審計作為企業實施控制與改進管理的有效工具，也是企業檢驗和改進內部控制的重要手段。以風險為導向的內部控制審計理念引入企業領域，諸多企業正不同程度地開展內部控制審計。本文從企業內部控制審計目標定位、審計重點、審計方法、風險防范等方面進行思考。
一、準確定位內部控制審計目標
企業內部控制審計的目標，是指在特定的歷史條件下，通過實施企業內部控制審計所要達到的預期效果，它通常包括總體目標和具體目標。
(一)企業內部控制審計總體目標企業通過實施企業內部控制審汁．合理有效地促進企業建立健全內部管理制度，改進企業內部管理水平，維護企業資產安全完整，提高企業運營效率和經營效果．以實現企業整體經營目標。
(二)企業內部控制審計具體目標內部控制審計總體目標的進一步具體化，是企業內部控制審計目標的具體表現。通常。企業內部控制審計具體目標概括起來，主要包括以下幾個方面：一是健全性。健全性也稱完整性，它包含兩層涵義：一方面是指企業根據生產經營需要，應該設置的內部控制都已設置；另一方面是指對生產經營活動全過程進行自始自終的控制。二是合規性。是指企業已建立的內控制度是否合法合規。審計企業內控制度的合規性，主要審查兩方面：審查企業內控制度是否符合法律、法規以及行業制度體系的規定和審查企業內控制度是否符合上級組織或主管機構制定的內部控制制度有關規定。三是合理性。審計企業內部控制的合理性，同樣也包含兩層涵義：審計企業內部控制設計和執行時的適用性和審計企業內部控制設計和執行時的經濟性。四是遵循性。審計企業內部控制的遵循性，是在審計企業內控制度健全性和合理性的基礎上，主要對企業內控制度的實際執行情況進行符合性測試和實質性測試，即審計企業內控制度在生產經營過程中是否遵照執行。五是有效性。審計企業內部控制的效果性，主要是審查企業內部控制政策和措施是否有與國家法律法規相抵觸的地方，以及企業內部控制是否具有可操作性，在企業生產經營過程中能否得到貫徹執行并發揮應有作用，以實現其為提高經營效率效果、提供可靠財務報告和遵循法律法規提供合理保證的目標。
二、把握內部控制審計重點
根據COSO提出的《內部控制――整體框架》理論和《內部審計其體準則第5號――內部控制審計》等有關規定，企業內部控制審計內容主要包括控制環境、風險管理、控制活動、信息與溝通、內部監督等方面，簡稱COSO五大要素。因此，要全面把握企業內部控制審計的重點內容，可以分別從以下幾方面人手。
(一)控制環境審計是指對企業控制環境總體情況進行審查和評價。其審查重點主要包括：企業生產經營活動的復雜程度；企業內部管理權限的集中程度；企業管理層行為守則或類似規范；企業管理哲學及管理風格；企業文化及員工對企業文化的理解和認同；法人治理結構狀況；企業各階層人員的知識與技能；企業組織結構和職責劃分隋況；重要(或關鍵)崗位人員的權責相稱程度及其勝任能力；員工聘用程序及培訓；員工業績考核與激勵機制。
(二)風險管理審計是指對企業風險管理機制及其運行情況進行審查和評價。其審查重點主要包括：可能引發風險的內外因素；風險發生的可能性和預計帶來的后果；辨識與分析風險能力；防范和降低風險的能力；風險管理的具體方法及效果。
(三)控制活動審計是指對企業各生產經營業務實施控制活動情況進行審查和評價。其審查重點主要是：控制活動業績評估系統建立及其運行狀況；控制活動對風險的識別和規避情況；控制活動對實現企業經營目標的貢獻；控制活動執行的有效性。
(四)信息與溝通審計是指對企業建立信息系統、獲取及傳遞信息等信息處理情況進行審查和評價。其審查重點主要是：獲取財務信息、非財務信息的能力；信息處理的及時性和適當性；信息傳遞渠道的便捷與暢通；管理信息系統的安全可靠性。
(五)內部監督方面對內部監督方面進行審計，應當重點審查：內部監督主體狀況；內部監督機制設置情況、內部監督活動實施情況、內部監督組織安排情況等。
三、創新內部控制審計方法
作為一種新的審計類型，企業內部控制審計在運用審計方法上，有別于常規審計。具體來說，企業內部控制審計在實施方法、技術方法和評價方法上，要不斷進行改進和創新。
(一)實施方法審計內控的實施方法主要有兩種：一是延伸導向法。延伸導向法即從財務審計、管理審計等常規審計人手，向企業內部控制審計延伸，是企業通過運用財務審計、管理審計等常規審計方式而導向內部控制審計的一種審計方法創新。首先，通過企業運用財務審計、管理審計等常規審計方式，獲取的如有關財務信息數據和內控管理狀況等方面情況，初步評價企業相關財務信息數據和管理效果。其次，根據初步評價情況確定內部控制審計范圍及其重點，并按審計流程實施內部控制審計。最后，對企業內部控制的健全性、合理性及有效性等方面進行審計評價，提出審計意見或整改措施。二是結果導向法。結果導向法即直接檢查和分析企業內部控制現實狀況人手，跟蹤審查企業如購產銷等主要業務流程在運行和管理中的實際效果情況。據以對企業內部控制狀況作出審計評價。首先，對企業購產銷等主要業務方面的內部控制情況等進行全面分析，并通過職業判斷找準切人點。然后，審查購產銷業務流程中個關鍵環節在運行中的實際效果情況，并對其作出審計評價。最后，根據業務流程運行效果狀況，據以對其內部控制評價發表審計評價意見。
(二)技術方法審計內控的技術方法主要有三種：一是調查測試法。在實施企業內部控制審計之前，首先，擬定一個詳細的調查提綱和系統的調查表格，列出應予以調查的全部事項和有關數據，根據調查和測試結果，確定企業內部控制審計實施的范圍及其重點。二是模糊綜合評判法。模糊綜合評判法是模糊數學在實踐工作中常用的一種應用方式，尤其適用于定性指標因素較多的案例分析與評價。將它運用于企業內部控制審計，主要是鑒于COSO五大要素中的控制環境和風險識別這兩方面要素，即企業管理層面存在大量的定性指標因素，需要運用理論模型(如模糊綜合評判法)進行技術處理，以確保和提高評價的準確性。通過運用模糊綜合評判法，對企業管理層經營理念和管理風格、員工能力要求、人事政策、企業目標制定等方面進行綜合評判。三是流程圖法。流程圖法是指用特定的符號和圖形將被審計企業內部控制系統反映出來的方式。相對于模糊綜合評判法來說，流程圖法運用于企業內部控制審計，主要側重于企業業務操作層，包括對企業內部控制系統的設計、執行情況等方面的審計。通過流程圖直觀地反映企業各業務循環流程現實狀況及其存在的問題，據以對企業業務層面內部控制進行綜合評價。
(三)評價方法審計內控的技術方法主要有三種：一是局部評價法。局部評價法是就每一事項進行評價的方法，即一事一論。如
對企業采購業務、生產業務、銷售業務、籌資業務、投資業務等單個事項進行評價。這種評價方法涉及面不大，可以在審查過程中有效運用。二是專項評價法。專項評價法即對構成整體的部分事項進行評價的方法。由于這一方法涉及范圍較大，一般在具體審計事項完成后進行。如在企業內部控制審計中，對構成企業內部控制系統的五大方面即控制環境、風險識別、控制活動、信息與溝通以及監督，在有關具體審計事項完成后，分別就上述五方面情況進行的審計評價。三是綜合評價法。綜合評價法即對一個企業、一個行業、一個地區等整體單位的內部控制進行全面評價的方法。對于企業內部控制審計來說，就是對企業內部控系統整體狀況進行全面評價。
四、強化內部控制審計風險防范
從內部控制審計基本程序和關鍵環節來看，要做好企業內部控制審計，必須切實加強對以下審計風險進行重點防范。
(一)防范了解不全風險對被審計單位內部控制情況進行全面了解，是企業內部控制審計實施階段的首要環節，也是對企業內部控制進行測試的重要前提。為了防范了解不全風險，審計人員必須重點對被審計單位的基本情況、內部控制環境以及各類業務循環的內部控制進行全面了解。對被審計單位基本情況，審計人員應重點了解：被審計單位的性質；高層管理人員；資產、負債、所有者權益；所屬行業；經營業務；組織結構；各機構職能及負責人；職員人數；高層管理人員分管業務及各自職責等。對被審計單位總體控制環境，審計人員應重點了解：高層管理人員對企業內部控制的態度；高層管理人員從事相關業務年限、相關學歷；被審計單位經營管理目標是否明確；是否訂有職工行為守則；高層管理者是否重視制度的實際執行；被審計單位以前或目前是否有重大違反財經法規的行為，以及高層管理者對此態度如何等。對各類業務循環內部控制，審計人員重點了解被審計單位業務特點及業務流程中關鍵控制點。
(二)防范測試失效風險在企業內部控制測試環節．審計人員主要防范測試失效風險。導致測試失效風險，主要由以下因素引起：選定的測試范圍不全、重點不準、測試方法不當、抽查的業務缺乏代表性。測試范圍不全會遺漏對某些重點內部控制的審計，會使審計失之偏頗；測試重點不準直接影響內部控制測試效率和效果；測試審計方法多種多樣，要因事制宜，根據不同業務而方法各異，否則會導致測試失效；抽查的業務缺乏代表性，會因評價不全面而帶來測試失效風險。因此，要防范測試失效風險審計人員必須做到測試范圍要全，測試重點要準，測試方法得當，抽查業務的代表性要強。
(三)防范評價不當風險在企業內部控制審計終結階段整體評價中，審計人員要防范出現評價不當風險。究其原因，除了由企業內部控制了解、測試兩個環節存在的風險引起外，還會因企業內部控制系統本身不完善和風險估計水平過高等因素造成。企業內部控制系統本身不完善，使某些業務活動被置于審計范圍之外而疏忽，通常導致企業內部控制健全性評價不當風險。風險估計水平過高會導致信賴過度風險，從而造成企業內部控制有效性評價不當風險。因此，要防范評價不當風險，除了要做好企業內部控制了解、測試兩個環節工作外，審計人員還應從宏觀出發，統籌考慮，從各方面調查了解熟悉被審計單位業務活動及其相應的內控系統，并充分利用審計技術對風險水平作出合理估計。
