信永中和会计师事务所
内控测试工作指南
一前言
1为了规范内控有效性测试工作，根据《中国注册会计师鉴证业务基本准则》、《中国注册会计师审计准则第1231号–针对评估的重大错报风险实施的程序》以及《中国注册会计师审计准则第1314号–审计抽样和其他选取测试项目的方法》制定本指南。
2本指南主要目标在于指导审计人员在执行内控测试过程中如何编制测试程序、确定样本总体、确定样本量等工作，以实现内控测试的工作目标。
二适用范围
1本指南所指内控测试主要在于判断内部控制运行的有效性，是建立在了解内控设计并对设计有效性进行评价基础上，以确定控制设计有效为前提。
2本指南中的内控测试主要针对会计报表审计所需内控测试工作，对于专项的内部控制审核项目可参照执行。
三内控测试范围选择
1 识别与财务报告可靠性相联系的内部控制
在进行内控测试前，首先需识别与财务报告相关的内控，从会计报表审计的角度进行内控测试首要原因为内控有效是保障财务报告可靠的基础。识别与财务报告有关的内部控制流程一般需经过如下步骤：
➢首先，项目组需分析并确定被审计单位重要会计报表项目、披露事项；
➢其次，项目组需分析判断影响重要会计报表项目的业务流程循环，同时确定重要会计报表项目与业务循环之间的对应关系；
➢第三，分析确定各个重要会计报表项目和披露事项影响的相关会计报表认定，根据内部控制了解到的对各个重要会计报表项目和披露事项涉及的关键控制
点及相关控制措施确定需进行内控测度的范围。
2 确定进行内控测试的经营场所
被审计单位的组织结构往往比较复杂，会涉及到公司总部、分公司、子公司等，以下统称为经营场所。项目组在执行内控测试前，应根据被审计单位的组织结构特点分析确定对哪些经营场所进行内控测试，主要考虑下列要素：
➢经营场所相关财务状况和经营状况在合并会计报表中的重要程度
➢通过内控了解及评价经营场所出现重大错报风险的可能性
➢选定的经营场所在拟测试的业务循环和内控程序的位置，如属集中处理或共享服务中心
通常情况下，应选择如下公司执行内控测试：
➢被审计单位母公司（或总公司）进行内控测试，因其属于管理的中心；
➢资产及收入占报表比重较大的子、分公司，因其内控是否有效对报表影响重大；
➢业务特殊且重要的分、子公司，因其业务区别于集团内其他公司，可通存在特定风险。
四编制内控测试程序
1 内控测试方法
在内控测试中，通常采用的测试方法为询问、观察、检查、重新执行。各种测试方法定义及主要作用如下：
（1）询问
询问是指测评人员在测试时，为了解被测评单位各项业务操作是否按控制措施执行，而向有关人员询问该项业务在该控制点如何执行的方法。询问通常不是最可靠的证据来源，对内控有效性测评来讲询问不能提供充分的证据证明其是否有效运行。但是询问对于评估控制执行人是否熟悉内部控制设置及控制点控制措施情况非常有效。
（2）观察
观察是指测评人员亲临被测评单位的工作现场，实地观察有关人员控制措施实际执行情况，以确定其是否按规定的控制措施严格执行的方法。对于测试内控是否有效执行而言，观察比询问能够提供更有效的保证。但它主要适用于测试那些不留控制痕迹或不形成控制文档的控制点，它对于评估系统自动化控制关键点的测试是比较有效的方法。
（3）检查
检查是指测评人员抽取一定数量的控制措施形成的书面控制文档，检查其是否按控制措施规定严格执行的方法。检查是基于被测评单位在执行控制措施后，总实是在形成资料文档等证据上表现其履行了控制程序而设计的。在人工内控关键点测试时检查是适
用范围非常广泛的测试方法，除极特殊情况外每个关键控制点测试均要执行检查，以判断控制措施是否执行。
（4）重新执行
重新执行是指测评人员抽取一定数量的控制措施形成的书面控制文档，按控制措施中规定的程序或内容重复执行一次，以验证其是否按控制措施规定严格执行的方法。重新执行是测试控制措施是否有效执行的最有力的方法，对内部控制执行有效性判断保证程度最高。
（5）方法运用
在实际测试时，会计科目，披露事项和业务流程越重要，包含的风险也就越大，而采用多种技术方法进行测试并获取充分的证据就显得更加重要。故一般对某个关键控制点的测试需有效的综合运用四种技术方法方能取得良好的测试效果，对内控执行是否有效得出正确的结论。
2 内控测试程序的编制
在对关键控制点进行测试前，首先要根据关键点控制措施设定测试程序；在编制各关键控制点测试程序时，应按如下步骤操作：
➢首先，认真阅读内控循环描述底及内控测试底稿中控制目标、控制措施，理解控制实质内容；
➢其次，在控制措施中查找如下要点：（1）实施控制的主体，即各岗位人员；（2）如何实施控制；（3）形成何控制文档；
➢第三，根据要点编写程序，控制测试程序一般包括询问、观察、检查、重新执行四种方法：
✧询问：询问实施控制的主体如何实施控制行为；
✧观察：观察相关岗位人员是否按控制措施实施控制行为；
✧检查：根据样本量，抽取控制文档检查是否执行了控制措施；
✧重新执行：重新执行控制文档相关内容，判断执行是否有效。
如上述内控测试方法所述，询问、检查是在控制测试中最常用的方法，每个关键控制点测试均需采用；观察只有在无法执行检查程序时才执行，如观察是否每日将现金放
入保险柜等；重新执行是保证程度最高的测试程序，涉及重要会计报表认定时必须执行；
举例如下：
五样本量确定
关键控制点执行有效性测试，检查和重新执行是保证程度较高的方法，而在执行检查及重新执行方法时，最重要的环节是选取测试样本，只有选取的样本适量且具有代表性才能使审计人员得出正确的结论。但是抽样风险是固有的，即使在选样中没有发现任何问题，从而得出内控有效运行的结论，由于选样中固有风险的存在，内控仍不一定在任何时候都有效运行。故在测试过程中应选择适当的样本数量，从而将抽样风险降至最低。抽样风险一般随着内控活动的频率增加而增加，即某项内部控制活动越频繁控制不能有效运行的风险越高，抽样比例亦应增加。
由于抽样的上述特性，在执行内控测试时，要根据内控活动发生的频次确定选取样本的数量。就频次与样本量之间的关系，目前理论上尚无确定的公认的数据。借鉴国外会计公司的经验同时考虑中国企业的现状设计频次与样本量关系图，下面表格数据为测试时支持控制有效运行结论而必须达到的测试数量的最高限与最低限。
