内部审计报告

　　一、内部控制审计概述

　　《企业内部控制配套指引》连同20xx年5月发布的《企业内部控制基本规范》构建了我国企业内部控制规范体系的雏形，自20xx年1月1日起首先在境内外同时上市的公司中实行，20xx年1月1日起扩大到上交所、深交所主板上市的公司实行;在此基础上，择机在中小板和创业板上市公司实行，同时鼓励非上市大中型企业提前执行。随着内部控制审计在我国受到越来越广泛的关注时，对于企业内部控制和会计师事务所的执业也提出了更高的要求。

　　我国《企业内部控制审计指引》中将内部控制定义为：“会计师事务所接受企业委托，对特定基准日内部控制设计与运行的有效性进行审计。”其中，特定基准日的考量不仅仅是一个时点当天的内控情况，而是一个区间概念，体现一种内部控制的一贯性和延续性。指引中所涉及的内部控制仅仅指与财务报告相关的，而非企业全部的内部控制。内控审计的对象是企业内控设计与运行的有效性，目标是对基准日企业内控设计与运行有效性获取合理保证。

　　在内控审计中，我国规定可以单独进行内部控是审计，也可以将内部控制审计与财务柏高审计结合起来，采取整合审计的方法，应同时实现获取充分、适当的证据，支持其在内部控制审计中对内部控制有效性发表的意见和支持其在财务报告审计中对控制风险的评估结果的目标。

　　根据我国内控指引的有关规定，内部控制审计主要分为以下几个步骤：计划审计工作、实施审计工作、评价控制缺陷、审计工作完成、出具审计报告和记录审计工作。

　　目前《企业内部控制审计指引》中提出的内部控制审计应按照自上而下的方法，具体步骤如下：

　　1.从财务报表层次初步了解内部控制整体风险。

　　2.识别企业层面控制。

　　3.识别重要账户、列报及其相关认定。

　　4.了解错报的可能来源。

　　5.选择拟测试的控制。

　　在财务报告内控审计中，自上而下的方法始于报表层次，以注册会计师对财务报告内部控制整体风险的了解开始。然后，注册会计师将关注重点放在企业层面的控制上，并将工作逐渐下移至重大账户、列报及相关的认定。这种方法引导注册会计师将注意力放在显示有可能导致财务报表及相关列报发生重大错报的账户、列报及认定上。之后，注册会计师验证其了解到的业务流程中存在的风险，并就已评估的每个相关认定的错报风险，选择足以应对这些风险的业务层面控制进行测试。在非财务报告内控审计中，自上而下的方法始于企业层面控制，并将审计测试工作逐步下移到业务层面控制。

　　二、内部控制审计在我国的发展现状

　　我国内部控制的理论研究起步较晚，安然事件爆发之前，我国对于内部控制的研究只要集中在内部控制评价的主体、内容、审核及报告披露方面。安然事件爆发后，美国SOX法案的出台，我国的内部控制及内控审计的相关问题才逐渐成为了焦点。

　　20xx年我国财政部五部委发布了《企业内部控制配套指引》是我国内部控制审计时间过程中的一次重要飞越，特别是对上市公司和大中型企业提出了新的要求。为我国内部控制审计的发展指出了发展的方向，与国际内部控制审计的步伐更加靠拢。

　　我国目前对于内部控制的理论研究主要集中在内部控制和内部控制审计的相关理论、标准、方法和国际比较，以及内部控制审计和财务报告审计两者关系方面的内容。但与国外比较，我国内部控制及内部控制审计的理论支撑仍较为薄弱。首先，内部控制框架的制定主要借鉴COSO的内部控制框架，而这个框架与我国国情和企业状况并不能完全匹配。第二，对财务报告审计和内部控制审计的评价标准和流程方面，主要借鉴西方国家相关标准。第三，对于财务报告审计和内部控制审计的整合方面没有提出具体的整合措施和标准。

　　总体而言，内部控制审计的理论在我国尚处于探索阶段，理论和实务都需要进行更加深入的研究。

　　三、内部控制审计与财务报告审计整合的可行性分析

　　随着《指引》的出台，执行企业内部控制规范体系的企业必须对本企业内部控制的有效性进行自我评价和披露，同时聘请会计师事务所对其财务报表内部控制的有效性进行审计并出具审计报告。由此举不难看出，我国在内部控制审计的

　　实践上开始了探索。从国际内部控制审计的实践来看，双重审计制度的实施，在带来巨大收益和社会利益的同时，也是对被审计单位和会计师事务所的一个挑战。在这个实施过程中我们也可以看出，进行内部控制审计和财务报告审计的整合的必然趋势。

　　《指引》第五条规定，注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行。这两项审计业务相互之间有着紧密的联系，一个是对过程进行鉴证，另一个是对结果进行鉴证，将两者整合进行可以提高效率，降低成本，这种做法在国际上也是被普遍认可和采用的。

　　财务报告反映了企业财务状况经营成果以及现金流量的情况，由外部第三方进行审计，目的在于保证财务报告的真实可靠;而内部控制是财务报告真实可靠的一种保障机制和程序，内部控制审计则是为了使内部控制发挥应有效果的监督手段。内部控制审计报告和财务报告审计报告之间存在着相互印证、相互利用的关系。即若注册会计师对内部控制审计报告发表无保留意见，则我们可以得出企业财务报告存在重大错报的可能性很低的结论，反之亦然。

　　财务报告审计和内部控制审计在执行过程中存在很多重合。两种业务都要求整体了解企业内部控制的设计及运行情况，在出具报告时也需要在同一时间发布，如果两项审计业务分别聘请不同的会计师事务所进行审计，无论是从审计的时间、成本、协调和沟通方面来看都是不经济的。

　　四、内部控制审计与财务报告审计整合的实施分析

　　内部控制审计与财务报告审计的整合实施首先需要明确两者在内涵外延上的契合点，并在此基础上在实务中进行整合。关键整合点有以下几项：

　　1.审计目标

　　财务报表的审计目标是检查财务报表在所有重大方面是否按照公认会计原则公允反应了公司财务状况、经营成果和现金流量，体现了公允性的审计目标。内部控制审计的目标是对于企业内部控制设计与有效性的有效性提供合理保障，体现了有效性的审计目标。

　　两者在审计目标的表述上存在着一定的差异，但无论是财务报表审计还是内部控制审计，最终的目的都是为了使报表使用者获得真实可靠的信息。

　　2.业务类型

　　财务报告审计和内部控制审计都是合理保证的鉴证业务，但财务报告审计的需求更加强烈，审计人员的专业能力和标准更加明确，因此其保证程度更高。而内部控制审计由于其在我国的发展历史原因，还并不成熟，因此在统一标准和注册会计师专业能力培养方面还存在欠缺，保证程度相对较低。然而对同一被审计单位进行，要达到合理保证的要求在两项审计也业务中是相同的，保证程度的差异是可以通过内部能力提升和外部理论环境的完善被逐渐消除的。

　　3.审计计划

　　两种设计在审计计划阶段有一定的差异，但在制定审计计划时考虑的内容有很多相似之处。例如计划财务报告审计阶段，需要初步识别重大错报风险，而对于重大错报风险的判断很大程度上取决于内部控制审计过程中发现的控制上的缺陷;在内部控审计的计划中，对于高风险的判定也会根据财务报表所反映的信息进行判断。

　　4.审计方法

　　财务报告审计采用的是风险导向的审计方法，而内部控制审计采用的是自上而下的审计方法。两种方法存在着很多相同之处。财务报告审计中的风险评估方法，特别是对被审计单位的性质、行业的了解对注册会计师进行内部控制审计是对控制环境的了解有很大的帮助，同时内部控制审计中对内部控制的了解也有助于财务报告审计中对风险的认识。

　　5.审计证据收集

　　两种审计在证据需求方面存在比较大的差异，即使是针对内部控制的证据，财务报告审计收集的是整个时间段内的，而内部控制审计只收集期末的时点数据。但两种审计的证据是可以相互利用的。在财务报告审计中收集的有企业环境证据、通过审计程序法先的具体错报都可以被内部控制审计所利用;内部控制过程中发现的控制缺陷也可以为注册会计师在报表审计中对重大风险领域关注提供参考。

　　根据以上关键整合点的分析，可以得出，对于内部控制审计和财务报告审计的整合，关键在于对内部控制的了解和测试。美国公众公司会计检查委员会(PCAOB)将整合审计程序划分为五部分，分别是初步业务活动、审计计划、风险评估、风险应对、审计结论及出具审计报告，我们可以借鉴这种活动划分来。具体分析内部控制报告审计和财务报告审计的整合的实务程序。

　　1.审计计划工作

　　在审计计划阶段，注册会计师应当初步确定重要性水平，判断内部控制是否存在重大缺陷。判断是以控制能否及时防止饿发现财务报告出现的重大错报为依据，因此两种审计确定的重要性水平是相同的，在这一阶段是可以将两项审计程序整合进行的。

　　2.风险评估程序

　　风险评估程序是审计中非常重要的一个程序，财务报告审计中，注册会计师应充分识别和评估财务报表的重大错报风险，并据此设计和实施进一步的审计程序应对评估的错报风险。在内部控制审计过程中，注册会计师应使用风险导向，进行自上而下的审计程序进行控制测试。特别是企业层面的控制情况对于内部控制的有效性起到了决定性作用，内部控制审计业务层面的控制测试直接可以确定财务报告审计中实质性测试的范围。

　　3.审计风险应对

　　注册会计师进行的风险应对包括实质性测试和控制测试。选择拟测试的控制程序时，注册会计师应考虑证据的性质及获得的难易程度，并不需要对所有的控制进行测试。当存在重大缺陷时，内部控制即被认定为无效。因此如果识别出控制缺陷，即使在财务报表审计讲一个或多个认定的控制风险评价为高水平，也有可能在出具报告是给出无保留意见。这种情况下，注册会计师在认定内部控制无效时会直接进行实质性测试程序。而整合审计下，注册会计师还需要进一步对内部控制进行评价，进行控制测试程序，确定该控制缺陷是否应在内部控制审计中构成重大缺陷，以获取足够的证据对内部控制发布审计报告。

　　4.审计结论及出具审计报告

　　在审计结论和出具报告阶段，注册会计师应综合的评价发生的错报和识别的控制缺陷。整合审计中，两项审计结果会相互支持其结论。但还应在各自的报告中说明同时进行的另一项审计发表的意见类型。在实务中，整合审计的具体表现则是由同一会计师事务所的不同项目组执行两项审计。由同一会计师事务所来执行注册会计师之间的沟通，协调工作进度，互相利用对方的工作成果。不同的项目组来执行也可以保持一定的独立性，有利于互相检查股票作结果，降低了同时出具错误报告的可能性。

　　五、整合审计中应注意的问题

　　我国的《企业内部控制评价指引》着眼于全面提高公司的经营管理水平，要求公司围绕着内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对内部控制进行有效性进行全面评价。按照指引要求，

　　1.提高注册会计师的专业能力

　　将内部控制审计和财务报告审计整合实施，在编制审计计划、风险评估、控制测试和评价过程中都对注册会计师的执业判断能力和专业胜任能力提出了更高的要求。这就要求注册会计师不断自我完善，运用风险导向审计思路，重视企业层面控制测试;在较大的工作量中合理安排控制测试;在连续审计中还要关注公司控制与风险的变化，注意适当调整每年审计的范围。

　　2.审计独立性

　　内部控制报告审计和财务报告审计的整合并不能和咨询业务有所交叉。《企业内部控制基本规范》对此有明确的规定：“为企业内部控制提供咨询的会计师事务所，不得同时为统一企业提供内部控制审计服务。”此外，定期的轮换、特殊人员的隔离和利益相关人员的回避也是重要的保证方式。只有保持了独立性，才能摆正审计质量，维护广大信息使用者的利益。

　　3.引导报告信息使用者正确认识整合报告

　　财务报告是企业财务信息的载体，而内部审计报告则是财务报告真实可靠的保障机制的评价结果。正确认识两种审计报告之间相互印证相互利用的关系可以更好的帮助报告使用者理解企业经营状况和财务信息，辅助做出合理的决策。

　　六、结论

　　综上所述，随着我国对于内部控制审计的重视和出台的政策指引来看，将财务报告审计和内部控制审计整合进行，必然将有利于提高审计效率、发挥审计的协同效应并最终提高财务信息的质量。在提高财务信息质量的目标指引下，整合风险导向和自上而下的审计方法、联合确定重要性水平的审计计划、相互印证相互利用的审计证据、出具审计报告等环节，达到指引所要求的标准。将内部控制审计和财务报告审计进行结合是保证上市公司财务报告可靠性的重要手段，只有这样，才能保证上市公司运行过程中的风险低水平，提高上市公司的综合竞争力。