《企业内部控制审计指引》之评价控制缺陷

　　（一）评价控制缺陷的总体要求

　　如果某项控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报，则表明内部控制存在缺陷。如果企业缺少用以及时防止或发现并纠正财务报表错报的必要控制，同样表明存在内部控制缺陷。

　　内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或者现有控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计适当的控制没有按设计意图运行，或者执行人员缺乏必要授权或专业胜任能力，无法有效实施控制。

　　内部控制存在的缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷。

　　重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。具体到财务报告内部控制上，就是内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报的一个或多个控制缺陷的组合。

　　重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。具体就是内部控制中存在的、其严重程度不如重大缺陷、但足以引起企业财务报告监督人员关注的一个或多个控制缺陷的组合。

　　一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。

　　注册会计师需要评价其注意到的各项控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷，但是，在计划和实施审计工作时，不要求注册会计师寻找单独或组合起来不构成重大缺陷的控制缺陷。

　　下列迹象可能表明企业的内部控制存在重大缺陷：

　　（1）注册会计师发现董事、监事和高级管理人员舞弊；

　　（2）企业更正已经公布的财务报表；

　　（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；

　　（4）企业审计委员会和内部审计机构对内部控制的监督无效。

　　财务报告内部控制控制缺陷的严重程度取决于：

　　（1）控制缺陷导致账户余额或列报错报的可能性；

　　（2）因一个或多个控制缺陷的组合导致潜在错报的金额大小。

　　控制缺陷的严重程度与账户余额或列报是否发生错报无必然对应关系，而取决于控制缺陷是否可能导致错报。评价控制缺陷时，注册会计师需要根据财务报表审计中确定的重要性水平，支持对财务报告控制缺陷重要性的评价。注册会计师需要运用职业判断，考虑并衡量定量和定性因素，同时要对整个思考判断过程进行记录，尤其是详细记录关键判断和得出结论的理由。而且，对于“可能性”和“重大错报”的判断，在评价控制缺陷严重性的记录中，注册会计师需要给予明确地考量和陈述。

　　（二）评价控制缺陷举例

　　1.单个控制缺陷的识别。

　　下面以未按时进行公司间对账为例，举例说明如何评价财务报告内部控制的控制缺陷。

　　例如，某公司每月处理大量的公司间常规交易。公司间的单项交易并不重大，主要是涉及资产负债表的活动。公司制度要求逐月进行公司间对账，并在业务单元间函证余额。注册会计师了解到，目前公司没有按时开展对账工作，但公司管理层每月执行相应的程序对挑选出的大额公司间账目进行调查，并编制详细的营业费用差异分析表来评估其合理性。

　　基于上述情况，注册会计师可以确定此控制缺陷为重要缺陷。因为，由于该控制缺陷引起的财务报表错报可以被合理地预计为介于重要和重大之间，由于公司间单项交易并不重大，这些交易限于资产负债表科目，而且每月执行的补偿性控制应该能够发现重大错报。

　　仍用上例，如果公司每月处理的大量公司间交易涉及广泛的业务活动，包括涉及公司间利润的存货转移，研究开发成本向业务单元的分摊，公司间单项交易常常是重大的。公司制度要求逐月进行公司间对账，并在业务单元间函证余额。注册会计师了解到，目前公司没有按时开展对账工作，这些账目经常出现重大差异。而且，公司管理层没有执行任何补偿性控制来调查重大的公司间账目 差异。

　　基于上述情况，注册会计师可以确定此控制缺陷为重大缺陷。因为，该控制缺陷引起的财务报表错报可以被合理地预计为是重大缺陷，公司间单项交易常常是重大的，而且涉及大范围活动。另外，在公司间账目上尚未对账的差异是重要的，由于这种错报常常发生，财务报表错报可能出现，而且补偿性控制无效。

　　2.多个控制缺陷的识别示例

　　例如，注册会计师识别出以下控制缺陷：

　　（1）对特定信息系统访问控制的权限分配不当；

　　（2）存在若干明细账不合理交易记录（交易无论单个还是合计都是不重要的）；

　　（3）缺乏对受不合理交易记录影响的账户余额的及时对账。

　　上述每个缺陷均单独代表一个重要缺陷。基于这一情况，注册会计师可以确定这些重要缺陷合并构成重大缺陷。因为，就个别重要缺陷而言，这些缺陷有一定可能性，各自导致金额未达到重要性水平的财务报表错报。可是，这些重要缺陷影响同类会计账户，有一定可能性导致不能防止或发现并纠正重大错报的发生。因此，这些重要缺陷组合在一起符合重大缺陷的定义。

《企业内部控制审计指引》之评价控制缺陷

　　（一）评价控制缺陷的总体要求

　　如果某项控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报，则表明内部控制存在缺陷。如果企业缺少用以及时防止或发现并纠正财务报表错报的必要控制，同样表明存在内部控制缺陷。

　　内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或者现有控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计适当的控制没有按设计意图运行，或者执行人员缺乏必要授权或专业胜任能力，无法有效实施控制。

　　内部控制存在的缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷。

　　重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。具体到财务报告内部控制上，就是内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报的一个或多个控制缺陷的组合。

　　重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。具体就是内部控制中存在的、其严重程度不如重大缺陷、但足以引起企业财务报告监督人员关注的一个或多个控制缺陷的组合。

　　一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。

　　注册会计师需要评价其注意到的各项控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷，但是，在计划和实施审计工作时，不要求注册会计师寻找单独或组合起来不构成重大缺陷的控制缺陷。

　　下列迹象可能表明企业的内部控制存在重大缺陷：

　　（1）注册会计师发现董事、监事和高级管理人员舞弊；

　　（2）企业更正已经公布的财务报表；

　　（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；

　　（4）企业审计委员会和内部审计机构对内部控制的监督无效。

　　财务报告内部控制控制缺陷的严重程度取决于：

　　（1）控制缺陷导致账户余额或列报错报的可能性；

　　（2）因一个或多个控制缺陷的组合导致潜在错报的金额大小。

　　控制缺陷的严重程度与账户余额或列报是否发生错报无必然对应关系，而取决于控制缺陷是否可能导致错报。评价控制缺陷时，注册会计师需要根据财务报表审计中确定的重要性水平，支持对财务报告控制缺陷重要性的评价。注册会计师需要运用职业判断，考虑并衡量定量和定性因素，同时要对整个思考判断过程进行记录，尤其是详细记录关键判断和得出结论的理由。而且，对于“可能性”和“重大错报”的判断，在评价控制缺陷严重性的记录中，注册会计师需要给予明确地考量和陈述。

　　（二）评价控制缺陷举例

　　1.单个控制缺陷的识别。

　　下面以未按时进行公司间对账为例，举例说明如何评价财务报告内部控制的控制缺陷。

　　例如，某公司每月处理大量的公司间常规交易。公司间的单项交易并不重大，主要是涉及资产负债表的活动。公司制度要求逐月进行公司间对账，并在业务单元间函证余额。注册会计师了解到，目前公司没有按时开展对账工作，但公司管理层每月执行相应的程序对挑选出的大额公司间账目进行调查，并编制详细的营业费用差异分析表来评估其合理性。

　　基于上述情况，注册会计师可以确定此控制缺陷为重要缺陷。因为，由于该控制缺陷引起的财务报表错报可以被合理地预计为介于重要和重大之间，由于公司间单项交易并不重大，这些交易限于资产负债表科目，而且每月执行的补偿性控制应该能够发现重大错报。

　　仍用上例，如果公司每月处理的大量公司间交易涉及广泛的业务活动，包括涉及公司间利润的存货转移，研究开发成本向业务单元的分摊，公司间单项交易常常是重大的。公司制度要求逐月进行公司间对账，并在业务单元间函证余额。注册会计师了解到，目前公司没有按时开展对账工作，这些账目经常出现重大差异。而且，公司管理层没有执行任何补偿性控制来调查重大的公司间账目 差异。

　　基于上述情况，注册会计师可以确定此控制缺陷为重大缺陷。因为，该控制缺陷引起的财务报表错报可以被合理地预计为是重大缺陷，公司间单项交易常常是重大的，而且涉及大范围活动。另外，在公司间账目上尚未对账的差异是重要的，由于这种错报常常发生，财务报表错报可能出现，而且补偿性控制无效。

　　2.多个控制缺陷的识别示例

　　例如，注册会计师识别出以下控制缺陷：

　　（1）对特定信息系统访问控制的权限分配不当；

　　（2）存在若干明细账不合理交易记录（交易无论单个还是合计都是不重要的）；

　　（3）缺乏对受不合理交易记录影响的账户余额的及时对账。

　　上述每个缺陷均单独代表一个重要缺陷。基于这一情况，注册会计师可以确定这些重要缺陷合并构成重大缺陷。因为，就个别重要缺陷而言，这些缺陷有一定可能性，各自导致金额未达到重要性水平的财务报表错报。可是，这些重要缺陷影响同类会计账户，有一定可能性导致不能防止或发现并纠正重大错报的发生。因此，这些重要缺陷组合在一起符合重大缺陷的定义。