内部控制审计的程序和方法

内部控制审计的程序和方法

主要有四个步骤。

1、了解企业的内部控制情况，并做出相应的记录。这是内部控制制度审计的第一步。其主要目的是了解被审计单位通过某种手段建立的内部控制制度和实施情况，并进行记录和描述。审计人员应考虑被审计单位的业务规模和业务复杂性、数据处理系统类型和复杂性、审计重要性、相关内部控制类型、相关内部控制记录方法、固有风险评估结果等因素，审计内部控制程序、控制环境和会计系统，主要方法包括：（1）查阅初步审计报告或审计工作草案；（2）询问被审计单位相关人员，查阅相关内部控制文件；（3）检查内部控制生成的文件和记录；（4）观察被审计单位的业务活动和内部控制的运行情况：（5）选择若干具有代表性的交易和事项进行“交叉测试”。通过查阅之前的汁液审核，我们可以了解之前审计中发现的问题的原因以及是否得到了纠正和改进。通过查阅相关规章制度、方针政策等文件，我们可以查看组织机构的系统图，与相关人员交谈，对内部控制有足够的了解，从而进行程序设计和制定应用方案。

2、初步评估内部控制的健全性。确认内部控制风险，确定内部控制是否可以依赖。在调查和了解控制环境、控制程序和会计系统，对被审计单位的内部控制有初步了解的基础上，对内部控制风险和内部控制的可依赖性进行初步评价。初步评价实际上是评价企业会计和内部控制在防止或发现和纠正错误和缺点方面的有效性的过程。通常，当出现以下情况之一时，重要账户或交易类别的某些或全部控制风险应评估为高水平：（1）企业内部控制失效；（2）难以评估内部控制的有效性；（3）不计划进行符合性测试。对于会计报表的识别，如果同时出现以下情况，则不应评估其控制风险处于高水平。（1）相关内部控制可以防止、发现和纠正重大错误，（2）计划进行符合性测试。

3、实施符合性测试程序，确认内部控制的设计和执行效果。

通过对内部控制的初步评价，可以基本掌握被审计单位内部控制的强弱环节，确定符合性测试的前提。审计人员只对准备信任的内部控制进行测试，只有当信任内部控制减少的实质性测试的工作量大于符合性测试的工作量时，符合性测试才是必要和经济的。符合性测试是为了确定内部控制系统的设计和执行是否有效而实施的审计程序。基本对象包括控制设计测试和控制执行测试。控制设计测试是测试被审计单位的控制政策和程序是否设计合理、适当，是否能防止或发现和纠正特定会计报表认定的重大错报或遗漏：控制执行测试是测试被审计单位的控制政策和程序是否实际发挥作用。无论被审计单位的控制设计有多好，都必须依靠有效的执行来发挥作用。

内部控制符合性测试有四种常用方法：（1）查询方法。审计人员向有关人员询问一些内部控制和业务执行情况，以了解被审计单位的业务操作是否符合控制要求。例如，通过询问计算机管理人员，审计人员可以知道未经授权的人员是否接触到计算机文件，（2）观察法。审计人员亲自到被审计单位的布作现场观察有关人员的实际工作情况，确定是否严格执行既定的控制措施。如果审计人员亲自到现场观察材料的验收和入库情况，可以知道材料是否严格验收，及时入库，库存材料是否有序摆放，是否安全存放。(3)证据检查法。审计人员提取一定数量的书面证据、凭证等相关证据，检查相关控制制度是否认真执行，判断内部控制是否得到有效实施。如果检查付款是否有相关负责人和经办人的批准和签字，以确定批准控制程序是否在实际工作中实施。(4)重复执行法。审计人员根据被审计单位的业务程序，对内部控制制度进行全部或部分重做，以验证既定的控制措施是否得到实施。

4、对内部控制的强弱进行评价，对风险进行评价控制，确定扩大内部控制薄弱领域的审计程序，制定实质性的审计方案。

通过以上步骤，审计人员会发现被审计单位内部控制制度是否建立健全，哪些方面还存在薄弱环节，哪些内部控制制度得到有效实施，哪些内部控制虽然建立但未实施或无效实施，哪些内部控制有效，哪些内部控制无效。同时，要充分利用专业判断调整被审计单位内部控制风险估计水平，进行综合评价，然后利用评价结果制定实质性审计方案。综合评价的主要内容有：（1）有效实施内部控制，评价控制风险低，规划仅对账户余额和交易进行有限的实质性测试。（2）重新调整内部控制的可靠性，制定实质性审计。经内部控制测试后，审计人员发现部分内部控制未得到有效实施的，应重新调整内部控制风险的估计水平和可靠性。适当扩大实质性审计范围。（3）根据内部控制的缺陷，确定实质性测试的时间、范围和程序。通过符合性测试，审计人员根据具体缺陷制定下一个实质性审计计划，涵盖初步评价和符合性测试中发现的缺陷的内部控制内容。（4）对内部控制缺陷，向被审计单位管理部门提出改进建议。审计人员总结整理审计中发现的内部控制问题，分析问题的原因和可能的后果，提出有效的改进措施，以管理建议的形式反映给被审计单位的管理部门。