㈠ 企業內部審計方式和方法有哪些
內部控制相關審計程序和方法問題討論
（一）內部控制審計程序概述
為了論述方便，首先簡要分析一下內部控制審計的分類。經濟組織內部進行內部控制審計，不可能都針對整個內部控制系統進行，更多情況是對其中部分展開。按照涉及內部控制的范圍，大致可分為如下三類：1、業務循環內部控制審計，所謂業務循環內部控制是指對某個業務循環實施的控制，這種審計按照經濟組織的業務縱向展開，專門審計業務循環內部控制；2、非獨立部門內部控制審計，這種審計專門針對某個不獨立的部門或機構所涉及的內部控制，所謂不獨立，是指財務上不獨立，沒有獨立的財務機構，也不單獨核算；3、獨立單位內部控制審計，這種審計是對經濟組織所屬的獨立單位的內部控制進行審計，獨立單位是指財務上獨立的，可以是投資中心或利潤中心，也可以是子公司，單獨設置財務機構的分公司，它們自己本身可能有一套內部控制，同時還要執行經濟組織作為整體的內部控制。這三類審計各有各的特點，但在審計程序上，由於獨立單位內部控制審計相對較復雜，程序最全面，因此以下即以其為藍本討論。
內部控制審計程序與其他審計中作為審計程序的內部控制評價應該有相似之處，因為畢竟兩者都是以內部控制為焦點而展開，但由於服務的目標不一致，在程序上也有差別。內部控制評價程序一般是：1、了解與記錄內部控制；2、初步評價控制風險；3、實施符合性測試；4、評價內部控制的強弱。作為一種單獨開展的審計，了解經濟組織的基本情況這些准備工作是必須的，因為對內部控制需求越強烈的經濟組織，其規模越大，這是必然的；在大規模的組織里，管理高層、各個下屬機構的諸多具體的基本情況內部審計人員不可能都熟悉。了解基本情況是開展內部控制審計的基本條件，否則無從下手。同樣大規模的組織內既存在針對整個組織的控制，也存在針對某個部分或某個下屬機構的控制，內部審計人員也不可能都熟悉，因此了解內部控制也是必須的。在了解內部控制階段，還必須初步分析所了解信息，以初步確定內部控制的健全性和有效性，規劃要實施的符合性測試程序。接下來與內部控制評價程序一樣，實施符合性測試，以獲得遵循性的評價，同時最終確定健全性和有效性。最後歸納總結審計結果，提出審計報告。
總結上述，本文認為內部控制審計程序為：1、了解基本情況；2、了解內部控制；3、實施符合性測試；4、提出審計報告。下面即以該程序為主線展開討論，其中提出審計報告在內部審計報告中討論。
（二）了解基本情況
了解基本情況，是了解所要審計內部控制所涉及單位的基本情況，這些情況是展開審計的必要准備和基本條件，影響著整個審計的過程和結果。這些基本情況包括：1、單位所屬的行業和歷史沿革（著重於管理沿革）；2、單位組織結構、各機構的人員規模和崗位結構；3、單位資產規模、生產經營或專業服務的特點規模；4、主營業務及輔助業務類別、業務量；5、財務會計機構及其工作組織；等等。這些基本情況可以通過詢問管理人員、查閱相關文件、會計和統計資料等方法來獲得。
基本情況獲得後，審計人員就要適當利用自己專業判斷，確定以下內容：1、業務循環及其大致內容；2、必須控制的重要或經常發生的業務；3、內部控制應有的嚴謹程度；4、審計應該投入的人力及分工和時間預算。確定業務循環及其大致內容實際是劃分業務循環的過程，確定的是審計展開的主線；重要或經常發生的業務是必須控制的，確定它們就是確定審計的重點；內部控制的嚴謹程度是與獨立單位的規模相關的，規模較小的單位內部控製程度就相應較低，衡量標准就不能太高，實際這就是確定衡量標準的問題，提出設計意見時必須考慮；確定投入的人力和時間預算是為了保證整個審計過程有條不紊地進行，保證審計質量。
下一步工作是制定審計總體計劃，其主要內容就是上述基本情況獲得後審計人員所確定的內容，主要包括審計的范圍，即業務循環及內容，審計的重點，即必須控制的重要或經常發生的業務，審計組人員構成、分工和時間預算。這個計劃在以後審計過程中還要適時調整。
需要特別說明的是業務循環的劃分。業務循環的劃分是將若干個關聯的經濟業務或管理活動組合在一起。2001年財政部發布的《內部會計控制基本規范》（徵求意見稿）中提出，「內部控制的內容主要包括對貨幣資金、籌資、采購與付款、實物資產、成本費用、銷售與收款、工程項目、對外投資、擔保等經濟業務活動的控制」，其中這些經濟業務就是基本的業務循環劃分，但目前有多樣化的趨勢，國際內部審計師協會就提出預算管理、資訊管理等管理作業。業務循環是以後審計程序展開的主線，了解內部控制和符合性測試都按照它來組織，因此劃分業務循環影響到整個審計的組織、效率和質量。一般來說業務循環應按下列原則來劃分：1、覆蓋單位所有業務及其各個環節；2、每個業務循環能反映出所涉及業務的共同性質特點及其全部過程；3、有利於審計的組織安排。
（三）了解內部控制
了解內部控制的內容
要了解內部控制，首先要解決內部控制的構架問題。1988年美國AICPA提出內部控制結構即控制環境、控制結構和會計系統，我國獨立審計准則即採用這種觀點。1994年COSO報告提出內部控制要素即控制環境、風險評估、控製作業、信息與溝通、監控。內部控制要素是內部控制結構的縱深發展，在內容上進一步完善，在內部環境上更注重員工的素質，增加風險評估強調要實現目標就必須分析相關風險，構成風險管理的基礎，將會計系統擴大為信息與溝通，更強調信息的內部傳達，增加監控要素將內部控制的執行納入進來。由於COSO報告提供出的內部控制理論很全面，更加接近內部控制的本質認識，而內部控制的建設要以先進理論為指導，與實際情況相結合，因此本文認為，在我們目前的條件下，我們應採用COSO報告的觀點，以它的框架為指導，同時鑒於我國目前內部控制落後的情況，應更加註重控製作業和監控，即如何建立起健全有效的控製程序與政策以及它們的實際執行，在控製作業完善的帶動下，風險評估和信息與溝通也逐步完善，同時逐步轉變管理觀念，提高員工素質，建立起合理的法人治理結構和具體組織結構，使控制環境得以改善。
由於內部審計充當監控的主要角色，內部控制審計就是履行監控的職責，因此了解內部控制階段對監控的了解可以置於次要地位；又由於風險評估的風險是管理層和作業層控制目標因內外部風險因素影響而不能實現的風險，對它進行評估後設置相應的控製作業來控制，而內部控制審計要做的一部分工作就是評價控製作業是否能控制住風險，實現控制目標，實際就是風險評估過程，因此風險評估不做了解，而在接下來的分析工作中進行。由於控製作業實際就是控製程序與政策，為了理解直觀起見，本文就稱其為控製程序與政策；由於內外部信息和它們在單位內外部、內部各部門各成員之間的流動可以構成一個系統，因此信息與溝通可以合稱為信息系統。總結上述，本文認為內部控制審計要了解的內部控制要素為控制環境、控製程序與政策及信息系統。
如上所述，了解內部控制以業務循環為主線展開的，即按業務循環逐個循環了解，這些循環構成單位整體，這是橫向的；同時針對每個循環的控制，分別去了解它控制環境、控製程序與程序、信息系統，這是每個循環的控制的縱向構成，是縱向的了解。橫向縱向的交叉了解構成了解內部控製程序的骨架。
了解控制環境是了解影響內部控制其他要素的因素，提供內部控制構成基礎好壞的證據，同時為分析內部控制健全性有效性和遵循性好壞的原因提供證據素材。了解控制環境的內容實際就是控制環境的內容，按照COSO報告，控制環境包括：1）、員工的誠實性和道德觀；2）、員工的勝任能力；3）、董事會或審計委員會；4）、管理哲學和經營方式；5）、組織結構；6）、授權和分配責任的方式；7）、人力資源政策。這里主要是針對各個業務循環所涉及的部門、人員、方法來說的，其中第3點是針對整個單位，實際在了解基本情況程序中就已進行。
了解控製程序與政策，就是了解控制目標實現風險所採取的措施，它是了解內部控制要素中最重要的部分。每個業務循環都可分為若干個作業，而每個作業都要設置若干控製程序和政策來控制，我們本文把這些作業稱為控制點。比如製造業的銷售與收款循環可分為接受定單、核准信用、發運商品、開具發票、應收賬款與記錄、收款、退貨及客訴處理等作業。在業務循環的劃分階段，已經取得了業務循環大致內容的了解，在了解控製程序與政策階段，應進一步了解，去獲得足夠信息來進一步確定業務循環內的各個作業，然後針對每個作業，去了解所採取的控製程序與政策。
了解信息系統只要是了解單位內外部信息記錄載體，以及溝通方式。外部信息載體包括記錄市場份額、法規要求和客戶反映等信息的資料，內部信息載體包括業務申請審批報告、各種分析報告、進行控製作業形成單據、會計資料等等。溝通方式包括政策手冊、財務報告手冊、備查簿、口頭交流、管理示例等。
進行內部控制的了解可採取的方法與內部控制評價程序中的一樣，大致查閱控制文件和控制信息記錄載體、詢問有關人員、觀察作業的進行和內部控制的運行情況等等。
初步分析健全性和有效性
在對內部控制獲得了解後，就可以對其健全性和有效性進行初步分析，以規劃將要實施的符合性測試程序。初步健全性分析主要是分析哪些重要或經常發生的業務或作業應該設置控制而未設置。這些業務在了解基本情況中已獲悉，而重要或經常發生的作業則在了解控製程序與政策中已了解，通過了解控製程序與政策能知道它們是否設置控制。
初步有效性分析主要是針對控製程序與政策而實施的。這實際就是初步的風險評估。初步有效性分析首先要分析確定各個業務循環、各個作業的控制目標，然後再分析所了解到的控製程序與政策，看它們是否能實現控制目標。對於控制有缺陷的可以提出初步的改進意見。
初步的健全性和有效性分析後就可以規劃將要實施的符合性測試。一般來說對於以下情況就可以不進行測試：1）對業務循環或關鍵控制點的控制初步評價為無效；2）在了解內部控制的過程中已知對某業務循環或關鍵控制點的控制未得到遵循；3）在了解單位內部控制的過程中已知對某業務循環或關鍵控制點的控製得到很好遵循；4）雖對業務循環或關鍵控制點設置控制但未發生相關業務。而以下情況就可以考慮進行大范圍的測試：1）相關業務大量發生的業務循環或關鍵控制點的控制；2）相關業務雖不大量發生但涉及金額相對較大的業務循環或關鍵控制點的控制；3）控製程序相對復雜的控制。規劃結果應記入審計計劃，並對審計計劃做相應調整。
記錄內部控制
制度基礎審計理論中記錄內部控制的方法主要有：文字敘述，調查表，核對表，流程圖。本文認為作為記錄方法內部控制審計可以採用。對於控制環境的記錄，一般是文字敘述，按照上述控制環境的幾個方面來記錄。了解基本情況程序也採用文字敘述的方法記錄。記錄要形成審計工作底稿。
記錄內部控制主要是記錄控製程序與政策和信息系統。採用的方法以上四種都可以採用，但以調查表最為常用。在本文中，即討論調查表改進和特殊運用。
一般，調查表的調查內容是有審計人員根據自己的經驗和被審計單位的情況自行設計的，但對於內部控制審計，本文認為，鑒於我國目前內部控制薄弱和人們對內部控制該如何知之甚少的情況，調查表應該引入標准內部控製作為導引，以配合政府推動內部控制的建設。標准內部控制是指針對某個業務或作業由權威部門設計的標准控制。比如2001年財政部發布的《加強貨幣資金內部控制的若干規定》（徵求意見稿），就是標準的內部控制。對於各類型單位共有的業務或作業，如貨幣資金業務、固定資產業務融投資業務等可由財政部門制訂統一標准；對於具有行業特性的業務或作業，如生產循環、銷售及收款等主要針對製造業，則由行業主管部門或行業協會分別制訂，供不同行業採用。在調查表中引入標准內部控制，要從權威部門制訂的針對各業務或作業的標准內部控制中，按業務或作業內部若干個控制點抽取提煉出對控制點的標准控製程序和政策，作為調查表的調查內容。調查控製程序和政策時就循其進行。同時由於引入了標准內部控制，對單位特殊的控製程序和政策可能就無法調查得到，而那些控制也是很重要的，因此有必要將調查表與文字敘述結合起來，加入單位實際做法的敘述。結合的方式就是在每個控制點控制調查內容下面單設一行，用來記錄單位的特殊做法。
（四）符合性測試
1、符合性測試的實施
符合性測試包括設計測試和執行測試，設計測試即健全性和有效性測試，執行測試即遵循性測試。健全性和有效性在了解內部控製程序中已做過初步分析，但由於了解階段獲得的信息可能不徹底，如通過詢問得知對投資業務的控制，但是講述人所述是否真是如此，是否全面，需深入了解，還由於有效性健全性初步分析結果需進一步獲得證據確證，如通過分析認為對某控制點設置的控制能達到控制目標，但這個判斷是否正確，還需要進一步了解實際情況，因此需要通過測試進一步獲得更全面的信息證據來確證。執行測試是符合性測試的主體，主要是檢查內部控制是怎樣執行的。
進行內部控制設計測試，主要要做如下工作：1）更深層次地了解單位的內部控制，作出更准確的健全性和有效性評價；2）獲得進一步支持健全性和有效性初步評價結果的證據；3）檢驗在了解和初步評價內部控制階段所作的重要專業判斷和分析。進行內部控制執行測試，要特別注意如下事項：1）對業務循環和關鍵控制點設計的控制是如何具體組織應用於實際的；2）控制是否一貫執行；3）是否由控制規定職務的人來執行，其中後兩個是重中之中。
《獨立審計准則第5號——內部控制與審計風險》中提供了三種符合性測試方法，即檢查交易和事項的憑證、詢問並實地觀察未留下審計軌跡的內部控制的運行情況、重新執行相關內部控制，三種方法可單獨或合並使用。本文認為符合性測試方法應以檢查為主，同時輔以觀察和詢問。因為控制執行一貫、規定職務人執行是重中之重，而控制執行中留下的審計軌跡亦即控制信息載體能反映出這兩者，檢查控制信息載體就能了解到這兩者，在檢查的同時通過觀察和詢問獲得控制具體應用的證據。檢查控制信息載體，即針對每個業務循環所涉及的單證、報告、合同等控制信息載體，抽取其中部分，檢查執行各個控制點下各個控製程序與政策留下的記錄，推斷出是否得到全面一貫的執行。抽取工作採取屬性抽樣技術來進行，基本與內部控制評價中的相同。樣本量的大小根據了解內部控制階段的規劃確定，樣本採用隨機選樣或系統選樣的辦法選取。
2、遵循性評價
遵循性評價主要針對控制點控制內的各項控制措施。內部控制的實際遵循情況是個程度概念，遵循與不遵循只是它的兩個極端，本文認為對遵循性的評價應採取評級的辦法，以更好的反映遵循程度。遵循性級別最好分為四個到六個等級，等級太少難於准確衡量遵循程度，等級太多難於把握等級之間的差別，由審計人員根據具體情況確定級別；每個級別還應確定應提的審計意見，如遵循性分為A、B、C、D四個級別，被評為A級的，提出執行較好的意見，B級提出應加強的意見，C級提出應重點加強的意見，D級提出特別提示加強的意見。評級時審計人員主要根據屬性抽樣結果，同時綜合考慮通過觀察詢問得到的控制應用於實際的情況，運用自己的專業判斷，評判其遵循性級別。
本文認為，評定級別只是一種手段，重要的是要實現內部控制審計目標。進行評級提出各種加強意見是為了實現督促內部控制執行的審計目標，而發現控制具體應用於實際中存在的問題，以及發現因控制未很好執行而導致財產損失、信息失真、效益下降等問題則是為了檢查內部控制執行。對遵循情況評級後評價時更應注重建設性意見的提出。
3、健全性和有效性評價
通過設計測試既可能獲得健全性和有效性初步評價須修正的補充證據，又可能獲得確證初步評價結果的證據，因此這個階段的評價主要工作一是綜合了解和測試兩階段所獲得所有資料，對健全性有效性作出最終評價；二是針對不健全和控制無效或有缺陷的地方提出審計意見。
健全性評價主要針對重要或經常發生的業務或作業，主要應注意三種情況：1、控制文件中沒有規定控制，測試程序中也未發現實施了控制；2、控制文件中沒有規定控制，經詢問相關人員得知設置了控制，但經測試沒有實施控制；3、沒有控制文件，其他了解方法也不能得知是否設置控制，但經測試已實施控制。前兩種情況就應對相應業務或作業提出控制不健全的意見，後一種應認為實際是健全的，但應提出健全控制文件的建議。
有效性的評價主要是針對未採用標准內部控制而實施特殊控制的情況，對採用了標准內部控制的也要做簡要分析，因為標准內部控制可能不適於單位，而且一些控制政策需要按照標准結合自己的實際自行制定。有效性評價首先要分析確定對各控制點實施控制應達到的目標，本文認為可以在內部控制系統目標的指導下結合控制點的具體情況分析確定，如對現金收入的控製程序，根據保證資產的安全完整目標，分析確定其目標為保證現金收入以真實金額真正流入單位，根據保證信息記錄的真實完整確定控制目標為保證現金收入都真實無誤的加以記錄，根據提高運營效率確定目標為提高現金流入單位的速度，根據保證遵守國家法律規章確定目標為遵守《現金管理暫行條例》相關規定。各個控制點控制目標不一定與控制系統目標一一對應，有些系統目標對某些控制點可能不適用，如采購驗收這一控制點的控制目標就與「保證遵守國家法律規章」無關，根據具體情況採用。目標確定後再分析控制點控制的各項措施是否能達到控制目標。
對測試過程中發現的重大財產損失、效率低下、違法事件等問題，應特別注意分析其控制健全性和有效性原因，如果是因健全性和有效性導致的，那麼這些問題既是健全性有效性初步分析的確證，又是分析評價和提出建設意見的重點。
健全性有效性評價的重點在意見的提出，是為了實現補充完善、再生內部控制的審計目標。對有效性的評價實際上是有效性分析和改進意見形成的混合體，分析的過程中意見也就可以有針對地提出，而且改進意見是目的。健全性的評價實際是確定未控制的業務或作業和針對其建立內部控制的過程，主要工作在後者。可以看出有效性評價和健全性評價在基本方法上是一致的，都是內部控制建立的方法，因為有效性分析和改進意見的提出實際也是在確定控制目標、分析風險、提出控制措施。因此內部控制建立方法是健全性和有效性評價、對實現審計目標的要件。
關於內部控制建立的具體方法本文不再詳述，只提出一點意見。本文認為，在健全意見和有效性改進意見提出的過程中，應特別注意標准內部控制和內部控制方法的運用。標准內部控制前已述及，為配合政府推動內部控制建設，對於特定業務或作業，應注意運用相應的標准內部控制，並與自己的實際情況結合起來，以提出更具建設性的意見。這對健全性意見的提出更具實際意義。內部控制方法在前述2001年我國財政部發布《內部會計控制基本規范》（徵求意見稿）中有規定，它們是：1）組織規劃控制，包括合理的組織機構設置和不相容職務設置，不相容職務為授權批准與業務經辦、業務經辦與會計記錄、會計記錄與財產保管、業務經辦與業務稽核、授權批准與監督檢查；2）授權批准控制，包括確立合理的授權批准范圍、層次、責任和程序；3）文件記錄控制，包括機構職能和授權批准權責文件、崗位說明書、業務程序手冊、業務處理憑證、會計資料系統，或類似的文件，以及這些文件的宣傳認知；4）預算控制，包括預算體系的建立、編制和審定、指標的下達和落實、執行授權、執行過程式控制制、預算差異的研究和反饋、預算的考核及獎罰體系；5）財產保全控制，包括限制接近、定期盤點和核對、記錄保護、財產記錄控制、財產保險；6）職工素質控制，包括職工聘用、培訓、考核、輪崗、獎懲、晉升、解聘；7）風險抵禦控制，包括籌資風險、投資風險、合同風險、信用風險的評估與控制；8）內部報告控制，包括生產報告、經營報告、財務報告、特殊事件報告，以及報告的處理；9）電子信息系統控制，包括系統組織和管理、系統開發與維護、文件資料、數據、網路安全控制，輸入輸出控制、處理控制。這些方法對建立和改進意見的提出能發揮出指導和衡量的作用。
（五） 內部審計報告
與其他審計報告一樣，內部控制審計報告也是對審計結果的總結。在提出審計報告前，審計人員應重新檢查在審計過程中獲得的資料，做如下一些分析：1、是否了解研究了單位所有重要控制；2、所作分析判斷是否得到了測試的證實或有足夠的證據支持；3、是否遺漏了其他需要考慮的影響最終評價的客觀事實；4、最後的健全性有效性遵循性評價是否適當，有足夠的證據支持；5、出現了那些因內部控制導致的重大問題，哪些人員嚴重違反內部控制且已致嚴重後果；等等。審計項目負責人還要復核審計底稿，之後就著手准備撰寫審計報告。
內部審計報告應突出重點，一些細節問題只要通知當事人或主管人員就可以，不必在審計報告中反映，還應便於理解，一些有關內部控制的專業術語盡量用易懂的詞句代替。關於報告內容本人認為應包括如下：1、單位基本情況簡介；2、內部控制體系介紹；3、內部控制健全性有效性遵循性評價及具體意見；4、因內部控制導致的重大問題及有關人員嚴重違反內部控制且已致嚴重後果的事實和處理意見。其中關於健全性有效性遵循性評價及具體意見只反映存在問題的各個控制，運行良好的不必反映。報告格式本文認為無須固定，只要能充分反映出上述內容即可。
審計報告應經過審計組的全體討論通過方可，而且在定稿前應與所設計執行人或管理者溝通，聽取他們對審計建議的意見。這樣做主要是為了保證審計意見質量，使其能更好地得到執行。審計報告向內審機構主管報出。報告批准後，對於重大控制問題最高領導層還應組織聽證會，組織人員落實審計意見。審計完成後內審機構應及時組織回訪，以檢查督促審計意見的執行。
內部控制審計在我國還是新事物，在加緊建設內部控制的大環境下，它的許多問題必須加緊討論，得出統一認識，以促使其盡快更好地發揮出作用。