2004年3月9日，美國上市公司會計監管委員會（PCAOB）批準了第二號審計準則-“與財務報表審計相關的財務會計報告內部控制審計”。該準則適用于審計師同時審計客戶的財務報表和管理當局對財務會計報告內部控制有效性所出具的評估的情況。委員會在準則草案發布后收到了190余封意見反饋信，隨后對準則草案進行了一定的修訂以提高其可理解度。本文對第二號準則中的重要條款進行了探討，并指出了新準則與草案的差異之處。依照薩班斯-奧克斯萊法案，二號準則已提交美國證券交易委員會（SEC），等候最后的審批。

　　綜述

　　PCAOB多次強調有效的內部控制結構的重要性。委員會還特別說明，“有效的財務會計報告內部控制對公司管理其事務，盡到其對投資者的責任至關重要。公司管理當局、公司所有者-投資公眾-和其他相關方都需依賴公司呈報的財務信息來制定決策。”

　　委員會在其宣布采用第二號準則的公告中還指明，財務會計報告內部控制的審計是一個牽涉面很廣的程序，維持有效內部控制，包括定期評估都是有成本的。然而委員會強調開發、維護和提高內部控制系統所帶來的利益是多樣的，同時，“主要的利益……是給公司、公司管理當局、董事會和審計委員會、所有者和其他利益關聯方提供了一個財務會計報告的可靠基礎。”與準則草案相比，新準則在成本效益原則方面邁進了一大步。

　　管理當局的責任

　　準則指出了審計師執行一項符合要求的內部控制審計的必要條件。正如SEC在實施薩班斯法案404節的規定中所要求的，管理當局必須：

　　-對公司財務會計報告內部控制的有效性負責；

　　-使用適當的控制標準（如COSO標準），評價公司財務會計報告內部控制的有效性；

　　-提供足夠的證據，包括記錄編制來支持評價，以及

　　-在公司最近的財年末，就公司財務會計報告內部控制的有效性出具書面評價。

　　審計師如果得出管理當局沒有履行上面提到的責任，不能完成對內部控制的審計，就應當拒絕表示意見。

　　管理當局的評價程序

　　一個嚴格的內部控制有效性的評價程序應該提供信息幫助審計師理解公司的內部控制以及規劃完成內部控制審計的必要工作。根據第二號準則的條款，管理當局評價內部控制有效性的程序應包括：

　　-確定需要測試的控制措施，包括所有與主要賬戶和財務報表披露相關的控制措施；

　　-評價控制失敗導致財務報表錯報的可能性、錯報的重要程度、以及其它控制措施可能達成相同控制目標的程度；

　　-決定評價中應包括的特定地區或經營單位（適用于那些多場所或經營單位的公司）；

　　-評價控制措施的設計和實施有效性；

　　-確定已識別的內部控制的缺失是否構成了重要缺失或實質性薄弱；

　　-將發現傳達給相關方；

　　-對發現是否支持其評價進行評估。

　　有一點需要指出的是，管理當局不能使用審計師的程序或相關發現來支持其對內部控制有效性的評價。

　　管理當局的記錄編制

　　管理當局所編制財務會計報告內部控制記錄的深度和廣度是管理當局、審計師和內部控制顧問需要深思熟慮的一個日常主題。全面且清晰的記錄編制有利于管理當局對內部控制進行有效的評價和評估，同時為審計師發起審計程序提供一個堅實的平臺。在確定管理當局的記錄編制是否支持其評價時，審計師應評估記錄編制的內容，包括：

　　-控制措施的設計，這些控制措施應覆蓋所有與關鍵性賬目和財務報表披露相關的管理當局聲明；

　　-關于重要交易如何發起、授權、記錄、處理和報告的信息；

　　-關于交易過程的足夠充分的信息，足夠充分指的是能夠識別因錯誤或欺詐導致的實質性錯報的發生；

　　-為預防和偵查欺詐而設計的控制措施；

　　-期末會計報告過程的控制措施；

　　-資產保全的控制措施；以及

　　-管理當局測試和評估的結果；

　　二號準則指出，管理當局的記錄編制可以是紙質、電子格式或其它形式；記錄編制的信息也可以是多樣的，包括政策指南、流程模型、流程圖、職位描述等。準則沒有提供客觀的方法來確定管理當局記錄編制的充分性。但需要注意的是，記錄編制的缺乏被認為是控制措施的缺失，審計師應就其嚴重程度和對審計師報告的可能影響進行討論。

　　通過實際演練理解控制措施

　　二號準則要求審計師詢問、觀察執行控制措施的員工，檢查實施控制措施的文檔或實施后的文檔記錄，并且將這些文檔與會計記錄進行比較。通過這些方式審計師能夠理解公司財務會計報告的內部控制。準則還進一步指出，“審計師達成這一目標最有效的方式就是對公司的關鍵流程進行實際演練。”

　　在實際演練中，審計師可以從發起點跟蹤交易和事項直到財務報表，這個過程就包括公司的會計程序。準則要求審計師每年必須就每一關鍵交易類別執行至少一次實際演練，審計師應獨立完成此項演練。準則中定義的關鍵交易類為那些能夠給公司財務報表帶來顯著影響的業務。準則指出實體的期末財務報告程序就是一個關鍵性程序。

　　評價審計委員會監管的有效性

　　準則也強調了審計委員會在幫助制定“高層基調”時所起的關鍵性作用。審計師應評價發行人審計委員會的有效性，作為其對控制環境和內部控制的理解和評價的一個組成部分。審計委員會對外部財務會計報告和內部控制無效/低效的監管被認為是一個明顯的缺失或內部控制實質性薄弱的標示。另外，準則要求將審計委員會監管無效的實例直接呈報給公司的董事會。

　　影響審計委員會監管有效性的因素包括管理當局成員的獨立性，委員會責任的清晰表述，管理當局和審計委員會對責任的理解程度以及獨立審計師和內部審計師的交流程度。

　　測試操作有效性

　　準則要求審計師獲得控制措施關于操作有效性的證據。為了遵守準則的規定，審計師就需要測試這些控制措施的操作有效性。

　　在確定一項控制措施是否具備操作有效性時，審計師不僅應評價控制措施是否依照設計操作，還應該評價執行控制措施的個人具備必要的授權和資格。另外，在第二號準則下，審計師應在足夠長的時期里獲取控制有效性的證據。期間執行的任何測試都應及時更新以確保所測試的控制措施在年末仍然具備操作有效性。

　　利用他人的工作

　　發行人和審計師最為關注的另一個領域是審計師被允許使用他人工作的程度。在這點上，二號準則與準則草案保持了一致，準則要求在總體上，審計師自身的工作應為審計意見提供首要證據。準則定義的其他方工作包括內部審計師、公司其他個人和在管理當局或審計委員會授權下的第三方的工作。

　　準則指出，審計師不應使用其他人的工作來測試與控制環境相關的控制措施，包括為了預防和偵查欺詐制定的控制措施和應執行的實際演練。但準則允許審計師使用其他方提供的信息技術一般性控制措施和期末財務報告程序的相關控制措施。而在準則草案中則要求這些方面的審計工作均要由審計師執行。

　　準則草案中定義了三類控制措施和審計師被允許使用其他方工作來形成結論的程度。而第二號準則以一個概念框架取而代之。這一框架重點在于控制措施的性質和執行程序個人的能力和客觀性。二號準則明確指出，如果管理當局在測試操作有效性時使用自我評價程序，則執行評價的個人不應視為客觀，因此，獨立審計師不能使用其工作。

　　評估測試結果

　　準則要求審計師評價所識別的控制措施缺失的嚴重程度，這點與準則草案保持了一致。實際上，在2003年10月準則草案發布以來，委員會就何謂“顯著的缺失”展開了多次討論。委員會指出，在反對草案“顯著缺失”之定義的反饋意見中，多數認為該定義的起點過低，如果依照草案規定，大多數內部控制的缺失將被確認為“顯著的缺失”。

　　二號準則保留了草案中對“顯著缺失”和實質性薄弱的定義。在解釋其定義這些項目的用意時，委員會指出，控制的缺失不應被孤立地評價，特定缺失的嚴重程度應同時考慮補救措施的影響。準則在一定程度上回應了草案的反饋意見，但在確定構成“顯著缺失”或實質性薄弱的控制缺失時還需要職業判斷。

　　依照二號準則的規定，以下方面的缺失通常被認為是“顯著的缺失”：

　　-對會計政策選擇和應用的控制措施；

　　-反欺詐程序和控制措施；

　　-對非常規和非系統化交易的控制措施；

　　-對期末財務會計報告程序的控制措施；

　　另外，以下情況屬于“顯著缺失”以及實質性薄弱存在的明顯標示：

　　-為糾正錯報項目，對以前所發布財務報表進行重述；

　　-審計師在當年審計中發現公司沒有識別的實質性錯報；

　　-審計委員會的監管無效；

　　-內部審計或風險評估機制的無效，如果這些職能對于公司財務會計報告程序非常關鍵的話；

　　-在受法律監管程度較高的公司，遵守法規的機制的無效。這一項只適用于守法機制的無效給企業財務會計報告的可靠性帶來實質性影響的情況；

　　-發現任何程度上的高層管理人員的欺詐；

　　-以前所發現的缺失在一段合理的時間后仍然沒有被糾正；

　　-控制環境的無效；

　　控制缺失與審計師意見

　　準則要求審計師在對財務會計報告內部控制執行審計后發布兩類意見，一、關于管理當局的評價；二、關于內部控制的有效性。在這一方面準則與草案有別。準則提供了實例來解釋兩類意見的區別。

　　當發現財務會計報告內部控制的實質性薄弱時，準則要求審計師出具控制有效性的否定意見。

　　生效日期

　　如前所述，二號準則將在美國證券交易委員會（SEC）的最后審批后生效。審計師隨后應依照準則審計上市公司管理當局就財務會計報告內部控制有效性出具的評價。SEC近期推遲了對交易法12b-2下所定義“加速備案公司”的內部控制有效性評價要求。原定的6月15日被推遲到2004年11月15日。非“加速備案公司”，包括小企業和外國企業將在2004年7月15日后開始應用相關規定。

　　后記

　　第二號準則為實施相關規定提供了指導意見。但還有相當一部分實施問題亟待解決，如管理當局的記錄編制和測試的程度、主要財務報表科目和披露的確定、公司分布于多個場所的情況下審計師的工作范圍、對服務性審計師所出具報告的使用、內部控制“顯著缺失”的確定、對資產保全的控制措施的測試程度等。這些問題將隨著發行人與獨立審計師對第二號準則的不斷熟悉而逐步解決。