企业内审开展内部控制评审业务探讨

戴东伟

随着内部控制的产生和发展，内部审计与内部控制的联系越来越紧密，由于内部审计可以通过对企业内部控制情况的评审，指出内部控制制度的缺陷以及执行的偏差，发现公司经营管理中潜在的风险因素，提出有效的控制措施和管理手段，帮助企业降低经营风险，改善内部管理水平。因此，内部控制评审越来越受到现代企业内部审计部门的关注。

一、企业开展内部控制评审存在的主要问题

（一）缺乏内控评审操作规程，内控评审随意性较大。虽然审计项目要求审计人员对被审计单位内部控制的健全性、合理性和有效性进行综合评价，如何进行内控评审在一些理论书上也有所阐述，审计人员却感觉指导性不强。内控评审应该如何具体操作，缺少可依据和遵循的标准。在实际审计过程中，审计人员往往只查阅一些制度和规定，将业务流程简单地“走一遍”，打打分数就 “交差”，没有实质性地进行内控评审。从而造成评审质量不高，难以适应内控评审的内在要求。

（二）评审人员知识结构欠佳，难以适应内控评审需要。审计人员对业务流程及相关法律法规不够熟悉，理解不深不透，评审经验欠缺，与内控评审相关的审计技术方法应用还不熟练；同时，内控评审涉及面广，专业性强，涵盖了工程、计划、统计、生产、物流、销售等多个方面的业务。现有的内部审计人员知识结构不尽合理，财务和工程审计人员较多，其他专业人才较少，懂经营管理、懂生产流程的审计人员更少，难以满足内控评审的需要。

（三）对内控评审存在认识误区，影响内控评审质量。一些审计人员对内控评审项目的重要性认识不足，认为内控审计项目比较简单，无非是查查制度，看看资料，把方案中拟定的业务流程简单的穿行测试一遍，没有真正把内控评审项目同其他常规项目同等看待，对问题的查证停留在表面，没有下功夫去揭示内部控制背后的深层次管理问题，影响了内控评审质量的提升。

二、内部审计开展内部控制评审的重点内容

一是评价内控体系的健全性。主要是审核企业是否建立健全了相关的业务流程及其配套制度，这些流程和制度能否明确企业的业务规程、部门职责和权限，每个需要控制的环节是否设立了合理的控制点。

二是测试内控机制的有效性。主要是选择重要业务流程和关键控制点进行符合性测试，结合实地观察和询问，分析确认内控制度是否有效运行，关键控制点的设置是否合理、适用，评价企业的生产经营活动是否在有效地控制下规范运行，是否能够达到预定目标，了解内控体系功能和作用是否得到了有效发挥，是否对企业经营成果有重大影响。

三是判断内控制度的遵循性。主要是通过抽样、询问、观察等方式，审查各项制度在操作中的使用情况和内部控制的符合程度等，如关键控制点虽有制度，却未执行或执行不到位。在此基础上，判断各控制点上设置的控制制度是否得到认真执行，是否存在失控环节和薄弱失效控制点，从而对内控制度的遵循性做出评价。

三、内部审计开展内部控制评审业务的基本程序

（一）评审准备阶段。该阶段主要是进行内部控制调查和初步评价，主要包括三个环节。

1.开展审前调查。成立审计组要本着突出优势、专业互补、资源共享的原则，主要从审计人员的知识结构、专业特长、审计经验等方面加以考虑，并根据评价业务流程的性质选择审计人员。在开展内控评审之前，审计人员应根据被审计单位的控制类型、控制程序以及业务规模的复杂程度，恰当确定审前调查的范围。收集包括单位基本情况、资产规模、生产经营特点、主要经营业务及辅助业务的类别、业务量等资料，初步了解被审计企业的基本情况，对相关业务流程和控制点进行分析并初步确定评价的重点，识别和评估经营风险，划分风险级别，将审计范围内的高风险经营领域作为审计的重点关注对象。

2.编制评审方案。评审方案一般由评价项目、被评价单位、编制依据、评价目标、评价方式、评价范围和内容、重要性和审计风险的评估、具体的审计程序和方法、审计实施步骤及时间安排、审计组成员和具体审计评价事项分工、其他要求等要素组成。在审前调查与初评的基础上，将被审计单位内部控制薄弱的部门、单位及业务流程，确定审计重点，分配较多的审计资源，提高评审质量。

3.开展审前培训。由于审计组人员知识结构的差异性以及评价角度和评价方法的不同，可能导致评价结论与实际内控执行之间存在差异的情况。因此，在实施评价之前，有必要对审计组全体成员进行集中培训，由项目组长或主审、熟悉业务流程的专业人员，具体讲解评价运用的方法和手段、评价目的、评价中需要关注的重点和难点，以及评审过程中需要注意的相关事项，以提高评审质量和效率。

（二）现场实施阶段。该阶段主要是对内部控制的测试与评价，具体环节如下：

1.召开审计进点会。进入评审现场首先召开由评审组全体成员和被审计单位负责人、相关部门负责人共同参加的审计进点会，说明检查评价的目的及意义，检查评价的时间和范围，取得被审计单位的支持，确保内控评审工作顺利进行。

2.实施现场评审。审计人员应根据评价方案的分工和要求，通过询问被审计单位有关人员、检查内控相关的文件和记录、观察被审计单位的经营管理活动，发现评价线索，确定评价重点，实施内控测试，包括合法性测试、健全性测试和符合性测试，选择恰当的评价标准，明确评价要求，填写检查评价工作表，分项量化打分，根据各业务流程所占的权重，计算出内部控制总体评价得分，并结合对企业内控制度建立、健全及执行情况的综合分析，作出全面、客观、公正的评价。对于重点事项应根据实际需要向前追溯或向后延伸至审计评价日。

3.编制审计底稿。评审人员将通过业务抽样、穿行测试、书面资料检查等发现的与内部控制制度的要求不相符的情况记录下来，编制评审工作底稿，并由主审复核把关，对不明确的地方要进一步核实，然后与被审计单位交换意见，由被审计单位负责人或相关业务流程的经办人签字确认工作底稿。

（三）评审终结阶段。该阶段主要是对内控评审结果的运用，对评审中发现的内部控制问题，分析问题产生的原因和可能导致的后果，并提出改进意见及建议，为被审计单位完善内部控制，降低生产经营风险服务。

1.撰写审计报告。内审人员应当依据测试和评价结果，整理、汇总评价资料，撰写内控评审报告。报告的主要内容包括：实施评价的目的和范围、被审计单位的内控基本情况、评审人员实施评价的过程描述、具体业务流程和关键控制点的检查评价情况、内控缺陷的问题认定情况、内控失效的情况及原因分析、审计评价意见和建议等。评审报告应揭示企业内控执行过程中存在的缺陷和问题，分析、界定被评价项目或业务流程的经营风险级次，指出存在的风险隐患，并针对内控缺陷及失控环节，提出有针对性的改进意见和建议，使企业决策者和管理层得到启发，达到不断完善和加强内部控制、规范企业管理、提高经济效益的目的。

2.下达整改通知。现场检查测试评价工作结束后，评审组应依据评审报告，对就被审计单位内部控制存在的问题、缺陷以及未有效执行的控制点，向被审计单位下达整改通知，要求及时制定整改方案、采取切实可行的整改措施，在规定期限内进行整改落实，并及时向内审部门反馈整改情况及结果。

四、改善企业内控评审工作的应对措施

当前，虽然内控评审在企业内部审计中的应用已很普遍，积累了一定的经验，但随着企业经营环境的变化以及风险的日益增加，内控评审应用还不能完全满足企业内部控制以及风险管理的需要。因此，要进一步转变观念，拓宽领域，加强研究，提高审计质量，使内部审计更好地发挥其服务功能，帮助企业提高管理水平，防范经营风险。

（一）加强内控评审理论研究，制定内控评审操作规范。要解决内控评审操作不规范的问题，关键是制定一套科学、适当的评审办法，从评审原则、程序、内容、方法等方面做出具体规定，使评审工作做到有章可循。当前，内部审计机构应加强内控评审方面的理论研究，注重对内控评审经验的总结提炼，采取请进来、走出去的方式，向其他单位学习内控评审经验，力求尽快出台实用性、指导性较强的内控评审操作规范，使内控评审在内部审计中得到更好的应用。

（二）改善审计人员知识结构，提升评审队伍综合素质。审计人员在掌握财务、统计、审计知识的同时，还需熟识国家的法律法规和经济改革的方针政策，掌握现代管理、工程技术、法律法规等综合知识，具有敏锐的洞察力和判断力。因此，应改善内审人员的知识结构，配备精通计算机、工程、管理、法律等相关专业的人才，并且对审计人员进行多层次、多渠道、多形式地培训，提升评审队伍综合素质，促使审计人员知识结构满足内控评审的需要。

（三）转变内部控制评审理念，提升内部控制评审质量。审计人员应充分认识到内控审计工作的重要性，并给予应有的关注和重视，改变以往“内控评审就是走流程”的错误观念，不要只停留在对流程控制点的检查上。要创新审计技术和方法，体现内控评审特色，发现并揭示流程背后的深层次问题，通过认真分析问题的性质及成因，提出建设性意见及建议，真正达到促进企业完善内部控制、改善经营管理、提高经济效益的目的。