整合审计下内部控制审计风险模型构建

《整合审计下内部控制审计风险模型构建》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、整合审计下内部控制审计风险模型构建随着国内外内部控制治理的发展，审计人员不仅要对财务报表发表审计意见，还要对相关内部控制的有效性发表意见，即整合审计日益重要。为同时满足这两个目标，审计人员可使用一些相同的程序。审计风险模型作为财务报表审计的概念框架至今已有40多年历史，尽管其在执行和评价审计风险时缺乏一定理论基础，但依然具有较强的风险评价和分析功能，可以帮助审计人员有效确定审计的性质、时间和范围。由于审计风险模型主要针对财务报表审计而不是专门为内部控制审计设计，而且内部控制审计主要审计内部控制机制的设计、实施和维护等过程，其审计意见

2、的类型也不依赖于分析程序或细节性测试，因而不能按照该模型进行内部控制审计，这在客观上呼唤适用于内部控制审计的风险评价概念框架和审计风险模型的出现。一、内部控制审计的目标7与财务报表审计主要评价结果不同，内部控制审计主要是对过程进行评价。如果不进行整合审计，审计内部控制无需对账户余额进行实质性测试。即使进行整合审计，控制测试主要是测试内部控制，实质性测试虽然可能使审计人员发现内部控制的缺陷，但其目的主要是为了鉴证企业财务状况、经营成果和现金流量的合法性与公允性，而不是测试内部控制的有效性，因而旨在帮助审计人员确定控制性测试和实质性测试

3、范围的审计风险模型，并不适用于内部控制审计。与审计风险模型为审计人员提供了有助于其确定财务报表审计测试范围的概念框架类似，构建适当的内部控制审计风险模型也将为其提供相关的概念框架，以帮助审计人员确定内部控制审计的测试范围，以及影响测试程度的关键因素等。内部控制审计的目的不是为了发现重大错报，而是对内部控制的有效性发表意见。如果内部控制存在一个或更多的重大缺陷，审计人员就不能认为它有效，而应当计划并实施适当的审计程序，搜集充分证据对鉴证期间的内部控制是否存在重大缺陷获得合理保证。需要说明的是，即使财务报表不存在重大错报，其内部控制也可

4、能存在重大缺陷，从而决定了内部控制审计的目标是为内部控制的设计、实施和维护不存在重大缺陷寻找高水平的合理保证。二、内部控制审计风险7狭义的内部控制审计风险是指“一种对内部控制有效性发表不恰当意见的风险”。根据内部控制审计的目标，如果审计人员认为发现的重大缺陷风险并未降到一个足够低的水平，就不应发表无保留意见，因而内部控制审计风险的定义应是“某一组织拥有重大缺陷但审计人员没有发现或发现但却出具不恰当审计意见的风险”，旨在帮助审计人员确定需要实施多少测试来保证未发现的重大缺陷风险控制在足够低的水平。重大缺陷可能来自以下两个方面：内部控制

5、设计或维护的重大缺陷；虽然内部控制具有充分的设计或维护，但在实施过程中存在重大缺陷。为了发现设计或维护方面的重大缺陷，审计人员应适当评价内部控制的设计（如发现控制的不完善）、对内部控制是否改进进行适当测试。典型的评价和测试程序包括：检查（往往在问卷调查或其他方法的基础上进行）、分析控制流程图、阅读文件、观察、穿行测试和检查其他书面资料。通过适当测试控制运行的效率，审计人员可以发现其中的重大缺陷，从而将内部控制缺乏效率的风险降至低水平，而适当的内部控制审计风险模型则有助于审计人员确定运行效率测试的数量和程度。三、内部控制审计风险模型的

6、构建内部控制审计风险的定义表明以下情形可能出现重大缺陷：（1）用以防范固有风险的内部控制设计不充分；（2）内部控制设计不完善；（3）设计充分和完善的内部控制未有效运行。为避免内部控制审计风险模型与审计风险模型混淆，将其定义为不正确的控制意见风险，即ICOR。这三种缺陷都可能导致重大缺陷，审计人员要发表内部控制的无保留意见就必须确定这三种情况都不存在，即内部控制审计风险是在固有风险不变的情况下，内部控制固有风险与内部控制实施风险的函数，由此得到内部控制审计风险模型如下：ICOR=f（CDIR/・给定IR；COER若CDIR有效）（1）

7、7式（1）表示内部控制审计风险模型。左边是审计人员出具不恰当控制意见的风险，它等于审计人员实施一系列测试后未发现实际存在重大缺陷的风险，是内部控制设计不充分或不完善的风险，以及虽然内部控制设计充分、完善但未有效实施的风险的函数。其中，ICOR为不恰当控制意见的风险，即当某一组织内部控制存在重大缺陷但审计人员并未发现或虽发现却出具不恰当意见的风险。IR为固有风险，即假设不存在内部控制，审计人员认为某一组织存在一项或与其他错报汇总后为重大错报的风险；CDIR为内部控制的设计和改进风险，即审计人员认为某一组织存在内部控制设计不充分或不完善

8、的风险，假定固有风险可以防止或发现并纠正总的重大错报；COER为控制实施有效性风险，即审计人员认为设计充分、完善的内部控制没有被严格实施，从而未能防止或发现并纠正重大错报的风险（见图1）。7（1）内部控制的设计与完善风险CDIR。固有