好雨知时节 当春乃发生——写在《企业内部控制审计问题解答》发布之际

德勤华永会计师事务所 徐振

近日，在注册会计师进行上市公司年报审计如火如荼之际，在广大审计从业人员的企盼之中，如春夜喜雨，中国注册会计师协会适时地发布了《企业内部控制审计问题解答》（以下简称《内控审计问答》），为正在进行的财务报告内部控制审计（以下简称“内部控制审计”）提供了最及时、最贴近需要的实务指引和辅助。《企业内部控制审计指引》发布实施后，为指导注册会计师更好的实施企业内部控制审计，中国注册会计师协会制定发布了《企业内部控制审计指引实施意见》，对内部控制审计的关键业务流程和环节提出更加具体和细化的要求，为注册会计师行业贯彻实施《企业内部控制审计指引》，有效实施企业内部控制审计提供了全面技术指引和可操作的标准。但注册会计师执行企业内部控制审计的实务中仍有不少困惑，还有一些基本概念仍然模糊，在具体应用相关原则时，还存在一些误解，给《企业内部控制审计指引》的实施效果带来了一定影响。针对实务中这些亟待解决的问题，中国注册会计师协会及时组织行业内的专家进行认真研究讨论，并归纳总结出当前阶段最迫切需要解决的问题，以问题解答的形式发布，以便更好的指导《企业内部控制审计指引》及其实施意见在实务中的应用。

实务中将财务报表审计与内部控制审计普遍整合进行，是非常有效率的一种做法，因此，《内控审计问答》也是紧紧围绕整合审计的概念框架展开的。既然是整合审计，实务中就会关注内部控制审计与财务报表审计到底有哪些共同点，又有哪些区别，以及如何基于其共同点，有效整合两种审计工作，以同时实现内部控制审计和财务报表审计的双重目标。如果注册会计师能够合理计划内部控制设计和运行有效性的测试工作，恰当安排控制测试的时间，可以很好的实现内部控制审计和财务报表审计的目标。

实务中，企业往往并不需要区分财务报告内部控制和非财务报告内部控制，而且部分内部控制既可以实现财务报告内部控制的目标，也可以实现非财务报告内部控制的目标，但对于注册会计师执行以风险为导向的内部控制审计和财务报表审计而言，则需要考虑哪些内部控制可以预防、发现并纠正财务报表的错报，哪些内部控制仅与企业的经营目标或合规性目标相关，即区分财务报告内部控制与非财务报告内部控制。《内控审计问答》就此也对财务报告内部控制的内涵作出了进一步阐释，并强调判断的关键依据是考虑控制的目标，即财务报告内部控制是那些与企业的财务报告可靠性目标相关的内部控制。《内控审计问答》同时也就如何确定财务报告内部控制给出了实务指引，即通过采用自上而下的方法选择的拟测试的内部控制，通常是财务报告内部控制。

同时，《内控审计问答》就内部控制审计与企业内部控制自我评价之间的关系进行了阐释，并概括为“各自独立、单方面利用”的关系，并强调：如果符合利用他人工作的专门要求，注册会计师可以考虑利用包括企业内部控制自我评价人员在内的其他人员的工作，但企业不得利用注册会计师执行的审计程序及其结果作为其自我评价的基础。由于企业内部控制自我评价本身也是企业层面控制的重要组成部分，作为内部控制审计测试的对象之一，《内控审计问答》也就注册会计师需要对企业内部控制自我评价需要执行的审计工作给出了若干指引。

实务中，有些企业集团部分分子公司，如境外子公司，尚未按照企业内部控制规范体系的标准建立健全其内部控制。这种情况下，如何考虑对内部控制审计的影响，在实务中存在不同的理解。《内控审计问答》则明确指出，注册会计师需要考虑分子公司在集团财务报表中的重要程度，企业集团如何对其进行管控，分子公司是否存在其他替代性控制政策和程序及以前年度审计是否发现重大缺陷或财务报表的重大错报等因素，综合评估其对内部控制审计的影响。《内控审计问答》同时重申了《企业内部控制审计指引实施意见》针对该种情形下的若干要求，强调如果存在内部控制自我评价范围的法定豁免，注册会计师也可以不将其纳入审计范围，这并不构成审计范围的受限，但需要在内部控制审计报告中作出与企业类似的信息披露。

此外，《内控审计问答》还强调注册会计师应根据对内部控制相关风险的评估结果，合理确定控制测试的性质、时间安排和范围，不可千篇一律，模式化的计划和执行相关内部控制测试工作。

内部控制审计的质量依赖于实施内部控制审计测试的人员，因此，《内控审计问答》特别强调内控审计项目组的组建要求，包括委派有内部控制审计理论知识和实务经验的人员，必要时配备信息系统方面的专家等。与财务报表审计一样，内部控制审计也非常强调项目合伙人的参与，特别是在计划阶段，以便更好的计划和实施风险导向的审计方法。

“磨刀不误砍柴工”，在内部控制审计项目还在进行之时，会计师事务所及其注册会计师均应认真学习领会《内控审计问答》就有关问题所作的解读和澄清，并考虑应用到审计实务中去，以便实施更高质量的内部控制审计。