解抓企业内部控制审计指引的三大技术亮点.docVIP

解抓《企业内部控制审计指引》的三大技术亮点 2012年03月22日 10:59 来源：《财务与会计》 2011年第9期 作者：唐建华 字号 打印 纠错 分享 推荐 浏览量 内容摘要： 关键词： 作者简介： 　　2010年4月26日，《企业内部控制审计指引》等内部控制基本规范配套指引发布，并自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市的公司施行。《企业内部控制审计指引》（以下简称《指引》）生效后，2001年发布的《内部控制审核指导意见》将废止。本文旨在从技术角度解析新旧规范的重大变化，供注册会计师执业时参考。 　　一、强调风险导向审计思路，重视风险评估的基础作用　　风险导向审计是风险管理思想在审计上的运用，风险的识别、评估和应对是风险管理思想的核心内容。将这一思想具体运用到财务报告内部控制审计中，就要求注册会计师以财务报告内部控制重大缺陷风险的识别、评估和应对作为审计工作的主线，在风险评估的基础上，将审计资源投放在高风险领域，以提高审计的效率和效果。 　　原有的《内部控制审核指导意见》更多是一些具体审计程序方面的规定，没有从审计方法论的高度进行规范。《指引》特别强调了风险导向审计思想，突出了风险评估的基础作用和对审计资源配置的导向作用。内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多，具体体现为以下几点： 　　首先，风险评估结果是确定重要账户（列报）和相关认定的依据。对于重要账户（列报）及相关认定，注册会计师需要将其纳入审计考虑的范围；对于不重要账户（列报）及不相关认定，注册会计师在审计时可将其剔除。如果某账户或列报具有合理可能性包含了一个错报，该错报单独或连同其他错报将对财务报表产生重大影响（需要同时考虑多报和少报的风险），则该账户或列报为重要账户或列报。如果某财务报表认定具有合理可能性包含了一个或多个错报，这个或这些错报将导致财务报表发生重大错报，则该认定为相关认定。是否具有合理可能性，与财务报表项目及附注的错报风险因素相关。这些因素包括该账户的规模和构成；易于发生错报的程度；账户中处理的或列报中反映的交易的业务量、复杂性及同质性；账户或列报的性质；与账户或列报相关的会计处理及报告的复杂程度；账户发生损失的风险；由账户或列报中反映的活动引起重大或有负债的可能性；账户记录中是否涉及关联方交易；账户或列报的特征与前期相比发生的变化；等等。 　　其次，风险评估是选择拟测试的控制的依据。《指引》第八条要求，注册会计师应当以风险评估为基础，选择拟测试的控制。注册会计师应当更多地关注高风险领域，而没有必要测试那些即使有缺陷也不可能导致财务报表重大错报的控制。 　　再者，风险评估是确定针对特定控制所需测试的性质、时间安排和范围的依据。《指引》第十五条要求，注册会计师应当根据与内部控制相关的风险，确定拟实施审计程序的性质、时间安排和范围，获取充分、适当的证据。审计程序的性质具体是指询问、观察、检查和重新执行等；审计程序的时间安排既包括测试内部控制所针对的期间（时间），也包括何时实施控制测试；审计程序的范围主要指测试的样本量。与内部控制相关的风险越高，注册会计师需要获取的证据应越多，可靠性要求越高。 　　第四，风险评估结果是确定在多大程度上利用被审计单位自我评价工作的依据。为避免重复劳动，《指引》鼓励注册会计师利用被审计单位的自我评价工作。但是《指引》第九条特别指出，与某项控制相关的风险越高，被审计单位内部审计人员、内部控制评价人员和其他相关人员工作的可利用程度就越低，注册会计师应当更多地对该项控制亲自进行测试。 　　最后，当被审计单位具有多个经营场所或业务单元时，风险评估结果还是确定测试范围的依据。如果某些经营场所或业务单元单独或连同其他经营场所或业务单元不具有合理可能性导致合并财务报表出现重大错报，注册会计师无需进一步考虑这些经营场所或业务单元。对风险较低的经营场所或业务单元，注册会计师可以首先评价，测试企业层面控制能否为注册会计师提供充分、适当的证据。如果能提供充分、适当的证据，注册会计师对这些经营场所或业务单元可以仅测试企业层面控制。如果某项风险具有合理可能性导致企业合并财务报表发生重大错报，注册会计师应当测试针对该项风险而实施的控制。 　　二、强调“自上而下”的审计思路　　企业内部控制包括整体和业务流程两个层面。业务流程层面的控制为应对交易和账户余额认定的重大错报风险而设计，通常在业务流程内的交易或账户余额层面上运行，其作用通常能够对应到具体某类交易和账户余额的具体认定。企业整体层面的控制通常为应对企业财务报表整体层面的风险而设计，或作为其他控制运行的“基础设施”，通常在比业务流程更高的层面上乃至整个企业范围内运行，其作用比较广泛，通常不局限于某个具体