近日，中國註冊會計師協會（簡稱中注協）發佈了《企業內部控制審計指引實施意見》（簡稱《意見》），這是貫徹落實財政部、證監會、審計署、銀監會和保監會聯合發佈的《企業內部控制基本規範》、《企業內部控制審計指引》，提升我國上市公司財務報告信息披露質量和內部控制水平的重要舉措。中注協負責人就《意見》的有關問題回答了記者的提問。
記者：《意見》的出臺無論是對註冊會計師行業，還是上市公司都是一件大事，請談談《意見》出臺的背景和意義。
答：內部控制是防範企業財務報告錯誤和舞弊行為的第一道防線，也是保證企業財務報告真實、完整的內在機制。美國安然、世通財務舞弊事件發生後，各國監管機構將監管重心從單純注重財務報告本身的信息質量，轉向財務報告本身信息質量與建立健全財務報告信息質量保證體系並重。
在此背景下，美國國會在2002年頒布的《薩班斯—奧克利法案》中，首次提出對“財務報告內部控制”的有效性進行審計的要求。與此相適應，美國公眾公司會計監督委員會（PCAOB）隨後發佈審計準則，對會計師事務所執行上市公司財務報告內部控制審計工作進行了規範。同樣日本《金融商品交易法》也要求審計師對企業財務報告內部控制進行審計。
順應國際資本市場監管變革趨勢，2008年5月和2010年4月，財政部會同證監會、審計署、銀監會和保監會分別發佈了《企業內部控制基本規範》和《企業內部控制審計指引》等企業內部控制制度，確立了我國企業內部控制審計制度，要求執行內部控制規範體系的企業，必須聘請會計師事務所對其財務報告內部控制有效性進行審計。其中《企業內部控制審計指引》自2011年1月1日起在境內外同時上市的公司施行，自2012年1月1日起在上海證券交易所、深圳證券交易所主板上市公司施行。
企業內部控制審計制度的確立，改變了企業在上市或再融資時才委託註冊會計師對內部控制進行審計的局面，使得企業內部控制審計與財務報告審計一樣，成為經常性、週期性業務，上市公司每年要與年報一同公佈企業內部控制審計報告。
實施企業內部控制審計的意義在於，註冊會計師對企業內部控制有效性進行客觀、獨立的鑒證，不僅能夠監督、推動企業將內部控制規範落到實處，促進企業加強內部控制規範建設，提升財務報告風險防範能力，同時也能夠進一步提升企業信息披露的透明度，增強投資者對企業財務信息可靠性的信心，對保護投資者權益和社會公眾利益具有重要作用。
發佈實施《意見》的意義則在於，為註冊會計師更有效地執行企業內部控制審計業務提供了全面的技術指引。如果説2010年發佈的《企業內部控制審計指引》是“航行的燈塔”，此次發佈的《意見》則是走向航行目標的具體“技術路線圖”。
具體來説，《意見》在《企業內部控制審計指引》的基礎上，對執行內部控制審計各個關鍵環節的要求進行補充和細化，從業務約定書籤訂，到總體審計策略和具體審計計劃的制定，到審計工作實施，以及控制缺陷評價，形成審計意見到最終的審計報告出具都進行了較為詳細的規定，對註冊會計師執行企業內部控制審計業務具有較強的指導意義。特別是對在實務工作中的具體操作問題，如自上而下和風險導向審計方法的運用、控制測試的涵蓋期間、控制測試的時間安排、控制測試的樣本量、集團企業控制測試、審計工作底稿編制等，《意見》既給出註冊會計師需要考慮的基本原則，又提供了具有可操作性的具體措施。
記者：企業內部控制審計的主要內容有哪些？內部控制審計報告對投資人等利益相關者的價值何在？
答：內部控制審計是會計師事務所接受委託，對特定基準日企業內部控制設計與運行的有效性進行審計，併發表審計意見，審計內容包括企業治理結構、機構設置、企業文化、人力資源政策等內部控制環境因素，以及企業識別風險的評估程序、應對風險的具體措施和信息傳遞有效性、保證內部控制規範建設和有效運行的機制等，全面評價企業設計和運行的內部控制是否能夠合理保證財務報告及相關信息合法、真實、完整，以及用於保護資産安全的內部控制是否可靠。
企業內部控制審計意見包括無保留意見、否定意見和無法表示意見三種類型。如果註冊會計師審計後認為企業內部控制在所有重大方面是有效的，則出具無保留意見的內部控制審計報告；如果註冊會計師認為企業內部控制存在重大缺陷，則出具否定意見內部控制審計報告；如果註冊會計師審計範圍受到限制，則應當解除業務約定或出具無法表示意見的內部控制審計報告。
企業內部控制審計與財務報告審計兩種意見類型相互關聯，但並非一一對應。例如，在執行內部審計過程中，註冊會計師發現企業財務報告內部控制存在重大缺陷，應該出具否定意見的內部控制審計報告。如果該內部控制重大缺陷尚未引起企業財務報告的重大錯報，註冊會計師則出具標準意見的財務報告審計報告。又如，註冊會計師對企業財務報告發表否定意見，意味著財務報告的編制不符合適用的會計準則和會計制度的規定，這種情況下，企業的內部控制也通常存在重大缺陷，應該出具否定意見的內部控制審計報告。
因此，企業內部控制審計能夠比財務報告審計提供更進一步的信息，有利於投資者在財務報告審計意見類型基礎上，深入分析企業內部控制情況、投資風險和投資價值。
問：企業內部控制審計與財務報告審計有何聯絡？
答：企業內部控制的了解和測試，及其有效性評估是制定財務報告審計策略、實施進一步審計程序的基礎和前提。因此，內部控制審計和財務報告審計存在著多方面聯絡，主要體現在以下五個方面：
一是兩者的最終目的一致，雖然二者各有側重，但最終目的均為提高財務信息質量，提高財務報告的可靠性，為利益相關者提供高質量的信息。
二是兩者都採取風險導向審計模式，註冊會計師首先實施風險評估程序，識別和評估重大缺陷（或錯報）存在的風險。在此基礎上，有針對性地採取應對措施，實施相應的審計程序。
三是兩者都要了解和測試內部控制，並且對內部控制有效性的定義和評價方法相同，都可能用到詢問、檢查、觀察、穿行測試、重新執行等方法和程序。
四是兩者均要識別重點賬戶、重要交易類別等重點審計領域。註冊會計師在財務報告審計中，需要評價這些重點賬戶和重要交易類別是否存在重大錯報；在內部控制審計中，需要評價這些賬戶和交易是否被內部控制所覆蓋。
五是兩者確定的重要性水平相同。註冊會計師在財務報告審計中確定重要性水平，旨在檢查財務報告中是否存在重大錯報；在財務報告內部控制審計中確定重要性水平，旨在檢查財務報告內部控制是否存在重大缺陷。由於審計對象、判斷標準相同，因此二者在審計中確定的重要性水平亦相同。
記者：既然兩者存在多方面的密切聯絡，企業內部控制審計為什麼是獨立於財務報告審計的單獨業務？在審計工作中，是否能夠對二者實施整合審計？
答：雖然二者存在著多方面的聯絡，但財務報告審計是為了提高財務報告的可信賴程度，重在審計“結果”；而內部控制審計是對保證企業財務報告質量的內在機制的審計，重在審計“過程”。審計對象、重點等的不同，使得二者存在實質性差異，內部控制審計獨立於財務報告審計。二者差異主要體現在五個方面：
首先，對內部控制了解和測試的目的不同。註冊會計師在財務報告審計中評價內部控制的目的，是為了判斷是否可以相應減少實質性程序的工作量，以及支持財務報告的審計意見類型；在內部控制審計中評價內部控制的目的，則是為了對內部控制本身的有效性發表審計意見。
第二，內部控制測試範圍存在區別。註冊會計師在財務報告審計中，根據成本效益原則可能採取不同的審計策略，對於某些審計領域，可以繞過內部控制測試程序進行審計。而在內部控制審計中，註冊會計師則不能繞過內部控制測試程序進行審計，註冊會計師應當針對每一審計領域獲取控制有效性的證據，以便對內部控制整體的有效性發表意見。
第三，內部控制測試結果所要達到的可靠程度不完全相同。在財務報告審計中，對控制測試的可靠性要求相對較低，註冊會計師測試的樣本量也有一定的彈性。在內部控制審計中，註冊會計師則需要獲取內部控制有效性的高度保證，因此對控制測試的可靠性要求較嚴，樣本量選擇相對彈性較小。
第四，兩者對控制缺陷的評價要求不同。在財務報告審計中，註冊會計師僅需將審計過程中識別出的內部控制缺陷區分為值得關注的內部控制缺陷和一般缺陷。而在內部控制審計中，註冊會計師需要對內部控制缺陷進行嚴格的評估，將值得關注的內部控制缺陷進一步區分為重大缺陷和重要缺陷。重大缺陷將影響到審計意見的類型。
第五，審計報告的內容不同。在財務報告審計中，註冊會計師一般不對外報告內部控制的情況，除非內部控制影響到對財務報告發表的審計意見。在內部控制審計中，註冊會計師應報告內部控制的有效性。
從以上五個方面可以看出，兩者差異主要是具體目標、保證程度、評價要求、報告類型等屬性上的實質性差異，這些決定了內部控制審計獨立於財務報告審計。但在技術層面和實務工作中，兩者審計模式、程序、方法等存在著相同之處，風險識別、評估、應對等大量工作內容相近，有很多的基礎工作可以共享，在一項審計中發現的問題還可以為另一項審計提供線索和思路。因此，這兩項審計工作完全可以整合進行，而由同一家事務所進行整合審計，不僅有利於提高審計效果和效率，降低審計成本，減少重復勞動，而且可以避免審計判斷出現不一致的情形，降低企業聘請不同事務所實施審計的負擔。
目前，美國《薩班斯——奧克斯利法案》和日本《金融商品交易法》均要求由出具財務報告審計報告的會計師事務所對企業財務報告內部控制進行審計，將企業內部控制審計定位在整合審計。美國的一項調查也顯示，企業執行《薩班斯——奧克斯利法案》404條款第二年的成本比第一年下降46%，將兩項審計工作更好地整合起來則是其中的一個主要原因。為此，我國《企業內部控制審計指引》也提倡將二者整合進行。
記者：如何保證《意見》的貫徹落實和有效執行？
答：一項制度要發揮好作用，關鍵在於落實。下一步，中注協將著力抓好以下工作：
第一，不斷深化內部控制審計相關規章制度的宣傳、動員和培訓工作。為了幫助事務所更好提供內部控制審計服務，中注協將舉辦培訓班，指導會計師事務所做好內部控制審計業務，幫助審計人員提高此類審計業務所需的知識和技能。
第二，出臺“內部控制審計工作底稿編制指南”，引導事務所切實按照中國註冊會計師審計準則、《企業內部控制審計指引》和《意見》執行審計工作，把內部控制審計業務作為一項單獨的業務切實做實、做好、做到位。
第三，加強對事務所的專業指導。要求和指導事務所根據自身實際抓緊研究整合審計策略，制定業務規程，建立和完善內部控制審計業務質量控制體系；嚴格遵守《中國註冊會計師職業道德守則》，並對執業過程中獲知的信息保密，不得同時為客戶提供內部控制諮詢和評價服務；提示事務所充分認識到內部控制審計業務時間安排的特殊性，儘早與客戶溝通，在期中即開展內部控制審計，以給客戶整改內部控制缺陷留下充足時間。
第四，在會計師事務所執業質量檢查工作中，中注協將有重點地開展對從事內部控制審計業務會計師事務所的監管，有針對性地加大檢查力度，督促其嚴格遵循執業要求，自覺規範執業行為。發現存在執業質量問題和違背職業道德，將嚴格懲戒。
記者：您對企業執行內部控制規範有什麼建議？
答：企業是內部控制規範建設和執行的主體，對內部控制的有效性承擔主體責任，事務所審計則是鑒證監督責任。為保證企業內部控制規範的有效實施，發揮實效，提出以下幾點建議：
首先，企業管理層應高度重視內部控制規範體系建設實施工作，要建立健全內部控制領導體制和組織機構，根據基本規範及其配套指引的要求，大力推動內部控制規範體系實施，對業務流程進行系統梳理，識別重要業務流程、流程中容易出錯的環節、關鍵控制點，並抓緊開展內部控制自我評價工作，查漏補缺，為會計師事務所開展內部控制審計工作奠定良好的基礎。
其次，企業須儘早落實聘請會計師事務所進行內部控制審計事宜。在財務報表審計中，如果發現重大錯報，只要被審計單位最後時刻同意審計調整，註冊會計師即可簽發無保留意見審計報告。內部控制審計則不同，在內部控制審計中，如果發現被審計單位內部控制存在重大缺陷，註冊會計師提請企業整改後，還要跟蹤考察整改情況，才能得出控制是否有效的結論，進而決定是否簽發無保留意見的審計報告。例如，對於每季運行一次的控制，如果存在重大缺陷，被審計單位需要整改後再運行6個月，註冊會計師才能得出控制是否有效的審計結論。因此，企業最好在上半年決定事務所聘請事宜。
再次，推動實現內部控制自我評價工作與內部控制審計工作的良性互動。企業應充分認識內部控制審計業務特點，在開展內部控制自我評價工作時，應當及時與註冊會計師溝通和互動，提高自我評價工作可利用程度，降低審計成本，提高工作效率。同時，企業應充分理解內部控制審計工作是一項單獨業務，需要事務所增加新的投入，在工作中提供充分的支持。
