财政部会计司、中注协解读《企业内部控制审计指引》(6)

　　对控制有效性的测试涵盖的期间越长，提供的控制有效性的证据越多。注册会计师需要获取内部控制在企业内部控制自我评价基准日前足够长的期间内有效运行的证据。对控制有效性的测试实施的时间安排越接近企业内部控制自我评价基准日，提供的控制有效性的证据越有力。因此，审计指引第十七条规定，注册会计师在确定测试的时间安排时，应当在下列两个因素之间作出平衡，以获取充分、适当的证据：

　　（1）尽量在接近企业内部控制自我评价基准日实施测试；

　　（2）实施的测试需要涵盖足够长的期间。

　　在企业内部控制自我评价基准日之前，管理层可能为提高控制效率、效果或弥补控制缺陷而改变企业的控制。如果新控制实现了相关控制目标，运行足够长的时间，且注册会计师能够测试并评价该项控制设计和运行的有效性，则无需测试被取代的控制。如果被取代控制设计和运行的有效性对控制风险的评估有重大影响，注册会计师则需要测试该项控制的有效性。

　　注册会计师执行内部控制审计业务通常旨在对企业内部控制自我评价基准日（通常为年末）内部控制的有效性发表意见。如果已获取有关控制在期中运行有效性的证据，注册会计师应当确定还需要获取哪些补充证据，以证实在剩余期间控制的运行情况。在将期中测试的结果更新至年末时，注册会计师需要考虑下列因素，以确定需获取的补充证据：

　　（1）期中测试的特定控制的有关情况，包括与控制相关的风险、控制的性质和测试的结果；

　　（2）期中获取的有关证据的充分性、适当性；

　　（3）剩余期间的长短；

　　（4）期中测试之后，内部控制发生重大变化的可能性及其变化情况。

　　（五）连续审计时的特殊考虑

　　在连续审计中，注册会计师在确定测试的性质、时间安排和范围时，还需要考虑以前年度执行内部控制审计时了解的情况。

　　影响连续审计中与某项控制相关的风险的因素除第（四）部分“风险与拟获取证据的关系”中所列的10项因素外，还包括：

　　（1）以前年度审计中所实施程序的性质、时间安排和范围；

　　（2）以前年度对控制的测试结果；

　　（3）上次审计之后，控制或其运行流程是否发生变化，尤其是考虑IT环境的变化。

　　在考虑上述所列的风险因素以及连续审计中可获取的进一步信息之后，只有当认为与控制相关的风险水平比以前年度有所下降时，注册会计师在本年度审计中才可以减少测试。

　　为保证控制测试的有效性，使测试具有不可预见性，并能应对环境的变化，注册会计师需要每年改变控制测试的性质、时间安排和范围。每年在期中不同的时段测试控制，并增加或减少所执行测试的数量和种类，或者改变所使用测试程序的组合等。

　　四、评价控制缺陷

　　（一）评价控制缺陷的总体要求

　　如果某项控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报，则表明内部控制存在缺陷。如果企业缺少用以及时防止或发现并纠正财务报表错报的必要控制，同样表明存在内部控制缺陷。

　　内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或者现有控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计适当的控制没有按设计意图运行，或者执行人员缺乏必要授权或专业胜任能力，无法有效实施控制。

　　内部控制存在的缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷。

　　重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。具体到财务报告内部控制上，就是内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报的一个或多个控制缺陷的组合。

　　重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。具体就是内部控制中存在的、其严重程度不如重大缺陷、但足以引起企业财务报告监督人员关注的一个或多个控制缺陷的组合。

　　一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。

　　注册会计师需要评价其注意到的各项控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷。但是，在计划和实施审计工作时，不要求注册会计师寻找单独或组合起来不构成重大缺陷的控制缺陷。

　　下列迹象可能表明企业的内部控制存在重大缺陷：

　　（1）注册会计师发现董事、监事和高级管理人员舞弊；

　　（2）企业更正已经公布的财务报表；

　　（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；

　　（4）企业审计委员会和内部审计机构对内部控制的监督无效。

　　财务报告内部控制控制缺陷的严重程度取决于：

　　（1）控制缺陷导致账户余额或列报错报的可能性；

　　（2）因一个或多个控制缺陷的组合导致潜在错报的金额大小。