第九章 审计过程—了解和评价内部控制
第九章 目录
1、内部控制的意义和类型
2、内部控制的评价框架
3、财务报表审计中内部控制的评价
4、管理建议书
5、内部控制审计的理论和实务
内部控制的意义和类型
内部控制的概念
内部控制的类型
内部控制的意义
COSO 定义
内部控制是为实现以下有关范畴内的目标提供合理内部控制是为实现以下有关范畴内的目标提供合理
保证，由一个单位的董事会、经营者和其他成员所实施保证，由一个单位的董事会、经营者和其他成员所实施
的一个过程。的一个过程。
经营的效果和效率
财务报告的可靠性
相关法律法规的遵守
财政部定义
内部控制是指单位为了提高会计信息质
量．保护资产的安全、完整，确保有关法
律法规和规章制度的贯彻执行等而制定和
实施的一系列控制方法、措施和程序。
类 型
财务报告内部控制和其他目的控制
总体控制和业务处理控制
预防型控制和发现型控制
人工控制和自动化控制
财务报告内部控制（1）
财务报告内部控制是由企业的经营者和财务主管或执财务报告内部控制是由企业的经营者和财务主管或执
行类似职务的人员设计和监督的、受企业的董事会、经营行类似职务的人员设计和监督的、受企业的董事会、经营
者和其他管理人员影响的、旨在为财务报表的可靠性以及者和其他管理人员影响的、旨在为财务报表的可靠性以及
外部财务报表的编制符合一般公认会计原则提供合理保证外部财务报表的编制符合一般公认会计原则提供合理保证
的过程。的过程。
财务报告内部控制（2）
该过程包括以下政策和程序：该过程包括以下政策和程序：
保持合理的详细记录以准确、公允地反映资产的交易和处保持合理的详细记录以准确、公允地反映资产的交易和处
置；置；
为交易得到必要的记录使得财务报表的编制符合一般公认为交易得到必要的记录使得财务报表的编制符合一般公认
会计原则，收入和支出均在经营者和董事会的授权下进行会计原则，收入和支出均在经营者和董事会的授权下进行
提供合理保证；提供合理保证；
为预防或者及时发现对财务报表有重大影响的、未经授权为预防或者及时发现对财务报表有重大影响的、未经授权
的资产购买、使用和处置提供合理保证。的资产购买、使用和处置提供合理保证。
其他目的控制
经营效果和效率目的内部控制经营效果和效率目的内部控制
法规遵守目的内部控制。法规遵守目的内部控制。
总体控制（1）
关系到整个企业层次的控制，具有维护和监督企业系统关系到整个企业层次的控制，具有维护和监督企业系统
的作用。的作用。
总体控制（2）
包括企业的风气，经营者的作风，组织结构以及行动规范包括企业的风气，经营者的作风，组织结构以及行动规范
程序、雇用、培训和升迁制度、内部通报制度、自我评价程序、雇用、培训和升迁制度、内部通报制度、自我评价
制度等与企业成员的意识密切相关的控制制度等与企业成员的意识密切相关的控制
包括对董事会以及监事会所进行的监督状况、预算编制时包括对董事会以及监事会所进行的监督状况、预算编制时
的风险评价等制度和机制的运行状况的文档化等控制。的风险评价等制度和机制的运行状况的文档化等控制。
总体控制（3）
总体控制并不直接作用于企业业务的处理，而是间接地、总体控制并不直接作用于企业业务的处理，而是间接地、
广范地影响业务处理。广范地影响业务处理。
透过总体控制的风险将直接影响业务处理控制。透过总体控制的风险将直接影响业务处理控制。
总体控制有关的要素往往可以减轻业务处理控制层次的风总体控制有关的要素往往可以减轻业务处理控制层次的风
险。险。
总体控制薄弱的例子
大量依靠临时工，不重视员工培训大量依靠临时工，不重视员工培训
实际操作员工的知识、经验不足实际操作员工的知识、经验不足
业务处理控制不能发挥预期的作用业务处理控制不能发挥预期的作用
总体控制有效的例子
企业规模不大，所有者亲自经营企业规模不大，所有者亲自经营
职务分工和权责划分不明确职务分工和权责划分不明确
业务规程和流程比较模糊业务规程和流程比较模糊
员工非常敬业员工非常敬业
知识和经验比较丰富知识和经验比较丰富
业务处理控制的缺陷可以通过员工的自主性职务调业务处理控制的缺陷可以通过员工的自主性职务调
整，互相帮助而得到克服。整，互相帮助而得到克服。
图9-1 总体控制和业务处理控制的关系
总体控制
（控制环境、风险评价、监督活动）
制度、机制、程序
影响
业务处理控制
业务处理控制
与业务过程直接相关的、如交易的授权和确认、业绩的复与业务过程直接相关的、如交易的授权和确认、业绩的复
核、职务分工等控制。核、职务分工等控制。
业务处理规程以及手册的建立健全及其在整个企业内的认业务处理规程以及手册的建立健全及其在整个企业内的认
知也包括在业务处理控制中。知也包括在业务处理控制中。
业务处理控制多数根据日常交易和业务的内容，以各个部业务处理控制多数根据日常交易和业务的内容，以各个部
门或者交易种类为单位设置和运行的。门或者交易种类为单位设置和运行的。
Examples of Application Control
(warehouse)
door lock of a warehousedoor lock of a warehouse
how many people has the lock of the warehousehow many people has the lock of the warehouse
bookkeeper and warehouse managerbookkeeper and warehouse manager
AuthorizationAuthorization
Pre-numbered invoicesPre-numbered invoices
图表9-1 基本业务循环及业务程序内容
业务循环业务循环 业务程序的内容业务程序的内容
销售销售··收款循环收款循环 接受订单、发货、收款、债权管理、收入的会计处理接受订单、发货、收款、债权管理、收入的会计处理
购货购货··付款循环付款循环 订货、验收、债务管理、购货的会计处理订货、验收、债务管理、购货的会计处理
存货循环存货循环 存货的实物管理、报废管理、实地盘存手续存货的实物管理、报废管理、实地盘存手续
生产循环生产循环 领料、生产流程管理、产品检验管理、成本计算领料、生产流程管理、产品检验管理、成本计算
固定资产循环固定资产循环 订货、验收、折旧计算、固定资产及折旧的会计处理订货、验收、折旧计算、固定资产及折旧的会计处理
工资循环工资循环 工资的决定、计算、支付、工资的会计处理工资的决定、计算、支付、工资的会计处理
财务循环财务循环 现金的收入与支出、资金运用和筹措现金的收入与支出、资金运用和筹措
税收循环税收循环 企业所得税、营业税等的计算、递延税额资产的计算企业所得税、营业税等的计算、递延税额资产的计算
财务报告循环财务报告循环 编制凭证、过账、调整分录、编制财务报表编制凭证、过账、调整分录、编制财务报表
基本控制
业务规程手册的制定及其贯彻普及业务规程手册的制定及其贯彻普及
职务分工职务分工
授权和批准授权和批准
交易踪迹的文档化交易踪迹的文档化
对资产接近的限制对资产接近的限制
独立核算独立核算
业绩复核业绩复核
预防型控制
预防型控制是指作用于从最早可能发生的
场所防止错误或舞弊发生的控制。
批准：对某一事项具有决定权的管理者一
边留下证据痕迹一边认可该事项的内容。
发现型控制
发现型控制是指作用于及时发现已经发生
的错误或舞弊的控制；
检查：通过审阅文件，复核程序，向有关
人员询问等确认业务活动的实施情况。
内部控制的作用
有效的内部控制能防止或发现对企业资产的盗
用、未经授权使用或处置资产的情形，减少业
务活动中的风险。
内部控制不存在或者有缺陷可能给企业带来防
不胜防的风险。
例1 订货程序的内部控制风险
内部控制程序：经办人员起草购货申请内部控制程序：经办人员起草购货申请→ → 主管人员事前主管人员事前
盖章批准盖章批准→→委托购货部门实施购货委托购货部门实施购货
事事 实实 情情 况：况： 经办人员没有经过主管人员批准和委托购经办人员没有经过主管人员批准和委托购
货部门的程序，自行组织订货货部门的程序，自行组织订货
或或 有有 风风 险：险：
· ·企业不知道订单已发出；企业不知道订单已发出；
· ·企业不知道应付账款的存在；企业不知道应付账款的存在；
· ·经办人员利用企业的交易中饱私囊经办人员利用企业的交易中饱私囊
图表9-2 内部控制的功能及发挥途
径
功能功能 途径途径 具体方法具体方法
预防牵制功能预防牵制功能
职务分工职务分工
合理的划分职能部门和业务部门以及使各部门保持必要合理的划分职能部门和业务部门以及使各部门保持必要
的独立性的独立性
权限和程序的明确化和标准化权限和程序的明确化和标准化
··明确各部门及其人员的岗位责任和授权明确各部门及其人员的岗位责任和授权
··建立健全业务规程手册并在企业内贯彻落实建立健全业务规程手册并在企业内贯彻落实
建立健全内部牵制制度建立健全内部牵制制度
在职务划分和权限及程序的标准化过程中充分考虑内部在职务划分和权限及程序的标准化过程中充分考虑内部
牵制的要求牵制的要求
建立检查机制建立检查机制 在业务处理的各个阶段建立健全检查机制在业务处理的各个阶段建立健全检查机制
教育教育
通过内部控制的建立健全过程，促进企业整体对内部控通过内部控制的建立健全过程，促进企业整体对内部控
制的认识，形成良好的控制环境制的认识，形成良好的控制环境
发现揭露功能发现揭露功能
及时发现错误及时发现错误
··数据的检查数据的检查
··逻辑合理性检查逻辑合理性检查
··凭证与记录的检查凭证与记录的检查
··在信息系统中装置具有例外事项的提示和即时反馈作在信息系统中装置具有例外事项的提示和即时反馈作
用的程序用的程序
实物和记录的核对实物和记录的核对 ··资产与记录的定期核对资产与记录的定期核对··财产清查财产清查
修正恢复功能修正恢复功能 建立健全事故处理程序建立健全事故处理程序
··发现错误后确定原因、采取相应的措施发现错误后确定原因、采取相应的措施
··预先明确采取措施的程序并组织化、制定事故处理程预先明确采取措施的程序并组织化、制定事故处理程
序手册序手册
内部控制并非万能药
COSOCOSO报告在警告人们不应过度期待或者误解内部控制的作报告在警告人们不应过度期待或者误解内部控制的作
用时指出：用时指出：
第一，第一，““内部控制有效运行内部控制有效运行””不等于不等于““企业业绩优良企业业绩优良””；；
第二，第二，““内部控制有效运行内部控制有效运行””并不意味着各控制目的的实并不意味着各控制目的的实
现得到了绝对的保证。现得到了绝对的保证。
内部控制定义中的内部控制定义中的““合理的保证合理的保证””，就是指内部控制存在，就是指内部控制存在
固有界限。固有界限。
内部控制的固有界限
内部控制不具有防止和发现经营者错误的功能内部控制不具有防止和发现经营者错误的功能
内部控制可能因有关人员相互勾结、内外串通而失效内部控制可能因有关人员相互勾结、内外串通而失效
内部控制是针对常规业务而设计的，对突发性的、异常的内部控制是针对常规业务而设计的，对突发性的、异常的
或者例外的业务可能无效或者例外的业务可能无效
内部控制可能因执行人员的粗心大意、疲劳、判断失误和内部控制可能因执行人员的粗心大意、疲劳、判断失误和
对指令的误解以及对压力的妥协而暂时失效对指令的误解以及对压力的妥协而暂时失效
内部控制可能会僵硬化，不能适应外部环境的变化内部控制可能会僵硬化，不能适应外部环境的变化
内部控制的设计和运行受制于成本效益原则内部控制的设计和运行受制于成本效益原则
内部控制的评价框架
内部控制框架的历史演变
内部控制的要素
内部控制5要素的意义
历史演变
1977 FCAP
1978 Cohen报告
1987 Treadway报告
1992 COSO报告
COSO 5 要素
控制环境控制环境（（control environmentcontrol environment））
风险评价风险评价（（risk assessmentrisk assessment））
控制活动控制活动（（control activitiescontrol activities））
信息与沟通信息与沟通（（information and communicationinformation and communication））
监督活动监督活动（（monitoringmonitoring））
控制环境
控制环境决定组织的风气，影响组织成员的控制意识。控控制环境决定组织的风气，影响组织成员的控制意识。控
制环境提供纪律和结构，是内部控制的所有其他要素的基制环境提供纪律和结构，是内部控制的所有其他要素的基
础。础。 -271 -271
控制环境包括组织成员的诚实性、伦理观和能力；经营的控制环境包括组织成员的诚实性、伦理观和能力；经营的
哲学和经营作风；经营者分配权限和责任、组织和开发员哲学和经营作风；经营者分配权限和责任、组织和开发员
工的方法；董事会所提供的监督和指导等因素。工的方法；董事会所提供的监督和指导等因素。
风险评价
任何组织都面临源自外部和内部的风险，不得不评价这任何组织都面临源自外部和内部的风险，不得不评价这
些风险。些风险。
风险评价的前提条件是，设定目标，链接于所有层次并风险评价的前提条件是，设定目标，链接于所有层次并
使其保持内在的一致。使其保持内在的一致。
风险评价是识别和分析与目标实现有关的风险，形成对风险评价是识别和分析与目标实现有关的风险，形成对
如何管理风险作出决定所需要的基础。如何管理风险作出决定所需要的基础。
由于经济、行业、管制和营运条件处于变动中，需要有由于经济、行业、管制和营运条件处于变动中，需要有
一定的机制识别和处理与变动相关的特定的风险。一定的机制识别和处理与变动相关的特定的风险。
风险管理流程
控制活动
控制活动是保证经营者的指示得以执行的方针和程序。控制活动是保证经营者的指示得以执行的方针和程序。
控制活动有助于保证用于对应与实现组织目标有关风险控制活动有助于保证用于对应与实现组织目标有关风险
的必要行动得到启动。的必要行动得到启动。
控制活动是所有的组织阶层、所有的职能所实施的组织控制活动是所有的组织阶层、所有的职能所实施的组织
性的行为，包括批准、授权、检验、调整、业绩的复核、性的行为，包括批准、授权、检验、调整、业绩的复核、
资产保全以及职务分工等一系列活动。资产保全以及职务分工等一系列活动。
信息与沟通
信息系统生产有关经营、财务和法律遵守信息的报告，信息系统生产有关经营、财务和法律遵守信息的报告，
使得事业的营运和控制成为可能。使得事业的营运和控制成为可能。
有效的传递必须是广义的、由上而下、由下而上横断整有效的传递必须是广义的、由上而下、由下而上横断整
个组织。个组织。
所有的管理人员都必须理解自己在内部控制系统中的职所有的管理人员都必须理解自己在内部控制系统中的职
责，以及如何将个人的行动与他人的工作相协调。他们责，以及如何将个人的行动与他人的工作相协调。他们
必须具有向组织的上层传递重要信息的通道。必须具有向组织的上层传递重要信息的通道。
与顾客、供货商、监督机构以及股东等外部的关系者之与顾客、供货商、监督机构以及股东等外部的关系者之
间的有效传递也是必须的。间的有效传递也是必须的。
监督活动
监视是一个不断评价内部控制系统机能的过程。监视是一个不断评价内部控制系统机能的过程。
监视的形式有日常的监视活动，独立评价或者两者的结合。监视的形式有日常的监视活动，独立评价或者两者的结合。
日常监视和独立评价
日常监视存在于业务过程中，包括常规的管理、监督活动日常监视存在于业务过程中，包括常规的管理、监督活动
以及管理人员在履行职责时所采取的其他行动。以及管理人员在履行职责时所采取的其他行动。
独立评价的范围和频度主要取决于对风险的评价和日常独立评价的范围和频度主要取决于对风险的评价和日常
监视程序的有效性。内部控制的缺陷必须向上层管理人员监视程序的有效性。内部控制的缺陷必须向上层管理人员
报告，重要的事项必须向最高经营者以及董事会报告。报告，重要的事项必须向最高经营者以及董事会报告。
COSO 5 要素的意义 （1）
There is a logical loop to an organization's internal controls, There is a logical loop to an organization's internal controls,
starting withstarting with
设计控制环境；设计控制环境；
识别组织风险以及最小化风险所必要的控制；识别组织风险以及最小化风险所必要的控制；
设计和贯彻内部控制系统以及信息传递系统；设计和贯彻内部控制系统以及信息传递系统；
监视内部控制的有效性。监视内部控制的有效性。
COSO5要素的意义（2）
COSO5COSO5要素是评价内部控制的指导性框架。要素是评价内部控制的指导性框架。
评价者对上述评价者对上述55要素各自的功能状况进行判断，最要素各自的功能状况进行判断，最
后联系所选择的目的就内部控制的整体功能状况后联系所选择的目的就内部控制的整体功能状况
进行综合判断。进行综合判断。
这些判断可以为我们了解内部控制的弱点所在。这些判断可以为我们了解内部控制的弱点所在。
例2 订货程序内部控制
控制环境控制环境：是否存在允许未经批准交易的风气？：是否存在允许未经批准交易的风气？
信息传递信息传递：未经批准交易的信息是否得到传递？：未经批准交易的信息是否得到传递？
控制活动控制活动：是否存在牵制、纠正未经批准交易的：是否存在牵制、纠正未经批准交易的
措施？措施？
监督活动监督活动：相关管理人员是否对纠正的状况进行：相关管理人员是否对纠正的状况进行
了确认？了确认？
财务报表审计中内部控制的评价
内部控制对财务报表审计的意义
与审计相关的控制
内部控制的评价过程
内部控制和测试
现代财务报表审计仍然需要通过复查经济业务来获取现代财务报表审计仍然需要通过复查经济业务来获取
审计证据，但在审计时间和审计费用的制约下，审计人并审计证据，但在审计时间和审计费用的制约下，审计人并
不复查所有的经济业务，而是通过评价内部控制的有效性不复查所有的经济业务，而是通过评价内部控制的有效性
间接地验证会计记录是否值得信赖，在此基础上根据其对间接地验证会计记录是否值得信赖，在此基础上根据其对
重要性和审计风险的评估以及财务报表项目本身的性质，重要性和审计风险的评估以及财务报表项目本身的性质，
抽查经济业务。抽查经济业务。
财务报表审计的证据活动逻辑
根据有效的内部控制生成的基本会计资料编制的财务报表根据有效的内部控制生成的基本会计资料编制的财务报表
所内涵的会计认定要比内部控制有缺陷情况下的会计认定所内涵的会计认定要比内部控制有缺陷情况下的会计认定
可靠。可靠。
有效的内部控制可以合理保证较低水平的控制风险，与此有效的内部控制可以合理保证较低水平的控制风险，与此
相对应，审计人可以在较低水平控制风险的前提下确定相相对应，审计人可以在较低水平控制风险的前提下确定相
应的审计具体目标，以较低水平检查风险为前提实施相应应的审计具体目标，以较低水平检查风险为前提实施相应
的审计程序。的审计程序。
图9-3 内部控制和审计程序的关系
低风险前提下的审计程序 审计具体目标 高风险前提下的审计程序
财务报表中的会计认定
信赖 不信赖
基本会计资料
有效 审计审计具体目具体目标标 非有效
财务报表中的会计认定
基本会计资料
信赖 不信赖
有效 内部控制 非有效（评价） （评价）
资料来源：山浦久司.1999.财务审计论.日本：中央经济社，
与审计相关的控制
为实现财务报告可靠性目标设计和实施的
控制；
与实施审计程序时评价或使用的数据相关
的用以保证经营效率、效果的控制以及对
法律法规遵守的控制；
与实现财务报告可靠性和经营效率、效果
目标相关的用以保护资产的内部控制。
管理建议书
独立审计实务公告第2号―管理建议书
内部控制审计的理论和实务
内部控制报告制度化的理论问题
内部控制评价和内部控制审计
内部控制审计的PCAOB框架
内部控制审计对财务报表审计的意义
内部控制是公司治理的一个重要组成部分，是公司股东内部控制是公司治理的一个重要组成部分，是公司股东
以及债权人等籍以对公司实施控制和要求经营者履行资源以及债权人等籍以对公司实施控制和要求经营者履行资源
经管责任的手段。经管责任的手段。
公司治理从股东赋予董事、董事赋予经营者一定的责任开公司治理从股东赋予董事、董事赋予经营者一定的责任开
始。始。
责任的赋予需要在控制和经管责任框架下进行：控制系统责任的赋予需要在控制和经管责任框架下进行：控制系统
保证责任已得到恰当的定义，工作的分派符合责任和经管保证责任已得到恰当的定义，工作的分派符合责任和经管
责任的定义。责任的定义。
内部控制和内部控制审计
有效的内部控制不仅为财务报告的可靠性提供合理的保证，有效的内部控制不仅为财务报告的可靠性提供合理的保证，
而且还保证资产不受舞弊和错误的侵蚀以及企业对法律的而且还保证资产不受舞弊和错误的侵蚀以及企业对法律的
遵守。遵守。
经营者对建立健全内部控制所抱有的态度反映了经营者对经营者对建立健全内部控制所抱有的态度反映了经营者对
资产保全和财务报告的态度。资产保全和财务报告的态度。
内部控制审计通过分析内部控制是否存在缺陷，并据以判内部控制审计通过分析内部控制是否存在缺陷，并据以判
断是否存在错报以及错报的类型，可以确认经营者是否诚断是否存在错报以及错报的类型，可以确认经营者是否诚
实地履行了受托责任。实地履行了受托责任。
高水平的合理保证
现代财务报表审计的证明逻辑是，通过证明现代财务报表审计的证明逻辑是，通过证明55大会计认定大会计认定
的成立或者不成立，间接地证明财务报表公允性是否成立。的成立或者不成立，间接地证明财务报表公允性是否成立。
围绕围绕55大会计认定展开的审计具体目标能否为公允性命题大会计认定展开的审计具体目标能否为公允性命题
提供证实证据，有赖于内部控制制度的有效性。提供证实证据，有赖于内部控制制度的有效性。
内部控制审计通过确认内部控制的防止、发现错误和舞弊内部控制审计通过确认内部控制的防止、发现错误和舞弊
的功能，有助于财务报表审计提供高水平的合理保证。的功能，有助于财务报表审计提供高水平的合理保证。
AS#2-2和27
担任公司年报审计的审计人必须测试并报告经营者对财务担任公司年报审计的审计人必须测试并报告经营者对财务
报告内部控制的评价，报告内部控制的评价，
由于财务报表审计中所获得的信息对审计人的有关财务报由于财务报表审计中所获得的信息对审计人的有关财务报
告内部控制有效性的结论具有潜在的重要性，审计人不可告内部控制有效性的结论具有潜在的重要性，审计人不可
以只审计财务报告内部控制而不审计财务报表。以只审计财务报告内部控制而不审计财务报表。
AS#2-146
内部控制审计中了解内部控制是为了对经营者的内部控制内部控制审计中了解内部控制是为了对经营者的内部控制
评价发表意见。评价发表意见。
财务报表审计中了解内部控制是为了评估控制风险最终形财务报表审计中了解内部控制是为了评估控制风险最终形
成对财务报表的意见。成对财务报表的意见。
内部控制审计和财务报表审计可以共同执行相应的程序以内部控制审计和财务报表审计可以共同执行相应的程序以
获得对内部控制的了解。获得对内部控制的了解。
AS#2-146：147
内部控制审计中审计人为了对时点上的内部控制的有效性内部控制审计中审计人为了对时点上的内部控制的有效性
发表意见，需要获取足以判断内部控制是否有效运行的覆发表意见，需要获取足以判断内部控制是否有效运行的覆
盖某一段时期的证据。盖某一段时期的证据。
为了对作为整体的内部控制的有效性发表意见，需要获取为了对作为整体的内部控制的有效性发表意见，需要获取
与所有重要的财务报表项目和披露相关的认定相对应的控与所有重要的财务报表项目和披露相关的认定相对应的控
制活动是否有效的证据。制活动是否有效的证据。
AS#2-150
财务报表审计为了评估特定财务报表认定的控制风财务报表审计为了评估特定财务报表认定的控制风
险，审计人需要获取审计人拟予以信赖的控制活动在整个险，审计人需要获取审计人拟予以信赖的控制活动在整个
期间的运行有效性的证据。但是审计人不需要评估所有相期间的运行有效性的证据。但是审计人不需要评估所有相
关认定的控制风险。关认定的控制风险。
AS#2-149，151
审计人出于控制风险评估目的推断控制活动的有效性时，审计人出于控制风险评估目的推断控制活动的有效性时，
应评估内部控制审计目的下的其他控制测试的结果。对这应评估内部控制审计目的下的其他控制测试的结果。对这
些结果的考虑可能要求审计人改变实质性测试的性质、时些结果的考虑可能要求审计人改变实质性测试的性质、时
间和范围，计划和实施追加控制测试，特别是当追加控制间和范围，计划和实施追加控制测试，特别是当追加控制
测试与识别控制缺陷有关时。内部控制审计也应该吸收追测试与识别控制缺陷有关时。内部控制审计也应该吸收追
加测试的结果。加测试的结果。
AS#2-152
不论财务报表审计中所评价的控制风险或者重要错不论财务报表审计中所评价的控制风险或者重要错
报的风险如何，审计人都必须对所有重要的财务报表项目报的风险如何，审计人都必须对所有重要的财务报表项目
和披露相关的认定执行实质性测试程序。出于内部控制审和披露相关的认定执行实质性测试程序。出于内部控制审
计的目的而执行的程序不可以减少对实质性测试的要求。计的目的而执行的程序不可以减少对实质性测试的要求。
AS#2-157
在内部控制审计中，审计人需要评估财务报表审计中在内部控制审计中，审计人需要评估财务报表审计中
执行实质性审计程序所得到的发现对内部控制有效性的影执行实质性审计程序所得到的发现对内部控制有效性的影
响。这种评估包括：响。这种评估包括：
与选择和应用实质性程序有关的风险评估，特别是与舞弊与选择和应用实质性程序有关的风险评估，特别是与舞弊
考虑有关的风险考虑有关的风险;;
与非法活动以及关联方交易有关的发现；与非法活动以及关联方交易有关的发现；
反映经营者在进行会计估计和选择会计政策上的偏向的信反映经营者在进行会计估计和选择会计政策上的偏向的信
号；号；
实质性程序所发现的错报。根据错报的范围审计人有可能实质性程序所发现的错报。根据错报的范围审计人有可能
改变对控制有效性的判断。改变对控制有效性的判断。
PCAOB框架
识别财务报表中所包含的重要认定
文档化上述认定所对应的控制活动
评价文档化了的控制活动的建立健全
状况
内部控制审计的步骤
编制审计计划；编制审计计划；
评价评价经营者的内部控制评价过程；经营者的内部控制评价过程；
了解了解财务报告内部控制；财务报告内部控制；
测试和评价财务报告内部控制的测试和评价财务报告内部控制的设计设计有效性；有效性；
测试和评价财务报告内部控制的测试和评价财务报告内部控制的运行运行有效性；有效性；
形成关于形成关于::
① ①经营者的评价过程经营者的评价过程
② ②财务报告内部控制是否有效的财务报告内部控制是否有效的意见意见；；
编制审计报告。编制审计报告。
评价步骤
复核内部控制文件复核内部控制文件
复核经营者复核经营者的测试内部控制运行的程序的测试内部控制运行的程序
图表9-13 经营者的内部控制文档
与所有重要的与所有重要的F/SF/S项目相关的认定所对应的控制活动的设项目相关的认定所对应的控制活动的设
计，包括内部控制计，包括内部控制55要素，如控制环境和公司层次控制；要素，如控制环境和公司层次控制；
关于重要的交易如何开始、批准、记录、处理以及报告的关于重要的交易如何开始、批准、记录、处理以及报告的
信息；信息；
关于交易流程的足够信息用以识别因错误或舞弊引起的重关于交易流程的足够信息用以识别因错误或舞弊引起的重
要错报可能发生的环节；要错报可能发生的环节；
为预防或发现舞弊而设计的控制活动，包括控制活动的执为预防或发现舞弊而设计的控制活动，包括控制活动的执
行人以及相关职务的分离；行人以及相关职务的分离；
与期末财务报告过程有关的控制活动；与期末财务报告过程有关的控制活动；
与资产维护有关的控制活动；与资产维护有关的控制活动；
经营者的（内部控制）测试和评价结果。经营者的（内部控制）测试和评价结果。
复核经营者内部控制评价报告
经营者是否恰当地陈述了关于建立健全财务报告内部控制经营者是否恰当地陈述了关于建立健全财务报告内部控制
的责任？的责任？
经营者用于评价内部控制的框架是否合适？经营者用于评价内部控制的框架是否合适？
经营者关于内部控制有效性的评价中是否不存在重大的错经营者关于内部控制有效性的评价中是否不存在重大的错
报？报？
经营者的内部控制报告的表达方式是否符合格式要求？经营者的内部控制报告的表达方式是否符合格式要求？
所识别的财务报告内部控制中的重大缺陷，包括期间已纠所识别的财务报告内部控制中的重大缺陷，包括期间已纠
正的重大缺陷在内，是否得到恰当地披露？正的重大缺陷在内，是否得到恰当地披露？
图表9-14 经营者评价过程
决定要评价的控制项目
测量虚假反映的风险
决定评价的范围
评价控制的设计有效性
评价控制的运行有效性
确定重要的控制缺陷
评价发现事项
向审计人等传达发现事项
与所有重要的F/S项目的认定所对应的控制活动*
控制失败引起虚假反映的可能性
虚假反映的重要程度
其他有效控制实现相同控制目标的程度
根据重要性判断决定要评价的子公司和业务部门
评价手续：内部审计部门的测试、经营者指派的其他
人员的测试、作为监视活动组成部分的自我评价
评价范围：与所有重要的F/S项目的认定对应的控
制活动
发现事项是否合理、
是否支持经营对内部控制的评价
与所有重要的F/S项目认定对应的控制活动
关系到所有重要的财务报表项目和披露以及相关认定的开关系到所有重要的财务报表项目和披露以及相关认定的开
始、批准、记录、处理和报告的控制活动；始、批准、记录、处理和报告的控制活动；
关系到按照关系到按照CAAPCAAP选择和应用会计政策的控制活动；选择和应用会计政策的控制活动；
反舞弊程序和控制活动；反舞弊程序和控制活动；
包括信息技术的总体控制在内的、其他控制活动所依据的包括信息技术的总体控制在内的、其他控制活动所依据的
控制活动；控制活动；
关系到重要的非常规、非系统的交易的控制活动；关系到重要的非常规、非系统的交易的控制活动；
包括控制环境以及期末财务报告过程控制的公司层次的控包括控制环境以及期末财务报告过程控制的公司层次的控
制活动。制活动。
图表9-15 综合审计中内部控制评
价
固有风险评估固有风险评估
识别内部控制
记录对内部控制的了解
确定要测试的控制活动
是否信赖
内部控制
实施内部控制测试
评价内部控制的有效性
记录测试过程和结果
验证有无重大错报或漏报
对各个交易循环实施各项程序
经营背景的调查前年度
审计结果的研究 分析性程
序的应用舞弊可能性的判断内部控制5要素:
公司层次的控制
AC监督的有效性
重要的F/S项目和披露
重要的F/S认定和交易
了解期末财务报告过程
相关内部控制不存在
内部控制未有效运行
测试的成本效益差
设计实质性测试
no
yes
了解内部控制的目的
财务报表审计：财务报表审计：初步评价控制风险，据以决定暂定的测试初步评价控制风险，据以决定暂定的测试
范围并编入审计计划。范围并编入审计计划。
内部控制审计：内部控制审计：确定内部控制测试范围。确定内部控制测试范围。
图表9-16 确定要测试范围的程序
从财务报表层次开始
识别重要的会计账户
识别与每一个重要
账户相关的认定
识别重要的交易过程
和主要的交易类别
识别要测试的控制活动：
预防性的、发现性的
明确各个控制活动和重要
账户及认定的链接关系
应用穿行测试识别可能
产生错误或舞弊的环节
识别、了解、评价公司
层次控制的设计有效性
参考图表9-8
参考图表9-5
直接影响账户公允
反映的认定，如存
在或发生之于现金
账户、估价与分摊
之于折旧账户
主要类别：对财务报表很重要的交易。
重要过程：开始、批准、记录、处理和报
告。交易的过程
在识别重要账户、
相关认定以及重
要过程中识别可
能产生错误或舞
弊的环节；
确定业务处理控制
和控制目标、会计
认定的对应关系
错误或者舞弊可能发生的环节；
经营者导入的控制活动的性质；
控制活动对实现目标的重要性*
控制活动不能有效运行的风险
图表9-17 财务报表要素和业务循环
F/SF/S项目项目 总分类账总分类账 明细分类账明细分类账
业务循环业务循环
销售销售 购货购货 生产生产 工资工资 财务财务 财务报告财务报告
〈〈B/SB/S〉〉
货币资金货币资金
现金现金
本公司本公司 ○○ ○○ ○○
AA子公司子公司 ○○ ○○
银行存款银行存款 -- ○○ ○○ ○○ ○○
其他货币资金其他货币资金 -- ○○ ○○ ○○
跌价准备跌价准备 -- ○○
应收票据应收票据 应收票据应收票据 -- ○○ ○○
应收账款应收账款 应收账款应收账款
国内应收账款国内应收账款 ○○ ○○
国外应收账款国外应收账款 ○○ ○○
坏账准备坏账准备 ○○
预付账款预付账款 预付账款预付账款 -- ○○
存货存货
产成品产成品 -- ○○ ○○
存货跌价准备存货跌价准备 -- ○○
其他流动资产其他流动资产 内部往来内部往来 -- ○○ ○○
………………
控制目标
业务处理控制既有直接与会计认定相关的内容，也有间接业务处理控制既有直接与会计认定相关的内容，也有间接
地作用于会计认定成立的内容。地作用于会计认定成立的内容。
为了抑制财务报表的可靠性不成立的风险，除了直接与财为了抑制财务报表的可靠性不成立的风险，除了直接与财
务报告可靠性有关的会计认定以外，还必须设置保证内部务报告可靠性有关的会计认定以外，还必须设置保证内部
控制有效性的指标。控制有效性的指标。
控制目标：控制目标：
① ①完整性完整性……所有已发生的业务都得到了处理；所有已发生的业务都得到了处理；
② ②正确性正确性……已发生的业务都已及时地、正确地记录于恰已发生的业务都已及时地、正确地记录于恰
当的账户；当的账户；
③ ③有效性有效性……所有已记录的业务都是企业真实的业务、经所有已记录的业务都是企业真实的业务、经
过授权批准；过授权批准；
④ ④接近限制接近限制……限制未经授权的人接近资产和重要的记录。限制未经授权的人接近资产和重要的记录。
主要控制的确定
业务处理控制与会计认定的配比业务处理控制与会计认定的配比
业务处理控制与控制目标的配比业务处理控制与控制目标的配比
与会计认定和控制目标相对应的业务处理控制就是需要执与会计认定和控制目标相对应的业务处理控制就是需要执
行控制测试以核实其效果的主要控制。行控制测试以核实其效果的主要控制。
内部控制设计的有效性测试和评价
识别各个领域的控制目标；识别各个领域的控制目标；
识别满足各个控制目标的控制活动；识别满足各个控制目标的控制活动；
判断有效的控制活动是否能有效地防止或发现可能引起重判断有效的控制活动是否能有效地防止或发现可能引起重
要财务报表错报的错误或舞弊。要财务报表错报的错误或舞弊。
内部控制运行的有效性测试和评价
内部控制运行是否如设计的一样，执行控制活动的人是否内部控制运行是否如设计的一样，执行控制活动的人是否
拥有必要的授权和资质以有效地执行控制。拥有必要的授权和资质以有效地执行控制。
在财务报表审计中，内部控制运行有效性的测试包括内部在财务报表审计中，内部控制运行有效性的测试包括内部
控制是否在年度中持续运用的测试。控制是否在年度中持续运用的测试。
证据评价
经营者实施的评价的适当性经营者实施的评价的适当性
审计人自身对内部控制设计的评价和对内部控制运行有效审计人自身对内部控制设计的评价和对内部控制运行有效
性的测试的结果性的测试的结果
财务报表审计中执行实质性测试所获得的负面结果财务报表审计中执行实质性测试所获得的负面结果
所识别的控制缺陷所识别的控制缺陷
内部审计关于财务报告内部控制的报告内部审计关于财务报告内部控制的报告
图表9-20 内部控制缺陷的定义
Control DeficiencyControl Deficiency：由于控制活动的设计或运行上的原：由于控制活动的设计或运行上的原
因，经营者或者其员工在正常的业务执行过程中不能及时因，经营者或者其员工在正常的业务执行过程中不能及时
防止或发现错报的缺陷。防止或发现错报的缺陷。
Significant DeficiencySignificant Deficiency：影响企业根据一般公认会计原：影响企业根据一般公认会计原
则开始、记录、处理、汇总和报告财务和非财务信息的能则开始、记录、处理、汇总和报告财务和非财务信息的能
力的控制缺陷或者控制缺陷的组合，有这种缺陷的内部控力的控制缺陷或者控制缺陷的组合，有这种缺陷的内部控
制可能不能防止或发现财务报表错报。制可能不能防止或发现财务报表错报。
Material WeaknessMaterial Weakness：很可能导致不能防止或发现财务报：很可能导致不能防止或发现财务报
表错报的重要缺陷或者重要缺陷的组合。表错报的重要缺陷或者重要缺陷的组合。
图表9-21 内部控制缺陷及其重要程度判断
S缺陷
S缺陷
M缺陷
可能性
（likelihood）Remo
te
重要程度
（significance）
Material
Probabl
e
Immaterial
图表9-22 审计意见的类型
否定意见
有无M缺陷
公允反映否
审计范围是否受到限制？ 是否被审计企业设置的？
无保留意见
重要程度？
拒绝表示意见 保留意见
yes
yes
yes
no
no
no
内部控制评价是贯穿于整个审计期间的活动
期末审计中执行的审计程序是为了证明交易和账户期末审计中执行的审计程序是为了证明交易和账户
余额适当与否，但通过余额适当与否，但通过““记录和事实的核对记录和事实的核对””同时也使相同时也使相
关内部控制的运行情况得到了确认。关内部控制的运行情况得到了确认。
内部控制的评价是不断修正的过程
符合性测试得出与初步评价一样的结果，根据计划执行实符合性测试得出与初步评价一样的结果，根据计划执行实
质性测试；质性测试；
得出可靠程度比初步评价判断的更低，计划和执行更严密得出可靠程度比初步评价判断的更低，计划和执行更严密
的实质性测试；的实质性测试；
得出可靠程度比初步评价判断的要高，不能简单地根据该得出可靠程度比初步评价判断的要高，不能简单地根据该
结果调整实质性测试。结果调整实质性测试。
图表9-23 内部控制评价修正过
程 了解内部控制
是否信赖
内部控制
初步评估控制风险
初步评价
的风险高
吗
执行内部控制测试
初步评价
的结果合
理吗
确定控制风险的评价
计划实质性测试
要调低初
步
评价的结
果吗
No
不信赖内部控制
Yes
修正
中或低风险 （高风险）
No
No
Yes
文档化内部控制审计
对控制对控制55要素的了解和各个要素设计的评价；要素的了解和各个要素设计的评价；
用于确定重要项目和披露以及主要交易过程和类别的程序，用于确定重要项目和披露以及主要交易过程和类别的程序，
包括对执行测试的区域或者业务单位的确定；包括对执行测试的区域或者业务单位的确定；
重要项目和披露以及主要交易过程和类别内可能发生与相重要项目和披露以及主要交易过程和类别内可能发生与相
关财务报表认定有关错报的环节的识别；关财务报表认定有关错报的环节的识别；
审计人依赖其他人的工作的范围以及关于这些工作的完整审计人依赖其他人的工作的范围以及关于这些工作的完整
性和客观性的评价；性和客观性的评价；
对审计人在测试中发现的任何缺陷的评价；对审计人在测试中发现的任何缺陷的评价；
可能导致审计报告修改的其他发现。可能导致审计报告修改的其他发现。
内部控制评价结果文档化的方法
单纯地用单纯地用○○（业务处理控制的已建立健全或运行有效）或（业务处理控制的已建立健全或运行有效）或
者者××（业务处理控制的为建立或没有有效地运行）记述评（业务处理控制的为建立或没有有效地运行）记述评
价结果。价结果。
预先规定评分标准，对内部控制的实际状况进行打分，并预先规定评分标准，对内部控制的实际状况进行打分，并
确定目标分值，将实际得分与目标分值进行比较，差异表确定目标分值，将实际得分与目标分值进行比较，差异表
示需要改善或者加强的部分。示需要改善或者加强的部分。
图表9-24 内部控制设计评价的文件
编号编号 业务处理控制业务处理控制 文本种类文本种类
设计评价设计评价
缺陷缺陷
实际实际 目标目标 差异差异
11 凭证编制、登记、传递和管理规定的文档化。凭证编制、登记、传递和管理规定的文档化。 会计流程规定会计流程规定 22 44 22
虽有规定虽有规定
但未周知但未周知
22 总账记账人员和出纳人员的职务分工。总账记账人员和出纳人员的职务分工。 职务分工规定职务分工规定 44 44 00
33
以经过审核的发运凭证及经过批准的顾客订货单为依据以经过审核的发运凭证及经过批准的顾客订货单为依据
进行存货记录。进行存货记录。
发运凭证、订单发运凭证、订单 44 44 00
44
根据经过授权批准的销售价格、付款条件、运费和销售根据经过授权批准的销售价格、付款条件、运费和销售
折扣核对销售发票记录销售收入。折扣核对销售发票记录销售收入。
发运凭证、发运凭证、
订单、销售发票订单、销售发票
44 44 00
55 以经过授权赊购批准单为依据记录应收账款。以经过授权赊购批准单为依据记录应收账款。 赊购批准单赊购批准单 11 44 33
存在事后存在事后
授权授权
66
销售发票均经事先编号并已恰当地登记入账；销售发票均经事先编号并已恰当地登记入账；
发运凭证（或提货单）均经事先编号并已恰当地入账；发运凭证（或提货单）均经事先编号并已恰当地入账；
每月向顾客寄送对账单，对顾客提出的意见作专案追查。每月向顾客寄送对账单，对顾客提出的意见作专案追查。
订单订单 44 44 00
77
核对发货单和发运凭证，确认登记入账的销货数量确系核对发货单和发运凭证，确认登记入账的销货数量确系
已发货的数量。已发货的数量。
发运凭证、发运凭证、
库存报告库存报告
44 44 00
88 核对销货业务的分类是否恰当。核对销货业务的分类是否恰当。 会计科目表会计科目表 44 44 00
99
检查有无尚未开具收款账单的发货和尚未登记入账的检查有无尚未开具收款账单的发货和尚未登记入账的
销货业务。销货业务。
例外报告例外报告 44 44 00
1010 检查销货业务已经正确地记入明细账，并经正确汇总。检查销货业务已经正确地记入明细账，并经正确汇总。 会计程序会计程序 22 44 22
检查间隔检查间隔
过长过长
内部控制审计报告
记述内部控制、控制目标以及固有限制；记述内部控制、控制目标以及固有限制；
定义内部控制中存在的定义内部控制中存在的MM缺陷；缺陷；
记述所有发现的记述所有发现的MM缺陷；缺陷；
关于内部控制有效性的意见。关于内部控制有效性的意见。
内部审计
被审计单位的专门机构或人员对其内部控制的健全、被审计单位的专门机构或人员对其内部控制的健全、
有效，会计及相关信息的真实、合法、完整，资产的安全、有效，会计及相关信息的真实、合法、完整，资产的安全、
完整、经营绩效以及经营合规性等进行的检查、监督和评完整、经营绩效以及经营合规性等进行的检查、监督和评
价。价。””（（SAS#22—SAS#22—考虑内部审计的工作）考虑内部审计的工作）
有关内部控制审计的沟通
审计人应该在签发内部控制审计报告之前以书面审计人应该在签发内部控制审计报告之前以书面
形式向经营者和审计委员会报告审计中所发现的形式向经营者和审计委员会报告审计中所发现的SS缺陷和缺陷和MM
缺陷（缺陷（AS#2207-214AS#2207-214）。）。
Why
内部控制要素之一的监督活动包括生产职能中的日常监督内部控制要素之一的监督活动包括生产职能中的日常监督
和管理职能中的独立监督。和管理职能中的独立监督。
内部审计正是独立监督中的一个重要组成部分，是经营者内部审计正是独立监督中的一个重要组成部分，是经营者
用来监督会计系统和相关程序的手段。用来监督会计系统和相关程序的手段。
图表9-26 内部审计的基本结构
行 为
系统
过程
声明
经营者
业务
执行者
内部内部
审计人审计人 报告业务的执行状况、结果 就业务的执行建议、指导
因授权而产生的业务委托受托关系
审计的主题
证明/检验
指示
审计的主题
图表9-12 综合审计中内部控制评价过
程
了解了解
内部控制内部控制
实施测试程序实施测试程序
第1阶段
第2阶段 第3阶段
评价评价
内部控制内部控制
评估评估
控制风险控制风险
设计和执行设计和执行
实质性程序实质性程序
反
馈
