内控审计：识别企业层面内部控制

天堂里的猫

       内控审计：识别企业层面内部控制

       注册会计师应当测试对评价内部控制有重要影响的企业层面内部控制，对企业层面内部控制的测试可能增加或减少其他控制测试，所以，注册会计师应当在业务的早期阶段进行企业层面内部控制的评价。

       企业层面控制的关注点，应包括以下几个方面：与内部环境相关的控制，包括：管理层的理念和经营风格是否促进了内部控制的有效执行，如管理层对专业胜任能力的重视，公司的组织结构、人力资源政策和实务、权责分配是否能够促进内部控制的有效执行;管理层在治理层的监督下，是否营造并保持了诚信和合乎道德的文化，是否有书面的行为规范，对违反内控的行为是否有适当的应对政策和措施，目标设定是否实际;董事会或审计委员会是否了解并实施了对财务报告内部控制的监督责任。

       针对董事会、管理层凌驾于内部控制之上的风险而设计的控制。对所有公司来说，这项控制对于有效的内部控制都是非常重要的，对小型公司来说更为重要，因为高级管理人员会更深地介入执行控制和期末财务报告过程。这项控制包括企业的风险评估过程，监督经营结果的控制，监督其他控制的控制，如内部审计的工作、审计委员会的工作、自我评估程序等;针对重大非常规交易，尤其是针对那些导致提前或延迟记录会计分录、收入和成本确认，期末财务报表编制过程中的合并抵销和调整分录的控制;针对关联方交易和异常交易的控制;与重大会计政策和会计估计相关的控制;能够减弱管理层伪造、舞弊和财务操纵的动机及压力的控制，即应对舞弊风险的控制。

       企业的风险评估过程。企业需要有健全完善的内部控制系统来识别外部环境变化带来的风险，并评估重大风险的性质及发生的可能性，采取有针对性的应对方法。影响企业内部控制的风险因素包括但不限于如下：监管或经营环境的变化导致竞争压力增加和经营风险的增大，重大的经营扩张可能导致原有的内部控制不再适当而导致控制失效的风险，信息系统的重大、突然变化引起内部控制相关风险，企业涉及新的业务领域或交易事项导致的风险，在生产流程或信息系统中引入新技术导致内部控制变化的风险，企业兼并重组、收购或海外扩张产生新的风险，新招聘员工对内部控制理解或执行不正确导致的风险，采用新的会计政策可能引起与财务报表编制相关的风险，等等。

       对财务报告流程的控制。有效的财务报告流程控制可为财务报告的可靠提供合理保证，财务报告流程通常发生在评价日后，在评价日测试可以考虑关注的程序，包括会计政策的选择和运用、总账的登录、合并抵销分录、编制及复核报表的程序;作为期末财务报告评估过程的一部分，注册会计师还应当评估：编制财务报表所执行的输入程序、输出过程，使用IT技术的程度，调整和合并抵销分录的类型及数量，管理层的参与情况，董事会、审计委员会监督财务报告的参与程度和性质。

       注册会计师应当关注可能存在较高风险领域，包括：比较数据及期初余额，财务报表的整体列报(报表及附注)，期后事项的处理，合并抵销分录等。在审计实务中，如果企业的内部控制措施不能防止、发现、纠正财务报表的重大错报和舞弊，而都依赖外部审计师来发现、更正报表存在重大错报或舞弊;或者在更换年度审计师后，发现企业账面记录的期初余额与审计报告期初数存在重大差异，却找不到支持依据和合理解释，往往表明财务报告的内部控制存在重大缺陷。

       对控制有效性的自我评价和内部监督。企业可以在企业层面和流程层面实施对控制的监督，注册应该考虑的因素包括：企业管理层是否定期对内部控制进行自我评价，企业评价人员能够在多大程度上获得内部控制有效运行的证据，管理层是否采纳内审人员和注册会计师的建议，是否及时纠正控制运行中的偏差，是否根据监管机构的报告及建议及时采取改进措施，是否存在内部控制的监督职能，如内审部门等。

       如果存在内部监督部门，应进一步考虑其专业胜任能力、独立性和权威性，注册会计师还应对内审部门的工作职责、范围、程序、计划、风险评估过程和结果等内容进行记录，形成审计工作底稿，获取充分适当的审计证据，作出恰当的审计结论。

       针对重大经营和风险管理而采取的政策措施。注册会计师可以考虑的因素包括：公司治理结构和议事规则是否规范，是否明确划分决策、执行、监督方面的职责权限，是否有专门的机构负责内部控制的建立、实施及评价。针对企业整体的经营战略和目标，管理层是否充分识别各主要业务流程的风险，设定风险承受度，进行风险的定量和定性分析，根据风险评估结果确定风险应对策略，并持续收集与风险变动相关的信息，及时调整风险应对策略，同时建立重大风险预警机制和突发事件应急处理机制。为保证控制活动的有效执行，企业是否进行持续的内部监督检查，对内部控制建立与实施过程中的相关记录和资料，以书面、电子文档等其他适当形式妥善保存，保证其可验证性。