從1997年到2002年，中國人民銀行、證監會分別頒布了《加強金融機構內部控制的指導原則》(1997)、《商業銀行內部控制指引》(2002)、《證券公司內部控制指引》(2001)，為保險公司、證券公司、商業銀行等金融機構提供了內部控制方面的指導原則。2001年，財政部陸續發布了《內部會計控制規范(試行)》及貨幣資金、工程項目、對外投資等6個具體規范，為非金融企業的內部控制建設提供了指導原則。2006年，上交所和深交所分別發布了《上海證券交易所上市公司內部控制指引》和《深圳證券交易所上市公司內部控制指引》，兩個指引均要求上市公司在年報中披露內部控制制度的制定和實施情況，并要求公司董事會形成內部控制自我評價報告；注冊會計師在對公司進行年度審計時，應出具內部控制評價意見。但考慮到時間上的倉促以及成本的高昂，上交所于2006年12月在《關于做好上市公司2006年年度報告工作的通知》中做出了補充，沒有強制要求上市公司披露年度內部控制自我評估報告以及注冊會計師對內部控制評估報告的核實評價意見。2008年6月，財政部、證監會、審計署、銀監會及保監會聯合發布了《企業內部控制基本規范》(下稱《基本規范》)，《基本規范》合理借鑒了以美國COSO報告為代表的國外內部控制框架，并且根據我國國情進行了調整和改進，制定以風險控制為指引，以財務報告控制為主線。為企業進行內部控制的自我評估和外部評價提供統一標準。隨著具體規范和應用指南的陸續發布，由基本規范、具體規范和應用指南組成的內部控制規范體系將對我國上市公司的內部控制制度建設和信息披露提出更加嚴格的要求。會計師事務所的大部分業務也是與企業的內部控制息息相關的，主要有內部控制咨詢、內部控制有效性審計和財務報表審計。因此《基本規范》的實施必將會給會計師事務所的業務發展帶來機遇，但同時也帶來了風險。
一、會計師事務所面臨的機遇
(一)增加了與企業內部控制相關的業務需求在《基本規范》發布后，全球四大會計師事務所之一的德勤，于2008年7月發布中國上市公司內部控制報告，顯示44％的公司認為其已經建立了內部控制體系。而另外56％的公司沒有建立或現有內部控制機制尚不完善。由于我國大部分上市公司控制環境先天不足、控制制度不健全等原因導致內部控制薄弱的原因，不符合《基本規范》的要求，必然會要求會計師事務所為其提供內部控制咨詢業務，以達到規范的要求，符合上市的條件；另一方面報告顯示90％的受訪上市公司認為注冊會計師對內部控制進行有效性審計有利于企業完善內部控制工作，通過注冊會計師的獨立檢查，有利于幫助企業發現自身內部控制體系存在的問題，提升自身的管理水平，而目前聘請會計師事務所對內部控制進行有效性審計的上市公司不到5％。上市公司披露內部控制自我評估報告并且經會計師事務所審計是未來的發展方向，也是資本市場發展的要求。隨著我國市場經濟的不斷發展。將會有越來越多的公司認識到內部控制的重要性，選擇對內部控制的有效性進行審計。
(二)為會計師事務所開展內部控制咨詢提供了統一的標準在《基本規范》發布之前，我國會計師事務所在進行內部控制咨詢時，往往參照國際上的經驗和體系(如COSO)或借鑒國內其他一些規定，并考慮一些相關部門的要求。內部控制制度的設計安排都是由會計師事務所和咨詢人員根據經驗判斷來決定的，并不真正適合我國的國情。該規范解決了這一問題，能使內部控制咨詢真正提高企業的管理水平和風險防范能力，增加企業的價值。這對會計師事務所開展內部控制咨詢業務是有利的。
(三)提高會計師事務所財務報告審計的效率，降低審計風險財務報告的審計，隨著企業規模的越來越大，不可能直接做實質性測試。而是首先要對被審計單位的內部控制有效性進行評估，這是審計工作的重要組成部分。因此被審計單位的內部控制情況直接關系到財務報告審計的效率和風險。《基本規范》第四十二條特別針對企業建立反舞弊機制做出了規定，如果企業按照《基本規范》的要求建立健全內部控制，就能從根源上杜絕企業內部舞弊事件的發生。而且還可以降低管理層舞弊而導致企業資產流失的風險。目前在會計信息失真主要是由舞弊造成的情況下，《基本規范》的實施更能發揮出降低審計風險、提高財務報告審計質量的作用。
二、會計師事務所面臨的風險
(一)鑒證客戶方面目前，我國上市公司內部控制普遍薄弱，對內部控制有效性審計面臨較大的風險。德勤的報告顯示超半數中國上市公司內部控制不達標，盡管我國上市公司的內部控制現狀與2007年相比有些改善，但總體上看，在內部控制建設方面仍存在較大的欠缺，公司認為自身的內部控制體系尚無法完全滿足監管機構的要求，并缺乏完善的內部控制體系。由于我國進入市場經濟的時間較短，對內部控制認識不到位，法人治理結構不完善，管理人員對內部控制不重視，導致公司控制環境先天不足。公司大部分經營活動在內部控制不健全的情況下進行。即使有些公司建立了比較全面的內部控制制度，但僅僅只停留在紙上而沒有嚴格執行，不能落實到實處。大部分公司的風險管理機制也不健全，事前較少實行風險防御，風險識別和風險評估機制也不完善。會計師事務所對內控如此薄弱的公司進行內部控制有效性審計，可能會面臨較大的審計風險。
(二)鑒證依據方面對公司內部控制有效性審計缺乏相關的審計準則。楊有紅、汪薇在《2006滬市公司內部控制披露》中對自愿進行內部控制有效性審計的24家公司研究發現：會計師事務所在對公司內部控制有效性進行審計時，有54.2％的會計師事務所依據的是2002年發布的《內部控制審核指導意見》，有41.7％的會計師事務所依據的是2006年發布的《中國注冊會計師審計準則》，有4.1％的會計師事務所依據的是2006年發布的《上海證券交易所內部控制指引》。由此看出會計師事務所對內部控制有效性審計沒有統一的依據。《內部控制審核指導意見》表面上看是針對內部控制的，但內容和最后的報告格式都僅僅針對財務報告；《中國注冊會計師審計準則》中與內部控制有關的就是第1231號準則——針對評估的重大錯報實施的程序，但也主要是針對在財務報表審計過程中，如何了解和測試被審計單位與財務報表有關的內部控制，而不是廣義的內部控制。會計師事務所要對內部控制發表審計意見，必須有一個專門針對內部控制的統一的審計準則。規范會計師事務所如何確定審計范圍、如何審計、如何取得證據、如何界定發現問題的性質等。
(三)會計師事務所自身方面會計師事務所缺乏相關具有勝任能力的人才。會計師事務所業務范圍的擴大，對具有相關專業知識和豐富經驗的人才的需求也大幅增加。另一方面相對財務報表審計而言，內部控制審計需要更多的職業判斷。首先在企業方面，因為內部控制是為了防范風險，而風險是還沒發生、不確定的，所以企業要先判斷哪里有風險，然后判斷風險的大小，風險的偏好，還要考慮用什么樣的內部控制，將風險控制在可接受的范圍內。注冊會計師在審計時，也要運用大量的職業判斷。因此會計師事務所在缺乏相關具有專業知識和經驗的人才的情況下，盲目承接業務會面臨較大的審計風險。
三、會計師事務風險防范建議
(一)建立健全內部控制和風險管理制度會計師事務所在接受客戶時，要判斷什么樣的客戶可以接受，要考察客戶的控制環境。有沒有蓄意欺騙的傾向等。在審計過程中，應履行嚴格的審驗程序。記錄詳細的審計工作底稿，保持相應的職業謹慎。在證據充分的情況下，才可以出具簽證報告。在具體承擔業務分派任務時，要制定嚴格的政策和程序，以合理保證所有聘請的人員均能勝任所分配的任務，將工作委派給技術熟練、經驗豐富的人員。考核方面應建立業務評價機制。添加績效工資，對能力強、審計質量高、有敬業精神的員工，應給予獎勵。具體審計項目中，給負責人用人權。充分調動員工的工作積極性，實現小組內的優化組合，使小組成員各司其職，最終實現優勝劣汰。對于審計失敗的項目，要及時總結教訓，建立責任追究制度。
(二)加強對員工內部控制方面的培訓，使其具有勝任能力人才是會計師事務所最重要的資產，員工素質的高低體現了事務所核心競爭力的強弱，也是能否向客戶提供優質一流服務的首要條件。會計師事務所要在日趨激烈的競爭中生存發展，必須有一支優秀的從業人員隊伍，優秀的隊伍來自科學的管理和辛勤的培育。培訓的核心是開發員工個人潛力以提升工作能力和工作績效，開發組織潛能以形成相互協作的精神從而提高組織的整體戰斗力和績效水平。通過培訓。能使員工提高和改善工作技能，掌握新知識和新技能。以適應業務的需要，具有勝任能力。
(三)加強注冊會計師的執業風險意識會計師事務所應加強對注冊會計師執業風險的教育。注冊會計師要充分考慮客戶的內部控制情況和管理人員的品行，在執行審計業務時應嚴格、謹慎地按執業準則審查每一個程序、每一個票據、每一個環節，忠實地履行自己的職責，認真整理審計記錄。考慮審計證據是否充分、適當，不能草草審計，匆匆下結論出報告。
