近日，江蘇證監(jiān)局會計監(jiān)管通訊2024年第一期發(fā)布《關于內(nèi)部控制審計的風險提示》全文如下：

關于內(nèi)部控制審計的風險提示

近期，證監(jiān)會、財政部聯(lián)合印發(fā)《關于強化上市公司及擬上市企業(yè)內(nèi)部控制建設推進內(nèi)部控制評價和審計的通知》（財會〔2023〕30號），對內(nèi)部控制體系的建設、評價及審計工作提出了要求。江蘇證監(jiān)局結合監(jiān)管實踐，梳理了資本市場內(nèi)部控制審計執(zhí)業(yè)中的主要問題，根據(jù)《企業(yè)內(nèi)部控制基本規(guī)范》（以下簡稱基本規(guī)范）、《企業(yè)內(nèi)部控制審計指引》、《企業(yè)內(nèi)部控制審計指引實施意見》（以下簡稱實施意見）的相關規(guī)定，就證券服務業(yè)務內(nèi)部控制審計進行如下提示：

一、會計師事務所層面

（一）存在問題

內(nèi)部控制審計報告要求會計師對內(nèi)部控制整體有效性單獨發(fā)表意見，但部分會計師事務所對內(nèi)部控制審計工作重視不足，對自身在內(nèi)部控制審計中的責任認識不清，未認識到內(nèi)部控制審計與財務報表審計在內(nèi)部控制了解和測試的目的、內(nèi)部控制測試范圍、內(nèi)部控制測試結果所要達到的可靠程度、控制缺陷的評價要求、審計報告內(nèi)容等存在實質(zhì)性差異，未將內(nèi)部控制審計作為一項獨立業(yè)務，而是將其完全附屬于財務報表審計，將內(nèi)部控制審計執(zhí)行的工作等同于財務報表審計中的了解內(nèi)部控制和控制測試程序。

（二）監(jiān)管要求

會計師事務所應重視內(nèi)部控制審計相關技術指引、培訓、質(zhì)量管理等內(nèi)部標準的制定，指引、督促項目組規(guī)范執(zhí)行與財務報告相關的內(nèi)部控制審計，對被審計單位內(nèi)部控制的有效性發(fā)表恰當?shù)膶徲嬕庖姟?/p>

會計師事務所應根據(jù)基本規(guī)范、《企業(yè)內(nèi)部控制審計指引》、《上市公司實施企業(yè)內(nèi)部控制規(guī)范體系監(jiān)管問題解答》、實施意見等文件，結合事務所實際情況，制定可操作性的技術指引和操作規(guī)程，并加強與內(nèi)部控制審計相關的培訓。會計師事務所應建立和完善與內(nèi)部控制審計相關的業(yè)務質(zhì)量控制體系，建立對內(nèi)部控制審計業(yè)務的質(zhì)量復核制度。

二、項目執(zhí)行層面

（一）初步業(yè)務活動階段

1.執(zhí)業(yè)問題

一些會計師未實施與內(nèi)部控制審計相關的初步業(yè)務活動，未確定內(nèi)部控制審計的前提條件是否已得到滿足。

2.監(jiān)管要求

根據(jù)實施意見，只有當內(nèi)部控制審計的前提條件得到滿足，并且會計師事務所符合獨立性要求、具備專業(yè)勝任能力時，才能接受或保持內(nèi)部控制審計業(yè)務。會計師在本期內(nèi)部控制審計業(yè)務開始前應當開展下列初步業(yè)務活動：

（1）針對客戶關系和具體審計業(yè)務的接受或保持實施相應的質(zhì)量控制程序；

（2）評價會計師事務所和項目組遵守相關職業(yè)道德要求的情況；

（3）確定內(nèi)部控制審計的前提條件是否得到滿足；

（4）就內(nèi)部控制審計業(yè)務約定條款與被審計單位管理層達成一致意見，并單獨簽訂內(nèi)部控制審計業(yè)務約定書；

（5）根據(jù)項目需要選擇滿足獨立性要求且具備專業(yè)勝任能力的員工建立項目組。

（二）計劃階段

1.存在問題

一些會計師在同時執(zhí)行被審計單位的財務報表審計和內(nèi)部控制審計（整合審計）時，風險導向?qū)徲?/span>理念運用不足，未考慮已識別出的風險導致財務報告內(nèi)部控制重大缺陷的可能性；一些會計師編制的總體審計策略和具體審計計劃中未涉及內(nèi)部控制審計相關內(nèi)容，或雖有提及但內(nèi)容簡單不具備可操作性，未明確內(nèi)部控制審計范圍，未明確測試控制設計和執(zhí)行有效性的程序、時間安排和范圍等，不能指導項目組成員執(zhí)行內(nèi)部控制審計工作。

2.監(jiān)管要求

會計師應當在總體審計策略中確定內(nèi)部控制審計業(yè)務特征，以界定審計范圍；明確內(nèi)部控制審計業(yè)務的報告目標，以計劃審計的時間安排和所需溝通的性質(zhì)。根據(jù)職業(yè)判斷，考慮可指導項目組工作方向的重要因素?？紤]初步業(yè)務活動的結果及對被審計單位執(zhí)行其他業(yè)務時獲得的經(jīng)驗是否與內(nèi)部控制審計業(yè)務相關，確定執(zhí)行內(nèi)部控制審計業(yè)務所需資源的性質(zhì)、時間安排和范圍。

具體審計計劃中，應當體現(xiàn)了解和識別內(nèi)部控制的程序的性質(zhì)、時間安排和范圍，測試控制設計和運行有效性的程序的性質(zhì)、時間安排和范圍等相關內(nèi)容。

（三）實施階段

1.識別、了解和測試企業(yè)及業(yè)務層面的控制方面

（1）執(zhí)業(yè)問題

一是會計師未采取自上而下的方法選擇擬測試的控制，未根據(jù)企業(yè)實際情況了解整體風險和企業(yè)層面內(nèi)部控制；未在識別重要賬戶、重要業(yè)務流程的基礎上識別業(yè)務層面的關鍵控制；內(nèi)部控制了解范圍不充分，未對重要組成部分相關業(yè)務循環(huán)執(zhí)行了解和穿行測試。二是會計師對企業(yè)層面內(nèi)部控制僅執(zhí)行了了解，對其設計的有效性獲取了審計證據(jù)，但未對其執(zhí)行的有效性獲取審計證據(jù)，未對被審計單位期末財務報告流程進行評價。在審計中選擇了解和測試的控制點與企業(yè)當期財務報表中的重要賬戶無關，對部分控制活動的描述與公司實際情況不符。三是會計師以財務報表審計為目的選擇擬測試的內(nèi)部控制，未針對每一個相關認定獲取控制有效性的審計證據(jù)，不足以支撐對內(nèi)部控制整體的有效性發(fā)表意見。

（2）監(jiān)管要求

會計師應當采用自上而下的方法選擇擬測試的控制。自上而下的方法始于財務報表層次，以會計師對內(nèi)部控制整體風險的了解開始，將關注重點放在企業(yè)層面的控制上，并逐漸下移至重要賬戶、列報及其相關認定。隨后，驗證其對被審計單位業(yè)務流程中風險的了解，并選擇能足以應對評估的每個相關認定的重大錯報風險的控制進行測試。

2.測試控制的有效性方面

（1）執(zhí)業(yè)問題

一是將對控制設計有效性的測試代替運行有效性的測試，對控制活動的描述為模板文字，控制測試時僅勾畫程序表格，測試程序?qū)嶋H未執(zhí)行。二是僅將詢問作為測試控制是否運行有效的主要審計證據(jù)，未綜合運用詢問適當人員、觀察經(jīng)營活動、檢查相關文件以及重新執(zhí)行等程序。三是未在考慮與控制相關風險的基礎上確定測試的范圍，測試的樣本量小于實施意見規(guī)定的最小樣本量，或是在出現(xiàn)控制偏差的情況下未進一步考慮和處理。四是在整合審計中，僅對財務報表審計中擬信賴內(nèi)部控制的期間獲取了控制有效性的審計證據(jù)，但未基于發(fā)表內(nèi)部控制審計意見的目的獲取被審計單位于報告基準日內(nèi)部控制有效性的審計證據(jù)。五是連續(xù)多年審計中，未增加測試的不可預見性，未每年改變測試的性質(zhì)、時間安排和范圍。六是未考慮審計中識別內(nèi)部控制缺陷后至報告基準日之前，公司是否有足夠時間完成缺陷整改，整改后的內(nèi)部控制未運行足夠長的時間，即得出整改后的內(nèi)部控制有效的結論。

（2）監(jiān)管要求

在測試控制設計及運行的有效性時，應當考慮與控制相關風險的基礎上綜合考慮當年確定測試的范圍，盡量在接近基準日實施測試并涵蓋足夠長的期間，綜合運用詢問適當人員、觀察經(jīng)營活動、檢查相關文件以及重新執(zhí)行等程序，同時增加測試的不可預見性，為基準日內(nèi)部控制是否不存在重大缺陷提供合理保證。

如發(fā)現(xiàn)控制偏差，應當考慮偏差的原因及性質(zhì)，并考慮采用擴大樣本量等適當?shù)膽獙Υ胧?，若該項偏差對總體具有代表性則應視做一項內(nèi)部控制缺陷；如果該項偏差是系統(tǒng)性偏差或人為有意造成的偏差，應當考慮舞弊的可能跡象以及對審計方案的影響。

3.集團審計的特殊考慮方面

（1）執(zhí)業(yè)問題

未對全部重要組成部分的重要賬戶、列報及其相關認定的內(nèi)部控制實施測試；對包含重要賬戶、列報及相關認定的其他組成部分，未測試該組成部分相關的業(yè)務流程、應用系統(tǒng)或交易層面的控制。

（2）監(jiān)管要求

應當對重要組成部分的重要賬戶、列報及其相關認定的內(nèi)部控制實施測試。對于重要組成部分以外的其他組成部分，如果存在重要賬戶、列報及其相關認定，應當首先評價對整個集團企業(yè)層面和該組成部分企業(yè)層面控制的測試以及針對重要組成部分相同的賬戶、列報及其相關認定的內(nèi)部控制實施的測試情況，判斷其能否提供充分、適當?shù)膶徲嬜C據(jù)。如果不能提供充分、適當?shù)膶徲嬜C據(jù)，應當選擇適當數(shù)量的其他組成部分，測試與該重要賬戶、列報及其相關認定相關的業(yè)務流程、應用系統(tǒng)或交易層面的控制，直至能夠獲取充分、適當?shù)膶徲嬜C據(jù)為止。

（四）控制缺陷評價階段

1.執(zhí)業(yè)問題

未考慮信息系統(tǒng)一般控制缺陷的影響；未在報表整體層面匯總并評價已識別的控制缺陷，未確定這些已識別的控制缺陷可能導致的潛在錯報金額；未恰當評價控制缺陷的嚴重程度。

2.監(jiān)管要求

會計師應評價識別的各項控制缺陷的嚴重程度，以確定這些缺陷單獨或組合起來，是否構成內(nèi)部控制的重大缺陷。在評價過程中，應考慮控制不能防止或發(fā)現(xiàn)并糾正賬戶或列報發(fā)生錯報可能性的大小，以及因一項或多項控制缺陷導致潛在錯報的金額大小等因素。發(fā)現(xiàn)信息系統(tǒng)一般控制存在缺陷時，必須考慮與該信息系統(tǒng)一般控制缺陷相關的應用控制、依賴于該信息系統(tǒng)一般控制的手工控制等因素，對審計計劃作出必要的調(diào)整。

當存在以下跡象時，可能表明內(nèi)部控制存在重大缺陷：發(fā)現(xiàn)董事、監(jiān)事和高級管理人員的任何舞弊；被審計單位因更正舞弊或錯誤導致的重大錯報，對財務報表進行重述；注冊會計師發(fā)現(xiàn)當期財務報表存在重大錯報，而被審計單位內(nèi)部控制在運行過程中未能發(fā)現(xiàn)該錯報；審計委員會和內(nèi)部審計機構對內(nèi)部控制的監(jiān)督無效。

當發(fā)現(xiàn)的控制缺陷達到被審計單位內(nèi)部控制自評報告中對重大缺陷的認定標準時，應當認定為內(nèi)部控制存在重大缺陷。如果被審計單位在報告基準日前對存在重大缺陷的內(nèi)部控制進行了整改，但新控制尚沒有運行足夠長的時間，應當將其視為內(nèi)部控制在報告基準日存在重大缺陷。

（五）報告階段

1.執(zhí)業(yè)問題

一是未獲取與內(nèi)部控制審計相關的聲明，未與被審計單位溝通內(nèi)部控制審計相關的事項。二是未獲取并審閱被審計單位的內(nèi)部控制自評報告，未識別出自評報告中存在的列報缺陷，未評價這些缺陷對審計意見類型的影響。三是內(nèi)部控制審計報告強調(diào)事項段的內(nèi)容可能構成財務報告內(nèi)部控制重大缺陷，以強調(diào)事項段替代內(nèi)控審計報告的否定意見。四是強調(diào)事項段明確指出被審計單位存在非財務報告內(nèi)部控制重大缺陷，但未披露相關事項。五是內(nèi)部控制審計報告中強調(diào)事項段披露的事項與被審計單位報告期末內(nèi)部控制有效性無關。

2.監(jiān)管要求

會計師應評價從各種來源獲取的審計證據(jù)，包括控制測試結果、財務報表審計中發(fā)現(xiàn)的錯報以及已識別的所有控制缺陷，形成對內(nèi)部控制有效性的意見。

如果審計范圍受到限制，注冊會計師應當解除業(yè)務約定或出具無法表示意見的內(nèi)部控制審計報告。

在整合審計中，應關注財務報表審計與內(nèi)部控制審計在審計證據(jù)和結論上的相互參照。實施實質(zhì)性程序發(fā)現(xiàn)的單項或單一性質(zhì)與方式累積超過重要性水平的錯報，一般表明與財務報表相關內(nèi)部控制存在重大缺陷，應謹慎判斷對內(nèi)部控制審計結論的影響；在財務報表被出具非無保留意見，以及對財務報表進行了重大錯報調(diào)整的情況下，應合理評價相應內(nèi)部控制缺陷的嚴重程度，并充分考慮對內(nèi)部控制審計報告意見的影響。

（六）項目質(zhì)量控制復核

1.執(zhí)業(yè)問題

未恰當復核擬出具的內(nèi)部控制審計報告以及與項目組作出的重大判斷和得出的結論相關的審計工作底稿。

2.監(jiān)管要求

項目質(zhì)量控制復核人員應當復核重要的審計工作底稿，客觀地評價項目組作出的重大判斷以及在編制內(nèi)部控制審計報告時得出的結論。

（七）審計工作底稿

1.執(zhí)業(yè)問題

執(zhí)行內(nèi)部控制審計時執(zhí)行的審計程序未清楚顯示內(nèi)部控制審計的過程和結果，測試中所附的證據(jù)與測試目標缺乏關聯(lián)，部分底稿內(nèi)容為模板文字，審計結論沒有足夠的審計工作底稿支撐。

2.監(jiān)管要求

會計師應當在審計工作底稿中清楚地顯示內(nèi)部控制審計的過程和結果。