第八章内部控制及其测试

实质性程序
实质性程序是指注册会计师针对评估的重 大错报风险实施的直接用以发现认定层次 的重大错报而实施的审计程序。 无论评估的重大错报风险结果如何， 注册会计师都应当针对所有重大交易、账 户余额、列报实施实质性程序。

案例分析


1.恒丰有限公司财务处的三名会计人员要完成以下几项 工作：（1）记录并保管总账；（2）记录并保管应付 账款明细账；（3）记录并保管应收账款明细账；（4） 保管、开具支票，以便主管人员签章；（5）开具销售 退回及折让的贷项通知单，以便主管人员签章；（6） 编制银行存款余额调节表；（7）保管并送存所收入的 现金；（8）记录并保管现金、银行存款日记账。者三 名会计人员均具有相当的业务能力，除了编制银行存 款余额调节表、开具销售退回及折让的贷项通知单工 作量较小外，其他几项会计工作量基本相当。 讨论：如何将上述几项工作分配给这三名会计人员， 使其符合内部控制的要求，并使三人的工作量均衡。
了解并评价内部控制



了解内部控制的程序 1.询问被审计单位有关人员，并查阅相关内部控 制文件。 2.观察特定控制的运用状况。 3.检查内部控制生成的文件和记录。 4.追踪交易在财务报告信息系统中的处理过程， 即执行穿行测试。是指在每类交易循环中选择一 笔或若干笔有代表性的业务，按流程进行测试。
1.在整体层面了解内部控制 （1）了解控制环境 （2）了解风险评估过程 （3）了解信息系统和沟通 （4）了解控制活动 （5）了解对控制的监督情况 2.在整体层面评价内部控制

在业务流程层面了解并评价内部控制
1.确定被审计单位的重要业务流程和重要 交易类别 2.了解重要交易流程并记录 3.确定可能发生错报的环节（关键控制点） 4.识别和了解相关控制并记录 5.执行穿行测试 6.初步评价内部控制

描述内部控制的方法
1.调查表法 是指将那些与保证会计记录的正确性和 可靠性，以及与保护资产的完整性有密切关 系的事项列为调查对象，制成标准化的调查 表格，由企业有关人员填写或由注册会计师 根据调查的结果自行填写的一种描述方法。 大多采用问卷式。

2.文字说明法 是指注册会计师书面描述被审计单位 内部控制的建立和执行情况。这种方法适 用于内部控制较简单，较容易描述的小企 业。
内部控制的要素


1.控制环境 包括治理职能和管理职能，以及治理层和 管理层对内部控制及其重要性的态度与认识， 它决定整个公司的控制基调和氛围。应从以下 方面着手了解： （1）对诚信和道德价值观念的沟通与落实； （2）对胜任能力的重视；（3）治理层的参与 程度；（4）管理层的理念和经营风格；（5） 组织结构及职权与责任的分配；（6）人力资源 政策与实务。

控制测试

含义：控制测试是注册会计师在调查了解 内部控制的基础上，为了评估内部控制设 计和执行的有效性而实施的审计程序，目 的在于决定内部控制的可信赖程度。
控制测试的适用情形

控制测试并非在任何情况下都需要实施，当存在下 列情况之一时才实施： 1.在评估的认定层次重大错报风险时，预期控制的 运行时有效的。这种测试主要是出于成本效益的考 虑，其前提是注册会计师通过了解内部控制以后认 为某项控制存在着被信赖和利用的可能。即只有认 为控制设计合理、能够防止或发现并纠正认定层次 的重大错报，注册会计师才有必要对控制运行的有 效性实施测试。 2.仅实施实质性程序获取的审计证据不足以提供认 定层次充分、适当的审计证据。
控制风险的初步评估
ห้องสมุดไป่ตู้


控制风险水平的确定 当出现下列情况之一时，将账户或交易类别的某 些或全部认定的控制风险评估为高水平：企业内 部控制失效；难以对内部控制的有效性作出评价； 注册会计师拟不进行控制测试。 对某项财务报表认定而言，如同时出现以下情况， 注册会计师则不应评价其控制风险处于高水平： 相关的内部控制可能防止、发现和纠正重大错报 或漏报；注册会计师拟进行控制测试。




3.信息系统与沟通 与财务报告相关的信息系统，包括用以生成、记录、 处理和报告交易、事项和情况，对相关资产、负债和 所有者权益履行经营管理责任的程序和记录。 与财务报告相关的信息系统包括下列职能： 识别与记录所有的有效交易 及时、详细地描述交易，以便在财务报告中对 交易作出恰当分类 恰当计量交易，以便在财务报告中对交易的金 额作出准确记录 恰当确定交易生成的会计期间 在财务报表中恰当列报交易 与财务报告相关的沟通包括使员工了解各自在与财务 报告有关的内部控制方面的角色和职责，员工之间的 工作联系，以及向适当级别的管理层报告例外事项的 方式。

3.流程图法 是用特定符号和图形来表示被审计 单位的业务处理程序，显示文件凭证在 组织机构内部的产生、传递、检查和保 存及其相互关系，是目前在国外审计工 作中广泛应用的一种方法。分别有垂直 （纵向）流程图和水平（横向）流程图。

对内部控制进行初步评价
1.内部控制的设计是否合理，即控制在重 要业务流程中单独或连同其他控制措施能 否有效地实现特定控制目标。 2.内部控制是否得到执行，即控制是否确 实存在，而且正在被使用。 3.是否更多地信赖控制并实施控制测试。
4.控制活动 是指有助于确保管理层的指令得以执行的政策 和程序，包括与授权、业绩评价、信息处理、实 物控制和职责分离等相关的活动。具体包括： （1）授权：一般授权（普遍适用于某类交易的或活 动的政策）和特别授权（针对特定交易或活动特 定设置的授权）；（2）业绩评价：（3）信息处 理，包括信息技术一般控制和应用控制；（4）实 物控制；（5）职责分离，对于不相容职责必须进 行分工负责，不能由一个人或一个部门完成整个 交易过程。
了解内部控制应注意的事项
1.合理确定了解内部控制所需执行的程序。 （1）被审计单位经营规模及业务复杂程度 （2）被审计单位数据处理系统类型及复杂 程度 （3）审计重要性 （4）相关内部控制的类型 （5）相关内部控制的记录方式 2.充分考虑内部审计的可利用性。

在被审计单位整体层面了解并评价 内部控制


2.风险评估过程 是指与提供财务报告有关的风险的识别、评估 和控制。与财务报告相关的风险包括能够影响一 个公司记录、分析、加工和报告财务报表数据的 事项和环境。引起风险的环境因素有： （1）监管及经营环境的改变；（2）新职员的加 入；（3）新信息系统的使用或原系统的更新； （4）公司的快速成长；（5）新技术的引进；（6） 新的生产线、新的产品或新的经营活动的出现； （7）公司重组；（8）跨国经营；（9）新的会计 准则或会计政策的采用。
控制测试的程序

控制测试与了解内部控制的目的不同， 但两者采用审计程序的类型通常相同。包 括询问被审计单位有关人员、实地察看内 部控制的运行情况、检查交易和事项的凭 证与记录、进行穿行测试。
控制测试的时间


注册会计师应根据控制测试的目的确定控制 测试的时间，并确定拟信赖的相关控制的时点或 期间。如果测试特定时点的控制，注册会计师仅 得到该时点控制运行有效性的审计证据；如果测 试某一期间的控制，注册会计师可获取控制在该 期间有效运行的审计证据。 注册会计师通常在期中，即被审计期间结束 前的某段时间执行控制测试。注册会计师还可考 虑利用以前审计获取道德审计证据。
评估控制风险


控制风险是指某项认定发生了重大错报，而 该项错报未被企业内部控制及时防止、发现和纠 正的可能性。控制风险的高低取决于与财务报表 有关的内部控制设计和运行的有效性。由于内部 控制存在固有的局限性，新的审计准则已不再单 独提到固有风险和控制风险，但这并不意味着， 注册会计师不可以单独对控制风险进行评估，特 别是在注册会计师拟高度依赖某一认定相关的内 部控制搜集审计证据时更有必要对内部控制的风 险水平进行评估。 控制风险评估分为初步评估和进一步评估。初步 评估在控制测试之前进行，而控制风险的进一步 评估在控制测试之后执行。
第八章 内部控制及 其测试
内部控制的概念



美国2004年发布的内部控制是企业风险管 理的组成部分，企业风险管理包括内部环境、 目标设定、事项识别、风险评估、风险应对、 控制活动、信息与沟通和监控八个相关的构成 要素。 我国注册会计师审计准则指出，内部控制是 被审计单位为了合理保证财务报告的可靠性、 经营的效率和效果以及对法律法规的遵守，由 治理层、管理层和其他人员设计和执行的政策 和程序。 其发展：内部牵制——内部控制制度——内部 控制结构——内部控制框架——企业风险管理
内部控制的类型
1.预防性控制：事前防范预计损失，如
客户信用审核、反担保机制
2.检查性控制：揭示已发生的损失，如
编制银行存款余额调节表、账龄分析
3.纠正性控制：改正已发现的问题, 4.指导性控制：导向有利的结果
对内部控制的认识



1.建立和健全内部控制并监督其有效执行是被 审计单位治理层和管理层的责任。 2.企业管理层是在综合考虑控制成本和效益的 基础上建立内部控制的，一些思想的控制措施 因为成本太高而未被采用。 3.内部控制存在着固有的局限性。无论如何设 计和执行，只能对财务报告的可靠性提供合理 的保证：包括：执行人错误；串通舞弊；管理 层凌驾控制；成本限制；例外事故失控；修订 跟不上变化。

2.较低的控制风险评估水平法。即假定内部 控制可依赖程度很高，注册会计师计划执 行更大范围的控制测试，而只执行有限的 实质性测试。
控制风险的进一步评估
注册会计师只有在已确认以下事项的 情况下，才能最终将控制风险评估为高水 平：控制政策和程序与认定不相关；控制 政策和程序无效；取得证据来评价控制政 策和程序不经济。 而注册会计师只有在确认控制政策和 程序与认定相关、通过控制测试已获得控 制有效证据的情况下，才能将控制风险评 估为低水平。