现代企业内部审计实施手册

现代企业内部审计实施手册1.内部审计概述1.1定义与目标内部审计是企业内部独立、客观的监督和咨询活动，旨在通过系统、规范的方法评价和改善企业内部控制、风险管理及治理流程的有效性，促进企业实现战略目标。其核心目标包括：确保财务信息的真实性、准确性和完整性；评估内部控制设计与运行的有效性，防范风险；检查合规性（法律法规、内部制度），避免违规损失；提升运营效率与效果，优化资源配置；为管理层和审计委员会提供决策支持。1.2基本原则独立性：内部审计部门应向审计委员会（或董事会）直接报告，不受管理层干预；审计人员需回避与自身有利益冲突的项目。客观性：以事实为依据，不偏不倚地评价和报告，避免主观判断影响审计结论。风险导向：以风险评估为基础，优先审计高风险领域（如重大资产、关键流程、重要业务单元）。规范性：遵循《中国内部审计准则》《国际内部审计专业实务框架（IPPF）》及企业内部制度。增值性：通过提出改进建议，帮助企业降低成本、提高效益、防范风险。1.3组织架构与职责1.3.1审计委员会向董事会负责，是内部审计的最高决策机构；职责：审批审计计划、审核审计报告、监督整改落实、评价内部审计质量、协调内部审计与外部审计的关系。1.3.2内部审计部门向审计委员会报告，独立于被审计单位；职责：制定审计计划、实施审计项目、编制审计报告、跟踪整改、开展质量控制、提升审计人员素质。1.3.3被审计单位配合内部审计工作，提供真实、完整的资料；落实审计整改措施，反馈整改结果。1.3.4外部审计机构（可选）协助内部审计开展专项审计（如IT审计、跨境审计）；对内部审计质量进行评价。2.审计准备阶段2.1审计计划制定2.1.1风险评估风险识别：通过访谈管理层、查阅财务报表、分析历史审计数据、梳理业务流程等方式，识别企业面临的风险（如财务风险、运营风险、合规风险、IT风险）。风险评估：采用风险矩阵（likelihood×impact）对风险进行评分，确定风险等级（高、中、低）。示例：某企业应收账款逾期率达15%（历史平均为5%），且客户集中度高（前5大客户占比60%），评估为高风险。2.1.2审计优先级确定根据风险等级、企业战略目标、管理层关注重点，确定审计项目的优先级。原则：高风险、高战略相关性、管理层重点关注的项目优先。2.1.3年度审计计划内容：包括审计项目名称、风险等级、审计目标、范围、时间安排、人员配备、预算。审批：经内部审计部门负责人审核后，提交审计委员会审批。2.2审计项目立项触发条件：年度审计计划、管理层临时要求、重大风险事件（如舞弊举报、重大损失）。立项申请：填写《审计项目立项表》，内容包括项目名称、立项依据、审计目标、范围、时间、人员、所需资料。审批：经内部审计部门负责人审批后立项。2.3审计前准备2.3.1资料收集收集被审计单位的相关资料：财务报表、内部控制制度、业务流程手册、合同、会议纪要、历史审计报告、监管部门检查报告。示例：审计销售环节时，需收集销售合同、销售台账、发货单、收款凭证、客户信用评估资料。2.3.2审计方案制定内容：审计目标：明确要解决的问题（如“评价销售收款循环内部控制的有效性”“核实应收账款的真实性”）；审计范围：包括时间范围（如2023年度）、业务范围（如销售收款循环、采购付款循环）、部门范围（如销售部、财务部、仓库）；审计重点：根据风险评估结果确定（如销售收款循环的重点是“收入确认的真实性”“应收账款的可收回性”）；审计程序：针对每个审计重点制定具体的程序（如“检查2023年12月的销售凭证，核实收入确认是否符合会计准则”“向客户函证应收账款余额”）；时间安排：明确各阶段的时间节点（如“进点会：2024年3月1日”“现场审计：2024年3月2日-3月15日”“报告提交：2024年3月20日”）；人员分工：明确项目负责人、审计组员的职责（如“张三负责收入确认审计，李四负责应收账款函证”）。审批：经内部审计部门负责人审批后执行。2.3.3沟通协调与被审计单位负责人沟通，告知审计计划、所需资料、配合要求；与管理层沟通，确认审计重点和关注事项。2.3.4人员培训针对被审计单位的业务特点、行业法规、审计工具（如数据analytics软件）进行培训；示例：审计IT部门时，需培训信息系统审计准则、数据库知识。3.审计实施阶段3.1进点会与初步沟通目的：启动审计项目，取得被审计单位的配合。参加人员：审计项目负责人、审计组员、被审计单位负责人及相关人员。内容：说明审计的依据（如年度审计计划、管理层要求）、目的、范围、流程、时间安排；提出资料提供、人员配合等要求；听取被审计单位的情况介绍（如业务概况、近期重大事项、内部控制执行情况）。3.2内部控制测试3.2.1了解内部控制方法：访谈（如询问销售部经理“如何审核客户信用”）、查阅制度（如《销售收款管理制度》）、观察流程（如观察仓库发货流程）、穿行测试（如追踪一笔销售业务从签订合同到收款的整个流程）。记录：填写《内部控制调查表》或绘制《业务流程图》。3.2.2评估内部控制设计有效性判断标准：内部控制是否覆盖了所有重大风险，是否存在缺失或漏洞。示例：《销售收款管理制度》规定“客户信用等级由销售部审核”，但未要求财务部复核，存在设计缺陷（信用审核缺乏制衡）。3.2.3测试内部控制运行有效性方法：抽样检查（如从2023年的销售业务中抽取20笔，检查信用审核记录是否符合制度要求）、重新执行（如重新计算客户信用评分，验证销售部的计算是否正确）。样本量：根据风险等级确定（高风险项目样本量较大，如30笔；低风险项目样本量较小，如10笔）。结论：若样本中存在超过可接受误差（如5%）的偏差，说明内部控制运行无效。3.2.4结果应用若内部控制有效，可减少实质性程序的范围（如原本计划检查30笔销售凭证，可减少至15笔）；若内部控制无效，需扩大实质性程序的范围（如原本计划检查15笔，可增加至30笔）。3.3实质性程序3.3.1程序类型与应用场景程序类型应用场景示例检查验证书面资料的真实性、完整性检查销售凭证是否有客户签字、发票是否与合同一致观察验证流程的执行情况观察仓库盘点过程，确认是否有专人监盘询问了解情况、核实问题询问财务部经理“应收账款逾期的原因是什么”函证验证往来款项的真实性向客户函证应收账款余额，确认是否与企业记录一致分析程序识别异常情况比较2023年与2022年的销售增长率（如2023年增长20%，而行业平均为10%），分析是否存在虚增收入的可能3.3.2注意事项实质性程序应覆盖所有重大账户和交易（如应收账款、存货、收入）；对于高风险项目（如舞弊），应采用更严格的程序（如扩大样本量、增加函证范围）。3.3审计证据收集与工作底稿编制3.3.1审计证据的要求充分性：证据数量足够，能支持审计结论（如检查10笔销售凭证，均有客户签字，可证明收入确认的真实性）；适当性：证据质量可靠，如来自独立第三方的证据（如银行函证）比内部证据（如销售台账）更可靠，书面证据（如合同）比口头证据（如员工陈述）更可靠。3.3.2审计证据的记录工作底稿：是审计证据的载体，应记录审计事项、审计程序、审计证据、审计结论。格式：采用标准化模板，包括：底稿编号：如“SL-01”（销售循环第1号底稿）；审计事项：如“收入确认的真实性”；审计程序：如“检查2023年12月的销售凭证，共10张，编号为XX-XX”；审计证据：如“销售凭证有销售人员签字、客户盖章，对应的发货单有仓库管理员签字”；审计结论：如“收入确认符合会计准则要求”。3.3.3工作底稿的复核项目组复核：由项目负责人复核工作底稿的完整性、准确性；部门复核：由内部审计部门负责人复核工作底稿的合理性、合规性。3.4现场沟通与问题反馈目的：及时解决审计过程中发现的问题，避免误解。方式：日常沟通：审计组员与被审计单位相关人员随时沟通（如“这笔销售凭证没有客户盖章，请问是什么原因？”）；中期会议：在现场审计中期，召开会议向被审计单位反馈初步发现的问题，听取其解释。4.审计报告与整改阶段4.1审计报告编制4.1.1报告结构引言：说明审计的依据、目的、范围、时间、方法（如“根据2024年度审计计划，我们对销售收款循环进行了审计，审计期间为2023年1月1日至2023年12月31日，采用了检查、函证、分析程序等方法”）；审计发现：描述问题的事实、违反的规定、影响（如“2023年12月，销售部在未收到客户货款的情况下，提前确认收入100万元，违反了《企业会计准则第14号——收入》的规定，导致利润虚增100万元”）；结论：对被审计单位整体情况的评价（如“销售收款循环内部控制存在设计缺陷和运行无效的情况，收入确认的真实性存在风险”）；建议：针对问题提出具体的改进措施（如“修订《销售收款管理制度》，要求财务部复核客户信用等级；加强收入确认的审核，确保货款到账后再确认收入”）。4.1.2报告要求客观：用事实和数据说话，不添加主观判断（如不说“销售部故意虚增收入”，而说“2023年12月有10笔销售业务未收到货款却确认了收入”）；清晰：语言简洁，结构明了，避免歧义（如不说“收入确认存在问题”，而说“收入确认不符合《企业会计准则第14号——收入》的规定”）；实用：建议要有可操作性（如不说“加强内部控制”，而说“修订《销售收款管理制度》，增加财务部复核客户信用等级的环节”）。4.2报告审批与分发审批流程：1.项目负责人编制报告草稿；2.内部审计部门负责人审核；3.审计委员会审批；分发范围：被审计单位：用于整改；管理层：用于决策；审计委员会：用于监督；外部审计机构（可选）：用于协调工作。4.3整改跟踪与后续审计4.3.1整改跟踪建立整改台账：记录问题编号、问题描述、整改责任部门、整改期限、整改措施、整改结果、审计人员验证情况。示例：问题编号问题描述整改责任部门整改期限整改措施整改结果审计验证情况SL-01未收到货款提前确认收入销售部、财务部2024年4月30日修订《销售收款管理制度》，要求货款到账后再确认收入；对2023年12月的10笔业务进行调整已修订制度，调整了财务报表验证通过跟踪方式：定期检查整改进展（如每周跟进），向管理层和审计委员会汇报整改情况。4.3.2后续审计目的：确认整改措施是否落实，问题是否得到解决。时间：整改期限届满后1-3个月内。程序：1.检查整改台账，核实整改措施的执行情况；2.测试相关内部控制，确认是否有效；3.验证问题是否已解决（如检查2024年1月的销售业务，是否均在货款到账后确认收入）。报告：编制后续审计报告，向管理层和审计委员会汇报后续审计结果。5.内部审计质量控制5.1质量标准与规范遵循《中国内部审计准则》《国际内部审计专业实务框架（IPPF）》；制定企业内部审计质量控制制度（如《内部审计工作规范》《审计工作底稿管理办法》）。5.2内部复核与外部评价5.2.1内部复核项目组复核：由项目负责人复核工作底稿的完整性、准确性；部门复核：由内部审计部门负责人复核审计报告的合理性、合规性；定期复核：每季度对审计项目进行抽样复核（如复核10%的工作底稿）。5.2.2外部评价频率：每2-3年进行一次；机构：聘请独立的外部机构（如会计师事务所）；内容：评价内部审计部门的独立性、客观性、程序规范性、结果有效性；结果应用：根据外部评价结果，改进内部审计工作（如完善质量控制制度、加强人员培训）。5.3人员素质提升与考核5.3.1人员招聘与培训招聘：优先录用具有内部审计、财务、IT等专业背景，持有CIA、CPA、CISA等资格的人员；培训：定期组织培训（如每年至少20小时），内容包括内部审计准则、最新法规、审计方法、信息化工具；示例：培训数据analytics软件（如ACL）的使用，提高审计效率。5.3.2考核与激励考核指标：审计项目质量（如工作底稿完整性、报告准确性）、整改率（如问题整改率达90%以上）、增值贡献（如提出的建议为企业节约成本100万元）；激励措施：晋升、奖金、培训机会（如参加国际内部审计会议）。5.4审计档案管理归档范围：审计计划、审计方案、工作底稿、审计报告、整改台账、后续审计报告等；归档时间：审计项目结束后1个月内；保管期限：至少保存10年（重大项目保存20年以上）；查阅权限：内部审计部门、审计委员会、监管部门（需经批准）。6.审计信息化应用6.1审计信息化系统架构审计管理系统（AMS）：实现审计计划、项目、底稿、报告的电子化管理（如自动生成审计计划、在线审批工作底稿）；数据analytics系统：用于分析大量数据，识别异常（如用ACL分析销售数据，找出销售额异常增长的客户）；远程审计系统：用于异地审计（如通过视频会议进行访谈，通过电子数据采集工具获取被审计单位的系统数据）；信息安全系统：保障审计数据的安全性（如数据加密、访问控制、审计轨迹）。6.2数据采集与分析6.2.1数据采集来源：ERP系统（如SAP、Oracle）、CRM系统、财务系统、仓库管理系统；方法：通过数据接口（如ODBC）直接采集数据，或导出为Excel、CSV格式；注意事项：采集数据时需获得被审计单位的授权，确保数据的真实性、完整性。6.2.2数据分析方法：趋势分析：比较本期与上期的数据（如比较2023年与2022年的销售收入增长率）；比率分析：计算财务比率（如应收账款周转率、存货周转率），分析其合理性；异常检测：识别异常数据（如销售收入突然增长100%，而成本仅增长10%）；关联分析：分析不同数据之间的关系（如分析销售收入与应收账款的关系，识别虚增收入的情况）。示例：用IDEA软件分析2023年的销售数据，发现某客户的销售额比2022年增长了200%，但该客户的信用等级未提高，且未增加订单数量，怀疑存在虚增收入的情况。6.3远程审计与信息安全6.3.1远程审计适用场景：异地审计、疫情期间审计；程序：1.通过远程审计系统获取被审计单位的电子数据；2.进行数据分析，识别异常；3.通过视频会议进行访谈、进点会；4.在线编制工作底稿、审核报告。6.3.2信息安全数据加密：对审计数据进行加密（如AES-256加密），防止数据泄露；访问控制：设置用户权限（如审计人员只能访问自己负责的项目数据）；审计轨迹：记录数据的访问、修改情况，便于追溯；备份与恢复：定期备份审计数据，防止数据丢失。7.不同类型审计指引7.1财务审计目标：验证财务报