（一）實施內部控制審計的必要性

　　內部控制作為企業的一項重要管理活動，主要試圖解決三方面的基本問題，即財務報告及相關信息的可靠性、資產的安全完整以及對法律法規的遵循。

　　與此同時，促進提高經營的效率效果，并促進實現企業的發展戰略。安然、世通等一系列公司財務報表舞弊事件發生后，人們認識到健全有效的內部控制對預防此類事件的發生至關重要。各國政府監管機構、企業界和會計職業界對內部控制的重視程度也進一步提升，從注重財務報告本身可靠性轉向注重對保證財務報告可靠性機制的建設，也就是通過過程的有效來保證結果的有效。資本市場上的投資者甚至社會公眾要求企業披露其與內部控制相關的信息，并要求經過注冊會計師審計以增強信息的可靠性。

　　但是，在財務報表審計中，只有在以下兩種情況下才強制要求對內部控制進行測試：在評估認定層次重大錯報風險時，預期控制的運行是有效的（即在確定實質性程序的性質、時間安排和范圍時，注冊會計師擬信賴控制運行的有效性）；或者僅實施實質性程序并不能夠提供認定層次充分、適當的審計證據。可見，注冊會計師對內部控制的了解和測試不足以對內部控制發表意見，難以滿足信息使用者的需求。因此，內部控制審計逐漸發展起來，很多國家要求注冊會計師對內部控制設計和運行的有效性進行審計或鑒證。例如，美國《薩班斯——奧克斯利法案》404條款和日本《金融商品交易法》要求審計師對企業管理層對財務報告內部控制的評價進行審計；我國《企業內部控制基本規范》要求會計師事務所對企業內部控制的有效性進行審計，出具審計報告，并專門制定《企業內部控制審計指引》規范內部控 制審計工作。

　　（二）各國對內部控制審計的要求

　　1.其他國家對內部控制審計的要求。

　　我們對內部控制審計進行了國際比較研究，選擇了在內部控制規范制定領域一直走在世界前沿的幾個國家和地區，包括美國、日本、歐盟、加拿大和英國，對上述各國及地區出臺的內控審計標準進行了比較研究。研究結論表明：

　　（1）美國和日本均以法案形式強制要求對企業財務報告內部控制進行審計；歐盟、加拿大、英國未強制要求進行內控審計，但英國等國的上市規則要求審計師對管理層做出的內部控制聲明進行形式上的審閱。

　　（2）強制要求進行內部控制審計的國家，如美國和日本，內部控制審計與年度財務報表審計整合進行。其中，美國要求由同一家會計師事務所將內部控制審計與財務報表審計整合進行；而日本則不僅如此，要求同一個審計師從計劃審計工作、實施審計程序獲取審計證據、評價審計證據的充分性和適當性，直到發表審計意見的整個過程中，將兩種審計作為一個整體進行。

　　2.我國對內部控制審計的要求。《企業內部控制基本規范》及配套指引的發布，要求執行企業內控規范體系的企業，必須對本企業內部控制的有效性進行自我評價，披露年度自我評價報告，同時聘請具有證券期貨業務資格的會計師事務所對其財務報告內部控制的有效性進行審計，出具審計報告。注冊會計師在內部 控制審計過程中注意到的企業非財務報告內部控制的重大缺陷，應當提示投資者、債權人和其他利益相關者關注。

　　這意味著，企業內部控制審計業務由原來的一次性業務或面向少數企業的業務（A股企業原先僅在IPO時需要，或者赴美國和日本等地上市企業需要，或者金融證券等高風險行業需要），變成了與財務報表審計一樣的經常性業務，每年需執行一次。

　　對于執行內部控制審計的會計師事務所來講，對公司上市前要進行內部控制審計，上市后也要進行內部控制審計。

　　（三）內部控制審計的定義

　　內部控制審計，是指會計師事務所接受委托，對特定基準日內部控制設計與運行的有效性進行審計。

　　1.企業內部控制審計基于特定基準日。注冊會計師基于基準日（如年末12月31日）內部控制的有效性發表意見，而不是對財務報表涵蓋的整個期間（如一年）的內部控制的有效性發表意見。但這并不意味著注冊會計師只關注企業基準日當天的內部控制，而是要考察企業一個時期內（足夠長的一段時間）內部控制的設計和運行情況。例如，注冊會計師可能在5月份對企業的內部控制進行測試，發現問題后提請企業進行整改，如6月份整改，企業的內部控制在整改后要運行一段時間（如至少一個月），8月份注冊會計師再對整改后的內部控制進行測試。因此，雖然是對企業12月31日（基準日）內部控制的設計和運行發表 意見，但這里的基準日不是一個簡單的時點概念，而是體現內部控制這個過程向前的延續性。注冊會計師所采用的內部控制審計的程序和方法，也體現了這種延續性。

　　2.財務報告內部控制與非財務報告內部控制。審計指引第四條第二款規定，注冊會計師應當對財務報告內部控制的有效性發表審計意見，并對內部控制審計過程中注意到的非財務報告內部控制的重大缺陷，在內部控制審計報告中增加“非財務報告內部控制重大缺陷描述段”予以披露。

　　財務報告內部控制，是指企業為了合理保證財務報告及相關信息真實完整而設計和運行的內部控制，以及用于保護資產安全的內部控制中與財務報告可靠性目標相關的控制。主要包括下列方面的政策和程序：

　　（1）保存充分、適當的記錄，準確、公允地反映企業的交易和事項；

　　（2）合理保證按照企業會計準則的規定編制財務報表；

　　（3）合理保證收入和支出的發生以及資產的取得、使用或處置經過適當授權；

　　（4）合理保證及時防止或發現并糾正未經授權的、對財務報表有重大影響的交易和事項。

　　非財務報告內部控制，是指除財務報告內部控制之外的其他控制，通常是指為了合理保證經營的效率效果、遵守法律法規、實現發展戰略而設計和運行的控制，以及用于保護資產安全的內部 控制中與財務報告可靠性目標無關的控制。

　　3.企業內控責任與注冊會計師審計責任的關系。

　　審計指引第三條規定，建立健全和有效實施內部控制，評價內部控制的有效性是企業董事會的責任。按照本指引的要求，在實施審計工作的基礎上對內部控制的有效性發表審計意見，是注冊會計師的責任。

　　兩者之間的關系和會計責任與審計責任的區分保持一致，即：建立健全和有效實施內部控制是企業董事會（或類似決策機構，下同）的責任；按照《企業內部控制審計指引》的要求，在實施審計工作的基礎上對企業內部控制的有效性發表審計意見，是注冊會計師的責任。換言之，內控本身有效與否是企業的內控責任，是否遵循審計指引開展內控審計并發表恰當的審計意見是注冊會計師的審計責任。因此，注冊會計師在實施內控審計之前，應當在業務約定書中明確雙方的責任；在發表內控審計意見之前，應當取得經企業簽署的內控書面聲明。

　　（四）整合審計

　　審計指引第五條規定，注冊會計師可以單獨進行內部控制審計，也可以將內部控制審計與財務報表審計整合進行（下稱“整合審計”）。

　　理解這一規定，要明確兩點：一是內部控制審計與財務報表審計是兩種不同的審計業務，兩種審計的目標不同；二是內部控制審計與財務報表審計可以整合起來進行。

　　1.內部控制審計與財務報表審計的異同。內部控制審計要求對企業控制設計和運行的有效性進行測試，在財務報表審計中，也要求了解企業的內部控制，并在需要時測試控制，這是兩種審計的相同之處，也是整合審計中應整合的部分，但由于兩種審計的目標不同，審計指引要求在整合審計中，注冊會計師對內部控制設計與運行的有效性進行測試，要同時實現兩個目的：

　　（1）獲取充分、適當的證據，支持在內部控制審計中對內部控制有效性發表的意見；

　　（2）獲取充分、適當的證據，支持在財務報表審計中對控制風險的評估結果。

　　2.兩種審計的整合。財務報告內部控制審計與財務報表審計通常使用相同的重要性（或重要性水平），在實務中兩者很難分開。因為注冊會計師在審計財務報表時需獲得的信息在很大程度上依賴注冊會計師對內部控制有效性得出的結論。注冊會計師可以利用在一種審計中獲得的結果為另一種審計中的判斷和擬實施的程序提供信息。

　　實施財務報表審計時，注冊會計師可以利用內部控制審計的結果來修改實質性程序的性質、時間安排和范圍，并且可以利用該結果來支持分析程序中所使用的信息的完整性和準確性。在確定實質性程序的性質、時間安排和范圍時，注冊會計師需要慎重考慮識別出的控制缺陷。

　　實施內部控制審計時，注冊會計師需要評估財務報表審計時實質性程序中發現問題的影響。最重要的是，注冊會計師需要重點考慮財務報表審計中發現的財務報表錯報，考慮這些錯報對評價內控有效性的影響。