如何將內部控制審計做到位

唐建華 萬壽瓊

財務報告內部控制審計（以下簡稱內部控制審計）制度自2011年試點實施以來，已逐步推廣至全部主板上市公司。作為一項新的審計業務，如何將其做到位是一個值得審視的問題。本文從理論上闡述內部控制審計應有的工作力度，并通過示例演示實務中如何將其做到位。

一、內部控制審計應有的工作力度

在財務報表審計中，注冊會計師需要運用“認定”的概念。其基本邏輯是：注冊會計師要對整套財務報表發表審計意見，就需要知道財務報表反映的各賬戶余額、各類交易和各項列報是否有錯報；而要知道各賬戶余額、各類交易和各項列報是否有錯報，就需要確定各賬戶余額、各類交易和各項列報的各項認定是否有錯報。因此，注冊會計師要圍繞各賬戶余額、各類交易和各項列報的各項認定收集充分、適當的審計證據?？梢哉f，“認定”是財務報表審計精細化的基石。

同樣，在內部控制審計業務中，注冊會計師對內部控制的了解和測試工作應當涵蓋每項相關認定。如果某財務報表認定可能存在一個或多個錯報，這些錯報將具有合理可能性導致財務報表發生重大錯報，則該認定為相關認定。有效的內部控制應當能夠合理保證財務報表的可靠性。財務報表反映的是一項項認定，有效的內部控制也應當能夠合理保證財務報表中反映的每項相關認定不存在重大錯報。因此，《企業內部控制審計指引實施意見》規定，注冊會計師應當針對每一相關認定獲取控制有效性的審計證據，以便對內部控制整體的有效性發表意見；注冊會計師應當對被審計單位的控制是否足以應對評估的每個相關認定的錯報風險形成結論。針對每項相關認定，注冊會計師至少應當測試一項關鍵控制。

換個角度看，在財務報表審計中，注冊會計師需要在充分了解被審計單位及其環境的基礎上，識別和評估財務報表層次和認定層次的重大錯報風險。在內部控制審計中，注冊會計師需要確定是否有控制足以應對這兩個層次的重大錯報風險。換言之，內部控制審計應當至少涵蓋識別的兩個層次的重大錯報風險。

二、示例分析

（一）示例一：每月手工調節控制

注冊會計師在審計XYZ公司的財務報告內部控制時，確定應收賬款是一個重要賬戶。通過與被審計單位人員進行討論和查閱公司的文件記錄，注冊會計師了解到被審計單位人員每月將應收賬款明細賬與總賬進行調節。為確定是否能及時發現應收賬款的錯報 （存在、計價和完整性），注冊會計師決定對每月調節程序中存在的控制進行測試。根據應收賬款賬戶的數量、金額和賬戶中發生的交易量，選取應收賬款調節表若干樣本，對調節控制進行測試。注冊會計師決定在10月份實施測試調節控制的程序，控制測試的對象總體是1月份到9月份的調節控制。在測試調節控制時，注冊會計師執行如下程序：

1.向實施此控制的被審計單位人員進行詢問。注冊會計師向執行調節流程的人員提出了若干問題，這些問題包括：

（1）是否有文件記錄描述賬戶調節流程？

（2）從事該項工作多長時間？

（3）處理調節項目的過程？

（4）有關人員對調節表進行正式復核和簽署的頻率？

（5）向誰報告調節過程中發現的重大問題？

（6）每月平均有多少個調節項目？

（7）如何處理長期存在的調節項目？

（8）如何在信息系統中對調節項目作出更正（如有需要）？

（9）調節項目的一般性質？

2.觀察和檢查控制的執行。注冊會計師觀察被審計單位人員實施調節的過程。對于非經常性的調節項目，注冊會計師檢查調節表是否針對每個項目的性質、采取的解決措施以及該項目是否得到及時解決作出了清晰的說明。

3.重新執行該控制。最后，注冊會計師檢查調節表并重新執行調節程序。對于5月份和9月份的調節表，注冊會計師以抽查的形式將調節項目與原始文件進行核對。這些調節表中包括的調節項目只有前一天放入保險箱但尚未記入客戶賬戶的現金。注冊會計師繼續追查這些項目，以確定這些調節項已在下一個工作日得到處理。

注冊會計師還粗略瀏覽了包含本年度所有調節表的文件夾，發現調節表均已及時完成。為了解被審計單位至年末的剩余期間里有沒有對調節控制程序作出重大變更，注冊會計師向被審計單位人員進行詢問，確定這些程序在剩余期間內未發生變化。因此，注冊會計師通過瀏覽月度賬戶調節表證實控制在剩余期間得到及時執行，從而驗證控制在剩余期間仍然有效。

此外，注冊會計師評價和測試了計算機一般控制，包括程序變化（例如確認對軟件功能沒有未經授權的更改，對報告的更改已經適當授權、在實施前已經測試和批準）和邏輯接觸（例如用戶對存貨和應付賬款模塊的接觸和對報告源代碼保管地的接觸），得出結論認為這些控制運行有效。既然計算機被認為以系統的方式運行，注冊會計師認為只需對一個項目執行穿行測試就已經足夠。

根據注冊會計師實施的程序，注冊會計師認為截至本年末，該調節控制是有效的。

（二）示例二：每日手工預防性控制

注冊會計師在審計XYZ公司的財務報告內部控制時，確定銀行存款和應付賬款是重要賬戶。通過與被審計單位人員進行討論，注冊會計師了解到公司人員只有在將發票與訂購單信息核對一致后，才會付款。為確定是否能及時地預防銀行存款 （存在）和應付賬款 （存在、計價和完整性）中存在的錯報，注冊會計師對“將發票與訂購單信息核對一致后再付款”這一控制實施了測試。

注冊會計師從1月至9月的銀行支付明細賬中隨意選取了25 筆付款記錄。在本例中，注冊會計師的測試對象是被審計單位員工對常規的支付交易所執行的手工控制，因此注冊會計師認為測試25筆付款交易是適當的。而且，注冊會計師根據較早實施的企業層面控制測試的結果，預期該控制不會出現錯誤。（如果注冊會計師發現了一個控制偏差，應分析出現偏差的根本原因，并追加測試項目。如果發現了第二個控制偏差，即認定該控制是無效的。注冊會計師因此需要在財務報表審計中增加對銀行存款和應付賬款實施的實質性程序的范圍。）

1.在取得相關憑證后，注冊會計師檢查發票上是否有應付賬款財務人員的簽字，證明其已執行了核對控制。但是，在憑證上簽字并不一定說明工作人員在簽字前已認真復核了相關信息。工作人員可能只是草草復核或根本沒有復核憑證就簽字。

2.注冊會計師決定簽字不足以證明該控制在測試期間內有效運行。為了獲取更多的證據，注冊會計師重新執行了與簽字相關的核對控制，包括檢查發票以確定發票信息與訂購單信息一致，且發票金額的計算是準確的。

由于注冊會計師在期中實施控制測試，因此注冊會計師通過詢問應付賬款財務人員該控制是否仍然存在并有效運行，將該測試前推至年末（從10月份至12月份）。通過對12月份的一筆交易實施穿行測試，證實了詢問所獲得的信息。

根據注冊會計師實施的程序，注冊會計師認為截至本年末，“將發票與訂購單信息核對一致后再付款”這一控制是有效的。

（三）示例三：每日自動化預防性控制和每周人工發現性控制

注冊會計師確定現金、應付賬款和存貨在財務報告審計中是重要賬戶。通過與客戶人員的討論，注冊會計師了解到客戶的計算機系統對收貨單、請購單和采購發票執行三單匹配程序。如果有例外，系統產生未匹配項目的清單，客戶人員每周進行復核和跟進處理。

在本例中，計算機匹配是程序化的應用控制，人工對未匹配項目報告進行復核和跟進是檢查性控制。為確定能夠及時防止或發現現金（存在性）、應付賬款和存貨（存在性、計價和完整性）的錯報，注冊會計師決定測試這兩項控制。

1.測試自動控制

為測試程序化的應用控制，注冊會計師執行如下程序：

（1）通過與客戶人員的討論，注冊會計師識別出用以處理收貨單和采購發票的軟件。該軟件系從第三方購入，包括幾個模塊。

（2）通過與客戶人員的進一步討論，確定客戶沒有修改軟件的核心功能，只是有時對報告進行個性化的處理以滿足業務變化的需要。根據以前對客戶信息技術環境了解的經驗，注冊會計師認為這些變化不常發生，客戶的信息技術程序控制很成熟。

（3）通過與客戶人員的進一步討論，存貨模塊處理收貨，包括將收貨單與未了結的請購單匹配。購貨發票由應付賬款模塊處理，將購貨發票與經批準的、已有有效的收貨單支持的請購單相匹配。該模塊同時生成未匹配項目的報告，該報告格式是一個標準的報告，由軟件自帶且客戶沒有做過任何修改。該信息與軟件供應商的文檔記錄一致，也與客戶信息管理部門的文檔記錄一致。

（4）通過與客戶人員的討論及檢查軟件供應商的文檔記錄，識別用于處理該功能的可執行文件（應用軟件）的名稱、文件大小和位置。注冊會計師識別應用軟件的編輯日期并將其與應用軟件的初裝日期核對一致。將報告源代碼的編輯日期與信息管理部門持有的、與對報告最后一次修改（格式的修改）有關的文檔記錄一致。

（5）識別將測試應用軟件的目標。是為了確定：收到的貨物是否恰當（例如，與有效的請購單匹配）；過賬的采購價格是否恰當（例如，將有效的收貨單與請購單匹配，無重復號碼）；未匹配的項目列于例外報告中。注冊會計師重新執行了應用軟件中所有各種不同情況以確定應用軟件如所描述的那樣運行。每種測試只要一筆即可。

此外，注冊會計師評價和測試了計算機一般控制，包括程序變化（例如確認對軟件功能沒有未經授權的更改，對報告的更改已經適當授權、在實施前已經測試和批準）和邏輯接觸（例如用戶對存貨和應付賬款模塊的接觸和對報告源代碼保管地的接觸），得出結論認為這些控制運行有效。既然計算機被認為以系統的方式運行，注冊會計師認為只需對一個項目執行穿行測試就已經足夠。

為確定應用控制是否有效運行，注冊會計師在7月執行了穿行測試，并執行和記錄了下列內容：

（1）收貨部門在沒有將收貨單與系統中請購單匹配的情況下不能記錄已收到貨物。注冊會計師通過試圖在沒有請購單的情況下記錄已收到貨物來測試該項控制，然而，系統不允許注冊會計師這么做。相反，系統生成一個出錯信息，指出沒有有效的請購單不能將貨物記錄為已收到。

（2）除非系統能夠將收貨單和購貨發票與經批準的請購單匹配，否則不能為發票付款。注冊會計師通過試圖批準為發票付款來測試該項控制，然而，系統不允許注冊會計師這么做。相反，系統生成一個出錯信息，指出沒有有效的請購單和收貨單不能為發票付款。

（3）系統不允許處理具有相同發票號碼和相同供應商的發票。并且，針對同一張請購單，系統不允許處理兩張發票，除非這兩張發票的總和小于請購單上批準的數量。注冊會計師通過試圖處理重復的發票來測試該項控制，然而，系統生成一個出錯信息，指出該發票已經處理過。

（4）系統將發票金額與請購單進行比較。如果存在數量乘以價格的差異，并且差異超過經批準的可容忍范圍，系統不允許處理該發票。注冊會計師通過試圖處理差異超過可容忍范圍10件或1000美元的發票來測試該項控制，然而，系統不允許注冊會計師這么做。相反，系統生成一個出錯信息，指出由于差異不能處理該發票。

（5）系統只對供貨商主文檔中包含的供貨商付款。注冊會計師通過試圖處理不在供貨商主文檔中的一名供貨商開具的發票來測試該項控制，然而，系統不允許處理付款。

（6）注冊會計師測試了用戶對供貨商主文檔的訪問，通過試圖訪問并更改主文檔來測試用戶是否能夠修改文檔，然而，系統不允許注冊會計師執行該項操作。相反，系統生成一個出錯信息，指出用戶沒有授權執行該項操作。

（7）注冊會計師通過驗證一個報告中未匹配項目和一個未在報告中的已匹配項目，測試了未匹配項目報告的準確性和完整性。

2.測試人工控制

為測試對未匹配項目進行復核和跟進的發現性控制，注冊會計師針對1－7月在7月執行了以下程序：

（1）詢問客戶的人員。為了解以確保所有未匹配項目均已被適當跟進，并且及時作出更正而實施的控制，注冊會計師向跟進未匹配項目報告周報的人員進行了詢問。每周，控制要求該人員復核未匹配項目報告以確定項目列入報告的原因。該人員的復核包括適當跟進項目，包括確定：

是否未了結請購單在可接受的時間內或者予以了結，或者予以作廢？

是否定期通知請購方請購單的狀況及原因？

請購單未了結的原因是否是供貨商未全部發貨，如果是，是否通知了供貨商？

是否有應當與采購部門討論解決的數量問題？

（2）觀察該控制的執行。注冊會計師觀察該人員對7月份首周產生的未匹配項目執行的控制。

（3）重新執行該控制。注冊會計師選擇了5個星期未匹配項目報告，從每個中選出幾項，重新執行了該人員執行的控制。注冊會計師瀏覽了其他的未匹配項目報告以確定控制在整個擬依賴期間都已執行。

為確定客戶在剩余期間沒有對控制做出重大修改，注冊會計師與客戶討論了作出修改所需的程序。既然程序自期中至年末沒有被修改，注冊會計師通過瀏覽未匹配項目報告周報來確定控制在剩余期間被及時執行，得出結論認為控制仍然在運行。

基于注冊會計師的程序，注冊會計師認為該人員能夠及時處理例外事項，控制在年末有效運行。

（四）示例4：測試管理層審閱控制

在審計一個有四個類似分支機構的商業公司時，注冊會計師決定測試一項每月運行一次的控制，該控制針對的是包括工資、公共事業費、設施及折舊費等在內的銷售費用、管理費用、一般性費用的存在（發生）、完整和計價與分攤認定。這項控制是：每個分支機構的財務總監每月執行一項分析，即將該分支機構財務報表中的和這些費用相關的項目與前年或預測的財務報表相比較，如果差異超過公司財務總監預先確定的門檻值，則需要調查差異。每個分支機構的財務總監與公司財務總監討論分析的結果，以使公司財務總監能夠理解重大差異的基礎和決定是否需要對財務報表作出調整，或采取其他糾正措施。

由于該項管理層審閱控制針對幾個重要賬戶的多項認定（評估的重大錯報風險不一），注冊會計師評估的、與該項控制相關的風險為“較高”。

注冊會計師的審計程序可能包括：

1.評價該項控制能否如設想的那樣應對與銷售費用、管理費用、一般性費用的存在（發生）、完整和計價與分攤認定相關的重大錯報風險。

2.評價分支機構前年和今年預測的信息是否能夠作為預期的適當基礎，以識別潛在的錯報。

3.評價財務總監預先確定的門檻值是否適當，即分支機構財務總監根據該門檻值是否能夠識別對財務報表重要的錯報。

4.基于注冊會計師在本期和以前期間對個人的了解等，評價公司和分支機構的財務總監的專業勝任能力。

5.評價控制的運行頻率是否足夠，即是否在錯報對財務報表產生重大影響前能夠予以預防或發現。

6.對所選擇的控制運行樣本項目，獲取分支機構財務總監分析中使用的信息，了解其調查重大差異所采取的步驟，重新執行分析并將注冊會計師識別的重大差異、對結果的評價（包括識別的錯報）與分支機構財務總監的分析相比較。

7.對公司財務總監和分支機構討論分析結果的會議進行觀察或查閱其會議記錄，檢查呈報給公司財務總監的信息，評價所討論事項、得出的結論及采取的糾正措施。

注冊會計師還應確定控制使用的財務報表和預測信息是由同一信息系統生成和報告的。公司的信息系統是集中管理的，并且該信息系統的控制是與公司其他與財務報表相關的信息的控制一起測試的。

值得注意的是，該例演示的是測試常規和可預測的賬戶的方法，對于復雜的或不可預測的賬戶或認定，在測試針對這些賬戶或認定的內部控制時，主要由將賬面反映數與上年數和預測數相比較組成的管理層審閱控制可能精確度不夠。在此情況下，除測試管理層審閱控制外，可能有必要測試其他控制，以得出控制是否足以應對重要賬戶的相關認定的重大錯報風險。

三、分析與結論

從上面的示例可以看出，內部控制審計業務也需要做得精細，才能到位。對每項控制的測試，均需要確定控制測試的性質、時間安排和范圍。在期中測試控制的情況下，還需要追加審計工作，以將審計結論合理延伸至審計基準日。某些人工控制的運行，可能依賴信息系統產生的報告或數據，這時，還需要測試針對這些報告或數據產生過程中的控制。

美國上市公司會計監督委員會（PCAOB）曾連續發布內部控制審計實施檢查報告。在2012年發布的檢查報告中，指出了內部控制審計中常見的不到位之處：一是沒有識別和充分測試旨在應對重大錯報風險的控制；二是對于用以監控經營成果的管理層審閱控制，未能充分測試其設計和運行有效性；三是未能獲取充分的證據，以將期中測試內部控制的結果更新至年末；四是未能充分測試針對系統產生的數據和報告的控制，而這些數據和報告支持重要控制的運行；五是對利用他人的工作，未能實施程序；六是未能充分評估識別的控制缺陷。這些不足以說明未能完全執行內部控制審計技術標準。

做好內部控制審計業務不僅與建立財務報表可靠性的機制直接相關，還關系到會計師事務所財務報表審計方法的升級，需要從實質性方案過渡至綜合性方案，這在越來越多的被審計單位廣泛使用信息技術的背景下尤為重要。將來，越來越多的重大錯報風險屬于“僅通過實質性程序無法應對的風險”，從而實質性方案無法應對，也就是說，繞過內部控制進行審計的方法越來越行不通。會計師事務所應當借實施內部控制審計業務的契機，將內部控制審計業務做實做精做到位，實現財務報表審計技術方法的升級。