第7章 内部控制及其评价与审计
内部控制系统
内部控制系统——是指一个单位的董事会、监事会、
经理层，为了实现其发展战略，提高经营活动的效
率，确保信息的正确可靠，保护财产的安全完整，
遵循相关的法律法规，利用单位内部因分工而产生
的相互制约、相互联系的关系，形成一系列具有控
制职能的方法、措施、程序，并予以规范化、系统
化，使之组成一个严密的、较为完整的体系。P136
内部控制的发展
⑴内部牵制阶段
20世纪40年代前使用内部牵制概念,其特点是:以任何个人
或部门不能单独控制任何一项或一部分业务权力的方式进
行组织的责任分工。内部牵制的执行分为四类:
①实物牵制；②机械牵制；③体制牵制；④簿记牵制。
⑵内部控制阶段
1949年美国注册会计师协会的审计程序委员会对内部控制
首次作出权威性定义:“内部控制包括组织机构的设计和
企业内部采取的所有相互协调的方法与措施,以保护企业
财产、检查会计信息的准确性、提高经营效率和推动企业
坚持执行既定的管理政策和规章制度。”
⑶ 会计控制和管理控制阶段
●1958年美国注册会计师协会将内部控制划分为会
计控制和管理控制。
●内部会计控制包括授权与批准制度、从事财务记
录和审核与从事经营或财产保管职务分离的控制、
财产的实物控制和内部审计。
●管理控制包括但不限于确保交易由管理当局授权
的组织结构、程序及有关记录,这些控制包括统
计分析、时效研究即工作节奏研究、业绩报告、
员工培训计划和质量控制。
⑷内部控制结构阶段
●1988年美国注册会计师协会发布公告,首次以“
内部控制结构”代替“内部控制”,指出“企业
的内部控制结构包括为提供取得企业特定目标的
合理保证而建立的各种政策和程序”。
●内部控制结构——是指为了对实现特定公司目标
提供合理保证而建立的一系列政策和程序构成的
有机整体,包括控制环境、会计系统及控制程序
三部分。
⑸内部控制整合框架阶段
●1996年美国注册会计师协会将内部控制定义为:
由一个企业的董事会、管理层和其他人员实现的
过程,旨在为下列目标提供合理保证:
①财务报告的可靠性;
②经营的效果和效率;
③符合适用的法律和法规。
●审计准则将内部控制划分为控制环境、风险评估、
控制活动、信息与沟通、监控五要素，使之成为一
个整体。
⑹内部控制整合框架——风险管理阶段
●2004年美国COSO委员会颁布《企业风险管理框架
》，将企业管理的重心由内部控制转向风险管理。
●COSO——是全国虚假财务报告委员会下属的发起人委员会（The
Committee of Sponsoring Organizations of The National
Commission of Fraudulent Financial Reporting）的英文缩写。
1985年，由美国注册会计师协会、美国会计协会、财务经理人协
会、内部审计师协会、管理会计师协会联合创建了反虚假财务报
告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决
之道。两年后，基于该委员会的建议，其赞助机构成立COSO委员
会，专门研究内部控制问题。
建立内部控制的必要性
⑴科学管理的要求
跨国经营管理幅度扩大，经营地点分散。
⑵法律法规的要求
建立有效的内部控制是企业应履行的一项法律责任，
检查和评价内部控制是年度财务报表审计必不可少
的内容。
⑶成本－效益原则的要求
客观上要求企业加强内部控制的因素有：
①避免违规；
②降低惩罚；
③减少欺诈；
④管理跨国公司风险；
⑤树立良好社会形象；
⑥加强政府管制。
●2002年美国公布实施《萨班斯—奥克斯利法案》，
要求上市公司必须提交年度内部控制自我评价报告，
并要求负责财务报表审计的会计师事务所审计财务
报告内部控制。
●控制不足可能导致财产损失、资源使用无效率、
违反法律法规、财务信息不实、无法实现企业目标
等；但控制过度又可能导致控制过程过分复杂、浪
费有限资源、压抑雇员积极性、降低顾客满意度等。
因此，企业必须依据成本－效益原则来选择使控制
总成本最小化的最优控制水平。
内部控制的目标和要素
⑴内部控制的目标
2008年我国《企业内部控制基本规范》提出的内部
控制目标包括：
①确保企业战略的实现；
②运营的效果和效率 ；
③财务报告的可靠性 ；
④资产的安全、完整；
⑤符合相关的法律和法规。
⑵内部控制的要素
2008我国《企业内部控制基本规范》提出的内部控
制包括内部环境、风险评估、控制活动、信息与沟
通、内部监督五要素。
①内部环境
内部环境是实施内部控制的基础，包括：
A.规范的公司治理结构和议事规则；
B.机构设置及权责分配；
C.审计委员会；
D.内部审计；
E.人力资源政策；
F.企业文化建设；
G.法律顾问制度及重大法律纠纷案件备案制度等。
②风险评估
A.内部风险识别
管理因素
●组织结构
●经营方式
●资产管理
●业务流程
安全环保因素
●营运安全
●员工健康
●环境保护
自主创新因素
●研究开发
●技术投入
●信息技术
财务因素
●财务状况
●经营成果
●现金流量
人力资源因素
●职业操守
●专业胜任能力
●团队精神
B.外部风险识别
经济因素
●经济形势
●产业政策
●融资环境
●市场竞争
●资源供给
法律因素
●法律法规
●监管要求
社会因素
●安全稳定
●文化传统
●社会信用
●教育水平
●消费者行为
行业技术因素
●技术进步
●工艺改进
自然环境因素
●自然灾害
●环境状况
C.风险应对策略
风险规避 企业对超出风险承受度的风险，通过放弃或者停止与该风险
相关的业务活动以避免和减轻损失的策略。
风险降低 企业在权衡成本效益之后，准备采取适当的控制措施降低风
险或者减轻损失，将风险控制在风险承受度之内的策略。
风险分担 企业准备借助他人力量，采取业务分包、购买保险等方式和
适当的控制措施，将风险控制在风险承受度之内的策略。
风险承受 企业对风险承受度之内的风险，在权衡成本效益后，不准备
采取控制措施降低风险或者减轻损失的策略。
③控制活动
控制活动是公司建立执行的政策章程，以确保管理
层的指示可以得到顺利贯彻执行。
不相容职务分离控制
财产保护控制
会计系统控制 运营分析控制
授权审批控制 预算控制
绩效考评控制
* 注释：摘自《企业内部控制基本规范》
控制
措施
④信息与沟通
信息与沟通是获取和交换信息的程序，以使企业能
够正常运行并得到适当的管理及控制。
A.及时准确的最新信息；
B.所有层次上对信息、期望和责任的沟通；
C.内部与外部的沟通。
信息的收集
► 财务会计资料
► 经营管理资料
► 调研报告
► 内部刊物
► 办公网络等渠道
► 行业协会组织/监管部门
► 社会中介机构
► 业务往来单位
► 市场调查
► 网络媒体等渠道
内
部
信
息
外
部
信
息
合理的筛选、核对、整合
可提高信息的有用性
建立信息与沟通制度
内部控制相关信息的收集
信息的处理与传递
信息的及时沟通
信息与沟通系统能及时识别、获取和交流信息，促使管理
层和其他员工履行其职责；科学合理的信息与沟通制度可促
进内部控制的有效运行。
⑤内部监督
A.内部控制监督制度
●内部控制监督制度是确保企业内部控制高效运行
的重要保障。
●企业应制定内部控制监督制度，明确内部审计机
构和其他内部机构在内部监督中的职责权限，规范
内部监督的程序、方法和要求。
B.内部控制缺陷认定标准
●内部控制缺陷包括设计缺陷和运行缺陷。
●企业应制定内部控制缺陷认定标准，分析监督中
发现的缺陷的性质和产生原因，提出整改方案，采
取适当的形式及时向董事会、监事会或经理层报告。
内部控制系统的种类
⑴内部控制系统按要素分类
①控制环境;
②风险评估;
③控制活动;
④信息与沟通;
⑤监控。
⑵内部控制系统按工作范围分类
①内部管理控制系统
——是以提高经营效率、工作效率为目的,用于行
政和业务管理方面的方法、措施和程序，如人事、
技术、质量检验等内部控制。
②内部会计控制系统
——是以保护财产物资和确保会计资料可靠性为目
的,用于会计业务和与之相关的其他业务管理方面
的方法、措施和程序，如成本费用、记账程序、货
币资金等内部控制。
⑶内部控制系统按建立的目的分类
①保护财产物资的内部控制系统
如材料验收入库与出库、机器设备维修等控制系统。
②保证会计资料可靠性和正确性的内部控制系统
以会计档案为对象，规定会计核算的组织形式、方
法和程序。如财产清查、成本计算、记账程序等控
制系统
③保证经济活动合法性和效益性的内部控制系统
以经济活动为对象，规定了经济活动必须遵守的规
范和程序及控制经济活动的方法和程序，包括行政
和业务部门的内部控制和会计部门的内部控制系统。
如材料采购、产品销售等控制系统。
⑷内部控制系统按控制方式分类
①预防性内部控制系统
——是指那些目的在于防止差错和舞弊行为发生而
设置的措施和程序，如开票与收款分离、开支票与
管印章分离等。
②察觉性内部控制系统
——是指当错弊行为发生后,能够立即自动发出信
号,并及时采取纠正或补救的方法、措施和程序，
如定期结账与对账、定期财产清查、定期轮岗等。
内部控制的内容
⑴合规、合法性控制
建立和健全企业内部控制系统必须符合国家财经政
策、法令和财经制度的规定,每一项经济业务活动
必须控制在合规、合法的范围内。
⑵授权、分权控制
企事业单位管理层不可能事必躬亲, 因此，必须将
事、权进行合理划分,对下级授权、分权,规定各级
人员处理某些事务的权力。在授权、分权范围内,
授权者或分权者有权处理有关事务;未经批准和授
权,不得处理有关经济业务。
⑶不相容职务控制
①不相容职务——指集于一人办理时，发生差错或
舞弊的可能性就会增加的两项或几项职务。P145
②经济业务处理的分工
即一项经济业务的全过程不应由一个人或一个部门
单独处理，应分割为若干环节，分属不同的岗位或
人员管理。
A.授权进行某项经济业务和执行该项业务的职务要分离；
B.执行某项经济业务和审查该项业务的职务要分离；
C.执行某项经济业务和记录该项业务的职务要分离；
D.记录某项经济业务与审核该项业务的职务要分离。
③资产记录与保管的分工
A.保管某项物资和记录该项物资的职务要分离；
B.保管物资与核对该项物资账实是否相符的职务要
分离；
C.记录总账和记录明细账的职务要分离；
D.登记日记账和登记总账的职务要分离；
E.贵重物品的仓库钥匙由两人分别持有。
④各职能部门具有相对独立性
各职能部门间是平级关系且分工明确。
《教材P168-169案例分析题1》(第二次作业)
《教材P168-169案例分析题1》解答：
上述应按以下方案进行分配才能达到最佳的内部控
制：一位职员负责⑴⑸⑹项工作；一位职员负责
⑵⑶项工作；一位职员负责⑷⑺项工作。
《案例0701不相容职务没有分离》
《案例0701不相容职务没有分离》解答：
⑴存在的问题有：
①部门负责人兼审批与支付职责于一身；
②部门负责人的汇总报销单由出纳人员审核支付并记录，
未交给会计人员审核。因此，存在的主要问题是不相容
职责没有分开，容易造成舞弊。
⑵改进建议：
①给予部门负责人一定的审批权，在授权范围内可直接批
准，超出授权范围由上级部门批准；
②部门内设专人保管并支付备用金，部门负责人只负责审
批；
③月终，编制汇总报销单，连同原始凭证一起交给财务部
门会计人员逐笔审核；
④会计人员审核同意，由出纳人员补齐备用金。
⑷业务程序标准化控制
为提高工作效率,企业一般将每一项业务活动划分
为授权、主办、核准、执行、记录和复核六个步骤。
有利于业务活动按照事先规定的轨道进行, 对业务
活动做到事前、事中和事后控制。
⑸复查核对控制
为保证会计信息的可靠性, 各项经济业务必须经过
复查核对，分两种:
①记录与所记事物相核实;
②记录之间相互复查核对。
⑹人员素质控制
内部控制是否有效,关键取决于实施内部控制人员
的素质。因此，必须对人员的选择、使用和培训采
取一定措施和办法，配备与承担的职务相适应的高
素质人员。
《案例0702库存现金内部控制》
《案例0702库存现金内部控制》解答：
⑴采取的内部控制措施为：①入场券连续编号；②售票与
收票由两人负责；③入场时检票员将票一撕两半，各执
一半；④票箱加锁。
⑵检票员收票时不撕票而将全票交给售票员重新出售；检
票员直接收款，而让交款者入场。
⑶观察售票员手中有无散票、旧票；突击抽查观众是否无
票或持旧票入场。
⑷严格控制未用入场券，记录每日每班第一张和最后一张
的编号；抽点库存现金；入场券加盖剧场的章和日期章；
不定期观察收票时有无持废票、旧票或无票入场的事情
发生。
《案例0703内部控制系统》
《案例0703内部控制系统》解答：
该子公司内部控制系统存在的主要漏洞有：
①登记账簿的原始凭证未经专人审核；
②没有根据原始凭证编制记账凭证；
③总账和明细账没有分开记录。
内部控制的固有限制★
⑴内部控制的设计和运行受制于成本与效益原则。
内部控制的每个环节都对企业有益，然而每一控制环节
都必然要发生成本。
⑵内部控制一般仅针对常规业务而设计，而对非常规业务
很难或没必要建立内部控制。
⑶可能因经营环境、业务性质的改变而削弱或失效。
⑷可能因执行人员素质而失效。
⑸可能因执行人员相互勾结、内外串通而失效。
⑹可能因执行人滥用职权或屈从于外部压力而失效。
由于内部控制存在这些固有限制，因此，审计人员要正确
看待内部控制的作用。
财务报告内部控制
内部控制对财务报告的影响
⑴内部控制系统的目标之一是保证财务报告的可靠
性，但保证财务报告的可靠性并不是内部控制系
统的全部，有效的内部控制系统只能合理保证财
务报告的可靠性。
⑵但没有内部控制系统的企业财务报告不一定不可
靠。
⑶而财务报告一旦不可靠，则企业的内部控制系统
必定无效。
财务报告内部控制的含义
⑴2002年美国证券交易委员会（简称SEC）首次解释了
财务报告内部控制——财务报告内部控制的目的
是确保公司设计的控制程序能为下列事项提供合
理保证：
●公司的业务活动经过合理的授权；
●保护公司的资产，避免未经授权或不恰当的使用；
●业务活动被恰当的记录并报告，从而保证上市公
司的财务报告符合公认会计原则的编报要求。
⑵2003年SEC发布最终规则认为：
财务报告内部控制——是指由公司的首席执行官、首席财
务官或行使类似职权的人员设计或监管的，受到公司董事
会、管理层和其他人员影响的，为财务报告的可靠性和满
足外部使用的财务报告编制符合公认会计原则提供合理保
证的控制程序，具体包括以下控制政策和程序：
●保持详细程度合理的会计记录，准确公允地反映资产的
交易和处置情况。
●为下列事项提供合理保证：公司对发生的交易进行必要
的记录，从而使财务报告的编制满足公认会计原则的要
求；公司所有的收支活动经过管理层和董事会的合理授
权。
●为防止或及时发现公司资产未经授权的取得、使用和处
置提供合理保证，这种未经授权的取得、使用和处置资
产的行为可能对财务报告产生重要影响。
被审单位管理当局对财务报告的认定与财务
报表项目审计的具体目标
⑴被审单位管理当局对财务报告的认定
管理当局对财务报告的认定——是指被审计单位管
理当局在其编制的财务报告中对各会计账项所做的
陈述或暗示。
财务报告中包含的有关管理当局的认定有：
①存在或发生的认定
资产负债表项目是否存在，利润表项目和交易是否
确实发生。
②完整性的认定
交易或项目是否完整，是漏列了有关交易或项目。
③权利和义务的认定
资产项目是否拥有所有权，负债项目是否应履行偿
还义务。
④估价或分摊的认定
列示的金额是否恰当。
⑤表达与披露的认定
有关项目的分类、核算内容、范围和披露是否正确。
⑵财务报表项目审计的具体目标
对财务报表进行审计就是对被审单位管理当局所作
的认定进行确认，确认其是否真实、合法和公允。
①真实性
陈述的内容是否真实、正确和确有其事。是对存在
或发生的认定的确认。
②完整性
陈述的内容是否全面完整，并无缺少。是对完整性
的认定的确认。
③所有权
资产是否确属被审单位所有，负债确有偿还义务。
是对权利和义务的认定的确认。
④估价
计价是否正确
⑤截止
截止——交易是否都已恰当的记入所属会计期间，
应计入本会计期间的会计事项是否均已记入。是实
质性测试中常用的一种具体审计技术，广泛应用于
货币资金、往来款项、存货、投资、营业收入和期
间费用等项目的审计。
⑥机械准确性
报表中的相关资料、数字、计算、合计及勾稽关系
是否正确。
④→⑥是对估价或分摊的认定的确认
⑦披露
是否恰当地反映了各会计账项的金额，并符合披露
要求，凡应揭示的，不应不予揭示。
⑧分类
分类和列示是否恰当。
⑦→⑧是对表达与披露的认定的确认。
《案例0501审计证据的辨认和财务报表项目审计的具体目标》
《案例0501审计证据的辨认和财务报表项目审计的具体目标》解答：
题号 审计证据 财务报表项目审计的具体目标
① 书面证据 机械准确性
② 实物证据 真实性与完整性
③ 口头证据 估价
④ 书面证据 真实性、所有权、估价和披露
⑤ 书面证据 所有权
⑥ 书面证据 披露、完整性
⑦ 书面证据 分类
⑧ 书面证据 截止
内部控制的描述
内部控制的描述是指采用一定的方法将内部控制的
现状以书面形式表现出来。内部控制描述方法有:
文字表述法
⑴文字表述法——审计人员对被审计单位内部控制
设计有效性和执行有效性所做的文字叙述。P150
《例P150产成品收发的内部控制》
⑵评价
①优点
比较灵活,可对被审单位内部控制的各个环节作出
比较深入和具体的描述,不受任何限制。
②缺点
有时很难用简明易懂的语言来详细说明各个细节,
因而显得比较冗赘,不利于为内部控制评价和控制
风险评价提供直接依据。
适用于任何类型、规模的单位,特别是内部控制不
健全、内部控制程序较简单和较容易描述的小企业。
调查表法
⑴调查表法——是将那些与保证会计记录的正确性
和可靠性以及与保证财产物资的完整性有密切关系
的事项列为调查对象,由审计人员设计成标准化的
调查表,并利用表格形式,通过询问来了解内部控制
的强弱程度。P151
表中的“问题”是针对内控是否严密、有效，综合
考虑各方面因素提出的。
调查表设：
①“是”栏：肯定；
②“否”栏：否定；
③“不适用”栏：该问题不适用被审单位；
④“备注”栏：资料来源及对有关问题的说明。
《例P151材料采购入库调查表》
⑵评价
①优点：简便易行，说明概括；反映问题较集中，
省时省力。
②缺点：表格固定，缺乏弹性，如被调查人员填表
不认真，将失去调查表的意义。
流程图法
⑴流程图法——是指用特定的符号和图形,将内部
控制中的各种业务处理手续,以及各种文
件或凭证的传递流程,用图解的形式直观
地表现内部控制的实际情况。P152
有纵向流程图和横向流程图两种方法。
《例P152-153材料收发业务横向流程图》
⑵评价
①优点
能够从整体上描述内部控制的特征和较快地发现逻
辑上的薄弱环节，便于评审和修改。
②缺点
编制较难且费时，不能明显地标明内部控制弱点，
对审计人员要求较高，故往往与其他两种方法结合
运用。
描述内部控制的三种方法并不是相互排斥的，是相
互依赖和相互补充的，可同时结合使用。
内部控制评价
应用指引
评价指引
审计指引
中国内部控制
标准体系
基本规范
控制标准
评价标准
内部控制评价的原则
⑴内部控制评价——是指企业董事会或类似权力机
构对内部控制的有效性进行全面评价，
形成评价结论，出具评价报告的过程。
P154
●建立健全和有效实施内部控制，评价内部控制的
有效性是企业董事会的责任。企业董事会应当对
内部控制评价报告的真实性负责。
⑵内部控制评价的原则
①全面性原则
评价工作应包括内部控制的设计与运行，涵盖企业
及其所属单位的各种业务和事项。
②重要性原则
在全面评价基础上关注重要业务单位、重大业务事
项和高风险领域。
③客观性原则
评价工作应准确地揭示经营管理的风险状况，如实
反映内部控制设计与运行的有效性。
内部控制评价的内容
⑴内部环境评价
以组织架构、发展战略、人力资源、企业文化、社
会责任等应用指引为依据，结合企业的内部控制，
对内部环境的设计及实际运行情况进行认定和评价。
⑵风险评估评价
以《企业内部控制基本规范》的要求及应用指引所
列主要风险为依据，结合企业内部控制，对日常经
营管理过程中的风险识别、风险分析、应对策略等
进行认定和评价。
⑶控制活动评价
以《企业内部控制基本规范》和应用指引中的控制
措施为依据，结合企业内部控制，对相关控制措施
的设计和运行进行认定和评价。
⑷信息与沟通评价
以相关应用指引为依据，结合企业内部控制，对信
息收集、处理和传递的及时性、反舞弊机制的健全
性、财务报告的真实性、信息系统的安全性及利用
信息系统实施内部控制的有效性等进行认定和评价。
⑸内部监督评价
以《企业内部控制基本规范》的要求及应用指引中
有关日常管控的规定为依据，结合企业内部控制，
对内部监督机制的有效性进行认定和评价，重点关
注监事会、审计委员会、内部审计机构等是否在内
部控制设计和运行中有效发挥监督作用。
内部控制评价的程序
企业可授权内部审计部门或专门机构（简称内部控
制评价部门）负责内部控制评价工作。
⑴制定评价工作方案
⑵组成评价工作组
【注意】为企业提供内部控制审计服务的会计师事
务所不得同时为同一企业提供内部控制评价服务。
⑶实施现场测试
运用个别访谈、调查问卷、专题讨论、穿行测试、
实地查验、抽样和比较分析等方法收集内部控制设
计和运行是否有效的证据，分析内部控制缺陷。
穿行测试——是指追踪交易在财务报告信息系统中
的处理过程，是注册会计师了解被审
单位业务流程及其相关控制时常用的
审计程序。
⑷认定控制缺陷
①内部控制缺陷包括设计缺陷和运行缺陷。
②内部控制缺陷按其影响程度分为：
A.重大缺陷——指一个或多个控制缺陷的组合，可能导致企业
严重偏离控制目标。
B.重要缺陷——指一个或多个控制缺陷的组合，其严重程度和
经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。
C.一般缺陷——指除重大缺陷、 重要缺陷之外的其他缺陷。
③以日常监督和专项监督为基础，结合年度内部控
制评价，由内部控制评价部门综合分析后提出认定
意见，按规定权限和程序审核后对内部控制缺陷予
以最终认定。
⑸汇总评价结果
评价工作组负责人应严格审核评价工作底稿，并对
评价结果签字确认后提交内部控制评价部门。
⑹编报评价报告
内部控制评价报告应分别内部环境、风险评估、控
制活动、信息与沟通、内部监督等要素进行设计，
对内部控制评价过程、内部控制缺陷认定及整改情
况、内部控制有效性的结论等作出披露。
公司年度内部控制评价报告应包括以下要素：
P156-157七点
①标题
统一为“××股份有限公司××年度内部控制评价
报告”
②收件人
统一为“××股份有限公司全体股东”
③引言段
说明评价工作的依据、内部控制评价报告基准日等。
④重要声明
说明董事会、监事会、董事、监事、高级管理人员
对内部控制及评价报告的责任，以及内部控制的目
标和固有局限性。
⑤内部控制评价结论
⑥内部控制评价工作情况
说明内部控制评价范围、评价工作依据、内部控制
缺陷认定标准、内部控制缺陷认定及整改情况。
⑦其他内部控制相关重大事项说明
内部控制评价报告范例
P157-160
【例】《东盛股份有限公司××年度内部控制评价报告》
一、重要声明
二、内部控制评价结论
三、内部控制评价工作情况
四、其他内部控制相关重大事项说明
内部控制审计
内部控制审计的含义
内部控制审计——是指会计师事务所接受委托，对
特定基准日内部控制设计与运行
的有效性进行审计。P160
●按照《企业内部控制审计指引》的要求，在实施审计工
作的基础上对内部控制的有效性发表审计意见，是注册
会计师的责任。
●对注意到的非财务报告内部控制重大缺陷，在内部控制
审计报告中应增加“非财务报告内部控制重大缺陷描述
段”予以披露。
●内部控制审计报告与内部控制评价报告应同时对外披露
或报送。
内部控制审计程序
整合审计
内部控制审计可以单独审计或整合审计
⑴整合审计——将内部控制审计与财务报表审计整
合在一起所进行的审计。
⑵整合审计应同时实现的目标
①获取充分、适当的证据，支持其在内部控制审计
中对内部控制有效性发表的意见。
②获取充分、适当的证据，支持其在财务报表审计
中对控制风险的评估结果。
内部控制审计的程序
⑴计划审计工作
注册会计师应对内部控制自我评价工作进行评估，
判断是否利用内部审计人员、内部控制评价人员和
其他人员的工作，相应减少可能由自己执行的工作。
⑵实施审计工作
应按照自上而下的方法（识别风险、选择拟测试控
制的思路）实施审计工作。测试内部控制设计与运
行的有效性。
①控制测试——又称符合性测试，是为了确定内部
控制政策和程序的设计与执行是否
有效而实施的审计程序。
●控制设计测试——确定被审单位的控制政策和程
序设计是否合理，是否能够防止、发
现和纠正特定报表认定的重大错报。
●控制执行测试——确定被审单位的控制政策和程
序是否发挥作用。主要查清该项控
制如何应用、是否一贯应用和谁应
用等问题。（控制执行的有效性）
● 注册会计师应综合运用询问适当人员、观察经
营活动、检查相关文件、重新执行和穿行测试等
方法测试控制设计与运行的有效性。
②实质性测试★
内部控制只能在一定程度上防止差错或舞弊，而不
能防止所有差错和舞弊。因此，在内部控制测试后
要对被审项目进行实质性测试，以收集足够的审计
证据。实质性测试是审计实施阶段必不可少的工作。
A.实质性测试——是对被审单位的会计信息及有关
经济信息的真实性、正确性进行审核，将
审核结果作为审计证据，形成审计结论。
也就是直接审查经济资料，将审查结果作为审计证
据，在此基础上形成审计意见。
B.实质性测试目的
取得足够的审计证据以便做出审计结论。
C.实质性测试的工作内容
实质性测试采用统计抽样法，包括以下工作：
a.盘点实物；
b.检查凭证；
审阅核对凭证，以确定账户余额的正确性。
c.核对账户余额；
总账与明细账余额，以确定报表数据的正确性。
d.核对账证、账账、账表、账实；
e.函证有关资产负债项目余额；
f.复核计算结果；
g.向有关人员询问；
h.比较重要的比率和指标、审阅购货合同和会计记录、
分析账簿中的内容等。
⑶评价控制缺陷
评价内部控制缺陷的严重程度，并结合企业实施的
补偿性控制（替代性控制）的影响，综合确定这些
缺陷单独或组合起来是否构成重大缺陷。
●表明内部控制可能存在重大缺陷的迹象有：
①董事、监事和高级管理人员舞弊。
②企业更正已公布的报表。
③报表存在重大错报而内部控制未发现该错报。
④企业审计委员会和内部审计对内部控制监督无效。
⑷完成审计工作
●完成审计工作后应取得企业的书面声明，如果企
业拒绝提供或以其他理由回避书面声明，应视为审
计范围受到限制，解除业务约定或出具无法表示意
见的内部控制审计报告。
●注册会计师应与企业沟通所有控制缺陷，并以书
面形式与董事会和经理层沟通重大缺陷和重要缺陷。
对获取的证据进行评价，形成对内部控制有效性的
意见。
●注册会计师对注意到的非财务报告内部控制缺陷，
应区别情况予以处理。
⑸出具审计报告
标准内部控制审计报告包括下列要素：
A.标题
统一为“内部控制审计报告”。
B.收件人
致送内部控制审计报告的对象（审计业务委托人），
写收件人全称。
C.引言段
应说明企业名称和内部控制已经审计，内容包括：
a.指出内部控制审计依据；
b.提及管理层对内部控制的评估报告；
c.指明内部控制的评估截止日期。
D.企业对内部控制的责任段
应说明：
按照《企业内部控制基本规范》、《企业内部控制应用指
引》、《企业内部控制评价指引》的规定，建立健全和有
效实施内部控制，并评价其有效性是企业董事会的责任。
E.注册会计师的责任段
应说明：
注册会计师在实施审计工作的基础上，对财务报告内部控
制的有效性发表审计意见，并对注意到的非财务报告内部
控制的重大缺陷进行披露。
F.内部控制固有局限性的说明段
应说明：
内部控制具有固有局限性，存在不能防止和发现错报的可
能性。此外，由于情况的变化可能导致内部控制变得不恰
当，或对控制政策和程序遵循的程度降低，根据内部控制
审计结果推测未来内部控制的有效性具有一定风险。
G.财务报告内部控制审计意见段
应说明：
××公司是否按照《企业内部控制基本规范》和相关规定
在所有重大方面保持了有效的内部控制。
H.非财务报告内部控制重大缺陷描述段
应说明：
在内部控制审计过程中，我们注意到××公司的非
财务报告内部控制存在重大缺陷（描述该缺陷的性
质及其对实现相关控制目标的影响程度）。由于存
在上述重大缺陷，我们提醒本报告使用者注意相关
风险。需要指出的是，我们并不对××公司的非财
务报告内部控制发表意见或提供保证。本段内容不
影响对财务报告内部控制有效性发表的审计意见。
I.注册会计师的签名和盖章
J.会计师事务所的名称、地址及盖章
K.报告日期
报告日期不应早于获取充分、适当的证据(包括管
理层认可对内部控制及评价报告的责任且已批准评
价报告的证据)并在此基础上对内部控制形成审计
意见的日期。
⑹关注期后事项
●在内部控制自我评价基准日(一般为12月31日)并
不存在、但在该基准日之后至审计报告日之前内部
控制可能发生变化，或出现其他可能对内部控制产
生重要影响的因素，注册会计师应询问是否存在这
类变化或影响因素，并获取企业的书面声明。
●对内部控制自我评价基准日内部控制有效性有重
大负面影响的期后事项的，应发表否定意见。
●不能确定期后事项对内部控制有效性的影响程度
的，应当出具无法表示意见的内部控制审计报告。
⑺记录审计工作
主要是编制内部控制审计工作底稿，内容包括：
①内部控制审计计划及重大修改情况。
②风险评估和选择拟测试内部控制的过程及结果。
③测试内部控制设计与运行有效性的程序及结果。
④对控制缺陷的评价。
⑤审计结论和意见。
⑥其他事项。
内部控制审计报告
根据对内部控制有效性的审计结论,可出具下列内
部控制审计意见之一的审计报告:
⑴无保留意见
⑵带强调事项段的无保留意见
⑶否定意见
⑷无法表示意见
●因保留意见信息含量较低,且与否定意见区分度
不清晰,故国际上没有保留意见内部控制审计报
告。
⑴无保留意见的内部控制审计报告
符合下列所有条件的，注册会计师应当出具无保留意见的
内部控制审计报告：
①企业按照《企业内部控制基本规范》、《企业内部控制
应用指引》、《企业内部控制评价指引》以及企业自身
内部控制制度的要求，在所有重大方面保持了有效的内
部控制。
②注册会计师已经按照《企业内部控制审计指引》的要求
计划和实施审计工作，在审计过程中未受到限制。
●出具无保留意见的审计报告应以“我们认为”作为意见
段的开头，并使用“在所有重大方面”、“保持了有效
的内部控制”等术语。
【例】《无保留意见的内部控制审计报告》P165-166
⑵带强调事项段的无保留意见内部控制审计报告
财务报告内部控制虽不存在重大缺陷，但仍有一项
或者多项重大事项需要提请内部控制审计报告使用
者注意的，应增加强调事项段予以说明。并指明该
段内容仅用于提醒审计报告使用者关注，并不影响
对财务报告内部控制发表的审计意见。
【例】《带强调事项段的无保留意见审计报告 》P166
⑶否定意见内部控制审计报告
财务报告内部控制存在一项或多项重大缺陷的，除
非审计范围受到限制，应对财务报告内部控制发表
否定意见。
内部控制审计报告还应包括下列内容：
①重大缺陷的定义。
②重大缺陷的性质及其对财务报告内部控制的影响
程度。
【例】《否定意见内部控制审计报告 》P167
⑷无法表示意见内部控制审计报告
●审计范围受到限制的，应解除业务约定或出具无
法表示意见的内部控制审计报告，并就受到限制
的情况以书面形式与董事会沟通。
●注册会计师应在内部控制审计报告中指明审计范
围受到限制，无法对内部控制的有效性发表意见。
【例】《无法表示意见内部控制审计报告 》P167-168
《教材P169-170案例分析题2》
《教材P169-170案例分析题2》解答：
E公司内部控制主要存在如下缺陷：
⑴对重大投资项目没有实行集体审议联签。
⑵对重大投资项目没有进行可行性研究。
⑶投资部门在没有经过必要的审批程序的情况下仍购入该
信托产品，且财会部门在事先知道没有签订投资合同的
情况下就支付购买款项，工作失职。
F公司内部控制主要存在如下缺陷：
⑴由同一个部门或个人办理销售与收款业务的全过程。
⑵疏于对境外公司销售收款的控制，致使销售收入不及时
入账或不入账，形成账外账。
⑶没有严格实行定期与客户核对往来款项，造成价款非法
转移。
G公司内部控制主要存在如下缺陷：
⑴人员任命没有履行必要的组织程序，人力资源政策存在
漏洞，内部环境有待完善。
⑵重大对外投资尤其是境外筹资没有进行风险评估，也没
有履行严格的报批程序和集体决策审批或联签程序。
⑶没有遵守严格的工程项目质量控制制度。
⑷没有建立必要的危机公关制度。
东方红股份有限公司总经理蒋某的发言有如下不当之处：
⑴搞内部控制可以不惜成本的说法有不当之处，公司建立
与实施内部控制应当坚持成本与效益原则。
⑵声明对公司建立与有效实施内部控制负责有不当之处，
公司董事会应负责内部控制的建立健全与有效实施。
⑶公司内部控制属于风险管理的组成部分的观点有不当之
处，公司内部控制与风险管理融为一体，不存在风险管
理涵括内部控制的问题。
东方红股份有限公司总会计师李某的发言有如下不当之处：
⑴领导小组由总经理任组长有不当之处，应由董事长任组
长。
⑵内部控制办公室设在财务部门有不当之处，应单设并涵
盖相关部门。
⑶财务部门对内部控制设计的有效性负责，审计部对内部
控制运行的有效性负责有不当之处，公司内部控制设计
和运行的有效性由董事会负责。
《教材P170案例分析题3》
《教材P170案例分析题3》解答：
⑴董事长孙某：
①“内部控制制度要绝对保证资产安全、经济效率提高、经营合法
合规”的说法是不合理的。理由：内部控制有其固有局限性，
只能是合理保证上述目标，而不是绝对保证。
②“文化建设，带不来明显的效益，所以可以不需要在这方面浪费
人力物力”不恰当。理由：企业文化控制属于内部控制制度建设
的重要组成部分，可以增强员工对企业的信心和认同感，形成整
体团队的向心力，促进企业长远发展。
⑵总经理张某：
“销售环节的控制可以减少”不恰当。理由：销售环节控制减少，
可能导致后期的坏账增加，使企业遭受欺诈。
⑶总会计师陈某：
“不应当考虑控制成本”不恰当。理由：建立内部控制制度应当
考虑成本效益原则。
⑷人力资源副总经理刘某：
“低端人才可不进行培训”不恰当。理由：企业应当建立
完整的人力资源内部控制，明确人力资源的培训计划，促
进全体人员的知识、技能持续创新，不得歧视低端人才。
⑸内部控制总监范某：
①“总经理应当每年组织一次对内部控制有效性的评价”
不恰当。理由：应当是董事会或类似权力机构对内部控制
的有效性进行评价。
②“评价报告主要是对内部控制设计的有效性进行评价”
不恰当。理由：评价报告是对内部控制有效性的评价，应
当包括内部控制设计的有效性和内部控制运行的有效性。
③“内部控制评价不应当考虑全面性”不恰当。理由：内
部控制评价应当在遵循全面性原则的基础上，确定需要评
价的重要业务单位、重大业务事项和高风险领域。
④“非财务报告内部控制缺陷不影响对内部控制是否有效
的评价”不恰当。理由：内部控制是否有效的评价，针对
的是整个企业，包含了财务报告的内部控制和非财务报告
的内部控制。非财务报告内部控制缺陷达到了重要程度，
同样不能认定该企业的内部控制是有效的。
⑤“评价报告经总经理最终审定后对外披露”不恰当。理
由：评价报告是董事会或类似权力机构定期对内部控制有
效性的评价，应当由董事会最终审定后对外披露或以其他
形式加以合理利用。
⑥“年度内部控制评价报告以11月30日为基准日”不恰当。
理由：年度内部控制评价报告属于定期报告，应当以12月
31日为基准，不得推迟或提前。
⑦“评价工作组成员应当主要来自内部审计部门、管理层
”不恰当。理由：评价工作组成员应当吸收企业内部相关
机构熟悉内部控制情况的业务骨干参加，且主要挑选具备
独立性、业务胜任能力和职业道德素养的评价人员。
⑹董事长孙某：
“由董事会定期组织有经验的管理层人员对内部控制进行
审计，并对内部控制的有效性发表审计意见”不恰当。理
由：内部控制审计是注册会计师接受委托实施的，对内部
控制的有效性发表审计意见是注册会计师的责任。
《教材P170-172案例分析题4》
《教材P170-172案例分析题4》解答：
⑴贵糖股份公司内部控制审计报告对贵糖股份内部控制评价报告的
影响有：
贵糖股份对内部控制评价的结论不应是设计与运行有效。可以描述
为：公司已经根据基本规范、评价指引及其他相关法律法规的要求，
对公司截至2012年12月31日的内部控制设计与运行的有效性进行了
自我评价。结合日常监督和会计事务所的审计情况，在内部控制评
价过程中，发现了我公司存在成本核算不够准确的问题。该缺陷严
重影响了2012年度财务报表的表达和披露。
⑵贵糖股份内部控制审计报告对贵糖股份财务报告审计报告的影响
有：
正常情况下，会计师事务所对贵糖股份财务报告审计不应发表无保
留审计意见。因为贵糖股份内部控制存在重大缺陷，特别是成本核
算不规范，必然导致财务报告的重大错报。审计人员可以通过实施
审计程序，要求贵糖股份对财务报告进行调整，但这种调整是基于
审计人员发现的重大错报，但对于未发现的重大错报无法提出调整
建议，因而难以确定贵糖股份财务报告是合法、公允的。
