内部控制审计报告精品(七篇)

序论：写作是一种深度的自我表达。它要求我们深入探索自己的思想和情感，挖掘那些隐藏在内心深处的真相，好投稿为您带来了七篇内部控制审计报告范文，愿它们成为您写作过程中的灵感催化剂，助力您的创作。

篇(1)

【关键词】 内部控制； 审计报告； 描述性分析

自2011年1月1日起，境内外同时上市的公司要在披露年度报告的同时披露注册会计师出具的内部控制审计报告；在上海证券交易所、深圳证券交易所主板上市的公司自2012年起将全面实施内部控制审计。这种制度背景下，对内部控制审计相关的研究就显得十分重要。本文通过对2007—2009年沪市A股上市公司自愿披露的内部控制审计报告的描述性分析为强制性内部控制审计制度的设计和实施提供了理论和实践的参考。

一、内部控制审计报告披露的总体情况

2007—2009年，沪市上市公司中分别有126家、176家、201家公司披露了内部控制审计报告，分别占当年上市公司的14.8%、20.6%、23.3%。披露报告的公司数量逐年增加，表明上市公司对内部控制的信息披露越来越重视。2008年开始已经有超过五分之一的上市公司自愿披露了内部控制审计报告，为2011年在我国上市公司中开始逐步实施的强制性内部控制审计奠定了基础。大多数披露公司选择了连续在三个会计年度都披露内部控制审计报告。所有公司的内部控制审计报告与财务报表审计报告都分开出具，一同在年度报告中披露。

累计503家披露内部控制审计报告的公司中，除4家公司外，其他公司都聘请了同一家会计师事务所同时审计内部控制和财务报表，符合监管部门加强公司内部控制监管又不过度增加上市公司成本负担的意图。有3家公司的注册会计师出具了带强调事项段的内部控制审计报告，其余公司披露的内部控制审计报告都是无保留意见，即注册会计师认为公司在所有重大方面保持了有效的财务报告内部控制。因此，上市公司自愿披露内部控制审计报告符合信号传递理论，即通过自愿披露向投资者发送对企业有利的信号，表明其内部控制完善，进而会计信息更为可靠。

二、会计师事务所特征与内部控制审计报告的披露情况

表1报告了各年度聘请不同规模会计师事务所审计的公司披露内部控制审计报告的比例。可以看出，聘请国际四大审计的公司披露内部控制审计报告的比例最高，分别为20.7%、30%、35.4%；聘请国内十大（以每年中国注册会计师协会的会计师事务所的排名划分）审计的公司披露比例次之；聘请其他会计师事务所审计的公司披露内部控制审计报告的比例最低，为12%、17.3%、19.7%。从近年来上市公司内部控制审计的情况来看，不同规模的会计师事务所都积累了内部控制审计的经验，有利于今后内部控制审计在我国的顺利实施。

三、披露内部控制审计报告公司的特征分析

（一）财务状况

2007—2009年，披露内部控制审计报告公司的扣除非经常性损益后的每股收益以及每股经营现金流都显著高于未披露公司（见表2），两者存在显著的系统性差异（P

（二）公司风险

2007—2009年，分别有8家ST类公司（包括ST公司、*ST公司、S*ST公司、SST公司）披露了11份内部控制审计报告，披露比例显著低于非ST类公司（489家披露了内部控制审计报告）。披露内部控制审计报告的公司中94%为盈利公司，即经营管理水平差、财务状况异常以及企业面临风险高的公司难以维持有效的内部控制，披露内部控制审计报告的可能性低。值得关注的是，因大股东长期分歧给公司带来诸多问题而拆分上市的ST东北高速在2008年的年报中也作出“未发现公司内部控制机制和制度的完整性、合理性等方面存在重大缺陷”的自我评价并由注册会计师出具了消极保证的内部控制审计报告。表明在这一阶段内部控制审计报告的披露还因相关指引的不完善及监管的缺位存在着不规范。

（三）公司治理

内部控制与公司治理之间是紧密相关的。本文发现，在2007—2009年，披露内部控制审计报告的公司中超过半数（比例为58.4%、62.3%、58.5%）是上证公司治理板块公司，表明这些自愿披露内部控制审计报告的公司具有广泛认同的良好的公司治理基础。

四、披露内部控制审计报告公司的财务报告质量

实施内部控制审计的根本目的是为了提高上市公司的会计信息质量，本文比较了披露内部控制审计报告公司与未披露公司在财务报告质量（从财务报表审计意见类型和总应计利润的角度）上的差异，从而有助于分析上市公司聘请注册会计师实施内部控制审计的必要性。同时，公司的内部控制质量难以直接观测，而内部控制质量与财务报告质量紧密相关，两类公司的比较能从一定程度上反映注册会计师是否能真正识别内部控制有效的上市公司。分析结果表明，披露内部控制审计报告公司的财务报告更可靠。

（一）内部控制审计报告的披露与财务报表审计意见类型

按照《中国注册会计师执业准则》，当被审计单位的财务报表已经按照会计准则的规定编制，在所有重大方面公允反映了被审计单位的财务状况、经营成果和现金流量，并且注册会计师按照准则的规定计划和实施了审计工作，在审计过程中未受到限制的情况下，注册会计师应当发表无保留审计意见。非无保留意见的财务报表审计报告表明公司披露的财务报告在可靠性上存在风险，因此注册会计师发表的财务报表审计意见类型能够代表公司的财务报告质量。

根据表3，2007—2009年沪市分别有66家、67家、59家上市公司收到非标准财务报表审计意见。披露标准内部控制审计报告公司收到非标准财务报表审计意见的比例为0.8%、1.1%、0.99%，未披露公司收到非标准财务报表审计意见的比例为8.9%、9.6%、8.5%，前者在1%的显著性水平上低于后者。以上分析表明，企业建立有效的内部控制是实现财务报告可靠性的基础，内部控制有效的公司的会计信息质量更高。

（二）内部控制审计报告披露与公司总应计利润

公司的盈余包括应计利润和经营活动现金流两部分，应计利润是指当期没有现金的流入或流出，但按照权责发生制和配比原则应该计入当期损益的收入和费用。盈余中的现金流部分可操控性不强，公司一般主要利用会计政策的选择操纵应计利润。因此，较高的总应计利润（总应计利润等于净利润减去经营活动现金流并用公司总资产标准化以避免不同公司规模的影响）通常意味着会计信息的可靠性低。

由于盈余管理包括增加利润为目的的正向盈余管理和减少利润的负向盈余管理，因此，与以往研究相同，本文将总应计利润的绝对值作为盈余管理的变量。在2008年，披露内部控制审计报告公司总应计利润的均值为0.065，在1%的显著性水平上低于未披露公司。同样，2009年披露内部控制审计报告公司的总应计利润的均值（0.069）与未披露公司（0.08）也存在显著的差异。因此，从总应计看，披露标准内部控制审计报告的公司有更高的盈余质量。

五、研究结论及政策建议

近年来，内部控制审计在上市公司中越来越得到重视，自愿披露内部控制审计报告的公司数量逐年增加。尽管实践中相关制度规范的缺失导致内部控制审计报告的披露还存在着不规范之处，本文的分析发现披露内部控制审计报告公司的财务状况、公司风险、公司治理以及会计信息质量显著好于未披露公司，表明建立完善的内部控制，实施内部控制审计能够促进上市公司提高公司质量。

建立健全有效的内部控制是上市公司及资本市场持续健康发展的基础，也将给上市公司以及整个资本市场带来质的提高，这已经是人们的共识。内部控制审计是企业建立有效内部控制的重要制度保障，注册会计师以其独立的身份及专业能力能够更客观、更准确地剖析企业的内部控制缺陷，促进企业全面提高风险防范能力和经营管理水平（刘玉廷、王宏，2010）。对于即将实施的内部控制审计，还存在以下的具体困难：1.内部控制审计正式实施之初，注册会计师对内部控制整体有效性进行评价与测试的经验严重不足，在很大程度上会影响内部控制审计实施的效果。2.按照《企业内部控制审计指引》，内部控制缺陷与财务错报不存在必然的对应关系，对于目前未导致财务错报的重大缺陷，注册会计师要根据控制缺陷导致错报的可能性及潜在错报的金额大小判断控制缺陷的严重程度。因此，重大缺陷的判断在实践中难以把握，与财务报表审计相比，内部控制审计要更多地依赖注册会计师的职业判断作出定性分析，增加了内部控制审计的难度。

针对以上的研究发现和内部控制审计实施过程中面临的具体困难，本文针对内部控制审计的顺利实施向相关各方提出以下建议：

（一）政府部门角度的建议

1.重视内部控制审计实施的培训工作，让实施内部控制审计的从业人员能全面把握内部控制规范体系的内容。除了要求从业人员在理论方面提高外，还可以通过让他们学习交流部分会计师事务所审计在美国上市公司的内部控制的经验和实例，在实践中提升执业能力。

2.密切关注和跟踪内部控制审计的实施效果，保障内部控制审计制度的顺利实施。美国在实施内部控制审计的过程中，美国公众公司会计监督委员会（PCAOB）和美国证券交易委员会（SEC）一直都对实施情况密切跟踪，适时相应指南，提供具体指导，并对准则做出及时调整，完善审计方法，时至今日，上市公司对内部控制审计的争议逐渐减少，美国监管部门的做法对我们很有借鉴意义。

3.严格内部控制审计实施过程的监管，让内部控制审计切实发挥提高会计信息可靠性的作用。完善的制度建设和严格的监管将是内部控制审计制度成功实施的重要保证，应该通过建立完善配套的监管规则，加大对相关违规违法披露行为的稽查和处罚力度，提高监管的有效性和针对性，实现内部控制审计制度的规范化运作，保证资本市场的健康发展。

（二）上市公司角度的建议

上市公司应完善内部控制的设计与执行，及时发现、纠正重大缺陷。做到领导层重视、职工全员参与，实现全过程控制，健全适合本单位特点、符合成本效益原则的内部控制制度。

（三）投资者角度的建议

作为上市公司信息披露的主要需求者之一的投资者目前对于内部控制重要性的认识还不充分，仅由政府强制推行内部控制审计难以收到理想效果。社会公众应加深对内部控制信息披露重要性的理解，结合内部控制的信息披露来把握上市公司披露的盈余信息，当上市公司的内部控制存在重大缺陷时，其财务报告的可靠性会受到影响。投资者对内部控制信息披露的重视与监督可以避免注册会计师的内部控制审计工作走过场，促进上市公司通过内部控制审计真正发现存在的控制缺陷，减少财务报表重大错报。

【参考文献】

篇(2)

一、自愿性内部控制信息披露制度的定义及重要性

1.自愿性内部控制信息披露的定义

自愿性内部控制信息披露是指除强制性信息披露外其他信息的披露，包括企业形象、财务状况、管理方式以及市场占有率等[1]。内部控制信息披露制度分为自愿和强制两种：强制性披露需要按照相关规定和法律法规的要求，将企业内部控制信息公开；自愿性披露是企业强制性披露的相关规定和法律法规的其他信息部分予以公开的企业内部信息。自愿性内部控制信息披露的内容包括两方面：①对强制性信息披露内容的细化和深入，加深强制性信息披露的权威性；②对强制性信息披露的补充，以提升企业核心能力和竞争优势为目的，向社会披露公司的盈利能力来保证投资者的投资回报。

2.内部控制信息披露的重要性

上市公司的利益相关者众多，提供真实有效的内部控制信息能够成为利益相关者的投资判断标准，也能够保护利益相关者的合法权益。企业内部控制信息披露能够规范企业内部的控制制度、加强控制力度，也能够为投资者提供企业的真实信息，这是企业内部控制信息披露行为的重要作用[2]。

二、企业内部控制审计报告披露制度的发展

我国企业内部控制审计报告披露制度始于上世纪末，近20年的发展，该行为已经逐渐成熟。内部控制信息披露制度的发展可划分为以下三个阶段：

1.初始阶段

我国首次提出内部控制披露工作是财政部下发的《独立审计准则第9号――内部控制和审计风险》，此文件中指出内部控制的三要素：控制环境、会计制度和控制程序，披露的内容根据为这三点。在审计过程中需要判断内部控制的真实性来保证审计工作的范围和时间。1997年的《加强金融机构内部控制的指导原则》中规范了金融机构内部控制的目标、原则和要素等基本要求。2000年的《公开发行证券公司信息披露编报规则》提出了证券公司公开发行的内部控制制度，并明确制定了内部控制制度的完整、合理和有效标准。

2001年颁布的《证券公司内部控制指引》中提出，市场中所有的证券公司需要建立完善的内部控制制度；2001年颁布的《内部控制审核指导意见》提出注册会计师需要在被审核企业中的固定日期内对企业的内部控制进行审核，并发表真实的审核意见，这使我国的内部控制审计制度初步定位[3]。在此之前我国的内部控制审核制度还属于调整阶段，不断出台新的政策，但规范的行业也仅是金融企业，对于一般的企业公司还没有制定完善的内部控制审核制度。

2.发展阶段

通过不同政策指导方针的实施，针对于金融企业中的内部控制审计工作很好的规范了金融市场，也经过美国安然事件爆发影响后，使我国的内部控制信息披露制度的重视程度逐渐加深[4]。

2006年我国先后了《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》，说明我国上市公司急需建立起完善的内部控制机制，并加强内部控制审计报告的披露。自从证交所的两个内部控制指引后，我国上市企业的内部控制审计报告便需要按照制定的标准进行强行披露。

3.完善阶段

2008年政府部门联合银监会、证监会、财政部等部门共同颁布了多项规范文件，其中包括20余种应用指引，在上市公司中实施，并提出其他大型非上市公司也一并执行，这使我国企业内部控制审计报告披露工作愈加完善[5]。

三、企业内部控制审计鉴证报告

企业内部控制信息披露是管理机构按照相关法律法规相外部投资者和直接受益人披露本公司的运行状况，信息披露的结果需要具有完整性、合理性及有效性。这种信息披露行为需要企业管理机构以第三方的立场客观的反应企业情况，企业内部控制鉴证的载体是企业内部控制鉴证报告[6]。注册会计师披露的企业内部控制信息包括对内部控制制度设计和运行有效性（企业内部控制的自我评估报告）的鉴证报告，不仅为外部直接受益人和竞争对手提供相关信息，同时也对本企业的管理者展示当前企业内部控制情况。

四、自愿性内部控制审计报告披露行为的影响因素

1.公司规模

就公司规模而言，大多数学者认为公司规模越大，越倾向自愿性信息披露，并且披露的内容越多。1986年便有学者指出公司规模与自愿性信息披露成正比。这是由于大型企业更注重企业的社会知名度及政治成本，并且外界直接受益人或利益相关人对大型企业的内部控制信息的需求量较大。因此，上市公司所披露的内部信息越多，吸引投资者目光的机会就越大，但是需要保证企业内部控制信息披露的质量。另外，由于大型企业的内部控制信息较为全面，媒体更加乐于关注大型企业的信息披露，并且大型企业的信息成本相比小企业要低。因此可以看出，公司规模的大小是影响自愿性信息披露的因素之一[7]。

另外，有研究指出，多元化经营的企业更愿意对外界进行信息披露。上市公司的股权呈分散性，分散程度越高，企业越乐于自愿披露信息，并且信息披露较为完整、细致、频繁。

2.公司上市年限

在我国证券市场中，对于上市公司的内部控制信息的需求较低，也因此引发了一系列徇私舞弊事件，使市场逐渐注重企业的内部控制信息的披露。我国在内部控制信息制度下发前上市的企业，对于内部控制制度和信息披露的概念较为模糊，因此，早期上市公司的内部控制工作较差。随着政府对内部控制工作的重视度加深，内部控制监管制度也逐渐完善，新上市的公司受到了较多市场政策的约束，企业会在上市前便建立健全的内部控制制度，来满足市场政策的监管要求，这是新上市公司与早前上市公司抗衡的一种优势。如果上市公司的内部控制制度完善，公司会倾向和自愿披露审计信息[8]。

企业的内部控制制度不仅是为审计机构所建立，更重要的是可以自身衡量和评价企业的发展。但是也有观点认为，企业发展速度越快，与内部控制制度的距离越大。这是由于企业的高速发展，内部组织结构和管理方式在不断的更新换代，并且很可能受到资金的约束在需要建立和完善内部控制体系时没有及时建立，待企业发展进入稳定期后，才会重新建立内部控制体系[9]。因此，在一定程度上会影响企业的信息披露。

由于早期的上市公司内部控制制度的不完善，监督、审核机构也没有建立，对于内部控制制度的成熟程度较落后于后上市公司。因此，可以认为越早上市的公司自愿披露内部控制审计报告的可能性越低。

3.公司内部控制资源

企业在发展中需要维护内部控制制度，对于大企业而言，完善的内部控制制度能够为企业赢得更多利益，这也是大企业的一种优势，虽然维护的成本较高，但大企业相对更乐于对此投资。而对于小企业而言，经营发展需要以自身的稳定性及市场性的角度出发，小企业的资金成本较低，投资于维护内部控制将使小企业的部分资金流出，而这部分流出资金在短时间内不会产生回报率。因此小企业对于内部控制的需求较小[10]。

大企业之所以愿意披露企业的内部控制审计、支付更多的审计费用，是因为所披露的信息能够体现出企业本身的优越性，是一种提升自身价值的权威信息。内部控制中最为实际的一项工作是董事会的召开，召开次数与企业的盈余管理程度呈正比。董事会的召开，能够很大程度上对公司董事、管理层的日常工作作出客观的监督和评价。因此，企业的独立董事越多，内部控制资源越为丰富。

公司内审部门归属于公司治理结构，公司治理结构能够体现公司的管理者与经营者之间的关系。当公司治理结构合理并且具有科学性时，能够降低经营者的内部控制资金投入，也因此会影响到企业的自愿性信息披露[11]。公司内审部门的合理设置，能够有效提升公司信息披露的质量。以香港上市公司为例，设置了内审部门的上市公司中，企业管理者更愿意向外界进行信息披露。可以看出，公司内审部门的设置能够影响自愿性信息披露。

当公司制定了内部控制制度后，需要花费大量的维护费用进行维护，这是企业经营过程中的一个固定支出。但是小公司的资金有限，财务管理能力较低，即使清楚内部控制系统能够为企业带来有利影响，也不会选择投资复杂的控制系统。大企业则不同，随着内部控制系统的成熟，大企业的生产规模、盈利能力也有所提高，也因为大企业的内部控制系统关乎于投资者的投资决策，大企业在建立内部控制体系后进行披露，可以规避企业经营风险、增加融资几率。由此可以看出，大公司的内部控制系统较为完善，将会乐于自愿披露内部控制审计报告。

4.企业盈利能力

如果采用评分形式为公司的自愿性信息披露进行分级，可以看出，企业的业绩越好，信息披露的等级越高。当上市公司预计将会有更高的盈利能力时，信息披露将愈加频繁、内容愈加细致。上市公司中根据自身的经济收益能够体现出公司发展前景，在证明公司具有广阔发展前景时，将企业内部控制信息披露将会获得更多的市场效应[12]。因此，上市公司的盈利能力是影响自愿性信息披露的因素，且盈利能力能够体现信息披露的质量。

内部控制能够保障上市公司的经营、收益合乎法规，收益率作为直接体现公司经营、收益的信息，必然会与内部控制发生联系。如果企业的内部控制质量高，收益率便会提高。在收益率有所保障的情况下，企业披露内部控制信息的意愿会增加。因此可以看出，自愿披露内部控制审计报告的企业多数属于收益率高的企业。

5.资产负债率

资产负债率是企业财务的一种杠杆原理，在一定程度上是影响公司经营情况的一种计算方式。企业中的资产负债率越高，企业承担的风险将会越大。因此，企业管理者和外部投资者更需要企业披露内部控制信息来掌握企业的运营情况和运营风险。但是，如果站在企业管理者的角度来看，在企业的资产负债率高的情况下披露内控信息，将会严重影响投资者决策及企业发展。因此可以认为资产负债率高的企业将不会自愿披露内部控制信息，并且有动机不披露[13]。

6.公司财务状况

上市公司的财务状况是企业经营、发展的最重要因素。财务状况良好的企业更乐于投资在内部控制建设中，但是对于财务状况较差的企业，缺乏对内部控制建设的投资资金，这使企业内部控制制度不完善，披露时也不积极。另外也是由于内部控制制度存有缺陷才会产生财务状况较差的现象。因此可以看出，财务状况较差的企业不会积极披露内部控制信息。

企业财务状况体现的两个因素是收益率和资产负债率：①收益率，直接反应企业的盈利能力，企业盈利是企业发展的有力保障；②资产负债率是企业的一种财务杠杆表现[14]。企业的内部控制制度完善，可以保证企业的生产经营的稳定，也就会提高企业的收益率。收益率越高，企业越想对外披露企业信息，相反，企业资产负债率高，则不愿披露内部控制信息。

7.公司发展前景

公司的发展前景受到内部控制质量的影响，这是公司发展的必然规律。早期上市公司的内部控制质量不高，对内部控制的概念较为模糊，是通过政府的一再调整、颁布相关制度条例，才将上市公司的内部控制质量提升。而新上市企业在创业初期，一方面为了迎合市场中的制度，另一方面也由于新上市企业的管理意识先进，因此会积极建立企业内部控制制度[15]。在信息披露方面，新上市公司需要一定的市场知名度来得到市场的认可，所以大力投资于内部控制建设，通过强制或自愿的信息披露，向市场输送更多的自身优势信息，也是为企业打开市场的一把钥匙。

篇(3)

关键词：内部控制审计；财务报表审计；审计报告意见类型；审计风险

一、相关背景和制度介绍

21世纪以来，美国的安然、安达信、世通等多家知名的企业、事务所不断被曝出企业存在有严重的财务舞弊问题，这些财务问题与企业自身内部控制机制失效密切相关；我国中航油、银广夏、万福生科等企业也频频曝出内部控制存在严重的漏洞，进而也对财务报表产生了重大的负面影响。可以看出，由于内部控制机制的不健全，或者内部控制制度只是流于形式而非真正地起到控制和预防的作用，导致大量财务报告欺诈案例是由内部控制的失效引起的，严重影响了企业财务报表的公允表达。

2008年，财政部、审计署、证监会、银监会等联合了《企业内部控制基本规范》，对本公司的内部控制有效性进行自我评价成为了沪深两市上市公司的基本要求，同时要求他们公开披露企业年度的内部控制自我评价报告；在财报审计业务进行的同时，需聘请具有专业资质的会计师事务所来进行企业内部控制有效性的审计活动。2014年，财政部联合证监会了《公开发行证券的公司信息披露编报规则第21号――年度内部控制评价报告的一般规定》，明确了内部控制评价报告构成要素，需要披露的主要内容及相关要求。

企业内控审计制度的建立和执行，使得企业的内部控制逐渐得到完善，内部控制能够在一定程度上提前对企业的舞弊和重大错报起到遏制作用。财务报告重大错报和舞弊的发生要求审计工作能够发现问题的源头，在错报和舞弊发生之前就被遏制，使企业的损失降到最低，这就是目前企业界推崇的内部控制审计和财务报表审计结合所能达到的最高目标。

二、相关研究情况

目前，国内外学者对单一审计意见影响因素的研究较为广泛和深入，但针对于内控审计意见和财报审计意见之间的对应关系，大部分研究仅从实证研究角度证明了二者具有一定程度的相关性，并从规范研究角度研究了二者之间关系的理论基础。然而，对于两者间意见类型有时存在明显差异的情况，一般仅从两者理论基础的相同点与不同点来探讨，说明两者有存在明显差异的理论可能，但是并未探究这一差异在实务中存在的现实影响因素和原因，缺少结合案例对于出现这一差异的影响因素进行具体分析的研究。根据《审计指引》的规定，如果对内部控制发表否定意见，注册会计师应当确定该意见对财务报表审计意见的影响，并在内部控制审计报告中予以说明。但是通过查看否定意见内部控制审计报告发现，然而个别公司并未在内部控制审计报告中予以说明。

三、否定内控审计意见下出现的标准财报审计意见

我国的上市公司财务报表审计工作已经有了几十年的历史，而内部控制审计报告则是在近几年来才规范起来。如果一家企业在某个年度收到了标准的无保留财务报表审计意见和否定的内部控制审计意见，一般认为虽然审计机构认为内部控制存在重大问题，但一定会有修改意见和整改措施，以保证财务报表是有效的。基于内控审计的基础是有效性，而财报审计的基础是公允性，二者在理论基础层面有交叉也有不同，因此对于二者意见类型的明显不一致，应当辩证的分析并结合实际情况。

在2015年，沪深两市上市公司中否定内控审计意见与标准无保留财报审计意见同时出现的情况如下：

在沪深两市中，2015年年报为否定的内部控制审计意见下出现标准无保留财报审计意见的公司有以上五家，其余有很多非标内控审计意见下的带强调事项段无保留意见的财报审计意见，因为典型性的原因暂不讨论。

四、具体审计风险

（一）财务报表审计意见的风险大小

在非无保留意见的内部控制审计报告下，企业的内部控制存在重大缺陷，控制风险很大，在这一情况下出具标准财务报表审计报告，其审计风险是相对较大的。

由于审计风险=重大错报风险*检查风险，在模型下，内部控制存在的重大缺陷很可能直接影响重大错报风险的大小。因此，我们需要对这一特殊情况下的审计风险大小加以重点关注，评估可能出现的审计风险，特别是由于内部控制重大缺陷所带来的财务报表中存在潜在的未被发现的重大错报的可能性。

（二）故意以较差内控审计意见掩盖财务报表中的问题的可能性

在这一情况下，有很大的以较差内部控制意见来掩盖财务报表中存在的问题的可能性。一家企业确实存在重大问题，但是在治理层与审计师之间存在沟通，审计师出于其他利益的考虑，这一情况的出现往往伴随着审计意见的购买行为，审计师作为理性人，有时会认为如果认同购买行为个人收益很大，但是完全出具无保留意见的风险也很大，为了降低风险仅出具一份较差的内部控制审计意见，并同时出具标准的财务报表审计报告，在这一情况下，王慧莉（2015）认为其对股价的影响远远小于出具非无保留审计意见的财务报表审计报告所带来的影响。

这样，审计师可以表示，自己确实关注到了企业存在的一些问题，并且出具了合理的建议，监管层看到确实有一个较差的审计意见，很有可能放松对这一公司的监管力度，认为其信赖过度的可能性非常小，从而让该情况逃避管理层的监管，很有可能原本应当同时出具的是非无保留意见的财务报表审计报告和非无保留的内部控制审计报告。

（三）以XX公司为例，分析标准财务报表审计报告和非无保留意见的内部控制审计报告情况下的审计风险

XX公司是一家以房地产为主营业务的上市公司，在2015年被会计师事务所出具了无保留意见的财务报表审计报告和否定意见的内部控制审计报告。在描述内部控制缺陷是有这样几条：

首先是公司未能定期执行资产减值测试，或在资产减值评估过程中未发现已表明该资产发生减值的客观证据。但是又提到在编制财务报表时已经做了恰当调整，将财务报表问题转移到内部控制上来，从而实现了避免了财务报表的问题表现。

第二是部分子公司的收入确认存在跨期或者未核对原始凭证的情况，对于这一情况，会计师事务所在调整报表后仅仅将其列明为内部控制问题，基于收入舞弊的基本假设，会计师很难保证在发现部分子公司收入确认的问题后，已经解决了所有子公司的收入确认问题，反而存在更大收入确认问题的可能性，财务报表的审计风险程度很高。

第三是公司未能在执行内部控制监督过程中有效的执行与识别内部控制缺陷并评价缺陷重要性的相关程序，分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。上述重大缺陷影响了财务报告及相关信息的真实完整，且未能整改。这一问题对于财务报表审计意见是致命的，然而会计师事务所仅仅将其放在内部控制审计报告的最后，明显是将问题弱化影响，以保持股价的相对稳定。

因此，我们有较为充分的理由怀疑，在XX公司的2015年度审计报告中存在重大的可能未被察觉或者公开的审计风险，事务所有很大的可能性通过出具非无保留审计意见的内部控制审计报告，来弱化和掩盖财务报表上所存在的可能的重大错报。

以上分析仅从学术角度进行推测，实际情况非常复杂，不能以简单的逻辑推测来说明审计中存在的问题，这里的目的是为了提醒注册会计师加大对这一情况出现时伴随的审计风险的关注。

五、结论和不足之处

在内部控制审计报告意见类型与财务报表审计报告意见类型存在重大不一致的问题上，我们需要更多的加以关注。原本认为企业如果出现了一个非无保留审计意见，其本身审计风险已经得到了有效“释放”，但是仍然存在文中提到的情况，即审计师可能在一定程度上通过另一审计意见的补偿，在一定程度上降低了对企业经营状况恶劣程度的表达，影响了上市公司信息的有效披露。

标准财务报表审计报告和非无保留意见的内部控制审计报告情况下的审计风险主要来源于可能存在的财务报表问题的“弱化”表达。同时需要警惕在这一情况下可能出现的审计意见购买行为。

本文的不足之处在于未能在统计数据的基础上对整个市场的情况做出分析，得出有更高说服力的结论，同时难以对分析中认为可能出现的审计意见购买行为做进一步的案例，将在未来继续完善论文体系和相关内容。（作者单位：上海立信会计金融学院）

参考文献：

[1] 希格玛会计师事务所.亚太实业2015年度内部控制审计报告[R].西安.

[2] 希格玛会计师事务所.亚太实业2015年度财务报表审计报告[R].西安.

[3] 王慧莉.内控报告类型和财务报表审计报告类型不一致时挽回投资者信心的策略研究[J].财税研究，2015[30].

[4] 何芹.内部控制审计意见、财务报表审计意见及内部控制自评结论――比较分析与数据检验[J].中国注册会计师，2015（02）：48-53.

篇(4)

关键词：内控自我评价报告 内控审计报告 强制 自愿

一、引言

我国关于内部控制的规范政策从08年五部委的企业内部控制规范开始才初步走向正规和成熟。当前，虽然五部委所颁布的规范中无论对于内部控制自我评价报告还是内部控制审计报告都持有强制披露的态度，但是根据上交所和深交所每年关于做好上市公司年度报告的通知来看，我国上市公司关于内控披露的整体环境还是自愿性的。可是随着《主板上市公司分类分批实施企业内部控制规范体系的通知》，可以看到，我国关于内控制度披露的政策将在2014年上市公司年报披露的同时彻底强制化。

二、我国行政部门关于企业披露内控情况制度的发展

（一）从“内部控制鉴证报告”到“内部控制审计报告”

这一过渡集中在09年年报披露到10年年报披露的过程中。出现这种情况归根究底是由于国家行政部门特别是五部委颁发文件中对审计意见定义的改变。这种改变是一种良性的发展，意味着我们国家在实践中对企业内部控制认识的深化。

之所以直至09年年末“鉴证报告”一揽独大，是由于国家在政策中对企业内部控制审计报告的定义倾向于“对董事会披露的内部控制评价报告的核实意见”，根据核实意见出具企业内部控制的审计意见。这种核实意见即被称作“鉴证报告”。但是鉴证报告的应用具有两种可能性。一是企业的内部控制着实有效，董事会披露的内部控制评价报告也陈述了这种有效性，且指出企业的内部控制不存在重大或明显的缺陷。这样，会计师事务所在审计中证实企业内控有效的同时，其鉴证报告的结论是无保留意见的标准审计意见。二是企业的内部控制的运行中存在在明显或重大的缺陷，但是董事会在内控评价报告中明确指出，这样，在会计师事务所审计处这种缺陷确实存在并可能出现消极影响的情况之下，其鉴证报告的结论仍然可以是无保留的。

这样就很容易对企业外部的报表使用者进行混淆，人们在潜意识中可能出现误解企业有缺陷的内部控制其运行是有效的。

因此，2010年之后，鉴证报告由审计报告所替代，并且不纳入审计报告的定义范围内，出具鉴证报告的企业不认为是出具了审计报告。

（二）从“出具评价结果”到“出具财务报告内部控制审计报告”

出具“评价结果”所对应的是内部控制的鉴证报告。但是随着鉴证报告已经演化成为审计报告，五部委对于内部控制认识的深化还反映在范围的深化上。

内部控制分为狭义的内部控制和广义的内部控制，狭义的内部控制指的是只针对财务报表方面的内部控制，广义的内部控制指的是企业所有方面的内部控制。08年五部委在《企业内部控制基本规范》中，只是说明会计师事务所要对内部控制的有效性进行审计，出具审计报告，并不能辨认出这种内控审计是广义的还是狭义的。但是到2010年五部委的作为基本规范有力补充的《内部控制配套指引》中，五部委已经能够明确指出这种内部控制是针对财务报告的，并且强调，对于非财务报告部分若有重大缺陷的，要给予披露。这样，直至2014年深交所、上交所所有的上市公司需要披露会计事务所的审计报告，这种审计报告就是针对对财务报告内部控制的审计。

（三）从“自愿”到“强制”

同美国的萨班斯法案不同，作为中国的萨班斯法案的《企业内部控制基本规范和配套指引》对于内控审计报告的强制性披露不是一撮而就的，而是分阶段、循序渐进的，从2011年1月1日由双重上市公司开始到2014年全部的深交所和上交所的上市公司必须强制性披露内部控制审计报告，我国的控制审计报告披露有一个明显的从“自愿披露”到“强制披露”的过程。总体来说，目前，我国的内控审计报告披露还是自愿披露阶段。

三、上交所我国行政部门关于企业披露内控情况制度的发展

上交所制定的上市公司内部控制指引是我国首部指导上市公司建立健全内控机制的规范性文件，类似于美国证监会颁布的萨班斯法案。它要求董事会对公司内控负责，编制内部控制自我评价报告，同时公司要在披露年度内部控制评价报告的同时，披露会计师事务所对内部控制自我评估报告的核实评价。

可以看出，这一指引的出台带有明显的强制性，32条和31条要求在上交所上市的所有公司必须同时披露董事会编制的内部控制的自我评价报告和会计事务所对内控报告的核实评价。这一指引在2006年7月1日正式实施，但是由于在2006年12月31日上交所了上交所关于做好上市公司2006年度报告工作的通知，虽然规定内容同上交所内部控制指引的内容相矛盾，但是由于其实施时间晚于指引的实施时间，所以于上交所上市的公司都以通知为准进行内控报告及内部控制审计报告的披露。从某种意义上来说，上交所制定的内部控制指引并没有真正实施。

四、深交所我国行政部门关于企业披露内控情况制度的发展

（一）强制性

上交所制定的上市公司内部控制指引从某种意义上说并没有真正意义上实施过。深交所随后制定的深交所内部控制指引虽然实施比上交所迟了一年，但是从开始，深交所内部控制自我评价报告方面就一直贯彻强制披露的政策，并且详细规定了企业编制内部控制自我评价报告应包含的最少内容、披露方式。在2006年的通知中，深交所只是规定了董事会应在“重要事项”中陈述企业内控的建立健全和执行情况，随后，2007年即深交所的内控指引正式实施同年，深交所规定企业的内部控制自我评价报告应在“公司治理结构中”披露。之后，从2008年的通知至今，深交所一直明确规定企业内控自我评价报告，都要以单独的形式出具进行披露，在“公司治理结构”中只有企业当年是否披露内部控制自我评价报告和内控审计报告的信息。这相对于上交所和五部委的政策都更详细具体。

（二）针对性

五部委制定的政策中从《内部控制配套指引》开始，真正明确对于企业内控有效性的审计是主要针对财务报告内部控制，此前对于内控审计是广义还是狭义一直处于模糊的状态。而上交所至2011年的通知中才明确对企业内控的审计是狭义的。但深交所从鉴证报告时期开始，就在内部指引中会计师事务所是就公司财务报告内部控制情况出具评价意见。

（三）广泛性

五部委颁布的政策是对于全体上市公司，具有普遍性，但是深交所和上交所在制定各自的内控政策时，对于主办上市公司和创业板、中小企业板公司还是区别对待的，鉴于中小企业板及创业板的公司在内控建立健全、管理等方面都较主板上市公司有一定的差距，对其也有着较低的要求。但是，随着时间的推移，上海市场交易所的年报披露政策还是主要针对主板上市公司，只在2011年的年报披露通知中对拟加入上证治理板块的公司才开始鼓励其披露内部控制自我评价报告。但是深交所从2009年开始，在《关于做好上市公司年报披露工作的通知》中一改之前通知内容只适用于主板公司的态度，明确说明2009年关于年报披露的所有政策适用于深交所的所有企业。次年，深交所在对主板上市公司的内控审计报告仍持有自愿性态度的同时，已经规定中小企业板和创业板公司应当至少每两年要求会计师事务所对公司与财务报告相关的内部控制有效性出具一次内部控制审计报告。

从以上几点可以看出，虽然深交所和上交所各自对于上市公司内控制度的政策同五部委规范的大方向是趋同的，但是相对于上交所的规则，甚至同国家政策相比，深交所的内控规则都更先进、更有力、更能体现出抓好上市公司内控制度的大趋势。

篇(5)

一、问题提出

2012年3月23日，A企业公布了2011年度内部控制审计报告，在该内部控制审计报告中，D会计师事务所对A企业内部控制出具了否定意见的审计报告。这是我国证券市场中有关上市公司的一份否定意见的内部控制审计报告。下面我们就将对这些问题进行分析。

二、A企业的历史背景

A企业占地近300多万平方米，现有职工5000多人，是我国重点骨干大型企业。2011年，B企业因涉嫌非法集资于年底被立案调查，该案对A企业冲击很大。2012年3月15日，A企业披露，截至目前，B企业及其关联方尚欠公司货款6073.17万元，对方经营出现异常、资金链断裂，可能对公司资金回笼产生较大影响。

三、否定意见的内部控制审计报告的诞生

A企业应收账款前五名的一重要客户的消失。根据中国资本证券网显示，2009年，B企业为A企业第一大客户，共向A企业采购18147万元商品，占其营收总额的7.94%;2010年，B企业为A企业第二大客户，共向A企业采购11039万元商品。但在2010年末，A企业应收账款前五名单位里并没有B企业。

2011年中期，B企业为A企业第五大客户，共向A企业采购1999.1万元，占其营收总额的1.31%。2011年中期，A企业应收账款前五名单位里也没有B企业。(第五名为J公司，欠款金额为898.8万元)。

2012年3月15日，A企业董秘办工作人员向中国资本证券网表示，与B企业终止业务是在公司发现其有资金断裂的迹象时，应该是在2011年底，目前B企业已经停止经营，在2011年上半年公司与B企业的业务就已经减少了。但公告显示，B企业及其关联方欠其货款总计6073.17万元，且B企业并未出现在A企业2011年中报应收账款前五名单位中，所以A企业2011年下半年向B企业销售商品不会少于5174.37万元(6073.17-898.8=5174.37)。既然在2011年上半年仅向B企业销售了1999.1万元(2010年中期为4314.5万元)，销售商品已经大幅减少，但2011年下半年向其销售商品的金额又大幅增加了，这其中必有蹊跷。

根据调查， A 企业2 0 1 1 年年末的总资产为3 0 . 0 4 亿元，2 0 1 1 年主营业务收入2 9 . 3 8 亿元， 净利润为0 . 7 6 亿元。D会计师事务所对2 0 1 1 年财务报告出具了标准无保留意见。

同年2011年，A企业披露了内部控制评价报告，自我评价的结论为内部控制失效;A企业聘请D会计师事务所对其内部控制体系的有效性出具内部控制审计报告。2012年3月23日，A企业被D出具了否定意见的内部控制审计报告。该内部控制审计报告中的导致否定意见的事项段和审计意见段如下：

四、导致否定意见的事项

重大缺陷是内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表出现重大错报的一项控制缺陷或多项控制缺陷的组合。A企业内部控制存在如下重大缺陷：

1、A企业下属子公司C公司内部控制制度对多头授信无明确规定，在实际执行中，C公司的鲁中分公司、工业销售部门、商业销售部门等三个部门分别向同一客户授信，使得授信额度过大

2、A企业下属子公司C公司内部控制制度规定对客户授信额度不大于客户注册资本，但C公司在实际执行中，对部分客户超出客户注册资本授信，使得授信额度过大，同时C公司也存在未授信的发货情况。

上述重大缺陷使得A企业对B企业及与其存在担保关系方形成大额应收款项60731千元，同时，因B企业经营出现异常，资金链断裂，可能使A企业遭受较大经济损失。2011年度，A企业对应收B企业及与其存在担保关系方货款计提了48585千元坏账准备。

有效的内部控制能够为财务报告及相关信息的真实完整提供合理保证，而上述重大缺陷使A企业内部控制失去这一功能。

A企业管理层已识别出上述重大缺陷，并将其包含在企业内部控制评价报告中，上述缺陷在所有重大方面得到公允反映。在A企业2011年财务报表审计中，我们已经考虑了上述重大缺陷对审计程序的性质、时间安排和范围的影响。本报告并未对我们在2012年03月25日对A企业2011年财务报表出具的审计报告产生影响。

五、财务报告内部控制审计意见

我们认为，由于存在上述重大缺陷及其对实现控制目标的影响，A企业2011年12月5旧未能按照《企业内部控制基本规范》和相关规定在所有重大方面保持有效的财务报告内部控制。 D会计师事务所有限责任公司。

六、否定意见审计报告的利益相关方分析

否定意见审计报告对D会计师事务所的影响：马后炮难掩严重失职，出现如此人祸，A企业2011年的内控审计必然不能轻易过关。但真正出事后，D才出具内控否定意见，如此马后炮不禁令人起疑。甚至有会计师行业人士说，内控工作的问题一般都不是短时间内存在的，如果公司的内控制度并没有发生变化，此前的审计工作中不可能毫无察觉，A企业内控制度的重大缺陷此前一直没有审计出，而在否定意见报告书中D在内控审计报告中辩称，内部控制具有固有局限性，存在不能防止和发现错报的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制审计结果推测未来内部控制的有效性具有一定风险。这都是不对的，审计就是发现潜在的风险，上市公司的内控审计是审计工作中的重要一环。制度的缺陷没有审计出来，绝对是事务所的责任。无论从哪个方面讲，都是事务所的严重失职。

否定意见审计报告对A企业公司的影响：上述重大缺陷使得A企业对B企业及与其存在担保关系方形成大额应收款项60731千元，同时，因B企业经营出现异常，资金链断裂，可能使A企业遭受较大经济损失，大额应收账款60731千元或成坏账打水漂了。对于内部控制出现了重大缺陷，A企业已经注意到，并对子公司控制方面，针对子公司内控制度中缺少多头授信的规定及内控制度执行不严导致对客户授信额度过大造成损失的问题，公司修订印发了《A企业股份有限公司营销信用风险管理办法》，对多头授信做出明确规定，并加大了监督检查力度，以防形成新的因授信额度过大导致的信用风险。

否定意见审计报告对投资者的影响：当这份内部控制否定审计意见一出，次日，公司的股价就受到了影响，公司的股价从2012年3月23日之后便一直呈现出一个下降的趋势。

篇(6)

整合审计已经成为目前会计师事务所开展内部控制审计和财务报告审计的必然趋势，其强大的作用必将逐渐凸显。然而，我们不得不承认，在目前的情况下，由于内控审计法律体系尚不健全，整合审计工作底稿缺乏相关文件指导，加之国内企业内部控制建设较为落后，风险意识不高，以及注册会计师职业怀疑态度和执业能力尚有不足之处，导致整合审计工作仍处于探索和发展阶段，这也是会计师事务所目前及未来几年必须重点关注与研究的方面。

【关键词】

内部整合；审计；有效性

1 内部控制概念的引入

美国发生的安然、世通等系列财务舞弊案件，导致世界最大会计师事务所安达信倒闭，也促使美国出台的内部控制制度得到发展。近30年来，西方学者在内部控制的有效性及内部控制信息披露方面取得了大量的理论和实证研究成果。

1992年9月，COSO委员会提出了《内部控制——整合框架》。1994年又进行了增补，简称《内部控制框架》，即COSO内部控制框架。COSO委员会对内部控制的定义是：“公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序：运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。”

美国上市公司会计监督委员会（PCAOB）的“审计准则第5号”规定，注册会计师对企业财务报告进行审计必须关注财务报告内部控制，同时管理层应对企业内部控制做出评估。所谓财务报告内部控制，是指在企业主要的高级管理人员、主要财务负责人或行使类似职能的人员的监督下设计的一套流程，并由公司的董事会、管理层和其他人员批准生效，该流程可以为财务报告的可靠性及根据公认会计原则编制的对外财务报表提供合理保证，它包括如下政策和程序：（1）保管以合理的详尽程度、准确和公允地反映企业的交易和资产处置的有关记录；（2）为按照公认会计原则编制财务报表记录交易，以及企业的收入和支出仅是按照管理和公司董事会的授权执行，提供合理的保证；（3）为预防或及时发现对财务报表有重大影响的未经授权的企业资产的购置、使用或处理，提供合理保证。

2008年6月28日，我国财政部会同证监会、审计署、银监会、保监会制定并印发《企业内部控制基本规范》，并自2009年7月1日起适用中华人民共和国境内设立的大中型企业（包括上市公司）执行，同时鼓励小企业和其他单位参照其内容建立与实施内部控制。在颁布了《企业内部控制基本规范》之后，财政部、证监会、审计署、银监会及保监会于2010年4月26日联合了《企业内部控制配套指引》，其中包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。

可见，我国已形成“应用+评价+审计”三者紧密结合的内部控制制度模式，这是融合国际先进经验、立足本国国情的成果。该内部控制制度模式对全面提高企业管理水平及增强风险防范意识具有重要的理论意义和现实价值，对内部控制有效性进行自我评价是管理层的责任；为了增强披露的内部控制信息的可信度，对内部控制有效性进行审计是注册会计师的责任。虽然内部控制审计与财务报表审计是两种不同类型的鉴证业务，各自具有特殊性，但是从审计流程来看，二者存在许多共性。美国在继SOX法案提出后，率先开展了内部控制审计业务，在实践探索中提出了整合审计这一创造性概念，通过资源共享、审计流程再造，执行整合审计流程时满足两种审计目的。我国《企业内部控制审计指引》中提出注册会计师可以分别执行两种审计，也可以整合审计，会计师事务所在提供审计业务的方式与方法上有一定自主选择的空间。但是，虽然目前很多会计师事务所都提倡整合审计，但是并没有明确提出如何开展整合审计，甚至尚未意识到内控审计与财务报表审计之间相辅相成的重要作用。基于上述背景，笔者希望以自己的实践经验为例，浅析会计师事务所整合审计的有效性。

2 整合审计的意义

从了解企业的内部控制作为财务报表审计的一个过程和关键审计程序，到今天会计师事务所要对企业的内部控制进行审计，并发表独立的审计意见，足见企业的内部控制对企业财务报表以及企业整体发展水平和未来发展前景的重要性。有效的内部控制在减少舞弊、加强企业管理水平甚至提升业绩方面能够发挥较大的作用，这也是内部控制审计产生的原因。

内部控制审计是保证企业内部控制有效性的关键环节；内部控制审计是与财务报表审计平行的均属于基于责任方认定的合理保证的鉴证业务。对于企业而言，年末要接受双重审计，考虑到成本效益原则，整合审计是符合其利益的最佳选择。而对于会计师事务所而言，内控审计通过恰当的资源整合及了解与评价企业内部控制，从而实现风险评估的目的，突出风险控制点，提高财务报表审计工作的效率和效果。

总之，二者终极目标均是提高财务报告信息的可信性，有效的内部控制可以合理保证财务报表不存在重大错报。内控审计与财务报表审计可以利用彼此的工作，注册会计师在审计财务报表时需获得的信息很大程度上依赖对内部控制有效性的结论，利用内部控制审计结果来修改实质性程序的性质、时间及范围，并利用该结果来支持分析性程序中所使用的信息的完整性与准确性。在确定实质性程序的性质、时间安排和范围时，注册会计师需慎重考虑识别出的控制缺陷。实施内部控制审计时，注册会计师需要评估财务报表审计时实质性程序发现问题的影响，最重要的是，需要考虑发现的财务报表重大错报对应的关键控制点的控制有效性。

因此，在整合审计过程中获取的审计证据可以相互印证和利用，对两种审计进行整合，可以有效的利用审计资源实现审计目标，提高审计质量。

3 会计师事务所整合审计的有效性

3.1 对于之前会计师事务所单纯实施财务报表审计而言，整合审计则是加入了内控审计的内容，而整合审计所起到的“1+1>2”的效果也因此产生。内控审计通过恰当的资源整合及了解与评价企业内部控制，从而实现风险评估的目的，突出风险控制点，提高财务报表审计工作的效率和效果。笔者认为，整合审计确实可以起到节约审计成本的作用，但是，在内控审计过程中，通过对企业内部控制，包括企业层面的组织结构、企业战略、企业文化、社会责任等及具体业务层面流程的了解，从而识别出内部控制缺陷。通过对内部控制缺陷的分析和评价，识别重要风险点，并评估其对财务报表的影响，从而指导财务报表审计的审计计划和策略，这是整合审计相对于财务报表审计而言最重要的贡献和作用。

为突出表现整合审计的优越性和有效性，笔者将以不同业务流程为例，具体说明整合审计过程中，内控审计对财务报表审计所起到的风险导向作用。

3.2 从工程项目流程看在建工程核算与企业经营风险

A公司作为化工企业，工程项目较多，且具有规模大、投资时间长的特点。针对不同类型的工程项目，又进一步分为基建项目、技改项目和大修项目。在对其工程项目进行内控了解时发现，A公司出现个别技改项目最终按基建项目进行验收和管理；个别小型基建项目最终竣工验收时总投资金额翻番，变为中型基建项目。出现上述情况的原因多种，如：个别项目由于初步设计不到位，导致在后续施工过程中发现基建工程不能达到预期目的，从而进行二次设计，增加、删除或修改某项设计，以至于基建成本增加；个别项目由于时间紧迫，出现“三边工程”，即存在边勘测边设计边施工的现象，由于缺乏严格的初步设计和概预算管理，导致工程成本难以有效控制。当然，针对初步设计不到位情况产生的原因，审计人员进一步追查，则可能发现初设评审工作或施工图会审会议流于形式、设计单位的选择未履行相关程序、设计变更审批程序不到位等控制缺陷，甚至要考虑在工程项目管理过程中是否存在舞弊嫌疑。因此，在对A公司工程项目流程的内部控制进行了解和评价后可知，其财务报表审计中，在建工程科目核算的准确性认定将作为重点关注项目，在建工程科目是否存在高估资产的可能，是否存在费用化项目资本化处理的可能，是否应对某项在建工程计提减值准备等等，都是财务报表审计中必须要考虑的风险点。同时，A公司存在大额贷款，现金流紧张；而工程项目投资大，项目周期长、项目管理不规范，使得部分投资资金未能得到有效利用，无疑反应出公司资产管理及运营存在风险。

3.3 从生产管理流程看成本核算

B公司主要生产焦炭、甲醇、粗苯等化工产品。在对其生产流程进行了解后得知，B公司生产部门每天编制生产日报，每月编制生产月报，并向财务部门报送。财务人员根据生产月报反映的生产数量，确认产成品的产量并结转生产成本。生产日报中，各产品的日产量由生产班组人员根据计量仪器统计得出；而为避免产品由于挥发等正常性损耗对月产量的影响，B公司生产部在编制生产月报时，根据月初结存量、本月发出量与盘点的期末结存量，倒挤得出该类产品的月产量。因此，B公司生产部门存货管理表现一贯优秀，即盘点的产成品结存量与生产月报反映的结存数始终相符。如果未关注生产部门日报表中的产量月累计数、计量仪器显示的月产量数与生产月报倒扎的月产量之间的差异，并进行对比分析；直接根据生产月报反映的生产数量，确认产成品的产量，那么B公司的资产管理堪忧。生产过程中的非正常损失及产成品管理过程中的非正常损耗将在企业看似规范的管理中被隐藏。

笔者认为，在目前各公司财务基本实现电算化核算的大背景下，会计师事务所对生产成本的审计，依旧重点依靠对其成本的重新计算，已不容易发现成本核算的问题所在。然而，在内控审计过程中，公司关键控制点的缺失，生产管理流程中存在的重大缺陷，无疑为同时进行的财务报表审计提供了审计指引方向。

3.4 从企业战略变化看财务报表层面风险评估

公司层面的内部控制一般情况下不易发生较大规模的调整和改变，然而，公司层面的内部控制一旦发生调整和改变，大多将会对公司业务流程层面造成重大影响。因此，公司层面内部控制的变化，直接影响注册会计师进行的财务报表整体风险评估，包括考虑会计政策的选择和运用是否恰当，以及财务报表的列报是否适当等等，从而进一步影响财务核算以及财务报表的质量。

C公司主要以生产和销售电子产品、软件开发及提供技术服务及技术咨询等业务。上年底，该公司对其业务流程进行了梳理，并对内部控制进行重新设计，主要表现为组织架构和企业发展战略的转变。C公司以前年度销售电子产品的收入占其总收入的比重较大，由于近年来IT产业的迅猛发展，市场上电子产品更新换代较快，产品差异化程度逐渐降低，利润空间逐步缩小，因此，为发展新的利润增长点，C公司在上年进行的业务流程进梳理中，对组织架构进行了调整，尤其对公司发展战略进行了进一步规划，即C公司将缩小电子产品的销售规模，而将主要的利润增长点放在软件开发及技术咨询服务业务。在新的企业战略规划指引下，今年公司销售收入的构成发生了变化。经营战略的变化直接影响到经营重心的转移，公司的各职能部门各业务体系是否得到有效的整合以及公司是否存在因组织架构和战略的转移而带来的经营风险，这些都将对注册会计师调险评估程序具有重大影响。更进一步，通过对C公司经营环境的了解，注册会计师在财务报表审计时，需要重点考虑该变化对财务报表整体风险评估的影响，包括考虑会计政策的选择和运用是否恰当，以及财务报表的列报是否适当；是否存在需要特别考虑的领域等等，从而识别并评估影响财务报表的重大错报风险，进而调整后续的审计策略，以提高财务报表审计的整体质量。

4 会计师事务所整合审计实施过程中可能存在不足之处

与其他发达国家相比，我国对内部控制研究起步较晚，在立足本国国情、借鉴先进国家的成功经验的基础上，我国在2010年出台的《企业内部控制审计指引》中，提出了整合审计的概念，提倡整合审计，但在选择单独审计还是整合审计问题上给予注册会计师和委托方一定的自由选择空间，并且，指引中并没有提出如何进行整合。

2013年5月14日，中注协2012年年报审计情况快报（第十三期），其中，一、年报审计报告总体情况中提出：

“4月23日—4月28日，沪深两市共有506家上市公司披露了2012年年度报告，其中，沪市主板213家，深市主板123家，中小板157家，创业板13家。从审计报告类型看，449家上市公司被出具了标准审计报告，41家上市公司被出具了带强调事项段的无保留意见审计报告，13家上市公司被出具了保留意见的审计报告，3家上市公司被出具了无法表示意见的审计报告。

篇(7)

关键词：内部控制评价；内部控制审计；实施成本；信息技术的应对；评价与审计范围

中图分类号：F239.43 文献标识码：B

企业内部控制评价与审计规范源自于美国，安然、世通等财务欺诈案件使人们进一步认识到了内部控制的重要性，也加速了企业内部控制制度建设的进程。2002年，美国出台了《萨班斯―奥克斯利法案》（简称萨班斯法案），该法案在302节“公司对财务报告的责任”和404节“管理层对内部控制的评价”中，要求在美国证券交易委员会注册登记的企业，其管理层要对财务呈报内部控制的有效性进行评价并对外公开报告；同时要求注册会计师对管理层财务呈报内部控制进行鉴证和报告。美国证券交易委员会和公众公司会计监督委员会为内部控制的评价与审计制定了相关规则和指引。其他一些国家也纷纷借鉴美国的做法，先后加强和完善了对企业尤其是上市公司内部控制的规制，这其中就包括日本和中国。

2006年6月7日，日本国会通过《金融商品交易法》，其中以上市公司为对象，将管理层对财务报告内部控制进行评价并由注册会计师对其进行审计作为义务予以规定（内部控制报告制度），并要求在2008年4月1日开始起的会计年度执行［1］。依据《金融商品交易法》，日本企业会计审议会于2007年2月15日，审议了《关于财务报告内部控制评价与审计准则以及财务报告内部控制评价与审计实施准则的制定（意见书）》，其公布的《财务报告内部控制评价与审计准则》和《财务报告内部控制评价与审计实施准则》适用于自2008年4月1日以后开始的会计年度财务报告内部控制的评价与审计。

长期以来，中国多个部门对企业内部控制的建立与实施进行了规范，但并未形成统一体系。美国颁布实施萨班斯法案后，中国企业内部控制制度建设也进入了快速发展时期。2005年6月，国务院领导在财政部、国资委和证监会联合上报的《关于借鉴〈萨班斯法案〉完善我国上市公司内部控制的报告》上作出批示，同意“由财政部牵头、联合证监会及国资委，积极研究制定一套完整公认的企业内部控制指引”［2］。2006年7月15日，财政部、国资委、证监会、审计署、银监会、保监会联合发起成立企业内部控制标准委员会。2008年6月28日，财政部会同中国证监会、国家审计署、中国银监会和中国保监会共同了《企业内部控制基本规范》，并要求自2009年7月1日起在上市公司范围内施行，同月，还了《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制鉴证指引》的征求意见稿。2010年4月15日，上述五部委制定了企业内部控制配套指引，具体包括《企业内部控制应用指引第1号――组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》，要求在境内外同时上市的公司自2011年1月1日起执行，在上海和深圳证券交易所主板上市的公司自2012 年1月1日起执行，在中小板和创业板上市的公司择机施行，并鼓励非上市大中型企业提前执行。执行《企业内部控制基本规范》及企业内部控制配套指引的上市公司和非上市大中型企业，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对企业内部控制的有效性进行审计并出具审计报告。至此，统一的、融合国际先进经验的中国企业内部控制规范体系基本建成。

日本和中国的内部控制评价和审计规范都借鉴了美国的COSO报告①以及内部控制评价与审计规范，但规范的具体要求和内容还是存在显著的差异，本文以日本企业会计审议会的《财务报告内部控制评价与审计准则》和《财务报告内部控制评价与审计实施准则》以及中国财政部等五部委联合的《企业内部控制基本规范》及企业内部控制配套指引为依据，首先从规范的框架结构、规范对象与范围、内部控制的目标和要素、内部控制缺陷的分类以及内部控制审计等方面对其差异进行比较分析，在此基础上进一步探讨日本内部控制评价和审计规范对完善我国内部控制报告制度的启示。

一、 中日企业内部控制评价与审计规范的框架结构、规范对象与范围不同

日本的企业内部控制评价与审计规范分为《财务报告内部控制评价与审计准则》和《财务报告内部控制评价与审计实施准则》两个层次，准则与实施准则内容相同，均包括“内部控制的基本框架”、“财务报告内部控制的评价与报告”、“财务报告内部控制的审计 ”三部分，实施准则只是对准则列示尽可能具体的指南。我国2008年由财政部等五部委联合颁布的内部控制评价与审计规范，其框架结构由一项基本规范、系列应用指引、评价指引、审计指引和企业内部控制制度三个层次构成［3］。第一个层次企业内部控制基本规范规定了内部控制的基本目标、基本要素、基本原则、和总体要求，是制定后两个层次规范内容的基本依据，在内部控制标准体系中起统驭作用；第二个层次包括企业内部控制应用指引 、企业内部控制评价指引、企业内部控制审计指引（分别简称应用指引 、评价指引、审计指引），其中应用指引是对企业按照内部控制基本规范建立健全本企业内部控制所提供的指引，在配套指引乃至整个内部控制规范体系中居主体地位；主要包括两方面内容：一是针对企业主要业务与事项的应用指引，二是针对特殊企业或行业的应用指引。具体可以划分为内部环境类指引、控制活动类指引、控制手段类指引三类，基本涵盖了企业资金流、实物流、人力流和信息流等各项业务和事项。评价指引是为企业管理层对本企业进行内部控制自我评价提供的指引和要求，包括评价内容和标准、评价程序和方法、评价报告的出具和披露等。审计指引是会计师事务所执行内部控制审计业务的执业准则；第三个层次企业内部控制制度是各企业依据前两个层次的要求，并结合本企业经营特点和管理要求建立的本企业的内部控制制度。可以看出，两国的规范都包括了基本要求和实施指南，但比较而言，我国的内部控制规范体系按照内部控制的建立、评价、审计分别制定指南，尤其是针对企业主要业务与事项和特殊企业或行业制定的应用指南具有更强的指导作用。

日本的《财务报告内部控制评价与审计准则》和《财务报告内部控制评价与审计实施准则》要求自2008年4月1日开始的会计年度在上市公司执行；中国的《企业内部控制基本规范》适用于境内设立的大中型企业，小企业和其他单位可以参照建立与实施内部控制，自2009年7月1日起首先在上市公司施行。企业内部控制配套指引虽然目前尚未规定针对非上市企业强制实施的时间表，但也鼓励非上市大中型企业提前执行。可见，中国《企业内部控制基本规范》所规范的对象要广于日本，不仅包括上市公司，也包括非上市企业。

日本的《财务报告内部控制评价与审计准则》和《财务报告内部控制评价与审计实施准则》规范财务报告内部控制的评价与审计活动，所谓财务报告内部控制是指以确保财务报告的可靠性为目的的内部控制。我国的评价指引第五条规定：企业应当根据《企业内部控制基本规范》、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。第二十一条规定：内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。审计指引第三条指出：按照本指引的要求，在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。第四条进一步指出：注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。由此可见，中国《企业内部控制基本规范》以及配套指引并不局限于财务报告内部控制，而是规范内部控制目标全过程的评价和鉴证活动。显然，比日本规范的范围要大得多。

二、中日企业内部控制的目标和要素不同

日本在《财务报告内部控制评价与审计准则》中将内部控制目标确定为四个：即经营的有效和效率、财务报告的可靠性、营业活动遵循相关法律以及资产保全。我国《企业内部控制基本规范》规定了五个目标：即合理保证企业经营管理合规合法、资产安全、财务报告及相关信息真实完整、提高经营效率和效果、促进企业实现发展战略，比较而言，战略目标是日本内部控制评价与审计规范中没有提及的。

从内部控制要素来看，日本《财务报告内部控制评价与审计准则》将内部控制基本要素确定为六个方面：控制环境、风险的评估与应对、控制活动、信息与沟通、监控、信息技术的应对；中国《企业内部控制基本规范》确立的内部控制框架包括五个要素：内部环境、风险评估、控制活动、信息与沟通、内部监督。尽管两国规范对于相关要素的表述有所不同，但前五个要素的内容大体相近，所不同的是日本的内部控制规范要比我国多一个要素――信息技术的应对。所谓信息技术的应对是指为实现组织的目标事先规定合理的政策及程序，根据这些政策及程序在业务实施中对组织内外的信息技术进行合理的应对，具体包括信息技术环境的应对与信息技术的利用和控制。日本内部控制规范制定机构认为：尽管美国的COSO报告未提及这一要素，但近些年，信息技术发生了飞跃性进展，组织的业务内容在很大程度上依赖于信息技术，组织的信息系统高度采用信息技术等的现状，使很多组织离开信息技术就不能进行业务活动。将信息技术的应对增加为基本要素，表明在信息技术深刻影响组织的状况下，在执行业务的过程之中，对组织内外的信息技术进行合理的应对，已经成为实现内部控制目标所不可或缺的［1］。

三、中日企业内部控制评价与审计规范对内部控制缺陷的分类不同

关于内部控制缺陷，中日内部控制规范都认为包括设计（构建）缺陷和运行缺陷，但对其划分的类别却不同。日本《财务报告内部控制评价与审计实施准则》基于对财务报告可靠性产生影响的程度，将内部控制的缺陷划分为“缺陷”和“重要缺陷”两类。我国内部控制评价指引根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷三类，比日本的划分更细。

四、中日内部控制审计规范的具体要求不同

从内部控制审计主体来看，日本《财务报告内部控制评价与审计准则》对内部控制审计主体有强制要求，规定内部控制审计由从事该企业财务报表审计的同一审计人员实施，这里的同一审计人员不仅要求同一会计师事务所，而且也要求是同一执行业务的合伙人。我国的审计指引第五条规定：注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行。可见，我国企业内部控制规范并未对内部控制审计主体作出强制性限制。

对于内部控制审计意见类型，日本财务报告内部控制评价与审计准则以及实施准则规定：内部控制审计报告意见可以分为无限定合理意见、附有除外事项的无限定合理意见、附有除外事项的有限定合理意见、内部控制报告内容不适当的意见和无法表示意见②。我国的审计指引将内部控制审计报告意见分为无保留意见、带强调事项段的无保留意见、否定审计意见和无法表示意见，两国所不同的是关于保留意见的规定。日本规定表述保留意见的条件是：因未能实施重要的审计手续而不能表明无限定合理意见的情况下，审计人员在判断其影响未达到对内部控制报告不能表明意见程度而不具有重要性时，必须表明附有除外事项的有限定合理意见。在这种情况下，必须在实施的审计的概要中记载未能实施的审计手续，在对内部控制报告的意见中记载该事项对财务报表审计产生的影响［1］。我国的审计指引第三十一条规定：如果注册会计师审计范围受到限制，应当解除业务约定或出具无法表示意见的内部控制审计报告，并不允许发表保留意见。如果财务报告内部控制存在一项或多项重大缺陷的，除非审计范围受到限制，应当发表否定意见。上述规定表明，我国不允许注册会计师签发保留意见的内部控制审计报告，因为审计范围受到限制，难以确定财务报告内部控制的有效程度，因此，只要审计范围受到任何限制，就要出具无法表示意见的审计报告或选择解除业务约定。

中日两国关于内部控制审计报告的形式要求也不同。日本《财务报告内部控制评价与审计准则》规定：财务报告内部控制审计的目的在于对管理层编制的内部控制报告是否依据一般公认合理的内部控制评价准则，在所有要点上是否适当表明内部控制有效性的评价结论，将基于审计人员自身取得的审计证据进行判断的结果作为意见予以表明。同时规定：内部控制审计报告原则上与财务报表审计报告一并编制。我国的审计指引第二条指出：内部控制审计是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。第二十七条指出：注册会计师在完成内部控制审计工作后，应当出具内部控制审计报告，标准内部控制审计报告应当包括标题、收件人、财务报告内部控制审计意见段、非财务报告内部控制重大缺陷描述段等要素。尽管中日两国都要求对内部控制审计结果以报告的方式表明，但内部控制审计意见报告形式的差异十分明显。日本为了减小审计成本，没有采用审计人员直接对内部控制的构建和运行状况进行验证的形式，而是要求对管理层进行的财务报告内部控制有效性评价的结论予以审计并发表意见，也就是采用间接发表意见的形式。中国的规范要求对内部控制设计与运行的有效性进行审计，采用的是直接报告的形式，并且要求单独编制审计报告。两种报告形式比较而言，直接报告形式尽管成本负担大，但能够以独立的第三者的身份提供内部控制设计与运行有效性的结论，从而为信息使用者提供决策的依据。日本的间接报告形式从制度设计来看是希望降低成本，事实上，实际应用状况并不理想。注册会计师在执行审计时，为了验证经营者的评价是否合理，必须对企业内部控制的有效性进行检查， 因为只有在证明内部控制制度有效的基础上才能对经营者所做的内部控制评价是否合理做出结论。为此，要深入实际操作层次检查内部控制制度的存在，然后再抽取相关资料样本，从样本中留下的痕迹来验证内部控制运行是否有效［4］。可见，日本的间接报告形式远比制度设计所预想的审计工作要多。

五、日本内部控制评价与审计规范对我国的启示

（一）日本内部控制评价与审计规范关于实施成本的考虑对我国的启示

一项制度的创新可以促使交易成本降低，一项制度的实施自身也有执行成本，只有当制度的执行成本低于制度创新所节约的交易成本时，这项制度才会被人们自觉遵守。美国的内部控制报告制度就因为高昂的执行成本而饱受各方指责。根据萨班斯法案404条款以及美国证券交易委员会颁布的《最后规则》和美国上市公司会计监督委员会的第2号审计准则，上市公司须提交与财务报告有关内部控制有效性的管理当局报告和审计师对与财务报告有关的内部控制有效性的意见。实践表明，执行萨班斯法案404条款不仅直接成本高昂，间接（机会）成本对美国社会的影响更为深远［5］。为了进一步落实萨班斯法案，美国证券交易委员会和上市公司会计监督委员会采取了多项措施，以设法降低内部控制报告制度的执行成本，增进其执行效果，比如，推迟小企业及外国大企业执行404条款的时间，针对小企业开发了《小企业COSO内部控制框架》，制定第5号审计准则取代第2号审计准则，精简审计程序、使用整合审计的工作成果等［6］。

日本在制定内部控制评价与审计规范时，对美国内部控制报告制度的运行情况进行了深入调查，没有完全照搬其做法，而是充分考虑了其执行成本的问题。主要体现在：在审计范围上，只对财务报告内部控制进行评价和审计，将内部控制缺陷由三类简化为两类，对财务报告审计和内部控制审计实施整合审计并一起编制报告，对内部控制审计主体具有强制要求，允许内部控制审计人员与监事或审计委员会等监督部门之间进行合理的合作，适当利用内部审计人员的业务，以及采用对内部控制间接发表审计意见的形式等方面。日本的这些考虑对于我国有效实施内部控制报告制度具有重要的借鉴意义。

我国企业内部控制评价与审计规范将内部控制评价内容作为一项制度创新，要求不仅对财务报告内部控制有效性进行评价，还要对非财务报告内部控制有效性进行评价；注册会计师不仅要对财务报告内部控制的有效性发表审计意见，还要对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷予以描述，显然，评价与审计的成本会大于日本，此外，我国内部控制评价与审计规范中对审计主体的可选择性和对整合审计的非强制性要求也可能会加大内部控制报告制度的执行成本。我国企业内部控制评价与审计规范的出发点是希望突破单纯财务报告内部控制观念的束缚，更为全面地发挥内部控制的作用和效力，增强内部控制审计报告与自评报告的协调性，但在实施中执行成本是否能被企业所承受，还有待在实践中进一步检验和研究。事实上，从成本效益原则考虑，实施整合审计并合并编制报告，可以使企业更“经济”地委托审计，因为内部控制审计与财务报告审计的目的具有一致性，都是为了合理保证财务信息的可靠性，提高企业对外公布的财务信息的质量，我国内部控制审计与财务报告审计都实施风险导向的审计模式，通常情况下，两种审计都要实施风险评估程序和控制测试③，所获取的审计证据和结论可以相互参照，财务报告审计的实质性程序发现的错报可以为内部控制审计提供线索，是对内部控制审计程序的一种有益补充。同时由相同的注册会计师承担两种审计工作，可以加深对被审单位的了解，不仅有利于节约审计成本，而且能够控制审计风险，提高两种审计的质量。从各国的审计实践来看，目前没有任何实证证据表明由不同事务所分别承办这两种审计业务会更有效地实现二者的审计目标［7］。鉴于此，我国应当在内部控制审计规范中强制规定由相同的审计人员对同一客户的内部控制审计与财务报告审计实施整合审计，并合并编制报告。

（二）日本内部控制评价与审计规范中信息技术的应对要素对我国的启示

当今社会，信息技术（简称IT）的广泛应用对企业的经营管理产生了深刻的影响，也给企业的内部控制带来了巨大的冲击与挑战，传统的内部控制方式在信息技术的影响下发生了根本性的变革，原有的基于权力制约和岗位分置的内部控制逐步发展成为以信息流为基础的信息技术内部控制［8］。运用信息技术实施企业内部控制，同时加强对信息技术应用风险的控制，已是企业必须面对和解决的问题。早在1977年，国际内部审计师协会就了《系统可审计性与控制》的报告，旨在对信息系统与技术的控制提供一个合理的指导，这一报告被业界认为是第一个与IT业有关的内部控制框架。国际组织信息系统审计与控制协会在1996年制定了《信息与相关技术的控制目标》，为信息技术安全与控制实践以及信息技术审计提供了应用准则。2003年12月，信息系统审计与控制协会联合信息技术治理委员会共同了《服务萨班斯法案的信息技术控制目标》，帮助信息技术职业界理解管理层在内部控制有效性上的法定报告要求，同时指导信息技术业界如何帮助管理层符合这些要求［9］。日本充分考虑了信息技术环境的发展变化以及日本企业的实际情况，在内部控制框架中将信息技术的应对作为内部控制的一个基本要素，在实施准则中明确了在信息系统中使用信息技术的情况下，管理层对内部控制进行评价的具体措施，以及审计师对内部控制进行审计的具体措施。当前，尽管我国企业信息技术的应用还处于较低水平，但大中型企业尤其是上市公司的信息化建设水平相对较高且发展迅速，而这些单位正是我国内部控制规范的主要对象。目前我国适用的内部控制规范已经关注到了信息技术对内部控制的影响，《企业内部控制基本规范》第七条指出“企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。”第二十二、四十一条也有涉及，同时，信息系统应用指引对企业信息系统的开发、运行与维护做出了规定，体现了对于信息技术对内部控制影响的重视，但这些规范只是强调了信息技术的一般控制和应用控制，并未形成融合信息技术的控制体系，也没有信息技术内部控制的评价和审计标准，因此，我国内部控制规范在未来的完善中应当借鉴日本的经验，增加在应用信息技术环境下内部控制的建立、评价与审计的具体标准与应用指南，在理论上也应当先期开展相关方面的研究。

（三）日本内部控制评价与审计规范中关于评价与审计范围对我国的启示

日本内部控制评价与审计规范将评价与审计范围确定为财务报告内部控制，与美国的规定是相同的，我国也应当将内部控制评价与审计的范围限定为财务报告内部控制，这不仅是因为评价与审计成本的问题，更重要的是因为评价与审计的目的所要求的［10］。从萨班斯法案要求符合批报规则的公司对外披露内部控制信息的最初动机来看，美国国会旨在通过强制实施内部控制报告制度，以打击上市公司财务舞弊，合理保证财务报告质量，也就是说，内部控制评价与审计制度出台的目的是为了进一步解决财务报告的可靠性问题，保证资本市场的秩序。财务报告是一种社会信息，是投资者等利益相关者据以决策的依据，实践表明，现有的财务报告与审计制度不能完全解决财务信息的可靠性问题，于是，人们从注重财务报告本身可靠性转向注重对保证财务报告可靠性机制的建设，即为了实现合理保证财务报告可靠性的目的，管理层要对财务报告内部控制的有效性进行评价，为了增强信息使用者对管理层财务报告内部控制自评报告的信任程度，注册会计师要对财务报告内部控制进行审计。因此，内部控制评价与审计是对财务报表审计的有益补充。投资者除了可获得财务报表审计报告外，还能获得内部控制审计报告，可通过内部控制审计报告的意见类型来辨别管理层内部控制信息披露的质量，了解其对财务报告信息披露的影响［11］。也就是说，只对财务报告相关的内部控制进行评价与审计就可以实现内部控制报告制度的目的，满足投资者等利益相关者的信息需求。这样既可以降低内部控制评价与审计的成本，又可以消除人们对于整体内部控制审计时过于扩大注册会计师审计责任范围以及超越注册会计师专业能力范围的担忧。

注释：

① COSO是Treadway委员会的发起组织委员会(Committee of Sponsoring Organizations)的英文简称，1992年，COSO的《内部控制――整合框架》报告也称为COSO报告（1994年进行了局部修改），COSO报告是内部控制领域最为权威的文献之一，已被美国和国际及一些国家审 计准则制定机构、银行监管机构所采用。

② 日本财务报告内部控制评价与审计准则规定：因审计范围的约束，未能实施重要的审计手续而不能取得对内部控制报告表明意见的合理的基础时，审计人员不得表明意见。在这种情况下，必须记载不能表明对内部控制报告的意见的内容及理由，本文将这种情况称为无法表示意见。

③ 根据我国审计准则的规定，在财务报表审计中，控制测试并非一定要实施，当注册会计师在评估认定层次重大错报风险时，预期控制的运行是有效的，或仅实施实质性程序并不能提供认定层次充分、适当的审计证据时需要实施控制测试。

参考文献：

［1］ 日本企业会计审议会.日本内部控制评价与审计准则［M］．李玉环，译.大连：东北财经大学出版社，2007：2，48，30.

［2］ 于蒙.企业内部控制规范广泛征求意见［EB/OL］．［2007-03-09］．中国财经报网站： 省略/web/ckb/2007-03/09/content_337562.htm.

［3］ 企业内部控制标准委员会秘书处.企业内部控制基本规范会暨首届企业内部控制高层论坛专辑［C］．北京：中国财政经济出版社，2008：63,52-61.

［4］ 张影.日本内部控制审计及其对中国的启示［J］．上海立信会计学院学报，2010（4）：

［5］ 黄京菁.美国 SOA404条款执行成本引发争议的评述［J］．会计研究，2005（9）：86-89.

［6］ 孟焰，张军.萨班斯法案 404 条款执行效果及借鉴［J］．审计研究，2010（3）：96-100.

［7］ 谢晓燕，张龙平，李晓红.我国上市公司整合审计研究［J］．会计研究，2009（9）：88-95.

［8］ 章铁生.信息技术条件下的内部控制规范：国际实践与启示［J］．会计研究，2007（7）： 29-35.

［9］ 王宏.基于国际视野与科学发展的我国内部控制框架体系研究［D］．西南财经大学硕士学位论文，2008：271-274.