审计学课件第五章

第五章内部控制及其测试内部控制概述一、内部控制定义美COSO委员会：内部控制是指受企业董事会、管理当局和其他职员的影响，旨在为实现财务报告的可靠性、经营的效率和效果及遵循相应的法规等目标而提供合理保证的一种过程。在调查、测试和评价内部控制的基础上进行抽样审计是现代审计的一个重要标志。资料链接2008年6月，我国财政部、审计署、证监会、银监会和保监会五部门联合印发了《企业内部控制基本规范》（财会[2008]7号）。2010年4月26日，财政部、证监会、审计署、银监会、保监会又合发布了《企业内部控制配套指引》。该配套指引包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。这是继我国企业会计准则、审计准则体系建成并有效实施之后的又一项重大系统工程，也是财政、审计、证券监管、银行监管、保险监管和国有资产监管部门贯彻落实科学发展观、服务经济发展方式转变的重大举措。我国成为继美国和日本之后第三个要求对本国企业实施全面内控审计的国家。

资料链接为确保企业内控规范体系平稳顺利实施，财政部等五部门制定了实施时间表：自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。执行企业内控规范体系的企业，必须对本企业内部控制的有效性进行自我评价，披露年度自我评价报告，同时聘请具有证券期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计，出具审计报告。注册会计师发现在内部控制审计过程中注意到的企业非财务报告内部控制重大缺陷，应当提示投资者、债权人和其他利益相关者关注。内部控制的类型1预防性控制:事前防范预计损失2检查性控制:揭示已发生的损失3纠正性控制:改正已发现的问题4指导性控制:导向有利的结果内部控制的要素（COSO)1控制环境2风险评估3控制活动4信息沟通5监督控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。奠定一个公司的控制文化，影响着人们的控制意识，能增强或弱化公司各种控制政策、程序和措施的作用。案例1：世界通讯激进主义主导的管理风格和企业文化世界通讯CEO埃柏斯一手创造了公司的辉煌，是公司顶级元老。董事会虽然对公司业绩和大规模的并购决策比较关心，但是这些董事也许是出于对埃伯斯能力的信任，也许是出于便利，绝少怀疑其决策；而公司的普通职员没有机会了解其为公司所做的具体一切和他管理公司事务的方式，但是他们相信世界通讯在不断成长，相信他为此付出的努力。这样，一方面，可能是鉴于埃伯斯的个人能力和人格魅力；另一方面，也鉴于人们对其能力的无限认可与信任，在世界通讯的董事会和各级管理部门中，无形中产生了一个以其个人处事方式为基础、受其意志支配的管理风格，以及相应的企业文化。在这种企业文化的影响下，经过20世纪90年代中期董事会及下属各委员会的“放权”以及埃伯斯和苏利文（世界通讯的CFO，埃伯斯的得力助手）的“集权”，世界通讯以人为中心的管理方式逐渐占据了优势地位，而包括董事会在内的权力部门对公司并购和财务报告等重大事务的知情权和实质控制权被悄悄地转移到了集权者手中。埃伯斯对公司各个层面事务的影响无所不在，苏利文则几乎掌控了财务工作的各个方面。世界通讯90年代末期非常激进、冒险的并购政策就是带有上述特点的管理风格的产物。世界通讯以激进主义为主导的管理风格和企业文化的形成，无情地摧毁了公司的控制环境，动摇了公司财务报告的诚信原则。埃伯斯渴望由他领航的世界通讯早日坐上美国电讯业的头把交椅；而苏利文除此而外还坚信通过“各式会计手法进行必要的数据变造”是完成这一目标的捷径。世界通讯这两位呼风唤雨的灵魂人物共同的职业理想和苏利文对“会计手法=魔术行为”的执著信奉，交织成了世界通讯财务舞弊文化的根源，也注定了世界通讯财务中心将不可避免地卷入到一场财务报告欺诈的浩劫之中。风险评估注册会计师应了解被审单位的风险评估过程和结果。风险评估过程包括识别、评估与财务报告相关的经营风险，以及针对这些风险所采取的措施。在评价被审单位风险评估过程的设计和执行时，注册会计师应确定管理层如何识别与财务报告相关的经营风险，如何估计该风险的重要性，如何评估风险发生的可能性，以及如何采取措施管理这些风险。注册会计师应询问管理层识别出的经营风险，并考虑这些风险是否可能导致财务报表重大错报。中航油和英国巴林银行的教训案例2：中航油新加波公司忽视风险管理导致经营失败和虚假财务报告新加坡中航油公司于2001年12月6日在新加坡交易所上市，其核心业务是航油采购，交易的衍生品包括互换和期货。公司于2003年下半年开始交易石油期货，由于交易初期的盈利而忽视了风险管理，最终因为期货交易导致巨额亏损，于2004年11月30日向法院申请破产保护。根据新加坡中航油CEO陈久霖提供的法庭证词，2004年6月份，中航油进行期货交易已发生账面亏损3580万美元，但是该公司在当年8月份公布的第二季度财务报告中，不但对期货交易的亏损只字不提，却虚报了大约1000万美元的盈利；到2004年11月16日，公司在期货交易中已经亏损3.02亿美元，却仍然在其第三季度报告中公布盈利约550万美元。如果中航油能够根据行业标准正确评估期权组合价值及其风险，提高财务报告的可靠性和准确程度，就能够及时发现已经产生的交易损失，从而引起公司股东和董事会的关注，公司的损失应该可以及时得到控制，也就不会沦落到破产的地步。中航油内部的《风险管理手册》设计得很完善，手册规定了相应的审批程序和各级管理人员的权限，通过联签的方式降低资金使用的风险；采用世界上最先进的风险管理软件系统将现货、纸货和期货三者融合在一起，全盘监控。同时建立三级风险防御机制，通过环环相扣、层层把关的三个制衡措施来强化公司的风险管理，使风险管理日常化、制度化。由此可见，公司在设计内控时，是花了相当大的精力的，但在如何保证实施制度方面，却缺乏应有的措施。中航油新加坡公司虽然有健全的内控和风险管理制度，但是事件的核心人物——新加坡公司原总裁陈久霖凌驾于控制之上，亲自操盘期货期权投机交易，而他本人是中航油新加坡公司内控的责任主体，在单一控制主体下，没有其他主体对他实施控制，所以内控应从单元主体转向多元主体。

陈久霖事后在接受记者专访时透露了母公司中航油集团处理危机的几个细节：“中航油集团2004年10月3日就开始了解到事件的严重性。当时的账面亏损为8000万美元，如果那时集团决定斩仓，整个盘位的实际亏损可能不会超过1亿美元。然而，集团领导大部分在休假。9日，新加坡公司正式向集团提出书面紧急请示。如果当时斩仓，实际亏损应为1.8亿美元。然而直到16日，集团才召开党政联席会议。”如果新加坡公司及其母公司在一些细节换一种处理方式，也许会出现不同的局面。这些事实说明，一旦公司的控制失效，出现风险时，公司必须建立一套补救措施，将损失尽可能的降低。信息系统与沟通与财务报告相关的信息系统，包括用以生成、记录、处理和报告交易、事项和情况，对相关资产、负债和所有者权益履行经营管理责任的程序和记录。信息系统与沟通与财务报告相关的沟通包括使员工了解各自在与财务报告有关的内部控制方面的角色和职责，员工之间的工作联系，以及向适当级别的管理层报告例外事项的方式。控制活动控制活动是指有助于确保管理层的指令得以执行的政策和程序，包括与授权、业绩评价、信息处理、实物控制和职责分离等相关的活动。监督对控制的监督指被审单位评价内部控制在一段时间内运行有效性的过程，该过程包括及时评价控制的设计和运行，以及根据情况的变化采取必要的纠正措施。注册会计师应了解被审单位对控制的持续监督活动和专门的评价活动。持续的监督活动通常贯穿于被审单位的日常经营活动与常规管理工作中。被审单位可使用内部审计人员或具有类似职能的人员对内部控制的设计和执行进行专门的评价。被审单位也可利用与外部有关各方沟通或交流所获取的信息监督相关的控制活动。案例3巴林银行倒闭巴林银行成立于1762年，在世界30多个国家和地区设有分支机构，从事多种银行业务，尤其擅长公司理财和投资管理，历来是伦敦金融中心位居前列的证券行，以其根基牢固、资金雄厚享誉世界。然而，1995年2月，由于巴林银行集团在新加坡的分支机构的总经理兼首席交易员里森在的情况下，擅自从事巨额的金融期货交易，结果因投资失败造成10亿美元的亏损，导致巴林银行破产。里森于1989年7月10日正式到巴林银行工作，主要是做期货买卖，一个人挣的钱能达到整个银行所有其他人挣钱的总和。董事会最后采取一个政策，里森可以先斩后奏。从1994年底开始，里森认为日本股市将上扬，未经批准就做风险很大的被称作“套汇”的衍生金融商品交易，期望利用不同地区交易市场上的差价获利。在已购进价值70亿美元的日本日经股票指数期货后，利森又在日本债券和短期利率合同期货市场上作价值约200亿美元的空头交易。不幸的是，日经指数并未按照利森的想法走，在1995年1月就降到了18500点以下，在此点位下，每下降一点，就损失200万美元。利森又试图通过大量买进的方法促使日经指数上升，但都失败了。随着日经指数的进一步下跌，利森越亏越多，眼睁睁地看着10亿美元化为乌有，而且整个巴林银行的资本和储备金只有8.6亿美元。尽管英格兰银行采取了一系列的拯救措施，但都失败了。

1995年3月5日，国际荷兰集团与巴林银行达成协议，象征性支付了1英镑对巴林银行进行收购，并接管其全部资产与负债，更名为“巴林银行有限公司”。1995年3月9日，该收购方案获得英格兰银行及法院的正式批准，标志着具有233年历史的巴林银行最终完结，从此退出国际金融舞台。尤其具有讽刺意味的是，在巴林破产前两个月的一个巴林金融成果会议上，250名在世界各地的巴林银行工作者，还将里森当成英雄，对其报以长时间热烈的掌声。里森给巴林带来的损失，在巴林的高级主管仍做着次日分红的美梦时，终于达到了86000万英镑的高点，造成了世界上最老牌的巴林银行终结的命运。里森自传中描述：“我为自己变成这样一个骗子感到羞愧。一开始是比较小的错误，但现已整个包围着我，像是癌症一样。”巴林银行倒闭的教训1管理层必须对所经营管理的业务有充分地认识：跨国经营，业务、利润和风险来源的多元化，产品创新和信息技术的飞速发展使欺诈更隐蔽和快捷，损失放大。巴林银行倒闭的教训2设立专门的风险管理机制，及早发现危机隐患，采取应对策略。缺乏专门的风险管理机制是巴林银行的里森能够顺利从事越权交易的主要原因。巴林银行案件的一个关键线索是巴林银行伦敦总部向其新加坡分行提供的巨额资金的去向，巴林总部的官员相信这笔钱是应客户要求的付款，而实际上该资金转移是里森用来拆东墙补西墙的伎俩。由于缺乏专门的风险管理机制，琐事缠身的总部官员根本没有对这笔资金的去向和用途作审慎审查，不仅没能查出本应查出的错漏，反而加重了巴林银行的损失，导致该银行百年基业的最终坍塌。巴林银行倒闭的教训3各项业务的职责必须明确并明示，在对组织结构进行重大调整时应注意防范利益冲突和权责不清带来的风险，如前台的交易业务与后台的清算、稽核活动应有效分离。巴林银行在倒闭前两年就进行了类似的业务结构调整，巴林银行总部允许里森同时负责交易和清算，前台办公和后台稽核等性质完全不同的业务，最终使得新加坡分行的业务完全操控在里森一人手里，为其舞弊交易提供了便利，最终酿成无可收拾的局面。巴林银行倒闭的教训所谓前台职务，主要指交易业务，所谓后台职务，包括清算、稽核和业务准入。尽管后台业务与前台业务往往是并行发生，一一对应，如一笔交易必然伴随着相应的清算交割和业务稽核，但并不等于说，后台业务是从属于前台业务的，巴林银行显然就混淆了前台业务和后台业务之间的关系，将后台业务作为前台业务的附属品，这种以交易盈利作为重心的作法必然导致对风险因素和稽查工作的忽视，造成严重的危机隐患。实际上，二者之间应当是互相制约、互为犄角的一种协作关系，一般情况下二者应当严格分离，甚至后台职务不同性质的业务也应实现有效隔离（如清算与稽核应当分离），如此才能实现内控机制的“牵制”作用。就业务性质和地位而言，前台与后台业务没有主次之分，只有业务分工的区别，前台主要服务于银行的盈利性，后台主要服务于银行的安全稳健性，当清算或稽核部门发现前台业务的不正常征兆时，应及时报告银行的高级管理层，以便其及时采取处置措施。

巴林银行倒闭的教训4建立强势的内部审计机构，对整个业务进行监督检查，并将内控漏洞迅速反馈最高管理层，以便采取补救措施或进行业务整改。在巴林银行倒闭前几月，巴林银行新设了内部审计部门，分别对巴林银行所从事的银行业务和证券业务执行内部审计职能。这本来是一个能够有效防范风险的举措，但由于其内部审计机构是分别设置的，并且内部审计师之间及其与管理层、外部审计之间缺乏有效的信息沟通机制，内部审计的效果并不明显。

调查和描述客户的内部控制一、调查内部控制的主要方法1交易循环法:将密切相关的交易种类或账户划为同一块，作为一个交易循环来组织安排审计工作的方法。制造业企业：销售与收款循环、采购与付款循环、生产循环、筹资与投资循环2调查了解内部控制的常用方法询问被审单位的人员观察特定控制的运用检查生成的文件和报告追踪交易在财务报告信息系统中的处理过程（穿行测试）描述客户的内部控制1调查表法（问卷调查法）2文字说明法3流程图法内部控制的初步评价在调查了解内部控制时，应评价控制的设计，并确定其是否得到执行。评价控制的设计指考虑一项控制单独或连同其他控制是否能够有效防止或发现并纠正重大错报。控制得到执行指某项控制存在且被审单位正在使用。是否更多的信赖控制并实施控制测试。执行控制测试一、控制测试：审计人员在调查了解内部控制的基础上，为了评估内部控制运行的有效性而实施的审计程序，