审计实务中对内部控制的相关探讨

《中国注册会计师审计准则第1211号——通过了解被审计单位及其环境识别和评估重大错报风险(2010)》要求注册会计师实施风险评估程序，为识别和评估财务报表层次和认定层次的重大错报风险提供基础，并针对评估的重大错报风险设计和实施控制测试和实质性程序。这使得注册会计师即使不实施控制测试也不能回避对内部控制的了解，整合审计将是注册会计师今后业务发展的一个大趋势，对内部控制进行测试也将是注册会计师必备的一个技能。在此笔者将自己的一些看法与大家交流。
    一、对内部控制理念相关理解的探讨
    1.不能仅重视有效控制，而忽视有缺陷的控制
    在审计过程中，审计人员往往投入较多的审计资源去了解设计有效并得到执行的控制，而忽视表面设计有缺陷且未完全得到执行的控制。风险评估程序即了解内控的目的是发现高风险区域，从而采取有针对性的审计程序。只有了解内部控制的缺陷，才能更好地设计实质性程序，才能有针对性地运用实质性程序去进行弥补。实际审计中审计人员往往违背了风险导向审计设计者的初衷，为此，《中国注册会计师审计准则第1501号——对财务报表形成审计意见和出具审计报告(2010)》规定，注册会计师考虑与财务报表编制和公允列报相关的内部控制，以设计恰当的审计程序，但目的并非对内部控制的有效性发表意见。
    2.应充分重视内部控制的主体、客体因素
    相同的控制对不同的客体有着不一样的效果，而实务中，审计人员往往没有对内部控制的客体因素加以区别了解。COSO特别强调“人”在内部控制中的作用，企业人员既是控制的主体，又是控制的客体，显而易见，同样的控制对不同的人有着不一样的效果，同理，同样的控制由不同的人执行也可能有着不一样的效果。审计人员应在评价内部控制时考虑这个因素。
    3.对没有实现最终目标控制的了解
    应了解内部控制的全部环节，不能因为该控制没有达到设计者的最终目标而放弃对该控制的了解。因为达到控制的最终目标往往需经过几道目标的实现才能最终实现，而在实现目标过程中的各阶段目标往往还能为注册会计师所利用。
    上述内容对注册会计师的审计很重要，因为企业的内部控制不会以理想的模式存在并执行在企业的管理之中，审计人员只有从各个控制的各个环节收集、整理与报表相关的内部控制，识别和评估财务报表层次和认定层次的重大错报风险(无论该错报是由舞弊还是错误导致)，才能为设计和实施针对评估的重大错报风险采取的应对措施提供基础。
    4.区别不同企业、同一企业不同时期的内部控制关注点
    审计人员对不同行业主要的内部控制关注点会有所不同，对同行业企业在不同时期的内部控制关注点也不会尽然相同。当企业处于筹建期时，审计人员可能更关注筹资与投资相关的内部控制，以识别与财务报表相关的重大错报风险；当企业处于成熟期时，企业发展稳定，职工薪酬水平比初创期、成长期均有大幅提高，薪酬结构中的固定工资比例也会大幅增长，此时与应付职工薪酬的相关控制，审计人员应投入较多的审计资源。
    5.不必了解被审计单位所有的内部控制
    审计人员应了解与财务报表编制相关的内部控制，而不是被审计单位所有的内部控制。
    例如C企业通常制订有为了防止浪费材料的内部控制，只要所用的材料成本在财务报表上如实反映，笔者认为该控制是与C企业财务报表编制不相关的内部控制，无需审计人员了解和测试。确定一项控制单独或连同其他控制是否与审计相关，需要注册会计师作出职业判断。
    二、审计过程中了解、测试内部控制的探讨
    1.不能人为割裂地了解企业的内部控制
    把各个循环的内控人为割裂进行了解，这是大多数审计人员初期易犯的错误。实际上，一个企业的内控是一个有机的整体，审计准则把内控分为各个循环，只是为了讲解和描述的需要。审计人员在实际执行过程中只有了解一个内控单独或连同其他内控是否达到设计内控的目的，才能得到较为合理的结论。
    例如A企业存在一项内控为：销售结算员核对产品付货单及产品出厂票后，开具发票并转给财务人员。财务人员审核确认出厂票与发票内容相符、价格执行及货款真实后，加盖发票专用章，登记发票领用簿。财务部依据发票记账联入账。
    这一项内控通常能证实应收账款的存在性、权利和义务以及收入的发生认定，实现已记录的销售均确已发出货物的控制目标。比如，审计人员在测试该控制时，发现销售结算员并没有执行将付货通知单和产品出厂票进行相互核对的程序就将发票开具并转给财务人员，但如果审计人员之后发现经营部每月的出厂发货量已得到财务全部入账、可以登录销售系统并与财务相互核对这一主要和应收账款完整性和收入截止相关的控制活动来证实应收账款的存在性认定这一项项控制存在并得到了执行，审计人员很可能不会因上述核对环节没有得到执行而评估A企业应收账款存在性认定存在重大错报风险。
    2.在了解内部控制过程中不能一发现偏差即放弃对该项控制的了解和测试
    只要出现任何控制执行偏差就认定控制无效而放弃对该控制的测试，这是注册会计师初期了解和测试内部控制经常犯的错误。实际上，百分之百得到执行的内部控制是不存在的，在了解内部控制、评价内部控制的设计时不能因为内控设计有一点设计缺陷就认定设计无效，更不能因此放弃对内部控制的进一步了解、测试。
    3.了解和测试内部控制的程序类型不能过于单一
    在了解控制设计与测试运行性的有效性时，审计人员采用的审计程序类型大多限于询问。询问本身并不足以提供充分适当的审计证据，应当将询问与其他审计程序结合使用，以获取有关控制运行有效性的审计证据。
    询问时应注意询问被审计单位各级别的负责人员：首先询问级别较高的人员，再询问级别较低的人员。从级别较低人员处获取的信息，应向级别较高的人员核实其完整性；从级别较高人员处获取的信息，应向级别较低的人员核实其存在性。从审计证据可靠性的角度来看，相互印证的证据比单独的证据更可靠。
    4.控制测试方法不能仅限于非统计抽样
    控制测试的抽样风险——信赖过度风险会导致审计有效性下降，更容易导致注册会计师发表不恰当的审计意见，因此，审计人员在定量分析时应采用统计抽样，其优点在于能够客观地计量抽样风险，并通过调整样本规模精确地控制抽样风险。
    5.对“例外”业务执行控制测试
    企业处在变动的市场中，但其内部会计控制制度一般都是为曾经发生、重复发生的业务而设计的，这也使其对不正常的或未能预料到的“例外”业务类型失去控制力。
    “例外”业务往往构成特别风险。对特别风险，注册会计师应当评价相关控制的设计情况，并确定其是否已得到执行。由于与重大非常规交易或判断事项相关的风险很少受日常控制的约束，注册会计师应当了解被审计单位是否针对该特别风险设计和实施了控制。如果认为评估的认定层次重大错报风险是特别风险，不论前述与特别风险相关的控制了解的设计情况以及测试(如果对控制进行测试)结果如何，注册会计师应当针对该风险实施实质性程序。如果针对特别风险仅实施实质性程序，注册会计师应当使用细节测试，或将细节测试与实质性程序结合使用，因为应对特别风险需要获取具有高度相关性和可靠性的证据，仅实施实质性分析程序不足以获取有关特别风险的充分、适当的审计证据。
    三、对内部控制了解后相关评价的探讨
    1.不能测试相关循环的一项控制后就作出评价，应考虑相关检查性控制的影响
    审计人员在了解和评价内部控制设计和运行有效性时，应考虑检查性控制的影响。
    例如B企业仓管人员保证只为已发出的货物编制出库单；发票管理人员根据有仓管人员签字的出库单开出相匹配的销售发票；财务人员保证销售发票只有在与一张出库单相匹配时才能登记入账。注册会计师在观察上述控制运行时发现该控制并未得到执行，这种情况下，审计人员并不能作出销售存在性这一目标没有得到合理保证的结论，只要审计人员在之后检查过程中发现如下的一项检查性控制：B企业存在专门人员对实际发货数量与开票数量进行定期核对的程序，就能对销售流程中“存在性”这一目标提供合理保证，并且也能对销售流程中“完整性”这一目标提供合理保证。
    2.准确评价内部控制执行偏差
    
    在实施控制测试时，如果选取的项目不适合实施审计程序，不能直接定义为执行偏差，应考虑能否使用替代项目，只有当合理判断无法使用替代项目，才能将该项目视为一项误差。
    例如审计人员在测试D企业付款是否得到授权时，选取的付款单据中即使包括一个空白的付款单，如果审计人员确信该空白付款单是合理的且不构成误差，可以适当选择一个替代项目进行检查。
    3.评价判断风险程度不能仅限于主观判断
    
    审计人员往往将了解的内控风险与自己的预期风险进行衡量比较，事实上，自己预期的风险是一个较为主观的过程，如果能将得到的各个内控风险先进行内部排序，再与自己预期接受的风险能力衡量，将客观和主观二者结合分析比较，才能得到较为合理的结论。
    （作者单位： 江苏仁禾中衡会计师事务所有限公司）