内部控制缺陷评价
第一节内部控制缺陷评价的原则
《审计指引》第四章第二是条中的要求：“……注册会计师应当评价其识别的各项内部控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷。”因此，注册会计师需要通过系统的方法对审计过程中所识别的内部控制缺陷进行评价，分析其严重程度，并根据分析结果对被审计企业的内部控制有效性做出结论，发表对财务报告内部控制有效性的审计意见。
内部控制缺陷评价是注册会计师实施内部控制审计的关键环节之一。行业和企业的特殊性和多样性使得内部控制的缺陷评价需要注册会计师运用经验和职业判断来完成，因此，注册会计师首先要掌握缺点评价的几项原则：
1.一个内部控制可以对应一个或多个控制目标，相应地，一个内部控制缺陷可能影响包括财务报告真实完整在内的一个或多个内部控制目标。针对财务报告内部控制审计而言，注册会计
师应该以财务报告控制目标为核心，对内部控制缺陷进行评价，对于非财务报告内部控制缺陷的评价考虑，请参阅第六章。
2.控制缺陷的严重程度与账户余额列报是否发生错报无必
然的对应关系，而取决于控制缺陷是否可能导致错报。在评价控制缺陷是，注册会计师需要根据财务报表审计确定的重要性水平，考虑并衡量定量和定性因素，以支持对财务报考控制缺陷的评价。同时，注册会计师需要对整个思考判断过程进行记录，尤其是详细记录：○1关键判断和得出结论的理由；○2对于“可能性”和“重大报错”的判断。
第二节内部控制缺陷的定义和分类
如果某项目控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报。则表明内部控制存在缺陷。如果企业缺少用以及使防止或发现并纠正财务报表错报得必要控制，同样表明存在内部控制缺陷。
内部控制缺陷包括设计缺陷和运行缺陷，设计缺陷是指缺少为内部控制目标所必需的内部控制，或者现有内部控制设计不适当，即使正常运行也不能实现预期的控制目标。运行缺陷是指设计适当
的内部控制没有按设计意图运行，或者执行人员缺乏必要信息或专业胜任能力，无法有效实施内部控制。
根据《审计指引》，内部控制存在的缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷三个等级（见表5-1）。
表5-1 内部控制缺陷严重程度分类
为了更好地知道注册会计师开展财务报告内部控制缺陷评价的工作，财政部会计司和中注协在《企业内部控制审计指引解读》中将财务报告内部控制的缺陷进行进一步扩展如下（见表5-2）。表5-2 财务报告内部控制缺陷严重程度分类
已确定这些缺陷单独或组合起来是否构成财务报告内部控制的重大缺陷。
第三节内部控制缺陷评价的方法
注册会计师需要对在财务报表审计和财务报告内部控制审计中发现的内部控制缺陷，以及注册会计师通过其他途径（例如，审阅企业内部控制自我评价报告，审阅企业内部审计部门、纪检监察部门的报告等）注意到的内部控制缺陷进行分析评价，判断其严重程度。
在评估内部控制缺陷时，注册会计师应运用职业判断，进行定量和定性分析。同时注册会计师对整个思维过程进行记录，尤其是设计关键判断和得出结论的理由。
一、内部控制缺陷评价程序
注册会计师可以参照图5-1所示的财务报告内部控制缺陷评价程序图（以下简称“程序图”）对财务报告内部控制缺陷进行评
价（对非财务报告内部控制缺陷的特殊考虑将在第六章中讨论）。本文从工作流程角度，以现行渐进方式对评估流程进行了介绍。在实际操作中，对缺陷的评估是一个反复的过程，注册会计师常常需要在程序图相关步骤上不断根据新取得信息重新审视并靠从来以前的步骤和分析判断是否充分适当。
需要说明的是，对缺陷的评估是一个需要大量判断的思考过程，因此程序图的目的是帮助具有一定知识和经验的注册会计师以相同的方式来评估缺陷。机械的应用程序图本身并不一定会得出正确的结论，因为评估需要对定量与定性因素进行考虑及权衡。对于不同的企业，即使注册会计师评估的缺陷类似，但由于各企业实施情况的差异，注册会计师可能会得出不同的结论。
二、程序图具体步骤说明
步骤一：次缺陷与财务报表认定是否直接相关？
财务报告内部控制缺陷的严重程度主要取决于其可能导致的财务报表错报的重大程度。因此，在进行财务报告内部控制缺陷评价时，首先需要关注相关控制是否与财务报表认定直接相关。一般而言，财务报告内部控制与财务报表认定的关系表见表5-3.
表5-3 财务报告内部控制与财务报表认定关系表
一些企业层面控制和信息系统一般控制也可能与一个或多个财务报表认定直接相关。例如，精细化的经营活动分析常常能够帮助企业发现财务报告中的错报，因此被认为与财务部报表认定直接相关，属于直接的企业层面控制。此外，一些信息系统控制也可能由于直接支持相关财务报表编制而被判定为与财务报表认定直接相关。注册会计师在评估与财务报表认定间接相关的控制缺陷严重性时，应道考虑有次缺陷（或同类缺陷的汇总）导致其他控制缺陷的可能性和重大程度。
步骤二：此缺陷（或缺陷汇总）是否存在合理的可能性导致财务报表错报？
判断内部控制缺陷的严重程度取决于该缺陷是否已经导致错报金额或可能导致潜在的错报金额。因此，在注册会计师在分析财务报告内部控制缺陷的严重程度是需要考虑：○1内部控制缺陷导致账户余额或列报错报的可能性；○2一个或多个内部控制缺陷的组合导致潜在错报的金额大小。我们将在本步骤和步骤三分别讨论如何从错报可能性和重要性两个维度评价财务报告内部控制缺陷的严重程度。
注册会计师需要判断控制缺陷（单独或汇总）导致的财务报表错报得“合理可能性”，并在工作底稿中详细记录分析的过程和判断依据。对“合理可能性”的判断可以依据定性分析，不需要定量计算“可能性”的大小。
注册会计师在评价一个缺陷或缺陷汇总是否存在合理的可能性导致财务报表错报时，需要考虑以下因素包括但不限于：
（1）账户，列报和相关认定的性质。比如，非常规交易和关联交易可能涉及较大风险。
（2）相关资产或负债对损失或无比的敏感程度，即越敏感，风险就越大。
（3）确定涉及金额所需判断的程度及其主观性和复杂性，及所需判断越多（如与会计估计有关），主观性复杂性越强，
则风险也越大。
（4）在控制执行有效性测试中发现的空偏差的产生原因和频率。
步骤三：此缺陷（或汇总缺陷）可能导致的错报是否对财务报告构成重大影响？
注册会计师在分析了内部控制缺陷导致财务报表错报得可能性后，还需要分析其导致错报的重大程度。
注册会计师需要对控制缺陷或缺陷汇总可能导致的财务报表错报进行估算，与财务报表重要性水平比较，判断内部控制缺陷导致的错报是否对财务报告构成重大影响。
