1、第第7章章风险评估与内部控制评审风险评估与内部控制评审第1页，共46页。内部控制概述内部控制概述内部控制的调查与描述内部控制的调查与描述内部控制评审内部控制评审管理建议书管理建议书第2页，共46页。u内部控制内部控制 内部牵制内部牵制（2020世纪初世纪初-40-40年代）年代）R.H.R.H.蒙哥马利在蒙哥马利在19121912年出版的年出版的审计审计-理论与理论与实践实践一书中指出：所谓内部牵制是指一个人不能一书中指出：所谓内部牵制是指一个人不能完全支配账户，另一个人和不能独立地加以控制的完全支配账户，另一个人和不能独立地加以控制的制度。即某位职员的业务与另一位职员的业务必须制度。即某位职
2、员的业务与另一位职员的业务必须互相弥补、相互控制的关系互相弥补、相互控制的关系内部控制的涵义内部控制的涵义第3页，共46页。内部控制制度（内部控制制度（20世纪世纪40-80年代）年代）19491949年，美国会计师协会的审计程序委员会在年，美国会计师协会的审计程序委员会在内部控制：一内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性种协调制度要素及其对管理当局和独立注册会计师的重要性的报的报告中，对内部控制首次作了权威性定义：告中，对内部控制首次作了权威性定义：“内部控制包括组织机构内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措的设计和企业内部
3、采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。推动企业坚持执行既定的管理政策。”第4页，共46页。内部控制结构（内部控制结构（2020世纪世纪80-9080-90年代）年代）19881988年美国注册会计师协会发布的第年美国注册会计师协会发布的第5555号号审计准则说明书审计准则说明书提出了内部控提出了内部控制结构概念：制结构概念：“企业的内部控制结构包企业的内部控制结构包括为合理保证企业特定目标的实现而建括为合理保证企业特定目标的实现而建立的各
4、种政策和程序，包括控制环境、立的各种政策和程序，包括控制环境、会计系统、控制程序会计系统、控制程序”第5页，共46页。内部控制整体框架（内部控制整体框架（2020世纪世纪9090年代至今）年代至今）19921992年，美国年，美国“反对虚假财务报告委员会反对虚假财务报告委员会”下属的下属的由美国会计学会、注册会计师协会、国际内部审计人员由美国会计学会、注册会计师协会、国际内部审计人员协会、财务经理协会和管理会计学会等组织参与的发起协会、财务经理协会和管理会计学会等组织参与的发起组织委员会（组织委员会（COSOCOSO）发布报告）发布报告内部控制内部控制-整体框架整体框架（即（即“COSOCOS
5、O报告报告”）。该报告将内部控制定义为：）。该报告将内部控制定义为：内部控制是由企业董事会、管理当局和其他职员实内部控制是由企业董事会、管理当局和其他职员实施的施的 ，为经营效果和效率、财务报告的可靠性、遵循，为经营效果和效率、财务报告的可靠性、遵循适当的法规等目标的达成而提供合理保证的一种过程。适当的法规等目标的达成而提供合理保证的一种过程。第6页，共46页。内部控制整体框架内部控制整体框架第7页，共46页。启示：启示：内部控制，是由企业董事会、监事会、经理层和全体员工实施的、内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。旨在实现控制目标的过程。内部控制是
6、指一单位内部的管理控制系统，即为保证内部控制是指一单位内部的管理控制系统，即为保证单位经济活动正常进行所采取的一系列必要的管理措单位经济活动正常进行所采取的一系列必要的管理措施，施，不仅包括单位最高管理当局用来授权与指挥经济不仅包括单位最高管理当局用来授权与指挥经济活动的各种方式方法，也包括核算、审核、分析各种活动的各种方式方法，也包括核算、审核、分析各种信息资料及报告的程序和步骤，还包括对单位经济活信息资料及报告的程序和步骤，还包括对单位经济活动进行综合计划、控制和评价而制定的各项规章制度。动进行综合计划、控制和评价而制定的各项规章制度。第8页，共46页。对企业管理当局的作用对企业管理当局的
7、作用 保护资产的安全与完整保护资产的安全与完整 保证业务活动有效进行保证业务活动有效进行 保证各项经济资料真实、可靠保证各项经济资料真实、可靠 防止、发现、纠正错误与舞弊防止、发现、纠正错误与舞弊内部控制的作用内部控制的作用第9页，共46页。对审计人员的作用对审计人员的作用 1、借助于有效的内部控制，合理选择审计目标，、借助于有效的内部控制，合理选择审计目标，有效地缩小审计范围，提高审计效率，降低审计成有效地缩小审计范围，提高审计效率，降低审计成本本 2、借助于有效的内部控制，设计合理的审计程序，从、借助于有效的内部控制，设计合理的审计程序，从而提高审计工作质量而提高审计工作质量 3、通过对内
8、部控制的调查、了解和评价，可以针、通过对内部控制的调查、了解和评价，可以针对发现存在的薄弱环节提出有效的改进意见，有助对发现存在的薄弱环节提出有效的改进意见，有助于管理当局进一步健全和完善内部控制。于管理当局进一步健全和完善内部控制。第10页，共46页。信息信息沟通沟通控制控制环境环境风险风险评估评估控制控制活动活动内部控内部控制要素制要素监督监督内部控制的要素内部控制的要素第11页，共46页。控制环境控制环境组织机构组织机构董事会董事会权利与责权利与责任的规定任的规定经营管理的理念经营管理的理念方式和风格方式和风格员工的诚实、胜任员工的诚实、胜任能力与职业道德能力与职业道德人事政人事政策实务
9、策实务 控制环境反映了管理当局和董事会关于控制对公司重要控制环境反映了管理当局和董事会关于控制对公司重要性的态度性的态度第12页，共46页。风险评估风险评估经营环境的变化经营环境的变化聘用新聘用新的员工的员工 企业改组企业改组 新技术的应用新技术的应用 海外经营海外经营 第13页，共46页。控制活动控制活动 业绩评价业绩评价信息处理控制信息处理控制职务分离职务分离实物控制实物控制 第14页，共46页。不相容职责分离不相容职责分离交易的授权、执行、记录、保管职责由不同部交易的授权、执行、记录、保管职责由不同部门或人员完成门或人员完成会计的应收账款的总账与明细账、记录现金账与会计的应收账款的总账与
10、明细账、记录现金账与调节银行账户、现金支出与调节银行账户、付款调节银行账户、现金支出与调节银行账户、付款凭单的批准与支票签发等应分离凭单的批准与支票签发等应分离计算机信息系统内的程序设计、电脑操作、数据控制、计算机信息系统内的程序设计、电脑操作、数据控制、系统分析应分开系统分析应分开第15页，共46页。讨论：讨论：远大公司有三位员工必须分担以下工作：远大公司有三位员工必须分担以下工作：(1)(1)记录并保管总账；记录并保管总账；(2)(2)记录并保管应付账款明细账；记录并保管应付账款明细账；(3)(3)记录并保管应收账款明细账；记录并保管应收账款明细账；(4)(4)记录货币资金日记账；记录货币
11、资金日记账；(5)(5)记录、填写支票；记录、填写支票；(6)(6)发出销货退回及折让的贷项通知单；发出销货退回及折让的贷项通知单；(7)(7)调节银行存款日记账与银行存款对账单；调节银行存款日记账与银行存款对账单；(8)(8)保管并送存现金收入。保管并送存现金收入。第16页，共46页。如果你是该公司的会计主管，请问应如何将这如果你是该公司的会计主管，请问应如何将这8 8项工作分配给三位职员，既使得工作量相当，又能达项工作分配给三位职员，既使得工作量相当，又能达到内部控制制度的要求。到内部控制制度的要求。你分对了吗？你分对了吗？2 2、3 31 1、6 6、7 74 4、5 5、8 8第17页
12、，共46页。信息沟通信息沟通随时记录经济业务随时记录经济业务提供会计报告提供会计报告确认记录所确认记录所有有效的有有效的经济业务经济业务采用恰当的采用恰当的货币计量货币计量经济业务经济业务 在财务报告中恰在财务报告中恰当表述经济业务当表述经济业务 在合理经济期间在合理经济期间记录经济业务记录经济业务 第18页，共46页。监督监督内部审计内部审计与单位外部团与单位外部团体进行沟通体进行沟通第19页，共46页。内部控制的种类内部控制的种类按其控制目的分类按其控制目的分类 内部会计控制、内部管理控制内部会计控制、内部管理控制按其控制方式的分类按其控制方式的分类 预防式控制、觉察式控制预防式控制、觉察
13、式控制第20页，共46页。内部控制的设计和运行受制于成本与效益内部控制的设计和运行受制于成本与效益原则原则内部控制一般仅针对常规业务活动而设计内部控制一般仅针对常规业务活动而设计执行人员的素质和工作质量执行人员的素质和工作质量串通舞弊串通舞弊执行人员滥用职权或屈从于外部压力执行人员滥用职权或屈从于外部压力经营环境和业务性质的变化经营环境和业务性质的变化 内部控制的局限性内部控制的局限性第21页，共46页。内部控制的调查与描述内部控制的调查与描述内部控制内部控制调查描述的意义调查描述的意义内部控制的调查内部控制的调查内部控制的描述内部控制的描述第22页，共46页。调查了解内部控制的意义调查了解内
14、部控制的意义为计划审计工作提供依据为计划审计工作提供依据 调查了解内部控制的设计及执行，设计初调查了解内部控制的设计及执行，设计初步审计策略步审计策略为评价控制风险提供基础为评价控制风险提供基础 通过内部控制测试，可以评价控制风险，通过内部控制测试，可以评价控制风险，决定进行实质性测试的性质、时间、范围决定进行实质性测试的性质、时间、范围第23页，共46页。询问询问被审计单位有关人员，并查阅相关内被审计单位有关人员，并查阅相关内部控制文件；部控制文件；检查检查内部控制生成的文件和记录；内部控制生成的文件和记录；观察观察被审计单位的业务活动和内部控制的被审计单位的业务活动和内部控制的运行情况；运
15、行情况；选择若干具有代表性的交易和事项进行选择若干具有代表性的交易和事项进行穿穿行测试行测试。内部控制的调查方法内部控制的调查方法第24页，共46页。内部控制调查的内容内部控制调查的内容了解控制环境了解控制环境了解风险评估了解风险评估了解控制活动了解控制活动了解监督了解监督注意了解的目的注意了解的目的了解信息与沟通了解信息与沟通第25页，共46页。内部控制的描述内部控制的描述调查表调查表文字表述文字表述流程图流程图第26页，共46页。第27页，共46页。内部控制评审内部控制评审内部控制评审的目的内部控制评审的目的内部控制评审的步骤内部控制评审的步骤内部控制评审的内容内部控制评审的内容内部控制评
16、审的结果内部控制评审的结果第28页，共46页。内部控制评审的目的内部控制评审的目的进一步检验对内部控制了解的真实性进一步检验对内部控制了解的真实性确定内部控制设计的健全性和运行的有确定内部控制设计的健全性和运行的有效性效性决定对它的信任程度，确定采用抽查还决定对它的信任程度，确定采用抽查还是详查，以及抽取的样本规模及数量是详查，以及抽取的样本规模及数量第29页，共46页。内部内部控制评审控制评审的步骤的步骤初评初评 了解内控制后，对其是否存在或健全进行评价，评了解内控制后，对其是否存在或健全进行评价，评价以后确定是否进行控制测试；价以后确定是否进行控制测试；再评再评 测试内控后，对其有效性进行
17、评价，评价以后确定如何进测试内控后，对其有效性进行评价，评价以后确定如何进行实质性测试；行实质性测试；终评终评 对会计报表项目进行实质性测试以后，对当初控对会计报表项目进行实质性测试以后，对当初控制测试评价结果的恰当性进行检验，如果认为当初控制测试评价结果的恰当性进行检验，如果认为当初控制测试对控制风险评价过低，以此确定的实质性测试制测试对控制风险评价过低，以此确定的实质性测试程序过少，应考虑是否追加实质性测试程。程序过少，应考虑是否追加实质性测试程。第30页，共46页。内部控制评审的内容内部控制评审的内容健全性健全性有效性有效性 企业每一项内部控制系统是否健全，手续是否严密企业每一项内部控制
18、系统是否健全，手续是否严密 针对在健全性评价中被认为是健全的或基本健全针对在健全性评价中被认为是健全的或基本健全的内部控制是否能够起到控制作用以及与设计的内的内部控制是否能够起到控制作用以及与设计的内部控制相符合的程度，主要通过控制测试完成部控制相符合的程度，主要通过控制测试完成第31页，共46页。健全性评价的内容健全性评价的内容 生产、经营、管理部门是否健全生产、经营、管理部门是否健全?责、权、责、权、利是否明确利是否明确?不相容职务是否分离不相容职务是否分离?分工能分工能否起到应有的相互制约作用否起到应有的相互制约作用?会计信息及相关的经济信息的报告制度会计信息及相关的经济信息的报告制度是
19、否健全是否健全?会计信息及相关经济信息的记会计信息及相关经济信息的记录、传递程序是否都有明确规定录、传递程序是否都有明确规定?用来证明经济业务的凭证制度是否健全用来证明经济业务的凭证制度是否健全?凭证的填制、传递和保管是否有严格的程凭证的填制、传递和保管是否有严格的程序序?凭证是否做到了顺序编号凭证是否做到了顺序编号?第32页，共46页。企业的员工是否具备了必要的知识水平和业务技能企业的员工是否具备了必要的知识水平和业务技能?有有无定期的职务轮换制度无定期的职务轮换制度?企业员工是否经常接受必要的企业员工是否经常接受必要的培训培训?对财产物资是否建立了定期盘点制度对财产物资是否建立了定期盘点制
20、度?对重要的业对重要的业务活动是否建立了事后核对制度务活动是否建立了事后核对制度?并有无将盘点和并有无将盘点和核对后的信息及时反馈给相关部门核对后的信息及时反馈给相关部门?企业是否建立了严格的经济责任制和岗位责任制企业是否建立了严格的经济责任制和岗位责任制?责任是否落实责任是否落实?是否严格执行了奖惩制度是否严格执行了奖惩制度?企业是否对各项业务活动的程序做出明确规定企业是否对各项业务活动的程序做出明确规定?有无有无清晰的流程图交由有关人员严格执行清晰的流程图交由有关人员严格执行?第33页，共46页。企业各个业务循环中的各关键控制点是企业各个业务循环中的各关键控制点是否都设有控制措施否都设有控
21、制措施?各项控制措施是否经各项控制措施是否经济济?是否切实可行是否切实可行?企业是否建立了内部审计制度企业是否建立了内部审计制度?对查错揭对查错揭弊、改进管理、提高效率是否发挥了作用弊、改进管理、提高效率是否发挥了作用?与上年度的内部控制系统评价结果相比，与上年度的内部控制系统评价结果相比，是否有了较大的改进是否有了较大的改进?评价结果指出的控评价结果指出的控制弱点，目前是否已经加强？制弱点，目前是否已经加强？第34页，共46页。有效性评价有效性评价控制测试控制测试概念概念 为了确定内部控制制度的设计和执行为了确定内部控制制度的设计和执行是否有效而实施的审计程序是否有效而实施的审计程序关注问题
22、关注问题 被审计单位的内部控制是否执行、如被审计单位的内部控制是否执行、如何执行、由谁执行，以进一步证明内部何执行、由谁执行，以进一步证明内部控制的可信水平控制的可信水平第35页，共46页。控制测试的前提控制测试的前提 只对那些准备信赖并且只有当依赖内部控制而只对那些准备信赖并且只有当依赖内部控制而减少的实质性测试的工作量大于控制测试的工作量的减少的实质性测试的工作量大于控制测试的工作量的内部控制执行控制测试内部控制执行控制测试控制测试的对象控制测试的对象 设计测试设计测试 执行测试执行测试第36页，共46页。控制测试的种类控制测试的种类同步控制测试同步控制测试追加控制测试追加控制测试计划控制
23、测试计划控制测试 在主要证实法下执行，执行目的是为了进一步降低控制在主要证实法下执行，执行目的是为了进一步降低控制风险的估计水平风险的估计水平 在选用较低的控制风险估计水平法下执行，执行目在选用较低的控制风险估计水平法下执行，执行目的是支持审计人员的计划实质性测试水平的是支持审计人员的计划实质性测试水平 在了解内控的同时，测试内控。这种测试不是必在了解内控的同时，测试内控。这种测试不是必须的须的第37页，共46页。控制测试的方法控制测试的方法检查检查交易和事项的凭证交易和事项的凭证询问询问并并实地观察实地观察未留下审计轨迹的内部未留下审计轨迹的内部控制的运行情况控制的运行情况重新执行重新执行相
24、关内部控制程序相关内部控制程序第38页，共46页。思考：思考：如果再评控制风险与初评控制风险存在如果再评控制风险与初评控制风险存在偏差怎么办？偏差怎么办？CR CR情况一情况一情况二情况二初评初评20%20%68%68%再评再评70%70%25%25%如果存在偏差，应当修正对控制风险的评估，并如果存在偏差，应当修正对控制风险的评估，并据以修改实质性测试的程序、时间、范围据以修改实质性测试的程序、时间、范围第39页，共46页。内部控制的信赖程度高内部控制的信赖程度高 说明控制风险低，审计人员可以执行有限的实质性测试说明控制风险低，审计人员可以执行有限的实质性测试 内部控制的信赖程度低内部控制的信
25、赖程度低 说明控制风险说明控制风险很高，那么审计人员只有依靠执行更多很高，那么审计人员只有依靠执行更多的实质性测试程序，才能控制审计风险处于低水平的实质性测试程序，才能控制审计风险处于低水平评价结果及对实质性测试的影响评价结果及对实质性测试的影响 不论固有风险和控制风险的评估结果如何，不论固有风险和控制风险的评估结果如何，审计人员均应对各重要账户或交易类别进行审计人员均应对各重要账户或交易类别进行实质性测试。实质性测试。第40页，共46页。实质性测试与控制测试的区别实质性测试与控制测试的区别实质性测试则是为了证实会计报表编制实质性测试则是为了证实会计报表编制的合法性和公允性而执行的程序。的合法
26、性和公允性而执行的程序。与控制测试的区别与控制测试的区别 二者的本质差异在于研究和评价对二者的本质差异在于研究和评价对象不同，控制测试针对内部控制执行，象不同，控制测试针对内部控制执行，实质性测试针对会计报表执行。实质性测试针对会计报表执行。第41页，共46页。实质性测试程序实质性测试程序交易和余额的实质性测试交易和余额的实质性测试 交易的实质性测试是为了审定某类交易交易的实质性测试是为了审定某类交易发生的恰当性，关注是某帐户本期借贷发发生的恰当性，关注是某帐户本期借贷发生额；生额；余额的实质性测试目的是为了审定某帐余额的实质性测试目的是为了审定某帐户余额的恰当性，包括交易发生额恰当性户余额的
27、恰当性，包括交易发生额恰当性的测试。的测试。对会计信息及非会计信息的分析性复核对会计信息及非会计信息的分析性复核第42页，共46页。管理建议书管理建议书管理建议书出具的条件管理建议书出具的条件 （1 1）审计人员发现被审计单位内部控制存在严重缺）审计人员发现被审计单位内部控制存在严重缺陷，将导致或影响会计报表整体反映时，应当以书面陷，将导致或影响会计报表整体反映时，应当以书面形式告知被审单位。必要时出具管理建议书。形式告知被审单位。必要时出具管理建议书。（2 2）审计约定书中有约定，要求出具管理建议）审计约定书中有约定，要求出具管理建议书。书。第43页，共46页。管理建议书提及的内部控制重大缺
28、陷，仅为审计管理建议书提及的内部控制重大缺陷，仅为审计人员在审计过程中注意到的，并非内部控制可能存在人员在审计过程中注意到的，并非内部控制可能存在的全部缺陷。的全部缺陷。管理建议与内部控制缺陷的关系管理建议与内部控制缺陷的关系管理建议书不应被视为审计人员对被审计单位内部管理建议书不应被视为审计人员对被审计单位内部控制整体发表的意见，也不能减轻或免除被审计单控制整体发表的意见，也不能减轻或免除被审计单位管理当局建立健全内部控制的责任。位管理当局建立健全内部控制的责任。审计人员出具管理建议书，不应影响其应当发表审计人员出具管理建议书，不应影响其应当发表的审计意见。的审计意见。第44页，共46页。管理建议书的基本内容管理建议书的基本内容标题标题收件人：被审计单位管理当局收件人：被审计单位管理当局会计报表审计目的及管理建议书的性质。管理建议书会计报表审计目的及管理建议书的性质。管理建议书不应被视为对内部控制发表的鉴证不应被视为对内部控制发表的鉴证意见：所提建议不具有强制性和公证性意见：所提建议不具有强制性和公证性内部控制重大缺陷及其影响程度内部控制重大缺陷及其影响程度使用范围及使用责任使用范围及使用责任签章签章日期日期第45页，共46页。管理建议与审计意见的区别管理建议与审计意见的区别第46页，共46页。
