内部控制审计操作手册范本.docx

内部控制审计操作手册范本.docx

《内部控制审计操作手册范本.docx》由会员分享，可在线阅读，更多相关《内部控制审计操作手册范本.docx（182页珍藏版）》请在冰豆网上搜索。

内部控制审计操作手册范本

第一章获取审计业务约定书1

一、获取审计业务约定书1

二、内部控制审计业务约定书的内容1

三、连续审计2

四、审计业务约定条款的变更2

五、业务约定书的文档记录3

第二章建立审计项目组3

一、项目小组成员的要求3

二、组建项目小组的考虑3

三、管理、指导、并监督项目小组4

四、项目小组成员的角色及责任5

第三章了解被审计单位及其环境6

一、了解被审计单位及其环境的必要性6

二、了解被审计单位及其环境的程度7

三、了解被审计单位及其环境的主要内容7

3.1行业状况、法律环境与监管环境以及其他外部因素7

3.1.1行业因素8

3.1.2遵守法律法规的规定8

3.1.3其他外部因素8

3.2了解被审计单位的性质9

3.3被审计单位对会计政策的选择和运用10

3.4被审计单位的目标、战略以及相关经营风险10

3.5被审计单位财务业绩的衡量和评价11

四、了解IT在企业中的角色12

4.1了解IT复杂程度12

4.2了解IT对我们审计工作的影响13

五、如何了解企业及其环境13

5.1检阅相关信息13

5.2询问企业管理层及其他人员14

5.3观察及检查14

5.4信息来源14

六、确定重大错报风险15

七、工作底稿记录15

第四章利用专家的工作15

一、确定是否利用专家的工作16

1.1确定IT专家的介入程度17

1.2确定税务专家的介入程度17

1.3确定相关行业专家的介入程度18

二、利用管理层专家的工作18

2.1评价管理层专家的胜任能力、专业素养和客观性18

2.2了解管理层专家的工作19

2.3评价管理层专家的工作是否足以实现审计目的20

三、利用事务所的内部专家的工作21

四、利用事务所外部专家的工作23

五、记录审计工作26

第五章了解企业整体的内部控制27

一、企业层面控制的内涵27

二、企业层面控制对其他控制及其测试的影响28

三、了解和评价企业层面内部控制的主要内容29

3.1与控制环境（即内部环境）相关的控制30

3.1.1管理层的理念和经营风格31

3.1.2诚信和道德价值观念的沟通与落实31

3.1.3治理层的参与程度32

3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制32

3.3被审计单位的风险评估过程34

3.4对内部信息传递的控制35

3.5对控制有效性的内部监督（即监督其他控制的控制）和内部控制评价35

3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对36

3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制36

3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效性36

3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行（如共享服务中心等）36

3.6集中化的处理和控制（包括共享的服务环境）36

3.7监督经营成果的控制37

四、企业层面控制对其他控制及其测试的影响38

五、如何了解企业层面控制39

5.1了解企业层面控制的方法39

5.2审计证据的考虑和了解企业层面控制的范围39

六、识别和评估重大错报风险40

七、工作底稿记录40

第六章识别舞弊风险并确定应对措施40

一、识别舞弊风险的相关要求40

二、识别舞弊风险的主要程序及考虑因素41

2.1组织项目组讨论42

2.2就舞弊风险询问管理层和其他人员42

2.2.1询问管理层42

2.2.2询问内部审计人员43

2.2.3询问内部其他人员44

2.2.4询问治理层44

2.3考虑舞弊风险因素45

2.4考虑异常关系或偏离预期的关系45

2.5考虑其他信息45

三、识别由于舞弊而导致的重大错报风险45

3.1收入确认46

四、应对舞弊导致的重大错报风险46

4.1总体应对措施46

4.2特别措施46

五、应对管理层凌驾于控制之上的措施47

六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施47

七、对审计其他方面的影响48

第七章确定重要性水平48

一、了解确定整体重要性水平需做的考虑48

1.1确定整体重要性水平时财务报表使用者的展望与预期49

1.2整体重要性水平的恰当基准49

1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目49

1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境49

1.2.3治理层的看法和预期49

二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑50

三、了解确定实际执行重要性水平（可容忍误差）需做的考虑50

四、确定整体重要性水平50

4.1定义整体重要性水平时确定应用适当百分比的税前利润51

4.1.1上市企业或重要项目51

4.1.2非重要项目51

4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础51

五、确定特定类别的交易、账户余额或披露的重要性水平52

六、确定实际执行的重要性水平52

七、在审计过程中修改重要性水平53

第八章识别重大账户、重大列报及相关认定53

一、识别重大账户、重大列报及其相关认定53

1.1重大账户或列报53

1.2确定重大账户或列报的金额标准53

1.3确定重大账户或列报的性质考虑54

1.3.1重大账户或列报的性质确定54

1.3.2考虑已识别的固有风险54

1.3.3评价财务报表项目及附注的错报风险因素54

1.4有关账户的其他考虑因素55

二、确定相关认定55

2.1利润表科目的重要账户的相关认定56

2.2资产负债表重要账户的相关认定56

2.3与列报和披露相关的认定56

三、更新我们确定的重大账户或列报及相关认定57

第九章识别重大业务流程和重大列报流程57

一、识别业务流程57

1.1常规的业务流程58

1.2非常规的业务流程58

1.3估计的业务流程58

二、确定重大流程58

2.1确定重大业务流程58

2.2对重大估计业务流程的考虑59

2.3重大列报流程59

三、识别相关信息系统60

第十章关于集团审计的特殊考虑60

一、了解集团及其环境、集团组成部分及其环境60

二、了解集团及其组成部分的内部控制61

三、集团管控风格的影响62

四、确定重要性水平以及可容忍误差62

4.1确定集团整体财务报表重要性63

4.2确定集团实际执行的重要性（可容忍误差）63

4.3确定组成部分可容忍误差63

五、确定重要组成部分64

5.1根据规模确定65

5.2根据特定性质或情况确定65

5.3不重要组成部分65

六、识别重大账户、重大列报及其相关认定65

七、组成部分内部控制审计策略66

八、设定组成部分审计策略的标准66

第十一章了解企业内部控制自我评价过程以及利用他人的工作67

一、了解企业内部控制自我评价过程67

二、利用他人的工作68

2.1对专业胜任能力和客观性的考虑68

2.1.1专业胜任能力和客观性对可利用他人工作程度的影响68

2.2对利用内部审计人员工作的特殊考虑69

2.2.1评价内部审计人员的专业胜任能力69

2.2.2评价内部审计人员的客观性70

2.3利用内部审计人员的工作成果71

2.4确定利用他人工作的范围74

2.5测试由他人执行的部分工作74

三、工作底稿记录75

第十二章评价企业层面控制测试75

一、间接的企业层面控制75

二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制76

三、控制环境77

四、充当业务层面控制的直接企业层面控制77

五、工作底稿记录77

第十三章了解重大业务流程和重大列报流程78

一、考虑企业层面控制对重大业务流程和重大列报流程的影响78

二、识别重大业务流程和重大列报流程的关键流程78

2.1信息来源80

2.2询问80

2.3观察和检查80

2.4对服务机构的考虑81

三、在重大业务流程和重大列报流程中识别可能出错项81

3.1如何识别可能出错项82

3.2将可能出错项联系到相关认定83

3.3特别风险和可能出错项83

3.4IT方面的可能出错项83

四、识别与审计相关的控制活动84

4.1相关的控制的种类84

4.2如何开始识别相关控制84

4.3对识别降低特别风险的控制的特殊考虑84

五、对了解不同性质的重大业务流程的具体考虑85

5.1重大业务流程的种类85

5.2相关控制活动86

5.2.1管理层对专家的利用87

5.2.2假设87

5.2.3改变会计估计的方法87

5.2.4估计的不确定性88

六、对了解重大列报流程的特殊考虑88

6.1重大会计账户的列报88

6.2财务报表决算过程的列报88

第十四章执行穿行测试89

一、执行穿行测试89

1.1穿行测试的程序90

1.2与穿行测试过程中进行的询问相关的考虑90

1.3对穿行测试的结果得出结论91

1.4对控制有效性的初步评价91

二、穿行测试的特殊考虑92

2.1会计估计的流程92

2.2关于降低重大错报风险的控制的穿行测试的考虑92

2.3在执行穿行测试时利用他人工作93

2.4针对自动化程序里的数据和交易信息93

第十五章选择、测试内部控制93

一、选择拟测试的控制的基本要求94

二、选择拟测试的控制的考虑因素94

2.1选择适当的控制测试94

2.1.1控制的目标和分类95

2.1.1.1预防性控制和检查性控制95

2.1.1.2手工控制和自动执行的控制95

2.2确认已选测试的控制与审计相关97

2.3评估已选测试的控制是否充分敏感97

三、与控制相关的风险99

四、控制测试的程序的性质100

4.1询问100

4.2观察100

4.3检查100

4.4重新执行101

五、控制测试的时间安排102

5.1期中测试的两种方法102

5.2是否测试被取代的控制103

5.3期中测试和前推程序103

5.4针对信息技术一般控制（ITGCs）和应用控制的前推程序104

5.5集团内部控制审计中实施前推程序的考虑104

六、控制测试的范围105

6.1影响测试范围的因素105

6.2抽样方法的一般考虑105

6.3样本参考量106

6.3.1测试人工控制的最小样本规模106

6.3.2测试应用控制的最小样本规模107

6.4追加控制测试107

七、执行内部控制测试108

7.1执行控制测试的一般考虑108

7.2审计证据质量的额外考虑108

八、评价控制偏差108

8.1确认控制偏差108

8.2确定控制偏差的属性109

8.3确定审计应对措施110

九、工作底稿记录110

第十六章了解和评价财务报告流程（FSCP）111

一、了解和评价财务报告流程过程111

1.1财务报告流程了解程度111

1.2对财务报告流程进行了解的起点112

1.3了解和评价财务报告流程的程序113

1.3.1了解财务报告流程的子过程113

1.3.1.1编制试算平衡表并进行任何必要的合并113

1.3.1.2生成、授权和记录记账分录113

1.3.1.3编制财务报表及相关列报113

1.4识别可能出错项114

1.5识别和了解财务报告流程中的控制活动114

1.6初步评价控制的有效性115

第十七章了解、穿行测试、测试和评估IT一般控制115

一、信息系统审计范围界定116

二、信息系统环境中的控制测试116

2.1信息系统审计策略的确定116

2.2信息系统一般控制测试117

2.3系统应用控制测试119

三、控制测试底稿120

附件一信息系统环境复杂度判断指引120

附件二信息系统环境控制测试底稿122

第十八章评价内部控制缺陷123

一、控制缺陷的分类123

二、内部控制缺陷评价时的一般考虑124

2.1衡量缺陷严重性的标准124

2.2充分考虑缺陷组合124

2.3补偿性控制124

2.4考虑企业内部控制自我评价的结果124

三、财务报告内部控制缺陷评价标准124

3.1定量标准125

3.2定性标准125

四、非财务报告内部控制缺陷评价标准126

五、内部控制缺陷评价程序127

六、内部控制缺陷评价的特殊考虑130

6.1对信息系统一般控制的考虑130

6.2对企业层面控制缺陷评价的考虑131

6.3与其他缺陷一同进行评价131

6.4内部控制缺陷评价的其他关注领域132

七、内部控制缺陷整改132

八、工作底稿记录132

第十九章完成审计工作133

一、项目组内部讨论133

二、取得管理层的书面声明134

三、与企业沟通控制缺陷135

四、形成审计意见136

第二十章出具审计报告137

一、出具标准内部控制审计报告137

二、出具非标准内部控制审计报告138

2.1带强调事项段的无保留意见内部控制审计报告138

2.2否定意见内部控制审计报告139

2.3无法表示意见内部控制审计报告139

三、非财务报告内部控制存在重大限制140

四、对期后事项的考虑140

五、内部控制审计报告与财务报表审计报告的衔接141

第一章获取审计业务约定书

在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的《业务承接制度--客户关系和具体业务的接受与保持操作规程》，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。

在执行相关程序以评价职业道德（包括独立性）要求的合规性及我们已遵守事务所独立性政策后，我们应当就内部控制审计业务约定条款与客户达成一致意见，并单独签订内部控制审计业务约定书。

一、获取审计业务约定书

根据《中国注册会计师执业准则》第九条，注册会计师应当就审计业务约定条款与管理层或治理层（如使用）达成一致意见；第十条，注册会计师应当将达成一致意见的审计业务约定条款记录于审计业务约定书或其他适当形式的书面协议中。

在审计工作开始前，我们应当获取根据我所内部控制审计业务约定书模板的要求编制的业务约定书，并在适用时加入对特定项目的特殊要求。

业务约定书确定了我们与公司的业务条款，是记录项目范围和条款的重要书面文件。

业务约定书描述了我们在项目执行过程中的责任，以及客户管理层对内部控制的责任，及其为我们的审计工作提供信息及人员协助的责任。

通常情况下，项目小组应在获取业务约定书之后才开始工作。

只有在很特殊的情况下，项目小组才需要在获取业务约定书以前开始展开工作，例如参加盘点。

二、内部控制审计业务约定书的内容

内部控制审计业务约定书应当单独出具。

业务约定书的具体内容可能因被审计单位的不同而存在差异，但应当包括下列主要方面：

●内部控制审计的目标；

●企业对内部控制的责任；

●企业建立内部控制所依据的内部控制框架；

●内部控制审计范围，包括指明注册会计师在执行内部控制审计业务时遵守的《企业内部控制审计指引》和《中国注册会计师执业准则》的相关要求；

●内部控制的固有局限性及审计的固有限制；

●管理层为我们提供必要的工作条件和协助；

●我们不受限制地接触任何与审计有关的记录、文件和所需要的其他信息；

●企业对其作出的与审计有关的声明予以书面确认；

●我们对执业过程中获知的信息保密；

●审计收费，包括收费的计算基础和收费安排；

●违约责任；

●解决争议的方法；

●签约双方法定代表人或其授权代表的签字盖章，以及签约双方加盖的公章。

如果情况需要，内部控制审计业务约定书还可以包括其他条款，例如：

●在某些方面对利用其他注册会计师和专家工作的安排；

●计划和执行内部控制审计工作的安排，包括项目组的构成；

●对审计涉及的其他人员（包括被审计单位的内部审计人员、其他人员以及在管理层或治理层指导下的第三方）工作的安排；

●我们与被审计单位之间需要达成进一步协议的事项；

●向其他机构或人员提供审计工作底稿的义务。

我所《内部控制审计工作底稿》模板提供了内部控制审计业务约定书的参考格式。

注册会计师可根据业务的具体情况作出必要修改。

三、连续审计

对于连续审计，我们应当根据具体情况评估是否需要对审计业务约定条款作出修改。

下列因素可能导致我们修改审计业务约定条款或提醒被审计单位注意现有的约定条款：

●有迹象表明被审计单位误解审计目标和范围；

●需要修改约定条款或增加特别条款；

●法律法规的规定发生变化。

四、审计业务约定条款的变更

被审计单位可能由于下列事项要求我们变更审计业务约定条款：

●环境变化对审计服务的需求产生影响；

●对原来要求的审计业务的性质存在误解；

●无论是管理层施加的还是其他情况引起的。

当被审计单位要求变更审计业务约定条款时，我们应当考虑要求变更的理由是否合理，特别是审计范围存在限制的影响。

由于环境变化导致对审计服务的需求产生影响，或对原来要求的审计业务性质存在误解可以认为是被审计单位要求变更审计业务约定条款的合理理由。

相反，如果有迹象表明变更审计业务约定条款的要求与错误的、不完整的或不能令人满意的信息有关，该变更不能认为是合理的。

五、业务约定书的文档记录

为了满足检查的需要，我们应将业务约定书的一份副本存于工作底稿中，或者在工作底稿中记录该副本的存放位置。

第二章建立审计项目组

在进行初步业务活动时，项目合伙人需要统筹考虑审计工作，挑选相关领域的人员组建项目小组，同时组织对项目组成员进行培训，以合理安排内部控制审计工作。

一、项目小组成员的要求

我们期望审计项目小组具有：

●通过培训或者参与项目而获取的性质和复杂程度类似的审计知识和项目经验；

●了解企业内部控制相关规范和指引要求；

●了解《企业内部控制审计指引》、《企业内部控制审计指引实施意见》和《中国注册会计师执业准则》的相关要求；

●拥有适当的专业知识，包括与项目相关的IT知识；

●拥有与客户所处行业相关的知识；

●具有职业判断能力；

●了解事务所的质量控制政策与程序。

二、组建项目小组的考虑

组建一个项目小组时，我们需要考虑以下因素：

●及时确定人员需求；

●准备项目时间预算以确定所需资源的要求，并安排工作进度；

●使项目小组具有合适的技巧、经验、能力；

●项目大小及复杂度；

●所需专业能力；

●工作时间；

●项目小组成员的连续性和定期轮换；

●项目上的培训机会；

●可能出现的独立性问题和利益冲突；

●考虑项目小组成员是否具有与项目复杂度及其他要求相匹配的工作和培训经验；

●确定项目小组所需要的管理、监控、以及指导；

●确定负有这些责任的项目小组成员。

我们需要对开展审计工作中需要、但当前项目小组成员不具备的额外所需技能做出评估，并针对此情况制定计划获取相关资源。

例如：

当项目小组成员不具备与客户公司IT环境相关的知识技能时，我们需要获得IT专业人员的协助以测试与IT系统相关的内部控制。

我们要确定审计现场是否需要使用公司会计与审计专业以外的人员，是否需要从公司外部引入专家。

关于利用专家的工作的更多要求与指引，请参见“第四章利用专家的工作”。

三、管理、指导、并监督项目小组

项目小组组建完成后，我们应当制定计划，分配工作，确定对项目组成员的指导和监督以及对其工作的复核。

在项目初期阶段，项目小组负责人应当与项目小组成员讨论确定工作分配，这样可以让项目小组成员了解其在项目中的职责、预期工作成果和了解其他项目小组成员的职责。

同时，我们要讨论并确定项目小组的目的和目标、责任和交付的成果。

在项目进行的过程中，项目合伙人和项目中负责监督的人应当：

●监控项目的进展；

●复核审计工作底稿；

●评估项目小组成员是否具有执行所分配的工作的技能和能力，有充分的时间执行所分配的工作；

●解决重大的财务及审计问题。

负有指导审计工作的项目小组成员具有需要了解其监督工作质量及进度的责任，包括：

●对于所分配的工作的成员，给予充分的指导；

●定期复核工作底稿；

●对比预算控制实际花费的时间；

●复核已完成的工作底稿和即将出具的审计报告。

四、项目小组成员的角色及责任

项目小组各成员的责任如下：

经理级别以下的有经验的审计员和初级审计员

●直接参与审计工作，编制相关工作底稿。

除项目合伙人以外的项目小组负责人（例如：

经理、高级经理）

●如有必要，直接参与审计流程的设计与执行，例如：

亲自编制高风险领域的工作底稿。

●对审计员及高级审计员编制的工作底稿进行详细复核，复核审计报告，确保我们出具的审计报告是适当的；

●与公司治理层及管理层进行沟通；

●与项目小组其他成员沟通值得关注的事项。

项目合伙人

●在项目特定阶段进行复核，确保重大发现及问题在我们的审计报告出具前及时解决；

●如有必要，直接参与审计流程的设计与执行，以便了解高风险领域及其他审计小节中记录的事项；

●项目合伙人有责任对我们的职业判断、项目中识别的复杂事项、重大风险、及其他项目合伙人认为重要的事项进行复核；

●对高风险领域进行第二层次复核，以便确信详细复核是充分的，对重大账户、重大列报和相关认定的审计流程是充分的；

●与项目小组其他成员沟通值得关注的事项；

●复核我们的审计报告，确保我们出具的审计报告是适当的；

●复核我们与公司治理层及管理层的沟通，包括重大缺陷的沟通。

第三章了解被审计单位及其环境

在了解客户业务时，我们应了解企业及其经营环境。

了解程度依赖于我们的职业判断。

我们应考虑对于企业及其经营环境，我们是否获取了足够的了解，以支持我们所评估的财务报表及认定层面的重大错报风险（包括舞弊及错误），并为我们设计、执行审计程序应对重大错报风险提供基础。

一、了解被审计单位及其环境的必要性

了解被审计单位及其环境是财务报表审计及内部控制审计的必要程序，特别是为我们在下列关键环节做出职业判断提供重要基础：

●确定重要性水平，并随着审计工作的进程评估对重要性水平的判断是否仍然适当；

●确定重大账户、重大列报及相关认定；

●考虑会计政策的选择和运用是否恰当，以及财务报表的列报包括披露是否适当；

●识别需要特别考虑的领域，包括关联方交易、管理层运用持续经营假设的合理性，或交易是否具有合理的商业目的等；

●确定在实施分析程序时所使用的预期值；

●设计和实施进一步审计程序，以将审计风险降至可接受的低水平；

●评价所获取审计证据的充分性和适当性。

而按照《企业内部控制审计指引》第七