【公司治理与内部控制】内部控制自我评价专项审计计划（CSA）

审计计划书审计项目名称：内部控制自我评价专项审计（CSA）编制人：审计部XXX编制日期：XXXX年XX月XX日项目编号：SA-2026-037一、审计目标对公司内部控制的设计有效性与运行有效性实施独立、系统、全面的自我评价，具体目标如下：内控设计有效性：评价公司层面及业务层面关键控制活动是否被恰当设计，能否合理保证相关风险被控制在可接受水平，是否覆盖了所有重要风险领域且无重大设计缺陷。内控运行有效性：测试关键控制活动在实际业务中是否按设计运行，有无被绕过、架空或执行不到位，运行证据是否完整可靠。内控缺陷识别与评估：识别存在的内部控制缺陷（包括一般缺陷、重要缺陷和重大缺陷），评估其对财务报告可靠性、经营效率效果及合规性的影响程度。整改跟踪与持续改善：对以前年度内外部审计发现的内部控制缺陷的整改情况进行跟踪验证，评价管理层对内控改进的推动力度和实效。内控评价机制健全性：反观公司自身的内部控制自我评价机制是否健全，评价方法、工具、频次是否适当，能否可持续地发现和解决问题。最终对公司整体内部控制的有效性发表评价意见，出具《内部控制自我评价报告》，满足外部审计依赖、监管合规及管理决策需求。二、审计范围范围类型具体界定时间范围评价基准日为XXXX年XX月XX日（通常为年度财务报告日），控制测试覆盖评价期间（最近一个完整会计年度），对以前年度缺陷的整改验证可追溯至以前年度并延伸至评价基准日。组织范围公司总部、全部重要子公司/事业部及关键分支机构。对非重要单位可采取轮审或审阅其自行评价结果的方式。业务流程范围公司层面控制：控制环境、风险评估、信息与沟通、监督等；

业务层面控制：销售与收款、采购与付款、生产与存货、固定资产与在建工程、资金管理、税务管理、财务报告与结账、人力资源与薪酬、信息系统一般控制等关键业务流程。评价深度对关键控制点执行穿行测试和控制测试，对非关键控制点可依赖管理层自评和监控记录。三、审计依据《企业内部控制基本规范》及其配套指引（第1号——组织架构，第2号——发展战略，……，第18号——信息系统）。财政部、证监会等五部委《企业内部控制评价指引》及其相关解读。中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险，及第1231号——针对评估的重大错报风险采取的应对措施。公司内部制度：《内部控制管理手册》《授权审批制度》《各业务流程标准操作规程（SOP）》《内部审计章程》等。上一年度《内部控制自我评价报告》、外部审计《内部控制审计报告》及管理建议书。四、审计组构成与时间安排1.审计组成员及分工审计组长：全面负责项目，审定评价方案与报告，向审计委员会汇报。公司层面控制评价员（1名）：负责控制环境、风险评估、信息与沟通、监督等要素的审阅与测试。业务循环控制评价员（3-4名）：分别负责各主要业务流程的内控设计评估和运行有效性测试（可按销售、采购、生产、资金等分组）。IT控制评价员（1名）：负责信息系统一般控制（ITGC）的测试，为财务报告相关IT系统提供支持。质量控制复核员（1名）：独立于审计组，对底稿和报告进行质量复核，确保评价结果符合准则要求。2.项目时间表（大型企业通常8-12周，本计划按40个工作日设计）阶段工作日主要工作内容产出物计划与准备第1-5天更新风险评估，确定评价范围；编制评价方案，下发资料清单；召开启动会；收集并初步审阅公司层面制度、组织架构、风险评估报告、内控手册等。评价方案、风险与控制矩阵（RCM）、资料收取清单公司层面控制测试第6-10天访谈董事会/审计委员会秘书、高管、人力资源、法务等；测试控制环境、风险评估、反舞弊、信息沟通与监督机制。公司层面控制测试底稿业务层面控制设计与穿行测试第11-18天对各主要业务流程执行穿行测试，确认内控设计及关键控制点的有效性；更新RCM，识别设计缺陷。穿行测试底稿、更新后的RCM业务层面控制运行有效性测试第19-28天对关键控制点抽取样本，执行控制测试，评估运行有效性；同时跟踪以前年度缺陷的整改情况。控制测试底稿、缺陷汇总表IT一般控制测试第19-28天（并行）对关键财务系统、业务系统的访问控制、变更管理、计算机操作等进行测试。ITGC测试底稿缺陷评估与报告第29-35天汇总所有测试发现，按缺陷认定标准分级；与各流程负责人、管理层沟通缺陷；起草《内部控制自我评价报告》。缺陷评估矩阵、征求意见稿终稿与汇报第36-40天就报告征求高管层和审计委员会意见；修改定稿；向审计委员会和董事会正式汇报。正式评价报告、整改建议书五、风险评估与审计重点内部控制自我评价应以风险为导向，聚焦影响财务报告和经营目标实现的高风险领域：公司层面控制薄弱风险：管理层凌驾于控制之上、诚信与道德价值观缺失、治理层监督不力、组织结构频繁变动导致职责不清。收入确认与应收账款风险：虚构销售、跨期调节收入、信用管控失效、坏账准备不足（参见SA-2026-009/011）。采购与付款风险：招标流于形式、供应商利益输送、虚假验收、资金超付（参见SA-2026-005）。资金管理风险：账外账户、U盾管理失控、非法挪用、票据造假（参见SA-2026-001）。存货与成本风险：账实不符、减值计提不足、成本核算不准、废料收入流失（参见SA-2026-013/014/034）。信息技术风险：系统访问权限未恰当分离、变更管理不规范、备份失效、数据泄露（参见SA-2026-021/022）。财务报告与结账风险：期末结账程序不规范、合并抵消错误、会计估计随意、信息披露不完整。以前年度缺陷未整改风险：对内外审发现的缺陷仅停留于纸面回复，实际未采取有效行动。六、具体审计程序程序一：公司层面内部控制的评价控制环境诚信与道德价值观：查阅《员工行为守则》及更新记录、反腐败政策。访谈HR和合规部门，了解对违规行为的处理。查阅举报热线记录和调查档案。抽取高级管理人员的费用报销和利益冲突申报表，检查其合规示范作用。董事会与审计委员会监督：获取董事会和审计委员会的会议议程、纪要及决议。评估其对财务报告、内控、审计、风险的关注频率和深度，是否对管理层提出挑战性提问。组织架构与权责分配：审阅最新组织架构图、授权审批表。访谈业务负责人，了解其对本部门职责和授权的理解。检查不相容职务分离原则在关键岗位的落实情况（如财务、采购、销售）。人力资源政策：审阅招聘、培训、考核、晋升、薪酬政策。检查关键岗位（财务、内审、合规）人员的专业胜任能力。查阅绩效考核文件，确认内控相关指标是否纳入考核。风险评估获取公司层面最新的《风险评估报告》。了解风险识别、分析和应对的流程与频率。访谈风险管理负责人，了解管理层如何平衡风险和机会，是否存在对高风险领域的忽视。将公司自评的风险清单与审计部门通过审计发现、行业对标形成的独立风险认识相比较，判断是否存在重大遗漏或低估。信息与沟通获取公司信息化整体架构图，了解信息系统对业务流程的覆盖程度。测试关键财务和业务信息的传递流程是否顺畅、准确。查阅公司内部网、邮件推送、会议等沟通渠道，评估员工获取公司政策、岗位职责的便利性和及时性。检查与外部客户、供应商、监管机构的重要沟通记录是否妥善归档。监督获取内部审计章程、年度审计计划、审计报告及整改跟踪台账。评价内部审计的独立性和有效性。查阅管理层对日常经营活动（如销售日报、质量报告、安全巡检）的监控记录和例外处理。评价公司现有的内部控制自我评价机制（频率、方法、覆盖面、报告路径），判断本次CSA自身的定位和补充作用。程序二：业务层面内部控制的评价——通用方法对每个纳入评价范围的业务流程，采用统一的“四步法”：流程理解与文档化访谈流程负责人和关键岗位人员，阅读标准操作规程（SOP），绘制或更新业务流程图。识别流程中的关键风险点和对应的控制活动。制作或更新该流程的《风险与控制矩阵（RCM）》。穿行测试（验证设计有效性）对每个关键业务流程，从头至尾追踪一笔或几笔代表性交易的全过程。检查每一控制步骤是否有责任人、控制频率、控制证据（如审批单、系统截屏、对账表）。判断控制设计能否达到目标，如不相容职务是否分离、系统逻辑是否正确。记录设计缺陷。控制运行有效性测试针对RCM中的每个关键控制点，根据控制频率（每日、每周、每月等）确定样本量。通过检查文档、重新执行、观察等方式，获取控制按设计运行的证据。对发现的控制运行例外（例外率），分析其原因、性质和频率，判断是否构成缺陷。缺陷评估与沟通将发现的所有例外汇总，形成《内部控制缺陷汇总表》。对照公司《内部控制缺陷认定标准》（定量与定性），初步判定缺陷等级。就缺陷与流程负责人、管理层进行沟通，听取解释，最终确认缺陷等级。程序三：重点业务循环的控制测试要点（示例）销售与收款循环客户信用审批与额度控制；销售定价与合同审批；发货与收入确认时点的控制；应收账款对账与催收；坏账核销审批。采购与付款循环请购与采购审批；供应商准入与招标；采购订单与合同签订；验收、入库与发票校验三单匹配；付款审批与职责分离。生产与存货循环生产计划与领料控制；成本核算方法一贯性；存货盘点与差异处理；呆滞与减值计提审批；废料处置控制。资金管理循环银行账户开立与网银权限审批；资金支付的分级授权与复核；票据与理财的台账管理；银行余额调节表的编制与审阅。财务报告与结账循环期末结账清单（Checklist）的编制与完成；会计估计（如减值、折旧）的审阅与批准；合并报表抵消分录的编制与复核；信息披露的收集与核对。人力资源与薪酬循环人员编制的审批；调薪与奖金的计提与批准；考勤与加班的审批；工资发放与个税申报的复核。程序四：信息系统一般控制（ITGC）测试（参照SA-2026-021，此处仅列示整合要点）确定本次CSA需依赖其控制的财务系统范围。测试程序开发与变更管理，确保未经授权程序不能进入生产环境。测试逻辑访问与权限管理，确保关键业务与财务系统的权限符合职责分离。测试计算机操作（批处理、备份），确保系统稳定运行和数据备份可恢复。将IT控制缺陷汇总，评估其对应用控制的影响。程序五：缺陷认定与评级运用公司标准：严格依据公司董事会批准的《内部控制缺陷认定标准》。定量与定性结合：定量：计算错报金额占营业收入、利润总额、资产总额等的比例，对照重大缺陷、重要缺陷的财务基准。定性：考虑是否涉及管理层舞弊、已公布的财务报告被重述、外部审计发现当期财务报表存在重大错报而内部未发现、审计委员会/内部审计监督无效、合规问题导致政府处罚等。汇总与补偿性控制：检查缺陷是否存在补偿性控制。例如，一项职责未分离，但存在独立的复核机制，可降低缺陷等级。与管理层沟通确认：所有被认定为重要缺陷和重大缺陷的，必须获得管理层书面确认，听取其是否有异议及整改计划。程序六：整改跟踪与验证建立多来源缺陷库：汇总本年度CSA发现、上年度CSA遗留问题、外部审计管理建议书、监管检查意见书中所有与内控相关的缺陷。逐项验证整改：对每一项缺陷的“整改状态”（已完成/进行中/未启动）和“整改效果”（是否真正消除风险）进行独立验证。对虚假整改的处理：若发现管理层声称已整改但实际未采取任何措施或措施无效，应作为一项单独的内部控制缺陷进行上报，并直接与审计委员会沟通。程序七：关键人员访谈访谈CEO/CFO：了解其对内控的总体态度、重大风险关切、对自查自评的支持力度。访谈各业务循环的流程负责人：了解流程的实际运作、控制的难点和异常，获取其对改进控制的建议。访谈内控/风险管理部门：了解公司自评机制的运行情况、缺陷跟踪台账。访谈内部审计团队（如独立于本项目）：获取其对高风险领域和常见控制缺陷的洞察。七、审计报告要求最终出具正式的《内部控制自我评价报告》，至少包含以下要素：评价声明：董事会对建立健全和有效实施内部控制负责；审计部（或内控评价组）对评价过程与结果负责；评价依据为标准规范。评价工作概况：评价范围、评价程序和方法、评价期间。内部控制整体有效性结论：公司于评价基准日是否在所有重大方面保持了有效的内部控制。若存在重大缺陷，则发表否定结论。缺陷及其认定：逐项列示重大缺陷和重要缺陷（如存在），描述缺陷性质、涉及流程、产生原因、已造成或可能造成的影响、整改措施和进度。整改建议：针对重要及以上缺陷，提出具体的、有时限的整改要求。局限性说明：强调内部控制具有固有局限性，只能提供合理保证。附件：内部控制缺陷汇总表（含一般缺陷）、未完成整改的以前年度缺陷清单。八、其他注意事项独立性与客观性：本次CSA由内部审计部门执行，应确保评价人员独立于其所评价的业务流程。若人力不足需借用业务人员，应避免自我评价。与管理层和审计委员会的互动：评价过程中应定期向CFO和审计委员会汇报进展和重大发现。所有重大缺陷和重要缺陷在报告前必须与管理层和审计委员会充分沟通。与外部审计师的协同：应