内部控制审计操作手册(doc 154页).docx

内部审计操作手册第一章：内部审计概述 (2)1.1 内部审计的定义与作用 (2)1.1.1 内部审计的定义 (2)1.1.2 内部审计的作用 (2)1.2 内部审计的发展历程 (3)1.2.1 起源阶段 (3)1.2.2 发展阶段 (3)1.2.3 成熟阶段 (3)1.2.4 创新阶段 (3)第二章：内部审计理论基础 (3)2.1 内部审计的基本原则 (3)2.2 内部审计的目标与范围 (4)2.3 内部审计的方法论 (4)第三章：内部审计组织结构 (5)3.1 内部审计部门的设立与职责 (5)3.1.1 内部审计部门的设立 (5)3.1.2 内部审计部门的职责 (5)3.2 内部审计人员的素质要求 (6)3.2.1 专业知识 (6)3.2.2 个人品质 (6)3.3 内部审计人员的培训与发展 (6)3.3.1 培训内容 (6)3.3.2 培训形式 (6)3.3.3 发展规划 (6)第四章：内部审计作业流程 (7)4.1 内部审计计划与准备 (7)4.2 内部审计实施与记录 (7)4.3 内部审计报告与反馈 (8)第五章：内部审计技术与方法 (8)5.1 文件审查与实地调查 (8)5.2 分析性程序与内部控制测试 (8)5.3 抽样审计与非抽样审计 (9)第六章：企业业务循环内部审计 (9)6.1 销售与收款循环审计 (9)6.2 采购与付款循环审计 (10)6.3 生产与存货循环审计 (10)第七章：建设项目内部审计 (11)7.1 建设项目审计的目标与内容 (11)7.1.1 建设项目审计的目标 (11)7.1.2 建设项目审计的内容 (11)7.2 建设项目审计的程序与方法 (11)7.2.1 建设项目审计的程序 (11)7.2.2 建设项目审计的方法 (12)7.3 建设项目审计的案例分析 (12)第八章：合规性审计 (13)8.1 合规性审计的概念与范围 (13)8.2 合规性审计的程序与方法 (13)8.3 合规性审计的案例分析 (14)第九章：保证性审计 (14)9.1 保证性审计的定义与目标 (15)9.1.1 保证性审计的定义 (15)9.1.2 保证性审计的目标 (15)9.2 保证性审计的程序与方法 (15)9.2.1 保证性审计的程序 (15)9.2.2 保证性审计的方法 (15)9.3 保证性审计的案例分析 (16)第十章：绩效达标/提高审计 (16)10.1 绩效达标/提高审计的概述 (16)10.2 绩效达标/提高审计的程序与方法 (17)10.2.1 审计程序 (17)10.2.2 审计方法 (17)10.3 绩效达标/提高审计的案例分析 (17)第十一章：内部审计管理 (18)11.1 内部审计质量控制 (18)11.2 内部审计风险与应对 (19)11.3 内部审计绩效评价与改进 (19)第十二章：内部审计与外部审计的协同 (19)12.1 内部审计与外部审计的关系 (20)12.2 内部审计与外部审计的协同流程 (20)12.3 内部审计与外部审计的案例分析 (20)第一章：内部审计概述1.1 内部审计的定义与作用1.1.1 内部审计的定义内部审计是一种独立、客观的确认和咨询活动，旨在增加组织的价值和改善其运营。

目录第一章获取审计业务约定书 (1)一、获取审计业务约定书 (1)二、内部控制审计业务约定书的内容 (1)三、连续审计 (2)四、审计业务约定条款的变更 (2)五、业务约定书的文档记录 (3)第二章建立审计项目组 (3)一、项目小组成员的要求 (3)二、组建项目小组的考虑 (3)三、管理、指导、并监督项目小组 (4)四、项目小组成员的角色及责任 (5)第三章了解被审计单位及其环境 (6)一、了解被审计单位及其环境的必要性 (6)二、了解被审计单位及其环境的程度 (7)三、了解被审计单位及其环境的主要内容 (7)3.1行业状况、法律环境与监管环境以及其他外部因素 (7)3.1.1行业因素 (8)3.1.2 遵守法律法规的规定 (8)3.1.3 其他外部因素 (8)3.2了解被审计单位的性质 (9)3.3被审计单位对会计政策的选择和运用 (10)3.4被审计单位的目标、战略以及相关经营风险 (10)3.5被审计单位财务业绩的衡量和评价 (11)四、了解IT在企业中的角色 (12)4.1了解IT复杂程度 (12)4.2了解IT对我们审计工作的影响 (13)五、如何了解企业及其环境 (13)5.1检阅相关信息 (13)5.2询问企业管理层及其他人员 (14)5.3观察及检查 (14)5.4信息来源 (14)六、确定重大错报风险 (15)七、工作底稿记录 (15)第四章利用专家的工作 (15)一、确定是否利用专家的工作 (16)1.1确定IT专家的介入程度 (17)1.2确定税务专家的介入程度 (17)1.3确定相关行业专家的介入程度 (18)二、利用管理层专家的工作 (18)2.1评价管理层专家的胜任能力、专业素养和客观性 (18)2.2 了解管理层专家的工作 (19)2.3 评价管理层专家的工作是否足以实现审计目的 (20)三、利用事务所的内部专家的工作 (21)四、利用事务所外部专家的工作 (23)五、记录审计工作 (26)第五章了解企业整体的内部控制 (27)一、企业层面控制的内涵 (27)二、企业层面控制对其他控制及其测试的影响 (28)三、了解和评价企业层面内部控制的主要内容 (29)3.1与控制环境(即内部环境)相关的控制 (30)3.1.1管理层的理念和经营风格 (31)3.1.2诚信和道德价值观念的沟通与落实 (31)3.1.3治理层的参与程度 (32)3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 (32)3.3被审计单位的风险评估过程 (34)3.4对内部信息传递的控制 (35)3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 (35)3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 (36)3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 (36)3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效性36 3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行(如共享服务中心等) (36)3.6集中化的处理和控制(包括共享的服务环境) (36)3.7监督经营成果的控制 (37)四、企业层面控制对其他控制及其测试的影响 (38)五、如何了解企业层面控制 (39)5.1了解企业层面控制的方法 (39)5.2审计证据的考虑和了解企业层面控制的范围 (39)六、识别和评估重大错报风险 (40)七、工作底稿记录 (40)第六章识别舞弊风险并确定应对措施 (40)一、识别舞弊风险的相关要求 (40)二、识别舞弊风险的主要程序及考虑因素 (41)2.1组织项目组讨论 (42)2.2就舞弊风险询问管理层和其他人员 (42)2.2.1询问管理层 (42)2.2.2询问内部审计人员 (43)2.2.3询问内部其他人员 (44)2.2.4询问治理层 (44)2.3考虑舞弊风险因素 (45)2.4考虑异常关系或偏离预期的关系 (45)2.5考虑其他信息 (45)三、识别由于舞弊而导致的重大错报风险 (45)3.1收入确认 (46)四、应对舞弊导致的重大错报风险 (46)4.1总体应对措施 (46)4.2特别措施 (46)五、应对管理层凌驾于控制之上的措施 (47)六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施 (47)七、对审计其他方面的影响 (48)第七章确定重要性水平 (48)一、了解确定整体重要性水平需做的考虑 (48)1.1确定整体重要性水平时财务报表使用者的展望与预期 (49)1.2整体重要性水平的恰当基准 (49)1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目 (49)1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 . 491.2.3治理层的看法和预期 (49)二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 (50)三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 (50)四、确定整体重要性水平 (50)4.1定义整体重要性水平时确定应用适当百分比的税前利润 (51)4.1.1上市企业或重要项目 (51)4.1.2非重要项目 (51)4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 (51)五、确定特定类别的交易、账户余额或披露的重要性水平 (52)六、确定实际执行的重要性水平 (52)七、在审计过程中修改重要性水平 (53)第八章识别重大账户、重大列报及相关认定 (53)一、识别重大账户、重大列报及其相关认定 (53)1.1重大账户或列报 (53)1.2确定重大账户或列报的金额标准 (53)1.3确定重大账户或列报的性质考虑 (54)1.3.1重大账户或列报的性质确定 (54)1.3.2考虑已识别的固有风险 (54)1.3.3评价财务报表项目及附注的错报风险因素 (54)1.4有关账户的其他考虑因素 (55)二、确定相关认定 (55)2.1利润表科目的重要账户的相关认定 (56)2.2资产负债表重要账户的相关认定 (56)2.3与列报和披露相关的认定 (56)三、更新我们确定的重大账户或列报及相关认定 (57)第九章识别重大业务流程和重大列报流程 (57)一、识别业务流程 (57)1.1常规的业务流程 (58)1.2非常规的业务流程 (58)1.3估计的业务流程 (58)二、确定重大流程 (58)2.1确定重大业务流程 (58)2.2对重大估计业务流程的考虑 (59)2.3重大列报流程 (59)三、识别相关信息系统 (60)第十章关于集团审计的特殊考虑 (60)一、了解集团及其环境、集团组成部分及其环境 (60)二、了解集团及其组成部分的内部控制 (61)三、集团管控风格的影响 (62)四、确定重要性水平以及可容忍误差 (62)4.1确定集团整体财务报表重要性 (63)4.2确定集团实际执行的重要性（可容忍误差） (63)4.3确定组成部分可容忍误差 (63)五、确定重要组成部分 (64)5.1根据规模确定 (65)5.2根据特定性质或情况确定 (65)5.3不重要组成部分 (65)六、识别重大账户、重大列报及其相关认定 (65)七、组成部分内部控制审计策略 (66)八、设定组成部分审计策略的标准 (66)第十一章了解企业内部控制自我评价过程以及利用他人的工作 (67)一、了解企业内部控制自我评价过程 (67)二、利用他人的工作 (68)2.1对专业胜任能力和客观性的考虑 (68)2.1.1专业胜任能力和客观性对可利用他人工作程度的影响 (68)2.2对利用内部审计人员工作的特殊考虑 (69)2.2.1评价内部审计人员的专业胜任能力 (69)2.2.2评价内部审计人员的客观性 (70)2.3利用内部审计人员的工作成果 (71)2.4确定利用他人工作的范围 (74)2.5测试由他人执行的部分工作 (74)三、工作底稿记录 (75)第十二章评价企业层面控制测试 (75)一、间接的企业层面控制 (75)二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制 (76)三、控制环境 (77)四、充当业务层面控制的直接企业层面控制 (77)五、工作底稿记录 (77)第十三章了解重大业务流程和重大列报流程 (78)一、考虑企业层面控制对重大业务流程和重大列报流程的影响 (78)二、识别重大业务流程和重大列报流程的关键流程 (78)2.1信息来源 (80)2.2询问 (80)2.3观察和检查 (80)2.4对服务机构的考虑 (81)三、在重大业务流程和重大列报流程中识别可能出错项 (81)3.1如何识别可能出错项 (82)3.2将可能出错项联系到相关认定 (83)3.3特别风险和可能出错项 (83)3.4 IT方面的可能出错项 (83)四、识别与审计相关的控制活动 (84)4.1相关的控制的种类 (84)4.2如何开始识别相关控制 (84)4.3对识别降低特别风险的控制的特殊考虑 (84)五、对了解不同性质的重大业务流程的具体考虑 (85)5.1重大业务流程的种类 (85)5.2相关控制活动 (86)5.2.1管理层对专家的利用 (87)5.2.2假设 (87)5.2.3改变会计估计的方法 (87)5.2.4估计的不确定性 (88)六、对了解重大列报流程的特殊考虑 (88)6.1重大会计账户的列报 (88)6.2财务报表决算过程的列报 (88)第十四章执行穿行测试 (89)一、执行穿行测试 (89)1.1穿行测试的程序 (90)1.2与穿行测试过程中进行的询问相关的考虑 (90)1.3对穿行测试的结果得出结论 (91)1.4对控制有效性的初步评价 (91)二、穿行测试的特殊考虑 (92)2.1会计估计的流程 (92)2.2关于降低重大错报风险的控制的穿行测试的考虑 (92)2.3在执行穿行测试时利用他人工作 (93)2.4针对自动化程序里的数据和交易信息 (93)第十五章选择、测试内部控制 (93)一、选择拟测试的控制的基本要求 (94)二、选择拟测试的控制的考虑因素 (94)2.1选择适当的控制测试 (94)2.1.1控制的目标和分类 (95)2.1.1.1预防性控制和检查性控制 (95)2.1.1.2手工控制和自动执行的控制 (95)2.2确认已选测试的控制与审计相关 (97)2.3评估已选测试的控制是否充分敏感 (97)三、与控制相关的风险 (99)四、控制测试的程序的性质 (100)4.1询问 (100)4.2观察 (100)4.3检查 (100)4.4重新执行 (101)五、控制测试的时间安排 (102)5.1期中测试的两种方法 (102)5.2是否测试被取代的控制 (103)5.3期中测试和前推程序 (103)5.4针对信息技术一般控制（ITGCs）和应用控制的前推程序 (104)5.5集团内部控制审计中实施前推程序的考虑 (104)六、控制测试的范围 (105)6.1影响测试范围的因素 (105)6.2抽样方法的一般考虑 (105)6.3样本参考量 (106)6.3.1测试人工控制的最小样本规模 (106)6.3.2测试应用控制的最小样本规模 (107)6.4追加控制测试 (107)七、执行内部控制测试 (108)7.1执行控制测试的一般考虑 (108)7.2审计证据质量的额外考虑 (108)八、评价控制偏差 (108)8.1确认控制偏差 (108)8.2确定控制偏差的属性 (109)8.3确定审计应对措施 (110)九、工作底稿记录 (110)第十六章了解和评价财务报告流程（FSCP） (111)一、了解和评价财务报告流程过程 (111)1.1财务报告流程了解程度 (111)1.2对财务报告流程进行了解的起点 (112)1.3了解和评价财务报告流程的程序 (113)1.3.1了解财务报告流程的子过程 (113)1.3.1.1编制试算平衡表并进行任何必要的合并 (113)1.3.1.2生成、授权和记录记账分录 (113)1.3.1.3编制财务报表及相关列报 (113)1.4识别可能出错项 (114)1.5识别和了解财务报告流程中的控制活动 (114)1.6初步评价控制的有效性 (115)第十七章了解、穿行测试、测试和评估IT一般控制 (115)一、信息系统审计范围界定 (116)二、信息系统环境中的控制测试 (116)2.1信息系统审计策略的确定 (116)2.2信息系统一般控制测试 (117)2.3系统应用控制测试 (119)三、控制测试底稿 (120)附件一信息系统环境复杂度判断指引 (120)附件二信息系统环境控制测试底稿 (122)第十八章评价内部控制缺陷 (123)一、控制缺陷的分类 (123)二、内部控制缺陷评价时的一般考虑 (124)2.1衡量缺陷严重性的标准 (124)2.2充分考虑缺陷组合 (124)2.3补偿性控制 (124)2.4考虑企业内部控制自我评价的结果 (124)三、财务报告内部控制缺陷评价标准 (124)3.1定量标准 (125)3.2定性标准 (125)四、非财务报告内部控制缺陷评价标准 (126)五、内部控制缺陷评价程序 (127)六、内部控制缺陷评价的特殊考虑 (130)6.1对信息系统一般控制的考虑 (130)6.2对企业层面控制缺陷评价的考虑 (131)6.3与其他缺陷一同进行评价 (131)6.4内部控制缺陷评价的其他关注领域 (132)七、内部控制缺陷整改 (132)八、工作底稿记录 (132)第十九章完成审计工作 (133)一、项目组内部讨论 (133)二、取得管理层的书面声明 (134)三、与企业沟通控制缺陷 (135)四、形成审计意见 (136)第二十章出具审计报告 (137)一、出具标准内部控制审计报告 (137)二、出具非标准内部控制审计报告 (138)2.1带强调事项段的无保留意见内部控制审计报告 (138)2.2否定意见内部控制审计报告 (139)2.3无法表示意见内部控制审计报告 (139)三、非财务报告内部控制存在重大限制 (140)四、对期后事项的考虑 (140)五、内部控制审计报告与财务报表审计报告的衔接 (141)第一章获取审计业务约定书在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的《业务承接制度--客户关系和具体业务的接受与保持操作规程》，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。

资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载内部控制审计操作手册地点：__________________时间：__________________说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容目录第一章获取审计业务约定书 (1)一、获取审计业务约定书 (1)二、内部控制审计业务约定书的内容 (1)三、连续审计 (2)四、审计业务约定条款的变更 (2)五、业务约定书的文档记录 (3)第二章建立审计项目组 (3)一、项目小组成员的要求 (3)二、组建项目小组的考虑 (3)三、管理、指导、并监督项目小组 (4)四、项目小组成员的角色及责任 (5)第三章了解被审计单位及其环境 (6)一、了解被审计单位及其环境的必要性 (6)二、了解被审计单位及其环境的程度 (7)三、了解被审计单位及其环境的主要内容 (7)3.1行业状况、法律环境与监管环境以及其他外部因素 (7)3.1.1行业因素 (8)3.1.2 遵守法律法规的规定 (8)3.1.3 其他外部因素 (8)3.2了解被审计单位的性质 (9)3.3被审计单位对会计政策的选择和运用 (10)3.4被审计单位的目标、战略以及相关经营风险 (10)3.5被审计单位财务业绩的衡量和评价 (11)四、了解IT在企业中的角色 (12)4.1了解IT复杂程度 (12)4.2了解IT对我们审计工作的影响 (13)五、如何了解企业及其环境 (13)5.1检阅相关信息 (13)5.2询问企业管理层及其他人员 (14)5.3观察及检查 (14)5.4信息来源 (14)六、确定重大错报风险 (15)七、工作底稿记录 (15)第四章利用专家的工作 (15)一、确定是否利用专家的工作 (16)1.1确定IT专家的介入程度 (17)1.2确定税务专家的介入程度 (17)1.3确定相关行业专家的介入程度 (18)二、利用管理层专家的工作 (18)2.1评价管理层专家的胜任能力、专业素养和客观性 (18)2.2 了解管理层专家的工作 (19)2.3 评价管理层专家的工作是否足以实现审计目的 (20)三、利用事务所的内部专家的工作 (21)四、利用事务所外部专家的工作 (23)五、记录审计工作 (26)第五章了解企业整体的内部控制 (27)一、企业层面控制的内涵 (27)二、企业层面控制对其他控制及其测试的影响 (28)三、了解和评价企业层面内部控制的主要内容 (29)3.1与控制环境(即内部环境)相关的控制 (30)3.1.1管理层的理念和经营风格 (31)3.1.2诚信和道德价值观念的沟通与落实 (31)3.1.3治理层的参与程度 (32)3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 (32)3.3被审计单位的风险评估过程 (34)3.4对内部信息传递的控制 (35)3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 (35)3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 (36)3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 (36)3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效性 (36)3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行(如共享服务中心等) (36)3.6集中化的处理和控制(包括共享的服务环境) (36)3.7监督经营成果的控制 (37)四、企业层面控制对其他控制及其测试的影响 (38)五、如何了解企业层面控制 (39)5.1了解企业层面控制的方法 (39)5.2审计证据的考虑和了解企业层面控制的范围 (39)六、识别和评估重大错报风险 (40)七、工作底稿记录 (40)第六章识别舞弊风险并确定应对措施 (40)一、识别舞弊风险的相关要求 (40)二、识别舞弊风险的主要程序及考虑因素 (41)2.1组织项目组讨论 (42)2.2就舞弊风险询问管理层和其他人员 (42)2.2.1询问管理层 (42)2.2.2询问内部审计人员 (43)2.2.3询问内部其他人员 (44)2.2.4询问治理层 (44)2.3考虑舞弊风险因素 (45)2.4考虑异常关系或偏离预期的关系 (45)2.5考虑其他信息 (45)三、识别由于舞弊而导致的重大错报风险 (45)3.1收入确认 (46)四、应对舞弊导致的重大错报风险 (46)4.1总体应对措施 (46)4.2特别措施 (46)五、应对管理层凌驾于控制之上的措施 (47)六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施 (47)七、对审计其他方面的影响 (48)第七章确定重要性水平 (48)一、了解确定整体重要性水平需做的考虑 (48)1.1确定整体重要性水平时财务报表使用者的展望与预期 (49)1.2整体重要性水平的恰当基准 (49)1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目 (49)1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 (49)1.2.3治理层的看法和预期 (49)二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 (50)三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 (50)四、确定整体重要性水平 (50)4.1定义整体重要性水平时确定应用适当百分比的税前利润 (51)4.1.1上市企业或重要项目 (51)4.1.2非重要项目 (51)4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 (51)五、确定特定类别的交易、账户余额或披露的重要性水平 (52)六、确定实际执行的重要性水平 (52)七、在审计过程中修改重要性水平 (53)第八章识别重大账户、重大列报及相关认定 (53)一、识别重大账户、重大列报及其相关认定 (53)1.1重大账户或列报 (53)1.2确定重大账户或列报的金额标准 (53)1.3确定重大账户或列报的性质考虑 (54)1.3.1重大账户或列报的性质确定 (54)1.3.2考虑已识别的固有风险 (54)1.3.3评价财务报表项目及附注的错报风险因素 (54)1.4有关账户的其他考虑因素 (55)二、确定相关认定 (55)2.1利润表科目的重要账户的相关认定 (56)2.2资产负债表重要账户的相关认定 (56)2.3与列报和披露相关的认定 (56)三、更新我们确定的重大账户或列报及相关认定 (57)第九章识别重大业务流程和重大列报流程 (57)一、识别业务流程 (57)1.1常规的业务流程 (58)1.2非常规的业务流程 (58)1.3估计的业务流程 (58)二、确定重大流程 (58)2.1确定重大业务流程 (58)2.2对重大估计业务流程的考虑 (59)2.3重大列报流程 (59)三、识别相关信息系统 (60)第十章关于集团审计的特殊考虑 (60)一、了解集团及其环境、集团组成部分及其环境 (60)二、了解集团及其组成部分的内部控制 (61)三、集团管控风格的影响 (62)四、确定重要性水平以及可容忍误差 (62)4.1确定集团整体财务报表重要性 (63)4.2确定集团实际执行的重要性（可容忍误差） (63)4.3确定组成部分可容忍误差 (63)五、确定重要组成部分 (64)5.1根据规模确定 (65)5.2根据特定性质或情况确定 (65)5.3不重要组成部分 (65)六、识别重大账户、重大列报及其相关认定 (65)七、组成部分内部控制审计策略 (66)八、设定组成部分审计策略的标准 (66)第十一章了解企业内部控制自我评价过程以及利用他人的工作 (67)一、了解企业内部控制自我评价过程 (67)二、利用他人的工作 (68)2.1对专业胜任能力和客观性的考虑 (68)2.1.1专业胜任能力和客观性对可利用他人工作程度的影响 (68)2.2对利用内部审计人员工作的特殊考虑 (69)2.2.1评价内部审计人员的专业胜任能力 (69)2.2.2评价内部审计人员的客观性 (70)2.3利用内部审计人员的工作成果 (71)2.4确定利用他人工作的范围 (74)2.5测试由他人执行的部分工作 (74)三、工作底稿记录 (75)第十二章评价企业层面控制测试 (75)一、间接的企业层面控制 (75)二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制 (76)三、控制环境 (77)四、充当业务层面控制的直接企业层面控制 (77)五、工作底稿记录 (77)第十三章了解重大业务流程和重大列报流程 (78)一、考虑企业层面控制对重大业务流程和重大列报流程的影响 (78)二、识别重大业务流程和重大列报流程的关键流程 (78)2.1信息来源 (80)2.2询问 (80)2.3观察和检查 (80)2.4对服务机构的考虑 (81)三、在重大业务流程和重大列报流程中识别可能出错项 (81)3.1如何识别可能出错项 (82)3.2将可能出错项联系到相关认定 (83)3.3特别风险和可能出错项 (83)3.4 IT方面的可能出错项 (83)四、识别与审计相关的控制活动 (84)4.1相关的控制的种类 (84)4.2如何开始识别相关控制 (84)4.3对识别降低特别风险的控制的特殊考虑 (84)五、对了解不同性质的重大业务流程的具体考虑 (85)5.1重大业务流程的种类 (85)5.2相关控制活动 (86)5.2.1管理层对专家的利用 (87)5.2.2假设 (87)5.2.3改变会计估计的方法 (87)5.2.4估计的不确定性 (88)六、对了解重大列报流程的特殊考虑 (88)6.1重大会计账户的列报 (88)6.2财务报表决算过程的列报 (88)第十四章执行穿行测试 (89)一、执行穿行测试 (89)1.1穿行测试的程序 (90)1.2与穿行测试过程中进行的询问相关的考虑 (90)1.3对穿行测试的结果得出结论 (91)1.4对控制有效性的初步评价 (91)二、穿行测试的特殊考虑 (92)2.1会计估计的流程 (92)2.2关于降低重大错报风险的控制的穿行测试的考虑 (92)2.3在执行穿行测试时利用他人工作 (93)2.4针对自动化程序里的数据和交易信息 (93)第十五章选择、测试内部控制 (93)一、选择拟测试的控制的基本要求 (94)二、选择拟测试的控制的考虑因素 (94)2.1选择适当的控制测试 (94)2.1.1控制的目标和分类 (95)2.1.1.1预防性控制和检查性控制 (95)2.1.1.2手工控制和自动执行的控制 (95)2.2确认已选测试的控制与审计相关 (97)2.3评估已选测试的控制是否充分敏感 (97)三、与控制相关的风险 (99)四、控制测试的程序的性质 (100)4.1询问 (100)4.2观察 (100)4.3检查 (100)4.4重新执行 (101)五、控制测试的时间安排 (102)5.1期中测试的两种方法 (102)5.2是否测试被取代的控制 (103)5.3期中测试和前推程序 (103)5.4针对信息技术一般控制（ITGCs）和应用控制的前推程序 (104)5.5集团内部控制审计中实施前推程序的考虑 (104)六、控制测试的范围 (105)6.1影响测试范围的因素 (105)6.2抽样方法的一般考虑 (105)6.3样本参考量 (106)6.3.1测试人工控制的最小样本规模 (106)6.3.2测试应用控制的最小样本规模 (107)6.4追加控制测试 (107)七、执行内部控制测试 (108)7.1执行控制测试的一般考虑 (108)7.2审计证据质量的额外考虑 (108)八、评价控制偏差 (108)8.1确认控制偏差 (108)8.2确定控制偏差的属性 (109)8.3确定审计应对措施 (110)九、工作底稿记录 (110)第十六章了解和评价财务报告流程（FSCP） (111)一、了解和评价财务报告流程过程 (111)1.1财务报告流程了解程度 (111)1.2对财务报告流程进行了解的起点 (112)1.3了解和评价财务报告流程的程序 (113)1.3.1了解财务报告流程的子过程 (113)1.3.1.1编制试算平衡表并进行任何必要的合并 (113)1.3.1.2生成、授权和记录记账分录 (113)1.3.1.3编制财务报表及相关列报 (113)1.4识别可能出错项 (114)1.5识别和了解财务报告流程中的控制活动 (114)1.6初步评价控制的有效性 (115)第十七章了解、穿行测试、测试和评估IT一般控制 (115)二、信息系统环境中的控制测试 (116)2.1信息系统审计策略的确定 (116)2.2信息系统一般控制测试 (117)2.3系统应用控制测试 (119)三、控制测试底稿 (120)附件一信息系统环境复杂度判断指引 (120)附件二信息系统环境控制测试底稿 (122)第十八章评价内部控制缺陷 (123)一、控制缺陷的分类 (123)二、内部控制缺陷评价时的一般考虑 (124)2.1衡量缺陷严重性的标准 (124)2.2充分考虑缺陷组合 (124)2.3补偿性控制 (124)2.4考虑企业内部控制自我评价的结果 (124)三、财务报告内部控制缺陷评价标准 (124)3.1定量标准 (125)3.2定性标准 (125)四、非财务报告内部控制缺陷评价标准 (126)五、内部控制缺陷评价程序 (127)六、内部控制缺陷评价的特殊考虑 (130)6.1对信息系统一般控制的考虑 (130)6.2对企业层面控制缺陷评价的考虑 (131)6.3与其他缺陷一同进行评价 (131)6.4内部控制缺陷评价的其他关注领域 (132)七、内部控制缺陷整改 (132)八、工作底稿记录 (132)第十九章完成审计工作 (133)二、取得管理层的书面声明 (134)三、与企业沟通控制缺陷 (135)四、形成审计意见 (136)第二十章出具审计报告 (137)一、出具标准内部控制审计报告 (137)二、出具非标准内部控制审计报告 (138)2.1带强调事项段的无保留意见内部控制审计报告 (138)2.2否定意见内部控制审计报告 (139)2.3无法表示意见内部控制审计报告 (139)三、非财务报告内部控制存在重大限制 (140)四、对期后事项的考虑 (140)五、内部控制审计报告与财务报表审计报告的衔接 (141)第一章获取审计业务约定书在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的《业务承接制度--客户关系和具体业务的接受与保持操作规程》，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。

公司内部审计操作手册内部审计是公司内部经济监督的一种形式，是公司审计室在董事会审计委员会的领导下,依照国家有关法规和公司有关规章制度,独立、客观地监督、评价公司及其下属单位的财务收支及其经济活动的真实性、合法性和效益性，检查、评价内部控制制度的完善性，评估企业经营风险，以达到查错防弊、防范和降低经营风险、改善经营管理、提高经济效益的目的.所谓真实性，是指企业的财务会计、统计等记录必须如实反映企业的实际经营管理成果，必须按照国家相关的经济法规、政策和公司董事会的有关规定，记录和反映企业的经营管理活动。

所谓合法性，是指企业的一切经营管理活动必须符合国家相应的法规、政策条例，必须符合公司董事会决议及公司的有关规章制度。

所谓效益性，是指企业的一切经营管理活动都必须围绕如何产生更大的经济效益和劳动效率而进行。

【审计工作的基本原则】《内审条例》所称的基本原则为：“依法”是指依据国家颁布的审计、财经、税务等方面的法律、法规、政策,在此还包括公司董事会决议、公司的有关规章制度等进行审计。

“独立”是指内部审计机构、内部审计工作、内部审计人员方面的独立性.在组织上的地位，必须使它能圆满地履行其审计职责，即内部审计机构隶属于公司董事会审计委员会，独立于公司内所有经营管理活动；内部审计独立开展审计工作，不受其它部门的干涉,审计工作的范围和深度不应受到影响和限制；独立地发表审计意见和建议;内部审计负责人的任免须经董事会审计委员会批准，审计委员会应赋予审计人员一定的职责权限。

“客观”是指审计工作中所收集的审计证据以及对“审计发现”的表述必须实事求是，客观如实。

审计工作重调查研究，重审计证据，即审计过程中必须以客观事实为基础,实事求是，注重证据，不夸大或缩小事实.“公正"是指审计报告中的审计意见、审计结论应恰如其分，不偏不倚，保证充分的公允性。

坚持证据确凿，结论公正,评价合理，建议中肯。

【审计机构及人员】公司董事会审计委员会是公司内部审计的权力机构。

企业内部操纵标准——内部审计22．1审计机构和人员治理制度
22．1．1审计人员后续教育制度
22．1．2审计人职员作纪律标准
22．2审计内容与程序管控标准22．2．1内部审计工作制度
22．2．2审计报告编制
22．3舞弊预防检查与汇报制度22．3．1舞弊预防治理制度
22．3．2舞弊内部审计准那么
22．4内部审计质量管控标准22．4．1外部评价制度
22．4．2内部审计督导制度
1．5．4子公司内部审计流程
第22章企业内部操纵流程——内部审计22．1审计与检查汇报操纵
22．1．1内部审计流程
1．内部审计流程与风险操纵图
2．内部审计流程操纵表
22．1．2后续审计流程1．后续审计流程与风险操纵图
2．后续审计流程操纵表
22．2审计督导与质量操纵22．2．1内部审计督导流程1．内部审计督导流程与风险操纵图
2．内部审计督导流程操纵表
22．2．2自我质量操纵流程1．自我质量操纵流程与风险操纵图
2．自我质量操纵流程操纵表。

内部控制审计业务手册审计目的:对客户的内部控制健全性、合理性和有效性作出评价。

审计范围：客户的内部控制环境、风险评估、控制活动、信息与沟通、内部监督。

审计步骤：(一)对内部控制进行调查了解，以便初步评价内部控制的健全性和合理性，并为下一步实施内部控制符合性测试提供依据。

对内部控制进行调查了解的具体内容：1、对客户控制环境进行了解。

A、客户的高层管理人员和其他管理人员的控制意识和诚信程度;B、经营规模及业务复杂程度;C、组织机构和相关制度;D、各部门的分工和职责;E、主要财政预算和财务计划;F、人力资源政策。

2、对客户的风险评估进行了解。

A、客户如何确定风险；B、客户如何确定评估风险的重要性；C、客户如何将风险发生的可能性与管理目标、经营计划和财务报告的相关内容联系起来并采取相应的措施；3、对客户的控制活动进行了解。

A、客户各项业务处理程序的授权批准；B、职责分工；C、实物控制情况；D、凭证与记录的设置和运用情况；E、独立的检查程序等控制手段的设置与执行情况。

４、对客户的信息与沟通情况进行了解。

Ａ、客户管理和经营活动的主要业务类别；Ｂ、处理各类经济业务的程序；Ｃ、各项业务的会计处理程序和所依据信息的来源；Ｄ、会计系统的设计和重要的会计凭证、账簿种类以及会计报表项目；Ｅ、各部门间信息的传递方式。

５、对客户的内部监督情况进行了解。

Ａ、客户日常性的监督检查方法，即管理者为监督各项工作的运行而使用的预算、计划、责任报告等制度与方法；Ｂ、内部审计的设置和工作情况。

审计方法：调查了解可以通过下列方法进行：A、查阅客户单位的各项管理制度和相关文件；B、询问客户管理人员和其他有关人员；C、检查客户内部控制过程中形成的文件和记录；D、观察客户的业务活动和内部控制的实际运行情况。

(二)评估控制风险。

进行初步评价后，应进行控制风险评估，以确定是否信赖客户的内部控制及信赖的程度。

评估控制风险包括以下工作内容：Ａ、分析可能发生错弊的业务环节和活动领域；Ｂ、考察客户已采取的控制措施；Ｃ、测试相关内部控制的合理性和运行的有效性；Ｄ、确定控制风险水平。

内审操作手册1. 引言内审是一种自我评估和改进的过程，旨在确保组织的内部管理体系符合预定的标准和要求。

本操作手册旨在为企业提供一套全面的内审指南，以保障内审的有效性和高效性。

2. 内审的目的内审的目的是评估组织的内部管理体系是否符合相关标准和法规，并识别任何存在的风险和机会，以便采取适当的措施进行改进和提升。

3. 内审的程序3.1 内审计划的制定在进行内审之前，应制定一份详细的内审计划。

内审计划应明确内审的范围、目标、时间安排、参与人员和所需资源等。

3.2 内审准备工作内审准备工作包括收集和分析与内审相关的文件和记录，明确内审的重点和关注点，并确定内审所需的检查清单和评估标准。

3.3 内审的执行内审的执行包括以下步骤：- 开场会议：内审团队与被审计部门的代表进行开场会议，介绍内审的目的、过程和预期结果。

- 文档审查：内审团队对相关文件和记录进行详细的审核。

- 现场检查：内审团队在被审计部门的现场进行实地检查和观察。

- 个人访谈：内审团队与相关人员进行个人访谈，了解其对内部管理体系的理解和应用情况。

- 数据分析：内审团队对收集到的数据进行分析和比较，以评估内部管理体系的有效性和合规性。

- 结果确认：内审团队与被审计部门的代表进行结果确认会议，共同讨论内审的发现和建议。

- 编写内审报告：内审团队根据内审的结果和发现，编写一份详细的内审报告，包括问题陈述、建议措施和改进计划等。

3.4 内审报告的追踪和跟进内审报告应送交给被审计部门的管理层，并跟进确认其实施改进措施的情况。

内审报告的追踪和跟进有助于确保内审的有效性和持续改进。

4. 内审的要点4.1 内审的独立性与客观性内审应由独立的内审团队或独立的内审部门执行，以确保评估的客观性和公正性。

4.2 内审的保密性内审团队应遵守内审的保密约定，确保内审的信息和结果不被泄露给未经授权的人员。

4.3 内审的跟踪和追溯能力内审团队应确保内审活动的记录和结果具有跟踪和追溯能力，以便在需要时进行审计和检查。

企业内部控制审计操作指引
企业内部控制审计操作指引旨在规范注册会计师执行企业内部控制审计业务，明确工作要求，保证执业质量。

在执行内部控制审计工作过程中，注册会计师应获取充分、适当的证据，为发表内部控制审计意见提供合理保证。

审计工作应基于对企业内部控制设计与运行有效性的审计，并对财务报告内部控制的有效性发表审计意见。

同时，对于在审计过程中注意到的非财务报告内部控制的重大缺陷，注册会计师应在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。

注册会计师可以单独进行内部控制审计，也可将内部控制审计与财务报表审计整合进行（以下简称整合审计）。

在进行整合审计时，注册会计师需要确保从财务报表审计中获取的证据支持其对控制风险的评估结果，并与企业沟通获取的内部控制缺陷。

此外，建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。

企业建立健全内部控制并保持其有效性，以及积极配合注册会计师进行内部控制审计工作，是保证企业健康发展的重要环节。

内部控制审计操作指引内部控制审计是企业在日常经营中进行的一项重要工作。

它旨在评估企业的内部控制体系的有效性和合规性，以确保企业能够识别和管理风险，保护企业的财务资产和数据安全，提升企业的运营效率和竞争力。

首先，内部控制审计需要明确审计的目标和范围。

审计的目标是确定企业的内部控制体系是否符合法规和规章制度，是否能够有效地识别和管理风险。

审计的范围应包括企业的财务管理、信息系统、人力资源管理等各个方面。

接下来，内部控制审计需要进行详细的审计计划。

审计计划应该根据具体的情况来制定，包括审计的时间安排、审计的方法和技术、审计的数据样本、审计的人员配置等。

审计计划的制定需要充分考虑企业的特点和风险状况，以确保审计的全面性和有效性。

在进行内部控制审计时，需要通过采集和分析数据来评估企业的内部控制体系。

数据的采集可以通过各种渠道获取，包括企业的财务报表、内部审计报告、员工的调查问卷等。

数据的分析可以利用数据挖掘等技术手段，从大量的数据中发现潜在的问题和风险。

除了数据的采集和分析，内部控制审计还需要进行实地调查和面谈。

实地调查可以直接观察企业的经营状况和内部控制的实施情况，面谈可以与企业的管理人员和员工进行沟通，了解他们对内部控制的理解和实施情况，以帮助审计人员全面评估内部控制体系的有效性。

在审计的过程中，需要及时发现问题和风险，并提出改进建议。

问题和风险的发现应该具备独立性和客观性，能够真实反映企业的内部控制状况。

改进建议应该具有可行性和指导性，能够帮助企业改进内部控制体系，提升运营效率和风险管理能力。

最后，内部控制审计的结果需要及时向企业的管理层和董事会报告。

报告应该包括审计的目标和范围、审计的方法和技术、审计的结果和改进建议等内容。

报告的撰写要清晰、准确、简明，能够让管理层和董事会清楚了解企业内部控制的状况和问题，以便采取相应的措施和决策。

总之，内部控制审计是企业管理的一项重要工作，它能够帮助企业识别和管理风险，保护财务资产和数据安全，提升运营效率和竞争力。

内控审计评价操作指导书(精)内控审计评价操作流程(XXX31目的 (22范围 (23规范性引用文件 (24术语和定义 (25职责 (26审计评价操作流程简图 (3 7发现缺陷 (38初步判定缺陷 (39汇总评价结果 (410最终判定缺陷 (711使用系统及工具 (812关键控制点 (813流程图 (814跟踪验证 (915报告和记录 (916记录保存 (917支持文件和记录 (918附则 (10附录A 公司费用审计评分示例 (131 目的为了规范审计评价,提高审计质量,正确反映审计对象的管理水平,特制定本操作流程。

本操作流程建立了公司管理的缺陷分类和健康评级标准。

2 范围本操作流程适用于公司内控管理部门对项目的审计评价。

3 规范性引用文件无4 术语和定义下列术语和定义适用于本操作流程。

4.1 重大缺陷(简称Cr可能导致企业严重偏离控制目标的控制缺陷。

[《企业内部控制评价指引》,第十七条]4.2 重要缺陷(简称Mj可能导致企业偏离控制目标的控制缺陷,其严重程度或后果低于重大缺陷。

[《企业内部控制评价指引》,第十七条]4.3 一般缺陷(简称Mi除重大缺陷、重要缺陷之外的其他控制缺陷。

4.4 设计缺陷缺少为实现控制目标所必需的控制,或现存控制设计不适当,即使正常运行也难以实现控制目标。

4.5 运行缺陷现存设计完好的控制没有按照规定的程序和要求进行,或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。

5 职责5.1 主管领导5.1.1 总裁、审计委员会(1对认定为重大缺陷的问题进行复核,做出最终认定意见;(2对内部控制评价报告中列示的问题,督促有关部门或单位采取适当的措施进行改进,对于重大缺陷应追究相关人员的责任。

5.1.2 董事会秘书(1对认定为重大缺陷的问题进行审核;(2对内部控制评价报告中列示的问题,督促有关部门或单位采取适当的措施进行改进。

5.2 内审部5.2.1 审计组成员5.2.1.1 审计人员(1负责初步认定审计发现的缺陷等级;(2负责跟踪审计发现缺陷的落实情况。

内部审计工作手册目录序言第一部分内部审计办法第二部分内部审计具体规范内部审计具体规范第1 号──审计方案编制规范内部审计具体规范第2 号──审计通知书规范内部审计具体规范第3 号──审计证据规范内部审计具体规范第4 号──审计工作底稿规范内部审计具体规范第5 号──审计事项评价规范内部审计具体规范第6 号──审计报告编审规范内部审计具体规范第7 号──审计复核工作规范内部审计具体规范第8 号──审计文书处理规范附表一：财务审计部发文字号登记目录表附表二：上行文件登记表附表三：下行文件登记表附表四：收文登记表附表五：财务审计部发文征求意见反馈统计表内部审计具体规范第9 号──审计档案工作规范附件：审计档案密级及保存期限表第三部分内部审计实务指南内部审计实务指南第1 号──商贸业务及财务审计指南附件一：商贸业务内部控制制度要点指引附件二：商贸业务内部控制调查问卷内部审计实务指南第 2 号──工程预、决算审计指南内部审计实务指南第 3 号──内部控制制度评价指南附件：各类交易业务错弊指引内部审计实务指南第4 号──货币资金收支结存审计指南内部审计实务指南第5 号──结算业务审计指南内部审计实务指南第6 号──固定资产审计指南内部审计实务指南第7 号──成本费用审计指南内部审计实务指南第8 号——经济效益审计评价指南附件：经济效益评价指标体系第四部分附录附录一：审计工作一般流程图附录二：投资项目审计工作流程图附录三：经济效益审计工作流程图附录四：离任审计工作流程图内部独立审计工作规范手册序言本序言旨在说明财务审计部内部独立审计工作规范手册（以下简称“审计手册”）的目标、体系、制定与发布程序，并对其规范内容、约束力及适用范围进行解释。

本序言由财务审计部负责解释。

一、审计手册的制定依据与目标1．审计手册依据《内部审计办法》制定。

2．制定审计手册的目标：2．1 建立执行内部独立审计工作的权威性标准，规范内部审计人员的工作行为，促使内部审计人员恪守独立、客观、公正的基本原则，有效地发挥内部审计的监督和服务作用。

内部审计工作质量控制手册一、前言内部审计作为企业管理的重要组成部分，对于保障企业的健康发展、提高运营效率、防范风险等方面具有不可忽视的作用。

为了确保内部审计工作的质量，规范审计流程，提高审计效果，特制定本内部审计工作质量控制手册。

二、内部审计工作质量控制的目标1、保证内部审计工作符合法律法规、行业规范以及企业内部的相关制度要求。

2、确保审计结果的准确性、可靠性和客观性，为企业决策提供有价值的参考依据。

3、提高内部审计工作的效率和效果，合理利用审计资源，降低审计成本。

4、促进内部审计人员的专业成长和职业发展，提升团队整体素质。

三、内部审计工作质量控制的原则1、独立性原则内部审计机构和人员应独立于被审计单位和业务活动，不受其他部门或个人的干扰，以保证审计工作的客观性和公正性。

2、权威性原则内部审计机构应具有足够的权威性，能够获取所需的审计资料，对审计中发现的问题提出整改意见并监督执行。

3、系统性原则内部审计工作质量控制应贯穿于审计计划、审计实施、审计报告等各个环节，形成一个完整的控制系统。

4、经济性原则在保证审计质量的前提下，合理安排审计资源，降低审计成本，提高审计效益。

四、内部审计工作质量控制的要素1、审计人员（1）内部审计人员应具备相应的专业知识、技能和经验，熟悉审计业务和相关法律法规。

（2）定期接受培训和继续教育，不断提高业务水平和综合素质。

（3）遵守职业道德规范，保持独立性和客观性，保守企业机密。

2、审计计划（1）根据企业的战略目标、经营风险和管理需求，制定科学合理的审计计划。

（2）审计计划应明确审计目标、范围、重点、时间安排和资源配置等。

（3）定期对审计计划进行评估和调整，确保其适应企业发展的变化。

3、审计实施（1）在审计实施过程中，严格按照审计程序和方法进行操作，获取充分、适当的审计证据。

（2）对审计证据进行认真的分析和评价，确保其真实性、合法性和相关性。

（3）加强与被审计单位的沟通和协调，及时解决审计中遇到的问题。

（2）经营过程风险具体包括：
偶然事件（与过程风险分担）：与资产的损失或损害



有关，由火灾、自然的或人为的灾害及意外的损失引 起。 错误、疏漏或延误：产生于人们或机器运行过程中的 随机差异，如计划或操作中的拙劣判断、不适当的或 过时的控制机制以及机器功能失调。 舞弊：产生与供应商、雇员几客户的故意的虚假陈述， 如盗窃、投标做套、行贿、回扣方案和客户的不当行 为。 （3）行为风险通常包括： 生产力受损（与过程风险分担）产生于拙劣的管理实 践和拙劣的工作约定，如无效用的人力资源，拙劣的 领导、偏好、缺乏工作框架和纪律，不一致的管理决 策和个人与工作的冲突。
风险范围的确定与识别：经营风险、行为风险
（1）经营风险：包括所有者风险和经营风险。所有者风险与资产


（不含人力资本）的获取、维护和处理有关；经营风险与运用资 产实现目标有关。 所有者风险具体为： 外在风险：组织控制以外的力量能够影响组织经营过程和目标， 如客户、投标人的需求、劳力、财务、产品市场、供应商、竞争 者、政府管制、经济的、政治的力量、技术、物理、环境等的力 量 保管风险：与拥有和防护资产有关。（由于人力资本的不同特性， 将其归为行为风险）如资产的放弃、处理或存储中的损害及失窃。 偶然事件（与过程风险分担）：与资产的损失或损害有关，由火 灾、自然的或人为的灾害及意外的损失引起。 机会成本（与行为风险分担）：这是对资产的获取及处理作出次 优决定的成本，如购买错误的资产、支付过多、销售资产过早或 过晚、销售造成过于便宜及处置了错误的资产。
4.沟通和协调：
沟通的渠道通畅，冲突的解决，阻碍的排除都有助于
风险的控制，而技术术语、噪声、敌对、不信任、权 利游戏、滞留信息等障碍就会造成风险控制的失败。 5.监测和审核。对于业务性质变数最多、风险最大的地方 要对风险管理全过程施行紧密频繁的检测和评价。 风险导向的内部控制审计程序问题： 1.编制审计计划 2.选择被审计者 3.审计目标与测试 4.审计发现与审计报告 5.后续审计

内部控制审计操作手册范本目录第一章获取审计业务约定书 (1)一、获取审计业务约定书 (1)二、内部控制审计业务约定书的内容 (1)三、连续审计 (2)四、审计业务约定条款的变更 (2)五、业务约定书的文档记录 (3)第二章建立审计项目组 (3)一、项目小组成员的要求 (3)二、组建项目小组的考虑 (3)三、管理、指导、并监督项目小组 (4)四、项目小组成员的角色及责任 (5)第三章了解被审计单位及其环境 (6)一、了解被审计单位及其环境的必要性 (6)二、了解被审计单位及其环境的程度 (7)三、了解被审计单位及其环境的主要内容 (7)3.1行业状况、法律环境与监管环境以及其他外部因素 (7) 3.1.1行业因素 (8)3.1.2 遵守法律法规的规定 (8)3.1.3 其他外部因素 (8)3.2了解被审计单位的性质 (9)3.3被审计单位对会计政策的选择和运用 (10)3.4被审计单位的目标、战略以及相关经营风险 (10)3.5被审计单位财务业绩的衡量和评价 (11)四、了解IT在企业中的角色 (12)4.1了解IT复杂程度 (12)4.2了解IT对我们审计工作的影响 (13)五、如何了解企业及其环境 (13)5.1检阅相关信息 (13)5.2询问企业管理层及其他人员 (14)5.3观察及检查 (14)5.4信息来源 (14)六、确定重大错报风险 (15)七、工作底稿记录 (15)第四章利用专家的工作 (15)一、确定是否利用专家的工作 (16)1.1确定IT专家的介入程度 (17)1.2确定税务专家的介入程度 (17)1.3确定相关行业专家的介入程度 (18)二、利用管理层专家的工作 (18)2.1评价管理层专家的胜任能力、专业素养和客观性 (18)2.2 了解管理层专家的工作 (19)2.3 评价管理层专家的工作是否足以实现审计目的 (20)三、利用事务所的内部专家的工作 (21)四、利用事务所外部专家的工作 (23)五、记录审计工作 (26)第五章了解企业整体的内部控制 (27)一、企业层面控制的内涵 (27)二、企业层面控制对其他控制及其测试的影响 (28)三、了解和评价企业层面内部控制的主要内容 (29)3.1与控制环境(即内部环境)相关的控制 (30)3.1.1管理层的理念和经营风格 (31)3.1.2诚信和道德价值观念的沟通与落实 (31)3.1.3治理层的参与程度 (32)3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 (32) 3.3被审计单位的风险评估过程 (34)3.4对内部信息传递的控制 (35)3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 (35)3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 (36)3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 (36)3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效性36 3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行(如共享服务中心等) (36)3.6集中化的处理和控制(包括共享的服务环境) (36)3.7监督经营成果的控制 (37)四、企业层面控制对其他控制及其测试的影响 (38)五、如何了解企业层面控制 (39)5.1了解企业层面控制的方法 (39)5.2审计证据的考虑和了解企业层面控制的范围 (39)六、识别和评估重大错报风险 (40)七、工作底稿记录 (40)第六章识别舞弊风险并确定应对措施 (40)一、识别舞弊风险的相关要求 (40)二、识别舞弊风险的主要程序及考虑因素 (41)2.1组织项目组讨论 (42)2.2就舞弊风险询问管理层和其他人员 (42)2.2.1询问管理层 (42)2.2.2询问内部审计人员 (43)2.2.3询问内部其他人员 (44)2.2.4询问治理层 (44)2.3考虑舞弊风险因素 (45)2.4考虑异常关系或偏离预期的关系 (45)2.5考虑其他信息 (45)三、识别由于舞弊而导致的重大错报风险 (45)3.1收入确认 (46)四、应对舞弊导致的重大错报风险 (46)4.1总体应对措施 (46)4.2特别措施 (46)五、应对管理层凌驾于控制之上的措施 (47)六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施(47)七、对审计其他方面的影响 (48)第七章确定重要性水平 (48)一、了解确定整体重要性水平需做的考虑 (48)1.1确定整体重要性水平时财务报表使用者的展望与预期 (49)1.2整体重要性水平的恰当基准 (49)1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目(49)1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 . 491.2.3治理层的看法和预期 (49)二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 (50)三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 (50)四、确定整体重要性水平 (50)4.1定义整体重要性水平时确定应用适当百分比的税前利润 (51)4.1.1上市企业或重要项目 (51)4.1.2非重要项目 (51)4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 (51)五、确定特定类别的交易、账户余额或披露的重要性水平 (52)六、确定实际执行的重要性水平 (52)七、在审计过程中修改重要性水平 (53)第八章识别重大账户、重大列报及相关认定 (53)。

目录第一章获取审计业务约定书 (1)一、获取审计业务约定书 (1)二、内部控制审计业务约定书的内容 (1)三、连续审计 (2)四、审计业务约定条款的变更 (2)五、业务约定书的文档记录 (3)第二章建立审计项目组 (3)一、项目小组成员的要求 (3)二、组建项目小组的考虑 (3)三、管理、指导、并监督项目小组 (4)四、项目小组成员的角色及责任 (5)第三章了解被审计单位及其环境 (6)一、了解被审计单位及其环境的必要性 (6)二、了解被审计单位及其环境的程度 (7)三、了解被审计单位及其环境的主要内容 (7)3.1行业状况、法律环境与监管环境以及其他外部因素 (7)3.1.1行业因素 (8)3.1.2 遵守法律法规的规定 (8)3.1.3 其他外部因素 (8)3.2了解被审计单位的性质 (9)3.3被审计单位对会计政策的选择和运用 (10)3.4被审计单位的目标、战略以及相关经营风险 (10)13.5被审计单位财务业绩的衡量和评价 (11)四、了解IT在企业中的角色 (12)4.1了解IT复杂程度 (12)4.2了解IT对我们审计工作的影响 (13)五、如何了解企业及其环境 (13)5.1检阅相关信息 (13)5.2询问企业管理层及其他人员 (14)5.3观察及检查 (14)5.4信息来源 (14)六、确定重大错报风险 (15)七、工作底稿记录 (15)第四章利用专家的工作 (15)一、确定是否利用专家的工作 (16)1.1确定IT专家的介入程度 (17)1.2确定税务专家的介入程度 (17)1.3确定相关行业专家的介入程度 (18)二、利用管理层专家的工作 (18)2.1评价管理层专家的胜任能力、专业素养和客观性 (18)2.2 了解管理层专家的工作 (19)2.3 评价管理层专家的工作是否足以实现审计目的 (20)三、利用事务所的内部专家的工作 (21)四、利用事务所外部专家的工作 (23)五、记录审计工作 (26)第五章了解企业整体的内部控制 (27)一、企业层面控制的内涵 (27)二、企业层面控制对其他控制及其测试的影响 (28)三、了解和评价企业层面内部控制的主要内容 (29)23.1与控制环境(即内部环境)相关的控制 (30)3.1.1管理层的理念和经营风格 (31)3.1.2诚信和道德价值观念的沟通与落实 (31)3.1.3治理层的参与程度 (32)3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 (32)3.3被审计单位的风险评估过程 (34)3.4对内部信息传递的控制 (35)3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 (35)3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 (36)3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 (36)3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效性 (36)3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行(如共享服务中心等) (36)3.6集中化的处理和控制(包括共享的服务环境) (36)3.7监督经营成果的控制 (37)四、企业层面控制对其他控制及其测试的影响 (38)五、如何了解企业层面控制 (39)5.1了解企业层面控制的方法 (39)5.2审计证据的考虑和了解企业层面控制的范围 (39)六、识别和评估重大错报风险 (40)七、工作底稿记录 (40)第六章识别舞弊风险并确定应对措施 (40)一、识别舞弊风险的相关要求 (40)二、识别舞弊风险的主要程序及考虑因素 (41)2.1组织项目组讨论 (42)2.2就舞弊风险询问管理层和其他人员 (42)2.2.1询问管理层 (42)2.2.2询问内部审计人员 (43)32.2.3询问内部其他人员 (44)2.2.4询问治理层 (44)2.3考虑舞弊风险因素 (45)2.4考虑异常关系或偏离预期的关系 (45)2.5考虑其他信息 (45)三、识别由于舞弊而导致的重大错报风险 (45)3.1收入确认 (46)四、应对舞弊导致的重大错报风险 (46)4.1总体应对措施 (46)4.2特别措施 (46)五、应对管理层凌驾于控制之上的措施 (47)六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施 (47)七、对审计其他方面的影响 (48)第七章确定重要性水平 (48)一、了解确定整体重要性水平需做的考虑 (48)1.1确定整体重要性水平时财务报表使用者的展望与预期 (49)1.2整体重要性水平的恰当基准 (49)1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目 (49)1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 (49)1.2.3治理层的看法和预期 (49)二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 (50)三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 (50)四、确定整体重要性水平 (50)4.1定义整体重要性水平时确定应用适当百分比的税前利润 (51)4.1.1上市企业或重要项目 (51)4.1.2非重要项目 (51)4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 (51)4五、确定特定类别的交易、账户余额或披露的重要性水平 (52)六、确定实际执行的重要性水平 (52)七、在审计过程中修改重要性水平 (53)第八章识别重大账户、重大列报及相关认定 (53)一、识别重大账户、重大列报及其相关认定 (53)1.1重大账户或列报 (53)1.2确定重大账户或列报的金额标准 (53)1.3确定重大账户或列报的性质考虑 (54)1.3.1重大账户或列报的性质确定 (54)1.3.2考虑已识别的固有风险 (54)1.3.3评价财务报表项目及附注的错报风险因素 (54)1.4有关账户的其他考虑因素 (55)二、确定相关认定 (55)2.1利润表科目的重要账户的相关认定 (56)2.2资产负债表重要账户的相关认定 (56)2.3与列报和披露相关的认定 (56)三、更新我们确定的重大账户或列报及相关认定 (57)第九章识别重大业务流程和重大列报流程 (57)一、识别业务流程 (57)1.1常规的业务流程 (58)1.2非常规的业务流程 (58)1.3估计的业务流程 (58)二、确定重大流程 (58)2.1确定重大业务流程 (58)2.2对重大估计业务流程的考虑 (59)2.3重大列报流程 (59)三、识别相关信息系统 (60)5第十章关于集团审计的特殊考虑 (60)一、了解集团及其环境、集团组成部分及其环境 (60)二、了解集团及其组成部分的内部控制 (61)三、集团管控风格的影响 (62)四、确定重要性水平以及可容忍误差 (62)4.1确定集团整体财务报表重要性 (63)4.2确定集团实际执行的重要性（可容忍误差） (63)4.3确定组成部分可容忍误差 (63)五、确定重要组成部分 (64)5.1根据规模确定 (65)5.2根据特定性质或情况确定 (65)5.3不重要组成部分 (65)六、识别重大账户、重大列报及其相关认定 (65)七、组成部分内部控制审计策略 (66)八、设定组成部分审计策略的标准 (66)第十一章了解企业内部控制自我评价过程以及利用他人的工作 (67)一、了解企业内部控制自我评价过程 (67)二、利用他人的工作 (68)2.1对专业胜任能力和客观性的考虑 (68)2.1.1专业胜任能力和客观性对可利用他人工作程度的影响 (68)2.2对利用内部审计人员工作的特殊考虑 (69)2.2.1评价内部审计人员的专业胜任能力 (69)2.2.2评价内部审计人员的客观性 (70)2.3利用内部审计人员的工作成果 (71)2.4确定利用他人工作的范围 (74)2.5测试由他人执行的部分工作 (74)三、工作底稿记录 (75)6第十二章评价企业层面控制测试 (75)一、间接的企业层面控制 (75)二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制 (76)三、控制环境 (77)四、充当业务层面控制的直接企业层面控制 (77)五、工作底稿记录 (77)第十三章了解重大业务流程和重大列报流程 (78)一、考虑企业层面控制对重大业务流程和重大列报流程的影响 (78)二、识别重大业务流程和重大列报流程的关键流程 (78)2.1信息来源 (80)2.2询问 (80)2.3观察和检查 (80)2.4对服务机构的考虑 (81)三、在重大业务流程和重大列报流程中识别可能出错项 (81)3.1如何识别可能出错项 (82)3.2将可能出错项联系到相关认定 (83)3.3特别风险和可能出错项 (83)3.4 IT方面的可能出错项 (83)四、识别与审计相关的控制活动 (84)4.1相关的控制的种类 (84)4.2如何开始识别相关控制 (84)4.3对识别降低特别风险的控制的特殊考虑 (84)五、对了解不同性质的重大业务流程的具体考虑 (85)5.1重大业务流程的种类 (85)5.2相关控制活动 (86)5.2.1管理层对专家的利用 (87)75.2.3改变会计估计的方法 (87)5.2.4估计的不确定性 (88)六、对了解重大列报流程的特殊考虑 (88)6.1重大会计账户的列报 (88)6.2财务报表决算过程的列报 (88)第十四章执行穿行测试 (89)一、执行穿行测试 (89)1.1穿行测试的程序 (90)1.2与穿行测试过程中进行的询问相关的考虑 (90)1.3对穿行测试的结果得出结论 (91)1.4对控制有效性的初步评价 (91)二、穿行测试的特殊考虑 (92)2.1会计估计的流程 (92)2.2关于降低重大错报风险的控制的穿行测试的考虑 (92)2.3在执行穿行测试时利用他人工作 (93)2.4针对自动化程序里的数据和交易信息 (93)第十五章选择、测试内部控制 (93)一、选择拟测试的控制的基本要求 (94)二、选择拟测试的控制的考虑因素 (94)2.1选择适当的控制测试 (94)2.1.1控制的目标和分类 (95)2.1.1.1预防性控制和检查性控制 (95)2.1.1.2手工控制和自动执行的控制 (95)2.2确认已选测试的控制与审计相关 (97)2.3评估已选测试的控制是否充分敏感 (97)三、与控制相关的风险 (99)四、控制测试的程序的性质 (100)84.2观察 (100)4.3检查 (100)4.4重新执行 (101)五、控制测试的时间安排 (102)5.1期中测试的两种方法 (102)5.2是否测试被取代的控制 (103)5.3期中测试和前推程序 (103)5.4针对信息技术一般控制（ITGCs）和应用控制的前推程序 (104)5.5集团内部控制审计中实施前推程序的考虑 (104)六、控制测试的范围 (105)6.1影响测试范围的因素 (105)6.2抽样方法的一般考虑 (105)6.3样本参考量 (106)6.3.1测试人工控制的最小样本规模 (106)6.3.2测试应用控制的最小样本规模 (107)6.4追加控制测试 (107)七、执行内部控制测试 (108)7.1执行控制测试的一般考虑 (108)7.2审计证据质量的额外考虑 (108)八、评价控制偏差 (108)8.1确认控制偏差 (108)8.2确定控制偏差的属性 (109)8.3确定审计应对措施 (110)九、工作底稿记录 (110)第十六章了解和评价财务报告流程（FSCP） (111)一、了解和评价财务报告流程过程 (111)1.1财务报告流程了解程度 (111)91.2对财务报告流程进行了解的起点 (112)1.3了解和评价财务报告流程的程序 (113)1.3.1了解财务报告流程的子过程 (113)1.3.1.1编制试算平衡表并进行任何必要的合并 (113)1.3.1.2生成、授权和记录记账分录 (113)1.3.1.3编制财务报表及相关列报 (113)1.4识别可能出错项 (114)1.5识别和了解财务报告流程中的控制活动 (114)1.6初步评价控制的有效性 (115)第十七章了解、穿行测试、测试和评估IT一般控制 (115)一、信息系统审计范围界定 (116)二、信息系统环境中的控制测试 (116)2.1信息系统审计策略的确定 (116)2.2信息系统一般控制测试 (117)2.3系统应用控制测试 (119)三、控制测试底稿 (120)附件一信息系统环境复杂度判断指引 (120)附件二信息系统环境控制测试底稿 (122)第十八章评价内部控制缺陷 (123)一、控制缺陷的分类 (123)二、内部控制缺陷评价时的一般考虑 (124)2.1衡量缺陷严重性的标准 (124)2.2充分考虑缺陷组合 (124)2.3补偿性控制 (124)2.4考虑企业内部控制自我评价的结果 (124)三、财务报告内部控制缺陷评价标准 (124)3.1定量标准 (125)3.2定性标准 (125)10四、非财务报告内部控制缺陷评价标准 (126)五、内部控制缺陷评价程序 (127)六、内部控制缺陷评价的特殊考虑 (130)6.1对信息系统一般控制的考虑 (130)6.2对企业层面控制缺陷评价的考虑 (131)6.3与其他缺陷一同进行评价 (131)6.4内部控制缺陷评价的其他关注领域 (132)七、内部控制缺陷整改 (132)八、工作底稿记录 (132)第十九章完成审计工作 (133)一、项目组内部讨论 (133)二、取得管理层的书面声明 (134)三、与企业沟通控制缺陷 (135)四、形成审计意见 (136)第二十章出具审计报告 (137)一、出具标准内部控制审计报告 (137)二、出具非标准内部控制审计报告 (138)2.1带强调事项段的无保留意见内部控制审计报告 (138)2.2否定意见内部控制审计报告 (139)2.3无法表示意见内部控制审计报告 (139)三、非财务报告内部控制存在重大限制 (140)四、对期后事项的考虑 (140)五、内部控制审计报告与财务报表审计报告的衔接 (141)11第一章获取审计业务约定书在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的《业务承接制度--客户关系和具体业务的接受与保持操作规程》，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。