《内部审计》资料第五章Word文档格式.docx

《内部审计》资料第五章Word文档格式.docx

《《内部审计》资料第五章Word文档格式.docx》由会员分享，可在线阅读，更多相关《《内部审计》资料第五章Word文档格式.docx（19页珍藏版）》请在冰豆网上搜索。

最高管理当局及董事会对单位管理关注的焦点及指引的方向，如他们对内部控制是否持肯定和支持态度等。

2．风险评估

每个企业均应评估来自内部和外部的不同风险。

评估风险的先决条件是制定：

目标，各不同层级的目标，必须保持一致性。

风险评估系指辨认并分析影响目标达成的各种不确定因素。

风险评估是决定风险应如何管理的基础。

由于经济、业务、主管机关和营运环境等不断变化，风险也因变化而来，因此，辨认并处理这些风险自然就很有必要。

3．控制活动

控制活动是指确保管理层指令实现的各种政策和程序。

它是指针对影响单位目标实现的各种风险而采取的各种制约措施和手段。

单位各阶层与各种职能都渗透有不同的控制活动，如核准、授权、调节、审核营运绩效、保障资产安全以及职责分工等。

由于单位性质、规模、组织方式等不同，其控制活动内容也有所不同。

4．资讯与沟通

每个单位必须按照一定的方式和时间规定，辩识和取得适当的信息，以沟通的方式，便于员工更好履行其职责。

单位资讯系统能产生各种报告，包括与营运、财务及遵循法令有关的资料和信息，这些资讯反映了单位业务运行状况，便于管理者采取控制措施。

资讯系统不仅处理单位内部所产生的资讯，同时也处理与外部事项、活动及环境等有关的资讯，这些资讯同样是单位制定决策及对外报告所必不可少的。

有效沟通的含义，包括组织内部上下沟通及横向沟通，也包括与外界沟通。

单位所有员工必须自最高管理层开始，清楚获得需要谨慎承担控制责任的各种讯息；

必须了解自己在内部控制制度中所扮演的角色，以及每个人的活动对他人工作的影响，单位必须有向上沟通重要资讯的方法，也应有向顾客、供应商、政府主管机关和股东等进行沟通的方式。

5．监督

监督是评估内部控制制度执行质量的过程。

监督的方式有持续监督、个别评估及综合监督等。

持续监督是指在营运过程中的监督，包括例行管理和监督活动，以及职工为履行其职务所采取的行为。

个别评估的范围及频率，应根据评估风险的大小及持续监督程序的有效性而定。

持续监督和个别评估一起进行，称之为综合监督。

各种监督中发现的内部控制的缺失必须向上级呈报，严重者，必须向最高管理层及董事会呈报。

（二）企业内部控制基本规范架构

我国五部委制定的基本规范以cOSO框架为基础，充分考虑中国企业实际情况，明确了我国企业内部控制的五大要素内容，即内部环境、风险评估、控制活动、信息与沟通和内部监督。

【论】

1．内部环境

内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

控制活动是企业根据风险评估结果，采取相应的控制措施，将风险控制在可承受度之内。

4．信息与沟通

信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

5．内部监督

内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

可见，无论是COSO还是我国的五部委，都明确了构成内部控制的五大要素，其具体内容和内容比较见下表5一l。

表5—1C0S0与我国五部委内部控制构成要素内容比较

COSO的内部控制一体化框架

我国五部委的企业内部控制基本规范

控制环境

内部环境

风险评估

控制活动

资讯与沟通

信息与沟通

监督

内部监督

三、内部控制基本方式【案】

尽管各个单位的性质和经营特点有差异，但建立内部控制制度时总是根据实际情况把各种控制方式、方法有机地结合起来，形成一个系统的控制以实现控制的目标。

内部控制的方式、方法多种多样，但其基本的控制方式有目标控制、组织控制、人员控制、职务分离控制、授权批准控制、业务程序控制、措施控制与检查控制。

（一）目标控制

目标控制系指一个单位的内部管理工作应该遵循其创建的目标，分期对生产、经营、销售、财务、成本等方面制订切实可行的计划，并对计划执行情况进行控制的方式。

【名】目标控制是一种事前控制方式。

其主要过程包括确定目标，执行控制，检查执行成果并与目标比较，进行结论反馈。

（二）组织控制

组织控制系指对组织内部的组织机构设置的合理性和有效性所进行的控制。

【名】组织控制也是一种事前控制方式，其主要手段包括采用合理的组织方案，采用合理的组织结构和建立组织系统图等。

（三）人员控制

人员控制系指采用一定的方法和手段对职工的思想品德，业务技能和工作能力的控制，以保证组织各级人员具有与他们所负责的工作相适应的素质，从而保证任务的完成。

工作质量、人员素质控制应做到：

根据各级人员政治与业务素质委派工作，使各级人员能胜任自己的工作；

进行上岗前业务考核并建立职工技术业务的考核制度；

建立管理人员业绩考核制度，调离不胜任本职工作的管理人员；

建立职业道德和业务技术轮训制度；

建立激励、奖惩制度；

建立职务轮换制度等。

（四）职务分离控制

职务分离控制系指对于组织内部的不相容职务必须进行分工负责，不能由一个人同时兼任，以减少差错和舞弊的发生。

任何单位应做到授权批准与执行分离，总账记录与明细账或日记账记录分离等。

（五）授权批准控制

授权批准控制系指组织内部各级工作人员必须经过授权和批准才能对有关的经济业务进行处理，XX和批准，这些人员不允许接触和处理这些业务。

这一控制方式使经济业务在发生时就得到了有效的控制。

（六）业务程序控制

业务程序控制系指对重复发生的业务采用规范化、标准化的手段对业务处理过程进行控制，因此也叫做标准化控制。

程序控制也是一种事前控制，主要规定凭证传递程序、供产销及主要经济业务处理品程序等。

程序控制还包括了将业务处理过程的程序、要求、注意事项等编制成书面文件，便于有关人员执行。

（七）措施控制

措施控制系指以特定的控制目标为其控制对象的控制措施，如方针政策控制、信息质量控制和财产安全控制等。

方针政策控制实质是一种纪律控制，主要以单位的方针、政策、计划、预算、标准、定额等作为控制的手段，以保证单位合法、合规的经营。

信息质量控制，即采取一系列的措施和方法，以保证会计信息的真实、及时、可靠和准确，保证会计信息能够满足组织内部和外部使用人的需要。

信息质量控制的手段主要包括凭证审核、凭证连续编号、复核、核对、签章、传递与分析等。

财产安全控制是指为了确保财产物资的安全完整而采取的各项措施和方法。

直接与财产安全有关的控制措施和方法有及时登记、限制接近【案】、永续盘存制、财产清查制、出库入库手续、职务轮换等。

案例分析资料：

2008年9月15日上午10：

00，拥有158年历史的美国第四大投资银行RM公司向法院申请破产保护，消息转瞬间通过电视、广播和网络传遍地球的各个角落。

令人匪夷所思的是，在如此明朗的情况下，KFW银行竟然在lO分钟之后仍按照外汇掉期协议的交易，通过计算机自动付款系统向RM公司即将冻结的银行帐户转入了3亿欧元。

毫无疑问，这3亿欧元是有去无回的。

以下是法律事务所调查员向国会和财政部递交的调查报告，它记载了银行各部门的数十名职员在这10分钟内所做的事情。

首席执行官w：

我知道今天要按照协议预先的约定转帐，至于是否撤销这笔巨额交易，应该让董事会开会讨论决定。

董事长B：

我们还没有得到风险评估报告，无法及时做出正确的决策。

董事会秘书S：

我打电话给国际业务部催要风险评估报告，可那里总是占线，我想还是隔一会儿再打吧。

国际业务部经理K：

星期五晚上准备带上全家人去听音乐会，我得提前打电话预订门票。

国际业务部副经理Y：

忙于其他事情，没有时间去关心RM公司的消息。

负责处理与RM公司业务的高级经理x：

我让文员上网浏览新闻，一旦有RM公司的消息就立即报告，现在我要去休息室喝杯咖啡了。

文员ST：

10：

03，我在网上看到了RM公司向法院申请破产保护的新闻，马上就跑到x的办公室，可是他不在，我就写了张便条放在办公桌上，他回来后会看到的。

结算部经理D：

今天是协议规定的交易日，我没有接到停止交易的指令，那就按照原计划转帐吧。

结算部自动付款系统操作员M：

D让我执行转帐操作，我什么也没问就做了。

信贷部经理E：

我在走廊里碰到了ST，他告诉我RM公司的破产消息，但是我相信x和其他职员的专业素养，一定不会犯低级错误，因此也没必要提醒他们。

公关部经理BK：

RM公司破产是板上钉钉的事，我想跟w谈谈这件事，但上午要会见几个克罗地亚客人，等下午再找他也不迟，反正不差这几个小时。

要求：

试分析KFW银行内部控制的缺陷，并提出相应的改进建议。

答：

（1）在资金营运内部控制中，严谨的流程设计与审批权限，它不仅应考虑正常情况下应当采取的流程，而且应当考虑某些特殊情况出现时应当采取的措施。

（2）收支审批点作为关键控制点，必须考虑例外情况。

当情况发生重大变化时，处理原已经过审批的事项明显将导致企业发生亏损时，有关人员有权也应该重新报批。

（3）在内部控制制度的设计和执行过程中，应以风险为导向，提高风险防范和应对能力。

（4）信息的及时沟通是确保内部控制有效运行的重要途径。

四、内部控制类型

内部控制可以分为预防性控制、检查性控制、纠正性控制、指导性控制和补偿性控制。

五、内部控制责任

组织中的每一个人都对内部控制负有责任。

（一）管理层

企业负责人对内部控制负最终责任，并且对此制度拥有所有权。

（二）董事会

管理阶层应对董事会负责，董事会则统治、引导及监督管理阶层。

（三）内部审计人员

在评估控制制度的有效性方面，内部审计人员扮演重要角色，并对内部控制的持续有效性做出贡献。

（四）其他员工

在某种程度上，内部控制是组织中每个人的责任，所以每个人的工作说明书中均应有一定明述或暗示的部分，以说明这个责任。

基本上企业内的每个人都在产生内部控制制度所使用的资讯，或采取一些影响控制的其他行动；

还有，对于营运中所产生的问题、违背行为准则或其他政策，或不法行为事情的资讯，每个人也都担负向上报告的责任。

不少外部团体也常对企业目标的达成做出贡献。

不过，外界团体既不须对企业内部控制制度负责，也不是内部控制的一部分。

第二节内部控制审计的内容

问题的提出

1．在一次内部审计培训中，一位曾经在会计师事务所工作的内部审计人员I提出，内部控制审计和风险管理审计并不是什么新鲜事，其实就是内部控制基础审计和风险基础审计，你如何理解?

2．王文是某外贸公司财务部出纳，工作踏实，有口皆碑，她主要负责现金报销与银行账户管理，还负责每日现金汇总表的收支记录和银行存款余额调节表的编制，除了外部会计师审计外，没有人再审计现金和银行对账单。

公司总经理认为，勤奋努力的王文就是公司的“控制”，你怎么看待?

内部控制审计，顾名思义就是对内部控制的审计。

建立、健全与执行内部控制是管理者的责任，审计和评价内部控制则是内部审计的责任。

内部控制审计是指组织内部审计机构和人员通过系统、规范的方法审计和评价被审计单位内部控制的适当性、合法性和有效性。

【名】IIA最新发布的IPPF中的标准“2130控制”指出“内部审计部门必须评估控制的效果和效率，并促进控制持续改进，从而协助组织维持有效的控制”。

中国内部审计协会《内部审计具体准则——内部控制审计》中审计的内容主要围绕内部控制五大要素展开。

一、内部环境审计

内部环境审计主要包括对治理结构、内部机构设置与权责分配、企业文化、人力资源政策、内部审计机制和反舞弊机制五方面内容的审计。

二、风险评估审计

风险评估审计有风险识别审计、风险分析审计、风险应对策略审计

三、控制活动审计

控制活动审计，主要包括应对职责分工、授权、审核批准、预算、财产保护、会计系统、内部报告、经济活动分析、绩效考评、信息技术等控制措施审计。

四、信息与沟通审计

信息与沟通审计，主要是查明组织所建立的信息收集系统和信息沟通渠道，能否确保与影响内部控制其他要素有关的信息有效传递，促进决策层、管理层和全体员工正确履行相应的职能。

其主要内容包括信息收集审计和信息沟通审计。

五、内部监督审计

内部监督审计，主要是查明组织所采用的对内部控制制度监督检查方式方法的合理性和有效性。

主要包括对持续监督、专项监督、缺失报导和追查行动等内容进行审计。

案例分析：

资料

D企业是台湾一家食用油生产企业，该公司董事会目前正在审查企业的内部控制系统。

D企业管理层一直致力于实现更高水平的内部控制，以使股东对企业的管理层更加有信心，同时提高D企业的社会知名度和信誉。

但是最近该企业的信誉由于内部出现的事件而受到了负面影响。

事件的起因是，一种大豆油的部分批次使用的原料是转基因大豆，却没有在产品标识中在醒目位置标识，违反了有关规定，D企业生产质量检验部的一名员工对外进行了披露。

该员工曾就此问题向其所在部门的领导进行交流和质询，但并未采取任何实质性行动进行处理，遂向媒体投诉。

在接受媒体采访时，该员工指出，D企业一向缺乏严谨的工作作风，此次漠视有关规定和消费者的知情权只是公司对待类似问题的一个例子。

媒体曝光，民众反弹，但该企业董事长一开始却不以为然，直至事态严重才不得已召开记者会公开道歉。

根据内部控制的相关原则与要素，分析D企业的内部控制系统有哪些不当之处。

根据我国最近制定的相关内部控制原则，可以判断，该企业的内部控制系统在以下几个方面不符合相关规定：

（1）控制环境。

控制环境是其他内部控制因素的根基，主要包括人员的道德观和胜任能力、董事会提供的指示和管理的效率。

该企业此次漠视药品女全标准规定只是对待类似问题的一个例子，说明该企业某些员工，特别是管理层的人员缺乏基本的道德观和诚信观。

同时，在生产质量检验部的一名员工向其所在部门的领导反映这一问题时，未得到任何答复，也反映出该企业管理效率的低下。

（2）风险评估，公司对产品出现问题给企业带来的风险重视不够，未能主动对其采取措施，造成员工向媒体投诉，使企业遭受损失。

（3）信息与沟通，有效的沟通应当在企业内部以全方位的方式进行，包括管理者与普通员工的沟通，也包括企业与外部各方的有效沟通。

该企业员工在发现问题后向其所在部门的领导进行反映，但并未得到任何答复，说明内部沟通出现了问题。

同时，该员工在没有得到答复的情况下，向外部媒体投诉，表明该企业对外沟通的渠道也存在问题。

第三节内部控制审计程序与方法

1．某集团公司下设若干分公司，集团公司设立了审计部，归高管层直接领导，问：

如果该审计部审计下属分公司的内部控制情况时，其审计重点是什么?

如果审计集团公司的内部控制的话，审计重点又应该放在哪些方面?

2．按照COSO的内部控制一体化架构报告要求，内部控制涉及整体层面的内部控制和作业层面的内部控制两个主要部分，问：

整体层面内部控制审计的主要依据和主要思路是什么?

3．以企业采购业务活动为例，对其分别从内部控制审计、经营审计和效益审计等不同的角度进行审计，问：

各自的重点和难点是什么?

它们之间的区别与联系是什么?

4．如何理解内部控制与内部控制审计之间的关系。

“工欲善其事，必先利其器”，实施内部控制审计必须知道开展内部控制审计的一些基本程序与方法。

内部控制审计方法是实现内部控制审计目标、完成审计任务的技术手段。

内部控制审计方法穿插在内部控制审计活动的流程之中。

内部控制审计活动，可以划分为描述内部控制、测试内部控制、评价内部控制和出具审计报告四个阶段，我们在内部控制审计活动过程中具体介绍内部控制审计的方法。

一、描述组织内部控制

描述组织的内部控制，先要调查组织内部控制的现状。

企业内部控制主要包括两个方面：

一是整体控制，如管理者态度、素质、政策文件及机构设置、机构的权利和责任，各机构的业务管理范围等。

二是应用控制，即企业业务处理程序，在程序中设置的控制环节和相关的控制措施等。

一般而言，审计人员对组织内部控制的了解主要有以下方法：

文字叙述法、调查问卷法、流程图法。

【答】

资料：

ABC企业主要从事视频会议设备的生产和销售。

2014年3月，ABC企业内部审计部门对2013年度财务收支进行了审计。

有关的资料和审计情况如下：

审计人员通过询问有关人员和审阅相关内部控制的规定，对ABC企业内部控制进行了调查了解、描述，并对其有效性进行了测试。

审计人员发现ABC企业存在下列两种情况：

（1）以前年度从未对存货进行盘点，出库单也未连续编号。

（2）出纳员负责办理货币资金业务，同时保管支票和印章。

（1）根据该案例，指出内部审计人员调查了解、描述内部控制可采用的方法。

（2）分析ABC企业内部控制缺陷，并思考是否有了良好的内部控制制度就意味着不可

能存在舞弊，说明理由。

（1）调查了解、描述内部控制方法包括文字说明法、流程图法和问卷调查表法。

（2）ABC企业违反存货内部控制的相关控制有：

实物控制、业务授权控制，该企业违反货币资金内部控制的相关控制是职责分工控制。

良好的内部控制制度不意味着对舞弊的绝对保证，因为内部控制有固有局限性。

二、测试内部控制制度

在进行完内部控制的调查和描述后，审计人员初步了解了内部控制的基本情况，但是内部控制能否发挥作用，还取决于内部控制的实际执行情况。

因此，审计人员还要对内部控制进行测试，收集证据加以证实。

内部控制测试中常用的方法主要有：

询问、实地观察、书面文档的检查、穿行测试、限制测试、小样本测试和扩大性测试。

（一）书面文档检查

书面文档检查即评价人员查阅被评价机构的政策和规章制度，如行为守则、业务政策、业务程序、财务会计制度、组织结构图等，审计执行内部控制体系生成的文件，如账本、报表、凭证、记录、合同、报告等，检查其是否存在控制痕迹，以判断内部控制措施是否得到有效执行。

由于企业文档众多，一般情况下选择调查表或流程图中最有可能出现问题的文档部分进行测试。

（二）穿行测试法

穿行测试法即评价人员在每一类交易循环中选择一笔或若干笔业务，从头到尾检查其实际处理过程，以验证所描述的内部控制的客观性和真实性。

（三）限制测试

系统限制测试是指用抽样来检查系统的各个要素：

文件、记录、材料、产品等。

这种测试往往要注重审计人员的职业判断，在执行时审计人员一般主观选择少许项目而不采取正式的抽样。

（四）小样本测试

小样本测试是指审计人员抽取少数的真实交易数据进行测试，小样本测试目的是审计样本如何进行处理的，并使内部审计人员了解交易的实际情况与预期的一致性，以及内部控制有效执行情况。

（五）扩大性测试

扩大性测试是建立在小样本测试基础上，或建立在对信息系统初步测试的基础上，再进一步扩大测试范围以证实上述测试结果，通过审计经营活动所反映书面记录或文件、与被审计单位管理层面谈、实地观察经营活动或项目、检查资产、函证查询等方法达到充分核实的目的。

三、评价内部控制

评价内部控制就是将之前对内部控制的了解和测试过程中掌握的有关情况与相关标准进行对比，从而对内部控制的适当性和有效性作出评价。

对内部控制评价，应从两个方面作出实质性的分析：

一是评价内部控制系统的适当性和有效性，二是评价组织的风险。

所谓内部控制的适当性是指内部控制为组织任务或目标的完成提供合理保证。

由于成本效益原则及内部控制本身的局限性，我们不能要求内部控制“天衣无缝”不出现任何偏差，只能是以适当的内部控制措施来保证任务或目标的执行。

对内部控制有效性进行评价主要是评价内部控制措施的实际执行情况。

对内部控制的适当性和有效性评价之后，内部审计人员应对那些内部控制不能防止或者发现、纠正组织中存在的违背既定标准的风险情况进行评估，促使管理层加强风险管理，实现风险的最小化。

对内部控制的评估主要使用内部控制矩阵图和内部控制评价表。

（一）内部控制矩阵图

（二）内部控制评价表

（三）控制评价的主要内容

对一个单位内部控制进行综合评价应注意以下重点：

1．单位的组织机构是否健全，职责分工是否明确。

2．反映制度的各种文件是否规范。

3．各种管理制度、会计制度及审计制度是否完整。

4．业务处理与记录程序是否完善、正确。

5．授权、审批、执行、记录、核对、报告等手续是否完备。

6．干部、职工的选聘、使用、培训、考核、晋升及职务轮换是否科学合理。

7．是否有严格的岗位责任制和奖惩制度。

8．关键的控制是否都建立有必要的控制措施。

9．内部控制制度及有关职能措施是否经济有效。

四、出具内部控制审计报告

完成内部控制评价以后，内部审计人员就着手撰写审计报告。

在对组织的内部控制评价的基础上，报告内部控制的缺陷、内部控制执行情况及改进建议。

在内部控制审计报告的撰写过程中，内部审计人员应充分听取被审计单位的意见，可能需要反复修改。

提交审计报告之后，审计人员还必须关注有关审计意见的落实，并进行后续审计。

第四节内部控制审计要求

一、选择恰当的审计方式

内部控制审计的重点应该在经营活动层面，不宜开展全面的“五要素”，审计，但垂直管理模式下的内部控制审计例外。

上审下，内部审计机构相对的独立性较强，适合于对下属单位开展全面的内部控制审计，审计任务的选择和审计范围确定可以围绕“五要素’’展开。

当然，综合考虑审计时间、审计资源和审计目标等多种因素，在“上审下”方式下，内部控制审计的重点也可以放在经营活动方面。

如此说来，不同的审计方式对应不同的审计内容和范围，内部审计人员在履行内部控制审计职责时要区别对待。

另外，随着信息化程度的提高，还要特别关注信息系统内部控制审计问题。

二、正确选择审计对象与审计时间

三、注意成本效益原则，把握关键控制点

（一