1、内部控制审计操作手册doc 154页docx第一章 获取审计业务约定书 1一、获取审计业务约定书 1二、内部控制审计业务约定书的内容 1三、连续审计 2四、审计业务约定条款的变更 2五、业务约定书的文档记录 3第二章 建立审计项目组 3一、项目小组成员的要求 3二、组建项目小组的考虑 3三、管理、指导、并监督项目小组 4四、项目小组成员的角色及责任 5第三章 了解被审计单位及其环境 6一、了解被审计单位及其环境的必要性 6二、了解被审计单位及其环境的程度 7三、了解被审计单位及其环境的主要内容 7 3.1行业状况、法律环境与监管环境以及其他外部因素 7 3.1.1行业因素 8 3.1.2 遵守
2、法律法规的规定 8 3.1.3 其他外部因素 8 3.2了解被审计单位的性质 9 3.3被审计单位对会计政策的选择和运用 10 3.4被审计单位的目标、战略以及相关经营风险 10 3.5被审计单位财务业绩的衡量和评价 11四、了解IT在企业中的角色 12 4.1了解IT复杂程度 12 4.2了解IT对我们审计工作的影响 13五、如何了解企业及其环境 13 5.1检阅相关信息 13 5.2询问企业管理层及其他人员 14 5.3观察及检查 14 5.4信息来源 14六、确定重大错报风险 15七、工作底稿记录 15 第四章 利用专家的工作 15一、确定是否利用专家的工作 16 1.1确定IT专家的介
3、入程度 17 1.2确定税务专家的介入程度 17 1.3确定相关行业专家的介入程度 18二、利用管理层专家的工作 18 2.1评价管理层专家的胜任能力、专业素养和客观性 18 2.2 了解管理层专家的工作 19 2.3 评价管理层专家的工作是否足以实现审计目的 20三、利用事务所的内部专家的工作 21四、利用事务所外部专家的工作 23五、记录审计工作 26 第五章 了解企业整体的内部控制 27一、企业层面控制的内涵 27二、企业层面控制对其他控制及其测试的影响 28三、了解和评价企业层面内部控制的主要内容 29 3.1与控制环境(即内部环境)相关的控制 30 3.1.1管理层的理念和经营风格
4、31 3.1.2诚信和道德价值观念的沟通与落实 31 3.1.3治理层的参与程度 32 3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 32 3.3被审计单位的风险评估过程 34 3.4对内部信息传递的控制 35 3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 35 3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 36 3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 363.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效 性 363.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效
5、进行(如共享服务中心等) 36 3.6集中化的处理和控制(包括共享的服务环境) 36 3.7监督经营成果的控制 37四、企业层面控制对其他控制及其测试的影响 38五、如何了解企业层面控制 39 5.1了解企业层面控制的方法 39 5.2审计证据的考虑和了解企业层面控制的范围 39六、识别和评估重大错报风险 40七、工作底稿记录 40第六章 识别舞弊风险并确定应对措施 40一、识别舞弊风险的相关要求 40二、识别舞弊风险的主要程序及考虑因素 41 2.1组织项目组讨论 42 2.2就舞弊风险询问管理层和其他人员 42 2.2.1询问管理层 42 2.2.2询问内部审计人员 43 2.2.3询问内
6、部其他人员 44 2.2.4询问治理层 44 2.3考虑舞弊风险因素 45 2.4考虑异常关系或偏离预期的关系 45 2.5考虑其他信息 45三、识别由于舞弊而导致的重大错报风险 45 3.1收入确认 46四、应对舞弊导致的重大错报风险 46 4.1总体应对措施 46 4.2特别措施 46 五、应对管理层凌驾于控制之上的措施 47六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施 47七、对审计其他方面的影响 48第七章 确定重要性水平 48一、了解确定整体重要性水平需做的考虑 48 1.1确定整体重要性水平时财务报表使用者的展望与预期 49 1.2整体重要性水平的恰当基准 49 1.2
7、.1是否存在特定会计主体的财务报表使用者特别关注的项目 49 1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 49 1.2.3治理层的看法和预期 49二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 50三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 50四、确定整体重要性水平 50 4.1定义整体重要性水平时确定应用适当百分比的税前利润 51 4.1.1上市企业或重要项目 51 4.1.2非重要项目 51 4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 51五、确定特定类别的交易、账户余额或披露的重要性水平 52六、确定实际执行
8、的重要性水平 52七、在审计过程中修改重要性水平 53第八章 识别重大账户、重大列报及相关认定 53一、识别重大账户、重大列报及其相关认定 53 1.1重大账户或列报 53 1.2确定重大账户或列报的金额标准 53 1.3确定重大账户或列报的性质考虑 54 1.3.1重大账户或列报的性质确定 54 1.3.2考虑已识别的固有风险 54 1.3.3评价财务报表项目及附注的错报风险因素 54 1.4有关账户的其他考虑因素 55二、确定相关认定 55 2.1利润表科目的重要账户的相关认定 56 2.2资产负债表重要账户的相关认定 56 2.3与列报和披露相关的认定 56三、更新我们确定的重大账户或列
9、报及相关认定 57第九章 识别重大业务流程和重大列报流程 57一、识别业务流程 57 1.1常规的业务流程 58 1.2非常规的业务流程 581.3估计的业务流程 58二、确定重大流程 58 2.1确定重大业务流程 58 2.2对重大估计业务流程的考虑 59 2.3重大列报流程 59三、识别相关信息系统 60第十章 关于集团审计的特殊考虑 60一、了解集团及其环境、集团组成部分及其环境 60二、了解集团及其组成部分的内部控制 61三、集团管控风格的影响 62四、确定重要性水平以及可容忍误差 62 4.1确定集团整体财务报表重要性 63 4.2确定集团实际执行的重要性（可容忍误差） 63 4.3
10、确定组成部分可容忍误差 63五、确定重要组成部分 64 5.1根据规模确定 65 5.2根据特定性质或情况确定 65 5.3不重要组成部分 65六、识别重大账户、重大列报及其相关认定 65七、组成部分内部控制审计策略 66八、设定组成部分审计策略的标准 66第十一章 了解企业内部控制自我评价过程以及利用他人的工作 67一、了解企业内部控制自我评价过程 67二、利用他人的工作 68 2.1对专业胜任能力和客观性的考虑 68 2.1.1专业胜任能力和客观性对可利用他人工作程度的影响 68 2.2对利用内部审计人员工作的特殊考虑 69 2.2.1评价内部审计人员的专业胜任能力 69 2.2.2评价内
11、部审计人员的客观性 70 2.3利用内部审计人员的工作成果 71 2.4确定利用他人工作的范围 74 2.5测试由他人执行的部分工作 74三、工作底稿记录 75第十二章 评价企业层面控制测试 75一、间接的企业层面控制 75二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制 76三、控制环境 77四、充当业务层面控制的直接企业层面控制 77五、工作底稿记录 77第十三章 了解重大业务流程和重大列报流程 78一、考虑企业层面控制对重大业务流程和重大列报流程的影响 78二、识别重大业务流程和重大列报流程的关键流程 78 2.1信息来源 80 2.2询问 80 2.3观察
12、和检查 80 2.4对服务机构的考虑 81三、在重大业务流程和重大列报流程中识别可能出错项 81 3.1如何识别可能出错项 82 3.2将可能出错项联系到相关认定 83 3.3特别风险和可能出错项 83 3.4 IT方面的可能出错项 83四、识别与审计相关的控制活动 84 4.1相关的控制的种类 84 4.2如何开始识别相关控制 84 4.3对识别降低特别风险的控制的特殊考虑 84五、对了解不同性质的重大业务流程的具体考虑 85 5.1重大业务流程的种类 85 5.2相关控制活动 86 5.2.1管理层对专家的利用 87 5.2.2假设 87 5.2.3改变会计估计的方法 87 5.2.4估计
13、的不确定性 88六、对了解重大列报流程的特殊考虑 88 6.1重大会计账户的列报 88 6.2财务报表决算过程的列报 88第十四章 执行穿行测试 89一、执行穿行测试 89 1.1穿行测试的程序 90 1.2与穿行测试过程中进行的询问相关的考虑 90 1.3对穿行测试的结果得出结论 91 1.4对控制有效性的初步评价 91二、穿行测试的特殊考虑 92 2.1会计估计的流程 92 2.2关于降低重大错报风险的控制的穿行测试的考虑 92 2.3在执行穿行测试时利用他人工作 93 2.4针对自动化程序里的数据和交易信息 93第十五章 选择、测试内部控制 93一、选择拟测试的控制的基本要求 94二、选
14、择拟测试的控制的考虑因素 94 2.1选择适当的控制测试 94 2.1.1控制的目标和分类 95 2.1.1.1预防性控制和检查性控制 95 2.1.1.2手工控制和自动执行的控制 95 2.2确认已选测试的控制与审计相关 97 2.3评估已选测试的控制是否充分敏感 97三、与控制相关的风险 99四、控制测试的程序的性质 100 4.1询问 100 4.2观察 100 4.3检查 100 4.4重新执行 101五、控制测试的时间安排 102 5.1期中测试的两种方法 102 5.2是否测试被取代的控制 103 5.3期中测试和前推程序 103 5.4针对信息技术一般控制（ITGCs）和应用控制
15、的前推程序 104 5.5集团内部控制审计中实施前推程序的考虑 104六、控制测试的范围 105 6.1影响测试范围的因素 105 6.2抽样方法的一般考虑 105 6.3样本参考量 106 6.3.1测试人工控制的最小样本规模 106 6.3.2测试应用控制的最小样本规模 107 6.4追加控制测试 107七、执行内部控制测试 108 7.1执行控制测试的一般考虑 108 7.2审计证据质量的额外考虑 108八、评价控制偏差 108 8.1确认控制偏差 108 8.2确定控制偏差的属性 109 8.3确定审计应对措施 110九、工作底稿记录 110第十六章 了解和评价财务报告流程（FSCP）
16、 111一、了解和评价财务报告流程过程 111 1.1财务报告流程了解程度 111 1.2对财务报告流程进行了解的起点 112 1.3了解和评价财务报告流程的程序 113 1.3.1了解财务报告流程的子过程 113 1.3.1.1编制试算平衡表并进行任何必要的合并 113 1.3.1.2生成、授权和记录记账分录 113 1.3.1.3编制财务报表及相关列报 113 1.4识别可能出错项 114 1.5识别和了解财务报告流程中的控制活动 114 1.6初步评价控制的有效性 115第十七章 了解、穿行测试、测试和评估IT一般控制 115一、信息系统审计范围界定 116二、信息系统环境中的控制测试
17、116 2.1信息系统审计策略的确定 116 2.2信息系统一般控制测试 117 2.3系统应用控制测试 119三、控制测试底稿 120 附件一 信息系统环境复杂度判断指引 120 附件二 信息系统环境控制测试底稿 122第十八章 评价内部控制缺陷 123一、控制缺陷的分类 123二、内部控制缺陷评价时的一般考虑 124 2.1衡量缺陷严重性的标准 124 2.2充分考虑缺陷组合 124 2.3补偿性控制 124 2.4考虑企业内部控制自我评价的结果 124三、财务报告内部控制缺陷评价标准 124 3.1定量标准 125 3.2定性标准 125四、非财务报告内部控制缺陷评价标准 126五、内部
18、控制缺陷评价程序 127六、内部控制缺陷评价的特殊考虑 130 6.1对信息系统一般控制的考虑 130 6.2对企业层面控制缺陷评价的考虑 131 6.3与其他缺陷一同进行评价 131 6.4内部控制缺陷评价的其他关注领域 132七、内部控制缺陷整改 132八、工作底稿记录 132第十九章 完成审计工作 133一、项目组内部讨论 133二、取得管理层的书面声明 134三、与企业沟通控制缺陷 135四、形成审计意见 136第二十章 出具审计报告 137一、出具标准内部控制审计报告 137二、出具非标准内部控制审计报告 138 2.1带强调事项段的无保留意见内部控制审计报告 138 2.2否定意见
19、内部控制审计报告 139 2.3无法表示意见内部控制审计报告 139三、非财务报告内部控制存在重大限制 140四、对期后事项的考虑 140五、内部控制审计报告与财务报表审计报告的衔接 141第一章 获取审计业务约定书在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的业务承接制度-客户关系和具体业务的接受与保持操作规程，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。在执行相关程序以评价职业道德（包括独立性）要求的合规性及我们已遵守事务所独立性政策后，我们应当就内部控制审计业务约定条款与客户达成一致意见，并单独签订内部控
20、制审计业务约定书。一、 获取审计业务约定书根据中国注册会计师执业准则第九条，注册会计师应当就审计业务约定条款与管理层或治理层（如使用）达成一致意见；第十条，注册会计师应当将达成一致意见的审计业务约定条款记录于审计业务约定书或其他适当形式的书面协议中。在审计工作开始前，我们应当获取根据我所内部控制审计业务约定书模板的要求编制的业务约定书，并在适用时加入对特定项目的特殊要求。业务约定书确定了我们与公司的业务条款，是记录项目范围和条款的重要书面文件。业务约定书描述了我们在项目执行过程中的责任，以及客户管理层对内部控制的责任，及其为我们的审计工作提供信息及人员协助的责任。通常情况下，项目小组应在获取业
21、务约定书之后才开始工作。只有在很特殊的情况下，项目小组才需要在获取业务约定书以前开始展开工作，例如参加盘点。二、内部控制审计业务约定书的内容内部控制审计业务约定书应当单独出具。业务约定书的具体内容可能因被审计单位的不同而存在差异，但应当包括下列主要方面：内部控制审计的目标；企业对内部控制的责任；企业建立内部控制所依据的内部控制框架；内部控制审计范围，包括指明注册会计师在执行内部控制审计业务时遵守的企业内部控制审计指引和中国注册会计师执业准则的相关要求；内部控制的固有局限性及审计的固有限制；管理层为我们提供必要的工作条件和协助；我们不受限制地接触任何与审计有关的记录、文件和所需要的其他信息；企业
22、对其作出的与审计有关的声明予以书面确认；我们对执业过程中获知的信息保密；审计收费，包括收费的计算基础和收费安排；违约责任；解决争议的方法；签约双方法定代表人或其授权代表的签字盖章，以及签约双方加盖的公章。如果情况需要，内部控制审计业务约定书还可以包括其他条款，例如：在某些方面对利用其他注册会计师和专家工作的安排；计划和执行内部控制审计工作的安排，包括项目组的构成；对审计涉及的其他人员（包括被审计单位的内部审计人员、其他人员以及在管理层或治理层指导下的第三方）工作的安排；我们与被审计单位之间需要达成进一步协议的事项；向其他机构或人员提供审计工作底稿的义务。我所内部控制审计工作底稿模板提供了内部控
23、制审计业务约定书的参考格式。注册会计师可根据业务的具体情况作出必要修改。三、 连续审计对于连续审计，我们应当根据具体情况评估是否需要对审计业务约定条款作出修改。下列因素可能导致我们修改审计业务约定条款或提醒被审计单位注意现有的约定条款：有迹象表明被审计单位误解审计目标和范围；需要修改约定条款或增加特别条款；法律法规的规定发生变化。四、 审计业务约定条款的变更 被审计单位可能由于下列事项要求我们变更审计业务约定条款：环境变化对审计服务的需求产生影响；对原来要求的审计业务的性质存在误解；无论是管理层施加的还是其他情况引起的。当被审计单位要求变更审计业务约定条款时，我们应当考虑要求变更的理由是否合理
24、，特别是审计范围存在限制的影响。由于环境变化导致对审计服务的需求产生影响，或对原来要求的审计业务性质存在误解可以认为是被审计单位要求变更审计业务约定条款的合理理由。相反，如果有迹象表明变更审计业务约定条款的要求与错误的、不完整的或不能令人满意的信息有关，该变更不能认为是合理的。五、 业务约定书的文档记录为了满足检查的需要，我们应将业务约定书的一份副本存于工作底稿中，或者在工作底稿中记录该副本的存放位置。 第二章 建立审计项目组在进行初步业务活动时，项目合伙人需要统筹考虑审计工作，挑选相关领域的人员组建项目小组，同时组织对项目组成员进行培训，以合理安排内部控制审计工作。一、 项目小组成员的要求我
25、们期望审计项目小组具有：通过培训或者参与项目而获取的性质和复杂程度类似的审计知识和项目经验； 了解企业内部控制相关规范和指引要求；了解企业内部控制审计指引、企业内部控制审计指引实施意见和中国注册会计师执业准则的相关要求； 拥有适当的专业知识，包括与项目相关的IT知识； 拥有与客户所处行业相关的知识； 具有职业判断能力； 了解事务所的质量控制政策与程序。 二、 组建项目小组的考虑组建一个项目小组时，我们需要考虑以下因素：及时确定人员需求； 准备项目时间预算以确定所需资源的要求，并安排工作进度； 使项目小组具有合适的技巧、经验、能力； 项目大小及复杂度； 所需专业能力； 工作时间； 项目小组成员的
26、连续性和定期轮换； 项目上的培训机会； 可能出现的独立性问题和利益冲突；考虑项目小组成员是否具有与项目复杂度及其他要求相匹配的工作和培训经验； 确定项目小组所需要的管理、监控、以及指导；确定负有这些责任的项目小组成员。 我们需要对开展审计工作中需要、但当前项目小组成员不具备的额外所需技能做出评估，并针对此情况制定计划获取相关资源。例如：当项目小组成员不具备与客户公司IT环境相关的知识技能时，我们需要获得IT专业人员的协助以测试与IT系统相关的内部控制。我们要确定审计现场是否需要使用公司会计与审计专业以外的人员，是否需要从公司外部引入专家。关于利用专家的工作的更多要求与指引，请参见“第四章 利用
27、专家的工作”。三、 管理、指导、并监督项目小组项目小组组建完成后，我们应当制定计划，分配工作，确定对项目组成员的指导和监督以及对其工作的复核。 在项目初期阶段，项目小组负责人应当与项目小组成员讨论确定工作分配，这样可以让项目小组成员了解其在项目中的职责、预期工作成果和了解其他项目小组成员的职责。同时，我们要讨论并确定项目小组的目的和目标、责任和交付的成果。在项目进行的过程中，项目合伙人和项目中负责监督的人应当：监控项目的进展； 复核审计工作底稿； 评估项目小组成员是否具有执行所分配的工作的技能和能力 ，有充分的时间执行所分配的工作； 解决重大的财务及审计问题。负有指导审计工作的项目小组成员具有
28、需要了解其监督工作质量及进度的责任，包括：对于所分配的工作的成员，给予充分的指导； 定期复核工作底稿； 对比预算控制实际花费的时间； 复核已完成的工作底稿和即将出具的审计报告。四、 项目小组成员的角色及责任项目小组各成员的责任如下：经理级别以下的有经验的审计员和初级审计员直接参与审计工作，编制相关工作底稿。除项目合伙人以外的项目小组负责人（例如：经理、高级经理）如有必要，直接参与审计流程的设计与执行，例如：亲自编制高风险领域的工作底稿。对审计员及高级审计员编制的工作底稿进行详细复核，复核审计报告，确保我们出具的审计报告是适当的；与公司治理层及管理层进行沟通；与项目小组其他成员沟通值得关注的事项
29、。项目合伙人在项目特定阶段进行复核，确保重大发现及问题在我们的审计报告出具前及时解决 ；如有必要，直接参与审计流程的设计与执行，以便了解高风险领域及其他审计小节中记录的事项；项目合伙人有责任对我们的职业判断、项目中识别的复杂事项、重大风险、及其他项目合伙人认为重要的事项进行复核；对高风险领域进行第二层次复核，以便确信详细复核是充分的，对重大账户、重大列报和相关认定的审计流程是充分的 ；与项目小组其他成员沟通值得关注的事项； 复核我们的审计报告，确保我们出具的审计报告是适当的 ；复核我们与公司治理层及管理层的沟通，包括重大缺陷的沟通。第三章 了解被审计单位及其环境在了解客户业务时，我们应了解企业
30、及其经营环境。了解程度依赖于我们的职业判断。我们应考虑对于企业及其经营环境，我们是否获取了足够的了解，以支持我们所评估的财务报表及认定层面的重大错报风险（包括舞弊及错误），并为我们设计、执行审计程序应对重大错报风险提供基础。一、了解被审计单位及其环境的必要性了解被审计单位及其环境是财务报表审计及内部控制审计的必要程序，特别是为我们在下列关键环节做出职业判断提供重要基础：确定重要性水平，并随着审计工作的进程评估对重要性水平的判断是否仍然适当；确定重大账户、重大列报及相关认定；考虑会计政策的选择和运用是否恰当，以及财务报表的列报包括披露是否适当；识别需要特别考虑的领域，包括关联方交易、管理层运用持续经营假设的合理性，或交易是否具有合理的商业目的等；确定在实施分析程序时所使用的预期值；设计和实施进一步审计程序，以将审计风险降至可接受的低水平；评价所获取审计证据的充分性和适当性。而按照企业内
