内部控制。 • 会议和研讨发现内控的缺失，反馈并采取措施。 • 定期要求员工汇报对行为守则的了解和遵守情况；
对于业务和财务人员要回报特定控制的执行
7
B.个别评估----直接监视内控的有效性
– 评估范围和频率
• 范围与目标有关； • 范围、频率与被控对象风险的大小及控制的重要
性有关； • 风险大的控制应经常评估；不可或缺的要经常评
3
2、企业应当制定内部控制监督制度
• 基本规范第44条规定，企业应当根据本规范及其配 套办法，制定内部控制监督制度，明确内部审计机 构（或经授权的其他监督机构）和其他内部机构在 内部监督中的职责权限，规范内部监督的程序、方 法和要求。
3、企业应当定期对内部控制的有效性进行自 我评价
• 基本规范第46条规定，企业应当结合内部监督情况， 定期对内部控制的有效性进行自我评价，出具内部 控制自我评价报告。 内部控制自我评价的方式、范围、程序和频率，由 企业根据经营业务调整、经营环境变化、业务发展 状况、实际风险水平等自行确定。
其他利害关系人）
– 报告内容
• 影响单位目标达成的控制缺陷应该向能采取必要 行动的人报告
• 及时报告
– 向谁报告：直属领导，高一级的主管
11
三、内部控制监督的步骤
•了解内部控制的设计和实施 •评价控制风险 •控制测试 确定计划检查风险和实质性测试
12
1文字说 明
2-调查表 3-流程图
了解
记
评
录
价
估；对整体的评估要少于对特定控制的评估次数； 重大策略改变、管理阶层变动、重大的并购或处 分、重大的营运方法改变、财务信息处理方式的 改变，需要对整体内控制度进行评估
8
B.个别评估----直接监视内控的有效性
– 评估主体
• 企业的员工； • 内部审计机构； • 外部审计
– 评估过程
• 了解内控的设计情况（要控制什么，如何控制） • 了解内控的实际运行情况 • 设计与执行之间的差异，目标是否达成，是否存
33
34
案例:投资和筹资内部控制监督
较低的控制风险水平评估值的程序称为控制测试。
• 控制测试结果表明控制的运行情况符合预期的设计，审 计师应继续采用原来的风险评估值；如果控制测试表明 控制的运行不太有效，审计师就需要重新考虑控制风险 评估值。（我们是多么的谨慎！）
29
下面是如何进行控制测试？
• 1. 用什么方法测试（四种测试程序）
– 学问恰当的客户职员 – 检查凭证、记录和报告 – 观察与控制相关的活动 – 重新执行客户程序
• 关系图如下：
31
控制测试与了解内部控制程序之间的关系
控制风险评估值
程序 类型
高水平：仅执行了 解内部控制程序
较低水平：控制测试
询问 是——大范围
是——小范围
观察 是——结合业务穿行测试 是——采用抽样
检查 是——结合业务穿行测试 是——在多个时点
重新执行
否是——Βιβλιοθήκη 用抽样32总结：了解内控和评价控制风险
• 更新并评价审计师在以前年度对企业内部控制 的了解。
• 询问客户的职员 • 阅读客户的政策和制度手册 • 检查凭证和记录 • 观察公司活动和运营
14
如何记录？ 文字描述、流程图还是问卷，你有偏好吗？
• 文字描述应具备四个特征：
– 系统中各凭证和记录的来源； – 进行的所有处理； – 系统中各凭证和记录的处理； – 与控制风险评价相关的内部控制的说明。
5
A.持续监督----容于管理控制
多 个 别 评 估 次 数
寻求最 简结合
少
低
高
持续监督的有效性
个别评估究竟需要多少，管 理层才能保证内控的有效性， 取决于管理层的判断，同时 也受以下因素的影响：1已 发生的改变及其所设计的风 险的性质和程度；2 执行控 制的员工的能力和经验；3 持续监督的结果
• 持续监督是过程 监督
考虑因素： 1-规模和业务复杂性 2-数据处理系统复杂性 3-控制类型和方式 4-固有风险 方法： 1-询问 2-查阅文件 3-检查凭证和记录 4-观察 5-穿行测试 内容： 内部控制五要素
健全性判断 合理性判断
13
如何了解？ 想知道客户的内部控制是什么样的？
确定内部控制设计和运行情况的程序：
–了解5要素，考虑(1) 每个要素的各项控制 的设计；（2）这些控制是否付诸实施。
✓确定与业务相关的审计目标
• 还记得销售的审计目标吗？ • 业务的一般目标 演化 为具体业务的审计目标
19
2 确定具体控制
• 确定由助于实现与业务目标相关的各审 计目标的具体控制。
• 浏览描述客户内部控制制度的信息来确定相关 的控制
• 考虑客户可能存在的控制类型以及询问可是是 否确实存在这些控制
• 审计师只需考虑预期对实现与业务相互的审计 目标有最大影响的控制（关键控制）
2
– 内部监督分为日常监督和专项监督。
– 日常监督是指企业对建立与实施内部控制的情 况进行常规、持续的监督检查；
– 专项监督是指在企业发展战略、组织结构、经 营活动、业务流程、关键岗位员工等发生较大 调整或变化的情况下，对内部控制的某一或者 某些方面进行有针对性的监督检查。
– 专项监督的范围和频率应当根据风险评估结果 以及日常监督的有效性等予以确定。
24
25
4 控制风险矩阵
• 复核各栏的相关控制及控制缺陷，并问 自己：
– 这些控制不能防止或发现拟控制的重大错报 类型的可能性有多大？
– 控制缺陷的影响是什么？
• 如果关键控制不能防止或发现并纠正重 大错报的可能性很大，控制风险就应该 评价为高水平，以此类推。
26
4 控制风险矩阵
当了解、评价内控，发现内控存在的问题时，难 道你不想对管理当局说点什么吗？不要自己因知 道缺陷而偷偷乐，和管理当局分享一下。
就会了！
下面这个程序会给你帮助啊！
1确定与业务相关的审计目标
2确定具体控制 3确定和评价内部控制缺陷 4控制风险矩阵
18
1确定与业务相关的审计目标
• 内部审计师通常按照业务循环中与各主 要业务类型相关的审计目标来评价控制 风险
✓销售收款循环业务类型：
• 销售 • 售后退回与折让 • 收款 • 集体坏账准备与坏账核销
险评为低于最大值，并执行详细的控制测试；C 审计师虽确信控制 风险为低水平，但需要搜集证据证明时，应定为中等或高水平。
➢ 确定是否有可能证明控制风险评估值比初始评估值低 ➢ 确定恰当的控制风险评估值（成本-效益决策问题）
17
如何评价控制风险？
其实，到现在也仍 然不会进行控制风
险的评价，但你不
用着急，很快，你
内部控制的监督
中国内部审计协会
1
一、基本规范中关于监督的规定
1、监督有外部监督和内部监督之分。
• 基本规范第九条：国务院有关部门可以根据法律法 规、本规范及其配套办法，明确贯彻实施本规范的 具体要求，对企业建立与实施内部控制的情况进行 监督检查
• 基本规范第五条（五）内部监督：内部监督是企业 对内部控制建立与实施情况进行监督检查，评价内 部控制的有效性，发现内部控制缺陷，应当及时加 以改进。
• 与管理当局沟通内部控制的应报告事项 及相关事宜
– 知悉的对审计委员会履行其职责有重要影响 的信息（与内控的设计或运行的重大缺陷有
关）被称为“应报告事项”
• 与审计委员会的沟通 • 与企业内部承担内部控制总体责任的人（董事会、
所有者兼经营者等）
– 管理建议书——一些与内部控制有关的、不
太重要的事项，以及可以改进客户经营管理
内部控制缺陷 循环：销售与收款
图9-4 P315
表P-3
编制人：JR 期间2002/12/31
缺陷
补充控制 潜在错报 重要性 对审计证据的影响
1 没有按照编号 无 的先后顺序使 用事先编号的 发票
未记录的 潜在
销售
重要
➢ 使用审计软件搜索遗漏的 销售发票号码；执行关于 销售收入和毛利的分析性 程序
2 没有独立地核 每周检查不
• 2. 控制测试的范围(取决于控制风险的预期评 估值,低:意味更详细得控制测试) – 信赖以前年度的审计证据(以前有效,今年咋 办?) – 测试期间未覆盖整个审计期间 – 控制测试的轮换
30
• 控制测试与了解内部控制程序之间的关系?
–你会觉得他们有交叉?询问、检查和观察都用。 –区别：
• 了解：针对所有控制使用这些程序；控制测试：仅限于关 键控。
• 审计师需要进行以下四个方面的评价：
➢ 评价是否有可能对财务报表进行审计
• 管理当局的诚信 • 会计记录的充分性
➢ 根据对内部控制的了解确定控制风险的评估值
• 无法防止重大错报的发生或在重大错报发生后无法发现和 纠正这 些错报的预期值
• 高水平，中水平，还是低水平（1，0.6, or 0.2) • 控制环境差（管理当局不重视内控），控制风险定为“高” • 三种策略：A 直接假定控制风险是最大值；B 电子信息，控制风
的事项。将这些事项告知客户。
27
28
控制测试
• 真纳闷？风险评价都做完了，为什么还要对控制进行测 试？如何测试？
– 不要着急，我会帮助你！！
• 被初评为低于最大值水平的内部控制（关键控制），
是我们拟信赖的，应执行足够多的控制，测试其控制风 险水平，对初评值进行再次确认或调整。
• 如果某些控制时审计师降低控制风险评估值的依据，审 计师必须取得这些控制在所有（至少是大部分）被审计 期间内有效运行的证据。测试内部控制的有效性以支持
• 个别评估是结果 控制
6
• 负责营运的管理阶层，在履行其日常管理职责时， 取得内部控制制度持续发挥功能的证据。