（一）實施內(nèi)部控制審計的必要性

　　內(nèi)部控制作為企業(yè)的一項重要管理活動，主要試圖解決三方面的基本問題，即財務報告及相關信息的可靠性、資產(chǎn)的安全完整以及對法律法規(guī)的遵循。

　　與此同時，促進提高經(jīng)營的效率效果，并促進實現(xiàn)企業(yè)的發(fā)展戰(zhàn)略。安然、世通等一系列公司財務報表舞弊事件發(fā)生后，人們認識到健全有效的內(nèi)部控制對預防此類事件的發(fā)生至關重要。各國政府監(jiān)管機構、企業(yè)界和會計職業(yè)界對內(nèi)部控制的重視程度也進一步提升，從注重財務報告本身可靠性轉向注重對保證財務報告可靠性機制的建設，也就是通過過程的有效來保證結果的有效。資本市場上的投資者甚至社會公眾要求企業(yè)披露其與內(nèi)部控制相關的信息，并要求經(jīng)過注冊會計師審計以增強信息的可靠性。

　　但是，在財務報表審計中，只有在以下兩種情況下才強制要求對內(nèi)部控制進行測試：在評估認定層次重大錯報風險時，預期控制的運行是有效的（即在確定實質(zhì)性程序的性質(zhì)、時間安排和范圍時，注冊會計師擬信賴控制運行的有效性）；或者僅實施實質(zhì)性程序并不能夠提供認定層次充分、適當?shù)膶徲嬜C據(jù)。可見，注冊會計師對內(nèi)部控制的了解和測試不足以對內(nèi)部控制發(fā)表意見，難以滿足信息使用者的需求。因此，內(nèi)部控制審計逐漸發(fā)展起來，很多國家要求注冊會計師對內(nèi)部控制設計和運行的有效性進行審計或鑒證。例如，美國《薩班斯——奧克斯利法案》404條款和日本《金融商品交易法》要求審計師對企業(yè)管理層對財務報告內(nèi)部控制的評價進行審計；我國《企業(yè)內(nèi)部控制基本規(guī)范》要求會計師事務所對企業(yè)內(nèi)部控制的有效性進行審計，出具審計報告，并專門制定《企業(yè)內(nèi)部控制審計指引》規(guī)范內(nèi)部控 制審計工作。

　　（二）各國對內(nèi)部控制審計的要求

　　1.其他國家對內(nèi)部控制審計的要求。

　　我們對內(nèi)部控制審計進行了國際比較研究，選擇了在內(nèi)部控制規(guī)范制定領域一直走在世界前沿的幾個國家和地區(qū)，包括美國、日本、歐盟、加拿大和英國，對上述各國及地區(qū)出臺的內(nèi)控審計標準進行了比較研究。研究結論表明：

　?。?）美國和日本均以法案形式強制要求對企業(yè)財務報告內(nèi)部控制進行審計；歐盟、加拿大、英國未強制要求進行內(nèi)控審計，但英國等國的上市規(guī)則要求審計師對管理層做出的內(nèi)部控制聲明進行形式上的審閱。

　?。?）強制要求進行內(nèi)部控制審計的國家，如美國和日本，內(nèi)部控制審計與年度財務報表審計整合進行。其中，美國要求由同一家會計師事務所將內(nèi)部控制審計與財務報表審計整合進行；而日本則不僅如此，要求同一個審計師從計劃審計工作、實施審計程序獲取審計證據(jù)、評價審計證據(jù)的充分性和適當性，直到發(fā)表審計意見的整個過程中，將兩種審計作為一個整體進行。

　　2.我國對內(nèi)部控制審計的要求?！镀髽I(yè)內(nèi)部控制基本規(guī)范》及配套指引的發(fā)布，要求執(zhí)行企業(yè)內(nèi)控規(guī)范體系的企業(yè)，必須對本企業(yè)內(nèi)部控制的有效性進行自我評價，披露年度自我評價報告，同時聘請具有證券期貨業(yè)務資格的會計師事務所對其財務報告內(nèi)部控制的有效性進行審計，出具審計報告。注冊會計師在內(nèi)部 控制審計過程中注意到的企業(yè)非財務報告內(nèi)部控制的重大缺陷，應當提示投資者、債權人和其他利益相關者關注。

　　這意味著，企業(yè)內(nèi)部控制審計業(yè)務由原來的一次性業(yè)務或面向少數(shù)企業(yè)的業(yè)務（A股企業(yè)原先僅在IPO時需要，或者赴美國和日本等地上市企業(yè)需要，或者金融證券等高風險行業(yè)需要），變成了與財務報表審計一樣的經(jīng)常性業(yè)務，每年需執(zhí)行一次。

　　對于執(zhí)行內(nèi)部控制審計的會計師事務所來講，對公司上市前要進行內(nèi)部控制審計，上市后也要進行內(nèi)部控制審計。

　　（三）內(nèi)部控制審計的定義

　　內(nèi)部控制審計，是指會計師事務所接受委托，對特定基準日內(nèi)部控制設計與運行的有效性進行審計。

　　1.企業(yè)內(nèi)部控制審計基于特定基準日。注冊會計師基于基準日（如年末12月31日）內(nèi)部控制的有效性發(fā)表意見，而不是對財務報表涵蓋的整個期間（如一年）的內(nèi)部控制的有效性發(fā)表意見。但這并不意味著注冊會計師只關注企業(yè)基準日當天的內(nèi)部控制，而是要考察企業(yè)一個時期內(nèi)（足夠長的一段時間）內(nèi)部控制的設計和運行情況。例如，注冊會計師可能在5月份對企業(yè)的內(nèi)部控制進行測試，發(fā)現(xiàn)問題后提請企業(yè)進行整改，如6月份整改，企業(yè)的內(nèi)部控制在整改后要運行一段時間（如至少一個月），8月份注冊會計師再對整改后的內(nèi)部控制進行測試。因此，雖然是對企業(yè)12月31日（基準日）內(nèi)部控制的設計和運行發(fā)表 意見，但這里的基準日不是一個簡單的時點概念，而是體現(xiàn)內(nèi)部控制這個過程向前的延續(xù)性。注冊會計師所采用的內(nèi)部控制審計的程序和方法，也體現(xiàn)了這種延續(xù)性。

　　2.財務報告內(nèi)部控制與非財務報告內(nèi)部控制。審計指引第四條第二款規(guī)定，注冊會計師應當對財務報告內(nèi)部控制的有效性發(fā)表審計意見，并對內(nèi)部控制審計過程中注意到的非財務報告內(nèi)部控制的重大缺陷，在內(nèi)部控制審計報告中增加“非財務報告內(nèi)部控制重大缺陷描述段”予以披露。

　　財務報告內(nèi)部控制，是指企業(yè)為了合理保證財務報告及相關信息真實完整而設計和運行的內(nèi)部控制，以及用于保護資產(chǎn)安全的內(nèi)部控制中與財務報告可靠性目標相關的控制。主要包括下列方面的政策和程序：

　?。?）保存充分、適當?shù)挠涗?，準確、公允地反映企業(yè)的交易和事項；

　　（2）合理保證按照企業(yè)會計準則的規(guī)定編制財務報表；

　　（3）合理保證收入和支出的發(fā)生以及資產(chǎn)的取得、使用或處置經(jīng)過適當授權；

　?。?）合理保證及時防止或發(fā)現(xiàn)并糾正未經(jīng)授權的、對財務報表有重大影響的交易和事項。

　　非財務報告內(nèi)部控制，是指除財務報告內(nèi)部控制之外的其他控制，通常是指為了合理保證經(jīng)營的效率效果、遵守法律法規(guī)、實現(xiàn)發(fā)展戰(zhàn)略而設計和運行的控制，以及用于保護資產(chǎn)安全的內(nèi)部 控制中與財務報告可靠性目標無關的控制。

　　3.企業(yè)內(nèi)控責任與注冊會計師審計責任的關系。

　　審計指引第三條規(guī)定，建立健全和有效實施內(nèi)部控制，評價內(nèi)部控制的有效性是企業(yè)董事會的責任。按照本指引的要求，在實施審計工作的基礎上對內(nèi)部控制的有效性發(fā)表審計意見，是注冊會計師的責任。

　　兩者之間的關系和會計責任與審計責任的區(qū)分保持一致，即：建立健全和有效實施內(nèi)部控制是企業(yè)董事會（或類似決策機構，下同）的責任；按照《企業(yè)內(nèi)部控制審計指引》的要求，在實施審計工作的基礎上對企業(yè)內(nèi)部控制的有效性發(fā)表審計意見，是注冊會計師的責任。換言之，內(nèi)控本身有效與否是企業(yè)的內(nèi)控責任，是否遵循審計指引開展內(nèi)控審計并發(fā)表恰當?shù)膶徲嬕庖娛亲詴嫀煹膶徲嬝熑巍Ｒ虼?，注冊會計師在實施?nèi)控審計之前，應當在業(yè)務約定書中明確雙方的責任；在發(fā)表內(nèi)控審計意見之前，應當取得經(jīng)企業(yè)簽署的內(nèi)控書面聲明。

　　（四）整合審計

　　審計指引第五條規(guī)定，注冊會計師可以單獨進行內(nèi)部控制審計，也可以將內(nèi)部控制審計與財務報表審計整合進行（下稱“整合審計”）。

　　理解這一規(guī)定，要明確兩點：一是內(nèi)部控制審計與財務報表審計是兩種不同的審計業(yè)務，兩種審計的目標不同；二是內(nèi)部控制審計與財務報表審計可以整合起來進行。

　　1.內(nèi)部控制審計與財務報表審計的異同。內(nèi)部控制審計要求對企業(yè)控制設計和運行的有效性進行測試，在財務報表審計中，也要求了解企業(yè)的內(nèi)部控制，并在需要時測試控制，這是兩種審計的相同之處，也是整合審計中應整合的部分，但由于兩種審計的目標不同，審計指引要求在整合審計中，注冊會計師對內(nèi)部控制設計與運行的有效性進行測試，要同時實現(xiàn)兩個目的：

　?。?）獲取充分、適當?shù)淖C據(jù)，支持在內(nèi)部控制審計中對內(nèi)部控制有效性發(fā)表的意見；

　?。?）獲取充分、適當?shù)淖C據(jù)，支持在財務報表審計中對控制風險的評估結果。

　　2.兩種審計的整合。財務報告內(nèi)部控制審計與財務報表審計通常使用相同的重要性（或重要性水平），在實務中兩者很難分開。因為注冊會計師在審計財務報表時需獲得的信息在很大程度上依賴注冊會計師對內(nèi)部控制有效性得出的結論。注冊會計師可以利用在一種審計中獲得的結果為另一種審計中的判斷和擬實施的程序提供信息。

　　實施財務報表審計時，注冊會計師可以利用內(nèi)部控制審計的結果來修改實質(zhì)性程序的性質(zhì)、時間安排和范圍，并且可以利用該結果來支持分析程序中所使用的信息的完整性和準確性。在確定實質(zhì)性程序的性質(zhì)、時間安排和范圍時，注冊會計師需要慎重考慮識別出的控制缺陷。

　　實施內(nèi)部控制審計時，注冊會計師需要評估財務報表審計時實質(zhì)性程序中發(fā)現(xiàn)問題的影響。最重要的是，注冊會計師需要重點考慮財務報表審計中發(fā)現(xiàn)的財務報表錯報，考慮這些錯報對評價內(nèi)控有效性的影響。