注。在評估與某組成部分相關的導致集團財務報表發生重大錯報的 風險時，注冊會計師應當考慮的因素包括：（1）以前執行的與該組成部分內部控制相關的審計工作的結果；（2）影響該組成部分重要賬戶的固有風險；（3）從財務數據角度看，該組成部分的相對重要程度；（4）風險在各組成部分間的分布（即風險分布于數量眾多的小 規模組成部分，還是分布于數量較少但規模較大的組成部分）；（5）組成部分之間業務經營和內部控制的類似程度；（6）業務流程和財務報告系統的集中化程度；（7）該組成部分執行交易及相關資產的性質和金額；（8）該組成部分存在重大未確認義務的可能性；（9）測試集團企業層面控制的結果，包括控制環境、集團對組 成部分實施的監控活動及在組成部分層面運行的企業層面控制的有 效性。2．對重要組成部分執行的工作 注冊會計師應當按照《中國注冊會計師審計準則第 1401 號—— 對集團財務報表審計的特殊考慮》的規定，確定重要組成部分。重要 組成部分包括：（1）對集團具有財務重大性的組成部分（以下簡稱具 有財務重大性的組成部分）（2）由于其特定性質和情況，可能存在 ； 導致集團財務報表發生重大錯報的特別風險的組成部分（以下簡稱具 有特別風險的組成部分）。注冊會計師應當對重要組成部分的重要賬 戶、列報及其相關認定的內部控制實施測試。（1）對具有財務重大性的組成部分執行的工作 對于具有財務重大性的組成部分，除非通過實施下列測試工作能夠獲取有關控制有效性的充分、適當的審計證據，注冊會計師應當測 試該組成部分內與重要賬戶、列報及其相關認定相關的業務流程、應 用系統或交易層面的內部控制的有效性： ①對整個集團企業層面控制和該組成部分企業層面控制（包括界 于組成部分和整個集團之間層次的其他企業層面控制，下同）的測試； ②對除該組成部分以外的其他組成部分相同賬戶、列報及其相關 認定的內部控制已實施的測試。（2）對具有特別風險的組成部分執行的工作 對具有特別風險的組成部分，注冊會計師應當測試針 對該項特別 風險的控制。3．對其他組成部分執行的工作 對于重要組成部分以外的其他組成部分，如果存在重要賬戶、列 報及其相關認定，注冊會計師應當首先評價對整個集團企業層面控制 和該組成部分企業層面控制的測試以及針對重要組成部分相同的賬 戶、列報及其相關認定的內部控制已實施的測試能否提供充分、適當 的審計證據。如果不能提供充分、適當的審計證據，注冊會計師應當 選擇適當數量的其他組成部分，測試與該重要賬戶、列報及其相關認 定相關的業務流程、應用系統或交易層面的控制，直至能夠獲取充分、適當的審計證據為止。六、關于控制缺陷評價（一）控制缺陷的分類 內部控制存在的缺陷包括設計缺陷和運行缺陷。設計缺陷是指缺少為實現控制目標所必需的控制，或現有控制設 計不適當、即使正常運行也難以實現預期的控制目標。運行缺陷是指現存設計適當的控制沒有按設計意圖運行，或執行 人員沒有獲得必要授權或缺乏勝任能力，無法有效地實施內部控制。內部控制存在的缺陷，按其嚴重程度分為重大缺陷、重要缺陷和 一般缺陷。重大缺陷是內部控制中存在的、可能導致不能及時防止或發現并