内部控制缺陷评价第一节 内部控制缺陷评价的原则审计指引第四章第二是条中的要求：“注册会计师应当评价其识别的各项内部控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷。”因此，注册会计师需要通过系统的方法对审计过程中所识别的内部控制缺陷进行评价，分析其严重程度，并根据分析结果对被审计企业的内部控制有效性做出结论，发表对财务报告内部控制有效性的审计意见。内部控制缺陷评价是注册会计师实施内部控制审计的关键环节之一。行业和企业的特殊性和多样性使得内部控制的缺陷评价需要注册会计师运用经验和职业判断来完成，因此，注册会计师首先要掌握缺点评价的几项原则：1. 一个内部控制可以对应一个或多个控制目标，相应地，一个内部控制缺陷可能影响包括财务报告真实完整在内的一个或多个内部控制目标。针对财务报告内部控制审计而言，注册会计师应该以财务报告控制目标为核心，对内部控制缺陷进行评价，对于非财务报告内部控制缺陷的评价考虑，请参阅第六章。2. 控制缺陷的严重程度与账户余额列报是否发生错报无必然的对应关系，而取决于控制缺陷是否可能导致错报。在评价控制缺陷是，注册会计师需要根据财务报表审计确定的重要性水平，考虑并衡量定量和定性因素，以支持对财务报考控制缺陷的评价。同时，注册会计师需要对整个思考判断过程进行记录，尤其是详细记录：关键判断和得出结论的理由；对于“可能性”和“重大报错”的判断。第二节 内部控制缺陷的定义和分类如果某项目控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报。则表明内部控制存在缺陷。如果企业缺少用以及使防止或发现并纠正财务报表错报得必要控制，同样表明存在内部控制缺陷。内部控制缺陷包括设计缺陷和运行缺陷，设计缺陷是指缺少为内部控制目标所必需的内部控制，或者现有内部控制设计不适当，即使正常运行也不能实现预期的控制目标。运行缺陷是指设计适当的内部控制没有按设计意图运行，或者执行人员缺乏必要信息或专业胜任能力，无法有效实施内部控制。根据审计指引，内部控制存在的缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷三个等级（见表5-1）。表5-1 内部控制缺陷严重程度分类重大缺陷是指一个或多个内部控制缺陷的组合，可能导致企业严重偏离乃不控制目标。重要缺陷是指一个或多个内部控制缺陷的组合，其严重程度和经济后果地狱重大缺陷，但仍有可能导致企业偏离内部控制目标。一般缺陷是指除重大缺陷、重要缺陷之外的其他缺陷。为了更好地知道注册会计师开展财务报告内部控制缺陷评价的工作，财政部会计司和中注协在企业内部控制审计指引解读中将财务报告内部控制的缺陷进行进一步扩展如下（见表5-2）。表5-2 财务报告内部控制缺陷严重程度分类重大缺陷内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报得一个或多个内部控制缺陷的组合；重大错报一般以财务报告重要型水瓶座为衡量标准。重要缺陷内部控制中存在的、其严重程度不如重大缺陷，但仍足以引起企业财务报告监督人员关注的一个或多个内部控制缺陷的组合一般缺陷是指除重大缺陷、重要缺陷之外的其他缺陷。注册会计师需要评价其注意到的各项内部控制缺陷的严重程度，已确定这些缺陷单独或组合起来是否构成财务报告内部控制的重大缺陷。第三节 内部控制缺陷评价的方法注册会计师需要对在财务报表审计和财务报告内部控制审计中发现的内部控制缺陷，以及注册会计师通过其他途径（例如，审阅企业内部控制自我评价报告，审阅企业内部审计部门、纪检监察部门的报告等）注意到的内部控制缺陷进行分析评价，判断其严重程度。在评估内部控制缺陷时，注册会计师应运用职业判断，进行定量和定性分析。同时注册会计师对整个思维过程进行记录，尤其是设计关键判断和得出结论的理由。一、 内部控制缺陷评价程序注册会计师可以参照图5-1所示的财务报告内部控制缺陷评价程序图（以下简称“程序图”）对财务报告内部控制缺陷进行评价（对非财务报告内部控制缺陷的特殊考虑将在第六章中讨论）。本文从工作流程角度，以现行渐进方式对评估流程进行了介绍。在实际操作中，对缺陷的评估是一个反复的过程，注册会计师常常需要在程序图相关步骤上不断根据新取得信息重新审视并靠从来以前的步骤和分析判断是否充分适当。需要说明的是，对缺陷的评估是一个需要大量判断的思考过程，因此程序图的目的是帮助具有一定知识和经验的注册会计师以相同的方式来评估缺陷。机械的应用程序图本身并不一定会得出正确的结论，因为评估需要对定量与定性因素进行考虑及权衡。对于不同的企业，即使注册会计师评估的缺陷类似，但由于各企业实施情况的差异，注册会计师可能会得出不同的结论。二、 程序图具体步骤说明步骤一：次缺陷与财务报表认定是否直接相关？财务报告内部控制缺陷的严重程度主要取决于其可能导致的财务报表错报的重大程度。因此，在进行财务报告内部控制缺陷评价时，首先需要关注相关控制是否与财务报表认定直接相关。一般而言，财务报告内部控制与财务报表认定的关系表见表5-3.表5-3 财务报告内部控制与财务报表认定关系表与财务报表认定直接相关 多为业务层面控制，包括人空或自动控制 与财务报表认定直接相关的企业层面控制缺陷，例如，年度财务报告编制、经营活动分析等； 支持一个或多个财务报表认定相关的信息系统一般控制与财务报表认定间接相关 信息系统一般控制； 与财务报表认定不直接相关的企业层面控制，如人力资源、企业文化等一些企业层面控制和信息系统一般控制也可能与一个或多个财务报表认定直接相关。例如，精细化的经营活动分析常常能够帮助企业发现财务报告中的错报，因此被认为与财务部报表认定直接相关，属于直接的企业层面控制。此外，一些信息系统控制也可能由于直接支持相关财务报表编制而被判定为与财务报表认定直接相关。注册会计师在评估与财务报表认定间接相关的控制缺陷严重性时，应道考虑有次缺陷（或同类缺陷的汇总）导致其他控制缺陷的可能性和重大程度。步骤二：此缺陷（或缺陷汇总）是否存在合理的可能性导致财务报表错报？判断内部控制缺陷的严重程度取决于该缺陷是否已经导致错报金额或可能导致潜在的错报金额。因此，在注册会计师在分析财务报告内部控制缺陷的严重程度是需要考虑：内部控制缺陷导致账户余额或列报错报的可能性；一个或多个内部控制缺陷的组合导致潜在错报的金额大小。我们将在本步骤和步骤三分别讨论如何从错报可能性和重要性两个维度评价财务报告内部控制缺陷的严重程度。注册会计师需要判断控制缺陷（单独或汇总）导致的财务报表错报得“合理可能性”，并在工作底稿中详细记录分析的过程和判断依据。对“合理可能性”的判断可以依据定性分析，不需要定量计算“可能性”的大小。注册会计师在评价一个缺陷或缺陷汇总是否存在合理的可能性导致财务报表错报时，需要考虑以下因素包括但不限于：（1） 账户，列报和相关认定的性质。比如，非常规交易和关联交易可能涉及较大风险。（2） 相关资产或负债对损失或无比的敏感程度，即越敏感，风险就越大。（3） 确定涉及金额所需判断的程度及其主观性和复杂性，及所需判断越多（如与会计估计有关），主观性复杂性越强，则风险也越大。（4） 在控制执行有效性测试中发现的空偏差的产生原因和频率。步骤三： 此缺陷（或汇总缺陷）可能导致的错报是否对财务报告构成重大影响？注册会计师在分析了内部控制缺陷导致财务报表错报得可能性后，还需要分析其导致错报的重大程度。注册会计师需要对控制缺陷或缺陷汇总可能导致的财务报表错报进行估算，与财务报表重要性水平比较，判断内部控制缺陷导致的错报是否对财务报告构成重大影响。这侧会计师在评估缺陷的重大程度是，必须考虑实际或潜在的错报对年度财务报告的影响。注册会计师在计算错报影响是应当考虑的因素包括但不限于：受内部控制缺陷影响的账户余额或相关交易发生的总额；本期或预计未来期间受内部控制缺陷影响的账户余额或交易的交易量。步骤四：是否存在有效运行的足以预防或发现财务报表重大错报的补偿性控制？对已经确认可能导致财务报告重大错报的内部控制缺陷（或缺陷汇总），注册会计师应当评估：是否存在补偿性控制；该补偿性控制是否按照一定的精确度有效运行，从而降低了该内部控制缺陷或缺陷汇总导致财务报表错报得可能性和/或重要性。为了得出补偿性控制有效运行的结论，注册会计师首先应当分析该补偿性控制是否存在一定程度的精确性。其次，注册会计师应对补偿性控制开展必要的测试验证工作，获取并记录补偿性控制运行有效地证据。需要注意的是，由于某些控制缺陷发生在企业的组成部分（如子公司）层面，而相关的补偿性控制可能存在于总部层面。因此，在对补偿性控制进行测试时，注册会计师应考虑补偿性控制执行的层面及其对策是的影响。审计中心小组英语现场小组及时开展充分、有效地沟通，及时识别补偿性控制并进行相应的测试，一边准确半段补偿性控制是否可以降低财务报表错报得可能性和重要性。步骤五：缺陷（或缺陷汇总）的重要程度是否足以引起财务主观或相关负责人的忠实？注册会计师在完成步骤二或步骤三，并得出“否定”答案后，还需考虑该缺陷（或缺陷汇总）的重要程度是否足以引起相关财务主观负责任的重视。本步骤中财务主观负责任是指企业中负责财务报告监督和管理工作的中高层管理人员（例如，财务总监、总会计师、首席财务官等）以及董事会成员和监事会成员。财务主观负责任对内部控制缺陷的关注点一般包括但不限于。（1） 内部控制缺陷在前期已存在，并且被确认为重要缺陷或重大缺陷；（2） 内部控制缺陷存在于企业新兴业务或高风险业务中；（3） 内部控制缺陷存在于董事会/经理层高度关注的领域，如特殊单位或敏感业务。在评估财务报告内部控制缺陷的重要程度时，注册会计师应该确定企业财务主观负责人是否有充分合理的信心认为企业的交易得到适当的记录、财务报告编制符合企业会计准则和披露要求。如果注册会计师判断一个谨慎的财务主观负责任在企业存在该内部控制缺陷（或缺陷汇总）是，仍然保持对财务报告和相关信息真实准确的信心，且该信心事充分合理的，则注册会计师可以认为该缺陷（或缺陷汇总）是一般缺陷；反之，注册会计师可以认为该缺陷（或缺陷汇总）至少构成重要缺陷，并进而按照步骤六的要求评价该缺陷（或缺陷汇总）是否构成重大缺陷。步骤六：一个足够知情有胜任能力并且客观的人员是否能够得出此项缺陷（或缺陷汇总）为重大缺陷的结论？此处所知的“足够知情、有胜任能力并且客观的人员”是指一个具有一定知识和能力的第三方人员（如监管机构人员、投资人等）在和注册会计师取得同样的内部控制缺陷相关信息是，是否会认为该控制缺陷（或缺陷汇总）会导致财务报告的重大错报。如果是，在该缺陷构成重大缺陷；反之，则为重要缺陷。本步骤的目的是注册会计师在对内部控制缺陷进行定性和定量分析评价的基础上，充分发挥职业谨慎态度，从第三方的角度客观的重新审视内部控制缺陷（或缺陷汇总）的严重性。从而得出内部控制是否有效的结论。步骤七：在考虑了所有的情况（包括定性因素）后，是否能够得出此特殊事项并不代表控制缺陷的结论？注册会计师在审计时，可能会注意到一些特殊事项，如对已经公布的财务报表进行更正或补充说明。但是，某些特殊是想是有特殊的背景和环境（如会计政策调整）引发的，而不一定是有控制缺陷导致的。如果存在充分的证据表明企业经理层：已经建立了控制来收集处理相关信息并按会计准则的要求记录和披露相关信息；有关控制式设计合理、运行有效的，则注册会计师可以合理地认为该控制并未失效。不过，实务中这种不是由控制缺陷造成的特殊事项很少发生。因此，注册会计师对这些特殊事项的评估必须基于每家企业特定的环境和时点做出慎重考虑和分析。三、 信息系统一般控制缺陷评价特殊考虑1. 信息系统一般控制缺陷并不一定直接导致财务报表报错。但是信息系统一般控制缺陷往往会对应用系统层面的控制的有效性产