唐建華 萬壽瓊
財務(wù)報告內(nèi)部控制審計(以下簡稱內(nèi)部控制審計)制度自2011年試點實施以來,已逐步推廣至全部主板上市公司。作為一項新的審計業(yè)務(wù),如何將其做到位是一個值得審視的問題。本文從理論上闡述內(nèi)部控制審計應(yīng)有的工作力度,并通過示例演示實務(wù)中如何將其做到位。
在財務(wù)報表審計中,注冊會計師需要運(yùn)用“認(rèn)定”的概念。其基本邏輯是:注冊會計師要對整套財務(wù)報表發(fā)表審計意見,就需要知道財務(wù)報表反映的各賬戶余額、各類交易和各項列報是否有錯報;而要知道各賬戶余額、各類交易和各項列報是否有錯報,就需要確定各賬戶余額、各類交易和各項列報的各項認(rèn)定是否有錯報。因此,注冊會計師要圍繞各賬戶余額、各類交易和各項列報的各項認(rèn)定收集充分、適當(dāng)?shù)膶徲嬜C據(jù)??梢哉f,“認(rèn)定”是財務(wù)報表審計精細(xì)化的基石。
同樣,在內(nèi)部控制審計業(yè)務(wù)中,注冊會計師對內(nèi)部控制的了解和測試工作應(yīng)當(dāng)涵蓋每項相關(guān)認(rèn)定。如果某財務(wù)報表認(rèn)定可能存在一個或多個錯報,這些錯報將具有合理可能性導(dǎo)致財務(wù)報表發(fā)生重大錯報,則該認(rèn)定為相關(guān)認(rèn)定。有效的內(nèi)部控制應(yīng)當(dāng)能夠合理保證財務(wù)報表的可靠性。財務(wù)報表反映的是一項項認(rèn)定,有效的內(nèi)部控制也應(yīng)當(dāng)能夠合理保證財務(wù)報表中反映的每項相關(guān)認(rèn)定不存在重大錯報。因此,《企業(yè)內(nèi)部控制審計指引實施意見》規(guī)定,注冊會計師應(yīng)當(dāng)針對每一相關(guān)認(rèn)定獲取控制有效性的審計證據(jù),以便對內(nèi)部控制整體的有效性發(fā)表意見;注冊會計師應(yīng)當(dāng)對被審計單位的控制是否足以應(yīng)對評估的每個相關(guān)認(rèn)定的錯報風(fēng)險形成結(jié)論。針對每項相關(guān)認(rèn)定,注冊會計師至少應(yīng)當(dāng)測試一項關(guān)鍵控制。
換個角度看,在財務(wù)報表審計中,注冊會計師需要在充分了解被審計單位及其環(huán)境的基礎(chǔ)上,識別和評估財務(wù)報表層次和認(rèn)定層次的重大錯報風(fēng)險。在內(nèi)部控制審計中,注冊會計師需要確定是否有控制足以應(yīng)對這兩個層次的重大錯報風(fēng)險。換言之,內(nèi)部控制審計應(yīng)當(dāng)至少涵蓋識別的兩個層次的重大錯報風(fēng)險。
注冊會計師在審計XYZ公司的財務(wù)報告內(nèi)部控制時,確定應(yīng)收賬款是一個重要賬戶。通過與被審計單位人員進(jìn)行討論和查閱公司的文件記錄,注冊會計師了解到被審計單位人員每月將應(yīng)收賬款明細(xì)賬與總賬進(jìn)行調(diào)節(jié)。為確定是否能及時發(fā)現(xiàn)應(yīng)收賬款的錯報 (存在、計價和完整性),注冊會計師決定對每月調(diào)節(jié)程序中存在的控制進(jìn)行測試。根據(jù)應(yīng)收賬款賬戶的數(shù)量、金額和賬戶中發(fā)生的交易量,選取應(yīng)收賬款調(diào)節(jié)表若干樣本,對調(diào)節(jié)控制進(jìn)行測試。注冊會計師決定在10月份實施測試調(diào)節(jié)控制的程序,控制測試的對象總體是1月份到9月份的調(diào)節(jié)控制。在測試調(diào)節(jié)控制時,注冊會計師執(zhí)行如下程序:
1.向?qū)嵤┐丝刂频谋粚徲媶挝蝗藛T進(jìn)行詢問。注冊會計師向執(zhí)行調(diào)節(jié)流程的人員提出了若干問題,這些問題包括:
(1)是否有文件記錄描述賬戶調(diào)節(jié)流程?
(2)從事該項工作多長時間?
(3)處理調(diào)節(jié)項目的過程?
(4)有關(guān)人員對調(diào)節(jié)表進(jìn)行正式復(fù)核和簽署的頻率?
(5)向誰報告調(diào)節(jié)過程中發(fā)現(xiàn)的重大問題?
(6)每月平均有多少個調(diào)節(jié)項目?
(7)如何處理長期存在的調(diào)節(jié)項目?
(8)如何在信息系統(tǒng)中對調(diào)節(jié)項目作出更正(如有需要)?
(9)調(diào)節(jié)項目的一般性質(zhì)?
2.觀察和檢查控制的執(zhí)行。注冊會計師觀察被審計單位人員實施調(diào)節(jié)的過程。對于非經(jīng)常性的調(diào)節(jié)項目,注冊會計師檢查調(diào)節(jié)表是否針對每個項目的性質(zhì)、采取的解決措施以及該項目是否得到及時解決作出了清晰的說明。
3.重新執(zhí)行該控制。最后,注冊會計師檢查調(diào)節(jié)表并重新執(zhí)行調(diào)節(jié)程序。對于5月份和9月份的調(diào)節(jié)表,注冊會計師以抽查的形式將調(diào)節(jié)項目與原始文件進(jìn)行核對。這些調(diào)節(jié)表中包括的調(diào)節(jié)項目只有前一天放入保險箱但尚未記入客戶賬戶的現(xiàn)金。注冊會計師繼續(xù)追查這些項目,以確定這些調(diào)節(jié)項已在下一個工作日得到處理。
注冊會計師還粗略瀏覽了包含本年度所有調(diào)節(jié)表的文件夾,發(fā)現(xiàn)調(diào)節(jié)表均已及時完成。為了解被審計單位至年末的剩余期間里有沒有對調(diào)節(jié)控制程序作出重大變更,注冊會計師向被審計單位人員進(jìn)行詢問,確定這些程序在剩余期間內(nèi)未發(fā)生變化。因此,注冊會計師通過瀏覽月度賬戶調(diào)節(jié)表證實控制在剩余期間得到及時執(zhí)行,從而驗證控制在剩余期間仍然有效。
此外,注冊會計師評價和測試了計算機(jī)一般控制,包括程序變化(例如確認(rèn)對軟件功能沒有未經(jīng)授權(quán)的更改,對報告的更改已經(jīng)適當(dāng)授權(quán)、在實施前已經(jīng)測試和批準(zhǔn))和邏輯接觸(例如用戶對存貨和應(yīng)付賬款模塊的接觸和對報告源代碼保管地的接觸),得出結(jié)論認(rèn)為這些控制運(yùn)行有效。既然計算機(jī)被認(rèn)為以系統(tǒng)的方式運(yùn)行,注冊會計師認(rèn)為只需對一個項目執(zhí)行穿行測試就已經(jīng)足夠。
根據(jù)注冊會計師實施的程序,注冊會計師認(rèn)為截至本年末,該調(diào)節(jié)控制是有效的。
注冊會計師在審計XYZ公司的財務(wù)報告內(nèi)部控制時,確定銀行存款和應(yīng)付賬款是重要賬戶。通過與被審計單位人員進(jìn)行討論,注冊會計師了解到公司人員只有在將發(fā)票與訂購單信息核對一致后,才會付款。為確定是否能及時地預(yù)防銀行存款 (存在)和應(yīng)付賬款 (存在、計價和完整性)中存在的錯報,注冊會計師對“將發(fā)票與訂購單信息核對一致后再付款”這一控制實施了測試。
注冊會計師從1月至9月的銀行支付明細(xì)賬中隨意選取了25 筆付款記錄。在本例中,注冊會計師的測試對象是被審計單位員工對常規(guī)的支付交易所執(zhí)行的手工控制,因此注冊會計師認(rèn)為測試25筆付款交易是適當(dāng)?shù)摹6?,注冊會計師根?jù)較早實施的企業(yè)層面控制測試的結(jié)果,預(yù)期該控制不會出現(xiàn)錯誤。(如果注冊會計師發(fā)現(xiàn)了一個控制偏差,應(yīng)分析出現(xiàn)偏差的根本原因,并追加測試項目。如果發(fā)現(xiàn)了第二個控制偏差,即認(rèn)定該控制是無效的。注冊會計師因此需要在財務(wù)報表審計中增加對銀行存款和應(yīng)付賬款實施的實質(zhì)性程序的范圍。)
1.在取得相關(guān)憑證后,注冊會計師檢查發(fā)票上是否有應(yīng)付賬款財務(wù)人員的簽字,證明其已執(zhí)行了核對控制。但是,在憑證上簽字并不一定說明工作人員在簽字前已認(rèn)真復(fù)核了相關(guān)信息。工作人員可能只是草草復(fù)核或根本沒有復(fù)核憑證就簽字。
2.注冊會計師決定簽字不足以證明該控制在測試期間內(nèi)有效運(yùn)行。為了獲取更多的證據(jù),注冊會計師重新執(zhí)行了與簽字相關(guān)的核對控制,包括檢查發(fā)票以確定發(fā)票信息與訂購單信息一致,且發(fā)票金額的計算是準(zhǔn)確的。
由于注冊會計師在期中實施控制測試,因此注冊會計師通過詢問應(yīng)付賬款財務(wù)人員該控制是否仍然存在并有效運(yùn)行,將該測試前推至年末(從10月份至12月份)。通過對12月份的一筆交易實施穿行測試,證實了詢問所獲得的信息。
根據(jù)注冊會計師實施的程序,注冊會計師認(rèn)為截至本年末,“將發(fā)票與訂購單信息核對一致后再付款”這一控制是有效的。
注冊會計師確定現(xiàn)金、應(yīng)付賬款和存貨在財務(wù)報告審計中是重要賬戶。通過與客戶人員的討論,注冊會計師了解到客戶的計算機(jī)系統(tǒng)對收貨單、請購單和采購發(fā)票執(zhí)行三單匹配程序。如果有例外,系統(tǒng)產(chǎn)生未匹配項目的清單,客戶人員每周進(jìn)行復(fù)核和跟進(jìn)處理。
在本例中,計算機(jī)匹配是程序化的應(yīng)用控制,人工對未匹配項目報告進(jìn)行復(fù)核和跟進(jìn)是檢查性控制。為確定能夠及時防止或發(fā)現(xiàn)現(xiàn)金(存在性)、應(yīng)付賬款和存貨(存在性、計價和完整性)的錯報,注冊會計師決定測試這兩項控制。
1.測試自動控制
為測試程序化的應(yīng)用控制,注冊會計師執(zhí)行如下程序:
(1)通過與客戶人員的討論,注冊會計師識別出用以處理收貨單和采購發(fā)票的軟件。該軟件系從第三方購入,包括幾個模塊。
(2)通過與客戶人員的進(jìn)一步討論,確定客戶沒有修改軟件的核心功能,只是有時對報告進(jìn)行個性化的處理以滿足業(yè)務(wù)變化的需要。根據(jù)以前對客戶信息技術(shù)環(huán)境了解的經(jīng)驗,注冊會計師認(rèn)為這些變化不常發(fā)生,客戶的信息技術(shù)程序控制很成熟。
(3)通過與客戶人員的進(jìn)一步討論,存貨模塊處理收貨,包括將收貨單與未了結(jié)的請購單匹配。購貨發(fā)票由應(yīng)付賬款模塊處理,將購貨發(fā)票與經(jīng)批準(zhǔn)的、已有有效的收貨單支持的請購單相匹配。該模塊同時生成未匹配項目的報告,該報告格式是一個標(biāo)準(zhǔn)的報告,由軟件自帶且客戶沒有做過任何修改。該信息與軟件供應(yīng)商的文檔記錄一致,也與客戶信息管理部門的文檔記錄一致。
(4)通過與客戶人員的討論及檢查軟件供應(yīng)商的文檔記錄,識別用于處理該功能的可執(zhí)行文件(應(yīng)用軟件)的名稱、文件大小和位置。注冊會計師識別應(yīng)用軟件的編輯日期并將其與應(yīng)用軟件的初裝日期核對一致。將報告源代碼的編輯日期與信息管理部門持有的、與對報告最后一次修改(格式的修改)有關(guān)的文檔記錄一致。
(5)識別將測試應(yīng)用軟件的目標(biāo)。是為了確定:收到的貨物是否恰當(dāng)(例如,與有效的請購單匹配);過賬的采購價格是否恰當(dāng)(例如,將有效的收貨單與請購單匹配,無重復(fù)號碼);未匹配的項目列于例外報告中。注冊會計師重新執(zhí)行了應(yīng)用軟件中所有各種不同情況以確定應(yīng)用軟件如所描述的那樣運(yùn)行。每種測試只要一筆即可。
此外,注冊會計師評價和測試了計算機(jī)一般控制,包括程序變化(例如確認(rèn)對軟件功能沒有未經(jīng)授權(quán)的更改,對報告的更改已經(jīng)適當(dāng)授權(quán)、在實施前已經(jīng)測試和批準(zhǔn))和邏輯接觸(例如用戶對存貨和應(yīng)付賬款模塊的接觸和對報告源代碼保管地的接觸),得出結(jié)論認(rèn)為這些控制運(yùn)行有效。既然計算機(jī)被認(rèn)為以系統(tǒng)的方式運(yùn)行,注冊會計師認(rèn)為只需對一個項目執(zhí)行穿行測試就已經(jīng)足夠。
為確定應(yīng)用控制是否有效運(yùn)行,注冊會計師在7月執(zhí)行了穿行測試,并執(zhí)行和記錄了下列內(nèi)容:
(1)收貨部門在沒有將收貨單與系統(tǒng)中請購單匹配的情況下不能記錄已收到貨物。注冊會計師通過試圖在沒有請購單的情況下記錄已收到貨物來測試該項控制,然而,系統(tǒng)不允許注冊會計師這么做。相反,系統(tǒng)生成一個出錯信息,指出沒有有效的請購單不能將貨物記錄為已收到。
(2)除非系統(tǒng)能夠?qū)⑹肇泦魏唾徹洶l(fā)票與經(jīng)批準(zhǔn)的請購單匹配,否則不能為發(fā)票付款。注冊會計師通過試圖批準(zhǔn)為發(fā)票付款來測試該項控制,然而,系統(tǒng)不允許注冊會計師這么做。相反,系統(tǒng)生成一個出錯信息,指出沒有有效的請購單和收貨單不能為發(fā)票付款。
(3)系統(tǒng)不允許處理具有相同發(fā)票號碼和相同供應(yīng)商的發(fā)票。并且,針對同一張請購單,系統(tǒng)不允許處理兩張發(fā)票,除非這兩張發(fā)票的總和小于請購單上批準(zhǔn)的數(shù)量。注冊會計師通過試圖處理重復(fù)的發(fā)票來測試該項控制,然而,系統(tǒng)生成一個出錯信息,指出該發(fā)票已經(jīng)處理過。
(4)系統(tǒng)將發(fā)票金額與請購單進(jìn)行比較。如果存在數(shù)量乘以價格的差異,并且差異超過經(jīng)批準(zhǔn)的可容忍范圍,系統(tǒng)不允許處理該發(fā)票。注冊會計師通過試圖處理差異超過可容忍范圍10件或1000美元的發(fā)票來測試該項控制,然而,系統(tǒng)不允許注冊會計師這么做。相反,系統(tǒng)生成一個出錯信息,指出由于差異不能處理該發(fā)票。
(5)系統(tǒng)只對供貨商主文檔中包含的供貨商付款。注冊會計師通過試圖處理不在供貨商主文檔中的一名供貨商開具的發(fā)票來測試該項控制,然而,系統(tǒng)不允許處理付款。
(6)注冊會計師測試了用戶對供貨商主文檔的訪問,通過試圖訪問并更改主文檔來測試用戶是否能夠修改文檔,然而,系統(tǒng)不允許注冊會計師執(zhí)行該項操作。相反,系統(tǒng)生成一個出錯信息,指出用戶沒有授權(quán)執(zhí)行該項操作。
(7)注冊會計師通過驗證一個報告中未匹配項目和一個未在報告中的已匹配項目,測試了未匹配項目報告的準(zhǔn)確性和完整性。
2.測試人工控制
為測試對未匹配項目進(jìn)行復(fù)核和跟進(jìn)的發(fā)現(xiàn)性控制,注冊會計師針對1-7月在7月執(zhí)行了以下程序:
(1)詢問客戶的人員。為了解以確保所有未匹配項目均已被適當(dāng)跟進(jìn),并且及時作出更正而實施的控制,注冊會計師向跟進(jìn)未匹配項目報告周報的人員進(jìn)行了詢問。每周,控制要求該人員復(fù)核未匹配項目報告以確定項目列入報告的原因。該人員的復(fù)核包括適當(dāng)跟進(jìn)項目,包括確定:
是否未了結(jié)請購單在可接受的時間內(nèi)或者予以了結(jié),或者予以作廢?
是否定期通知請購方請購單的狀況及原因?
請購單未了結(jié)的原因是否是供貨商未全部發(fā)貨,如果是,是否通知了供貨商?
是否有應(yīng)當(dāng)與采購部門討論解決的數(shù)量問題?
(2)觀察該控制的執(zhí)行。注冊會計師觀察該人員對7月份首周產(chǎn)生的未匹配項目執(zhí)行的控制。
(3)重新執(zhí)行該控制。注冊會計師選擇了5個星期未匹配項目報告,從每個中選出幾項,重新執(zhí)行了該人員執(zhí)行的控制。注冊會計師瀏覽了其他的未匹配項目報告以確定控制在整個擬依賴期間都已執(zhí)行。
為確定客戶在剩余期間沒有對控制做出重大修改,注冊會計師與客戶討論了作出修改所需的程序。既然程序自期中至年末沒有被修改,注冊會計師通過瀏覽未匹配項目報告周報來確定控制在剩余期間被及時執(zhí)行,得出結(jié)論認(rèn)為控制仍然在運(yùn)行。
基于注冊會計師的程序,注冊會計師認(rèn)為該人員能夠及時處理例外事項,控制在年末有效運(yùn)行。
在審計一個有四個類似分支機(jī)構(gòu)的商業(yè)公司時,注冊會計師決定測試一項每月運(yùn)行一次的控制,該控制針對的是包括工資、公共事業(yè)費、設(shè)施及折舊費等在內(nèi)的銷售費用、管理費用、一般性費用的存在(發(fā)生)、完整和計價與分?jǐn)傉J(rèn)定。這項控制是:每個分支機(jī)構(gòu)的財務(wù)總監(jiān)每月執(zhí)行一項分析,即將該分支機(jī)構(gòu)財務(wù)報表中的和這些費用相關(guān)的項目與前年或預(yù)測的財務(wù)報表相比較,如果差異超過公司財務(wù)總監(jiān)預(yù)先確定的門檻值,則需要調(diào)查差異。每個分支機(jī)構(gòu)的財務(wù)總監(jiān)與公司財務(wù)總監(jiān)討論分析的結(jié)果,以使公司財務(wù)總監(jiān)能夠理解重大差異的基礎(chǔ)和決定是否需要對財務(wù)報表作出調(diào)整,或采取其他糾正措施。
由于該項管理層審閱控制針對幾個重要賬戶的多項認(rèn)定(評估的重大錯報風(fēng)險不一),注冊會計師評估的、與該項控制相關(guān)的風(fēng)險為“較高”。
注冊會計師的審計程序可能包括:
1.評價該項控制能否如設(shè)想的那樣應(yīng)對與銷售費用、管理費用、一般性費用的存在(發(fā)生)、完整和計價與分?jǐn)傉J(rèn)定相關(guān)的重大錯報風(fēng)險。
2.評價分支機(jī)構(gòu)前年和今年預(yù)測的信息是否能夠作為預(yù)期的適當(dāng)基礎(chǔ),以識別潛在的錯報。
3.評價財務(wù)總監(jiān)預(yù)先確定的門檻值是否適當(dāng),即分支機(jī)構(gòu)財務(wù)總監(jiān)根據(jù)該門檻值是否能夠識別對財務(wù)報表重要的錯報。
4.基于注冊會計師在本期和以前期間對個人的了解等,評價公司和分支機(jī)構(gòu)的財務(wù)總監(jiān)的專業(yè)勝任能力。
5.評價控制的運(yùn)行頻率是否足夠,即是否在錯報對財務(wù)報表產(chǎn)生重大影響前能夠予以預(yù)防或發(fā)現(xiàn)。
6.對所選擇的控制運(yùn)行樣本項目,獲取分支機(jī)構(gòu)財務(wù)總監(jiān)分析中使用的信息,了解其調(diào)查重大差異所采取的步驟,重新執(zhí)行分析并將注冊會計師識別的重大差異、對結(jié)果的評價(包括識別的錯報)與分支機(jī)構(gòu)財務(wù)總監(jiān)的分析相比較。
7.對公司財務(wù)總監(jiān)和分支機(jī)構(gòu)討論分析結(jié)果的會議進(jìn)行觀察或查閱其會議記錄,檢查呈報給公司財務(wù)總監(jiān)的信息,評價所討論事項、得出的結(jié)論及采取的糾正措施。
注冊會計師還應(yīng)確定控制使用的財務(wù)報表和預(yù)測信息是由同一信息系統(tǒng)生成和報告的。公司的信息系統(tǒng)是集中管理的,并且該信息系統(tǒng)的控制是與公司其他與財務(wù)報表相關(guān)的信息的控制一起測試的。
值得注意的是,該例演示的是測試常規(guī)和可預(yù)測的賬戶的方法,對于復(fù)雜的或不可預(yù)測的賬戶或認(rèn)定,在測試針對這些賬戶或認(rèn)定的內(nèi)部控制時,主要由將賬面反映數(shù)與上年數(shù)和預(yù)測數(shù)相比較組成的管理層審閱控制可能精確度不夠。在此情況下,除測試管理層審閱控制外,可能有必要測試其他控制,以得出控制是否足以應(yīng)對重要賬戶的相關(guān)認(rèn)定的重大錯報風(fēng)險。
從上面的示例可以看出,內(nèi)部控制審計業(yè)務(wù)也需要做得精細(xì),才能到位。對每項控制的測試,均需要確定控制測試的性質(zhì)、時間安排和范圍。在期中測試控制的情況下,還需要追加審計工作,以將審計結(jié)論合理延伸至審計基準(zhǔn)日。某些人工控制的運(yùn)行,可能依賴信息系統(tǒng)產(chǎn)生的報告或數(shù)據(jù),這時,還需要測試針對這些報告或數(shù)據(jù)產(chǎn)生過程中的控制。
美國上市公司會計監(jiān)督委員會(PCAOB)曾連續(xù)發(fā)布內(nèi)部控制審計實施檢查報告。在2012年發(fā)布的檢查報告中,指出了內(nèi)部控制審計中常見的不到位之處:一是沒有識別和充分測試旨在應(yīng)對重大錯報風(fēng)險的控制;二是對于用以監(jiān)控經(jīng)營成果的管理層審閱控制,未能充分測試其設(shè)計和運(yùn)行有效性;三是未能獲取充分的證據(jù),以將期中測試內(nèi)部控制的結(jié)果更新至年末;四是未能充分測試針對系統(tǒng)產(chǎn)生的數(shù)據(jù)和報告的控制,而這些數(shù)據(jù)和報告支持重要控制的運(yùn)行;五是對利用他人的工作,未能實施程序;六是未能充分評估識別的控制缺陷。這些不足以說明未能完全執(zhí)行內(nèi)部控制審計技術(shù)標(biāo)準(zhǔn)。
做好內(nèi)部控制審計業(yè)務(wù)不僅與建立財務(wù)報表可靠性的機(jī)制直接相關(guān),還關(guān)系到會計師事務(wù)所財務(wù)報表審計方法的升級,需要從實質(zhì)性方案過渡至綜合性方案,這在越來越多的被審計單位廣泛使用信息技術(shù)的背景下尤為重要。將來,越來越多的重大錯報風(fēng)險屬于“僅通過實質(zhì)性程序無法應(yīng)對的風(fēng)險”,從而實質(zhì)性方案無法應(yīng)對,也就是說,繞過內(nèi)部控制進(jìn)行審計的方法越來越行不通。會計師事務(wù)所應(yīng)當(dāng)借實施內(nèi)部控制審計業(yè)務(wù)的契機(jī),將內(nèi)部控制審計業(yè)務(wù)做實做精做到位,實現(xiàn)財務(wù)報表審計技術(shù)方法的升級。