内部基础及审计 11

《内部审计学：理论与实务》第4章内部控制审计CONTENTS第一节内部控制第二节内部控制审计的内容与流程01学习目标学习目标了解内部控制的定义与目标。熟悉内部控制的发展历程。掌握我国内部控制规范体系和COSO《内部控制——整合框架》。了解内部控制审计的定义与内容。掌握内部控制审计的流程与方法。02素养目标素养目标深刻理解健全有效的内部控制是确保国家法律法规在组织内部得到有效遵循的基础，培养制度意识与责任担当精神。深刻理解内部控制审计在防范风险方面的作用，培养见微知著、防患于未然的底线思维，以及从整体层面审视和优化控制体系的系统思维。03导读导读长园内部控制失效长园内部控制失效2020年6月12日，长园集团公司收到中国证券监督管理委员会深圳监管局下发的《行政处罚及市场禁入事先告知书》。根据相关法规，深圳证监局决定对长园集团给予警告，并处以50万元罚款，对长园和鹰（长园集团子公司）管理层采取罚款和市场禁入的处罚措施。调查发现，2016年至2017年，长园和鹰通过虚构海外销售、提前确认收入、重复确认收入等多种方式虚增营业收入，导致长园集团2016年、2017年年度财务报告中披露的财务数据存在虚假，这反映出其与财务报告相关的内部控制存在重大缺陷。具体表现有：（1）合同的授权审批内部控制失效。长园和鹰与多家境外公司签订虚假合同，但在承诺函中表示境外公司不存在付款义务，以此虚增营业收入。此外，长园和鹰与某公司签订虚假销售合同，合同约定设备到货后试用期满未提出退货，视为对方同意购买。事实上，相关商品实际并未销售出库，但长园和鹰未按照合同约定，而是提前确认了收入。（2）长园和鹰存货内部控制体系不健全。公司存货管理模式落后，存在库存积压严重、库存周转周期过长、采购周期过长等问题，无法响应市场需求。同时，存货管理流程混乱，存货领用和盘点不规范，导致存货账实不符，成本核算不准确。2018年将未能查明原因的存货账实差异6523.55万元全部计入营业成本，影响了存货的计价与营业成本的准确性，与之相关的财务报告内部控制运行失效。04第一节内部控制第一节内部控制一、内部控制概述二、我国内部控制规范体系一、内部控制概述（一）定义与目标根据《企业内部控制基本规范》，内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。企业建立与实施内部控制，应当遵循下列原则：（1）全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。（2）重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。（3）制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。（4）适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。（5）成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。一、内部控制概述（一）定义与目标企业建立与实施有效的内部控制，应当包括五个要素，分别为：（1）内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。（2）风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。（3）控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。（4）信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。（5）内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。上述五个要素内容广泛，相互关联。内部环境是企业实施内部控制的基础，在规划控制活动时，必须对企业可能面临的风险有细致的了解和评估；而风险评估和控制活动必须借助企业内部信息的有效沟通；实施有效的监督可以保障内部控制的实施质量。【国际视野】COSO对内部控制的定义美国反虚假财务报告委员会下属的发起人委员会（COSO）指出，内部控制是一套流程，受组织的董事会、管理层和其他员工的影响，被设计并用来为组织提供合理保证，助力组织实现运营、报告和合规等目标。该定义体现了内部控制的如下内涵：（1）内部控制有助于组织实现多种类型的目标，如运营、报告和合规目标。运营目标——组织运营的效果和效率，包括运营和财务绩效目标、资产安全不受损失目标。报告目标——组织内外部财务报告和非财务报告的可靠性、及时性、透明度，以及其他监管者、公认的标准制定机构和组织所要求的方面。合规目标——组织遵守适用的法律法规的情况。（2）内部控制是一个持续过程，包括各种任务和活动。内部控制是一个达到目的的手段，而非目的本身。（3）内部控制受人的行为的影响。内部控制不仅仅是制度和流程手册、体系和表单，更是组织各个层级的人员及其所采取的行动。（4）内部控制可以向组织的高级管理层和董事会提供合理保证，而非绝对保证。（5）内部控制可以适应组织的结构。它可灵活应用于整个组织或一个分支机构、业务部、运营单元或业务流程。（二）内部控制的发展历程内部控制的发展历程包括内部牵制阶段、内部控制结构阶段、内部控制整合阶段。1.内部牵制阶段2.内部控制结构阶段3.内部控制整合阶段1.内部牵制阶段1936年，美国会计师协会（AIA）在《独立公共会计师对财务报表的审查》中正式提出内部控制的概念——内部控制是为了保护公司现金和其他资产的安全、检查账簿记录的正确性而在公司内部实施的各种手段和方法。此时，内部控制的范畴仍局限在会计控制领域。控制措施包括不相容职务的分离、实物与簿记牵制等。1949年，美国注册会计师协会（AICPA）下属的审计程序委员会（CAP）发表了《内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性》，指出内部控制包括组织机构的设计以及公司内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护公司的财产，检查会计信息的准确性，提高经营效率，推动公司坚持执行既定的管理政策。由此，内部控制从会计控制领域延伸到了资产保护、经营效率提高等其他领域。2.内部控制结构阶段1985年，AICPA、美国会计学会（AAA）、财务经理协会（FEI）、IIA及管理会计协会（IMA）联合创建了反欺诈财务报告委员会，即著名的Treadway委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，该委员会下设成立发起人委员会（COSO），用于专门研究内部控制问题，AICPA成为COSO成员之一。1988年，AICPA发布的《审计准则公告第55号》提出“内部控制结构”的概念，指出公司的内部控制结构是指公司为合理保证特定目标的实现而建立的各项政策和程序。内部控制结构包括三要素：控制环境、会计系统和控制程序。3.内部控制整合阶段1992年9月，COSO发布了首个《内部控制——整合框架》（以下简称《框架》），标志着内部控制进入整合阶段。《框架》包含内部控制的三项目标、五个要素和多个应用层次，以立方体的形式展示。内部控制的三项目标包括：确保经营的效率和有效性；确保财务报告的可靠性；遵循适用的法律法规。内部控制是公司的董事会、管理层及其他人员为实现以上三项目标提供合理保证而实施的程序。COSO分别于1994年和2013年对《框架》进行了增补和修订。新版《框架》将财务报告目标修改为报告目标，将非财务报告目标纳入内部控制目标中。内部控制的五个要素包括：控制环境（包括员工的正直、道德价值观和能力，管理当局的理念和经营风格，管理当局的权威和责任、组织和开发员工的方法等）、风险评估（为了实现组织目标而对相关风险进行的辨别与分析）、控制活动（为了确保实现管理当局的目标而采取的政策和程序，包括审批、授权、验证、确认、复核等）、信息与沟通（为了保证员工履行职责而必须识别、获取的信息及其沟通）、监控（对内部控制实施质量的评价，主要包括经营过程中的持续监控，即日常管理和监督、员工履行职责的行动等）。这些要素从管理层运营的业务中衍生出来，并整合在管理过程当中。新版《框架》旨在提高组织在日益复杂的全球商业环境中的适应性，以便组织能够更好地设计、实施和评估内部控制。【延伸阅读】银行内部控制不能形同虚设银行内部控制管理不足问题正受到监管机构的密切关注。近年来，监管机构开出的罚单中有很大一部分都与银行内部控制不到位有关。一些罚单显示，违规内容涉及关联交易、个人消费贷款、股权管理、委外贷款、信贷资金被挪用、资金违规流入房地产等多个方面。一些银行的中层管理者急功近利，过度追求经营业绩，导致内部控制和合规管理被不知不觉地淡化。银行员工有内外勾结的情况，甚至个别银行行长存在滥用职权、利益输送等违规违法行为。2020年8月，银保监会发布《健全银行业保险业公司治理三年行动方案（2020—2022年）》，明确了行动路线图和时间表；2021年6月，银保监会发布《银行保险机构公司治理准则》，同时启动“内控合规管理建设年”活动，以进一步补齐内部控制合规机制的短板，大力整治屡查屡犯的顽瘴痼疾。《银行内控不能形同虚设》一文提到，有研究发现，银行工作人员对风险防控、内部控制或合规管理三者之间的关系认识不到位，是导致内部控制管理出现漏洞的主要原因之一。现实中，部分基层工作人员往往认为按章办事就等同于做好了内部控制或风险防控工作，有时即便发现了风险点，也可能不重视、不汇报。要解决这一问题，不仅银行应进一步健全内部控制体系、持续提升内部控制效能，外部监管也要进一步加码。只有内外部形成合力，才能更好解决银行内部控制管理中存在的问题，从根源上防范和化解金融风险。二、我国内部控制规范体系2008年5月，财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》。该规范在形式上借鉴了《内部控制——整合框架》中的五个要素，在内容上体现了《企业风险管理——整合框架》八个要素的实质，构建了以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证，相互联系的五要素内部控制框架。2010年4月，财政部会同证监会、审计署、银监会、保监会制定了企业内部控制配套指引。它与《企业内部控制基本规范》《小企业内部控制规范（试行）》共同构成了我国企业内部控制规范体系，标志着“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体”的企业内部控制应用体系的建成。我国企业内部控制规范体系自2011年1月1日起首先在境内外同时上市的公司中施行；2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司中施行；在此基础上，择机在中小板和创业板上市公司中施行。同时，鼓励非上市大中型企业提前执行。二、我国内部控制规范体系目前，我国内部控制规范体系包括企业内部控制规范体系、行政事业单位内部控制规范体系及特定行业的内部控制规范体系。具体如下：（1）企业内部控制规范体系包括《企业内部控制基本规范》及企业内部控制配套指引、《小企业内部控制规范（试行）》。其中，企业内部控制配套指引由18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》组成。18项应用指引面向企业，用于指导企业如何按照内部控制五要素具体构建内部控制体系；《企业内部控制评价指引》面向企业管理层，用于指导管理层对企业内部控制的有效性开展自我评价；《企业内部控制审计指引》面向注册会计师和其他鉴证方，用于指导审计人员开展内部控制审计工作。（2）行政事业单位内部控制规范体系。（3）特定行业的内部控制规范体系。包括财政部发布的《石油石化行业内部控制操作指南》《电力行业内部控制操作指南》等。（一）《企业内部控制基本规范》《企业内部控制基本规范》共7章50条，主要对企业内部控制的目标、原则和要素进行了界定。《企业内部控制基本规范》在借鉴《内部控制——整合框架》的基础上，结合中国国情，指出企业内部控制应包括五个要素，分别为：（1）内部环境；（2）风险评估；（3）控制活动；（4）信息与沟通；（5）内部监督。在内部环境方面，要求企业建立规范的公司治理结构和议事规则，加强内部审计机制建设，制定有效的人力资源政策，打造先进的企业文化，强化法治教育等。在风险评估方面，要求企业关注重要的风险因素，准确识别与实现控制目标相关的内部风险和外部风险，综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略。在控制活动方面，要求企业结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，综合运用授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制等措施来加强对风险的控制。在信息与沟通方面，要求企业通过多渠道、多方式获取企业内外部信息，并加强信息在企业内外部的沟通，充分利用信息技术促进信息的集成和利用，建立有效的反舞弊机制等。在内部监督方面，要求企业制定内部控制缺陷认定标准，强化日常监督和专项监督，定期对内部控制的有效性进行评价等。（二）《企业内部控制应用指引》《企业内部控制应用指引》共18项，包括控制环境类、控制活动类、其他类应用指引：（1）控制环境类应用指引。包括组织架构、发展战略、人力资源、社会责任和企业文化的应用指引。（2）控制活动类应用指引。包括资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告的应用指引。（3）其他类应用指引。包括全面预算、合同管理、信息系统、内部信息传递的应用指引。（三）《企业内部控制评价指引》企业内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。1.内部控制评价的内容企业应当根据相关规定，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。2.内部控制评价的程序内部控制评价的程序一般包括制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。企业内部控制评价部门应当拟订评价工作方案，组成内部控制评价工作组，组织实施现场测试。（三）《企业内部控制评价指引》3.内部控制缺陷的认定内部控制缺陷包括设计缺陷和运行缺陷。内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。企业内部控制评价部门应当编制内部控制缺陷认定汇总表，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核。4.内部控制评价报告内部控制评价报告应当分别对内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容做出披露。企业应当以12月31日作为年度内部控制评价报告的基准日。（四）《企业内部控制审计指引》内部控制审计是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。本指引从计划审计工作、实施审计工作、评价控制缺陷、完成审计工作、出具审计报告及记录审计工作等方面对内部控制审计进行了规范。【知识拓展】COSO内部控制设计与执行原则《内部控制——整合框架》确立了17项原则，组织可以直接应用这些原则来设计和执行内部控制，这些原则都可以应用于运营、报告和合规这三类目标。为保障内部控制的有效性，应遵循的原则如下：1.控制环境要素的原则（1）组织对正直和道德价值观等做出承诺。（2）董事会独立于管理层，并对内部控制的推进与成效实施监督控制。（3）管理层围绕其目标，在治理层的监督下，建立健全组织架构、汇报条线、合理授权与责任划分等机制。（4）组织对吸引、开发和保留与认同组织目标的人才做出承诺。（5）组织根据其目标，使员工各自担负起内部控制的相关责任。2.风险评估要素的原则（1）组织设定清晰的目标，以便能识别和评估与其目标相关的风险。（2）组织对影响其目标实现的风险进行全面识别和分析，并以此为基础来决定应如何进行风险管理。（3）组织在风险评估过程中，考虑潜在的舞弊行为。（4）组织识别和评估可能对内部控制体系造成较大影响的改变。【知识拓展】COSO内部控制设计与执行原则3.控制活动要素的原则（1）组织选择并开展控制活动，将风险对目标实现的影响降到可接受水平。（2）对于（信息）技术，组织选择并实施一般控制以支持目标的实现。（3）组织通过制定合理的政策制度和保证这些政策制度得以切实执行的流程程序，来实施控制活动。4.信息与沟通要素的原则（1）组织获取或生成，并使用相关、高质量的信息来支持内部控制发挥作用。（2）组织在其内部沟通传递包括内部控制的目标和责任在内的必要信息，以支持内部控制发挥作用。（3）组织与外部相关方就影响内部控制发挥作用的事宜进行沟通。5.监督要素的实施原则（1）组织选择、推动并实施持续且（或）独立的评估以确认内部控制的各要素是存在且正常运转的。（2）组织在相应的时间范围内，评价内部控制的缺陷，并视情况与那些应采取正确行动的相关方（如高级管理层、董事会）沟通。知识拓展行政事业单位内部控制规范行政事业单位内部控制规范内部控制是保障组织权力规范有序、科学高效运行的有效手段，也是保障组织目标实现的长效机制。自《行政事业单位内部控制规范（试行）》（财会〔2012〕21号）发布以来，各行政事业单位积极推进内部控制建设，取得了初步成效，但也存在单位重视程度不足、制度建设不健全、发展水平参差不齐等问题。为推动我国行政事业单位全面开展内部控制建设工作，根据《财政部关于全面推进行政事业单位内部控制建设的指导意见》（财会〔2015〕24号）和财会〔2012〕21号的有关要求，财政部制定了《行政事业单位内部控制报告管理制度（试行）》（财会〔2017〕1号）。根据《关于开展行政事业单位内部控制基础性评价工作的通知》（财会〔2016〕11号），行政事业单位层面评价指标分为6类21项指标，业务层面评价指标分为6类15项指标。2025年10月27日，为进一步强化行政事业单位内部控制建设，更好地发挥内部控制在服务财政科学管理、推动国家治理体系和治理能力现代化过程中的重要支撑作用，财政部制定了《行政事业单位内部控制评价办法》（财会〔2025〕24号），于2026年1月1日正式实施。新办法指出，单位内部控制自我评价的主要内容包括组织层面内部控制情况、业务层面内部控制情况、内部监督情况。除行政事业单位内部控制评价指标体系外，各地区、各部门、各单位也可根据自身性质及业务特点，在评价过程中增加其他与单位内部控制目标相关的评价指标，将它们作为补充评价指标纳入评价范围。行政事业单位内部控制规范05第二节内部控制审计的内容与流程第二节内部控制审计的内容与流程一、内部控制审计概述二、内部控制审计流程一、内部控制审计概述（一）内部控制审计的定义与内容董事会及管理层的责任是建立、健全内部控制并使之有效运行。而内部控制审计的责任是对内部控制设计和运行的有效性进行审查和评价，出具客观、公正的审计报告，促进组织改善内部控制管理。内部控制审计，是指内部审计机构对组织内部控制设计和运行的有效性进行的审查和评价活动。内部控制审计应当真实、客观地揭示经营管理的风险状况，如实反映内部控制设计和运行的情况。按范围划分，内部控制审计分为全面内部控制审计和专项内部控制审计。全面内部控制审计，是针对组织所有业务活动的内部控制，包括内部环境、风险评估、控制活动、信息与沟通、内部监督所进行的全面审计。专项内部控制审计，是针对组织内部控制的某个要素、某项业务活动或者业务活动某些环节的内部控制所进行的审计。各要素审计内容与要求如下。1.内部环境要素审计2.风险评估要素审计3.控制活动要素审计4.信息与沟通要素审计5.内部监督要素审计1.内部环境要素审计内部审计人员开展内部环境要素审计时，应当以《企业内部控制基本规范》和各项应用指引中有关内部环境要素的规定为依据，关注组织架构、发展战略、人力资源、社会责任、企业文化等，结合本组织的内部控制，对内部环境进行审查和评价。（1）根据《企业内部控制应用指引第1号——组织架构》，内部审计人员应关注组织架构设计与运行中的下列风险：1）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略；2）内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。应对风险的策略包括科学设计治理结构、内部机构，并确保治理结构、内部机构高效运行。（2）根据《企业内部控制应用指引第2号——发展战略》，内部审计人员应关注下列风险：1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力；2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败；3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。应对风险的策略包括由战略委员会基于对机会、威胁的判断和自身优势、劣势的分析制定发展战略，发展战略的实施应渗透到日常工作中并加强监控。（3）根据《企业内部控制应用指引第3号——人力资源》，内部审计人员应关注下列风险：1）人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现；2）人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露；3）人力资源退出机制不当，可能导致法律诉讼或企业声誉受损。应对风险的策略是从人力资源引进、开发、使用、退出等环节的规范入手，促进企业人力资源的持续优化。1.内部环境要素审计（4）根据《企业内部控制应用指引第4号——社会责任》，内部审计人员应关注下列风险：1）安全生产措施不到位，责任不落实，可能导致企业发生安全事故；2）产品质量低劣，侵害消费者利益，可能导致企业巨额赔偿、形象受损，甚至破产；3）环境保护投入不足，资源耗费大，造成环境污染或资源枯竭，可能导致企业巨额赔偿，缺乏发展后劲，甚至停业；4）促进就业和员工权益保护不够，可能导致员工积极性受挫，影响企业发展和社会稳定。应对风险的策略是全力加强风险防控机制建设，提高认识，明确责任。（5）根据《企业内部控制应用指引第5号——企业文化》，内部审计人员应关注下列风险：1）缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力；2）缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展；3）缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉；4）忽视企业间的文化差异和理念冲突，可能导致并购重组失败。应对风险的策略是发挥企业关键人员的推动作用，推进企业文化建设进程，并加强企业文化的评估作用。2.风险评估要素审计内部审计人员开展风险评估要素审计时，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本组织的内部控制，对日常经营管理过程中的风险识别、风险分析、应对策略等进行审查和评价。3.控制活动要素审计内部审计人员开展控制活动要素审计时，应当以《企业内部控制基本规范》和各项应用指引中关于控制活动的规定为依据，结合本组织的内部控制，对相关控制活动的设计和运行情况进行审查和评价。内部审计人员根据管理需求和业务活动的特点，可以针对采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理等，对业务层面内部控制的设计和运行情况进行审查和评价。（1）根据《企业内部控制应用指引第6号——资金活动》，内部审计人员应关注下列风险：1）筹资决策不当，引发资本结构不合理或无效融资，可能导致企业筹资成本过高或债务危机；2）投资决策失误，引发盲目扩张或丧失发展机遇，可能导致资金链断裂或资金使用效益低下；3）资金调度不合理、营运不畅，可能导致企业陷入财务困境或资金冗余；4）资金活动管控不严，可能导致资金被挪用、侵占、抽逃或遭受欺诈。应对风险的策略主要是加强筹资、投资和营运资金的反腐机制构建，保持企业稳健经营，主动规避财务风险。（2）根据《企业内部控制应用指引第7号——采购业务》，内部审计人员应关注下列风险：1）采购计划安排不合理，市场变化趋势预测不准确，造成库存短缺或积压，可能导致企业生产停滞或资源浪费；2）供应商选择不当，采购方式不合理，招投标或定价机制不科学，授权审批不规范，可能导致采购物资质次价高，出现舞弊或遭受欺诈；3）采购验收不规范，付款审核不严，可能导致采购物资、资金损失或信用受损。应对风险的策略主要是严格管理采购过程、审慎选择付款方式和加强会计控制等。（3）根据《企业内部控制应用指引第8号——资产管理》，内部审计人员应关注下列风险：1）存货积压或短缺，可能导致流动资金占用过量、存货价值折损或生产中断；2）固定资产更新改造不够、使用效能低下、维护不当、产能过剩，可能导致企业缺乏竞争力、资产价值贬损、安全事故频发或资源浪费；3）无形资产缺乏核心技术、权属不清、技术落后、存在重大技术安全隐患，可能导致企业法律纠纷，缺乏可持续发展能力。应对风险的策略主要是全面加强对存货、固定资产和无形资产的风险管控，促进企业在保障资产安全的前提下，提高资产使用效能。3.控制活动要素审计（4）根据《企业内部控制应用指引第9号——销售业务》，内部审计人员应关注下列风险：1）销售政策和策略不当，市场预测不准确，销售渠道管理不当等，可能导致销售不畅、库存积压、经营难以为继；2）客户信用管理不到位，结算方式选择不当，账款回收不力等，可能导致销售款项不能收回或遭受欺诈；3）销售过程存在舞弊行为，可能导致企业利益受损。应对风险的策略主要是加大市场开发力度以促进销售；加强信用管理和货款回收，确保应收款项的可回收性。（5）根据《企业内部控制应用指引第10号——研究与开发》，内部审计人员应关注下列风险：1）研究项目未经科学论证或论证不充分，可能导致创新不足或资源浪费；2）研发人员配备不合理或研发过程管理不善，可能导致研发成本过高、舞弊或研发失败；3）研究成果转化应用不足、保护措施不力，可能导致企业利益受损。应对风险的策略主要是建立研究项目的立项、研究、开发、保护制度并严格执行。（6）根据《企业内部控制应用指引第11号——工程项目》，内部审计人员应关注下列风险：1）立项缺乏可行性研究或可行性研究流于形式，决策不当，盲目上马，可能导致难以实现预期效益或项目失败；2）项目招标暗箱操作，存在商业贿赂，可能导致中标人实质上难以承担工程项目、中标价格失实及相关人员涉案；3）工程造价信息不对称，技术方案不落实，概预算脱离实际，可能导致项目投资失控；4）工程物资质次价高，工程监理不到位，项目资金不落实，可能导致工程质量低劣，进度延迟或中断；5）竣工验收不规范，最终把关不严，可能导致工程交付使用后存在重大隐患。应对风险的策略主要是全面梳理与工程项目有关的立项、设计、招标、建设和竣工验收等环节中的薄弱环节，加强以工程质量管理和发展败机制构建为中心的过程管理。3.控制活动要素审计（7）根据《企业内部控制应用指引第12号——担保业务》，内部审计人员应关注下列风险：1）对担保申请人的资信状况调查不深、审批不严或越权审批，可能导致企业担保决策失误或遭受欺诈；2）对被担保人出现财务困难或经营陷入困境等状况监控不力，应对措施不当，可能导致企业承担法律责任；3）担保过程中存在舞弊行为，可能导致经办审批等相关人员涉案或企业利益受损。应对风险的策略主要是强化担保前的调查评估与审批程序执行，以及关注担保期间于企业不利的变化以做好应对等。（8）根据《企业内部控制应用指引第13号——业务外包》，内部审计人员应关注下列风险：1）外包范围和价格确定不合理，承包方选择不当，可能导致企业遭受损失；2）业务外包监控不严、服务质量低劣，可能导致企业难以发挥业务外包的优势；3）业务外包存在商业贿赂等舞弊行为，可能导致企业相关人员涉案。应对风险的策略主要是强化承包方选择环节控制，以及在业务外包实施期间加强与承包方的沟通与监督等。（9）根据《企业内部控制应用指引第14号——财务报告》，内部审计人员应关注下列风险：1）编制报告违反会计法律法规和国家统一的会计准则制度，可能导致企业承担法律责任和声誉受损；2）提供虚假报告，误导报告使用者，造成决策失误，干扰市场秩序；3）不能有效利用报告，难以及时发现企业经营管理中存在的问题，可能导致企业和经营风险失控。应对风险的策略主要是突出加强以真实性与可靠性为核心的报表编制管理，同时做好及时对外提供和分析利用等工作。3.控制活动要素审计（10）根据《企业内部控制应用指引第15号——全面预算》，内部审计人员应关注下列风险：1）不编制预算或预算不健全，可能导致企业经营缺乏约束或盲目经营；2）预算目标不合理、编制不科学，可能导致企业资源浪费或发展战略难以实现；3）预算缺乏刚性、执行不力、考核不严，可能导致预算管理流于形式。应对风险的策略有：实施高标准、规范化的预算编制；逐级细化执行目标、精准管控业务和项目运行；强化预算管理部门和执行单位之间的协同机制；预算管理委员会严格实施预算考核。（11）根据《企业内部控制应用指引第16号——合同管理》，内部审计人员应关注下列风险：1）未订立合同、未经授权对外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和欺诈，可能导致企业合法权益受到侵害；2）合同未全面履行或监控不当，可能导致企业诉讼失败、经济利益受损；3）合同纠纷处理不当，可能损害企业利益、信誉和形象。应对风险的策略是做好与合同订立有关的合同主体资格审查、文本起草、审核、签署等工作，以及规范与合同履行有关的补充协议签订、合同变更、纠纷、付款、登记、评估等事项和制度。4.信息与沟通要素审计内部审计人员开展信息与沟通要素审计时，应当以《企业内部控制基本规范》和各项应用指引中有关内部信息传递、财务报告、信息系统等规定为依据，结合本组织的内部控制，对信息收集处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行审查和评价。（1）根据《企业内部控制应用指引第17号——内部信息传递》，内部审计人员应关注下列风险：1）内部报告系统缺失、功能不健全、内容不完整，可能影响生产经营有序运行；2）内部信息传递不通畅、不及时，可能导致决策失误、相关政策措施难以落实；3）内部信息传递中泄露商业秘密，可能削弱企业核心竞争力。应对风险的策略是明确内部信息传递的重要媒介内部报告，并着力利用内部报告进行风险评估和应对，以及建立内部报告的保密制度、评估制度等。（2）根据《企业内部控制应用指引第18号——信息系统》，内部审计人员应关注下列风险：1）信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下；2）系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制；3）系统运行维护和安全措施不到位，可能导致信息泄露或毁损，系统无法正常运行。应对风险的策略是依托现代信息技术，加强企业信息系统的开发、运行与维护。5.内部监督要素审计内部审计人员开展内部监督要素审计时，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本组织的内部控制，对内部监督机制的有效性进行审查和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。需要注意的是，内部控制的五个要素共同运行、发挥整合作用。“共同运行”是指五个要素共同将那些影响目标实现的风险降低到可接受水平。五个要素不应被割裂地看待，而应被视为一个整体。当一个重大的缺陷存在，可能影响内部控制某些要素发挥作用或影响其共同运行发挥整合作用时，不能认为该组织实现了内部控制的有效性。（二）概念辨析1.内部审计人员与注册会计师内部控制审计的区别2.内部控制评价与内部控制审计的区别1.内部审计人员与注册会计师内部控制审计的区别内部控制审计是内部审计机构和会计师事务所的鉴证业务之一，二者均需要对企业的内部控制设计和运行有效性进行独立检查评价，出具内部控制审计报告，独立发表内部控制审计意见。内部审计人员与注册会计师（CPA）内部控制审计在以下方面存在不同：（1）遵循的审计准则不同。内部审计人员根据我国企业内部控制规范体系和《第2201号内部审计具体准则——内部控制审计》开展内部控制测试。CPA根据《中国注册会计师审计准则第1211号——重大错报风险的识别和评估》和《中国注册会计师审计准则第1231号——针对评估的重大错报风险采取的应对措施》等准则对内部控制进行了解和测试。（2）审计侧重点不同。内部审计人员开展的内部控制审计，不论该内部控制与财务报告相关与否，均需对内部控制的有效性发表审计意见；同时，内部审计人员可根据企业需要，开展只针对某一要素或某一活动的专项内部控制审计活动。CPA开展的内部控制审计是指对特定基准日内部控制设计与运行的有效性进行审计。CPA重点审核与财务报告相关的内部控制，并对财务报告内部控制的有效性发表审计意见，对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。（3）时间连续性不同。内部审计人员实施内部控制审计的时间节点并不固定，可根据单位需要，自行选择内部控制的审计期间，因此其审计工作具有时间连续性；而CPA是对特定日期的内部控制进行鉴证，该特定日期一般是会计年度结束日或某中期末结束日。2.内部控制评价与内部控制审计的区别内部控制评价与内部控制审计的区别在于实施主体不同。内部控制评价的实施主体和责任方均为单位管理层；而内部控制审计的实施主体和责任方为内部审计人员，他们以鉴证者的角色对单位的内部控制有效性进行审查。二者的联系在于，内部审计人员可参与内部控制评价。根据IIA的建议，内部审计机构可充分参与单位内部控制评价的过程，也可参与制定本单位的内部控制缺陷评价标准，但其角色不再是审计人员，而是以咨询者的角色为单位管理层提供建议。【案例】维风集团的内部控制审计维风集团成立于2016年，主营石油石化设备制造。由于忽视内部控制体系的建设与完善，维风集团在经历短暂高速发展后，近几年面临多重经营风险。经内部控制审计发现，维风集团的内部控制缺陷主要体现在以下方面：1.内部环境要素缺陷组织架构方面，维风集团未编制内部管理手册，员工不能及时掌握内部机构设置、岗位职责、业务流程等信息，权责分配不清晰。人力资源方面，维风集团的人力资源管理制度中缺少针对关键岗位员工的强制休假制度和定期岗位轮换制度；人力资源部门未积极牵头组织集团各相关部门制定员工的考核、晋升与奖惩制度。企业文化方面，集团不注重文化建设，员工时常不遵守员工行为守则；部门各自为政，缺乏开拓创新和团队协作精神，且未树立风险管理理念，经营风险事件频发。2.风险评估要素缺陷维风集团没有制定明确的风险评估办法和风险应对办法，在2021年度未对风险进行梳理并编制风险排序表，同时缺少根据企业发展阶段和业务拓展情况，持续收集与风险变化相关信息的机制。3.控制活动要素缺陷维风集团的财产保护控制存在缺陷。例如，在存货管理方面，集团未制定统一、完整、有效的存货管理制度，未对包括原材料、周转材料、库存商品、发出商品、委托加工物资在内的所有存货的收发存进行规范管理。同时，库存商品账实不符，未有效管理高库龄的板材、管材等原材料，未建立完整的存货收发存台账。4.信息与沟通要素缺陷维风集团未建立办公自动化（OA）管理信息系统，未充分发挥信息技术的作用，在集团信息量大、子公司分散的情况下不利于日常信息的传递与沟通。5.内部监督要素缺陷维风集团未制定内部控制自我评价管理办法，缺少严密的评价流程、规范的评价标准，没有定期对内部控制的有效性进行自我评价，且未出具内部控制自我评价报告。【案例】关联方交易专项内控审计山西安泰集团股份有限公司（以下简称安泰集团）的前身创建于1983年。2003年2月12日，“安泰集团”股票在上海证券交易所正式上市。该公司主要从事煤炭洗选、焦炭、型钢、电力的生产销售。安泰集团近年来在发展主业的同时，积极投身于清洁生产业务，为自身的可持续发展奠定了良好的基础。2021年4月28日，上海立信会计师事务所对安泰集团的内部控制出具了否定意见的审计报告。该报告指出，导致会计师事务所出具否定意见的事项有两个：一是安泰集团未就大额关联担保对公司持续经营能力可能产生的影响进行充分的风险评估；二是安泰集团与独立第三方的结算及付款政策存在显著差异，导致2020年末形成关联方经营性资金大额占用。安泰集团在2020年4月出具的内部控制自评报告中也指出自身在关联担保和关联交易方面的内部控制存在重大缺陷，与上述报告中的内容一致。对于内部控制自评报告中指出的内部控制重大缺陷，安泰集团提出了2021年的内部改进方向：2021年，公司与大股东及关联方将积极采取各项有效措施，并致力于双方资产整合计划的推动，以尽快解决目前双方存在的关联担保及关联交易问题，消除影响公司持续经营的不确定性因素，维护公司及全体股东的利益。与此同时，公司将继续完善内部控制制度，规范内部控制制度的执行，并加强内部控制的监督与检查，以促进公司健康可持续发展。安泰集团内部控制上的缺陷对内使得公司承担了大额的关联担保责任（关联方占用了大额经营性资金），导致公司在今后的发展中面临着较大的财务风险，从而影响了公司的正常经营；对外则由于否定意见的内部控制审计报告，广大投资者对公司的发展前景持怀疑态度，从而引发了股价的波动。虽然在大宗商品价格上涨的背景下，其股价大幅上涨，但从长远来看，其内部控制中的缺陷始终会阻碍公司的健康发展。资料来源：依据上市公司公告整理。二、内部控制审计流程内部控制审计主要包括下列程序：（1）编制项目审计方案；（2）组成审计组；（3）实施现场审查；（4）认定控制缺陷；（5）汇总审计结果；（6）编制审计报告。（一）编制项目审计方案内部控制审计人员在实施现场审查之前，可以要求被审计单位提交最近一次的内部控制自我评估报告。同时结合内部控制自我评估报告，确定审计内容及重点，实施内部控制审计。内部控制审计应当以风险评估为基础，根据风险发生的可能性和对组织单个或者整体控制目标造成的影响程度，确定审计的范围和重点。（二）组成审计组内部控制审计应当以风险评估为基础，根据风险发生的可能性和对组织单个或者整体控制目标造成的影响程度，确定审计的范围和重点。（三）实施现场审查内部控制审计人员应当综合运用访谈、问卷调查、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集组织内部控制设计和运行是否有效的证据。内部控制审计人员编制审计工作底稿应当详细记录实施内部控制审计的内容，包括审查和评价的要素、主要风险点、采取的控制措施、有关证据资料，以及内部控制缺陷认定结果等。在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。在测试企业层面控制和业务层面控制时，应当评价内部控制是否足以应对舞弊风险。测试企业层面控制时，应当把握重要性原则，至少应当关注：（1）与内部环境相关的控制。（2）针对董事会、经理层凌驾于控制之上的风险而设计的控制。（3）企业的风险评估过程。（4）对内部信息传递和财务报告流程的控制。（5）对控制有效性的内部监督和自我评价。（三）实施现场审查测试业务层面控制时，应当把握重要性原则，应当在对内部控制全面评价的基础上，结合企业实际、企业内部控制各项应用指引的要求和企业层面控制的测试情况，关注企业生产经营活动中的重要业务单位、重大业务事项和高风险领域的内部控制。首先了解内部控制，应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据。其次，根据与内部控制相关的风险，确定拟实施审计程序的性质、时间安排和范围，获取充分、适当的证据。与内部控制相关的风险越高，可利用程度就越低，内部审计人员需要获取的证据应越多，应当更多地对该项控制进行测试。对于内部控制运行偏离设计的情况（即控制偏差），应当确定该偏差对相关风险评估、需要获取的证据以及控制运行有效性结论的影响。（四）认定控制缺陷内部审计人员应当编制内部控制缺陷认定汇总表，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向组织适当管理层报告。重大缺陷应当及时向组织董事会或者最高管理层报告。内部控制缺陷包括设计缺陷和运行缺陷。内部审计人员应当根据内部控制审计结果，结合相关管理层的自我评估，综合分析后提出内部控制缺陷认定意见，按照规定的权限和程序进行审核后予以认定。内部审计人员应当根据获取的证据，对内部控制缺陷进行初步认定，并按照其性质和影响程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷、重要缺陷和一般缺陷的认定标准，由内部审计机构根据上述要求，结合本组织具体情况确定。（四）认定控制缺陷

重大缺陷，是指一个或者多个控制缺陷的组合，可能导致组织严重偏离控制目标。重要缺陷，是指一个或者多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致组织偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。对于财务报告内部控制缺陷，可由该缺陷可能导致财务报表错报的重要程度来确定，这种重要程度主要取决于两方面因素：一是该缺陷是否具备合理可能性导致内部控制不能及时防止、发现并纠正财务报表错报；二是该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。因此，财务报告内部控制缺陷一般可以通过定量的方式予以确定。相对而言，非财务报告内部控制缺陷的认定很难形成统一的标准，企业可以根据自身的实际情况，参照财务报告内部控制缺陷的认定标准，合理确定非财务报告内部控制缺陷的定量和定性认定标准。其中，定量认定标准既可以根据缺陷造成直接财产损失的绝对金额制定，也可以根据缺陷的直接损失占本企业资产、销售收入或利润等的比率确定；定性认定标准可以根据缺陷潜在负面影响的性质、范围等因素确定。知识拓展内部控制非财务报告缺陷认定注意事项内部控制非财务报告缺陷认定注意事项（1）以下迹象通常表明非财务报告内部控制可能存在重大缺陷：1）国有企业缺乏民主决策程序，如缺乏“三重一大”决策程序；2）企业决策程序不科学，如决策失误导致并购不成功；3）违反国家法律法规，如造成环境污染等；4）管理人员或技术人员纷纷流失；5）媒体负面新闻频现；6）重要业务缺乏制度控制或制度系统性失效；7）内部控制评价的结果特别是重大缺陷或重要缺陷未得到整改。（2）为避免企业操纵内部控制评价报告，非财务报告内部控制缺陷认定标准一经确定，必须在不同评价期间保持一致，不得随意变更。（3）财务报告和非财务报告缺陷有时难以做严格的区分，如重大安全事故等。因此在制定认定标准时，应以是否直接影响财务报告的原则加以区分。（4）非财务报告内部控制重大缺陷、重要缺陷的界定是相对的。对于有下属单位的集团公司，如果下属单位存在重大缺陷，并不能表明集团公司存在重大缺陷，但至少应作为重要缺陷向董事会、管理层汇报；而下属单位的重要缺陷则应视对整个集团的影响及普遍性程度确定是否属于集团重要缺陷，且下属单位重要缺陷至少应该向经理层汇报。【实务热点】中央企业内部控制规范性文件中央企业内部控制规范性文件主要由国务院国有资产监督管理委员会（简称国资委）负责组织制定并实施，包括以下内容。（1）国资委于2006年6月出台《中央企业全面风险管理指引》，要求企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系（包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统），旨在为实现风险管理的总体目标提供合理保证。（2）国资委于2019年11月发布《关于加强中央企业内部控制体系建设与监督工作的实施意见》，对中央企业内部控制体系建设与监督工作提出规范性要求，并突出了以下工作重点：一是建立健全内部控制体系；二是加强内部控制体系执行；三是加强信息化管控；四是加大企业监督评价力度；五是加强出资人监督。同年12月，国资委发布《关于做好2020年中央企业内部控制体系建设与监督工作有关事项的通知》，对中央企业在组织领导、制度建设、风险管控、信息化管控、监督检查、工作报告方面提出了原则性要求。（3）国资委于2020年10月发布《关于做好2021年中央企业内部控制体系建设与监督工作有关事项的通知》，新增了境外管控等方面的要求。（4）国资委于2022年1月发布《关于做好2022年中央企业内部控制体系建设与监督工作有关事项的通知》，要求对新兴业务、高风险业务以及风险事件频发的领域每半年至少自评价一次，集团需制定年度监督评价方案并加强对子企业内部控制有效性的监督评价。（5）国资委于2023年3月发布《关于做好2023年中央企业内部控制体系建设与监督工作有关事项的通知》，要求进一步完善党的领导融入公司治理的运行机制，加强党委（党组）对内部控制管理工作的全面领导，同时落实董事会对内部控制体系的监管责任，充分发挥内部控制职能部门统筹推动、组织协调、监督落实的作用。（6）国资委于2024年3月发布《关于做好2024年中央企业内部控制体系建设与监督工作有关事项的通知》，强调内部控制体系设计的合规性，提高防范化解重大风险的能力。（7）国资委于2025年3月发布《关于做好2025年中央企业内部控制体系建设与监督工作有关事项的通知》，明确提出企业应以穿透式监管为主线、以智能化转型为抓手，进一步完善内部控制体系。（五）汇总审计结果内部审计