文 李三喜
根據中天恒3C框架基于風險管理的內部控制研究結果，內部控制審計，是內部控制監控要素的重要內容，是由審計機構或審計人員，依據國家內部控制規范及組織機構的內部控制制度，通過系統規范的審計程序和方法，對特定基準日內部控制設計與運行的有效性，獨立進行的審查、評價等監督活動。內部控制審計的目的、內容、程序、方法以及報告與其他形式的審計有相同的地方，但也有自身的特點。
一般來說，內部控制審計內容在整體層面上包括控制環境、風險評估、控制活動、信息與溝通和內部監督等五要素或者內部環境、目標設定、事件識別、風險評估、風險應對、控制活動、信息與溝通和監控等八要素。除了整體層面以外，內部控制審計內容還應包括業務層面的內部控制，如不把后者也列為審計重點，內部控制審計工作就難以深入，容易流于表面化、形式化。中天恒3C框架將內部控制審計內容分為財務控制審計、業務控制審計和管理控制審計三個方面，以便于在內部控制審計實踐中操作。
內部控制審計流程是內部控制審計工作從開始到結束的基本過程，過程中的階段劃分因審計主體和審計范圍的不同而不同。根據我國《企業內部控制審計指引》，會計師事務所承接的基于鑒定需要的內部控制審計工作主要步驟為：計劃審計工作、實施審計工作、評價控制缺陷、完成審計工作、出具審計報告等主要步驟。中天恒3C框架認為，內部控制審計基本流程應包括審計準備、審計實施、審計報告三個階段，每個階段又可細分若干內容。
審計準備
審計準備，是內部控制審計工作的首要環節，是對內部控制審計工作的規劃或計劃，一般包括以下幾個階段：
(一)制定規劃。制定規劃，就是審計機構對內部控制審計工作做出的事先規劃，是確定內部控制審計項目的直接依據。
一般來說，審計機關和內審機構應根據本機構的工作目標和重點，提出內部控制審計的重點內容和重點審計單位，編制年度、半年度內部控制審計規劃(計劃)或更長期間的規劃，并根據實際工作中出現的新情況、新問題及時對規劃進行調整、修改和補充。
對于會計師事務所來說，不需要編制年度、半年度的內部控制審計計劃，而應編制內部控制審計項目計劃。項目計劃就是對內部控制審計項目的具體安排，基本上可等同于項目工作方案。
(二)確定單位。確定單位，就是確定實施內部控制審計的被審計單位。審計機關和內審機構應依據審計工作規劃并根據上級部門和有關領導直接布置的專項工作，確定具體的被審計單位。而會計師事務所只能根據委托協議確定實施內部控制審計的對象。
(三)初步了解。初步了解，也稱初步調查，就是初步了解企業的基本情況及內部控制狀況，這是制定具有針對性的內部控制審計工作方案的前提。在確定了被審計單位后，審計人員應對該單位情況進行初步了解。在審計準備階段的初步了解不可能太詳細，一般應包括了解被審計單位所處的環境和營業的特點、內部控制的構建和運行狀況等。
初步了解的程序包括：
(1)確定內部控制有效性的審計標準。
(2)收集相關資料和信息，主要包括：被審計單位的基本情況;被審計單位各種成文的內控制度及其適用范圍和控制環節;以前年度的內部控制審計結果;近一年來其他審計或檢查結果;從其他渠道得到的內部控制信息等。
(3)確定審計內容和重點。對照內部控制審計要點，對收集到的相關資料和信息進行分析，判斷被審計單位內部控制的薄弱環節，確定審計的內容和重點，以往審計或檢查發現的內部控制執行缺陷必須納入審計重點。
(四) 制定方案。制定方案，就是制定內部控制審計工作方案，這是實施內部控制審計的具體依據。內部控制審計工作方案，相當于內部控制審計工作項目計劃，是審計機構及審計人員為完成審計業務，達到預期的審計目的，對內部控制審計工作做出的事先規劃，對于審計人員能夠及時、有效地開展審計工作具有重要作用。
內部控制審計工作方案內容包括內部控制審計的目的、時間、范圍、方式、內容、人員的分工等，其中最主要的是確定審計范圍、審計人員及審計程序。會計師事務所的內部控制審計工作項目計劃一般包括：總體審計策略，包括審計范圍、審計時間、審計方向、審計資料配置;具體審計計劃，包括風險評估程序、計劃實施的進一步審計程序、計劃實施的其他審計程序;更改審計計劃。
內部控制審計工作組組長負責編制內部控制審計方案，由審計機構審批后實施。一般來說，審計機構在制定內部控制審計工作方案時，審計人員應當考慮以下主要因素：一是企業所在行業的情況，包括行業景氣程度、經營風險、技術進步等;二是企業的內部情況，包括組織結構、經營特征、資本構成、生產和業務流程、員工素質等;三是企業近期在經營和內部控制方面的變化;四是管理層的誠信、能力及發生舞弊的可能性;五是管理層評價內部控制有效性的方法和證據;六是對重要性水平、固有風險及其他與確定內部控制重大缺陷有關的因素的初步判斷;七是特定內部控制的性質及其在內部控制整體中的重要性;八是對內部控制有效性的初步判斷;九是從其他專業服務中了解到的有關被審計單位內部控制的情況。
如果企業有多個經營場所，審計人員應當選擇某些經營場所的內部控制進行了解和測試。在選擇了解和測試的經營場所時，審計人員除考慮上述有關因素外，還應當考慮以下因素：不同場所之間經營活動和內部控制的相似性;會計處理的集中程度;控制環境的有效性，尤其是管理層對各經營場所行使授權的控制和有效監督經營活動的能力;各經營場所發生交易的性質和金額。
中天恒3C框架特別強調的是，審計機構在制定審計工作方案前應當從企業管理當局手中獲取有關內部控制有效性的書面認定，以及內部控制手冊、流程圖、調查問卷和備忘錄等文件。
在內部控制審計實施過程中，因條件的變化需要改變方案的內容或者在審計實施過程中發現新的重要事項時，審計人員必須合理地調整內部控制審計工作方案，但需要按照規定程序進行修改和批準。為保證審計工作方案的有效實施，確保審計工作的質量，審計人員應當嚴格執行工作方案，不能私自更改審計工作方案的內容。
(五)成立小組。成立小組，就是成立內部控制審計項目組，這是內部控制審計工作能夠有效進行在組織和人員上的保證。
與一般財務報表審計相比，內部控制審計對審計人員的要求比較高，除應具備基本的財務審計知識和技能外，更需要具備企業經營管理知識和能力，配備具有專業勝任能力的項目組是高質量完成內部控制審計的基礎。助理人員是內部控制審計項目組必不可少的組成部分，無論從工作效率還是審計成本考慮，審計項目組都需要助理人員。對助理人員進行適當的督導，可以保證內部控制審計的工作質量。
審計機構應根據內部控制審計工作的性質、業務量、難度及時間進度，并結合有關領導及部門對審計任務的特殊要求和規避原則，組織有經驗的審計人員，聘請有關專家，組建內部控制審計工作組，任命工作組組長，并對工作組成員提出任務性質、工作量、完成時間、注意事項等要求，同時進行審計前有關法律法規、主要業務培訓，為現場審計打好基礎。
審計人員進行內部控制審計時，利用其他人員的工作是必要的，但要對所利用的其他人員的工作進行判斷和評價，并應當對發表的審計意見獨立承擔責任。
(六)確定標準。確定標準，就是確定內部控制審計的具體依據。審計機構在實施內部控制審計前，應明確審計標準，并要求所有參與審計的人員認真閱讀，必要時應進行培訓。我國企業的內部控制審計標準統一為財政部、證監會、審計署等五部委頒發的《企業內部控制基本規范》及其配套指引，企業的《內部控制管理手冊》、《內部控制評價手冊》、《內部控制審計手冊》是最具體的標準。
(七)編制程序。編制程序，就是編制內部控制審計具體流程表。審計機構應在內部控制審計標準的基礎上，結合企業內部控制現狀，設計具體的內部控制審計程序表，這對引導審計人員進行具體審計工作是非常有用的。
(八)資料準備。資料準備，就是內部控制審計前需要準備的相關資料，包括審計機構及被審計單位兩方面。審計機構需要準備的資料主要包括審計標準、調查問卷、抽樣計劃、工作底稿、缺陷認定及報告模板等。在審計工作實施前，將審計流程表及相應的工作模板讓參與審計的人員熟知，對提高審計工作效率和質量具有十分重要的意義。被審計單位需要準備的資料主要包括內部控制體系文件及相關記錄等。
(九)下發通知。下發通知，就是在內部控制審計前下發審計通知書，具體明確內部控制審計的有關事宜。一般來說，內部控制審計工作組于實施現場審計前向被審計單位下達的通知書中應明確該單位需要準備的資料、參加審計的人員，同時要求被審計單位要有一名審計工作協調員，負責審計聯絡工作及有關事項。下發通知的時間可以是審計人員進現場的當天，也可以提前幾天或幾周，若無特殊情況，最好在實施前一周下發審計通知書，以便于被審計單位做好審前準備。
(十)組織進點。組織進點，就是組織內部控制審計組入駐被審計單位開始進行內部控制審計現場工作。內部控制審計工作涉及面廣、難度大，需要企業各部門全力配合才能完成。在內部審計實施前，利用進點會或以其他形式對被評價單位的高管及員工進行動員或宣講十分必要的。審計組進點后應按照內部控制評價工作方案要求，按照具體分組、分工及時投入實際評價工作中去。
總之，內部控制審計準備階段工作很多，其中，最主要的工作是制定內部控制審計工作方案(審計計劃)、組成內部控制項目組這兩項工作。在實際的內部控制審計工作中，內部控制審計準備階段的上述各項工作不可能人為割裂開來，順序上也不是固定的，內容上亦是可多可少。
