現代內部控制理論認為企業內部控制是一個由多目標、多層次、多要素、多個子系統組成的有機整體。中石油公司建立了以《COSO內部控制整體框架》為理論基礎的現代內部控制體系，為全面開展內部控制體系審計和評價提供了較好的環境基礎，使內部審計能夠以較寬的視野，對企業內部控制進行全面的、系統的分析和評價。

　　內部控制審計目標要以企業目標為出發點

　　對一個單位內部控制體系進行全面審計，首先要從分析企業目標著手，考慮監管環境等因素對企業目標的影響以及審計資源的限制等情況，根據重要性原則，對企業目標進行分類、排序，最終確定審計目標。審計目標盡可能與企業目標保持一致，以幫助和促進企業目標的實現。

　　中石油現行內控體系建設是按照境外上市地法律要求，以實現財務報告可靠性為主要目標。因此，中石油開展的企業內部控制審計，將財務報告內部控制有效性作為內部控制體系評價的首要目標。同時，考慮到企業內部控制是由多個目標組成，內部審計適當兼顧內控的效率、效果、法律遵循性等長期發展目標，體現為企業服務的職能。

　　按照“目標導向—風險分析—關鍵控制”的基本原則和總體思路，確定審計范圍，突出對重點單位和關鍵控制的審計

　　中石油貫徹“目標導向—風險分析—關鍵控制”基本原則和思路，審計項目以企業目標為出發點，通過對公司層面和業務層面、信息層面控制風險的分析，確定關鍵控制，審計時將注意力集中在影響企業目標的重要風險和關鍵控制上。這種思路貫穿于審計項目的始終，體現在以下幾個方面：

　　（1） 目標分析

　　從企業總體目標出發，細分不同的子目標，識別與目標對應的風險，剔除與企業目標實現無關的風險，確定公司層面控制風險。

　　（2）公司層面風險分析

　　在較大范圍和較高的層面識別具有全局性的、統領性的重要風險，以確定影響公司目標實現的重要管理領域，再考慮與重要管理領域的關聯性等風險因素，分析確定與重要領域相對應的重要業務單位（基層單位），確定審計范圍。若重要管理領域不涉及基層單位的，人力資源政策等由公司層面直接管理和控制，則分析這些僅涉及公司層面的風險控制，確定公司層面關鍵控制。

　　（3）業務層面風險分析

　　對確定的重要業務單位中的重要業務流程，進一步進行風險分析，確定本業務流程中的重要風險，最終確定業務流程中的關鍵控制。

　　（4）信息層面風險分析

　　針對重要財務系統中容易出現財務風險的關鍵權限，以及關鍵崗位通過相應的手段進行審計，以確定其業務流程中的關鍵控制。

　　審計內容按照COSO內控五要素作為評價基礎

　　審計項目前期，對被審計單位進行縱向分析，確定重要管理領域、重要業務單位、重點審計內容，即關鍵控制；審計過程中，則將關鍵控制在橫向上落腳于COSO內控五要素，即通過對控制環境、風險評估、控制活動、信息與溝通以及監督等內容的審查和測試，確保內部控制審計全面覆蓋企業內控體系。從內容上既包含了控制環境等軟要素控制，又包含了具體業務流程的控制；從控制層面上，涉及企業戰略層在內的所有控制層級，覆蓋全部重要業務單位和重要業務活動。通過風險分析等理論的應用，體現了風險管理的實質，使內部控制審計在理論和實踐上都站在一個較高的起點上，推進其向風險管理審計發展。

　　推行相對固定的審計程序和管理模式，全面規范內部控制審計操作

　　大中型企業的內控審計項目，經常要分成多個審計小組，負責不同的基層單位或不同的管理領域，并分階段完成。中石油通過細化審計方案，采用相對固定的審計程序模式，使不同的審計人員和審計小組完成的審計工作能夠統一規范。如審前調查階段和現場審計的初期，集中審計組的骨干力量集中完成目標、風險、控制分析，提前制作各種調查問卷、調查表、評價、打分標準等，對于具體審計內容，事先編寫出相對固定的審計工作表，詳細列明審計內容、審計方式、方法和步驟，現場審計時，再根據具體情況進行適當修改，以后同類或類似的審計項目，均可以借鑒使用。

　　綜合運用各種審計技術和方法

　　內部控制審計一般方法包括詢問、觀察、檢查和再執行以及由這些方法演變的方法，實際工作中往往是多種方法綜合使用。

　　（一）公司層面內部控制審計常用的方法

　　公司層面涉及高管基調、人力政策、權責分配、人員機構等軟要素控制較多，審計時要與不同控制層面的人員進行訪談、發放調查問卷和調查表或知識技能考試等，了解公司的政策程序、管理基調和氛圍，以便對控制基礎環境做出趨勢性判斷，或為業務層面審計指出重點等。審計中按不同的控制層面和人員，區別使用以下方法（見表1）。

　　（二）業務層面內部控制審計常用方法

　　1.設計層面內控審計較實用的方法為“跟單測試法”。該方法是對一項業務由始至終進行穿行測試，可幫助審計人員盡快熟悉、理解業務流程，驗證重要風險和設計的關鍵控制的完整性、合理性和有效性，查看業務流程中存在的重要風險是否被識別，相應的關鍵控制是否被確認并準確記錄，是否制定了與控制實施相關制度以及控制是否被準確執行等。

　　2.執行層面內控審計常使用“抽樣審計與詳細審計結合”的方法。在基于內部控制與重要性水平評估的基礎上進行抽樣，在對關鍵控制進行抽樣測試時，當發現例外事項，或是對某一樣本產生懷疑時，再擴大樣本的數量或對某一樣本的業務流程進行詳細審計，分析產生原因和造成的影響。

　　3.計算機輔助審計法。利用計算機技術對各種信息系統控制進行檢查。如繞過計算機審計，即根據對輸入與輸出結果的檢查，判斷其處理過程的正確性，是否建立健全相應的控制；通過計算機審計，即對信息處理系統及程序進行檢查，在此基礎上進一步審查信息系統處理結果的方法；利用計算機審計，即以計算機為工具，輔助審計人員完成某些審計工作的方法。如SQL語句查詢審計法等。

　　審計評價采取定性和定量評價相結合的方式

　　中石油在總部層面制定了基于財務報告可靠性的內部控制缺陷評價標準，其評價方法較為復雜。作為成本中心的地區公司及其下屬單位，內控審計目標、評價指標都存在較大差別，不太適用上述標準。為使審計結論更客觀，有據可依，也可以嘗試采用一些簡單實用的內控評價方法。

　　（一）公司層面控制較難使用量化的方法，一般采用定性判斷，具備條件的可嘗試標準分數法

　　公司層面控制缺陷通常不會直接導致信息錯報，但會增加業務層面信息錯報的可能性。因此公司層面控制缺陷評估基本上是采用定性判斷，即逐項分析缺陷主題、缺陷性質等因素，判斷缺陷可能導致錯報的影響程度和錯報發生可能性。如果可以聘請對被審計單位情況較為熟悉的內控專家，由專家給出標準分、審計人員經過測試給出實際得分。

　　（二）業務層面內部控制審計結果采用定量分析和定性判斷結合的方法

　　業務層面內控審計評價采用標準分數法，將不同的定量或定性的問題統一折算成標準分值，使不同問題相互之間具有可比性，得出客觀正確的評價。如經過風險分析列入業務層面審計范圍的4個重要管理領域的總分值為100分，審計扣5分，業務活動部分實際得95分（見表2）。

　　在定性評價中，可以設定被審計單位可能違反規定的條件和扣分標準，如設定違反6項性質較為嚴重的問題及相應的違規金額數量，存在6項問題之一的單位，即使定量評價在60分以上，總體評價仍為“較差”等次；存在6項問題之一且違規金額超出規定2倍以上的，總體評價為“差”。

　　（三）對企業內部控制進行綜合評價

　　針對所評價的內控體系，建立起整個體系與控制要素的對應關系，總分設為100分，由專家確定各要素的分數（權重），將各要素的打分結果除以100再乘其權重，得出最終分數。匯總全部控制要素得分，算出內控體系綜合得分。根據總分值再定性劃分為幾個等次，如好（90分以上）、較好（80～90分）、一般（70～80分）、較差（60～70分）和差（60分以下）5個等次，以此進行最終評價（如表3）。

　　這種定量評價方法也可用于企業內部的自我評價，目的是求得企業內部單位之間的相對客觀性。

　　作者單位：中國石油遼河油田公司冷家油田開發公司