現(xiàn)代風(fēng)險(xiǎn)導(dǎo)向?qū)徲?jì)認(rèn)為，審計(jì)風(fēng)險(xiǎn)由兩部分組成：財(cái)務(wù)報(bào)表包含重大錯(cuò)報(bào)的風(fēng)險(xiǎn)，以及審計(jì)人員通過執(zhí)行實(shí)質(zhì)性測試仍未發(fā)現(xiàn)這些錯(cuò)報(bào)的風(fēng)險(xiǎn)。對于前一種風(fēng)險(xiǎn)，審計(jì)人員無法加以控制只能予以評估，而對后一種風(fēng)險(xiǎn)審計(jì)人員可以通過選擇和執(zhí)行實(shí)質(zhì)性測試加以控制。為了將審計(jì)風(fēng)險(xiǎn)控制在相同的低水平上，可以對風(fēng)險(xiǎn)評估程序、控制測試和實(shí)質(zhì)性程序采取不同的組合方式，其中某些組合方式將更富有效率和效果。審計(jì)人員究竟采用何種組合，取決于其對內(nèi)部控制“設(shè)計(jì)和運(yùn)行有效性”的判斷，以及對“控制測試更有效”還是“測試賬戶余額本身更有效”的判斷。
一、內(nèi)部控制及其在審計(jì)中的運(yùn)用
(一)內(nèi)部控制標(biāo)準(zhǔn)站在不同的立場或角度，對內(nèi)部控制的需要和認(rèn)識不盡相同。出于對不同群體需要的考慮，COSO開發(fā)了一個(gè)實(shí)用的、能夠被廣泛接受的標(biāo)準(zhǔn)：內(nèi)部控制――整合框架，將內(nèi)部控制描述為為了達(dá)到3個(gè)目標(biāo)所必需的5個(gè)組成部分：控制環(huán)境、風(fēng)險(xiǎn)評估過程、信息系統(tǒng)與溝通、控制活動以及對控制的監(jiān)督。3個(gè)目標(biāo)是：財(cái)務(wù)報(bào)告的可靠性、經(jīng)營的效率和效果、相關(guān)法律法規(guī)的遵循。盡管這些目標(biāo)各不相同，但可能相互交叉。一般而言，很多控制措施可能對應(yīng)一個(gè)以上的目標(biāo)。只有包含廣泛范圍的內(nèi)部控制，才能滿足不同的目標(biāo)，也才能被廣泛的接受。
(二)內(nèi)部控制在審計(jì)中的運(yùn)用現(xiàn)代風(fēng)險(xiǎn)導(dǎo)向?qū)徲?jì)要求審計(jì)人員以重大錯(cuò)報(bào)風(fēng)險(xiǎn)的識別、評估和應(yīng)對為審計(jì)工作的主線，提高審計(jì)工作的效率和效果。審計(jì)人員是在了解被審計(jì)單位及其環(huán)境(包括內(nèi)部控制)的過程中識別與評估財(cái)務(wù)報(bào)表層次和認(rèn)定層次的重大錯(cuò)報(bào)風(fēng)險(xiǎn)，并針對不同層次的風(fēng)險(xiǎn)，分別采取總體應(yīng)對措施和進(jìn)一步審計(jì)程序。其中對內(nèi)部控制實(shí)施的審計(jì)程序包括兩個(gè)步驟：對內(nèi)部控制的了解和控制測試。前者是必須程序，后者是非必須程序。對內(nèi)部控制執(zhí)行的審計(jì)程序的性質(zhì)和范圍，取決于審計(jì)人員對控制風(fēng)險(xiǎn)水平的判斷(如圖1所示)。
二、了解內(nèi)部控制
(一)了解內(nèi)控的含義對企業(yè)內(nèi)部控制的了解是指，將內(nèi)部控制與企業(yè)的其他信息(如以前年度的經(jīng)驗(yàn))一起考慮，來評估控制的設(shè)計(jì)是否有效?！霸O(shè)計(jì)有效性”指的是一項(xiàng)控制單獨(dú)或連同其他控制是否能夠有效防止或發(fā)現(xiàn)并糾正重大錯(cuò)報(bào)。對內(nèi)部控制的了解還包括確定企業(yè)是否在實(shí)際應(yīng)用這些控制。
(二)了解內(nèi)控的范圍盡管內(nèi)部控制關(guān)系到整個(gè)企業(yè)以及企業(yè)的各個(gè)經(jīng)營單位或業(yè)務(wù)功能，但審計(jì)人員并不必了解與企業(yè)的每個(gè)經(jīng)營單位或業(yè)務(wù)功能相關(guān)的內(nèi)部控制。在評估控制風(fēng)險(xiǎn)時(shí)，審計(jì)人員最關(guān)心的是影響財(cái)務(wù)報(bào)表認(rèn)定可靠性的控制。即如果某一內(nèi)部控制程序產(chǎn)出的信息形成財(cái)務(wù)報(bào)告信息或檢驗(yàn)財(cái)務(wù)報(bào)告信息，則這一內(nèi)部控制程序是與財(cái)務(wù)報(bào)告相關(guān)的內(nèi)部控制程序。如用來保護(hù)或維護(hù)資產(chǎn)免受非授權(quán)購買、使用或變賣的控制，通常既能夠滿足財(cái)務(wù)報(bào)告的目標(biāo)，又能夠滿足經(jīng)營的目標(biāo)。審計(jì)人員在考慮這些控制時(shí)，通常局限于與財(cái)務(wù)報(bào)告可靠性相關(guān)的控制上。大多數(shù)與管理層各種決策過程的效率和效果相關(guān)的控制都與審計(jì)無關(guān)。如限制在企業(yè)的生產(chǎn)過程中過度使用原材料的措施，通常與審計(jì)無關(guān)，審計(jì)人員不必在了解內(nèi)部控制和評估控制風(fēng)險(xiǎn)時(shí)予以考慮。
(三)了解內(nèi)控的要求與財(cái)務(wù)報(bào)告相關(guān)的控制，在企業(yè)中被應(yīng)用于各種層面。有些控制要素(如控制環(huán)境)在企業(yè)的較高層面運(yùn)行，因此對很多乃至所有賬戶的余額都有影響。有些控制被應(yīng)用到一個(gè)循環(huán)或一個(gè)循環(huán)中的整個(gè)交易類別，影響到相關(guān)交易產(chǎn)生的賬戶余額，而控制活動則在更低、更詳細(xì)的層面上運(yùn)行，主要關(guān)注交易循環(huán)中的單個(gè)應(yīng)用程序，并對特定賬戶余額和審計(jì)目標(biāo)產(chǎn)生影響。不同控制組成部分，達(dá)到財(cái)務(wù)報(bào)表認(rèn)定或?qū)徲?jì)目標(biāo)的效果也不同。較高層面的內(nèi)部控制是否有效將直接影響重要業(yè)務(wù)流程層面控制的有效性。因此，要求審計(jì)人員從被審計(jì)單位整體層面和業(yè)務(wù)流程層面分別了解被審計(jì)單位的內(nèi)部控制。
(四)了解內(nèi)控的技術(shù)方法審計(jì)人員應(yīng)充分了解內(nèi)部控制的5個(gè)要素，以便針對每個(gè)重要交易類別和賬戶余額進(jìn)行初步風(fēng)險(xiǎn)評估。實(shí)務(wù)中常用的技術(shù)方法有：(1)觀察：指審計(jì)人員親臨工作現(xiàn)場，實(shí)地觀察有關(guān)人員的工作情況，以確定控制措施是否有效的方法。(2)詢問：指為了解公司內(nèi)部控制設(shè)計(jì)是否有效，執(zhí)行是否符合要求，而向有關(guān)人員詢問情況的方法，包括口頭詢問和書面詢問，并對詢問結(jié)果進(jìn)行分析、判斷。(3)檢查：指抽取內(nèi)部控制生成的記錄和文件，檢查內(nèi)部控制是否有效實(shí)施的方法。如通過檢查借款審批單上的有關(guān)負(fù)責(zé)人簽字，核實(shí)資金支付是否經(jīng)過恰當(dāng)?shù)氖跈?quán)審批。(4)穿行測試：指選取某一交易樣本，從該交易開始啟動到授權(quán)、記錄和處置，并經(jīng)過信息處理系統(tǒng)，最終反映在財(cái)務(wù)報(bào)表的整個(gè)過程進(jìn)行追蹤、測試。通過穿行測試，可以有助于審計(jì)人員對內(nèi)部控制進(jìn)一步詳細(xì)了解，并有助于判斷內(nèi)控設(shè)計(jì)和執(zhí)行的缺陷。
(五)初步評價(jià)在了解了足夠的內(nèi)部控制信息后，審計(jì)人員通過檢查所設(shè)計(jì)的控制程序在良好運(yùn)行條件下，能否達(dá)到目標(biāo)來評價(jià)控制設(shè)計(jì)的有效性。當(dāng)某項(xiàng)控制的設(shè)計(jì)或運(yùn)行不能使管理層或員工在正常行使其職責(zé)過程中及時(shí)防止或發(fā)現(xiàn)錯(cuò)報(bào)時(shí)，表明存在某項(xiàng)內(nèi)部控制缺陷。設(shè)計(jì)缺陷包括以下兩種情形：(1)為達(dá)到實(shí)現(xiàn)控制目標(biāo)的必要控制措施未實(shí)施；(2)現(xiàn)有控制的設(shè)計(jì)不適當(dāng)，以至于盡管控制按照設(shè)計(jì)運(yùn)行，但控制的目標(biāo)經(jīng)常不能實(shí)現(xiàn)。審計(jì)人員對控制的評價(jià)結(jié)論可能是：(1)控制設(shè)計(jì)合理，并得到執(zhí)行；(2)控制設(shè)計(jì)合理，未得到執(zhí)行；(3)控制設(shè)計(jì)無效或缺乏必要的控制。
(六)示例由于企業(yè)的規(guī)模和復(fù)雜程度及控制的性質(zhì)各不相同，對內(nèi)部控制的了解也存在差異。本文列示了對大中型企業(yè)內(nèi)部控制的了解。
(1)對整體層面內(nèi)部控制的了解。對整體層面內(nèi)部控制的了解主要針對控制環(huán)境、風(fēng)險(xiǎn)評估、與財(cái)務(wù)報(bào)告相關(guān)的信息系統(tǒng)與溝通以及監(jiān)督四個(gè)要素進(jìn)行，這些要素在企業(yè)的較高層面運(yùn)行，通常與企業(yè)的所有交易均相關(guān)。在具體實(shí)施時(shí)，審計(jì)人員要分析每個(gè)控制要素的具體內(nèi)容，針對各自的影響因素，確定相應(yīng)的控制目標(biāo)，并根據(jù)不同的控制目標(biāo)，了解和記錄被審計(jì)單位采取的相關(guān)控制措施，進(jìn)而判斷控制設(shè)計(jì)是否合理。表1列示了實(shí)務(wù)中對“控制環(huán)境”要素的了解和評價(jià)。
(2)對業(yè)務(wù)流程層面內(nèi)部控制的了解。與其他控制要素不同，控制活動均在業(yè)務(wù)層面上進(jìn)行，一般只針對數(shù)量大或風(fēng)險(xiǎn)高的交易類別及某些特定賬戶余額和審計(jì)目標(biāo)，其關(guān)系到特定的經(jīng)營過程和相關(guān)交易及賬戶，因而比運(yùn)轉(zhuǎn)在較高層面、較為概括的控制更加直接地影響企業(yè)的財(cái)務(wù)報(bào)告目標(biāo)。實(shí)務(wù)中通常首先針對各循環(huán)的控制目標(biāo)，將常用的控制活動與被審計(jì)單位的控制活動進(jìn)行比較，并評價(jià)控制活動對實(shí)現(xiàn)控制目標(biāo)是否有效。其次，進(jìn)行穿行測試，以確定控制是否得到執(zhí)行。表2列示了對銷售和收款循環(huán)中控制活動的了解和評價(jià)。
三、實(shí)施控制測試
(一)控制測試的含義與目的控制測試指測試控制運(yùn)行的有效性。運(yùn)行有效性是指如何運(yùn)用一項(xiàng)控制，其是否在本期自始至終處于運(yùn)行狀態(tài)，以及什么人負(fù)責(zé)其運(yùn)行。作為進(jìn)一步審計(jì)程序的類
型2_--，控制測試并非在任何情況下都需要實(shí)施。審計(jì)人員實(shí)施控制測試是基于以下兩個(gè)目的：一是出于成本效益的考慮。在評估認(rèn)定層次重大錯(cuò)報(bào)風(fēng)險(xiǎn)時(shí)，如果預(yù)期控制的運(yùn)行是有效的，那么與該控制有關(guān)的財(cái)務(wù)報(bào)表認(rèn)定發(fā)生錯(cuò)報(bào)的可能性就不會很大，審計(jì)人員就可以減少相應(yīng)的實(shí)質(zhì)性程序。二是為了獲取另一類的審計(jì)證據(jù)。當(dāng)僅實(shí)施實(shí)質(zhì)性程序獲取的審計(jì)證據(jù)無法將認(rèn)定層次重大錯(cuò)報(bào)風(fēng)險(xiǎn)降低至可接受的低水平時(shí)，審計(jì)人員應(yīng)當(dāng)實(shí)施控制測試，以獲取控制運(yùn)行有效性的證據(jù)。
(二)控制測試的確定實(shí)務(wù)中控制測試的具體運(yùn)用包括兩種情形：一是了解內(nèi)部控制同時(shí)執(zhí)行控制測試；二是為降低控制風(fēng)險(xiǎn)的評估水平而執(zhí)行額外的控制測試。審計(jì)人員究竟決定怎樣進(jìn)行測試以及測試哪些控制，主要依據(jù)對控制風(fēng)險(xiǎn)的初步評估。評估的控制風(fēng)險(xiǎn)水平越低，就越需要有關(guān)控制有效運(yùn)行的證據(jù)。
(1)了解內(nèi)部控制同時(shí)執(zhí)行控制測試。如果將控制風(fēng)險(xiǎn)初步評估為低于最大值，但不是低水平，那么審計(jì)人員就會將控制測試限制在企業(yè)層面的控制和業(yè)務(wù)層面的監(jiān)督控制上。而大多數(shù)業(yè)務(wù)中，審計(jì)人員通過了解內(nèi)部控制時(shí)執(zhí)行的程序，能夠取得某些企業(yè)層面控制有效運(yùn)行的證據(jù)，來支持控制風(fēng)險(xiǎn)低于最大值的評估結(jié)論，因此，就不需要執(zhí)行進(jìn)一步的控制測試。在了解控制的同時(shí)所執(zhí)行的控制測試通常不是針對控制活動進(jìn)行的，因此不能提供充足的證據(jù)來支持控制風(fēng)險(xiǎn)為低水平的評估結(jié)論。
(2)執(zhí)行額外的控制測試。為了將控制風(fēng)險(xiǎn)評估為低水平，審計(jì)人員可能會需要進(jìn)行額外的控制測試。額外的控制測試是針對控制活動進(jìn)行的。因?yàn)榭刂苹顒邮菓?yīng)用在更低、更詳細(xì)的層次上，而且相對于控制的其他組成部分來說，控制活動對特定審計(jì)目標(biāo)和交易循環(huán)中賬戶余額有更直接的影響，因此，控制活動的測試對支持低水平的控制風(fēng)險(xiǎn)評估來說是必不可少的。但是測試控制活動通常比測試其他組成部分的控制，需要投入更多的審計(jì)精力。因此，除非審計(jì)人員已經(jīng)確定可以取得證據(jù)，來支持賬戶余額或交易類別的完整性、準(zhǔn)確性以及存在性或發(fā)生性這三個(gè)目標(biāo)的控制風(fēng)險(xiǎn)評估為低水平，而且證據(jù)的取得方式是有效率的，否則通常不會測試控制活動。在滿足以上要求的情況下，審計(jì)人員就能省略或大大削減上述目標(biāo)相關(guān)的實(shí)質(zhì)性測試。
(三)控制測試的程序?qū)徲?jì)人員在進(jìn)行控制測試時(shí)使用的技術(shù)方法、執(zhí)行測試的時(shí)間及測試數(shù)量，取決于對支持具體控制風(fēng)險(xiǎn)評估結(jié)果的必要證據(jù)的判斷。審計(jì)人員在做這些決定時(shí)，應(yīng)該考慮證據(jù)的來源、證據(jù)的及時(shí)性以及其他相關(guān)證據(jù)是否存在。
(1)控制測試技術(shù)方法。進(jìn)行控制測試時(shí)，可以使用的技術(shù)方法有詢問、觀察、檢查文件和記錄以及重新執(zhí)行。除了重新執(zhí)行，其他用來進(jìn)行控制測試的方法和那些用于了解控制的方法完全一樣?？梢?，為評價(jià)控制設(shè)計(jì)和確定控制是否得到執(zhí)行而實(shí)施的某些風(fēng)險(xiǎn)評估程序并非專為控制測試而設(shè)計(jì)，但可能提供有關(guān)控制運(yùn)行有效性的審計(jì)證據(jù)。通?；谟^察、詢問和檢查文件記錄而進(jìn)行的測試，能夠提供足夠的證據(jù)，來證明相關(guān)控制的運(yùn)行是有效的。只有當(dāng)詢問、觀察和檢查程序結(jié)合在一起仍無法獲得充分的證據(jù)時(shí)，審計(jì)人員才考慮通過重新執(zhí)行來證實(shí)控制是否有效運(yùn)行。
(2)控制測試范圍?？刂茰y試中應(yīng)用的程序應(yīng)該足夠廣泛，以支持對控制風(fēng)險(xiǎn)的評估。如審計(jì)人員詢問銷售經(jīng)理，如何審核和調(diào)查毛利率異常的報(bào)告，如果僅僅詢問銷售經(jīng)理是否對差異做了調(diào)查，是不充分的。通常還應(yīng)該詢問：報(bào)告是怎樣審核；是否每個(gè)報(bào)告都經(jīng)過審核；如何調(diào)查報(bào)告上的項(xiàng)目；哪些問題導(dǎo)致出現(xiàn)這些異常情況等。
(3)證據(jù)的時(shí)效性。如果在控制測試中使用觀察技術(shù)，審計(jì)人員應(yīng)該考慮到，從測試中獲取的證據(jù)僅僅與觀察發(fā)生的時(shí)點(diǎn)相關(guān)。該證據(jù)不足以評價(jià)在非測試期間控制的有效性。在這種情況下審計(jì)人員會決定執(zhí)行其他的控制測試，來獲得控制在整個(gè)審計(jì)期間運(yùn)行有效的證據(jù)。如審計(jì)人員會在某個(gè)時(shí)點(diǎn)觀察存貨的盤點(diǎn)，并檢查其他時(shí)間段內(nèi)用于記錄存貨盤點(diǎn)的文件。
(4)控制的持續(xù)運(yùn)行。在評估控制測試是否支持計(jì)劃的實(shí)質(zhì)性控制范圍時(shí)，審計(jì)人員需要確定相關(guān)控制在本期內(nèi)是否持續(xù)運(yùn)行。由于手工控制和計(jì)算機(jī)控制的特點(diǎn)不同，其控制風(fēng)險(xiǎn)也存在差異。手工應(yīng)用的控制更容易發(fā)生隨機(jī)失敗。當(dāng)評估這些控制時(shí)，審計(jì)人員應(yīng)取得證據(jù)，證明其被用于不同的時(shí)間和地點(diǎn)。當(dāng)然這些測試不需要很廣泛。在某些情況下，對監(jiān)督控制的測試，能夠提供手工執(zhí)行控制持續(xù)運(yùn)行的有效證據(jù)。而且，獲取有關(guān)持續(xù)運(yùn)行的證據(jù)，并不必總是將測試拓展至整個(gè)期間。如某項(xiàng)控制包括審核和追蹤異常報(bào)告，那么只要特定要求得到了遵守，如報(bào)告了“已收到但沒有出具發(fā)票的貨物”，就表明該項(xiàng)控制是連續(xù)的。對于計(jì)算機(jī)控制，如果已經(jīng)進(jìn)行了測試，并且發(fā)現(xiàn)其運(yùn)行有效，那么就提供了程序化的會計(jì)和控制流程在整個(gè)期間內(nèi)持續(xù)運(yùn)行的證據(jù)。
(四)控制測試結(jié)果的評估審計(jì)人員應(yīng)從以下幾個(gè)方面評估控制測試的結(jié)果：(1)計(jì)劃的控制風(fēng)險(xiǎn)估計(jì)水平是否已經(jīng)達(dá)到。如果審計(jì)人員發(fā)現(xiàn)某個(gè)審計(jì)目標(biāo)重大錯(cuò)報(bào)風(fēng)險(xiǎn)比預(yù)期的高，就必須考慮需要從實(shí)質(zhì)性測試中取得的保證。(2)考慮出現(xiàn)偏離或缺陷的原因。如果控制測試揭露以前描述過的控制中出現(xiàn)了偏離或缺陷，審計(jì)人員應(yīng)該考慮出現(xiàn)的原因，是有意還是無意。有意的偏差或缺陷可能意味著存在欺詐行為，審計(jì)人員要考慮其對管理層和員工的正值性和其他審計(jì)內(nèi)容的影響。如果是無意的偏差或缺陷，審計(jì)人員應(yīng)考慮如何修改實(shí)質(zhì)性測試計(jì)劃的內(nèi)容。(3)綜合考慮控制的所有組成部分。不同的控制組成部分，通過不同的方式對內(nèi)部控制起作用。只有企業(yè)層面的內(nèi)部控制組成部分有效，內(nèi)部控制的整體才有效。如果審計(jì)人員推斷整個(gè)企業(yè)的內(nèi)部控制是有效的，那么內(nèi)部控制的其他低層次方面被越權(quán)或忽略以及出現(xiàn)錯(cuò)報(bào)的風(fēng)險(xiǎn)也會比較低。這個(gè)結(jié)論能幫助審計(jì)人員確定其他審計(jì)程序的性質(zhì)、時(shí)間和范圍。
(五)示例實(shí)務(wù)中，應(yīng)針對不同的控制目標(biāo)及被審計(jì)單位的控制活動，考慮控制執(zhí)行的頻率，采取相應(yīng)的程序獲取證據(jù)，以評價(jià)控制活動是否有效，是否支持控制風(fēng)險(xiǎn)的評估水平。表3列示了對控制活動進(jìn)行的測試和評價(jià)。
四、存在問題及對策
(一)內(nèi)部控制評價(jià)缺乏標(biāo)準(zhǔn)我國現(xiàn)實(shí)條件下并不存在具有普遍指導(dǎo)意義的內(nèi)部控制標(biāo)準(zhǔn)規(guī)范，尚未形成完整的內(nèi)部控制整體框架?，F(xiàn)實(shí)中，至少存在包括證監(jiān)會、財(cái)政部、人民銀行、證券交易所等部門或主管單位發(fā)布的關(guān)于內(nèi)部控制標(biāo)準(zhǔn)的規(guī)范文件。上述各規(guī)范中關(guān)于“內(nèi)部控制”的定義不盡相同，企業(yè)選擇的內(nèi)部控制標(biāo)準(zhǔn)就存在差異。這將導(dǎo)致審計(jì)人員對內(nèi)部控制評價(jià)的困擾，進(jìn)而影響內(nèi)部控制評價(jià)的合理性。
(二)企業(yè)對內(nèi)部控制的認(rèn)識存在偏差實(shí)踐中，有些企業(yè)認(rèn)為內(nèi)部控制就是根據(jù)有關(guān)部門及主管單位的要求而制定的各項(xiàng)規(guī)章制度，只要制定了相應(yīng)的制度規(guī)定，就已經(jīng)建立了企業(yè)內(nèi)部控制；也有些企業(yè)認(rèn)為有關(guān)的分工體系、審批授權(quán)制度，就是內(nèi)部控制制度；甚至有些企業(yè)根本就缺乏應(yīng)有的內(nèi)部控制。這種內(nèi)部控制內(nèi)容混亂的現(xiàn)象，導(dǎo)致審計(jì)人員對內(nèi)部控制評價(jià)缺乏應(yīng)有的基礎(chǔ)。
針對以上問題，筆者認(rèn)為：首先，應(yīng)根據(jù)我國企業(yè)的具體狀況，以COSO報(bào)告的內(nèi)容為參考，制定一個(gè)統(tǒng)一的、能被廣泛接受的內(nèi)部控制標(biāo)準(zhǔn)。其次，企業(yè)應(yīng)該加強(qiáng)內(nèi)部控制建設(shè)，根據(jù)相關(guān)法律法規(guī)要求，結(jié)合自身的特點(diǎn)制定一套較為科學(xué)的內(nèi)部控制制度，從而為審計(jì)人員開展內(nèi)部控制評價(jià)提供基礎(chǔ)。
