審計作為企業(yè)實施控制與改進管理的有效工具，也是企業(yè)檢驗和改進內(nèi)部控制的重要手段。以風險為導向的內(nèi)部控制審計理念引入企業(yè)領(lǐng)域，諸多企業(yè)正不同程度地開展內(nèi)部控制審計。本文從企業(yè)內(nèi)部控制審計目標定位、審計重點、審計方法、風險防范等方面進行思考。

　　一、準確定位內(nèi)部控制審計目標

　　企業(yè)內(nèi)部控制審計的目標，是指在特定的歷史條件下，通過實施企業(yè)內(nèi)部控制審計所要達到的預期效果，它通常包括總體目標和具體目標。

　?。ㄒ唬┢髽I(yè)內(nèi)部控制審計總體目標企業(yè)通過實施企業(yè)內(nèi)部控制審汁．合理有效地促進企業(yè)建立健全內(nèi)部管理制度，改進企業(yè)內(nèi)部管理水平，維護企業(yè)資產(chǎn)安全完整，提高企業(yè)運營效率和經(jīng)營效果．以實現(xiàn)企業(yè)整體經(jīng)營目標。

　　（二）企業(yè)內(nèi)部控制審計具體目標內(nèi)部控制審計總體目標的進一步具體化，是企業(yè)內(nèi)部控制審計目標的具體表現(xiàn)。通常。企業(yè)內(nèi)部控制審計具體目標概括起來，主要包括以下幾個方面：一是健全性。健全性也稱完整性，它包含兩層涵義：一方面是指企業(yè)根據(jù)生產(chǎn)經(jīng)營需要，應該設(shè)置的內(nèi)部控制都已設(shè)置；另一方面是指對生產(chǎn)經(jīng)營活動全過程進行自始自終的控制。二是合規(guī)性。是指企業(yè)已建立的內(nèi)控制度是否合法合規(guī)。審計企業(yè)內(nèi)控制度的合規(guī)性，主要審查兩方面：審查企業(yè)內(nèi)控制度是否符合法律、法規(guī)以及行業(yè)制度體系的規(guī)定和審查企業(yè)內(nèi)控制度是否符合上級組織或主管機構(gòu)制定的內(nèi)部控制制度有關(guān)規(guī)定。三是合理性。審計企業(yè)內(nèi)部控制的合理性，同樣也包含兩層涵義：審計企業(yè)內(nèi)部控制設(shè)計和執(zhí)行時的適用性和審計企業(yè)內(nèi)部控制設(shè)計和執(zhí)行時的經(jīng)濟性。四是遵循性。審計企業(yè)內(nèi)部控制的遵循性，是在審計企業(yè)內(nèi)控制度健全性和合理性的基礎(chǔ)上，主要對企業(yè)內(nèi)控制度的實際執(zhí)行情況進行符合性測試和實質(zhì)性測試，即審計企業(yè)內(nèi)控制度在生產(chǎn)經(jīng)營過程中是否遵照執(zhí)行。五是有效性。審計企業(yè)內(nèi)部控制的效果性，主要是審查企業(yè)內(nèi)部控制政策和措施是否有與國家法律法規(guī)相抵觸的地方，以及企業(yè)內(nèi)部控制是否具有可操作性，在企業(yè)生產(chǎn)經(jīng)營過程中能否得到貫徹執(zhí)行并發(fā)揮應有作用，以實現(xiàn)其為提高經(jīng)營效率效果、提供可靠財務報告和遵循法律法規(guī)提供合理保證的目標。

　　二、把握內(nèi)部控制審計重點

　　根據(jù)COSO提出的《內(nèi)部控制——整體框架》理論和《內(nèi)部審計其體準則第5號——內(nèi)部控制審計》等有關(guān)規(guī)定，企業(yè)內(nèi)部控制審計內(nèi)容主要包括控制環(huán)境、風險管理、控制活動、信息與溝通、內(nèi)部監(jiān)督等方面，簡稱COSO五大要素。因此，要全面把握企業(yè)內(nèi)部控制審計的重點內(nèi)容，可以分別從以下幾方面人手。

　?。ㄒ唬┛刂骗h(huán)境審計是指對企業(yè)控制環(huán)境總體情況進行審查和評價。其審查重點主要包括：企業(yè)生產(chǎn)經(jīng)營活動的復雜程度；企業(yè)內(nèi)部管理權(quán)限的集中程度；企業(yè)管理層行為守則或類似規(guī)范；企業(yè)管理哲學及管理風格；企業(yè)文化及員工對企業(yè)文化的理解和認同；法人治理結(jié)構(gòu)狀況；企業(yè)各階層人員的知識與技能；企業(yè)組織結(jié)構(gòu)和職責劃分隋況；重要（或關(guān)鍵）崗位人員的權(quán)責相稱程度及其勝任能力；員工聘用程序及培訓；員工業(yè)績考核與激勵機制。

　?。ǘ╋L險管理審計是指對企業(yè)風險管理機制及其運行情況進行審查和評價。其審查重點主要包括：可能引發(fā)風險的內(nèi)外因素；風險發(fā)生的可能性和預計帶來的后果；辨識與分析風險能力；防范和降低風險的能力；風險管理的具體方法及效果。

　?。ㄈ┛刂苹顒訉徲嬍侵笇ζ髽I(yè)各生產(chǎn)經(jīng)營業(yè)務實施控制活動情況進行審查和評價。其審查重點主要是：控制活動業(yè)績評估系統(tǒng)建立及其運行狀況；控制活動對風險的識別和規(guī)避情況；控制活動對實現(xiàn)企業(yè)經(jīng)營目標的貢獻；控制活動執(zhí)行的有效性。

　　（四）信息與溝通審計是指對企業(yè)建立信息系統(tǒng)、獲取及傳遞信息等信息處理情況進行審查和評價。其審查重點主要是：獲取財務信息、非財務信息的能力；信息處理的及時性和適當性；信息傳遞渠道的便捷與暢通；管理信息系統(tǒng)的安全可靠性。

　?。ㄎ澹﹥?nèi)部監(jiān)督方面對內(nèi)部監(jiān)督方面進行審計，應當重點審查：內(nèi)部監(jiān)督主體狀況；內(nèi)部監(jiān)督機制設(shè)置情況、內(nèi)部監(jiān)督活動實施情況、內(nèi)部監(jiān)督組織安排情況等。

　　三、創(chuàng)新內(nèi)部控制審計方法

　　作為一種新的審計類型，企業(yè)內(nèi)部控制審計在運用審計方法上，有別于常規(guī)審計。具體來說，企業(yè)內(nèi)部控制審計在實施方法、技術(shù)方法和評價方法上，要不斷進行改進和創(chuàng)新。

　　（一）實施方法審計內(nèi)控的實施方法主要有兩種：一是延伸導向法。延伸導向法即從財務審計、管理審計等常規(guī)審計人手，向企業(yè)內(nèi)部控制審計延伸，是企業(yè)通過運用財務審計、管理審計等常規(guī)審計方式而導向內(nèi)部控制審計的一種審計方法創(chuàng)新。首先，通過企業(yè)運用財務審計、管理審計等常規(guī)審計方式，獲取的如有關(guān)財務信息數(shù)據(jù)和內(nèi)控管理狀況等方面情況，初步評價企業(yè)相關(guān)財務信息數(shù)據(jù)和管理效果。其次，根據(jù)初步評價情況確定內(nèi)部控制審計范圍及其重點，并按審計流程實施內(nèi)部控制審計。最后，對企業(yè)內(nèi)部控制的健全性、合理性及有效性等方面進行審計評價，提出審計意見或整改措施。二是結(jié)果導向法。結(jié)果導向法即直接檢查和分析企業(yè)內(nèi)部控制現(xiàn)實狀況人手，跟蹤審查企業(yè)如購產(chǎn)銷等主要業(yè)務流程在運行和管理中的實際效果情況。據(jù)以對企業(yè)內(nèi)部控制狀況作出審計評價。首先，對企業(yè)購產(chǎn)銷等主要業(yè)務方面的內(nèi)部控制情況等進行全面分析，并通過職業(yè)判斷找準切人點。然后，審查購產(chǎn)銷業(yè)務流程中個關(guān)鍵環(huán)節(jié)在運行中的實際效果情況，并對其作出審計評價。最后，根據(jù)業(yè)務流程運行效果狀況，據(jù)以對其內(nèi)部控制評價發(fā)表審計評價意見。

　　（二）技術(shù)方法審計內(nèi)控的技術(shù)方法主要有三種：一是調(diào)查測試法。在實施企業(yè)內(nèi)部控制審計之前，首先，擬定一個詳細的調(diào)查提綱和系統(tǒng)的調(diào)查表格，列出應予以調(diào)查的全部事項和有關(guān)數(shù)據(jù)，根據(jù)調(diào)查和測試結(jié)果，確定企業(yè)內(nèi)部控制審計實施的范圍及其重點。二是模糊綜合評判法。模糊綜合評判法是模糊數(shù)學在實踐工作中常用的一種應用方式，尤其適用于定性指標因素較多的案例分析與評價。將它運用于企業(yè)內(nèi)部控制審計，主要是鑒于COSO五大要素中的控制環(huán)境和風險識別這兩方面要素，即企業(yè)管理層面存在大量的定性指標因素，需要運用理論模型（如模糊綜合評判法）進行技術(shù)處理，以確保和提高評價的準確性。通過運用模糊綜合評判法，對企業(yè)管理層經(jīng)營理念和管理風格、員工能力要求、人事政策、企業(yè)目標制定等方面進行綜合評判。三是流程圖法。流程圖法是指用特定的符號和圖形將被審計企業(yè)內(nèi)部控制系統(tǒng)反映出來的方式。相對于模糊綜合評判法來說，流程圖法運用于企業(yè)內(nèi)部控制審計，主要側(cè)重于企業(yè)業(yè)務操作層，包括對企業(yè)內(nèi)部控制系統(tǒng)的設(shè)計、執(zhí)行情況等方面的審計。通過流程圖直觀地反映企業(yè)各業(yè)務循環(huán)流程現(xiàn)實狀況及其存在的問題，據(jù)以對企業(yè)業(yè)務層面內(nèi)部控制進行綜合評價。

　?。ㄈ┰u價方法審計內(nèi)控的技術(shù)方法主要有三種：一是局部評價法。局部評價法是就每一事項進行評價的方法，即一事一論。如對企業(yè)采購業(yè)務、生產(chǎn)業(yè)務、銷售業(yè)務、籌資業(yè)務、投資業(yè)務等單個事項進行評價。這種評價方法涉及面不大，可以在審查過程中有效運用。二是專項評價法。專項評價法即對構(gòu)成整體的部分事項進行評價的方法。由于這一方法涉及范圍較大，一般在具體審計事項完成后進行。如在企業(yè)內(nèi)部控制審計中，對構(gòu)成企業(yè)內(nèi)部控制系統(tǒng)的五大方面即控制環(huán)境、風險識別、控制活動、信息與溝通以及監(jiān)督，在有關(guān)具體審計事項完成后，分別就上述五方面情況進行的審計評價。三是綜合評價法。綜合評價法即對一個企業(yè)、一個行業(yè)、一個地區(qū)等整體單位的內(nèi)部控制進行全面評價的方法。對于企業(yè)內(nèi)部控制審計來說，就是對企業(yè)內(nèi)部控系統(tǒng)整體狀況進行全面評價。

　　四、強化內(nèi)部控制審計風險防范

　　從內(nèi)部控制審計基本程序和關(guān)鍵環(huán)節(jié)來看，要做好企業(yè)內(nèi)部控制審計，必須切實加強對以下審計風險進行重點防范。

　?。ㄒ唬┓婪读私獠蝗L險對被審計單位內(nèi)部控制情況進行全面了解，是企業(yè)內(nèi)部控制審計實施階段的首要環(huán)節(jié)，也是對企業(yè)內(nèi)部控制進行測試的重要前提。為了防范了解不全風險，審計人員必須重點對被審計單位的基本情況、內(nèi)部控制環(huán)境以及各類業(yè)務循環(huán)的內(nèi)部控制進行全面了解。對被審計單位基本情況，審計人員應重點了解：被審計單位的性質(zhì)；高層管理人員；資產(chǎn)、負債、所有者權(quán)益；所屬行業(yè)；經(jīng)營業(yè)務；組織結(jié)構(gòu)；各機構(gòu)職能及負責人；職員人數(shù)；高層管理人員分管業(yè)務及各自職責等。對被審計單位總體控制環(huán)境，審計人員應重點了解：高層管理人員對企業(yè)內(nèi)部控制的態(tài)度；高層管理人員從事相關(guān)業(yè)務年限、相關(guān)學歷；被審計單位經(jīng)營管理目標是否明確；是否訂有職工行為守則；高層管理者是否重視制度的實際執(zhí)行；被審計單位以前或目前是否有重大違反財經(jīng)法規(guī)的行為，以及高層管理者對此態(tài)度如何等。對各類業(yè)務循環(huán)內(nèi)部控制，審計人員重點了解被審計單位業(yè)務特點及業(yè)務流程中關(guān)鍵控制點。

　?。ǘ┓婪稖y試失效風險在企業(yè)內(nèi)部控制測試環(huán)節(jié)．審計人員主要防范測試失效風險。導致測試失效風險，主要由以下因素引起：選定的測試范圍不全、重點不準、測試方法不當、抽查的業(yè)務缺乏代表性。測試范圍不全會遺漏對某些重點內(nèi)部控制的審計，會使審計失之偏頗；測試重點不準直接影響內(nèi)部控制測試效率和效果；測試審計方法多種多樣，要因事制宜，根據(jù)不同業(yè)務而方法各異，否則會導致測試失效；抽查的業(yè)務缺乏代表性，會因評價不全面而帶來測試失效風險。因此，要防范測試失效風險審計人員必須做到測試范圍要全，測試重點要準，測試方法得當，抽查業(yè)務的代表性要強。

　?。ㄈ┓婪对u價不當風險在企業(yè)內(nèi)部控制審計終結(jié)階段整體評價中，審計人員要防范出現(xiàn)評價不當風險。究其原因，除了由企業(yè)內(nèi)部控制了解、測試兩個環(huán)節(jié)存在的風險引起外，還會因企業(yè)內(nèi)部控制系統(tǒng)本身不完善和風險估計水平過高等因素造成。企業(yè)內(nèi)部控制系統(tǒng)本身不完善，使某些業(yè)務活動被置于審計范圍之外而疏忽，通常導致企業(yè)內(nèi)部控制健全性評價不當風險。風險估計水平過高會導致信賴過度風險，從而造成企業(yè)內(nèi)部控制有效性評價不當風險。因此，要防范評價不當風險，除了要做好企業(yè)內(nèi)部控制了解、測試兩個環(huán)節(jié)工作外，審計人員還應從宏觀出發(fā)，統(tǒng)籌考慮，從各方面調(diào)查了解熟悉被審計單位業(yè)務活動及其相應的內(nèi)控系統(tǒng)，并充分利用審計技術(shù)對風險水平作出合理估計。