一、內部控制審計及類型
內部控制審計是審計部門接受委托或授權，對特定基準日被審計單位或部門內部控制設計與運行的有效性進行審計。2010年4月26日，財政部會同證監會、審計署、國資委、銀監會、保監會等部門發布了《企業內部控制配套指引》（以下簡稱配套指引）。該配套指引連同2008年5月發布的《企業內部控制基本規范》，共同構建了中國企業內部控制規范體系，自2011年1月1日起首先在境內外同時上市的公司施行。
本文主要將內部控制審計劃分為如下兩種類型：首先，按內部控制審計實施主體不同，將內部控制審計劃分為內部審計部門實施的內部控制審計和注冊會計師實施的內部控制審計兩部分。其次，按照審計涉及的內部控制范圍的大小不同，可將其分為業務流程內部控制審計，即對某個業務循環涉及的業務流程內部控制設計和執行的有效性實施的審計；部門內部控制審計，即針對某個部門或機構所涉及的內部控制審計，如投資中心、利潤中心、子公司，單獨或非單獨設置財務機構的分公司等。
二、內部控制審計的程序
（一）計劃審計業務階段 （1）接受委托或根據授權，確定內部控制審計對象。注冊會計師承接內部控制審計業務，必須了解內部控制具體審計范圍和審計對象，評價專業勝任能力，然后與被審計單位簽訂審計業務約定書。如果是內部審計部門，需根據管理層的授權，提出內部控制審計的重點內容和重點部門，編制年度、半年度內部控制審計計劃，并根據實際工作出現的新情況，及時對計劃進行調整、修改和補充。（2）組成審計小組。根據內部控制審計業務的工作量、審計難度及時間進度，考慮專業勝任能力，必要時可聘請相關專家，組織有經驗的審計人員，組建內部控制審計工作小組，可根據實際情況，對小組成員進行法律規范、業務審查等方面的培訓，為審計實施階段打好基礎。（3）初步了解基本情況，以風險評估為基礎，編制審計總體方案和具體審計計劃。在編制審計計劃前，了解相關情況是展開審計工作的必要前提，影響著整個審計的過程和結果。審計人員應從行業概況、法律法規情況、被審計單位內部的組織結構、各機構的人員規模和崗位結構、單位生產經營或專業服務的特點、財務會計機構及其工作組織、可獲取的、與內部控制有效性相關的證據的類型和范圍、內部控制特定領域重大缺陷風險等方面對被審計單位進行了解，在初步評估的基礎上，編制總體審計策略和具體審計計劃，確定擬采取的審計方法、重點進行控制測試的領域、審計人員的分工、時間預算等。
（二）實施審計業務階段 （1）詳細調查、了解企業內部控制情況，并作出相應記錄。了解被審計單位已經建立的內部控制制度及執行情況，并做出記錄、描述，是內部控制審計現場實施階段首先要完成的工作。審計人員應重點關注控制環境、控制政策和程序、信息系統、針對管理層凌駕于內部控制之上的風險而設計、實施的控制、對內部控制信息傳遞和財務報告流程的控制、對控制有效性的內部監督和自我評價、信息系統對內部控制及風險評估的影響等內容，并通過調查表、流程圖、文字敘述等方式將內部控制詳細情況記錄下來，形成審計工作底稿。（2）進行控制測試。審計人員按照內部控制審計計劃中確定的審計步驟、審計重點領域、審計人員及分工等情況，把握重要性原則，結合實際情況，采用適當的審計方法，對企業的內部控制尤其是生產經營活動中的重要業務與事項的控制進行測試，檢查內部控制是否執行以及執行的程度。（3）評價內部控制，形成審計工作底稿。審計人員根據控制測試結果，評價被審單位或部門內部控制的強弱，是否存在重大缺陷，評價內部控制設計和執行的有效性及控制風險，并將內部控制測試情況及評價結果詳細記錄于審計工作底稿，形成審計檔案。
（三）完成審計業務階段 （1）取得被審計單位的書面聲明，明確責任歸屬。完成審計工作后，審計人員應取得被審計單位簽署的書面聲明，聲明中應明確，建立健全和有效實施內部控制，評價內部控制的有效性是被審單位的責任；被審單位已對內部控制的有效性做出自我評價，沒有利用審計人員執行的審計程序及結果作為自我評價的基礎；被審計單位已向審計人員披露識別出的所有內部控制缺陷等內容。如果被審計部門拒絕提供書面聲明，則應視為審計范圍受限，解除業務約定或出具無法表示意見的內部控制審計報告。（2）撰寫內部控制審計報告。內部控制審計報告是對審計工作結果的一種總結。審計人員在完成整個審計工作后，應當對審計工作底稿、相關證據進行分析篩選、匯總整理，完善審計意見，撰寫審計報告。審計報告應包括被審計單位的基本情況、審計發現的問題、改進建議和審計評價結論等。
三、內部控制審計的方法
（一）實地觀察法 實地觀察法簡稱觀察法，是指審計人員親臨現場，對被審計單位的經濟管理和業務活動進行實地觀察，借以查明被審計事項的事實真相的一種審計方法。在內部控制審計中，觀察法是最常用的方法之一，適合于觀察企業內部控制的設計及執行情況。但觀察提供的審計證據僅限于觀察發生的時點，屬于時點證據，并且在相關人員已知被觀察時，相關人員從事活動或執行程序可能與日常的做法不同，從而會影響審計人員對真實情況的了解。因此，注冊會計師有必要獲取其他類型的佐證證據。
（二）查詢法 查詢法是指審計人員通過書面或口頭方式，向被審計單位內部或外部的知情人員獲取相關信息，證實客觀事實或書面資料，取得審計證據的一種審計方法。查詢分為面詢和函詢兩種方式，區別在于調查詢問是當面進行還是發函進行。在了解被審計單位內部控制的設計及執行情況時，審計人員都可以采用查詢法。通過查詢，審計人員能獲取口頭證據或書面證據，幫助審計人員發現疑點或問題。但其中的口頭證據并不具有實際證明力，不能證明內部控制設計或運行的有效性，只能給審計人員提供線索，還需運用檢察、觀察等方法加以證實。
（三）檢查法 檢查法是指通過審查閱讀文件、合同、憑證等相關資料的方式，獲取審計證據的一種審計方法。檢查法取得的審計證據證明力較強，能夠有效證明內部控制設計與運行的有效性。但如果內部控制的運行沒有留下軌跡，則檢查法得出的結論往往具有片面性。
（四）分析性程序 分析性程序簡稱分析法，是通過對相關資料的觀察、推理、分解和綜合，以揭示其本質和重大異常變動現象，提供審計線索，為確定審查重點指明方向的一種審計方法。在審計過程中，分析法運用非常廣泛，幾乎貫穿于審計全過程各階段。但分析法在使用過程中，需注意被分析對象之間是否存在一定的邏輯關系，否則分析法將失去意義。
（五）穿行測試 穿行測試是指通過追蹤交易的處理過程，用以了解內部控制的執行情況的一種審計方法。穿行測試是審計人員了解被審計單位業務流程及其相關控制時經常使用的審計程序，來證實審計人員對控制的了解、評價控制設計的有效性以及確定控制是否得到執行。穿行測試的實施需要以被審計單位的內部控制留下軌跡為前提。由于穿行測試更多地在了解內部控制時運用，測試的數量較少，一般不能提供充分適當的審計證據。
（六）重新執行 重新執行是指審計人員以人工方式或使用計算機輔助審計技術，重新獨立執行作為被審計單位內部控制組成部分的程序或控制的一種審計方法。重新執行是控制測試中常用的審計程序，目的是測試被審計單位內部控制設計的合理性和執行的有效性。重新執行獲得的審計證據可靠性較高，但重新執行的工作量很大，還需被審計單位或部門積極配合才能實施，甚至在某種程度上會降低審計的效率。
四、內部控制審計應注意的問題
（一）關注管理層對內部控制的態度 管理層是整個內部控制體系的結點，內部控制體系的健全與否及執行力度強弱與管理層的觀點和態度息息相關。即使在完善的內部控制制度，如果得不到管理層的支持和有效執行，其結果只能是形同虛設，易導致錯弊行為，使財務報表存在重大錯報風險。
（二）抓住關鍵控制點 所謂關鍵控制點，是指容易發生錯弊，需要加以控制的關鍵環節。為了對被審計單位或部門的內部控制做出客觀公正的審查評價，審計人員在審計過程中必須抓住關鍵控制點，以保證內部控制審計目標得以順利實現。
（三）透過現象看本質 實際審計中，不少被審單位內部控制制度設計非常合理、完善，但實際執行效果卻不樂觀，內部控制成了花瓶擺設；相反，有些被審計單位雖然從表面上看內部控制設計不夠合理，但實際執行效果卻非常理想，基本不存在錯弊現象。再加之內部控制有其固有的局限性，因此審計時不能被內部控制的表面現象蒙蔽，應在搜集充分、適當的審計證據的基礎上，得出恰當的審計結論。
