内部控制审计崔志娟

1、内部控制审计北京国家会计学院 崔志娟教授 硕士生导师第一页，共三十七页。主题内容您了解内部控制审计吗？您知道内部控制审计与财务报告审计的关系吗？您了解内部控制审计存在的问题吗？您熟悉内部控制审计的基本流程吗？您清楚内部控制审计意见的判断与报告吗？2第二页，共三十七页。您了解内部控制审计吗？ 内部控制审计不就是审计师事务所对企业内部控制有效性的审计嘛3第三页，共三十七页。内部控制审计主体（WHO）内部审计部门第2201 号内部审计具体准则：内部控制审计本准则所称内部控制审计，是指内部审计机构对组织内部控制设计和运行的有效性进行的审查和评价活动。企业内部控制评价指引第12条：企业可以授权内部审计部

2、门或专门机构（以下简称内部控制评价部门）负责内部控制评价的具体组织实施工作。董事会及管理层的责任是建立、健全内部控制并使之有效运行。4第四页，共三十七页。内部控制审计主体（WHO）外部审计部门企业内部控制审计指引第2条：本指引所称内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。5第五页，共三十七页。内部控制审计做什么（WHAT）内部审计部门 内部控制有效性审查与评价全面内部控制审计和专项内部控制审计。编制内部控制缺陷认定汇总表，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见。编制内部控制审计报告，内容包括审计目标、依据、范

3、围、程序与方法、内部控制缺陷认定及整改情况，以及内部控制设计和运行有效性的审计结论、意见、建议等相关内容。报送对象：组织董事会或者最高管理层。6第六页，共三十七页。内部控制审计做什么（WHAT）外部审计部门 内部控制有效性评价向治理层和管理层通报内部控制缺陷编制内部控制审计报告报送对象：外部投资者等7第七页，共三十七页。内部控制审计如何做（HOW）内部审计部门日常监督、专项监督与内控有效性受托评价外部审计部门终点评价8第八页，共三十七页。内部控制审计客体？内部审计部门和内部审计部门内部控制设计的有效性设计是否完善（控制文件）内部控制运行的有效性执行是否有效（控制信息资料）9内部审计部门与外部审

4、计部门的审计客体有区别吗第九页，共三十七页。内部控制审计目标？内部审计部门主要实现组织目标外部审计部门财务报告及相关信息真实完整10合理保证企业经营管理合法合规资产安全提高经营效率和效果促进企业实现发展战略第十页，共三十七页。内部控制审计结论？内部审计部门内部控制评价结论，即是否存在内部控制重大缺陷。外部审计部门无保留意见：企业内部控制在所有重大方面是有效的 否定意见：企业内部控制存在重大缺陷 无法表示意见：审计范围受到限制 11第十一页，共三十七页。内部控制审计困境内部审计部门外部审计部门12内控审计成本和可靠性问题审计独立性和审计能力问题审计资源的局限性问题第十二页，共三十七页。您确定了解

5、内部控制有效性吗？内部控制有效性是什么？是否会发生控制风险（设计和执行）问题：这种风险是现实的还是潜在的？如何理解？内部控制有效性程度如何判读？有效抑或无效问题：有中间程度吗？内部控制缺陷如何识别与评价？重大缺陷、重要缺陷、一般缺陷问题：界限清晰吗？13上海家化：关联交易管理中缺少主动识别、获取及确认关联方信息的机制 与之相关财务报告内部控制设计失效第十三页，共三十七页。内部控制审计与财务报告审计的关系企业内部控制审计指引第5条：获取充分、适当的证据，支持其在内部控制审计中对内部控制有效性发表的意见独立审计获取充分、适当的证据，支持其在财务报表审计中对控制风险的评估结果整合审计问题（来自中注协

6、企业内部控制审计问题解答 （征求意见稿） ）：内部控制审计与财务报表审计的联系主要体现在哪些方面？ 内部控制审计与财务报表审计的区别主要体现在哪些方面？ 14第十四页，共三十七页。内控审计结果与财报审计结果的关系内控审计结果财报审计结果15内控无效一定财报无效吗？ 财报无效一定 内控无效吗第十五页，共三十七页。企业对发生的错报进行了调整：财务报告审计意见标准无保留；如错报是财务报告内控重大缺陷引起的，内控审计意见应为否定。财务报告审计否定意见：通常情况下内控审计意见应为否定。财务报告审计无法表示意见：审计范围可能受限，无法对公允性、合法性表示意见，会计师应分析财务审计受限原因，由于客观因素造成

7、的限制，应考虑对内控审计的影响，根据程度确定审计意见；因主观因素造成的限制，应考虑解除内控审计约定或无法表示意见。财务报告审计保留意见：应分析起因是否与内控相关，考虑对测试程序和缺陷评价的影响，沟通后确定内控审计意见。内控审计结果与财报审计结果的关系第十六页，共三十七页。内部控制审计存在的问题一、内部控制审计意见的一致性问题（内控审计意见准确性问题）二、内部控制评价的技术问题（内控缺陷认定与披露问题）第十七页，共三十七页。内控审计结果的一致性问题上市公司否定意见审计报告汇总18201120122013公司名称新华制药北大荒/天津磁卡/贵糖股份上海家化财务报告内控自评结果无效无效/有效/有效无效

8、审计师事务所信永中和中瑞岳华/华寅五洲/致同普华永道中天财务报告内控审计意见否定意见否定意见/否定意见/否定意见否定意见第十八页，共三十七页。内部控制审计结果的一致性问题内部控制审计结果评价一致内外部会计师都认为内部控制有效（真实否？）内外部会计师都认为内部控制无效（自愿否？）内部控制审计结果不一致内部会计师认为有效，外部会计师认为无效（冲突？）以上内控审计结果会有问题吗？19第十九页，共三十七页。内部控制审计结论无效的背后秘密（一）新华制药2011年度内控审计的两个重大缺陷：新华制药子公司山东新华医药贸易有限公司（简称“医贸公司”）内部控制制度对多头授信无明确规定，在实际执行中，医贸公司的鲁

9、中分公司、工业销售部门、商业销售部门等三个部门分别向同一客户授信，使得授信额度过大。医贸公司内部控制制度规定对客户授信额度不大于客户注册资本，但医贸公司在实际执行中，对部分客户超出客户注册资本授信，使得授信额度过大，同时医贸公司也存在未授信的发货情况。上述重大缺陷使得新华制药对山东欣康祺医药有限公司（以下简称欣康祺医药）及与其存在担保关系方形成大额应收款项60,731千元，同时，因欣康祺医药经营出现异常，资金链断裂，可能使新华制药遭受较大经济损失。2011年度，新华制药对应收欣康祺医药及与其存在担保关系方货款计提了48,585千元坏账准备。内控审计问题：因内部控制设计问题和执行无效，内控缺陷问

10、题多年存在。疑内控审计失败或与被审单位串谋，因欣康祺2011年因非法吸收公众存款案已经被立案侦查。20第二十页，共三十七页。内部控制审计结论无效的背后秘密（二）上海家化内控审计认定存在三项财务报告内部控制重大缺陷：关联交易管理中缺少主动识别、获取及确认关联方信息的机制，也未明确关联方清单维护的频率；无法保证关联方及关联方交易被及时识别， 与之相关财务报告内部控制设计失效。部分子公司尚未建立在会计期末对当期应付但未付的销售返利和运输费等费用总金额进行统计和预提的内部控制。 与之相关财务报告内部控制设计失效。对财务人员的专业培训尚不够充分、对最新会计准则的掌握不够准确、财务报告及披露流程中的审核存

11、在部分运行失效， 审计结论与市场反应否定意见公布，市场股价大涨（超6.5%） “这一审计报告出得有点蹊跷”，“上海家化内控怎么了” 21事务所更换：普华中天替换安永第二十一页，共三十七页。内部控制审计结论无效的背后秘密（三）天津磁卡被华寅五洲出具“否定意见”的原因：天津磁卡虽建立了定期往来账对账制度，但该制度未得到有效执行，导致往来账户长期、经常出现差异而未被发现，且在结账环节，未合理确定本期应计提的坏账准备；天津磁卡对销售业务的会计处理存在需改进的地方，存在未发货而提前确认销售收入、未确认成本；以及已发货、满足收入确认条件而未确认收入成本的现象；天津磁卡未建立投资业务的会计系统控制，未能及时

12、、准确地确认投资收益及合理计提减值准备；天津磁卡在资产盘点工作上存在缺陷，年度财务决算前未组织固定资产盘点，存货盘点结果也未能及时进行账务处理；天津磁卡未建立期末财务报告流程控制制度，缺乏财务报表的复核及审批控制，重要子公司历年的审计调整事项均未做账务处理，未见管理层及治理层人员对期末报告流程进行监控。天津磁卡内控自我评价为有效。22第二十二页，共三十七页。内部控制审计的技术问题23（一）内控评价范围不当，特别是子公司遗漏问题（二）缺陷认定标准模糊或认定标准不恰当（三）回避缺陷分类或未按照缺陷认定标准进行缺陷认定，缺陷认定的裁量权大，随意性强第二十三页，共三十七页。内部控制评价的技术问题天健会

13、计师事务所对海联讯2012年内控出具否定的鉴证意见，理由：海联讯公司因涉嫌违反证券法律法规被中国证券监督管理委员会立案调查； 海联讯公司因重大前期差错更正已经公布的2009 年度、2010 年度、2011 年度的财务报表。 上述重大缺陷未包含在海联讯公司对2012 年12 月31 日财务报告内部控制有效性作出的认定中。 24上述内控评价意见有问题吗？第二十四页，共三十七页。计划审计工作测试控制的设计和执行评价识别的控制缺陷审计报告1.签订业务约定书2.风险评估与制定审计计划3.考虑舞弊风险1.采用自上而下的审计方法2.识别、了解和测试企业层面控制3.识别重要帐户、列报及其相关认定4.了解潜在错

14、报的来源并识别相应的控制5.测试设计有效性及执行有效性6.对利用他人的工作的考虑7.对被审计机关使用服务机构的考虑1.制定缺陷评价标准2.就缺陷与管理层进行沟通3.管理层实施缺陷整改1.执行必要的再测试步骤2.形成审计意见3.获得书面声明4.沟通相关事项内部控制审计的基本过程第二十五页，共三十七页。内控审计进入时点选择内部控制审计指引及其企业内部控制审计指引实施意见强调企业内部控制审计的前提是：被审计单位承担其对内部控制有效性评价并编制内部控制自我评价报告的责任。但这并不意味着需公司完成内部控制评价工作，才可以着手内部控制审计工作。内部控制审计的基准日与企业内部控制自我评价的基准日相同，内部控

15、制审计工作和内部控制的自我评价工作可以同步进行。但若被审计单位不拟进行内控自我评价工作或在出具内部控制审计报告前没有完成内控自我评价工作，审计师应确定是否能够接受业务委托或考虑对内部控制审计意见的影响。内部控制评价本身属于内部控制监督的一部分，属于内部控制审计的对象，如果被审计单位没有实施内部控制评价，可能会影响审计师对被审计单位控制有效性的评价，甚至可能是内控重大缺陷的迹象。26第二十六页，共三十七页。下列迹象可能表明内部控制存在重大缺陷：（1）注册会计师发现董事、监事和高级管理人员的任何舞弊；（2）被审计单位重述以前公布的财务报表，以更正由于舞弊或错误导致的重大错报；（3）注册会计师发现当

16、期财务报表存在重大错报，而被审计单位内部控制在运行过程中未能发现该错报；（4）审计委员会和内部审计机构对内部控制的监督无效。第二十七页，共三十七页。重大审计调整与财务报告内控重大缺陷的关系重大审计调整与重大缺陷认定并无必然关系：企业发生重大审计调整、更正已经公布的财务报表，是财务报告内部控制存在重大缺陷的迹象，但未必一定存在重大缺陷。在某些情况下，重大审计调整、更正已经公布的财务报表等事项可能由特殊的背景和环境（如会计政策调整）引发的，而不一定是由控制缺陷导致的，如果存在充分的证据表明企业管理层采取了下列措施：已建立控制收集处理相关信息并按会计准则的要求记录和披露相关信息，并且有关控制设计和运

17、行有效，则注册会计师可以合理认为该控制并未失效。但无必然关系通常极为罕见：但是实务中上述不是由于控制缺陷造成的特殊事项极少发生。因此，注册会计师对这些特殊事项的评估必须基于每家企业在特定的环境和时点上作出慎重考虑和分析。28第二十八页，共三十七页。内控缺陷整改如果被审计单位在基准日前对存在重大缺陷的内部控制进行了整改，但新控制尚没有运行足够长的时间，注册会计师应当将其视为内部控制在基准日存在重大缺陷。第二十九页，共三十七页。整改后控制运行的最短期间（或最少运行次数）和最少测试数量控制运行频率整改后控制运行的最短期间或最少运行次数最少测试数量每季1次2个季度2每月1次2个月2每周1次5周5每天1

18、次20天20每天多次25次（分布于涵盖多天的期间，通常不少于15天）25第三十页，共三十七页。内控审计报告四种类型标准无保留带强调事项段无保留否定无法表示意见第三十一页，共三十七页。强调事项段1、管理层内部控制评价报告的表达不完整或不恰当2、知悉在基准日并不存在、但在期后期间发生的事项。如果这类期后事项对内部控制有重大影响，注册会计师应当在内部控制审计报告中增加强调事项段，描述该事项及其影响，或提醒内部控制审计报告使用者关注企业内部控制评价报告中披露的该事项及其影响。第三十二页，共三十七页。内部控制审计报告股份有限公司全体股东： 按照企业内部控制审计指引及中国注册会计师执业准则的相关要求，我们

19、审计了股份有限公司（以下简称公司）年月日的财务报告内部控制的有效性。 一、企业对内部控制的责任按照企业内部控制基本规范、企业内部控制应用指引、企业内部控制评价指引的规定，建立健全和有效实施内部控制， 并评价其有效性是企业董事会的责任。二、注册会计师的责任 我们的责任是在实施审计工作的基础上，对财务报告内部控制的有效性发表审计意见，并对注意到的非财务报告内部控制的重大缺陷 进行披露。第三十三页，共三十七页。三、内部控制的固有局限性内部控制具有固有局限性，存在不能防止和发现错报的可能性。 此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策 和程序遵循的程度降低，根据内部控制审计结果推测未来内部控制的 有效性具有一定风险四、财务报告内部控制审计意见 我们认为，公司按照企业内部控制基本规范和相关规定在所有重大方面保持了有效的财务报告内部控制。 五、非财务报告内部控制的重大缺陷在内部控制审计过程中，我们注意到公司的非财务报告内部控制存在重大缺陷描述该缺陷的性质及其对实现相关控制目标的影响程度。由于存在上述重大缺陷，我们提醒本报告使用者注意相关风险。需要指出的是，我们并不对公司的非财务报告内部控制发表意见或提供保证。本段内容不影响对财务报告内部控制有效性发表的审计意见。第三十四页，共三十七页。否定意见报告四、导致否定意见的事项重大缺陷，是指一个或多个控