助力財報可靠性機制建設
與財務報表審計相比，內控審計有其特殊性。今年財政部會同證監(jiān)會、審計署、銀監(jiān)會和保監(jiān)會發(fā)布的《企業(yè)內部控制基本規(guī)范》和《企業(yè)內部控制配套指引》中，確立了注冊會計師內控審計制度和標準。這意味著監(jiān)管的重心從只注重財務報告本身可靠性轉向同時注重對保證財務報告可靠性機制的建設。這對于完善企業(yè)內控，防范企業(yè)舞弊風險，提升注冊會計師執(zhí)業(yè)質量，維護社會公眾利益，具有重要的意義。
關于審計的范圍。如何在指引中確定內控審計的范圍，我們重點考慮了以下因素：
一是注冊會計師的勝任能力。注冊會計師的專長領域主要在會計、審計、稅法、財務管理、公司戰(zhàn)略、財務報告內部控制等方面。對于其他領域的內部控制，如生產(chǎn)安全內控、產(chǎn)品質量內部控制、環(huán)境保護內部控制等，超出了注冊會計師的知識、技能和經(jīng)驗，需要其他領域的專家進行鑒證。
二是成本效益的約束。美國公眾公司會計監(jiān)督委員會通過對第2號內部控制審計準則實施情況的研究表明，注冊會計師對財務報告內部控制的審計帶來巨大的效益，推進了公司治理和內部控制的完善，提高了財務報告質量；但另一方面，巨大的收益也伴隨著巨大的成本，執(zhí)行財務報告內控審計的費用超出了預期，大幅增加了企業(yè)的成本。因此，美國公眾公司會計監(jiān)督委員會對第2號內控審計準則的要求進行了修改，簡化了程序，提出新的第5號內控審計準則。如果將內控審計的范圍擴展至其他方面，勢必進一步加劇審計的成本效益矛盾。
三是投資者的需求。注冊會計師對內控進行審計的主要目的是滿足投資者等信息使用者的需求，保護投資者權益。如果財務報告內部控制有效，可以使投資者對上市公司財務報告的可靠性有更多的信心，從而幫助投資者進行投資決策。并且，如果注冊會計師認為財務報告內部控制沒有問題，則意味著財務報表有重大問題的可能性大大降低，這在邏輯上是一致的，給投資者的信息也是一致的。
四是對非財務報告內控審計的做法。從國外的情況看，內控審計主要局限在財務報告內部控制。目前國際上尚未形成對非財務報告內部控制有效性進行評價的依據(jù)或標準，在判斷上存在較大的主觀因素，結果缺乏可比性，對投資者的作用也很不確定。
綜合考慮國外的成功經(jīng)驗、注冊會計師的勝任能力、審計的標準、成本和效益、投資者需求等因素，我們在指引中提出了注冊會計師應當對財務報告內部控制的有效性發(fā)表審計意見，并對內控審計過程中注意到的非財務報告內控的重大缺陷，在內控審計報告中增加“非財務報告內部控制重大缺陷描述段”予以披露。
關于整合審計。企業(yè)可以聘請兩家會計師事務所分別對其內控和財務報表進行審計，也可以聘請一家會計師事務所同時對其內控和財務報表進行審計。指引中規(guī)定，注冊會計師可以單獨進行內控審計，也可以將內控審計與財務報表審計整合進行（即整合審計）。但在實務中，由于內控審計和財務報表審計的關聯(lián)性，注冊會計師更適合于進行整合審計，因此，指引從計劃審計工作到完成審計工作，都立足于整合審計。
首先，內控審計與財務報表審計可以同時進行。在執(zhí)行內控審計時，注冊會計師需要對內控設計和運行的有效性進行測試；在執(zhí)行財務報表審計時，注冊會計師也需要了解內控，并在需要時測試內控。這是兩種審計的相同之處，也是需要整合的部分。
其次，內控審計與財務報表審計兩者很難分開。在執(zhí)行財務報表審計時，注冊會計師可以利用內控審計的結果修改實質性程序的性質、時間安排和范圍；在確定實質性程序的性質、時間安排和范圍時，慎重考慮識別出的控制缺陷。在執(zhí)行內控審計時，注冊會計師需要評估實施實質性程序發(fā)現(xiàn)的問題的影響；最重要的是考慮識別出的財務報表錯報對評價內控有效性的影響。因此注冊會計師可以利用在一種審計中獲得的結果為另一種審計中的判斷和擬實施的程序提供信息。
再次，由于內控審計和財務報表審計要在規(guī)定的時間內一同完成，同時企業(yè)要在同一時間同時公布審計報告和內控審計報告，因此，企業(yè)聘請兩家會計師事務所分別對其內控和財務報表進行審計，無論是從審計時間、審計成本還是從審計協(xié)調來看都是不可取的。
關于審計基準日。內控審計基準日，即注冊會計師評價內控在某一時日是否有效所涉及的基準日。關于注冊會計師對財務報告內控發(fā)表意見針對的日期或期間也有兩種觀點，即是對截至某基準日內控的有效性發(fā)表意見，還是對企業(yè)整個期間內控的有效性發(fā)表意見。指引規(guī)定注冊會計師需要對特定基準日內控的有效性發(fā)表意見。之所以如此規(guī)定，是基于以下考慮。
一是注冊會計師不可能對企業(yè)內控在某個期間段（如一年）內每天的運行情況進行描述，然后發(fā)表審計意見，這樣做不切實際，并且無法向信息使用者提供準確清晰的信息，甚至會誤導使用者。
二是注冊會計師對特定基準日內控的有效性發(fā)表意見，并不意味著注冊會計師只測試基準日這一天的內部控制，而是需要考察足夠長一段時間內控設計和運行的情況。按照指引的規(guī)定，注冊會計師在對特定基準日內部控制的有效性發(fā)表意見前，需要獲取內控在一段足夠長的時間有效運行的證據(jù)，這段時間可能比企業(yè)財務報表涵蓋的整個期間短些，但必須足夠長。因此，雖然是對企業(yè)12月31日（基準日）內控的設計和運行發(fā)表意見，但這里的基準日不是一個簡單的時點概念，而是考慮了內控在此前的有效性，以及向前的延續(xù)性。
關于自上而下的審計方法。如何對內控進行審計，涉及到內控審計的思路。是借鑒傳統(tǒng)財務報表審計方法，還是借鑒現(xiàn)代風險導向審計方法，需要作出取舍。經(jīng)過研究國外現(xiàn)行的做法，結合我國實施的風險導向審計思路，決定采用自上而下的審計方法。指引規(guī)定，注冊會計師應當按照自上而下的方法實施審計工作。自上而下的方法始于財務報表層次，以注冊會計師對財務報告內控整體風險的了解開始，然后，注冊會計師將關注重點放在企業(yè)層面的控制上，并將工作逐漸下移至重大賬戶、列報及相關的認定。詳細來講，分為以下步驟：
首先，從財務報表層次初步了解可能導致財務報表發(fā)生錯報的風險，以及從整體上了解企業(yè)財務報告內控風險。從關注可能造成財務報表錯報的風險開始，分析這些風險事項和領域，然后針對這些事項和領域以及對企業(yè)內控整體風險的了解，進一步確認相關的關鍵流程和控制。
第二，通過了解企業(yè)與財務報告相關的整體風險，可以識別出為保持有效的財務報告內控而必需的企業(yè)層面內控。此外，由于對企業(yè)層面內控的評價結果將影響注冊會計師測試其他控制的性質、時間安排和范圍，因此，注冊會計師可以考慮在執(zhí)行業(yè)務的早期階段對企業(yè)層面內控進行評價。
第三，識別重要賬戶、列報及其相關認定。判斷某賬戶或列報是否為重要賬戶或列報或者某認定是否為相關認定，應當依據(jù)其固有風險，而不應首先考慮相關控制的影響。
第四，在識別重要賬戶、列報及其相關認定時，還需要確定對財務報表產(chǎn)生重大影響的潛在錯報的可能來源。注冊會計師可以通過考慮在特定的重要賬戶或列報中錯報可能發(fā)生的領域和原因，確定潛在錯報的可能來源。
第五，選擇擬測試的控制。注冊會計師需要評價控制是否足以應對評估的每個相關認定的錯報風險，并選擇其中對形成審計結論具有重要影響的控制進行測試。是否選擇某項控制進行測試取決于該項控制單獨或合并起來是否足以應對相關認定的錯報風險。
自上而下的審計方法，是一項全新的審計思路，可以大大提高審計的效率和效果。
需要正確理解的兩個關系
《企業(yè)內部控制審計指引》在實施過程中，注冊會計師需要重點處理好以下兩個方面的關系：
處理好企業(yè)內控自我評價和注冊會計師審計之間的關系。按照《企業(yè)內部控制基本規(guī)范》的規(guī)定，企業(yè)既要對內部控制進行自我評價，同時也要聘請注冊會計師對其內部控制進行審計。因此，注冊會計師在執(zhí)行內部控制審計業(yè)務時要處理好企業(yè)內部控制自我評價與內部控制審計之間的關系。
內部控制評價和注冊會計師審計是兩種不同的責任。建立健全和有效實施內部控制，評價內部控制的有效性是企業(yè)董事會的責任。按照《企業(yè)內部控制審計指引》的要求，在實施審計工作的基礎上對內部控制的有效性發(fā)表審計意見，是注冊會計師的責任。注冊會計師在執(zhí)行內部控制審計時，不得代企業(yè)設計內部控制，也不得代企業(yè)進行內部控制自我評價。
兩者的工作可以互相利用。一方面，在執(zhí)行內部控制審計時，注冊會計師通過評估企業(yè)內部控制自我評價工作，可以判斷是否利用企業(yè)內部審計人員、內部控制評價人員和其他相關人員的工作。如果決定利用其工作，則可以相應減少本應由注冊會計師執(zhí)行的工作。當然，在決定利用他人工作前，注冊會計師需要對相關人員的專業(yè)勝任能力和客觀性進行充分評價。當然，無論是否利用企業(yè)的自我評價工作，會計師事務所均應對發(fā)表的審計意見承擔全部責任。另一方面，注冊會計師在執(zhí)行內部控制審計時，從獨立的第三方角度可能會發(fā)現(xiàn)企業(yè)自我評價沒有發(fā)現(xiàn)的控制缺陷，提請企業(yè)予以整改。此時，企業(yè)需要正確認識注冊會計師的內部控制審計工作，正確對待注冊會計師的工作結果，認真審視企業(yè)的內部控制，通過整改落實，使內部控制更加完善合理。
處理好內控審計報告與財務報表審計報告之間的關系。按照整合審計的要求，注冊會計師要同時為企業(yè)的財務報告內部控制和財務報表發(fā)表審計意見。正確認識兩種審計報告之間的關系，可以幫助信息使用者更好地理解企業(yè)的財務信息，做出更明智的決策。
財務報表是企業(yè)財務信息的載體，是企業(yè)財務狀況、經(jīng)營成果和現(xiàn)金流量的結果體現(xiàn)。財務報告內部控制是保證企業(yè)財務報告可靠性的機制和程序，為財務報表的真實可靠提供機制保障。所以，一般情況下，如果注冊會計師對企業(yè)的財務報告內部控制發(fā)表無保留意見，則企業(yè)的財務報表不存在重大錯報的可能性很高。同樣地，如果企業(yè)的財務報告內部控制存在重大缺陷，則難以保證財務報表不存在重大錯報。
如果注冊會計師對企業(yè)財務報表發(fā)表無保留意見，即財務報表不存在重大錯報，此時，企業(yè)的財務報告內部控制有兩種情況，一種情況是財務報告內部控制有效運行，能夠及時防止或發(fā)現(xiàn)并糾正重大錯報，此時，注冊會計師對財務報告內部控制可能發(fā)表無保留意見；另一種情況是財務報告內部控制并沒有有效運行，但財務報表尚未出現(xiàn)重大錯報，或雖出現(xiàn)重大錯報但注冊會計師在財務報表審計工作中發(fā)現(xiàn)了重大錯報并且企業(yè)已經(jīng)更正，在這種情況下，注冊會計師對財務報告內部控制可能發(fā)表非無保留意見。
如果財務報表存在重大錯報，注冊會計師對其發(fā)表了非無保留意見，則可以肯定企業(yè)財務報告內部控制存在重大缺陷，此時，注冊會計師也需要對財務報告內部控制發(fā)表非無保留意見。