企业内部控制审计(PPT 48页)

1．识别财务报告风险和控制
（5）支持评估的证明材料
记录管理层付诸实施的用来充分应对 财务报告风险的控制的设计 支持 评估
文档记录的形式
取决于公司的规模、 性质和复杂程度
文档记录的内容
多种形式（比如，纸质文档、 电子或其他媒介） 多种方式出现（比如，政策手 册、过程模型、流程图、工作描 述、单证、内部备忘录、表格等）
综述
安然、世通等财务 舞弊与审计合谋案 件层出不穷
《萨班斯—奥克斯利法案》以及内部控制评审的 相关规则与指引的出台
公司管理层对财务呈报内部控制有效性进行评价，对 内向审计委员会报告、对外发布公开报告。 上市公司内部控制 的评审体系 审计师对财务呈报内部控制进行审计，对公司财务呈 报内部控制的有效性发表审计意见。
依赖于信息技术
总体IT 控制
管理层的评价 过程通常要考 虑的控制
1．识别财务报告风险和控制
（4）总体信息技术控制的作用
总体IT 控制
公司的实际情况和环境不同而存在差异
通常情况下，管理层应当考虑与程序开发有关的总体IT控制目标、程序改变、 计算机运行和对程序和数据的接触是否适用于其实际情况和环境以及适用程度如何。
不必包括影响财务报告的流 程中存在的所有控制。 集中在管理层断定会充分应 对财务报告风险的那些控制上。
2．评价财务呈报内部控制运行有效性的证据
（1）确定支持评估所需要的证据
支持评估所需 证据的多少主要取 决于与控制相关的 财务报告要素的特 征的影响和控制自 身特征的影响，即 对财务呈报内部控 制风险的评估。
一、内部控制的评价要求——美国
Sarbanes-Oxley法案
为上市公司规定了一个内部控制的 评价和报告体系，以提高内部控制 的有效性，加强内部控制信息的透 明度。

Section 404
MANAGEMENT ASSESSMENT OF INTERNAL CONTROLS.
(a) RULES REQUIRED.—The Commission shall prescribe rules requiring each annual report required by section 13(a) or 15(d) of the Securities Exchange Act of 1934 (15 U.S.C.78m or 78o(d))to contain an internal control report, which shall—
审计目标
第四条 注册会计师执行内部控制审计工作，应当获取充 分、适当的证据，为发表内部控制审计意见提供合理保证。 ➢注册会计师应当对财务报告内部控制的有效性发表审计意 见，并对内部控制审计过程中注意到的非财务报告内部控 制的重大缺陷，在内部控制审计报告中增加“非财务报告 内部控制重大缺陷描述段”予以披露。
有效的财务报告内部控制
Effective internal control over financial reporting provides reasonable assurance regarding the reliability of financial reporting and the preparation of financial statements for external purposes.
内部控制审计的制度背景
财政部发布企业内部控制配套指引 （2010）
鼓励，非上市大中型企业 择机，中小板和创业板 2012-1-1，沪深主板，1000多家 2011-1-1，在境内外同时上市的公司，60多家

4 不相容职务失效和优化
不相容 职务介
绍
（1） 不同的业务循环中的不相容职务交叉而导致不相容 职务的失效
甲在销货业务中担任审核同时在投资业务中担任授权, 乙在 销货业务中担任授权同时在投资业务中担任审核。甲乙可 以相互交换权力使本来在单一业务循环中有效的相互牵制 设计失效。特别的是在两个业务循环中两个人担任的职务 正好处于上、下位对调, 这种情况下作弊的可能性极大。
销售与收款 内部控制
6.内部 核查程 序
由内部审计人员或其他独立人员核 查销售交易的处理和记录，是实现 内部控制目标所不可缺少的一项控 制措施。
要点
Key
point
内部控制基本 概念
销售与收款内 部控制
内部控制局限性 及完善
不相容职务
14
不相容 职务介
绍
1 含义
所谓不相容职务是指那些如果由一个人担任，既可能发生 错误和舞弊行为，又可能掩盖其错误和弊端行为的职务。
内部控制 基本概念
1）内部环境：是企业实施内部控制的基础； 六大要素：公司治理结构、内部机构设置于职责分工、
内部审计、人力资源政策、企业文化、法制环境。
内部控 制的要 素
2）风险评估：企业及时识别、系统分析经营活动中与实 现内部控制目标相关的风险，合理确定风险应对策略 。
四个方面：确定风险承受度，识别风险，风险分析和 风险应对。
收款三项业务的部门（或岗位）分別设立；企业在销售 合 谈同判订人立员前 至， 少应 应当 有指 两定 人专以门上人，员并就与销订售立价合格同、的信 人用 员政 相策 分、 离； 发 编货制及销收售款 发方 票式 通等 知具 单体 的事人项员与与客开户具进销售行发谈票判的。人员应相互 分离；销售人员应当避免接触销货现款；企业应收票据的

PPT文档演模板
审计第八章内部控制
PPT文档演模板
第三节 内部控制的评审
一、初步了解与审计相关的内部控制 初步了解，重在设计
二、对内部控制的深入了解（设计和执行） 深入了解，重在执行
• 1、初步评价：评价控制的设计，并确定其是否得到 执行。
• 2、评价结论： • （1）所设计的控制单独或连同其他控制能防止或发
1992年COSO • 6.内部控制整体框架——风险管理阶段（2004
年） 新COSO的“风险组合观”
审计第八章内部控制
• （三）内部控制目标 ——合理保证
• 1、财务报告的可靠性；
• 2、经营的效果与效率；
• 3、经营活动遵守法规 。 • （四）内部控制的固有限制 • 1、人为判断和人为失误； • 2、串通、管理层凌驾于内部控制之上； • 3、人员素质不适应岗位要求。
被审计单位为实现财务报告可靠性目标设计 和实施的控制。
PPT文档演模板
审计第八章内部控制
• 3、了解的深度 • （1）评价控制的设计 • （2）获取控制设计和执行的审计证据 • 获取审计证据的程序： • A.询问被审计单位的人员； • B.观察特定控制的运用； • C.检查文件和报告； • D.追踪交易在财务报告信息系统中的处理过程（穿
审计第八章内部控制
PPT文档演模板
3、内部控制的相关定义 (1)财政部(2001)，内部会计控制规范：“指单 位为了提高会计信息质量，保护资产的安全、完 整，确保有关法律法规和规章制度的贯彻执行等 而制定和实施的一系列控制方法、措施和程序”。
(2)COSO委员会(1994)，内部控制——整体框 架：“由企业董事会、经理阶层和其他员工实施 的为运营的效率和效果、财务报告的可靠性、相 关法律法规的遵循性等目标的达成而提供合理保 证的过程”。

11
内部控制并非万能药
• COSO报告在警告人们不应过度期待或者误解内部控制的 作用时指出：
• 第一，“内部控制有效运行”不等于“企业业绩优良”； • 第二，“内部控制有效运行”并不意味着各控制目的的实
现得到了绝对的保证。 • 内部控制定义中的“合理的保证”，就是指内部控制存在
固有界限。
12Biblioteka 内部控制的固有界限• 内部控制不具有防止和发现经营者错误的功能 • 内部控制可能因有关人员相互勾结、内外串通而失效 • 内部控制是针对常规业务而设计的，对突发性的、异常的
或者例外的业务可能无效 • 内部控制可能因执行人员的粗心大意、疲劳、判断失误和
对指令的误解以及对压力的妥协而暂时失效 • 内部控制可能会僵硬化，不能适应外部环境的变化 • 内部控制的设计和运行受制于成本效益原则
9
• （5）内部审计不很规范，目前我国有关审计工作 的法律已颁布两部分，其一《注册会计师法》； 其二《审计法》；而内部只有审计署颁布的《关 于内部审计工作的规定》，并没有达到法律高度， 这就使得内部审计与国家审计、民间审计法规配 套建设地位的差异，造成企业内部审计无法可依， 当内部审计人员碰到具体问题时感到无章可遵， 在我国的《公司法》中也没有明确规定应该设置 独立的内部审计机构，更没有强调内部审计的权 威性和责任性，导致“为社会服务，向经营领域 拓宽发展”的现代内部审计在短的时间内不能实 现。
8
• （4）内部审计信息真实性和资源配置模式面临考 验。现行内审体系已暴露出一些不足，审计信息 令人堪忧：①从报表设计层面看，难以对管理审 计、效益审计情况及内审部门整体情况进行统计 分析和综合评价；②从报表填报执行层面看， “问题金额”统计存在上下级审计部门之间，不 同类别审计项目之间，上下年度之间重复计算等 现象；③审计实践中还有较多值得商榷和探讨的 问题，如“已审资金”如何确定等。审计资源配 置模式一方面是知识经济、网络经济使审计人员 的能力和知识遇到了挑战；另一方面是依靠外延 式扩张，审计资源配置思想导致了层层设立审计 机构，其结果既不能保证审计质量，也难以形成 审计资源配置的良性循环机制。

3.《基本规范》》第十条
（1）接受企业委托从事内部控制审计的会计 师事务所，应当根据本规范及其配套指引和 相关执业准则，对企业内部控制的有效性进 行审计，出具审计报告。会计师事务所及其 签字的从业人员应当对发表的内部控制审计 意见负责。 （2）为企业内部控制提供咨询的会计师事务 所，不得同时为同一企业提供内部控制审计 服务。
4.非财务报告内部控制（主要涉及内部控制的 遵循性目标、经营性目标和战略性目标） 非财务报告内部控制是指除财务报告内部控 制之外的其他控制，通常是指为了合理保证 除财务报告及相关信息、资产安全外的其他控 制目标的实现而设计和运行的内部控制。
（三）财务报告内部控制审计与财务报表 审计的整合审计
（一）企业内部控制审计的定义 1.定义 企业内部控制审计是指会计师事务所接受委 托，对特定基准日内部控制设计与运行的有效 性进行审计。
2.理解 （1）注册会计师基于基准日内部控制的有效 性发表意见，而不是对财务报表涵盖的整个期 间的内部控制的有效性发表意见； （2）这并不意味着注册会计师只关注企业基 准日当天的内部控制，对有些内部控制，注册 会计师需要考察足够长的运行时间，才能得出 是否有效的结论。
财务报告内部控制审计与财务报表审计是既 有联系，又有区别的两项审计业务。在下表中 对其进行了比较。
1.整合审计定义 注册会计师可以将内部控制审计与财务报表审 计整合进行，也可以单独进行内部控制审计。 2.整合审计目标 在整合审计中，注册会计师应当对内部控制设 计与运行的有效性进行测试，以同时实现下列 目标： （1）获取充分、适当的证据，支持其在内部控制 审计中对内部控制有效性发表的意见； （2）获取充分、适当的证据，支持其在财务报表 审计中对控制风险的评估结果。
3.内部控制审计目标 在内部控制审计中，要求注册会计师对企业 控制设计和运行的有效性进行测试。在财务 报表审计中，也要求注册会计师了解企业的 内部控制，并在必要时测试内部控制。 4.对内部控制审计证据的要求 根据整合审计的要求，在内部控制审计与财 务报表审计中获取的审计证据应当相互印证， 相互利用。

三、内部控制审计
（一）基础理论
１、进行内部控制审计的动因
两权分离之后果：内部控制报告之不确定性，解决的
最有效的手段：请人进行审计，因为
（１）所有者无专业能力进行审计,或者
（２）所有者无时间进行审计，或者
（３）所有者进行自我审计的成本太高
图示
第一关系人
内部控制审计人员
依提
约
供
审
资
计
料
委报
托告
审ห้องสมุดไป่ตู้
结
计
果
受托人 （财产经管者）
注意：同一家事务所不能同时为一家客户提供内部控制评价和审
计服务。
.
2
三、内部控制审计
（一）基础理论
３、内部控制缺陷的认定
重大缺陷
是指一个或多个控制缺陷的组合，可能导致企业严重偏离控 制目标有效性。可能存在重大缺陷的迹象主要包括： （１）注册会计师发现董事，监事和高级管理人员舞弊； （２）企业更正已经公布的财务报表； （３）注册会计师发现当期财务报表存在重大错报，而内部控制
组成，表示明细表中的页数，后两位数字由01-50的整数组成，表示
该记录的行次。如编号1535表示第15页中的第35行的记录。
第二步：编表——设计随机数表：随机数表中随机数的
位数一般由总体项目数或编号位数决定。如前例中可以采用
4位随机数表，也可以采用5位随机数表的前4位或者后4位数字。
第三步：选样——确定连续选取随机数的方法，进行样
在运行过程中未能发现该错报；
（４）企业审计委员会和内部审计机构对内部控制的监督无效。
重要缺陷
是指一个或多个控制缺陷的组合，其严重程度和经济后果低 于重大缺陷，但仍有可能导致企业偏离控制目标。

控制运行频率
整改后控制运行的最短期间或最 最少测试数量 少运行次数
每季1次 每月1次 每周1次 每天1次 每天多次
2个季度
2
2个月
2
5周
5
20天
20
25次（分布于涵盖多天的期间， 25 通常不少于15天）
内控审计报告
四种类型
标准无保留 带强调事项 段无保留 否定
提高经营效率和效果 促进企业实现发展战略
• 财务报告及相关信息真实完整
内部控制审计结论？
• 内部审计部门 • 内部控制评价结论，即是否存在内部控制重大缺陷。
• 外部审计部门 • 无保留意见：企业内部控制在所有重大方面是有效的 • 否定意见：企业内部控制存在重大缺陷 • 无法表示意见：审计范围受到限制
内部控制审计主体（WHO）
• 外部审计部门 • 《企业内部控制审计指引》第2条：本指引所称内部控制审计，是指会计师 事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。
内 部 控 制 审 计 做 什 么 （ W H AT ）
• 内部审计部门 • 内部控制有效性审查与评价 • 全面内部控制审计和专项内部控制审计。 • 编制内部控制缺陷认定汇总表，对内部控制缺陷及其成因、表现形式和影响程度进 行综合分析和全面复核，提出认定意见。 • 编制内部控制审计报告，内容包括审计目标、依据、范围、程序与方法、内部控制 缺陷认定及整改情况，以及内部控制设计和运行有效性的审计结论、意见、建议等 相关内容。 • 报送对象：组织董事会或者最高管理层。
公司名称
财务报告内控 自评结果 审计师事务所
财务报告内控 审计意见
2011 新华制药 无效 信永中和 否定意见
2012 北大荒/天津磁 卡/贵糖股份 无效/有效/有效

对特定时期内部 控制的有效性进 行审计,针对特 定时期相关内部 控制的有效性发 表意见。
03
对特定时期内部 控制设计与运行 的有效性进行审 计，针对特定基 准日的相关内部 控制的有效性发 表意见。
3 内部控制审计的时间范围界定
我国内部控制审计的时间范围： 我国《企业内部控制审计指引》从三种方式的互动中
测试的样本量大。
从控制测试中得到的保证程度
（或减少实质性程序工作量的程
度），样本量相对要小。
报告结 果
（1）对外披露。
（ 1）通常不对外披露内部控制
（2）以正面、积极的 的情况，除非是内部控制影响到
方式对内部控制是否有效 对财务报表发表的审计意见；
发表审计意见。
（2）以管理建议书的方式向管
理层或治理层报告财务报表审计
内 部
报
控
表
制
审
审
计
考虑实质性程序中发现的问 题，确定内部控制的审计重
计
点
6 内部控制审计与财务报告审计的区别
比较项目
内部控制审计
审计目 标
对财务报告内部控制的有效 性发表审计意见，并对内部控 制审计过程中注意到的非财务 报告内部控制的重大缺陷，在 内部控制审计报告中增加“非 财务报告内部控制重大缺陷描 述段”予以披露。
控制）。
5 内部控制审计中注册会计师的责任
被审计单位的内部控制责任 我国《审计指引》指出，建立健全和有效实施内部控制，
评价内部控制的有效性是企业董事会的责任。换言之，内部控 制本身有效与否是被审计单位的责任。
会计师事务所的内部控制审计责任 按照《审计指引》的要求，在实施审计工作的基础上对内
部控制的有效性发表审计意见，是册会计师的责任。 但是，注册会计师应当对发表的审计意见独立承担责任，

第五章
内部控制审计
1
开篇案例——我国第一份内部控制审计的 否定意见报告
• 2012年3月23日，信永中和会计师事务所为山东新华制 药股份有限公司（以下简称新华制药）2011 年 12 月 31 日财务报告内部控制的有效性出具了审计报告
• 信永中和认为由于新华制药的内部控制存在重大缺陷 及其对实现控制目标的影响，对其内控报告出具了否 定意见
9
内部牵制阶段
• 这一阶段的主要特点是“以任何个人或部门不能单 独控制任何一项或一部分业务权力的方式进行组织 上的责任分工，每项业务通过正常发挥其他个人或 部门的功能进行交叉检查或交叉控制。” • 内部牵制机能主要包括：分权牵制、实物牵制、机 械牵制和簿记牵制 • 这一阶段的不足之处，在于人们还没有意识到内部 控制的整体性，强调内部牵制机能的简单运用，不 够系统和完善
• 从2006年证券交易所的鼓励使我国上市公司陆续开始 发布内部控制评价报告及审计意见起，这是我国第一 份上市公司非标准的内部控制审计意见
2
开篇案例
重大缺 陷一
新华制药下属子公司山 东新华医药贸易有限 （以下简称医贸公司） 内部控制制度对多头授 信无明确规定，在实际 执行中，医贸公司的鲁 中分公司、工业销售部 门、商业销售部门等三 个部门分别向同一客户 授信，使得授信额度过 大
5
本章框架
• 内部控制概述 • 内部控制基本理论 • 内部控制审计
6
内部控制概述
• 内部控制的历史演进 • 内部控制的现实意义 • 我国内部控制法规的发展 • 我国企业内部控制规范的框架体系
7
内部控制的历史演进
※内部控制是组织运营和管理活动发展到一定阶段的产物， 是科学管理的必然要求 ※内部控制理论与实践的发展大体上经历了内部牵制、内部 控制系统、内部控制结构、内部控制整合框架等四个不同的 阶段，并已初步呈现向企业风险管理整合框架演变的趋势

德隆问题的暴露折射出中国向良性商业社会 迈进过程中的尴尬和深层危机。
内部人控制的空壳 贪婪膨胀的野心
杜 邦 公 司 的 内 部 审 计
审计重要性水平
• 会计报表层次重要性水平确定方法： ①税前净利润的5% ②资产总额的0.5%至1% ③净资产的1% ④营业收入的0.5%至1%
审计重要性水平
工距离太远了。 • 信息与沟通包括:辨别取得适当的信息并加以沟通两个部
分。 • 实践当中常常只注重与外部的沟通、注重内部自上而下的
沟通，忽视横向及自下而上的沟通。
监督
• 监督：对整个内部控制系统的再控制。 • 监督主要通过内部审计来进行，也有财务监督等。 • 美国世通公司财务问题由内部审计人员发现。 • 原南京伯乐电器集团冷柜厂负责人经济问题由会
• 账户和交易层次重要性水平确定方法： ①按会计报表层次的重要性水平，乘上各账户余额 ②各账户和交易的重要性水平确定为会计报表层次
重要性水平的20%至50% ③各账户和交易的重要性水平确定为会计报表层次
重要性水平的1/6至1/3
社会责任观视角下审计风险的演变
控制环境
问题。
控制环境中的其它因素
➢企业文化 ➢组织结构 ➢信息系统 ➢人力资源政策
这些都与董事会及 管理者素质有关。
风险评估
❖ 企业风险种类： ❖ 经营风险、财务风险 ❖ 索罗斯： ❖ 没有风险不能称之为事业，但要知道什么地
方有风险，给自己留有出路与活路。 ❖ 风险评估： ❖ 对影响目标实现的风险进行判别与分析并采
取应对措施的过程。
控制活动
※控制活动是确保管理层指令得以实现实施的政策
与程序。
※政策方面主要规定应当做什么，程序则使政策运
行并产生效果。

对于销售流程，注册会计师一般针对订单处理、
发货、开票与收款等子流程选取一笔销售实施穿
行测试，再针对销售退回子流程另选取一笔销售
退回交易实施穿行测试。
本例中，注册会计师从X公司9月份的应收账款收
款记录中随意选取一笔销售交易，对该笔销售从
订单生成到收款的交易过程实施穿行测试。
该笔交易涉及订单处理、发货、开票及收款四个
三、了解、评价并测试与销售收人
相关的业务层面控制
(一)了解业务流程及控制
销售与收款业务流程通常包括以下子流程：
(1)订单处理；
(2)发货；
(3)开票；
(4)收款；
(5)调整(包括由于销售退回、坏账准备等导致的调
整)；
(6)常备数据维护；
(7)系统维护
业务流程基本控制矩阵（节选）
(二)实施穿行测试
10、市场销售中最重要的字就是“问”。06:48:3706:48:3706:488/26/2021 6:48:37 AM
11、现今，每个人都在谈论着创意，坦白讲，我害怕我们会假创意之名犯下一切过失。21.8.2606:48:3706:48Aug-2126-Aug-21

12、在购买时，你可以用任何语言；但在销售时，你必须使用购买者的语言。06:48:3706:48:3706:48Thursday, August 26, 2021

17、利人为利已的根基，市场营销上老是为自己着想，而不顾及到他人，他人也不会顾及你。上午6时48分37秒上午6时48分06:48:3721.8.26



内控审计与报表审计区别


目的和对象不同：内控审计是对特定时间
与企业财务报表相关的内部控制有效性发