（内部管理）企业内部控
制管理指引
附件 3:
企业内部控制审计指引
第一章总则
第一条为了规范注册会计师执行企业内部控制审计业
务，明确工作要求，保证执业质量，根据《企业内部控制基
本规范》、《中国注册会计师鉴证业务基本准则》及相关执
业准则，制定本指引。
第二条本指引所称内部控制审计，是指会计师事务所
接受委托，对特定基准日内部控制设计与运行的有效性进行
审计。
第三条建立健全和有效实施内部控制，评价内部控制
的有效性是企业董事会的责任。按照本指引的要求，在实施
审计工作的基础上对内部控制的有效性发表审计意见，是注
册会计师的责任。
第四条注册会计师执行内部控制审计工作，应当获取
充分、适当的证据，为发表内部控制审计意见提供合理保
证。
注册会计师应当对财务报告内部控制的有效性发表审
计意见，并对内部控制审计过程中注意到的非财务报告内部
控制的重大缺陷，在内部控制审计报告中增加"非财务报告
内部控制重大缺陷描述段"予以披露。
第五条注册会计师可以单独进行内部控制审计，也可
将内部控制审计与财务报表审计整合进行(以τ简称整合审
计)。
在整合审计中，注册会计师应当对内部控制设计与运
行的有效性进行测试，以同时实现下列目标:
(一)获取充分、适当的证据，支持其在内部控制审计
中对内部控制有效性发表的意见。
(二)获取充分、适当的证据，支持其在财务报表审计
中对控制风险的评估结果。
第二章计划审计工作
第六条注册会计师应当恰当地计划内部控制审计工
作，配备具有专业胜任能力的项目组，并对助理人员进行适
当的督导。
第七条在计划审计工作时，注册会计师应当评价下列
事项对内部控制、财务报表以及审计工作的影响:
(一)与企业相关的风险。
(二)相关法律法规和行业概况。
(三)企业组织结构、经营特点和资本结构等相关重要
事项。
(四)企业内部控制最近发生变化的程度。
(五)与企业沟通过的内部控制缺陷。
(六)重要性、风险等与确定内部控制重大缺陷相关的
因素。
(七)对内部控制有效性的初步判断。
(八)可获取的、与内部控制有效性相关的证据的类型
和范围。
第八条注册会计师应当以风险评估为基础，选择拟测
试的控制，确定测试所需收集的证据。
内部控制的特定领域存在重大缺陷的风险越高，给予
该领域的审计关注就越多。
第九条注册会计师应当对企业内部控制自我评价工作
进行评估，判断是否利用企业内部审计人员、内部控制评价
人员和其他相关人员的工作以及可利用的程度，相应减少可
能本应由注册会计师执行的工作。
注册会计师利用企业内部审计人员、内部控制评价人
员和其他相关人员的工作，应当对其专业胜任能力和;客观
性进行充分评价。
与某项控制相关的风险越高，可利用程度就越低，注
册会计师应当更多地对该项控制亲自进行测试。
注册会计师应当对发表的审计意见独立承担责任，其
责任不因为利用企业内部审计人员、内部控制评价人员和其
他相关人员的工作而减轻。
第三章实施审计工作
第十条注册会计师应当按照自上而下的方法实施审计
工作。自上而下的方法是注册会计师识别风险、选择拟测试
控制的基本思路。
注册会计师在实施审计工作时，可以将企业层面控制
和业务层面控制的测试结合进行。
第十一条注册会计师测试企业层面控制，应当把握重
要性原则，至少应当关注:
(一)与内部环境相关的控制。
(二)针对董事会、经理层凌驾于控制之上的风险而设
计的控制。
(三)企业的风险评估过程。
(囚)对内部信息传递和财务报告流程的控制。
(五)对控制有效性的内部监督和自我评价。
第十二条注册会计师测试业务层面控制，应当把握重
要性原则，结合企业实际、企业内部控制各项应用指引的要
求和企业层面控制的测试情况，重点对企业生产经营活动中
的重要业务与事项的控制进行测试。
注册会计师应当关注信息系统对内部控制及风险评估
的影响。
第十三条注册会计师在测试企业层面控制和业务层面
控制时，应当评价内部控制是否足以应对舞弊风险。
第十四条注册会计师应当测试内部控制设计与运行的
有效性。如果某项控制由拥有必要授权和专业胜任能力的人
员按照规定的程序与要求执行，能够实现控制目标，表明该
项控制的设计是有效的。
如果某项控制正在按照设计运行，执行人员拥有必要
授权和专业胜任能力，能够实现控制目标，表明该项控制的
运行是有效的。
第十五条注册会计师应当根据与内部控制相关的风
险，确定拟实施审计程序的性质、时间安排和范围，获取充
分、适当的证据。与内部控制相关的风险越高，注册会计师
需要获取的证据应越多。
第十六条注册会计师在测试控制设计与运行的有效性
时，应当综合运用询问适当人员、观察经营活动、检查相关
文件、穿行测试和重新执行等方法。询问本身并不足以提供
充分、适当的证据。
第十七条注册会计师在确定测试的时间安排时，应当
在下列两个因素之间作出平衡，以获取充分、适当的证据:
(一)尽量在接近企业内部控制自我评价基准日实施测
试。
(二)实施的测试需要涵盖足够长的期间。
第十八条注册会计师对于内部控制运行偏离设计的情
况(印控制偏差)，应当确定该偏差对相关风险评估、需要获
取的证据以及控制运行有效性结论的影响。
第十九条在连续审计中，注册会计师在确定测试的性
质、时间安排和范围时，应当考虑以前年度执行内部控制审
计时了解的情况。
第四章评价控制缺陷
第二十条内部控制缺陷按其成因分为.计缺陷和运行缺
陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷。
注册会计师应当评价其识别的各项内部控制缺陷的严
重程度，以确定这些缺陷单独或组合起来，是否构成重大缺
陷。
第二十一条在确定一项内部控制缺陷或多项内部控制
缺陷的组合是否构成重大缺陷时，注册会计师应当评价补偿
性控制(替代性控制)的影响。企业执行的补偿性控制应当具
有同样的效果。
第二十二条表明内部控制可能存在重大缺陷的迹象，
主要包括:
(一)注册会计师发现董事、监事和高级管理人员舞
弊。
(二)企业更正已经公布的财务报表。
(三)注册会计师发现当期财务报表存在重大错报，而
内部控制在运行过程中未能发现该错报。
(四)企业审计委员会和内部审计机构对内部控制的监
督无效。
第五章完成审计工作
第二十三条注册会计师完成审计工作后，应当取得经
企业签署的书面声明。书面声明应当包括下列内容:
(一)企业董事会认可其对建立健全和有效实施内部控
制负责。
(二)企业已对内部控制的有效性作出自我评价，并说
明评价时采用的标准以及得出的结论。
(三)企业没有利用注册会计师执行的审计程序及其结
果作为自我评价的基础。
(囚)企业已向注册会计师披露识别出的所有内部控制
缺陷，并单独披露其中的重大缺陷和重要缺陷。
(五)企业对于注册会计师在以前年度审计中识别的重
大缺陷和重要缺陷，是否已经采取措施予以解决。
(六)企业在内部控制自我评价基准日后，内部控制是
否发生重大变化，或者存在对内部控制具有重要影响的其他
因素。
第二十四条企业如果拒绝提供或以其他不当理由回避
书面声明，注册会计师应当将其视为审计范围受到限制，解
除业务约定或出具无法表示意见的内部控制审计报告。
第二十五条注册会计师应当与企业沟通审计过程中识
别的所有控制缺陷。对于其中的重大缺陷和重要缺陷，应当
以书面形式与董事会和经理层沟通。
注册会计师认为审计委员会和内部审计机构对内部控
制的监督无效的，应当就此以书面形式直接与董事会和经理
层沟通。
书面沟通应当在注册会计师出具内部控制审计报告之
前进行。
第二十六条注册会计师应当对获取的证据进行评价，
形成对内部控制有效性的意见。
第六童出具审计报告
第二十七条注册会计师在完成内部控制审计工作后，
应当出具内部控制审计报告。标准内部控制审计报告应当包
括下列要素:
(一)标题。
(二)收件人。
(三)引言段。
(囚)企业对内部控制的责任段。
(五)注册会计师的责任段。
(六)内部控制固有局限性的说明段。
(七)财务报告内部控制审.意见段。
(八)非财务报告内部控制重大缺陷描述段。
(九)注册会计师的签名和盖章。
(十)会计师事务所的名称、地址及盖章。
(十一)报告日期。
第二十八条符合下列所有条件的，注册会计师应当对
财务报告内部控制出具无保留意见的内部控制审计报告:
(一)企业按照《企业内部控制基本规范》、《企业内
部控制应用指引》、《企业内部控制评价指引》以及企业自
身内部控制制度的要求，
在所有重大方面保持了有效的内部控制。
(二)注册会计师已经按照《企业内部控制审计指引》
的要求计划和实施审计工作，在审计过程中未受到限制。
第二十九条注册会计师认为财务报告内部控制虽不存
在重大缺陷，但仍有一项或者多项重大事项需要提请内部控
制审计报告使用者注意的，应当在内部控制审计报告中增加
强调事项段予以说明。
注册会计师应当在强调事项段中指明，该段内容仅用
于提醒内部控制审计报告使用者关注，并不影响对财务报告
内部控制发表的审计意见。
第三十条注册会计师认为财务报告内部控制存在一项
或多项重大缺陷的，除非审计范围受到限制，应当对财务报
告内部控制发表否定意见。
注册会计师出具否定意见的内部控制审计报告，还应
当包括下列内容:
(一)重大缺陷的定义。
(二)重大缺陷的性质及其对财务报告内部控制的影响
程度。
第三十一条注册会计师审计范围受到限制的，应当解
除业务约定或出具无法表示意见的内部控制审计报告，并就
审计范围受到限制的情况，以书面形式与董事会进行沟通。
注册会计师在出具无法表示意见的内部控制审计报告
时，应当在内部控制审计报告中指明审计范围受到限制，无
法对内部控制的有效性发表意见。
注册会计师在已执行的有限程序中发现财务报告内部
控制存在重大缺陷的，应当在内部控制审计报告中对重大缺
陷作出详细说明。
第三十二条注册会计师对在审计过程中注意到的非财
务报告内部控制缺陷，应当区别具体情况予以处理:
(一)注册会计师认为非财务报告内部控制缺陷为一般
缺陷的，应当与企业进行沟通，提醒企业加以改进，但无需
在内部控制审计报告中说明。
(二)注册会计师认为非财务报告内部控制缺陷为重要
缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒
企业加以改进，但无需在内部控制审计报告中说明。
(三)注册会计师认为非财务报告内部控制缺陷为重大
缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒
企业加以改进;同时应当在内部控制审计报告中增加非财务
报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实
现相关控制目标的影响程度进行披露，提示内部控制审计报
告使用者注意相关风险。
第三十三条在企业内部控制自我评价基准日并不存
在、但在该基准日之后至审计报告日之前(以下简称期后期
间)内部控制可能发生变化，或出现其他可能对内部控制产
生重要影响的因素。注册会计师应当询问是否存在这类变化
或影响因素，并获取企业关于这些情况的书面声明。
注册会计师知悉对企业内部控制自我评价基准日内部
控制有效性有重大负面影响的期后事项的，应当对财务报告
内部控制发表否定意见。
注册会计师不能确定期后事项对内部控制有效性的影
响程度的，应当出具无法表示意见的内部控制审计报告。
第七章记录审计工作
第三十四条注册会计师应当按照《中国注册会计师审
计准则第 1131号审计工作底稿》的规定，编制内部控制审
计工作底稿，完整记录审计工作情况。
第三十五条注册会计师应当在审计工作底稿中记录下
列内容:
(一)内部控制审计计划及重大修改情况。
(二)相关风险评估和选择拟测试的内部控制的主要过
程及结果。
(三)测试内部控制设计与运行有效性的程序及结果。
(囚)对识别的控制缺陷的评价。
(五)形成的审计结论和意见。
(六)其他重要事项。
附录:内部控制审计报告的参考格式
1.标准内部控制审计报告
内部控制审计报告
xx股份有限公司全体股东:
按照《企业内部控制审计指引》及中国注册会计师执
业准则的相关要求，我们审计了 xx股份有限公司(以下简
称 xx公司)xx年×月×日的财务报告内部控制的有效性。
一、企业对内部控制的责任按照《企业内部控制基本
规范》、《企业内部控制应用指引》、《企业内部控制评价
指引》的规定，建立健全和有效实施内部控制，并评价其有
效性是企业董事会的责任。
二、注册会计师的责任
我们的责任是在实施审计工作的基础上，对财务报告
内部控制的有效性发表审计意见，并对注意到的非财务报告
内部控制的重大缺陷进行披露。
三、内部控制的固有局限性
内部控制具有固有局限性，存在不能防止和发现错报
的可能性。此外，由于情况的变化可能导致内部控制变得不
恰当，或对控制政策和程序遵循的程度降低，根据内部控制
审计结果推测未来内部控制的有效性具有一定风险。
四、财务报告内部控制审计意见
我们认为 xx公司按照《企业内部控制基本规范》和相
关规定在所有重大方面保持了有效的财务报告内部控制。
五、非财务报告内部控制的重大缺陷
在内部控制审计过程中，我们注意到 xx公司的非财务
报告内部控制存在重大缺陷[描述该缺陷的性质及其对实现
相关控制目标的影响程度]。由于存在上述重大缺陷，我们
提醒本报告使用者注意相关风险。需要指出的是，我们并不
对 xx公司的非财务报告内部控制发表意见或提供保证。本
段内容不影响对财务报告内部控制有效性发表的审计意见。
xx会计师事务所中国注册会计师 xxx(签名并盖章)
(盖章)中国注册会计师 xxx(签名并盖章)
中国 xx市 xx年×月×日
2.带强调事项段的无保留意见内部控制审计报告
内部控制审计报告
xx股份有限公司全体股东:
按照《企业内部控制审计指引》及中国注册会计师执
业准则的相关要求，我们审计了 xx股份有限公司(以下简
称 xx公司)xx年×月×日的财务报告内部控制的有效性。
["一、企业对内部控制的责任"至"五、非财务报告内
部控制的重大缺陷"参见标准内部控制审计报告相关段落表
述。]
六、强调事项
我们提醒内部控制审计报告使用者关注，(描述强调事
项的性质及其对内部控制的重大影响)。本段内容不影响已
对财务报告内部控制发表的审计意见。
xx会计师事务所中国注册会计师 xxx(签名并盖章)
(盖章)中国注册会计师 xxx(签名并盖章)
中国 xx市 xx年×月×日
3.否定意见内部控制审计报告
内部控制审计报告
xx股份有限公司全体股东:
按照《企业内部控制审计指引》及中国注册会计师执
业准则的相关要求，我们审计了 xx股份有限公司(以下简
称 xx公司)xx年×月×日的财务报告内部控制的有效性。
["一、企业对内部控制的责任"至"三、内部控制的固
有局限性"参见标准内部控制审计报告相关段落表述。]
四、导致否定意见的事项
重大缺陷，是指一个或多个控制缺陷的组合，可能导
致企业严重偏离控制目标。
[指出注册会计师已识别出的重大缺陷，并说明重大缺
陷的性质及其对财务报告内部控制的影响程度。]
有效的内部控制能够为财务报告及相关信息的真实完
整提供合理保证，而上述重大缺陷使 xx公司内部控制失去
这一功能。
五、财务报告内部控制审计意见
我们认为，由于存在上述重大缺陷及其对实现控制目
标的影响，xx公司未能按照《企业内部控制基本规范》和
相关规定在所有重大方面保持有效的财务报告内部控制。
六、非财务报告内部控制的重大缺陷
[参见标准内部控制审计报告相关段落表述。]
xx会计师事务所中国注册会计师 xxx(签名并盖章)
(盖章)中国注册会计师 xxx(签名并盖章)
中国 xx市 xx年×月×日
4.无法表示意见内部控制审计报告
内部控制审计报告
xx股份有限公司全体股东:
我们接受委托，对 xx股份有限公司(以下简称 xx公司)
xx年×月×日的财务报告内部控制进行审计。
[删除注册会计师的责任段"一、企业对内部控制的责
任"和"二、内部控制的固有局限性"参见.准内部控制审.报
告相关段落表述。]
二、导致无法表示意见的事项
[描述审计范围受到限制的具体情况。]
四、财务报告内部控制审计意见
由于审计范围受到上述限制，我们未能实施必要的审
计程序以获取发表意见所需的充分、适当证据，因此，我们
无法对 xx公司财务报告内部控制的有效性发表意见。
五、识别的财务报告内部控制重大缺陷(如在审计范围
受到限制前，执行有限程序未能识别出重大缺陷，则应删除
本段)重大缺陷，是指一个或多个控制缺陷的组合，可能导
致企业严重偏离控制目标。
尽管我们无法对 xx公司财务报告内部控制的有效性发
表意见，但在我们实施的有限程序的过程中，发现了以下重
大缺陷:
[指出注册会计师已识别出的重大缺陷，并说明重大缺
陷的性质及其对财务报告内部控制的影响程度。]
有效的内部控制能够为财务报告及相关信息的真实完
整提供合理保证，而上述重大缺陷使 xx公司内部控制失去
这一功能。
六、非财务报告内部控制的重大缺陷
[参见标准内部控制审计报告相关段落表述。]
xx会计师事务所中国注册会计师 xxx(签名并盖章)
(盖章)中国注册会计师 xxx(签名并盖章)
中国 xx市 xx年×月×日
