1992 年，由美国的COSO 委员会又发表 了一个有关内部控制的报告，对内部控 制提出了新的定义 ：
内部控制被广义地定义为一个过程 ，它
受到一个实体（主体）的董事会、管理 部门和其它人事部门的影响，它提供有 关目标实现的合理保证。这些目标包括： （1 ）经营的效率与效果；（2 ）财务报 告的可靠性；（3 ）相关法律与规定的 遵循
当审计人员取得对内部控制的了解后， 他们必须在工作底稿中记录这些信息
记录的形式和范围根据被审计单位的规模大小 和复杂程度以及内部控制的性质而不同
记录的方式主要有三种：
(一) 内部控制调查表
内部控制调查表是由审计人员针对内部控制可 能存在不当方面提出问题而制定的表格。在大 多数情况下，这些用“是”、“否”、“不适 用”来回答
了解程序是否包括控制测试 是
根据测试控制执行的有效性所 获得的证据，并评价控制风险
性评
是否能够经济地获取额外的 证据，支持评价较低控制风 险
否
是 执行额外的控制测试，获取有关控制执 行有效性的额外证据
根据证据重新评价控制风险
记录对控制风险的评价
对控制风险的评价水平，能否 否
支持原计划的实质性测试水平 ？
图5－5较高控制风险估计水平运用的步 骤
当内部控制可依赖程度很高，此时，审 计人员一般会计划执行更大范围的控制 测试，可适当减少实质性测试
图5－6较低控制风险估计水平运用的步 骤
了解相关的内部控制政策和程 序（如何设计和是否得到执行 ），计划选用主要证实法
否
评价控制风险 为最高水平
记录了解到的情况
记录对控制风险的评价
对控制风险的评价水平，能否支持原计
划的实质性测试水平？
否 修改原计划的实质性测试水平
是
设计证实测试： （1）实质性测试的性质 （2）实质性测试的时间 （3）实质性测试的范围
二、控制风险的初步评价
评价控制风险，是评价内部控制防止或 发现和更正会计报表中重大错报或漏报 的有效程度的过程
是
设计证实测试： （1）实质性测试的性质 （2）实质性测试的时间 （3）实质性测试的范围
修改原计划的实质性测试水平
了解相关的内部控制政策和程序（如何 设计和是否得到执行），计划选用主要 证实法
记录了解到的情况
计划和执行控制测试以支持评 价较低的控制风险计划水平
根据测试相关控制执行的有效 性获得的证据，评价控制风险
在计划审计阶段，审计人员对被审计单位内部 控制的充分了解是非常必要的。这包括两个方 面：一是了解内部控制政策、程序和记录的设 计；二是了解这些政策、程序的执行
一、了解内部控制的要素 在制定审计计划时，审计人员必须取得对内部
控制的充分了解。了解包括对有关控制设计的 掌握，以及控制政策、程序是否实施
第五章 内部控制及其评审
第一节 内部控制概述
一、 内部控制思想的演进
内部控制的思想的发展是一个历史渐进 过程，它与审计的关系非常密切
二、内部控制概念的发展 1988 年，美国审计准则委员会发布第55
号审计准则公告《财务报表审计中内部 控制结构的考虑》，内部控制的定义才 有较大幅度改变
内部控制结构包括三个组成要素：（1） 控制环境（Control environment ) ； （2）会计制度（accounting system ）； （3）控制程序（control procedures ）
一、运用初步审计策略
审计人员应当通过研究和评价被审计单位的内 部控制，以确定实质性测试的性质、时间和范 围。为了达到这一要求，审计人员应采用适当 的初步审计策略
当内部控制的可依赖度很低或者根本不能依赖， 此时控制风险很高或最高，在这种情况下审计 人员会计划执行很小范围的控制测试，而执行 更大范围的实质性测试，因为此时风险必须设 为低的水平
注册会计师是为了会计报表的认定而评 价控制风险的，而不是为了个别内部控 制要素或个别政策和程序而进行的
图5-7说明了评价控制风险的阶段
第一阶段
第二 阶段
第三阶段了解内 部控制→记录内 部 控制→
控制风险 的初步评
价
→
控 制 测 试
→
控制风 险的再 评价
注册会计师在对某项认定的控制风险进 行评价时，必须遵循以下步骤：
(二) 文字叙述
文字叙述是审计人员对被审计单位内部控制的 设计和执行情况的书面叙述
(三) 流程图
流程图是一种用特定的图形符号来反映企业业 务处理程序的图表。它将一笔业务从发生到终 止的整个过程，用事先规定的具有一定代表意 义的符号如实地绘制出来。它既是企业管理的 有效工具，也是审计人员评价内部控制的重要 手段
在制定审计计划阶段，对内部控制的了 解主要用于：(1) 确定潜在错报的类型； (2) 考虑影响重大错报风险的因素；(3) 设计实质性测试
在审计过程中，审计人员对内部控制的 了解必须包括：
(一) 了解控制环境
(二) 了解风险评估 (三) 了解会计信息和沟通系统 (四) 了解控制活动 (五) 了解监控 二、记录对内部控制的了解
1）确认该项认定可能发生哪些潜在的错 报或漏报；
（2）确认哪些控制可以防止或者发现和 更正这些错报或漏报；
（3）执行控制测试，获取这些控制是否 适当设计和有效执行的证据；
（4）评价所获得的证据；
（5）评价该项认定的控制风险
在控制风险评价为高水平时，上面列出 的第三个步骤“执行控制测试，获取这 些控制是否适当设计和有效执行的证据” 就用不着了
流程图的绘制方式一般有两种：横式和 直式
流程图必须满足以下要求：
（1）注明业务处理流程经过的部门和经 办人姓名；
(2)注明凭证、报表名称和份数，并用流 程线反映其传递和业务流程；
(3)反映业务处理记账情况及凭证归档保 存情况；
(4)标出关键控制点和核对情况
第三节 控制测试与控制风险 的评价
1 9 9 6 年美国AICPA 颁布第78 号 《审计准则公告》，采用了COSO 所定义 的内部控制概念，将内部控制结构的要 素（elements ) 改为内部控制成分（Ｃ omponents ) ，并把它分为五个方面： 控制环境、风险评估、控制活动、信息 与沟通和监控
第二节 内部控制的了解与描 述