内部控制及其测评

内部控制及其测评

第一节内部控制概述

一、内部控制的含义

所谓内部控制，是指被审计单位为了维护资产的安全、完整，保证会计信息的真实、可靠，保证其管理或者经营活动的经济性、效率性和效果性并遵守有关法规，而制定和实施相关政策、程序和措施的过程。

内部控制是管理现代化的必然产物，它的产生和发展，促使审计工作从详细审计发展成为以测评内部控制为基础的抽样审计。

二、内部控制的作用

三、内部控制的分类

内部控制可以根据不同的标准进行分类：

1.按控制的目的，可以分为财产物资控制、会计信息控制和经营决策控制。

财产物资控制是指为了保护财产物资的安全完整所实施的控制。例如材料的验收和领用制度、固定资产的定期盘点制度等。

会计信息控制是指为保证会计信息的真实可靠所实施的控制。例如会计凭证的复核制度、会计记录的定期核对制度等。

经营决策控制是指为保证经营决策的贯彻执行所实施的控制。例如质量控制、计划控制等。

2.按控制的功能，可以分为预防式控制和察觉式控制。

预防式控制是指为防止错弊的发生所实施的控制。例如授权审批控制、职责分工控制等。

察觉式控制是指为了及时查明已发生的错弊所实施的控制。例如实物盘点、会计记录核对等。

3.按控制的时间，可以分为事前控制、事中控制和事后控制。

事前、事中、事后控制分别是指对某项业务在发生前、发生过程中和发生后所实施的控制。

四、内部控制的局限性

1.内部控制的设置和运行受制于成本效益原则；

2.内部控制一般仅针对常规业务活动而设置；

3.即使是设置完善的内部控制，也可能因有关人员的疏忽、误解和判断错误而失效；

4.内部控制可能因有关人员相互勾结、内外串通而失效；

5.内部控制可能因执行人员滥用职权或屈从于外部压力而失效；

6.内部控制可能因经营环境、业务性质的改变而削弱或失效。

第二节内部控制要素

内部控制由控制环境、风险评估、控制活动、信息与沟通和对控制的监督五个要素组成。

一、控制环境

控制环境是指对企业设置和实施内部控制有重大影响的因素的统称。包括以下内容：

1.管理当局的观念和经营风格。

2.组织结构。

3.董事会及其所属审计委员会。

4.责权配置。

5.员工的素质。

6.人力资源制度。

7.外部影响。

二、风险评估

风险评估是指企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定应对策略。

三、控制活动

控制活动是企业根据风险评估的结果，采用相应的控制措施，将风险控制在可承受度之内。控制活动贯穿于企业的所有层次和各个职能部门，是内部控制的主要组成部分。就一个企业来说，控制活动一般包括业务授权控制、职责分工控制、凭证与记录控制、实物控制和独立检查等内容。

授权可以是一般授权，也可以是特别授权。

一般授权是指经办常规业务的授权，如制定产品售价、顾客赊销限额的批准等。

特别授权是指超出常规范围的例外或特殊业务的授权，它意味着该项业务必须经过特别准许方可执行，如重大的资产购置、股票的发行等。

【例题·单选题】下列各项中，属于业务授权控制的是（）。

A.客户赊销限额的批准

B.表账证之间的定期核对

C.原材料采购和会计记录职责的分离

D.财产物资的专人保管制度

【正确答案】A

【答案解析】客户赊销限额的批准属于业务授权控制中的一般授权。

2.职责分工控制

职责分工控制要求互不相容的职责不应由一个人兼任，以减少发生错弊的可能性。主要的职责分工包括：

（1）业务的批准与执行相分工。例如，批准付款应与签发付款支票的职责相分离。

（2）业务的执行与记录相分工。如采购员、售货员不能同时兼任记账、出纳工作。

（3）各种会计责任之间相分工。例如，记录现金日记账的职责应与记录销售日记账的职责相分离，记录明细账、日记账的职责应与记录总账的职责相分离等。

（4）资产的保管与会计相分工。例如，出纳员不得既负责保管现金，又负责登记现金总账和应

（5）资产的保管与账实核对相分工。负责账实核对的人员应由保管资产以外的人员来担任。

（6）计算机信息系统部门内部，以及信息部门与使用部门之间的职责分工。信息部门内部应分离的职责包括：系统分析、程序设计、电脑操作和数据控制等，此外，信息部门在组织上应独立于使用部门。

3.凭证与记录控制

凭证是证明业务发生的证据，也是执行业务和记录业务的依据。企业应设计和使用适当的凭证和记录，以确保所有的资产均能得到恰当的控制，以及所有的经济业务均能得以全面、完整和准确的记录。

凭证与记录控制一般要求：（1）建立严格的凭证制度。（2）建立严格的簿记制度。（3）建立严格的定期核对、复核与盘点制度。

4.实物控制

实物控制是指对接触、使用资产和各种记录，均应当有适当的防范措施，以限制非相关人员接近资产或接近重要的记录，从而保护资产和记录的安全。

【例题·单选题】建立适当的防范措施以限制非相关人员接近资产或记录的控制活动属于（）。

A.业务授权控制

B.职责分工控制

C.凭证与记录控制

D.实物控制

【正确答案】D

5.独立检查

独立检查是指对已记录的经济交易和事项由具体经办人之外的独立人员进行核对或验证，以及对与该项业务相关的内部控制程序的履行情况进行检查。

四、信息与沟通

信息沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

企业必须建立一个良好的信息沟通系统。所谓良好的信息沟通系统，是指该系统不仅能确保企业中的各级管理层和员工及时取得他们在履行生产经营活动时所需的信息，而且能确保企业中的每个员工都清楚地知道其在企业中所承担的特定职务或所扮演的控制角色和所担负的责任。

就信息沟通系统的构成而言，它应包括会计系统、信息系统和传导机制等内容。

五、对控制的监督

对控制的监督是指由被审计单位内部特定人员对各项内部控制设计、职责及其履行情况的监督检查。它包括适当及时地评估内部控制的设置和执行情况，以及采取必要的纠正措施。

第三节内部控制测评

内部控制测评，是指审计人员通过调查了解被审计单位内部控制的设置和运行情况，并进行相关测试，对内部控制的健全性、合理性和有效性作出评价，以确定是否依赖内部控制和实质性审查的性质、范围、时间和重点的活动。

建立健全内部控制并保证其有效实施是被审计单位的责任。审计人员的责任是对内部控制的健全性和有效性进行评价。

一、内部控制测评的作用（了解）

内部控制测评在审计中的重要作用主要表现在以下几个方面：

1.评价被审计单位内部控制的健全性和有效性，据以确定会计和其他经济信息的可依赖性。

2.评估控制风险水平，据以确定对实质性审查的性质、范围、时间和重点的影响，为制定和修改审计方案提供科学依据。

3.减少审计工作量，节约审计成本，保证审计质量。

4.向被审计单位提出健全和加强内部控制的建议，帮助其提高经济效益。

二、内部控制测评的步骤和方法

审计人员进行内部控制测评分为下列四个步骤：

1.调查了解内部控制，并做出相应记录。

2.对内部控制进行初步评价，评估控制风险。

3.如果决定依赖内部控制，实施内部控制测试。

4.对内部控制进行再评价。

1.调查了解内部控制，并做出相应记录。

（1）询问。询问有多种方式：信函、调查问卷的书面方式，也可以面对面访谈、电话沟通等口头方式进行。

（2）检查。通过审查和翻阅被审计单位的相关文件、报告、内部管理手册、信息系统的技术文档和操作手册等，对被审计单位内部控制进行了解。

（3）观察。通过观察被审计单位有关业务活动及其场所、设施和有关内部控制的执行情况，加深对被审计单位内部控制的了解。

（4）追踪有关业务的处理过程。审计人员可以通过追踪一笔或者多笔交易的处理过程，来取得对被审计单位相关控制环节的了解，或印证已经取得的对内部控制的了解是否正确。此外，这种方法还可能获取部分内部控制运行有效性的审计证据。

审计人员对于被审计单位内部控制的调查结果，应该以书面形式记录或描述出来。常用的方法有文字说明法、调查表法和流程图法。（了解优缺点）

【例题·单选题】下列各项中，不属于内部控制调查方法的是（）。

A.查阅被审计单位的各项管理制度和相关文件

B.询问被审计单位的管理人员和其他相关人员

C.检查内部控制过程中生成的文件和记录

D.审查财务报表项目余额

【正确答案】D

【答案解析】审查财务报表项目余额不属于内部控制调查方法。

2.对内部控制进行初步评价，评估控制风险

审计人员在完成了对内部控制的调查了解之后，要对内部控制做出初步评价，以确定相应的审计应对措施。

初步评价的内容包括健全性和合理性两个方面：

（1）健全性评价。主要是评价应有的控制环节是否设置齐全。（有没有）

（2）合理性评价。主要是分析内部控制的布局是否合理，有无多余的和不必要的控制。（好不好）

经过初步评价，审计人员认为存在下列情形之一的，应当测试相关内部控制的有效性：

（1）某项内部控制设计合理且预期运行有效，能够防止重要问题的发生；

（2）仅实施实质性审查不足以为发现重要问题提供适当、充分的审计证据。

审计人员决定不依赖某项内部控制的，可以对审计事项直接进行实质性审查。

被审计单位规模较小、业务比较简单的，审计人员可以对审计事项直接进行实质性审查。

3.如果决定依赖内部控制，实施内部控制测试。

内部控制测试是为了确定内部控制的设计和执行是否有效而实施的审计程序。它是在调查了解内部控制设置状况的基础上，对其执行的有效性所进行的测试，因此也常被称为遵循性测试。（注意初步评价时针对健全性和合理性）

（1）内部控制测试的方式。内部控制测试可以采取两种方式：一是业务程序测试（简称业务测试），即选择若干具体的典型业务，沿着业务处理过程检查业务处理程序中的各项内部控制是否得到执行。这种测试常被看成是一种纵向的内部控制测试。二是功能测试，即针对某项控制的某个控制环节，选择若干时期的同类业务进行检查，查明该控制环节的处理程序在被审计期内是否按规定发挥了作用。这种测试常被看成是一种横向的内部控制测试。

（2）内部控制测试的范围。理论上讲，范围越大，提供的证据就越充分。但在审计实务中，内部控制测试的范围并不是越大越好，它要受到审计效率和审计成本的制约。

（3）内部控制测试的方法。审计人员可以通过检查、询问、观察、重新操作等方法来测试内部控制是否得到有效执行。（没提到分析、重新计算）

4.对内部控制进行再评价（4-4）

对内部控制的再评价，是指在初步评价的基础上，根据内部控制测试的结果对控制风险水平做出进一步评价，以确定完成审计工作所需执行的实质性审查的范围和重点。

控制风险的水平，可以用高、中、低的概念来表示，也可以将控制风险量化为百分比来表示。（会判断）

（1）低控制风险。此种情况表明内部控制健全且执行情况良好。审计人员可以较多地依赖、利用内部控制，并相应减少实质性审查的数量和范围。

（2）中等控制风险。此种情况表明内部控制比较健全，尚存在一定的薄弱环节或缺陷。审计人员应有保留地信赖该企业的内部控制。为减少审计风险，应扩大实质性审查的深度和广度，适当增加财务报表项目检查的数量和范围。

（3）高控制风险。此种情况表明内部控制设置极不健全，或虽设计了良好的内部控制，但却未予有效执行，从而导致经济业务和会计资料大部分失控。审计人员无法信赖该单位的内部控制。此时，审计人员通常要对经济业务和财务报表项目实施较为详细的实质性审查，以获得支持审计结论的足够证据。

若审计人员认为内部控制完全不能预防或发现错误，就应将控制风险定为100%。内部控制越有效，控制风险就越低。

【例题·单选题】社会审计人员在财务报表审计中对内部控制进行初评后，认为应该测试内部控制有效性的情况是（）。

A.内部控制的设置极不健全

B.内部控制风险极低

C.内部控制风险较高

D.难以对内部控制的健全性做出评价

【正确答案】B

三、内部控制测评结果的利用

1.确定实质性审查的性质、范围、重点和方法。

这是审计人员运用内部控制、实施内部控制测试的直接原因，也是制度基础审计模式的要求。

（1）确定实质性审查的性质。方法选择。

（2）确定实质性审查的范围。通常情况下，在控制评价所认定的失去控制和控制薄弱的业务系统或业务环节，固有风险较大的经济业务都应当纳入实质性审查的范围。

（3）确定实质性审查的重点。确定实质性审查重点领域时应考虑以下三个方面：一是缺少内部控制的重要业务领域；二是内部控制设置不合理、控制目标不能实现的领域；三是内部控制没有发挥作用的领域。

（4）确定实质性审查的方法。对于列入审计重点的项目，一般应采用详细审计的方法；对于列入审计范围的非重点业务，一般应采用抽样审计方法，选择较大规模的样本进行审查；对于未列入审计重点和审计范围的业务，一般可以选择较小规模的样本进行略查，或者不作检查。

2.提出改进内部控制的建议。