内控工作指引

Ⅰ 企业内部控制审计指引实施意见的关于签订业务约定书

只有当内部控制审计的前提条件得到满足，并且会计师事务所符合独立性要求，具备专业胜任能力时，会计师事务所才能接受或保持内部控制审计业务。 在确定内部控制审计的前提条件是否得到满足时，注册会计师应当：
（1）确定被审计单位采用的内部控制标准是否适当；
（2）就被审计单位认可并理解其责任与治理层和管理层达成一致意见。
被审计单位的责任包括：
（1）按照适用的内部控制标准，建立健全和有效实施内部控制，以使财务报表不存在由于舞弊或错误导致的重大错报；
（2）对内部控制的有效性进行评价并编制内部控制评价报告；
（3）向注册会计师提供必要的工作条件，包括允许注册会计师接触与内部控制审计相关的所有信息（如记录、文件和其他事项），
允许注册会计师在获取审计证据时不受限制地接触其认为必要的内部人员和其他相关人员等。 如果决定接受或保持内部控制审计业务，会计师事务所应当与被审计单位签订单独的内部控制审计业务约定书。业务约定书应当至少包括下列内容：
（1）内部控制审计的目标和范围；
（2）注册会计师的责任；
（3）被审计单位的责任；
（4）指出被审计单位采用的内部控制标准；
（5）提及注册会计师拟出具的内部控制审计报告的形式和内容，以及对在特定情况下出具的内部控制审计报告可能不同于预期形式和内容的说明；
（6）审计收费。

Ⅱ 如何将《内控手册》要求融入到企业的管理流程当中

首先行业不同，方式方法也不同，以一个行业为例
XY股份有限公司为符合上市公司内控法规要求，提高企业经营管理水平和风险防范能力，促进企业可持续发展，根据财政部、证监会等五部委印发的企业内部控制基本规范及配套指引的要求，聘请外部咨询公司，2011年3月起着手进行内控体系建设工作。根据《企业内部控制基本规范》及其配套指引要求，结合国外公司经验，企业内部控制体系建设通常分为4个阶段，内部控制梳理、内部控制整改固化、内部控制自我评价和内部控制审计，其中前3个阶段是内控建设核心工作，需由企业主导完成，内控审计由审计师在企业配合下实施。

为做实做好内控规范体系建设工作，公司于2011年3月正式成立内控工作领导小组，由公司董事长牵头，高层领导主管、总部各部门负责人及各分子公司总经理作为组员，负责组织领导公司内部控制规范化建设工作。2011年3月中旬召开内控实施项目启动会，对公司内控建设工作进行了部署和动员，并制定公司内控实施计划及工作方案。
一、建立内控建设组织架构，明确相关人员职责。
内部控制建设作为一项长期系统性地工程，并非一蹴而就，公司决定建立一种长效领导机制持续运作。公司内控体系建设组织架构图如下，并明确董事长为内部控制实施工作的第一责任人；公司总经理、副总经理为内控实施的具体负责人。
（一）内控领导小组职责
经第六届第十次董事会审议通过，公司成立风险管理委员会，成员包括董事长、审核委员会主席、总经理、分管主要业务的公司高管及专业人士，作为内控工作领导小组。
风险管理委员会对董事会负责，主要履行以下职责：
（1）负责营造良好的内部控制建设环境；
（2）负责制定公司内部控制战略规划，提出总体建设方案；
（3）负责审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；
（4）部署内部控制建设、执行及监督活动等；
（5）审议《内控手册》的编制、修改及更新；
（6）提交《内部控制评价报告》；
（7）协调公司内部控制建设的重大事项；
（8）考核内部控制建设的相关人员，保持公司整体利益和方向的一致性。
（二）内控项目小组职责
1、公司在风险管理委员会下设立风险管理委员会办公室作为内控项目组，主要履行下列职责：
（1）全面贯彻执行风险管理委员会关于内部控制建设的精神和方针；
（2）制定公司内部控制建设阶段性的目标及实施方案，提交风险管理委员会审核；
（3）负责内部控制建设的有效实施和运行，落实内部控制建设的具体责任；
（4）研究提出《内部控制评价报告》；
（5）负责公司《内控手册》的编制、修改及更新；
（6）审核在内部控制建设过程中存在的问题，督促各部门进行整改。
2、公司在风险管理委员会办公室细分为4大系统，即风控系统、战略与证券系统、财务系统和运营系统，明确各系统的具体职责。
3、风险管理委员会办公室成员主要来自于财务管理部、战略与证券管理部、风险管理部、管理创新部、营销中心、质量与客服部、供应链中心、法律事务部、研发中心、制造中心及战略人力资源部，配备33名专职人员。各业务单位、职能部门及子公司（事业部）在风险管理委员会办公室的指导下共同参与、实施内控建设工作。
4、审核委员会作为公司内部控制体系有效性的监督机构，监督内部控制的有效实施和内部控制自我评价情况，审核及监督外部审计机构是否独立客观及审计程序是否有效，审核公司的财务信息及其披露，协调内部控制审计及其他相关事宜。
（三）责任部门及工作预算
与内控工作小组相对应，公司确认了内部控制建设的责任部门，即风险管理部、战略与证券管理部、财务管理部、管理创新部、营销中心、供应链中心、质量与客服部、法律事务部、制造中心、研发中心、战略人力资源部。本次内控项目工作制定了相关预算，包括内控咨询、内控审计及人力成本费用、培训费用等。为保证内控建设工作的专业化、系统化和合理化，公司聘请询公司作为外部咨询机构为公司提供专业支持，协助公司梳理、构建及完善内部控制总体架构，帮助公司识别内部控制存在的薄弱环节和主要风险，有针对性的设计控制的重点流程和内容并协助公司开展内部控制自我评价工作。 风控系统人员将全程参与风险识别及评估、编制风险清单及控制矩阵、内控缺陷整改、开展内控评价等工作，为公司培养内部控制建设及评价人才。
二、内控体系建设工作具体推进
内部控制建设工作，公司将分为五个阶段，时间从2011年4月1日至2012年1月31日，总体安排如下：
（一）确定内控实施范围（2011年4月10日前完成）
根据证监局文件精神，结合公司实际，本次内控实施范围为股份公司、一家上海子公司及一家广州子公司。
按照《企业内部控制基本规范》及其配套指引要求，结合公司业务性质，公司将重点关注发展战略、组织架构、人力资源等公司层面3大流程，以及信息系统、财务报告、信息披露、关联交易、全面预算、资金活动、采购业务、销售业务、资产管理等业务层面9大流程。
各流程责任人如下（××代表责任人姓名）：
流程第一责任人 具体负责人 内控协调人 中介机构责任
发展战略 × × ×
组织架构 × × × ×
……
注：上述责任人适用于内控建设中的每个阶段。
（二）风险识别及评估（2011年5月31日前完成）
1、流程梳理：公司通过访谈、审阅文档或问卷调查等方式梳理流程，明确上述12大流程的相应子流程，完善组织架构和审批授权指引，根据统一的模板编制业务流程图。在流程梳理过程中，及时发现并记录有遗漏、杂乱、不符合相关法律、不相容职务未分离或权限设置不合理等内控缺失的工作流程，采取相应的措施规范操作流程，避免内部舞弊等重大风险出现，提高工作效率。
2、风险识别：结合《企业内部控制基本规范》及相关配套指引所列示的风险、公司客户审核要求、内审报告、提案改善、质量事故等初始资料，从风险发生的可能性和影响程度，对子流程中涉及到的每个控制点进行综合分析，识别固有风险，评价风险等级，形成风险清单。
3、文档记录：根据风险等级，识别流程中的关键控制活动，并在流程图中进行编号；编制流程描述、风险控制矩阵等内控文档对控制活动和控制点进行记录。
4、查找内控缺陷：将公司现有制度和控制措施流与风险清单进行比对，通过穿行测试、控制测试等手段，获取关于内控设计和运行有效性的证据，查找内控缺陷，形成《风险数据库》和《内控风险诊断和评价报告》。对发现的重大缺陷及时报告董事会及管理层，管理层对发现的内部控制缺陷应及时制定内控缺陷整改方案。
（三）确定内控缺陷整改方案（2011年6月30日前完成）
1、编制《内部控制管理建议书》：公司对发现的内控缺陷进行分类分析，确定内控缺陷的重要性程度，区分设计缺陷和运行缺陷，形成《内部控制管理建议书》。
2、制定内控缺陷整改方案：公司根据《内部控制管理建议书》和具体的控制缺陷，提出整改时间及责任部门、人员，形成内控缺陷整改方案。
3、提交审议：内控缺陷整改方案应当经过风险管理委员会审议通过。
（四）内控缺陷整改（2011年9月30日前完成）
1、落实整改、提交报告：责任部门将按照内控缺陷整改方案对发现的缺陷进行逐一整改，完善公司各项内部控制管理制度和控制措施，提交《内控缺陷整改报告》；内控项目组连同中介机构对缺陷整改情况进行运行有效性测试，形成《内控运行测试报告》。
2、编制《内部控制手册》：内控项目组根据风险清单和各项内控文档等资料，编制《内部控制手册》，并对手册内容进行实施辅导和推进执行。
3、编制《内控自我评估工作指引》：内控项目组编制《内控自我评估工作指引》，为下一步内控自我评价工作的开展奠定基础。
4、提交审议：《内控缺陷整改报告》、《内控运行测试报告》、《内部控制手册》及《内控自我评估工作指引》应报风险管理委员会审议。
（五）内控持续推进和内控自我评价
公司在内控体系成果完成后，将予以持续推进，并根据辖区证监局要求，公司将于每季度结束后的10个工作日内，向证监局报送内控进展情况说明，并在定期报告中予以披露。每季度进展情况说明至少包括该季度内控建设工作的开展情况、与工作方案中计划进度的对照情况、差异原因以及拟采取的解决措施等。
通过以上工作，公司初步建立健全了内部控制体系，有效提高了内控管理水平。
三、企业内控体系的“落地”和持续推进
XY公司在完成内控体系初步建设完成后具体推行过程中，一些部门和员工或因对新的内控制度理解不够，或因由于长期工作习惯难以改变，或因内控制度变革触及自身利益而不愿遵循，使得内控制度在一段时期内一直都不能落到实处。如何真正将内控体系有效执行下去，并保持内控体系的持续完善和提高，是管理层迫切需要解决的难题。
为了切实将内控制度体系真正“落地”，XY公司通过全方位内控培训、加强内控检查与监督、完善考核及激励机制以及借助第三方专业机构的持续辅导等措施，有力地保证了内控建设的持续维护，公司的内控建设取得了卓有成效的进展。
具体来说，采取的主要措施有：
（一）完善内控工作组织架构，成立内控部，强化审计部，建立推进内控工作的组织机构和运行机制。
通过对国际大企业内控建设的现状和过程的全面考察，XY公司发现要实行有效的内部控制，必须建立相配套的组织架构。为此，公司由管理高层成立了内控工作领导小组，各子公司管理层对应的成立内控管理小组；在部门设置上，XY公司新成立了内控部，各下属子公司根据其规模大小设立内控部或内控负责岗，负责内控建设工作；在内控监督上，转变了原有的审计部的职责，增加了内控评价和检查的功能，并由公司董事会的审计委员会直接领导，在规模较大的子公司同时设立内部审计专员，负责子公司的内控自查。
（二）注重内控环境建设，进行全方位内控培训。
XY公司通过一系列的培训和辅导，提高各层级管理人员和基础员工对内控理念的认识，营造有利的内控工作开展的文化环境。首先，公司抓好以普及内控基本知识、营造内控实施环境的宣传工作。公司内控部组织编制了《内控宣传册》，在股份公司各职能部门和下属公司主要管理干部范围内发放学习。手册通过生动的案例和形象的语言帮助各级管理人员统一对内控的理解和认识，减少内控推进的思想阻力。
其次，公司根据内控规范实施的进度，围绕内部控制的各个方面，开展了包括基础理念、管理制度、风险评估、内控评价、内控考核在内的各类集中的专题培训，对内控制度的编制和实施起了极大的推进作用。
（三）建立内控推进的沟通机制，保证内控建设持续性和问题解决的及时性。
自内控制度建设正式推进以来，为了保证推进的执行力，公司开展了全方位的信息沟通机制，实现了信息的实时传递，和通畅的上传下达。
首先，XY公司建立了周例会制度。内控领导小组每周组织内控工作例会，由公司董事或审计委员会主任主持，参与者包括内控领导小组成员、内控部、审计部、财务部、各子公司的内控负责人等。总部各职能部门及各子公司必须在会上以书面形式上报“内控工作一周报告”，汇报内控的进展情况、存在的问题、解决的方案、遇到的困难以及需要股份给予协助的事项，并由内控领导小组组长对相关的具体问题提出意见和工作指导，会后股份公司内控部负责对每家子公司进行回复，保证所有的问题都能得到及时有效的解决。所有会议记录和相关文件在会后抄送股份公司的总经理和董事会，并抄送相关子公司的管理层，保证管理高层对内控进展的时刻了解。
其次，公司建立了内控体系的月度工作总结。每月末各个子公司的内控负责人就内控开展情况进行工作总结，由内控部在股份公司管理层、子公司管理层以及相关内控负责人之间进行通报，督促各子公司的内控执行力。
第三，建立了重大项目的单独汇报机制。各子公司的内控负责人对于子公司内控建设中发现的重大问题要求及时向内控领导小组和股份内控部进行汇报，以实时处理可能的重大风险。此外，股份公司的内控部长、审计部长、财务总监的联系方式向子公司的所有内控负责人和内控专员公开，作为信息直接传递的一个重要渠道，帮助股份公司及时了解下属子公司内控风险。
（四）完善内控评价检查机制，建立了多层次的内控检查体系。
为了保证内控制度的落地和真正有效的执行，公司从各子公司到股份公司的内控部和审计部，再到外部独立的第三方中介，建立了全方位的内控评价和检查体系。股份公司内控部对各业务循环定期开展内控检查，通过发放内控调查清单以及内控专员的现场检查，发现子公司在内控建设中的不足，并及时下发风险联系函、风险关注函和风险警示函，以帮助子公司及时进行内控整改和完善。其中联系函主要是对子公司联系函件的回复为主；关注函主要是对子公司发生的业务表示关注，一般要求对方在一定时间内给出书面说明；警示函是在关注函的基础上对于重大风险或执行不到位的情况给予警告。
股份公司审计部对各子公司每年开展两次的内控评价。为了实现评价的量化和标准化，审计部编制了内控评价底稿通过检查，对子公司形成内控建设的量化评价，并针对检查中发现的问题出具改进建议，并要求各子公司在规定的时间内予以整改，总部内控部对子公司整改措施和整改质量进行全程的监督，整改完成后，审计部及时予以复查，确保审计中发现的问题能及时整改。
（五）将内控建设纳入绩效考核，通过奖惩机制实现内控的有效性。
首先，为有效发挥各下属子公司的管理者在内控推进中的作用和积极性，自200×年开始，股份公司将审计部对各子公司的内控评价结果纳入其管理班子的绩效考核的指标中，明确了管理班子对于内部控制建设的责任和关键任务。通过这种绩效考核，激励管理层切实关注和推动内控的执行工作，从而为内控工作的推进建立良好环境。
其次，对于股份公司向各子公司委派的重要人员也直接与内控建设挂钩。公司出台了《委派内控人员绩效考核管理办法》，对各个子公司的内控负责人实施全面的内控建设考核，明确了委派的内控人员的绩效考核指标、考核方式和奖惩机制，进一步促进了委派内控人员的工作落实力度；其次，对于股份委派的财务负责人，也在其年度考核的总分中（100分制）纳入了相当比重的的内控建设的相关内容，从财务职能加强了对子公司的内控推进。
（六）充分发挥专业中介机构力量
XY公司在开始建立内控体系即聘请的专业咨询公司提供咨询服务，在整个体系建立过程中，充分发挥咨询公司专业力量，并聘请专业顾问对公司人员进行培训，提高公司人员内控理念和技能。在内控体系初步建立之后，仍继续与咨询公司保持合作，借助咨询公司在专业及独立性方面优势，共同推进公司内控持续建设工作，在内控持续建设工作中，专业咨询公司提供了大量了专业意见和培训辅导服务，帮助公司完善各项成果，使得公司的内控持续建设取得了令人瞩目的成效。
四、企业内控体系建设过程的经验和启示
在公司董事会、各层级管理人员和基础员工不懈努力下，公司内部控制体系的建设取得了一系列的良好效果，全公司各级员工的风险管理意识显著提高，对风险的理解和重视切入到各个业务和管理环；强化了各项经营活动的规范化操作，实现了重大经营活动的集体化决策机制，有效防范了决策风险；提高了公司的财务管理水平，保证了从产业公司到股份公司的各层级财务数据的真实公允以及资金、资产的安全；加强了公司对新经营环境下管理风险的关注；完善了公司的风险预警机制，提高了各职能部门对业务发生之后的潜在风险的持续监控、分析和应对。公司在内控体系建设和推进过程中，主要的经验和启示有：
1、公司董事会和最高管理层的重视和亲自参与
在XY公司董事会，无论是大股东委派董事、非执行董事还是独立董事，都非常重视和关心内部控制体系的建设工作。作为公司的大股东，集团对股份公司的内控建设给予了极大的理解和支持，有力的推动了产业公司的内控建设的进程。董事会的定期会议都将内部控制进展情况作为重要议题沟通，对于内部控制推进中出现的任何问题，董事会层面时刻给予相应和支持。
在公司管理层方面，成立了内控领导小组，投入了大量的人力和财力，带领企业员工共同进行内部控制建设，为内部控制的推进提供了良好的内部环境，同时也激发员工的积极性和主动性，推动企业内部控制朝更顺利、更完善的方向发展。
2、对内部控制理念以及其与公司其他管理体系关系的认识统一
XY公司在内控推进的第一阶段大力推行高频率、大幅度的培训，帮助各级管理者以及基层员工了解内部控制的主要原理和价值，减少内控实施中的思想阻力。其次，公司统一了内控体系与其他管理体系的认识，内部控制和风险管理不是一套孤立的新的体系和制度，而是一种基于“目标－风险－控制－监督”框架的管理思路，这种管理思路可以融入到企业的所有其他的管理体系和管理制度中去，是对企业原有的管理制度的整合和提升。
3、制定了清晰明确的内部控制战略规划
公司根据自身实际情况，在订并提出了内部控制的五年两步走的规划，并将其纳入到公司的5年战略规划中。第一阶段（3年），通过自上而下的刚性要求，构建全面的统一化的集团内部控制架构，并通过理念灌输形成内控推进的文化范围；第二阶段（2年），通过自下而上的，自觉的内控体系的完善，形成各个产业公司的特色化内部控制。这一从强制到自觉，从理念普及到制度完善再到内控手册的表格化提升的建设步骤，使得公司从管理高层到基层员工的各级人员都明确内部控制不同时期的不同任务及不同发展状态，稳步推进，逐步加深，为内部控制的发展道路勾画了清晰路径。
4、因企制宜的实施方案
XY公司意识到对于集团化企业，内部控制不能是一刀切的，公司要实行内部控制，需要根据自身的业务类型、公司规模、公司所处阶段来选择适宜的内部控制方法。
首先公司在吸收了五部委内部控制基本规范和配套指引的相关精髓的基础上，结合企业经营实践，基于先主后次的重要性原则以及成本收益原则，提出了以若干业务循环作为公司内控建设的主要循环范围。
其次，考虑公司的人员能力和素质，在内控成果上也没有一步到位册，而是以制度建设为基础，通过制度规范，到流程优化再到风险提炼，逐步实现内部控制的层层递进。
第三，在内控推进上，公司充分考虑下属各产业公司的业务特点，确定适合各公司的内部控制方式和侧重点。
5、循序渐进的实施步骤
（1）自上而下的理念推进向自下而上的流程推进的递进。
在内控实施的第一阶段，公司强调自上而下的理念推进。公司通过内部培训、各种工作会议达成内控理念的统一，并向各子公司传达，之后各子公司则进行自下而上的内控流程推进，即各产业公司根据自身的内部流程，进行制度的完善，并经由公司内控部审核后实施。
（2）由总部出台框架性的制度到各个子公司制订针对性的业务流程的递进。
公司内控部结合外部力量制定框架性的制度，明确各业务循环的关键控制点和操作要求，各产业公司根据自身业务情况，在满足框架制度要求的前提下制定适合企业自身的管理制度，以求更贴近产业公司的经营管理实践。
（3）普遍性、通用性的风险点向专业性、针对性的风险点的递进。
公司首先根据对产业公司实际情况的调研，绘制公司的全面风险数据库，梳理出具有普遍性的通用性主要风险点，之后，各产业公司在实际操作中不断发现专业性、针对不同企业业务特色的独特风险，以实现内部控制的完善。
（4）抓重点公司，抓主要循环和风险、抓典型事件。
公司的内部控制遵循重要性原则，关注重点公司级重要循环与风险，并关注典型事件，以期通过重点带动全面，推动内部控制的发展。
6、借助外部专业中介机构推动内控建设
外部专业机构相对具有更丰富的内控专业力量和实施经验，并且具有客观性和独立性，XY公司在整个体系建立过程中，充分发挥咨询公司专业力量，但也没有完全依赖中介机构甩手不管，而是充分参与和配合，在内控建设过程中，实现知识传递和内控人才培养，取得了较好的实施效果。

--------------转自新浪微博《马军生-内部控制博客》

Ⅲ 保险公司内部审计指引（试行）的第四章 工作机制

第二十条 保险公司董事会审计委员会应当至少每半年一次向董事会报告审计工作情况，并通报管理层和监事会。
第二十一条 保险公司董事会审计委员会和管理层应当至少每季度一次听取审计责任人关于审计工作进展情况的报告。
第二十二条保险公司董事会审计委员会可以通过聘请中介机构等多种形式，评估内部审计体系的健全性和有效性，监督评价内部审计工作质量。
第二十三条 保险公司董事会审计委员会应当及时对审计责任人提交的内部控制评估报告进行审议，并就公司内部控制存在的问题向董事会提出意见和建议。
第二十四条 保险公司董事会审计委员会对其关注的重大问题，可以要求管理层组织调查，也可以在其职权范围内直接调查，或者委托独立的中介机构调查。
第二十五条 保险公司董事会审计委员会在审议议案和报告时，可以要求内部审计人员列席，对相关事项做出说明或者回答董事的提问。
第二十六条 保险公司内部审计责任人应当至少每年一次向审计委员会和管理层提交内部控制评估报告和审计工作报告。
第二十七条 保险公司内部审计部门应当根据国家相关规定，结合公司发展战略，在分析评估风险分布状况的基础上明确审计重点、制订年度审计计划。
内部审计年度工作计划、审计预算应当在征求管理层意见后，报董事会审计委员会批准。没有设立董事会的，由总经理批准。
第二十八条 内部审计部门和审计人员应当严格按照审计程序，采取科学方法开展审计工作，并定期实施审计质量自我评估。
第二十九条 保险公司监事会可以对内部审计工作进行指导和监督。
第三十条 保险公司应当建立审计复议制度。对审计结论存在异议的，被审计对象可以依照规定向保险公司相关机构提出复议。
第三十一条 保险公司应当建立内部审计信息系统，推广应用辅助审计软件，积极开展非现场审计，提高内部审计的信息化水平和审计效率。
第三十二条 保险公司内部审计部门经董事会审计委员会或者公司管理层批准后，可以聘请中介机构承担内部审计项目。
外聘中介机构应当具备足够的独立性、客观性和专业胜任能力。
第三十三条 保险公司应当建立通畅的投诉举报机制，鼓励员工举报公司经营管理中违法违规及其他不符合内部控制要求的行为，并严格为举报人保密。
第三十四条 保险公司应当按照以下要求向中国保监会报告：
（一）每年四月三十日前向中国保监会提交内部审计工作报告和经董事会审议的内部控制评估报告；
（二）及时向中国保监会报告审计中发现的重大风险问题；
（三）内部审计部门对下属分支公司进行审计的，应当同时将审计报告抄报审计对象所在地的中国保监会派出机构；
（四）保险公司对内部审计中发现的问题未予有效整改处理的，审计责任人应当直接向中国保监会报告相关情况；
（五）中国保监会要求的其他事项。

Ⅳ 什么是审计指引

审计指引【正式稿】
第一章 总 则
第一条 为了规范注册会计师执行企业内部控制审计业务，明确工作要求，保证执业质量，根据《企业内部控制基本规范》、《中国注册会计师鉴证业务基本准则》及相关执业准则，制定本指引。
第二条 本指引所称内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运用的有效性进行审计。
第三条 建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。按照本指引的要求，在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。
第四条 注册会计师执行内部控制审计工作，应当获取充分、适当的证据，为发布内部控制审计意见提供合理保证。
注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。
第五条 注册会计师可以单独进行内部控制审计，也可将内部控制审计与财务报表审计整合进行（以下简称整合审计）。
在整合审计中，注册会计师应当对内部控制设计和运行的有效性进行测试，以同时实现下列目标：
（一）获取充分、适当的证据，支持其在内部控制审计中对内部控制的有效性发表的意见；
（二）获取充分、适当的证据，支持其在财务报表审计中对控制的风险评估结果。
第二章 计划审计工作
第六条 注册会计师应当恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导。
第七条 在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：
（一）与企业相关的风险
（二）相关法律法规和行业概况；
（三）企业组织结构、经营特征和资本结构等相关重要事项；
（四）企业内部控制最近发生变化的程度；
（五）与企业沟通过的内部控制缺陷；
（六）重要性、风险等与确定内部控制重大缺陷相关的因素；
（七）对内部控制有效性的初步判断；
（八）可获取的、与内部控制有效性相关的证据的类型和范围；
第八条 注册会计师应当以风险评估为基础，选择拟测试的控制，确定针测试所需收集的证据。
内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。
第九条 注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用企业内部审计人员、内部控制评价人员和其他相关人员的工作以及利用的程度，相应减少可能本应由注册会计师执行的工作。
注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价。
与某项控制相关的风险越高，可利用程度就越低，注册会计师应当越多地亲自对该项控制进行测试。
注册会计师应当对发表的审计意见独立承担责任，其责任不应为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。

参考资料：http://wenku..com/view/e04db989680203d8ce2f24af.html

Ⅳ 企业内部控制审计指引实施意见的关于实施审计工作

注册会计师应当采用自上而下的方法选择拟测试的控制。
自上而下的方法始于财务报表层次，以注册会计师对内部控制整体风险的了解开始，然后，将关注重点放在企业层面的控制上，并将工作逐渐下移至重要账户、列报及其相关认定。随后，验证其对被审计单位业务流程中风险的了解，并选择能足以应对评估的每个相关认定的重大错报风险的控制进行测试。
自上而下的方法分为下列步骤：
（1）从财务报表层次初步了解内部控制整体风险；
（2）识别、了解和测试企业层面控制；
（3）识别重要账户、列报及其相关认定；
（4）了解潜在错报的来源并识别相应的控制；
（5）选择拟测试的控制。
本部分第（二）至（五）对自上而下的方法的各个步骤进行了规定，第（六）至（十三）对控制有效性测试进行了规定。 注册会计师应当识别、了解和测试对内部控制有效性有重要影响的企业层面控制。注册会计师对企业层面控制的评价，可能增加或减少本应对其他控制进行的测试。
1. 企业层面控制对其他控制及其测试的影响
不同的企业层面控制在性质和精确度上存在差异，注册会计师应当从下列方面考虑这些差异对其他控制及其测试的影响：
（1）某些企业层面控制，如与控制环境相关的控制，对及时防止或发现并纠正相关认定的错报的可能性有重要影响。虽然这种影响是间接的，但这些控制仍然可能影响注册会计师拟测试的其他控制，以及测试程序的性质、时间安排和范围。
（2）某些企业层面控制旨在识别其他控制可能出现的失效情况，能够监督其他控制的有效性，但还不足以精确到及时防止或发现并纠正相关认定的错报。当这些控制运行有效时，注册会计师可以减少对其他控制的测试。
（3）某些企业层面控制本身能够精确到足以及时防止或发现并纠正相关认定的错报。如果一项企业层面控制足以应对已评估的错报风险，注册会计师就不必测试与该风险相关的其他控制。
2. 企业层面控制的内容
企业层面控制包括下列内容：
（1）与控制环境（即内部环境）相关的控制；
（2）针对管理层和治理层凌驾于控制之上的风险而设计的控制；
（3）被审计单位的风险评估过程；
（4）对内部信息传递和期末财务报告流程的控制；
（5）对控制有效性的内部监督（即监督其他控制的控制）和内部控制评价。
此外，集中化的处理和控制（包括共享的服务环境）、监控经营成果的控制以及针对重大经营控制及风险管理实务的政策也属于企业层面控制。
3. 对期末财务报告流程的评价
期末财务报告流程对内部控制审计和财务报表审计有重要影响，
注册会计师应当对期末财务报告流程进行评价。
期末财务报告流程包括：
（1）将交易总额登入总分类账的程序；
（2）与会计政策的选择和运用相关的程序；
（3）总分类账中会计分录的编制、批准等处理程序；
（4）对财务报表进行调整的程序；
（5）编制财务报表的程序。
注册会计师应当从下列方面评价期末财务报告流程：
（1）被审计单位财务报表的编制流程，包括输入、处理及输出；
（2）期末财务报告流程中运用信息技术的程度；
（3）管理层中参与期末财务报告流程的人员；
（4）纳入财务报表编制范围的组成部分；
（5）调整分录及合并分录的类型；
（6）管理层和治理层对期末财务报告流程进行监督的性质及范围。 注册会计师应当基于财务报表层次识别重要账户、列报及其相关认定。
如果某账户或列报可能存在一个错报，该错报单独或连同其他错报将导致财务报表发生重大错报，则该账户或列报为重要账户或列报。判断某账户或列报是否重要，应当依据其固有风险，而不应考虑相关控制的影响。
如果某财务报表认定可能存在一个或多个错报，这些错报将导致财务报表发生重大错报，则该认定为相关认定。判断某认定是否为相
关认定，应当依据其固有风险，而不应考虑相关控制的影响。
为识别重要账户、列报及其相关认定，注册会计师应当从下列方面评价财务报表项目及附注的错报风险因素：
（1）账户的规模和构成；
（2）易于发生错报的程度；
（3）账户或列报中反映的交易的业务量、复杂性及同质性；
（4）账户或列报的性质；
（5）与账户或列报相关的会计处理及报告的复杂程度；
（6）账户发生损失的风险；
（7）账户或列报中反映的活动引起重大或有负债的可能性；
（8）账户记录中是否涉及关联方交易；
（9）账户或列报的特征与前期相比发生的变化。
在识别重要账户、列报及其相关认定时，注册会计师还应当确定重大错报的可能来源。注册会计师可以通过考虑在特定的重要账户或列报中错报可能发生的领域和原因，确定重大错报的可能来源。
在内部控制审计中，注册会计师在识别重要账户、列报及其相关认定时应当评价的风险因素，与财务报表审计中考虑的因素相同。因此，在这两种审计中识别的重要账户、列报及其相关认定应当相同。
如果某账户或列报的各组成部分存在的风险差异较大，被审计单位可能需要采用不同的控制以应对这些风险，注册会计师应当分别予以考虑。 注册会计师应当实现下列目标，以进一步了解潜在错报的来源，并为选择拟测试的控制奠定基础：
（1）了解与相关认定有关的交易的处理流程，包括这些交易如何生成、批准、处理及记录；
（2）验证注册会计师识别出的业务流程中可能发生重大错报（包括由于舞弊导致的错报）的环节；
（3）识别被审计单位用于应对这些错报或潜在错报的控制；
（4）识别被审计单位用于及时防止或发现并纠正未经授权的、导致重大错报的资产取得、使用或处置的控制。
注册会计师应当亲自执行能够实现上述目标的程序，或对提供直接帮助的人员的工作进行督导。
穿行测试通常是实现上述目标的最有效方式。穿行测试是指追踪某笔交易从发生到最终被反映在财务报表中的整个处理过程。注册会计师在执行穿行测试时，通常需要综合运用询问、观察、检查相关文件及重新执行等程序。
在执行穿行测试时，针对重要处理程序发生的环节，注册会计师可以询问被审计单位员工对规定程序及控制的了解程度。实施询问程序连同穿行测试中的其他程序，可以帮助注册会计师充分了解业务流程，识别必要控制设计无效或出现缺失的重要环节。为有助于了解业务流程处理的不同类型的重大交易，在实施询问程序时，注册会计师不应局限于关注穿行测试所选定的单笔交易。 注册会计师应当针对每一相关认定获取控制有效性的审计证据，以便对内部控制整体的有效性发表意见，但没有责任对单项控制的有效性发表意见。
注册会计师应当对被审计单位的控制是否足以应对评估的每个
相关认定的错报风险形成结论。因此，注册会计师应当选择对形成这一评价结论具有重要影响的控制进行测试。
对特定的相关认定而言，可能有多项控制用以应对评估的错报风险；反之，一项控制也可能应对评估的多项相关认定的错报风险。注册会计师没有必要测试与某项相关认定有关的所有控制。
在确定是否测试某项控制时，注册会计师应当考虑该项控制单独或连同其他控制，是否足以应对评估的某项相关认定的错报风险，而不论该项控制的分类和名称如何。 注册会计师应当测试控制设计的有效性。
如果某项控制由拥有有效执行控制所需的授权和专业胜任能力的人员按规定的程序和要求执行，能够实现控制目标，从而有效地防止或发现并纠正可能导致财务报表发生重大错报的错误或舞弊，则表明该项控制的设计是有效的。 注册会计师应当测试控制运行的有效性。
如果某项控制正在按照设计运行、执行人员拥有有效执行控制所需的授权和专业胜任能力，能够实现控制目标，则表明该项控制的运行是有效的。
如果被审计单位利用第三方的帮助完成一些财务报告工作，注册会计师在评价负责财务报告及相关控制的人员的专业胜任能力时，可以一并考虑第三方的专业胜任能力。
注册会计师获取的有关控制运行有效性的审计证据包括：
（1）控制在所审计期间的相关时点是如何运行的；
（2）控制是否得到一贯执行；
（3）控制由谁或以何种方式执行。 在测试所选定控制的有效性时，注册会计师应当根据与控制相关的风险，确定所需获取的审计证据。
与控制相关的风险包括一项控制可能无效的风险，以及如果该控制无效，可能导致重大缺陷的风险。与控制相关的风险越高，注册会计师需要获取的审计证据就越多。
下列因素影响与某项控制相关的风险：
（1）该项控制拟防止或发现并纠正的错报的性质和重要程度；
（2）相关账户、列报及其认定的固有风险；
（3）交易的数量和性质是否发生变化，进而可能对该项控制设计或运行的有效性产生不利影响；
（4）相关账户或列报是否曾经出现错报；
（5）企业层面控制（特别是监督其他控制的控制）的有效性；
（6）该项控制的性质及其执行频率；
（7）该项控制对其他控制（如控制环境或信息技术一般控制）有效性的依赖程度；
（8）执行该项控制或监督该项控制执行的人员的专业胜任能力，以及其中的关键人员是否发生变化；
（9）该项控制是人工控制还是自动化控制；
（10）该项控制的复杂程度，以及在运行过程中依赖判断的程度。 注册会计师通过测试控制有效性获取的审计证据，取决于其实施
程序的性质、时间安排和范围的组合。此外，就单项控制而言，注册会计师应当根据与控制相关的风险对测试程序的性质、时间安排和范围进行适当的组合，以获取充分、适当的审计证据。
注册会计师测试控制有效性的程序，按其提供审计证据的效力，由弱到强排序通常为：询问、观察、检查和重新执行。询问本身并不能为得出控制是否有效的结论提供充分、适当的审计证据。
测试控制有效性的程序，其性质在很大程度上取决于拟测试控制的性质。某些控制可能存在反映控制有效性的文件记录，而另外一些控制，如管理理念和经营风格，可能没有书面的运行证据。
对缺乏正式的控制运行证据的被审计单位或业务单元，注册会计师可以通过询问并结合运用其他程序，如观察活动、检查非正式的书面记录和重新执行某些控制，获取有关控制是否有效的充分、适当的审计证据。
注册会计师在测试控制设计的有效性时，应当综合运用询问适当人员、观察经营活动和检查相关文件等程序。注册会计师执行穿行测试通常足以评价控制设计的有效性。
注册会计师在测试控制运行的有效性时，应当综合运用询问适当人员、观察经营活动、检查相关文件以及重新执行等程序。 对控制有效性的测试涵盖的期间越长，提供的控制有效性的审计证据越多。
单就内部控制审计业务而言，注册会计师应当获取内部控制在基准日之前一段足够长的期间内有效运行的审计证据。在整合审计中，控制测试所涵盖的期间应当尽量与财务报表审计中拟信赖内部控制
的期间保持一致。
注册会计师执行内部控制审计业务旨在对基准日内部控制有效性出具报告。如果已获取有关控制在期中运行有效性的审计证据，注册会计师应当确定还需要获取哪些补充审计证据，以证实剩余期间控制的运行情况。在将期中测试结果更新至基准日时，注册会计师应当考虑下列因素以确定需要获取的补充审计证据：
（1）基准日之前测试的特定控制，包括与控制相关的风险、控制的性质和测试的结果；
（2）期中获取的有关审计证据的充分性和适当性；
（3）剩余期间的长短；
（4）期中测试之后，内部控制发生重大变化的可能性。
针对所有重要账户和列报的每个相关认定，注册会计师应当获取控制有效性的审计证据。《中国注册会计师审计准则第1231号——针对评估的重大错报风险采取的应对措施》第十四条提及的“三年轮换测试”不适用（本意见第四部分提及的与基准相比较的策略除外）。 对控制有效性测试的实施时间越接近基准日，提供的控制有效性的审计证据越有力。为了获取充分、适当的审计证据，注册会计师应当在下列两个因素之间作出平衡，以确定测试的时间：
（1）尽量在接近基准日实施测试；
（2）实施的测试需要涵盖足够长的期间。
整改后的内部控制需要在基准日之前运行足够长的时间，注册会计师才能得出整改后的内部控制是否有效的结论。因此，在接受或保持内部控制审计业务时，注册会计师应当尽早与被审计单位沟通这一
情况，并合理安排控制测试的时间，留出提前量。例如，注册会计师在基准日前3个月完成期中测试工作。此外，由于对企业层面控制的评价结果将影响注册会计师测试其他控制的性质、时间安排和范围，注册会计师可以考虑在执行业务的早期阶段对企业层面控制进行测试。 注册会计师在测试控制的运行有效性时，应当在考虑与控制相关的风险的基础上，确定测试的范围（样本规模）。
注册会计师确定的测试范围，应当足以使其获取充分、适当的审计证据，为基准日内部控制是否不存在重大缺陷提供合理保证。
1．测试人工控制的最小样本规模
在测试人工控制时，如果采用检查或重新执行程序，注册会计师测试的最小样本量区间参见表1。
表1：测试人工控制的最小样本量区间 控制运行频率 控制运行总次数 测试的最小样本量区间 每年1次 1 1 每季1次 4 2 每月1次 12 2-5 每周1次 52 5-15 每天1次 250 20-40 每天多次 大于250次 25-60 在运用表1时，注册会计师应当注意下列事项：
（1）测试的最小样本量是指所需测试的控制运行次数；
（2）注册会计师应当根据与控制相关的风险，基于最小样本量
区间确定具体的样本规模；
（3）表1假设控制的运行偏差率预期为零。如果预期偏差率不为零，注册会计师应当扩大样本规模；
（4）如果注册会计师不能确定控制运行频率，但是知道控制运行总次数，仍可根据“控制运行总次数”一列确定测试的最小样本规模。
2. 测试自动化应用控制的最小样本规模
信息技术处理具有内在一贯性。在信息技术一般控制有效的前提下，除非系统发生变动，注册会计师只要对自动化应用控制的运行测试一次，即可得出所测试自动化应用控制是否运行有效的结论。
3．发现偏差时的处理
如果发现控制偏差，注册会计师应当确定其对下列事项的影响：
（1）与所测试控制相关的风险的评估；
（2）需要获取的审计证据；
（3）控制运行有效性的结论。
评价控制偏差的影响需要注册会计师运用职业判断，并受到控制的性质和所发现偏差数量的影响。如果发现的控制偏差是系统性偏差或人为有意造成的偏差，注册会计师应当考虑舞弊的可能迹象以及对审计方案的影响。
在评价控制测试中发现的某项控制偏差是否为控制缺陷时，注册会计师可以考虑的因素包括：
（1）该偏差是如何被发现的。例如，如果某控制偏差是被另外一项控制所发现的，则可能意味着被审计单位存在有效的发现性控制。
（2）该偏差是与某一特定的地点、流程或应用系统相关，还是对被审计单位有广泛影响。
（3）就被审计单位的内部政策而言，该控制出现偏差的严重程度。例如，某项控制在执行上晚于被审计单位政策要求的时间，但仍在编制财务报表之前得以执行，还是该项控制根本没有得以执行。
（4）与控制运行频率相比，偏差发生的频率大小。
由于有效的内部控制不能为实现控制目标提供绝对保证，单项控制并非一定要毫无偏差地运行，才被认为有效。在按照表1所列示的样本规模进行测试的情况下，如果发现控制偏差，注册会计师应当考虑偏差的原因及性质，并考虑采用扩大样本量等适当的应对措施以判断该偏差是否对总体不具有代表性。例如，对每日发生多次的控制，如果初始样本量为25个，当测试发现一项控制偏差，且该偏差不是系统性偏差时，注册会计师可以扩大样本规模进行测试，所增加的样本量至少为15个。如果测试后再次发现偏差，则注册会计师可以得出该控制无效的结论。如果扩大样本量没有再次发现偏差，则注册会计师可以得出控制有效的结论。 在基准日之前，被审计单位可能为提高控制效率、效果或弥补控制缺陷而改变控制。
对内部控制审计而言，如果新控制实现了相关控制目标，且运行了足够长的时间，使注册会计师能够通过对该控制进行测试评价其设计和运行的有效性，则无需测试被取代的控制。
对财务报表审计而言，如果被取代控制的运行有效性对控制风险的评估有重大影响，注册会计师应当测试被取代控制的设计和运行的
有效性。 注册会计师应当评估是否利用他人（包括被审计单位的内部审计人员、内部控制评价人员和其他人员以及在管理层或治理层指导下的第三方）的工作以及利用的程度，以减少可能本应由注册会计师执行的工作。如果他人的工作能够提供有关内部控制有效性的审计证据，注册会计师可以利用其工作或者提供的直接帮助。
注册会计师应当参照《中国注册会计师审计准则第1411号——利用内部审计人员的工作》的规定，评价他人的专业胜任能力和客观性，以确定可利用的程度。
在评价他人的专业胜任能力时，注册会计师应当考虑其专业资格、专业经验与技能等相关因素。在评价他人的客观性时，注册会计师应当考虑是否存在某些因素，将削弱或者增强其客观性。
无论他人的专业胜任能力如何，注册会计师都不应利用客观程度低的人员的工作。同样，无论他人的客观程度如何，注册会计师都不应利用专业胜任能力低的人员的工作。
被审计单位内部负责监督、稽核或合规工作的人员，如内部审计人员，通常拥有较高的专业胜任能力和客观性。他们的工作可能对注册会计师有用。
注册会计师利用他人工作的程度还受到与所测试控制相关的风险的影响。与某项控制相关的风险越高，注册会计师应当越多地亲自对该项控制进行测试。
在识别、了解和测试企业层面控制时，注册会计师不得利用他人的工作。 如果服务机构提供的服务和对服务的控制，构成被审计单位与财务报告相关的信息系统（包括相关业务流程）的一部分，注册会计师应当按照《中国注册会计师审计准则第1241号——对被审计单位使用服务机构的考虑》的规定办理。
注册会计师在对被审计单位内部控制的有效性发表意见时，不应在内部控制审计报告中提及服务机构注册会计师的报告。

Ⅵ 如何通过内部审计促进财务工作的进一步规范

依据《财政部企业内部控制配套指引》包括18项《企业内部控制应用指引》、版《企业内部控制权评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》。其中，内部审计部门可以依据《企业内部控制评价指引》定期对企业内部控制体系进行自我评价。
内部审计部门根据企业内部情况对财务系统实施内控建设（虽然违背独立性原则，但是以专家身份对企业内控规范也是大部分企业的做法）和监督。

Ⅶ 企业内部控制审计指引实施意见的关于计划审计工作

注册会计师应当贯彻风险导向审计的思路，恰当地计划内部控制审计工作，制订总体审计策略和具体审计计划。 注册会计师应当在总体审计策略中体现下列内容：
（1）确定内部控制审计业务特征，以界定审计范围。例如，被审计单位采用的内部控制标准、注册会计师预期内部控制审计工作涵盖的范围、对组成部分注册会计师工作的参与程度、注册会计师对被审计单位内部控制评价工作的了解以及拟利用被审计单位内部相关人员工作的程度等。
对于按照权益法核算的投资，内部控制审计范围应当包括针对权益法下相关会计处理而实施的内部控制，但通常不包括针对权益法下被投资方的内部控制。
内部控制审计范围应当包括被审计单位在内部控制评价基准日（最近一个会计期间截止日，以下简称基准日）或在此之前收购的实体，以及在基准日作为终止经营进行会计处理的业务。注册会计师应当确定是否有必要对与这些实体或业务相关的控制实施测试。
如果法律法规的相关豁免规定允许被审计单位不将某些实体纳入内部控制评价范围，注册会计师可以不将这些实体纳入内部控制审计的范围。
（2）明确内部控制审计业务的报告目标，以计划审计的时间安排和所需沟通的性质。例如，被审计单位对外公布或报送内部控制审计报告的时间、注册会计师与管理层和治理层讨论内部控制审计工作的性质、时间安排和范围，注册会计师与管理层和治理层讨论拟出具内部控制审计报告的类型和时间安排以及沟通的其他事项等。
（3）根据职业判断，考虑用以指导项目组工作方向的重要因素。例如，财务报表整体的重要性和实际执行的重要性、初步识别的可能存在重大错报的风险领域、内部控制最近发生变化的程度、与被审计单位沟通过的内部控制缺陷、对内部控制有效性的初步判断、信息技术和业务流程的变化等。
（4）考虑初步业务活动的结果，并考虑对被审计单位执行其他业务时获得的经验是否与内部控制审计业务相关（如适用）。
（5）确定执行内部控制审计业务所需资源的性质、时间安排和
范围。例如，项目组成员的选择以及对项目组成员审计工作的分派，项目时间预算等。 注册会计师应当在具体审计计划中体现下列内容：
（1）了解和识别内部控制的程序的性质、时间安排和范围；
（2）测试控制设计有效性的程序的性质、时间安排和范围；
（3）测试控制运行有效性的程序的性质、时间安排和范围。 在计划和实施内部控制审计工作时，注册会计师应当考虑财务报表审计中对舞弊风险的评估结果。在识别和测试企业层面控制以及选择其他控制进行测试时，注册会计师应当评价被审计单位的内部控制是否足以应对识别出的、由于舞弊导致的重大错报风险，并评价为应对管理层和治理层凌驾于控制之上的风险而设计的控制。
被审计单位为应对这些风险可能设计的控制包括：
（1）针对重大的非常规交易的控制，尤其是针对导致会计处理延迟或异常的交易的控制；
（2）针对期末财务报告流程中编制的分录和作出的调整的控制；
（3）针对关联方交易的控制；
（4）与管理层的重大估计相关的控制；
（5）能够减弱管理层和治理层伪造或不恰当操纵财务结果的动机和压力的控制。
如果在内部控制审计中识别出旨在防止或发现并纠正舞弊的控制存在缺陷，注册会计师应当按照《中国注册会计师审计准则第1141号——财务报表审计中与舞弊相关的责任》的规定，在财务报表审计
中制定重大错报风险的应对方案时考虑这些缺陷。