內部控制相關審計程序和方法問題討論

（一）內部控制審計程序概述 　　爲了論述方便，首先簡要分析一下內部控制審計的分類。經濟組織內部進行內部控制審計，不可能都針對整個內部控制系統進行，更多情況是對其中部分展開。按照涉及內部控制的範圍，大致可分爲如下三類：1、業務循環內部控制審計，所謂業務循環內部控制是指對某個業務循環實施的控制，這種審計按照經濟組織的業務縱向展開，專門審計業務循環內部控制；2、非獨立部門內部控制審計，這種審計專門針對某個不獨立的部門或機構所涉及的內部控制，所謂不獨立，是指財務上不獨立，沒有獨立的財務機構，也不單獨覈算；3、獨立單位內部控制審計，這種審計是對經濟組織所屬的獨立單位的內部控制進行審計，獨立單位是指財務上獨立的，可以是投資中心或利潤中心，也可以是子公司，單獨設置財務機構的分公司，它們自己本身可能有一套內部控制，同時還要執行經濟組織作爲整體的內部控制。這三類審計各有各的特點，但在審計程序上，由於獨立單位內部控制審計相對較複雜，程序最全面，因此以下即以其爲藍本討論。　　內部控制審計程序與其他審計中作爲審計程序的內部控制評價應該有相似之處，因爲畢竟兩者都是以內部控制爲焦點而展開，但由於服務的目標不一致，在程序上也有差別。內部控制評價程序一般是：1、瞭解與記錄內部控制；2、初步評價控制風險；3、實施符合性測試；4、評價內部控制的強弱。作爲一種單獨開展的審計，瞭解經濟組織的基本情況這些準備工作是必須的，因爲對內部控制需求越強烈的經濟組織，其規模越大，這是必然的；在大規模的組織裏，管理高層、各個下屬機構的諸多具體的基本情況內部審計人員不可能都熟悉。瞭解基本情況是開展內部控制審計的基本條件，否則無從下手。同樣大規模的組織內既存在針對整個組織的控制，也存在針對某個部分或某個下屬機構的控制，內部審計人員也不可能都熟悉，因此瞭解內部控制也是必須的。在瞭解內部控制階段，還必須初步分析所瞭解信息，以初步確定內部控制的健全性和有效性，規劃要實施的符合性測試程序。接下來與內部控制評價程序一樣，實施符合性測試，以獲得遵循性的'評價，同時最終確定健全性和有效性。最後歸納總結審計結果，提出審計報告。　　總結上述，本文認爲內部控制審計程序爲：1、瞭解基本情況；2、瞭解內部控制；3、實施符合性測試；4、提出審計報告。下面即以該程序爲主線展開討論，其中提出審計報告在內部審計報告中討論。　　（二）瞭解基本情況　　瞭解基本情況，是瞭解所要審計內部控制所涉及單位的基本情況，這些情況是展開審計的必要準備和基本條件，影響着整個審計的過程和結果。這些基本情況包括：1、單位所屬的行業和歷史沿革（着重於管理沿革）；2、單位組織結構、各機構的人員規模和崗位結構；3、單位資產規模、生產經營或專業服務的特點規模；4、主營業務及輔助業務類別、業務量；5、財務會計機構及其工作組織；等等。這些基本情況可以通過詢問管理人員、查閱相關文件、會計和統計資料等方法來獲得。　　基本情況獲得後，審計人員就要適當利用自己專業判斷，確定以下內容：1、業務循環及其大致內容；2、必須控制的重要或經常發生的業務；3、內部控制應有的嚴謹程度；4、審計應該投入的人力及分工和時間預算。確定業務循環及其大致內容實際是劃分業務循環的過程，確定的是審計展開的主線；重要或經常發生的業務是必須控制的，確定它們就是確定審計的重點；內部控制的嚴謹程度是與獨立單位的規模相關的，規模較小的單位內部控制程度就相應較低，衡量標準就不能太高，實際這就是確定衡量標準的問題，提出設計意見時必須考慮；確定投入的人力和時間預算是爲了保證整個審計過程有條不紊地進行，保證審計質量。　　下一步工作是制定審計總體計劃，其主要內容就是上述基本情況獲得後審計人員所確定的內容，主要包括審計的範圍，即業務循環及內容，審計的重點，即必須控制的重要或經常發生的業務，審計組人員構成、分工和時間預算。這個計劃在以後審計過程中還要適時調整。　　需要特別說明的是業務循環的劃分。業務循環的劃分是將若干個關聯的經濟業務或管理活動組合在一起。2001年財政部發布的《內部會計控制基本規範》（徵求意見稿）中提出，“內部控制的內容主要包括對貨幣資金、籌資、採購與付款、實物資產、成本費用、銷售與收款、工程項目、對外投資、擔保等經濟業務活動的控制”，其中這些經濟業務就是基本的業務循環劃分，但目前有多樣化的趨勢，國際內部審計師協會就提出預算管理、資訊管理等管理作業。業務循環是以後審計程序展開的主線，瞭解內部控制和符合性測試都按照它來組織，因此劃分業務循環影響到整個審計的組織、效率和質量。一般來說業務循環應按下列原則來劃分：1、覆蓋單位所有業務及其各個環節；2、每個業務循環能反映出所涉及業務的共同性質特點及其全部過程；3、有利於審計的組織安排。　　（三）瞭解內部控制　　瞭解內部控制的內容　　要了解內部控制，首先要解決內部控制的構架問題。1988年美國AICPA提出內部控制結構即控制環境、控制結構和會計系統，我國獨立審計準則即採用這種觀點。1994年COSO報告提出內部控制要素即控制環境、風險評估、控制作業、信息與溝通、監控。內部控制要素是內部控制結構的縱深發展，在內容上進一步完善，在內部環境上更注重員工的素質，增加風險評估強調要實現目標就必須分析相關風險，構成風險管理的基礎，將會計系統擴大爲信息與溝通，更強調信息的內部傳達，增加監控要素將內部控制的執行納入進來。由於COSO報告提供出的內部控制理論很全面，更加接近內部控制的本質認識，而內部控制的建設要以先進理論爲指導，與實際情況相結合，因此本文認爲，在我們目前的條件下，我們應採用COSO報告的觀點，以它的框架爲指導，同時鑑於我國目前內部控制落後的情況，應更加註重控制作業和監控，即如何建立起健全有效的控制程序與政策以及它們的實際執行，在控制作業完善的帶動下，風險評估和信息與溝通也逐步完善，同時逐步轉變管理觀念，提高員工素質，建立起合理的法人治理結構和具體組織結構，使控制環境得以改善。　　由於內部審計充當監控的主要角色，內部控制審計就是履行監控的職責，因此瞭解內部控制階段對監控的瞭解可以置於次要地位；又由於風險評估的風險是管理層和作業層控制目標因內外部風險因素影響而不能實現的風險，對它進行評估後設置相應的控制作業來控制，而內部控制審計要做的一部分工作就是評價控制作業是否能控制住風險，實現控制目標，實際就是風險評估過程，因此風險評估不做了解，而在接下來的分析工作中進行。由於控制作業實際就是控制程序與政策，爲了理解直觀起見，本文就稱其爲控制程序與政策；由於內外部信息和它們在單位內外部、內部各部門各成員之間的流動可以構成一個系統，因此信息與溝通可以合稱爲信息系統。總結上述，本文認爲內部控制審計要了解的內部控制要素爲控制環境、控制程序與政策及信息系統。　　如上所述，瞭解內部控制以業務循環爲主線展開的，即按業務循環逐個循環瞭解，這些循環構成單位整體，這是橫向的；同時針對每個循環的控制，分別去了解它控制環境、控制程序與程序、信息系統，這是每個循環的控制的縱向構成，是縱向的瞭解。橫向縱向的交叉瞭解構成了解內部控制程序的骨架。　　瞭解控制環境是瞭解影響內部控制其他要素的因素，提供內部控制構成基礎好壞的證據，同時爲分析內部控制健全性有效性和遵循性好壞的原因提供證據素材。瞭解控制環境的內容實際就是控制環境的內容，按照COSO報告，控制環境包括：1）、員工的誠實性和道德觀；2）、員工的勝任能力；3）、董事會或審計委員會；4）、管理哲學和經營方式；5）、組織結構；6）、授權和分配責任的方式；7）、人力資源政策。這裏主要是針對各個業務循環所涉及的部門、人員、方法來說的，其中第3點是針對整個單位，實際在瞭解基本情況程序中就已進行。　　瞭解控制程序與政策，就是了解控制目標實現風險所採取的措施，它是瞭解內部控制要素中最重要的部分。每個業務循環都可分爲若干個作業，而每個作業都要設置若干控制程序和政策來控制，我們本文把這些作業稱爲控制點。比如製造業的銷售與收款循環可分爲接受定單、覈准信用、發運商品、開具發票、應收賬款與記錄、收款、退貨及客訴處理等作業。在業務循環的劃分階段，已經取得了業務循環大致內容的瞭解，在瞭解控制程序與政策階段，應進一步瞭解，去獲得足夠信息來進一步確定業務循環內的各個作業，然後針對每個作業，去了解所採取的控制程序與政策。　　瞭解信息系統只要是瞭解單位內外部信息記錄載體，以及溝通方式。外部信息載體包括記錄市場份額、法規要求和客戶反映等信息的資料，內部信息載體包括業務申請審批報告、各種分析報告、進行控制作業形成單據、會計資料等等。溝通方式包括政策手冊、財務報告手冊、備查簿、口頭交流、管理示例等。　　進行內部控制的瞭解可採取的方法與內部控制評價程序中的一樣，大致查閱控制文件和控制信息記錄載體、詢問有關人員、觀察作業的進行和內部控制的運行情況等等。　　初步分析健全性和有效性　　在對內部控制獲得瞭解後，就可以對其健全性和有效性進行初步分析，以規劃將要實施的符合性測試程序。初步健全性分析主要是分析哪些重要或經常發生的業務或作業應該設置控制而未設置。這些業務在瞭解基本情況中已獲悉，而重要或經常發生的作業則在瞭解控制程序與政策中已瞭解，通過了解控制程序與政策能知道它們是否設置控制。　　初步有效性分析主要是針對控制程序與政策而實施的。這實際就是初步的風險評估。初步有效性分析首先要分析確定各個業務循環、各個作業的控制目標，然後再分析所瞭解到的控制程序與政策，看它們是否能實現控制目標。對於控制有缺陷的可以提出初步的改進意見。　　初步的健全性和有效性分析後就可以規劃將要實施的符合性測試。一般來說對於以下情況就可以不進行測試：1）對業務循環或關鍵控制點的控制初步評價爲無效；2）在瞭解內部控制的過程中已知對某業務循環或關鍵控制點的控制未得到遵循；3）在瞭解單位內部控制的過程中已知對某業務循環或關鍵控制點的控制得到很好遵循；4）雖對業務循環或關鍵控制點設置控制但未發生相關業務。而以下情況就可以考慮進行大範圍的測試：1）相關業務大量發生的業務循環或關鍵控制點的控制；2）相關業務雖不大量發生但涉及金額相對較大的業務循環或關鍵控制點的控制；3）控制程序相對複雜的控制。規劃結果應記入審計計劃，並對審計計劃做相應調整。