内部控制审计报告
出具审计报告本章遵循财政部等五部委发布的审计指引第六章,结合财务报表审计及出具审计报告的相关实践经验,以注册会计师在出具内部控制审计报告时如何考虑报告意见类型、撰写不同类型的内部控制审计报告为重心,对注册会计师出具内部控制审计报告涉及的相关方面提供参考性指引,以期对注册会计师执行内部控制审计并发表意见有所帮助。第一节 内部控制审计报告概述一、内部控制审计报告的含义审计指引第二十七条规定:“注册会计师在完成内部控制审计工作后,应当出具内部控制审计报告。 ”内部控制审计报告是会计师事务所接受委托,对被审计单位特定基准日财务报告内部控制设计与运行的有效性进行审计后,向委托人提交的最终产品,具有以下特征:1.注册会计师在执行内部控制审计业务并出具审计报告时,首先必须遵守中国注册会计师鉴证业务基本准则 (以下简称“鉴证业务基本准则” )的规定;其次审计指引是用以规范注册会计师执行内部控制审计业务的标准,在执业过程中审计指引有明确规定的依照规定执行,没有明确规定的应该按照注册会计师相关执业准则的规定执行:2.从审计指引第六章及所附的“内部控制审计报告参考格式”分析,内部控制审计应该属于鉴证业务基本准则所定义的直接报告业务,保证程度为合理保证,注册会计师必须以积极方式发表审计意见。3.注册会计师应在完成全部审计工作后才能出具审计报告。注册会计师应该按照审计指引的要求计划和实施审计工作,对识别出的控制缺陷进行评价,获取企业签署的书面声明,完成与企业的书面沟通,并将审计过程完整地记录在工作底稿中,形成对特定基准日财务报告内部控制有效性的意见,才能签发审计报告。4.企业内部控制活动是动态过程,而内部控制审计报告是对特定基准日财务报告内部控制的有效性发表意见,注册会计师不需要测试特定基准日前整个会计期间,但要测试靠近基准日足够长的期间,并获取特定基准日后内部控制是否存在变化或者存在对内部控制有重要影响因素的书面声明,考虑期后事项对审计意见类型的影响后签发报告。5.注册会计师在执行审计工作时,对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷,在内部控制审计报告中予以披露,但不应影响审计报告的意见类型。6.按意见类型来划分,内部控制审计报告可分为三种形式,即无保留意见、否定意见和无法表示意见的内部控制审计报告。按是否为标准意见来划分,内部控制审计报告可分为标准内部控制审计报告和非标准内部控制审计报告,后者又可分为带强调事项的无保留意见内部控制审计报告、否定意见内部控制审计报告和无法表示意见内部控制审计报告。二、注册会计师对内部控制审计报告的责任审计指引第四条规定:“注册会计师应当对财务报告内部控制的有效性发表审计意见,并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷,在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段予以披露。 ”注册会计师一方面应当根据对审计证据的评价结果,清楚地表达对财务报告内部控制有效性的意见;另一方面有责任在内部控制审计报告中披露审计过程中注意到的非财务报告内部控制的重大缺陷,但注册会计师没有责任对非财务报告内部控制的有效性进行审计并发表意见。注册会计师虽然没有责任对企业非财务报告内部控制的有效性发表审计意见,但有责任对注意到的非财务报告内部控制的重大缺陷进行披露,这意味着注册会计师在内部控制审计计划、实施、沟通等各个阶段和过程中都应该对注意到的有关非财务报告内部控制情况给予适当关注;但是这并不意味着其审计范围覆盖企业内部控制的全部,注册会计师的审计范围应该限定在财务报告内部控制范围内。注册会计师应该了解,非财务报告内部控制是企业内部控制的重要组成部分,与财务报告内部控制-起构成全面而完整的内部控制体系,两者之间往往难以进行绝对的划分,非财务报告内部控制的重大缺陷也可能影响财务报告内部控制的有效性;审计报告中对非财务报告内部控制的重大缺陷进行披露能增强审计报告的有用性和信息含量。审计指引第三十二条将非财务报告内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷三大情况,并要求分别进行不同的处理,其中需要在内部控制审计报告中披露的只有非财务报告内部控制重大缺陷,其他两种情况无需在内部控制审计报告中说明。三、内部控制审计报告与财务报表审计报告 (一)分别出具审计报告审计指引第五条规定,注册会计师可以单独进行内部控制审计,也可将内部控制审计与财务报表审计整合进行(以下简称整合审计) ,但是无论采用哪种方式进行审计,注册会计师应该分别对内部控制和财务报告出具审计报告。(二)意见类型的关系财务报表审计报告与内部控制审计报告的关系,从理论上分析前者是对财务报告的公允性发表鉴证意见(结果有效性) ,后者是对财务报告内部控制的有效性发表鉴证意见(过程有效性) ,由于发表意见的对象不同,内部控制审计报告的意见类型与财务报表审计的意见类型存在联系,但并非一一对应。在执行财务报表审计的过程中,注册会计师发现了企业财务报告存在重大错报,企业接受建议对财务报告中的重大错报进行了调整,在确认没有其他重大影响财务报告公允性的事项且审计范围没有受到限制的情况下,注册会计师应该对企业的财务报告出具标准意见审计报告;但如果该错报是由于企业的财务报告内部控制存在重大缺陷而引起的,此时注册会计师应该对企业财务报告内部控制的有效性出具否定意见。注册会计师对企业财务报表发表否定意见,意味着注册会计师认为财务报告存在重大错报会误导使用者,财务报告的编制不符合适用的会计准则和相关会计制度的规定,因此,通常情况下企业的财务报告内部控制有效性也应该被出具否定意见,如果注册会计师出具了其他类型的审计报告,将使同时阅读两个审计报告的报告使用者产生疑惑。注册会计师对企业财务报表发表无法表示意见,意味着在对企业财务报告进行审计时,因为范围受到限制可能产生的影响非常重大和广泛,不能获取充分、适当的审计证据,以至于无法对财务报表的公允性、合法性发表鉴证意见。注册会计师应当就以上财务报表审计范围受到重大限制对内部控制审计的影响与被审计单位进行书面沟通,并分析以上限制的形成原因,对于客观因素造成的限制,注册会计师应该进行风险评估,考虑对内部控制审计的影响,并根据影响程度判断对内部控制审计报告意见类型的影响。对于企业主观因素造成的财务报表审计 范围受限,注册会计师通常应该考虑解除内部控制审计业务约定或对财务报告内 部控制发表无法表示意见。注册会计师对企业财务报表发表保留意见,则注册会计师需要对导致出具伤 留意见的事项进行分析,判断造成保留事项的原因是否与企业内部控制相关,考 虑对测试程序和缺陷评价的影响,并将该事项与被审计单位进行书面沟通,明耐 对内部控制审计报告意见类型的影响。总体上分析,财务报表审计意见与内部控制审计意见相互关联,但不是必烈 一致,注册会计师在对财务报告发表非标准无保留审计意见时,需要慎重考虑型 对内部控制审计意见的影响,反之亦然。(三)报告签署日期的关系根据注册会计师执业准则的相关规定,财务报表审计报告应当注明报告日 期,审计报告的日期不应早于被审计单位管理当局签署财务报告的日期。实务牛 注册会计师签署审计报告的日期通常与被审计单位签署已审计财务报表的日期为同一天。企业是否正确编制和及时对外提供财务报告和审计报告是财务报告内部控制是否有效的重要证据,因此内部控制审计报告中签署的报告日期不能早于财务报表审计报告的报告日期。如果内部控制审计和财务报表审计整合进行,注册会计师对内部控制审计报告和财务报表审计报告需要签署相同的日期。在非整合审计的情况下,内部控制审计报告的报告日期不能早于财务报表审计报告的报告日期,并尽量保持一致。第二节 内部控制审计报告的基本内容一、内部控制审计报告的要素审计指引第二十七条规定,标准内部控制审计报告应当包括下列要素:标题;收件人;引言段;企业对内部控制的责任段;注册会计师的责任段;内部控制固有局限性的说明段;财务报告内部控制审计意见段;非财务报告内部控制重大缺陷描述段;注册会计师的签名和盖章;会计师事务所的名称、地址及盖章;报告日期。二、标题根据审计指引第二十七条的规定,报告标题统一为“内部控制审计报告” 。三、收件人内部控制审计报告的收件人是指注册会计师按照业务约定书的要求致送审计报告的对象,一般是指审计业务的委托人。审计报告应当载明收件人的全称。注册会计师应当与委托人在业务约定书中约定致送审计报告的对象,以防止在此问题上发生分歧或审计报告被委托人滥用。四、引言段内部控制审计报告的引言段指明注册会计师进行审计工作应该遵循审计指引及中国注册会计师执业准则的相关要求,并包括下列内容:(1)指明被审计单位的名称及受托依据;(2)指明审计的对象是财务报告内部控制的有效性; (3)内部控制审计的基准日。五、企业对内部控制的责任段在企业对内部控制的责任段应当说明,按照企业内部控制基本规范 、企业内部控制应用指引 、 企业内部控制评价指引的规定,建立健全和有效实施内部控制,并评价其有效性是企业董事会的责任。审计指引第三条规定:“建立健全和有效实施内部控制,评价内部控制的有效性是企业董事会的责任。 ”在审计报告中指明企业董事会的责任,有利于区分企业董事会和注册会计师的责任,降低审计报告使用者误解注册会计师责任的可能性。六、注册会计师的责任段在注册会计师责任段中应该说明,注册会计师在实施审计工作的基础上,对内部控制的有效性发表审计意见,并对注意到的非财务报告内部控制的重大缺陷进行披露是注册会计师的责任。七、内部控制固有局限性的说明段在内部控制固有局限性的说明段中应当说明,内部控制具有固有局限性,存在不能防止和发现错报的可能性。此外,由于情况的变化可能导致内部控制变得不恰当,或对控制政策和程序遵循的程度降低,根据内部控制审计结果推测未来内部控制的有效性具有一定风险。内部控制无论如何有效,都只能为企业实现控制目标提供合理保证。内部控制实现目标的可能性受其固有限制的影响,例如:(1)在决策时人为判断可能出现错误和因人为失误而导致内部控制失效; (2)控制可能由于两个或更多的人员进行串通舞弊或管理层凌驾于内部控制之上而被规避。注册会计师是基于特定基准日对内部控制有效性发表审计意见的,在基准日之后由于情况发生变化,可能使得原有的内部控制设计失效,或者在基准日后内部控制的运行不再有效。因此,必须提醒报告使用者的是:根据内部控制审计报告推测未来内部控制有效性存在一定风险,正如财务报告使用者不能根据已经审计的财务报表推测企业未来的经营成果和财务状况。八、财务报告内部控制审计意见段在财务报告内部控制审计意见段中应当说明,企业的内部控制是否按照企业内部控制基本规范和相关规定在所有重大方面保持了有效的财务报告内部控制。以上“相关规定”主要是指企业内部控制应用指引和企业内部控制评价指引 。以上“保持了”通常是指至基准日止不少于三个月的期间财务报告内部控制有效性得到一贯保持。九、非财务报告内部控制重大缺陷描述段审计指引第三十二条规定,注册会计师对在审计过程中注意到的非财务报告内部控制缺陷,应当区别具体情况予以处理:(1)注册会计师认为非财务报告内部控制缺陷为一般缺陷的,应当与企业进行沟通,提醒企业加以改进,但无需在内部控制审计报告中说明。(2)注册会计师认为非财务报告内部控制缺陷为重要缺陷的,应当以书面形式与企业董事会和经理层沟通,提醒企业加以改进,但无需在内部控制审计报告中说明。(3)注册会计师认为非财务报告内部控制缺陷为重大缺陷的,应当以书面形式与企业董事会和经理层沟通,提醒企业加以改进;同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段,对重大缺陷的性质以及重大缺陷对实现相关控制目标的影响程度进行披露,提示内部控制审计报告使用者注意相关风险。非财务报告内部控制重大缺陷描述段并非内部控制审计报告的必要要素,若未发现非财务报告重大缺陷则不必在审计报告中增加本段内容。审计指引规定,注册会计师对注意到的非财务报告内部控制重大缺陷有审计证据并对获取的审计证据的充分性和适当性进行评价后,形成审计意见,出具审计报告。审计工作中受到限制是指:注册会计师对于企业的某项或多项重要内部流程和控制的测试工作受到了限制,即无论通过观察、询问、检查、重新执行等何种测试方法都无法获取相关证据,判断其是否存在重大缺陷。注册会计师在考虑审计工作中是否受到限制时,需要考虑该限制是否导致注册会计师无法取得充分、适当的证据,比如,某重要流程的相关控制文档部分遗失,无法对其进行检查,但是通过询问并对尚未遗失的文档的检查等程序获得了相关审计证据,注册会计师能利用这些证据对该流程的有效性进行评价,则不构成对审计的限制。第四节 非标准内部控制审计报告一、带强调事项段的无保留意见内部控制审计报告 审计指引第二十九条规定:注册会计师认为财务报告内部控制虽不存在重大缺陷,但仍有一项或者多项重大事项需要提请内部控制审计报告使用者注意的,应当在内部控制审计报告中增加强调事项段予以说明。注册会计师应当在强调事项段中指明,该段内容仅用于提醒内部控制审计报告使用者关注,并不影响对财务报告内部控制发表的审计意见。在意见段之后增加强调事项段,只是增加内部控制审计报告的信息含量,提高内部控制审计报告的有用性,不影响发表的审计意见。会计师事务所及其注册会计师不能以强调事项段代替应当发表的否定或无法表示审计意见。(一)强调事项应当符合的条件 强调事项应当同时符合下列条件:(1)对企业财务报告内部控制有重大影响,但被审计单位进行了恰当的处理,并向注册会计师出具了书面声明书;(2)不构成企业财务报告内部控制及非财务报告内部控制重大缺陷,不影响审计意见类型。注册会计师在考虑强调事项段时应该参照相关执业准则的规定执行。 (二)增加强调事项段的情形增加强调事项段的情形主要有:1.以前年度企业内部控制存在重大缺陷。企业上年度内部控制存在重大缺陷,被出具了否定意见或在审计报告中进行了披露(针对非财务报告内部控制重大缺陷) ,本期通过改进已经消除了缺陷,在内部控制自我评价报告中对此进行了充分的披露,并向注册会计师提交了相关书面声明,注册会计师应该在审计意见段之后增加强调事项段,提醒审计报告使用者注意企业内部控制评价报告中对有关改进事项的披露。2.重大不确定事项。这里的不确定事项是指其结果依赖于未来行动或事项,不受被审计单位的直接控制,但可能影响企业内部控制的事项。例如,被审计单位在基准日前接受了反垄断机构的调查,在内部控制审计报告签发时尚未结束,被审计单位可能面临被分拆的处罚。是否被处罚是一种不确定事项,因为最终结果依赖于反垄断机构调查结果和判定,不受被审计单位直接控制,也不以被审计单位的意志为转移。但该事项一旦被最后裁定,可能给被审计单位的内部控制带来重大影响。这时注册会计师应该在审计意见段之后增加强调事项段,提醒报告使用者关注企业内部控制可能发生的重大变化。3.考虑财务报表审计报告中强调事项段和其他事项段。在考虑强调事项段时,如果与内部控制审计报告一同披露的财务报表审计报告中存在强调事项段和其他事项段,且这些事项可能涉及内部控制或内部控制的可能变化,注册会计师应该关注并考虑是否在内部控制审计报告中予以相应披露,其中对于与持续经营相关的事项应该在内部控制审计报告中增加强调事项段进行披露。4.期后事项原则上不作为强调事项段进行披露。二、否定意见内部控制审计报告审计指引第三十条规定:“注册会计师认为财务报告内部控制存在一项或多项重大缺陷的,除非审计范围受到限制,应当对财务报告内部控制发表否定意见。 ”审计指引第三十三条规定:“注册会计师知悉对企业内部控制自我评价基准日内部控制有效性有重大负面影响的期后事项的,应当对财务报告内部控制发表否定意见。 ”注册会计师在发表否定意见时,应该在意见段之前增加“导致否定意见的事项”描述段,因为内部控制审计属于鉴证业务基本准则所规范的直接报告业务,为了使审计报告使用者了解注册会计师的判断基础,增加审计报告信息的有用性,描述段中应该包括对重大缺陷的定义、重大缺陷的性质以及重大缺陷对财务报告内部控制的影响程度。【例 8-1】导致否定意见的事项重大缺陷:是指内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报的一个或多个内部控制缺陷的组合。经测试我们发现公司期末存货金额占期末资产总额的 40%,但与存货计量相关的内部控制存在以下具体缺陷:一是公司未执行存货期末盘点工作;二是会计部门未设立专人进行成本核算,也未建立相关的成本归集和核算流程;三是公司确认收入时成本结转不及时。上述控制缺陷导致公司 2009 年度未经审计的财务报表出现重大错报。在否定意见审计报告中,注册会计师应该披露审计过程中发现的所有重大的内部控制缺陷,不能对披露的内容进行选择,以帮助内部控制审计报告使用者全面了解企业内部控制存在的缺陷。三、无法表示意见内部控制审计报告审计指引第三十一条规定,注册会计师审计范围受到限制的,应当解除业务约定或出具无法表示意见的内部控制审计报告,并就审计范围受到限制的情况,以书面形式与董事会进行沟通;第三十三条规定,注册会计师不能确定期后事项对内部控制有效性的影响程度的,应当出具无法表示意见的内部控制审计报告。注册会计师在出具无法表示意见的内部控制审计报告时,需要在内部控制审计报告中指明审计范围受到限制,无法对内部控制的有效性发表意见,并单设段落说明无法表示意见的实质性理由。注册会计师不应在内部控制审计报告中指明所执行的程序,也不应描述内部控制审计的特征,以避免报告使用者对无法表示意见产生误解。注册会计师审计范围受到限制存在两种情况:一是客观因素造成的限制。例如,因无法预料及抗拒的原因,造成重要控制记录丢失,注册会计师无法实施检查程序。在客观因素造成限制的情况下,注册会计师首先应当考虑是否可能实施替代审计程序,以获取充分、适当的审计证据。如果仍然不能获取满意的证据,则应该结合重要性水平,考虑出具无法表示意见内部控制审计报告。二是企业主观因素造成的限制。例如,企业不允许注册会计师访谈重要业务流程的关键控制人员,或者不允许对重要的内部控制资料进行检查等。在企业主观因素造成限制的情况下,注册会计师应当提请企业放弃限制。如果企业不配合,注册会计师应该对该事项进行风险评估,分析其中是否存在舞弊,质疑企业内部控制环境的有效性,衡量实施替代审计程序的可能性,判断能否获取充分、适当的审计证据,如果不能获取满意的证据,则应该结合重要性水平,考虑出具无法表示意见内部控制审计报告。同时注册会计师应按照审计指引的要求,以书面形式与企业董事会就受到限制的情况以及对报告意见类型的影响进行沟通。注册会计师在出具的无法表示意见审计报告中,应该删除“注册会计师的 责任”段,同时在意见段之前增加“导致无法表示意见的事项”段,描述审计 范围受到限制的具体情况;若已执行的有限程序中发现财务报告内部控制存在重 大缺陷,则在意见段之后增加“识别的内部控制重大缺陷”段进行描述和披露,否则不必增加该段内容。第五节 对期后事项的考虑一、注册会计师对期后事项的责任审计指引第三十三条规定,期后期间是指在企业内部控制自我评价基准 日(也是注册会计师执行内部控制审计的基准日)之后至审计报告日之前的时 间段。在该段期间内部控制可能发生变化,或出现其他可能对内部控制产生重要 影响的因素。注册会计师应当询问是否存在这类变化或影响因素,并获取企业关 于这些情况的书面声明。与财务报表审计不同,在进行内部控制审计时,注册会计师通常不专门针对基准日之后的财务报告内部控制进行具体测试,但是应关注被审计单位是否存在期后事项的迹象,询问是否存在这类变化或影响因素,获取企业相关声明。注册会计师需要针对期后期间询问并检查下列信息:在期后期间出具的内部审计报告或类似报告;其他会计师事务所及其注册会计师出具的涉及企业内部控制缺陷的报告;监管部门发布的涉及企业内部控制的报告;注册会计师在执行其他业务中获取的、有关企业内部控制有效性的信息。注册会计师还需要考虑获取期后期间的其他文件,并按照中国注册会计师审计准则第 1332 号-期后事项的规定,对其进行检查。一旦发现内部控制在期后有重大改变或存在对内部控制有重大影响的事项,则需要判断期后事项的性质,考虑对审计报告的影响。二、期后事项对内部控制审计报告的影响审计指引第三十三条规定,注册会计师知悉对企业内部控制自我评价基准日内部控制有效性有重大负面影响的期后事项的,需要对财务报告内部控制发表否定意见。上述有重大负面影响的期后事项仅指对企业自我评价基准日已经存在的情况提供后续证据的事项,相当于有证据表明公司财务报告内部控制存在重大缺陷,因而注册会计师应该发表否定意见。比如,企业在 2009 年 4 月份签署了数额巨大的对外担保合同,被担保单位财务状况不佳,但企业没有在 2009 年度财务报表中将担保义务作为预计负债确认,也没有作为或有事项在报表附注中进行披露,基准日后因被担保方无力偿还债务,企业被起诉承担连带担保责任,这表明公司在 2009 年度财务报告流程存在重大缺陷,注册会计师应该发表否定意见。另外,若发现了对内部控制有重大负面影响的事项,该事项对期后的内部控制产生重大影响。比如,公司的生产和销售活动全部依赖 ERP 系统,2010 年1 月发生不可抗力事件,导致公司整个网络和计算机系统损坏,使公司期后相关内部控制无法正常运行,但对基准日内部控制并无重大影响,此时注册会计师应该与被审计单位沟通,要求其在企业声明书中进行声明。审计指引第三十三条规定,注册会计师不能确定期后事项对内部控制有效性的影响程度的,需要出具无法表示意见的内部控制审计报告。上述内部控制是就企业自我评价基准日的内部控制而言,在这种情况下,由于无法利用现有证据或进一步审计程序获取证据来证明期后事项对基准日内部控制有效性的影响,则视同审计范围受限,注册会计师出具无法表示意见审计报告。在出具内部控制审计报告之后,如果知悉在审计报告日已存在的、可能对审计意见产生影响的情况,注册会计师需要按照中国注册会计师审计准则第1332 号-期后事项的规定办理