内部审计手册

内部审计手册

Version 1.0

20**年1月1日

目录

1.导论............................................................................................ - 3 -

2.内部审计组织 ........................................................................... - 4 -

2.1. 内部审计组织架构 ................................................................ - 4 -

2.2. 职位说明 ................................................................................ - 5 -

2.3. 培训和发展 ............................................................................ - 6 -

2.4. 道德规范标准 ........................................................................ - 6 -

3.制定年度审计计划以及向审计委员会的汇报 ....................... - 8 -

3.1. 以风险为基础制定年度审计计划 ........................................ - 9 -

3.2. 年度审计计划流程图 ............................................................ - 9 -

3.3. 向审计委员会汇报 .............................................................. - 10 -

4.开展内部审计业务 ................................................................. - 11 -

4.1. 内部审计过程概述 .............................................................. - 13 -

4.2. 发起审计业务 ...................................................................... - 16 -

4.3. 审计计划阶段----外勤调查................................................. - 18 -

4.4. 审计实施阶段 ...................................................................... - 20 -

4.5. 审计报告阶段 ...................................................................... - 23 -

4.6. 审计的后续跟踪阶段 .......................................................... - 25 -

5.审计工作底稿 ......................................................................... - 25 -

5.1. 审计工作底稿的概述 .......................................................... - 25 -

5.2. 审计工作底稿的分类和索引 .............................................. - 26 -

5.3. 编制审计工作底稿 .............................................................. - 27 -

5.4. 复核审计工作底稿 .............................................................. - 28 -

5.5. 保存审计工作底稿 .............................................................. - 28 -

6.管理审计项目 ......................................................................... - 29 -

6.1. 制定单个项目预算和日程表 .............................................. - 30 -

6.2. 提供进度报告 ...................................................................... - 30 -

6.3. 预算执行总结 ...................................................................... - 30 -

7.审计质量控制 ......................................................................... - 31 -

8.附件.......................................................................................... - 33 -

附件1：审计通知书 .................................................................... - 34 - 附件2：调查备忘录 .................................................................... - 35 - 附件3：风险评估小结 ................................................................ - 36 - 附件4：项目审计计划 ................................................................ - 37 - 附件5：项目审计方案 ................................................................ - 38 - 附件6：审计执行底稿 ................................................................ - 39 - 附件7：审计发现记录 ................................................................ - 40 - 附件8：审计发现汇总清单 ........................................................ - 41 - 附件9：审计报告 ........................................................................ - 42 - 附件10：审计项目执行总结 ...................................................... - 44 - 附件11：审计质量反馈意见 ...................................................... - 46 - 附件12：员工工作汇报 .............................................................. - 47 - 附件13：每周进展报告 . (49)

附件14 工作底稿复核记录 (50)

1.导论

为建立健全集团内部审计制度，规范内部审计行为和提高内部审计质量，有效发挥内部审计在企业管理中的监督和服务作用。结合集团具体情况，特制定本手册。

内部审计手册的主要内容是为指导ABC的内审人员在审计计划、审计执行以及审计报告过程中如何开展有效地审计活动。

本手册的使用的基本前提是ABC内审人员具备基础的审计专业知识以及职业判断的能力。本手册没有涵盖所有与内部审计相关的知识，只是提供了内审人员在审计计划、执行以及报告阶段应该关注的主要问题。

2.内部审计组织

IIA《内部审计专业实务标准》的相关规定：

1210—熟练性：内部审计师应具备履行他们各自的职责所需要的知识、技能与其他能力。开展内部审计活动的全体人员应具有或获得履行其职责所需要的知识、技巧及其他能力

2000—管理内部审计活动：审计执行主管应有效地管理内部审计活动，确保内部审计活动为机构增加价值。

2030—资源管理:审计执行主管应确保内部审计资源的适当性、充分性及有效利用，以完成所通过的计划。

1230—继续职业发展:内部审计师应通过继续职业发展来增长知识、提高技能及他方面的能力。

2.1.内部审计组织架构

ABC内审部在业务上向审计委员会直接汇报，在行政上向集团组织的CEO报告。

目前内审部的机构组织图如下所示：

2.2.职位说明

审计部各职位的职责分别是：

2.2.1.审计总监

●为审计活动制定正确的审计制度和方法体系，不断提高审计工作质量和内部管

理

●负责制定并组织实施全面的年度审计计划，包括资金预算、日程安排和人员安

排

●检查、评估被审计单位资源利用以及政策遵循的有效性

●协调被审计单位的工作关系，针对审计发现的缺陷情况，和被审计单位沟通审

计意见，组织设计改善方案，并检查管理层的纠正行为。

●审核、批准审计报告

●向审计委员会和管理层汇报审计部门的工作情况

●全面负责内控审计团队的建设，包括人员内外部培训、日常业务考核

2.2.2.审计经理

在内审总监的领导下：

●合理规划每一审计项目，确保审计项目处于良好的控制、组织状态

●开展前期调查和风险评估，确定每一审计项目的工作方向和核心，明确审计目

标、范围和审计方法

●现场督导内部审计师，检查在审计实施过程中是否遵循的专业的准则

●获取、分析和评价审计资料，并以此为基础，开展相应的调查，确认导致缺陷

的因素，对用来纠正该缺陷的方法提出建议

●维护、保持和被审计单位的良好工作关系，向管理层提出口头或书面的陈述，

讨论所存在的缺陷，以及纠正缺陷的审计建议

●审查和编制审计报告

2.2.

3.审计师

在审计经理的领导下：

●协助审计经理，完成前期的调查准备工作

●积极参与制定审计方案，并根据审计方案，在规定的时间内，完成现场审计工

作

●在收集、记录、解释、分析审计信息过程中，遵循专业准则和职业道德

●适时向审计经理汇报潜在的、重大的审计发现

2.3.培训和发展

内部审计师应具有或获得履行其职责所需要的知识、技巧及其他能力，而且，还应随时了解审计领域的最新发展动态

ABC内审部采取多种方式，鼓励、支持内审人员的培训和发展，如定期举办员工讨论会议，举办内部培训项目，参加后续教育培训，参加专业组织举办的专项课题研讨会等。同时，我们也鼓励内审人员通过参加各种职业资格考试，不断提高自己的职业知识和技能。

此外，内审部门建立系统的业绩评估体系，用来评估内部审计人员的业绩表现。评估体系分成两部分：

1)每一项目完成后的评估：每一项目结束后，审计经理要对参与该项目的审计人员进

行评估，并将结果就是反馈给审计师。其目的是提醒表现不好的审计师注意其工作状况，知道自己的优点、缺点和进步，不断促使审计师改进自己对部门的贡献。2)年度检查评估：年度检查由内审部门总监负责，同时将评估意见和审计师面谈，以

讨论和促进审计师的未来发展。

2.4.道德规范标准

内部审计部门的员工有责任来保证其诚实正直、公正客观、保密性以及专业胜任能力。

内部审计人员的职业行为须遵照道德规范准则，做到：

1)本着公正、客观和勤勉的原则来履行义务和职责；

2)保持忠诚，拒绝参与不利于公司或违法的行为；

3)避免参与影响内部审计独立性，或是影响其客观履行职责的行为；

4)不接受被审计单位的任何礼品及业务招待，不参与被审计单位或个人安排的任何可

能影响审计独立性及公正判断的活动；

5)拒绝参与任何影响或可能影响其专业判断的行为；

6)谨慎使用在工作中所获得的信息，严禁将任何保密信息用于为任何个人牟利，或是

有害于公司利益的用途；

7)应当尽职地获取足够和确凿的证据来支持审计报告中的结论。应当在审计报告中完

整披露所获取的重要事实，特别是那些会歪曲审计报告结论的事实以及隐藏的违法行为；

8)只能参与知识，技能和经验方面均能胜任的审计项目；

9)持续致力于提高内部审计服务的熟练度和有效性。

3.制定年度审计计划以及向审计委员会的汇报

IIA《内部审计专业实务标准》的相关规定：

2010—计划：审计执行主管应该以风险为基础制度计划、以确定与组织目标相一致的内部审计活动重点。

2010—A1：内部审计部门的计划必须建立在有记录的风险评估基础上，并至少每年制定一次。在计划制定过程中，必须考虑高级管理层和董事会的意见。

2120—风险管理：内部审计活动必须评估风险管理过程的有效性，并对其改善做出贡献。

2120—A1：内部审计部门必须评估下列与组织治理、运营及信息系统相关的风险：

●财务和运营信息的可靠性和完整性；

●运营的效率与效果；

●资产的安全；

●对法律、法规及合同的遵循情况。

2130—控制：内部审计部门必须评估控制的效果和效率，并促进控制持续改进，从而协助组织维持有效的控制。

2060—向高级管理层和董事会汇报：审计执行主管必须定期向高级管理层和董事会报告内部审计活动的宗旨、权利、职责及其与计划有关的工作开展情况，报告中海必须包括重大风险披露和控制事项，其中包括舞弊风险、治理及其高级管理层和董事会需要或要求的其他事项。

3.1.以风险为基础制定年度审计计划

ABC审计部门每年要组织一次全面的企业风险评估，在此基础上，根据风险发生的可能性和对企业单个或者整体控制目标造成的影响程度，制定年度审计计划。以风险为基础，制定年度审计计划的目的是将审计重点关注在对企业发展有着重要作用的业务单元，减少风险对企业的影响。

3.2.年度审计计划流程图

以及流程、程序和系统有关的所有领域。

-

3.3. 向审计委员会汇报

内审部在每个季度向审计委员会进行工作汇报，包括计划的执行状态、每个审计项目的重大审计发现、原因分析、审计建议以及管理层的行动计划。

内审部每年向审计委员会提交年度总结报告，包括审计部门对机构组织的内部控制总体

状况、管理和经营状况的分析评价。

4.开展内部审计业务

IIA《内部审计专业实务标准》的相关规定：

IIA1200—熟练性与应有的职业审慎性：内部审计师应以熟练性与应有的职业审慎性开展审计业务。

1220—应有的职业审慎性：内部审计师应在工作中应用人们期望的谨慎、有能力的内部审计师所应具备的审慎与技能。应有的职业审慎性并不意味着永不出错。

1220.A1—内部审计师应考虑到以下几个因素，以应有的职业审慎性开展工作：

·为实现审计目标而需要开展的审计工作的范围；

·所要保证事项的相对复杂性、重大性和重要性；

·风险管理、控制与治理过程的充分性和有效性；

·严重错误、违规或不守法的概率；

·与潜在利益相对的审计成本。

2200-审计业务计划：内部审计师在开展每项审计业务时都应制定并记录审计计划，包括范围、目标、时间和资源分配。

2201—计划制定过程中应考虑的因素：在制定审计业务计划时，内部审计师应考虑到：·被评估活动的目标及对活动的实施进行控制的方式。

·被评估活动存在的风险、目标、资源与运营以及将风险的潜在影响控制在可接受水平

的方式。

·与相关的控制框架或模式相比较，该活动的风险管理与控制系统的充分性与有效性。·对该活动的风险管理与控制系统进行重大改进的机会。

2210-审计业务目标：每个审计业务都要建立目标。

2210.A1—内部审计师应该对被检查活动相关风险进行初步评估。审计业务工作的目标应该反映风险评估的结果。

2220—审计业务范围：划分的审计业务范围应足以实现审计业务目标。

2240—审计业务工作方案：内部审计师应制定实现审计业务目标的工作方案。应对这些工作方案予以记录。

2240.Al—工作方案中应规定在审计过程中查找、分析、评价和记录信息的程序。工作方案应在工作开始之前得到批准，方案的任何调整都应立即得到批准。

2300—开展审计业务：内部审计师应收集、分析、评价并记录足够的信息，实现审计业务目标。

2320—分析与评价：内部审计师应在适当的分析和评价的基础上得出审计结论和审计结果。

2330—记录信息：内部审计师应记录相关的信息，支持审计结论和审计结果。

2400—报告审计结果：内部审计师应及时报告审计结果。

2420-报告的质量：报告时要做到精确、客观、清晰、简洁、完整、及时、富有建设性。

4.1.内部审计过程概述

完整的内部审计过程可划分为计划、实施、报告和后续四个阶段:

●审计计划阶段

●审计实施阶段

●审计报告阶段

●后续跟踪审计阶段

下图说明了如何组织和开展内部审计的工作流程

计划阶段是有效执行审计工作的准备阶段，是指从确定审计项目开始，到制定出书面的审计方案为止的这一过程。计划阶段被认为是整个审计过程的起点，其工作的周密细致程度直接影响到项目审计工作的质量和效果。

在年度审计计划中，已经界定了每个审计项目的总体审计目标和范围。但是，这个审计业务的目标和范围一般而言，是比较广泛。在成本和时间的制约条件下，或者由于业务流程的改变，导致高风险领域有可能发生变化，因此在实施审计业务之前，审计经理必须对被检查活动相关风险重新进行检查评估，确定具体的审计目标和范围，从而确保有限的审计资源运用到对被检查活动业绩和管理有重大影响的领域。

在审计计划的最后阶段，审计经理应当明确审计什么（审计范围），为什么要审计（审计目标）以及怎么去审计（审计程序）。

4.2.发起审计业务

4.2.1.通知被审计单位

通常，内部审计部门在年初就应该将年度审计计划中确定的审计项目传达给被审计单位。在审计实施3天前，审计部门应该以邮件、传真或直接送交的方式，将审计业务通知书送达给被审计单位的适当管理层。

审计业务通知书（见附件1）应该告知被审计单位的管理层以下内容：

1)收件人：应该向被审计单位的适当管理层沟通。所谓的适当管理层是指对被审计业

务的直接负责人，如部门的总监或经理。在某些情况下，如果涉及到多个部门，则应该通知所有相关部门的直接负责人

2)审计目标和范围：应该清楚告诉被审计单位计划内的审计目标及涉及的范围；

3)审计预计开始日和计划持续时间：业务通知时应进可能让被审计单位了解审计的时

间安排。

4)负责执行审计的人员：让被审计单位的管理层知晓审计主管人员；

5)前期准备工作的需要：在外勤调查或去审计现场之前，应该列出任何所需的要求。审计业务通知书由审计经理负责起草，审计总监负责审核签发。

在正式的审计通知书签发后，审计经理应及时以电话的方式和被审计单位及时沟通，以确认被审计单位已经知悉审计通知书的内容，同时落实审计进程会议的时间。

4.2.2.组建审计团队

通常，内部审计部门在规划年度审计计划时，就需要考虑不同审计项目所需要的人力资源及其知识结构。在准备执行具体的审计项目时，选拔适当的审计人员仍是计划阶段必须予以考虑的重要问题。组建审计组没有固定的模式和标准，但是必须保证审计组成员的综合素质和能力能够最大限度地完成审计任务，满足审计质量管理的要求。在确定审计组的成员时，应考虑以下几个方面：

1)年度审计计划对人力资源、时间预算和费用预算的要求；

2)上一次审计对被审计单位内部控制状况的评价；

3)企业管理当局对该审计项目的一些特殊要求；

4)被审计单位的组织机构、人事、方针等内部控制环境方面发生的重大变化；

5)上一次审计的结果，尤其是对审计中发现的问题所采取的纠正行动及其效果；

6)某些特殊领域需要外部专家提供的服务和帮助。

4.2.3.召开计划会议

计划会议是在审计人员办公室里进行的项目审计的初始会议。审计组的全体成员都应该参加。计划会议的主要目的在于让审计组的成员知晓有关本次审计工作的一些相关事宜，明确计划阶段应完成哪些方面的准备工作，以保证整个审计工作在有效率和效果的方式下进行。为此，在计划会议上，应说明与完成本次审计任务相关的所有重要事项，包括介绍被审计单位或活动的基本情况，上一次或过去审计的结果，以及企业管理当局的一些特殊要求等等；同时，还应该初步确定并说明总的审计目标、范围和步骤；完成现场审计工作所需要的时间预算；内部审计人员的责任分工；需要外部专家提供帮助的内容和方式，需要被审计单位给予的帮助等。

4.2.4.举行审计进场会议

进场会议，是在内审工作实施开始的时候召集被审单位相关负责人、关键岗位人员与审计组成员就审计开展的相关事宜为内容的会议。

审计经理在进场会议中，应向被审计单位介绍：

1)审计团队的成员和各自的责任；

2)审计的目标和范围；

3)拟开展的审计活动和审计程序；

4)被审计单位的责任和需配合的事项；

5)其他有利于被审计单位了解内部审计的信息资料

如果被审计单位对审计的目标和范围有任何疑问，或者被审单位自认为可能存在的内部控制缺陷或风险，都可以在审计进场会议予以讨论。

审计进场会议，审计人员应该做较为详细的会议记录，最好由相关文员整理会议纪要并由到会的被审单位会议参加人员与审计组负责人签名确认，以形成有效的审计证据。

4.3.审计计划阶段----外勤调查

审计进场会议结束后，审计人员开始进入到外勤调查。外勤调查对于确定审计工作的方向。详细范围以及程度起到至关重要的作用，这是开展审计的首要步骤。外勤调查使审计人员熟悉、了解被审计单位的基本情况，收集和掌握为确定重点审计领域，编制系统的审计方案所必需的信息

4.3.1.了解被审计单位

审计人员需要了解被审计单位的组织结构和经营活动行为，包括管理风格、企业流程制度、内部外部环境等重要信息，比如：

1)以前的审计结果：比如以前的审计工作底稿和审计报告

2)机构的组织：如被审计单位的组织结构图，机构的职能说明书，关键岗位负责人。

3)法规、手册和指令：如相关的法律、法规，部门内部的工作程序、工作标准或指引，

流程描述说明或图标

4)报告类资料：如预算、运营情况、业绩报告、管理建议书，管理层会议纪要等

在描述内部程序时，建议审计人员编制流程图，因为流程图阐明了系统或流程中的复杂情况和主要控制点。

除了阅读审核财务或非财务信息外，内部审计人员还可以采取实地观察被审计单位的正在从事的活动，或者和被审计单位的负责人、其他工作人员进行访谈，了解当前的实际的运营情况和已知的问题领域。

外勤调查结束后，主管审计师应该对所开展的工作以及从外勤调查中收集到的汇总资料都要记录在审计工作底稿中，形成书面的调查备忘录（见附件2），并和被审计单位的

负责人进行交流，以确认审计人员的理解是正确无误的。

4.3.2.风险评估

风险评估过程就是运用审计师的职业判断，对收集到的信息进行分析评价的过程，从而把审计的主要精力放在满足业务活动主要目标的重要事务上。

风险评估的方法是：

1)确定被审计单位的业务目标和标准；

2)识别与实现该业务目标和标准相关的风险；

3)衡量风险发生的可能性和影响程度，并对风险进行排序；

4)根据管理层的声明和穿行测试结果，评估现有控制是否能预防、消除风险；

5)根据风险重要性的顺序，指定审计计划，将审计的目标和范围关注重大风险的控制

测试上，以确定这些控制的适当性和重要性。

风险评估的过程和结果，请见附件3。

4.3.3.审计计划

在完成上述准备工作之后，内部审计人员根据所掌握的基本情况和风险评估的结果，就可以确定具体的审计目标和重点审计领域，编制项目审计计划。项目审计计划是开展审计的整体指导，是整个审计计划阶段的最终成果。

审计计划，应包括以下内容：

1)被审计单位的背景介绍；简要描述被审计单位的目标、内部组织结构、最新的变化、

重要的问题等；

2)被审计单位管理层关注的问题：在调查阶段，管理层关注的问题；

3)风险评估的结果：简要描述风险评估的方法、过程；

4)审计目标和范围；

5)具体的审计方案；

6)审计的时间安排：具体每个审计阶段的时间安排，比如现场审计时间，审计发现的