10非财务报告内部控制工作的考虑

非财务报告内部控制工作的考虑目前，内部控制审计在国际上多为针对与财务报告相关的内部控制，一般不 强制要求注册会计师在审计财务报告内部控制和出具审计报告时，考虑和披露非 财务报告内部控制重大缺陷。因此，非财务报告内部控制工作属于首次尝试，在工作范围、程序和披露方面均存在一些难点需要讨论。本章的目的就是从非财务报告内部控制的含义、非财务报告内部控制工作的 总体要求、非财务报告内部控制工作的信息来源、注意到的发现与控制缺陷、非 财务报告内部控制缺陷评价及非财务报告内部控制披露等六个方面提出非财务报告内部控制工作的思路和可参考原则。注册会计师在实际工作中可以考虑以本章内容为参考，结合自身职业判断完 成非财务报告内部控制的相关工作。第一节 非财务报告内部控制的含义一、财务报告内部控制与非财务报告内部控制的含义 财政部会计司、中注协在对审计指引的解读中指出，财务报告内部控制，是指企业为了合理保证财务报告及相关信息真实完整而设计和运行的内部控 制，以及用于保护资产安全的内部控制中与财务报告可靠性目标相关的控制。财务报告内部控制主要包括下列方面的政策和程序：（1）保存充分、适当的记录，准确、公允地反映企业的交易和事项； （2）合理保证按照企业会计准则的规定编制财务报表；（3）合理保证收入和支出的发生以及资产的取得、使用或处置经过适当授权；（4）合理保证及时防止或发现并纠正未经授权的、对财务报表有重大影响 的交易和事项。非财务报告内部控制，是指除财务报告内部控制之外的其他控制，通常是指 为了合理保证经营的效率效果、法律法规的遵循、发展战略的实现而设计和运行的控制，以及用于保护资产安全的内部控制中与财务报告可靠性目标无关的控制。简单来说，财务报告内部控制与非财务报告内部控制二者之间的关键区别在于：控制是否有助于合理保证财务报告及相关信息真实完整。如果是，则属于财务报告内部控制；如果不是，则属于非财务报告内部控制。但控制目标与控制措施二者之间的联系并非是单一的：一项控制往往可以支撑多个控制目标，例如，在财务报告内部控制领域中，某项控制是用于保护资产安全的内部控制中与财务报告可靠性目标相关的控制，但同时在非财务报告内部控制领域中，该项控制又可以同时合理保证经营的效率效果等非财务报告内部控制目标。因此，不能把财务报告内部控制和非财务报告控制看做完全割裂的两类控制，二者之间相互联系、相互渗透，从一定意义上说，这两类控制是一个密切关联的整体。注册会计师应本着实质重于形式的原则，着重考虑非财务报告内部控制的一些性质特点，确定是否与财务报告控制目标直接相关，而不是拘泥于制定绝对的判定标准。二、财务报告与非财务报告内部控制的主要概念比较在进行内部控制审计过程中，对于一些概念，财务报告内部控制与非财务报告内部控制在原则上不存在重大差别，可以通用。但由于控制目标以及具体控制活动性质的不同，财务报告内部控制与非财务报告内部控制在一些概念应用方面会存在一些差异，需要注册会计师在实际工作中予以区分并灵活处理，现就存在差异的内部控制主要概念比较说明如下。1.补偿性控制就财务报告内部控制而言，由于所涉及的控制目标（即财务报告的真实完整）以及风险（即财务报告的重大错报）相对明确，当一项控制存在控制缺陷时，如果存在另一项或多项执行有效的控制可以有效地全部或局部降低该缺陷导致财务报告错报的影响程度，那么该控制就可以作为有缺陷的控制的补偿性控制。例如，如果业务单据需要业务部门主管领导的审批签字以确保业务单据记录信息的准确性及完整性，但在实际操作中并没有执行，则相关业务的准确性及完整性可能会无法得到保障。这时，额外人员针对单据的独立复核及财务部门主管的审阅，在某种程度上保障业务记录的准确性及完整性。额外人员的独立复核及财务部门主管的审阅即为业务单据需由业务主管部门领导审批签字的补偿性控制。需要强调的是：在考虑补偿性控制的实际作用的时候，必须明确补偿性控制和原来的控制在执行的精确度上是否有所区别。对非财务报告内部控制而言，由于相关的控制目标覆盖面广，以及一项控制可能对应多个风险，因此， “补偿”的概念不一定能像财务报告内部控制那样简单应用“降低该缺陷导致财务报告错报的影响程度”来衡量，再加上所影响的范围不一定能量化（如折算出影响的金额） ，因此，注册会计师在非财务报告内部控制工作中一定要根据实际情况，应用职业判断谨慎使用补偿性控制概念。2.缺陷整改财务报告内部控制的缺陷是影响财务报告可靠性的目标，造成潜在的财务报告的重大错报，但由于企业只在既定的时点发布财务报告（如会计年度结束后） ，因此，尽管在某段时间财务报告内部控制曾经存在缺陷，只要相关缺陷得到整改，可以不影响最终发布的财务报告的真实性和可靠性。此外，由于注册会计师是基于基准日（即年末 12 月 31 日）对财务报告内部控制的有效性发表意见，而不是对财务报表涵盖的整个期间（如一年）的内部控制有效性发表意见，如果注册会计师能获取足够的审计证据，确认内部控制的设计和运行情况的缺陷得到整改，不会影响最终的审计意见。因此，针对财务报告内部控制缺陷，企业拥有时间和空间进行整改并运行以满足控制目标。例如，注册会计师在 5 月份对企业的财务报告内部控制进行测试，发现企业存在出纳人员兼任费用账目登记工作的不相容岗位职责问题后提请企业进行整改。企业在 7 月底完成岗位职责和相关流程的调整，注册会计师在完善后的控制运行了一段时间后（一般至少 3 个月） ，于 11 月再对整改后的财务报告内部控制进行测试，确认岗位职责已经分离，不再存在例外情况，则该项财务报告内部控制是有效的，不会影响财务报告内部控制有效运行的意见。对于非财务报告内部控制的缺陷，由于相关的控制目标涉及经营的效率效果、法律法规的遵循、发展战略的实现等多个方面，因此，非财务报告内部控制-旦存在缺陷，可能马上对相关的控制目标产生影响，例如，注册会计师在 5月份执行财务报告内部控制审计工作时，发现企业由于质量控制方面存在问题，导致生产的食品中添加剂超出国家法律法规规定标准，由于 5 月份以前生产的产品已经投放市场销售，基于以上情况，尽管质量控制可以进行整改完善，但对企业已经构成的违规行为以及相关的影响不会因此得到减轻。因此，缺陷整改的概念对财务报告内部控制及非财务报告内部控制在应用上有一定的区别。3.认定中国注册会计师审计准则第 1301 号-审计证据规定，认定是指管理层对于财务报表各组成要素的确认、计量、列报作出的明确或隐含的表达。 企业内部控制审计指引解读指出，注册会计师需要针对每一相关认定，获取控制有效性的证据，以便对财务报告内部控制整体的有效性单独发表意见。由于审计指引要求注册会计师只对财务报告内部控制的有效性发表意见，考虑到非财务报告内部控制的性质，因此，认定的概念只适用于财务报告内部控制相关领域。第二节 非财务报告内部控制工作的总体要求审计指引对注册会计师就非财务报告内部控制工作提出了要求：审计指引第四条指出，注册会计师应对财务报告内部控制的有效性发表审计意见，并对在内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。审计指引附录中进一步明确了注册会计师应对非财务报告内部控制的责任。内部控制审计报告的参考格式第五部分就非财务报告内部控制的重大缺陷指出：注册会计师“并不对公司的非财务报告内部控制发表意见或提供保证。本段内容不影响对财务报告内部控制有效性发表的审计意见” 。因此，注册会计师只有披露非财务报告内部控制重大缺陷的责任，而没有对非财务报告内部控制的有效性进行审计的责任。审计指引第二十条指出：“内部控制缺陷按其成因分为设计缺陷和运行缺陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷。注册会计师应当评价其识别的各项内部控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷。 ”因此， 审计指引明确了注册会计师对在财务报告内部控制审计过程中所注意到的非财务报告内部控制缺陷需要作出进一步评价的责任。第三节 非财务报告内部控制工作的信息来源一、非财务报告内部控制工作的信息来源审计指引第七条指出，在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表及审计工作的影响：（1）与企业相关的风险；（2）相关法律法规和行业概况；（3）企业组织、经营特点和资本结构等相关重要事项； （4）企业内部控制最近发生变化的程度；（5）与企业沟通过的内部控制缺陷；（6）重要性、风险等与确定内部控制重大缺陷相关的因素； （7）对内部控制有效性的初步判断；（8）可获取的、与内部控制有效性相关的证据的类型和范围。因此，注册会计师在财务报告内部控制审计过程中需要注意对于信息的收集、分析及跟进。尤其是财务报表与内部控制整合审计过程中，需要连续和动态地收集、更新与分析信息，并将其贯穿于整个审计始终。需要明确的是，注册会计师需要对财务报告内部控制相关的信息进行收集，并在此过程中，适当注意可能存在的非财务报告内部控制缺陷。在通常情况下，注册会计师主要的信息收集渠道包括但不限于：搜集有关财务报告内部控制相关的规章制度、图表、规程等书面的或尚未成文的规定；阅读已收集到的文件、记录和内部控制手册等资料，询问被审计单位管理层和内部其他人员；实地观察被审计单位的生产经营活动；实地查看被审计单位的生产经营场所和设备；审阅董事会的会议纪要，企业内部控制自我评价报告，企业内、外部监督部门的内控发现等。需要强调的是：以上的工作是注册会计师在财务报告内部控制审计过程中所执行的，而不是刻意为了获取非财务报告内部控制工作相关信息而制定的。如注册会计师可能由于执行盘点工作而实地走访被审计单位的生产经营场所，观察到其生产设备管理的一些问题，而不是为了非财务报告内部控制工作而特意选择经营场所进行专访。二、注册会计师对于获取的非财务报告内部控制信息的责任与义务注册会计师不需要对非财务报告内部控制出具审计意见。针对通过不同渠道（如董事会的会议纪要、企业内部控制自我评价报告、企业内、外部监督部门的内控发现等）所获取的有关非财务报告内部控制的信息，注册会计师可以根据职业判断，对相关信息进行分析评价，以便有针对性地对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷予以披露。第四节 注意到的发现与控制缺陷注册会计师在进行非财务报告内部控制工作的过程中，在控制缺陷评价之前的一项重要工作就是区分与确认注意到的内部控制发现是否构成控制缺陷，因此，注册会计师对于非财务报告内部控制发现需要谨慎对待，不能盲目得出结论或决定下一步工作，在具体对非财务报告内部控制发现进行评价与考虑的过程中，需要明确以下原则：慎重对待控制的有效性，对于例外情况是否构成控制偏差或控制缺陷需要全面考虑，例外情况不一定构成控制偏差或控制缺陷，尤其是对非财务报告内部控制而言。发生损失并不意味着企业一定有内部控制缺陷，需要基于分析基础之上运用职业判断，合理证明是否由于一个或多个控制缺陷而导致。因此，对发现的损失或错误应分析其成因，才能找到真正的内部控制缺陷，而不是简单地将发现的事实作为缺陷。“内部控制有效运行”不等于或者保证“企业业绩优良” 。“内部控制有效运行”并不意味着是对各控制目标实现的绝对保证。内部控制定义中的“合理保证” ，就是指内部控制存在固有局限性。注册会计师在进行控制缺陷评价时，需注意依据不同控制目标区别对待评价方式，如定性评价方式与定量评价方式。如果在非财务报告内部控制缺陷评价过程中考虑采用定量评价方式，则非财务报告内部控制评价的重要性水平可以参考财务报表重要性水平。下节将具体解释缺陷评价的相关内容。第五节 非财务报告内部控制缺陷评价一、非财务报告内部控制缺陷的定义非财务报告内部控制缺陷主要是指相关控制不能及时防止或发现并纠正影响经营的效率效果、遵守法律法规、实现发展战略以及影响保护资产安全中与报告可靠性目标无关的内部控制目标。二、非财务报告内部控制缺陷分类根据企业内部控制评价指引第十七条，重大缺陷、重要缺陷和一般缺陷的定义分别如下：重大缺陷，是指一个或多个内部控制缺陷的组合，可能导致企业严重偏离内部控制目标。重要缺陷，是指一个或多个内部控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离内部控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。为了保证财务报告内部控制和非财务报告内部控制的评价标准保持一致，非财务报告内部控制的缺陷应按照同样的定义进行区分。三、非财务报告内部控制缺陷评价方法非财务报告内部控制缺陷的评价方式包括了定性评价方式及定量评价方式，在具体对缺陷进行评价时，注册会计师应该考虑采用定性结合定量的工作方法，并根据实际情况，谨慎选择。 （一）定性评价方式在定性评价方式的应用中，注册会计师需要谨慎考虑事实依据并结合职业判断。同时，注册会计师需要谨慎对待重大缺陷的迹象，并且能够合理证明是由于一个或多个控制缺陷而导致。重大缺陷的迹象包括但不限于：重大偏离预算；政府监管部门的处罚； 企业的重大损失。（二）定量评价方式注册会计师在评价控制缺陷时，对于控制缺陷严重程度的评价是依赖于公司的控制是否无法及时预防或者发现偏离某个控制目标。由于非财务报告内部控制涉及的控制目标广泛，为避免导致对一项风险进行反复的评价，注册会计师对非财务报告内部控制缺陷严重程度的评价不宜针对企业涉及的每类风险分别评价重要性排序、汇总。因此，选择正确的侧重点以及相关的重要性水平就显得尤为重要。注册会计师可以考虑把非财务报告内部控制重大缺陷定义为：内部控制中存在的、具有合理可能性导致不能及时防止或发现潜在的对企业出现重大财务负面影响的一项缺陷或多项缺陷的组合。在非财务报告内部控制缺陷评价的领域，注册会计师须制定出一套可以在企业不同经营状况下均可衡量与控制目标偏离严重程度的方法。由于在财务报表审计及财务报告内部控制审计过程中，注册会计师在制定相关重要性水平时，已经根据企业面临的环境，并综合考虑其他因素，应用职业判断，合理确定了重要性水平，因此，非财务报告内部控制的重要性水平从原则上可以参考采用财务报表重要性水平，相应地，重大负面影响的衡量标准以财务报表重要性水平为依据确定。四、非财务报告内部控制缺陷评价步骤注册会计师可以按照图 6-1 所示的缺陷评价步骤对非财务报告内部控制缺陷进行评价。步骤一：分析内控发现的成因，并执行必要的程序，初步判断该内控发现是否构成缺陷。在进行缺陷评价时，注册会计师首先需要对在审计过程中的内控发现（包括例外情况、表明内部控制存在重大缺陷的迹象等）进行分析，判断该发现是否构成一个内部控制缺陷。注册会计师在判断时，需要了解该内控发现产生的原因和导致的结果，是系统性重复发生的（例如，内部控制设计不足或执行中存在问题，如合同审阅人员不具备充足的法律知识，信息系统设置错误，业务操作人员不重视或未认真执行内控措施等） ，还是偶然孤立的（如合同审阅人员突然因病休假，导致某份合同没有审阅等） 。应该考虑的因素包括：该内控发现出现的频率。如果在某个内部控制测试中发现类似的两个或两个以上的内控发现，则表明该内控发现是重复发生的。与内部控制执行频率相关的偏差率（如，在不考虑追加测试的情况下，可以假设执行频率小于“每天”的内部控制中的一项控制发现就成为内部控制缺陷） 。定性因素，包括被确认为系统性的或反复发生的控制发现。 需要特别强调的是，某些情况可能并不是由内部控制缺陷本身导致的。这些情况通常包含了特有的事实和环境，并且被定性的因素所影响。如果通过上述分析，注册会计师认为该内控发现属于系统性重复发生的，则该内控发现将构成内部控制缺陷，则进到步骤二进行缺陷评价。如果是偶然孤立的，则不构成内部控制缺陷。步骤二：考虑已发现的控制缺陷与非财务报告内部控制目标是否关联。在进行非财务报告内部控制缺陷评价时，首先需要关注相关缺陷是否与非财务报告内部控制目标相关联。如果某项控制不与非财务报告内部控制目标相关联，而是与财务报告内部控制目标相关联，注册会计师需要应用财务报告内部控制缺陷评价流程对其进行评价，认定是否为财务报告内部控制缺陷。但由于一项控制往往可以支撑多个控制目标，因此，如果某项控制既与财务报告内部控制目标相关联，又同时影响非财务报告内部控制目标，为了避免一项控制被重复评价，注册会计师只需要应用财务报告内部控制缺陷评价流程对其进行评价。图 6-1 非财务报告内部控制缺陷评价步骤步骤三：判断此缺陷（或缺陷汇总）是否存在合理的可能性导致对企业产生潜在负面财务影响。注册会计师在应用定量方法评估与非财务报告内部控制相关的控制缺陷严重性时，应当同时考虑由此缺陷（或同类缺陷的汇总影响）导致对企业产生重大负面财务影响的可能性和重大程度。在本步骤中，注册会计师的侧重点在于从可能性的角度去分析评价控制缺陷。在考虑一个缺陷或缺陷汇总是否存在合理的可能性导致对企业产生重大负面财务影响时，注册会计师应该考虑一些有关“可能性”的风险因素。步骤四：确定该缺陷（或缺陷汇总）可能导致的负面财务影响是否重大（考虑定量和定性因素） 。注册会计师应该从定量角度出发去评估缺陷（无论单独或汇总）导致的对企业产生重大负面财务影响的程度。此影响不能被一个控制或控制组合所预防或及时发现，而且会对相关领域产生重大影响。注册会计师对于非财务报告内部控制缺陷重大影响的评价需要考虑非财务报告内部控制重要性水平，该重要性水平可以参考财务报表审计的评价原则与方法，并与财务报表审计的评价依据一致，即采用统一的重要性水平。同时，注册会计师还需要从定性的角度出发，考虑一个缺陷（或缺陷汇总）导致对企业产生重大负面财务影响的相关因素，对依赖此信息的人员的预期及其他需要考虑的因素。步骤五：考虑补偿性控制。为了得出补偿性控制有效运行的结论，注册会计师应当评估补偿性控制并应当获取其运行有效的证据。以一定程度的精确性有效运行的补偿性控制，单独或组合起来，将可能预防或发现控制目标的偏离，因而会减少或者减轻已确认的控制缺陷所导致的潜在影响。但正如前文所描述的，注册会计师在评估非财务报告内部控制缺陷严重性之前考虑补偿性控制时，需要慎重考虑。步骤六：判断此缺陷（或缺陷汇总）的重要程度是否足以引起相关业务主管负责人的重视。注册会计师对于缺陷的评价还需要从定性的角度出发，对于企业内部控制缺陷的评价需要大量运用经验和判断，因此，在完成步骤三或步骤四，并得到“否”的答案后，注册会计师需要从谨慎性的角度出发，考虑该缺陷（或缺陷汇总）的重要程度是否足以引起相关业务负责人的重视，从而得出该缺陷（或缺陷汇总）的重要程度是否为一般缺陷或重要缺陷的结论。本步骤中所指的业务主管负责人是企业负责该项业务的中高层管理人员及董事会成员。对于非财务报告内部控制缺陷，注册会计师需要运用职业判断，评估缺陷的重要程度是否足以引起企业管理人员的关注。步骤七：考虑谨慎的第三方人员是否能得出该缺陷（或缺陷汇总）为重大缺陷的结论。在评估一个缺陷（或缺陷汇总）的严重性时，注册会计师应当考虑一个足够知情的、有胜任能力的并且客观的第三方人员是否会认为此控制缺陷（或缺陷汇总）为重大缺陷。此处所指的“谨慎的第三方人员”是指一个具有一定知识和能力的第三方人员（如监管部门人员、投资人等） ，在与注册会计师取得同样的内部控制缺陷相关信息时，是否会认为该控制缺陷（或缺陷汇总）会导致财务报告的重大错报。如果是，则该缺陷构成重大缺陷；反之，则为重要缺陷。该步骤的目的是注册会计师在对内部控制缺陷进行定性和定量分析评价的基础上，充分发挥职业谨慎态度，从外部第三方的角度重新审视内部控制缺陷或缺陷汇总的严重性，从而得出内部控制是否有效的结论。步骤八：判断在考虑了所有的情况（包括定性因素）后，是否能够得出某些特殊事项并不由控制缺陷导致的结论。某些特殊事项不一定是由控制缺陷导致的，这些情况通常包含特殊的背景和环境。如果注册会计师有充分的证据表明公司的管理层已建立了合理的程序收集处理相关信息，并且有关控制是设计合理、运行有效的，可以合理地认为控制并没有失效。不过发生此类特殊情形却不是由于控制缺陷造成的情况很少。因此，注册会计师必须基于每家公司特定的环境和时点作慎重考虑。第六节 非财务报告内部控制工作的披露审计指引第三十二条要求，注册会计师对在审计过程中注意到的非财务报告内部控制缺陷，应当区别具体情况予以处理：（1）注册会计师认为非财务报告内部控制缺陷为一般缺陷的，应当与企业进行沟通，提醒企业加以改进，但无需在内部控制审计报告中说明。（2）注册会计师认为非财务报告内部控制缺陷为重要缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进，但无需在内部控制审计报告中说明。（3）注册会计师认为非财务报告内部控制缺陷为重大缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进；同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实现相关控制目标的影响程度进行披露，提示内部控制审计报告使用者注意相关风险。在实际操作中，注册会计师应就非财务报告内部控制缺陷与企业董事会（审计委员会）和经理层沟通，同时需要按照审计指引的要求完成对外部的披露，有关非财务报告内部控制缺陷与企业董事会和经理层沟通的具体内容，请具体参见第七章完成审计工作 ，有关对外部的披露，请具体参见第八章出具审计报告