时间：2023-04-01 10:31:39
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇内控审计论文范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
【论文关键词】内部控制；审计委员会职能；公司治理；内部审计机构
新《基本规范》虽然在形式上借鉴了美国《内部控制整合框架》（COSO-IC）的五要素框架，但内容上却充分体现了《企业风险管理——整合框架》（COSO-ERM）八要素框架的实质，始终贯穿了全面风险管理的理念，并在文字上给予了更中国化的定义和细化。2008年6月28日，财政部、证监会、审计署、银监会、保监会联合了《企业内部控制基本规范》（以下简称新《基本规范》），这是中国会计审计领域的又一重大改革举措，体现了我国的内部控制规范正在向国际接轨。
《基本规范》将审计委员会确定为监督企业内控制度制定和执行的机构，明确提出企业应当在董事会下设立审计委员会。这表明审计委员会在公司内部的作用越来越重要，其职能也在发生变化。
一、《企业内部控制基本规范》的相关要求
（一）现行内部控制的总体要求
《企业内部控制基本规范》提出，内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。企业应当遵循全面性、重要性、制衡性、适应性、成本效益的原则，从内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素来制定和实施企业内部控制制度。
可以看出，新《基本规范》有效地整合了公司治理结构、内部控制与风险管理的关系，将三者归结为风险控制，提出了内部控制的关注重点。
（二）新《基本规范》对审计委员会的要求
新《基本规范》第十三条、第十五条规定，企业应当在董事会下设立审计委员会。审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。
除了这些明确的规定以外，规范中时时刻刻突出了对企业风险管理的高度重视，因此审计委员会的作用渗透到了内部控制的全过程，它能否准确地定位、明确自身的职能、有效地发挥监督作用，对企业能否真正贯彻新《基本规范》的精神内涵至关重要。
笔者认为，审计委员会的目标应与企业内部控制紧密结合，可定为：监督和报告企业内控制度的制定和执行，确保董事会和经理层的行为合法合规，确保资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。
审计委员会的职能也应该由传统的关注公司财务收支、监督企业经济效益而有所扩大和发展。新《基本规范》突出体现了从会计控制到全面内部控制的转变，风险管理的重要性大大凸显，因而审计委员会的职能也不应仅仅还停留在监督公司的财务和经济效益上，而应对企业的机构治理和管理起到更加积极地作用。
根据中国内部审计协会会长王道成在2009年内部审计热点问题调查报告会上的发言，结合《基本规范》的精神，笔者认为审计委员会应该有以下职能：
1、监督内部控制的有效实施，发现内部控制缺陷及时向董事会、股东大会汇报。
2、以公司治理和风险管理为导向，对董事会、经理层的经营决策行为进行监督，确保他们的行为合规、合法，无行为，并审查经营决策的结果，对董事会、经理层的风险评估、风险控制行为进行评判，适时对不当的决策提出批评和建议。
3、审核公司的财务信息及其披露，确保公司财务报告的真实性和完整性。
二、影响我国企业审计委员会职能发挥的主要因素
1、由于公司治理结构的缺陷，审计委员会的作用受到限制
我国的审计委员会隶属于董事会，对董事会负责，难以实现对董事会的监管。美国对这一问题的解决主要是规定审计委员会委员应当全部由独立董事组成,并且除作为董事会成员和审计委员会成员外,不得从公司中接受任何咨询、顾问费或者其他酬金,也不得为公司或者其子公司的关联人士。（见《萨班斯-奥克斯利法案》）。我国《上市公司治理准则》也规定审计委员会中独立董事应占多数并担任召集人。但是我国的独立董事制度还不健全，并且企业的独立董事通常由大股东、董事会推荐产生,独立董事依附于大股东,独立性不。另外，独立董事因为不在企业内部担任其他职务，对公司的相关信息了解不足，加上他们分心于其他工作，参与性不够，难以对企业内部控制进行监督和评估。
2、我国上市公司特殊的股权结构制约审计委员会发挥职能
我国上市公司的股权结构的特征是国有股、国有法人股和社会法人股的比例占65％以上，且不能流通，而占上市公司股权比例35％的流通股相当分散，从而形成非流通股股东的过分集中，即存在所谓的“一股独大”现象。上市公司的重大决策权由非流通股大股东掌握，非流通股控股股东对审计委员会的成员有实质任免权。
我国上市公司股权结构中的另一个特征是国有股、国有法人股的产权管理体制没有完全理顺，国有产权虚置，在“一股独大”的情况下，上市公司高级经理层实际控制了上市公司的重大决策权，即形成了“内部人控制”。
这样，处在董事会之下的审计委员会既被大股东所掌控，自然也被高级管理层所控制，无法实现对董事会和管理层的监督。
总之，目前我国上市公司内部控制存在的突出问题在于：即使建立了良好的内控制度，但由于公司治理结构的不完善，对公司实际控制人缺乏必要制约，董事会和管理层任意超越内部控制，最终导致内部控制成为一纸空文，在战略及经营目标实现方面的风险控制严重缺失。
（二）内部审计机构的职能发挥受到限制
按照《企业内部控制基本规范》第十五条、第四十四条的要求，企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构，规范内部监督的程序、方法和要求。内部审计机构对内部控制的有效性进行监督检查，对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。
内部审计委员会主要是由独立董事构成，人员有限，对公司治理的参与也不多，主要依靠内部审计机构的具体工作获取相关的信息，从而监控企业的内部控制。然而，我国上市公司的内部审计机构和其他职能部门一样，一般都在管理层领导下工作，独立性不强，容易被上级领导的意志所左右，再加上目前上市公司内部还没有形成良好的内部控制环境，使内部审计工作的开展受到了许多限制。再次，基于我国社会普遍存在的“面子”、“关系”、“人脉”等复杂的人际交往环境，企业利益与内部审计人员自身利益时有冲突，难免影响审计人员的判断和报告，降低了审计工作的客观性。内部审计机构无法向审计委员会提供真实、有效、有用的信息，审计委员会的职能也得不到发挥。
三、如何更好地发挥审计委员会的职能
（一）改善公司股权结构，减少“内部人控制”的现象。
建议适当扩大流通股的数量，增加机构持股，削弱超级大股东的权力。董事会和经理层严格实行职务分离，只有公司的治理机制得到改进和完善，审计委员会的权威性和独立性才能得到加强，才能更好地发挥作用。
（二）建立健全相关的法律法规
目前，我国的审计委员会制度是没有法律保障的，缺乏一个强制性的关于审计委员会的报告制度。我国应该加紧制定相关的法律和规范，专门对审计委员会和内部审计机构的地位、目标、职责、工作方法、成员等做出规定，以更好地指导上市公司的审计委员会在监督企业内部控制方面发挥作用。
笔者认为，审计署应该成为制定审计委员会相关法规的主要发起和推动部门，借鉴美国《萨班斯法案》和其他国外相关规范，尽早建立和健全适合我国国情和上市公司治理现状的审计委员会制度，使内部审计工作有法可依。
参考文献：
[1]企业内部控制基本规范财政部、证监会、审计署、银监会、保监会，2006.6.28
由于企业自身的局限性以及面临的制度、政策和法律环境等问题,企业的内部审计工作在执行中还存在一定的困难和问题。具体表现在:
(一)内部审计工作停留在审计的最初层次
企业内部审计在我国审计工作中处于主导地位,其工作水平和发挥的作用,反映了我国内部审计的总体水平和发展趋势。近年来,企业在推进内部审计转型与发展中,发挥着重要的作用。内部审计机构的设置层次决定了处罚力度,内部审计机构设置的层次越高,权威性越大,内审的作用就发挥得越充分,否则内审的作用和权威性就很难发挥。实践表明,内部审计机构的地位和作用的发挥是相辅相成的。一方面,作用的扩大为内部审计赢得较高的地位创造了机会;另一方面,地位的提高,独立性增强,又为内部审计人员卓有成效地履行其职能、发挥内部审计的职能作用提供了条件,体现内部审计的权威性。独立性和权威性不够,制约着内部审计监督有效性的进一步提高。但目前我国企业的内部审计工作停留在审计的最初层次,关于经营审计和管理审计的重要性和必要性认识不足,严重制约了我国企业内部审计的长期发展。
(二)内部审计行为的导向上对风险关注程度不足
内部审计除了关注传统的内部控制之外,对有效的风险管理机制和健全的公司治理结构也应日益关注。正是存在这样的需求,一种以内部审计的主体组织的内部控制为基础、同时考虑公司治理在内的、以组织整体风险作为审计重点的审计——风险导向内部审计应势而生。风险导向内部审计是内部审计在高风险社会产生的、为了应对职业危机而推出的一种全新的审计理念。但目前来看,与国际内部审计的实践相比,我国企业的内部审计相对来说还很年轻,风险管理也相当薄弱,风险导向审计还在处于导向和宣传的阶段,对组织的内部控制的了解都做的不够多,完全将审计工作机械地停留在账目的具体审查上,对风险的关注程度不足。
(三)服务内容的单一,防护性有余,建设性不足
国际上内部审计注重增加组织价值和改善运营,正从管理审计向提高风险管理、控制和治理过程的效果方面发展,而我国内部审计更注重财务审计和经济效益审计,处于从财务审计向管理审计方向发展之中。相比之下总体上有所滞后。内部审计工作重点内容除了传统意义上提供的财务审计、遵循性审计等保证服务外,为企业提供内部控制、风险管理等方面的评估,及在企业流程再造中的协调等服务内容也逐渐提上日程。但是,我国企业的内部审计一直局限在关于财务信息的查错防弊上,而涉及组织的经营管理上,不注重并且难以为企业的经营管理层提供建设性的意见。
(四)内部审计信息系统不完善
当前,随着计算机与互联网的迅速普及,人类对计算机的依赖达到了前所未有的程度,全社会各行各业信息化进程不断加快,我国许多企业在实现各部门信息化的同时,也已着手整合与集成其信息化应用系统。内部信息系统审计是一个通过收集和评价审计证据,对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。但企业的内部审计信息系统不完善,难以发挥其在企业经济效益审计中的作用。主要表现为两个方面:一方面,会计和管理信息化使得各种处理流程、数据实体封装在系统内部。这一状况缺乏传统工作环境下审计工作对审计对象的直接感知性,使得审计工作的观察和检查难度大为提高。另一方面是管理和会计信息化系统本身带来新的审计难题,如信息系统的安全性、准确性、有效性检查和评价。
二、提高内部审计与内部控制能力的途径
(一)正确认识内部审计与内部控制关系是采取一切措施的前提
由于内部控制是为了推进经济实体的有效运营,而内部审计则在于协助管理层调查、评估内部控制制度,适时提供改进建议,以求内部控制制度得以持续实施。在通常情况下,内部控制系统由经济实体经营管理部门指定并在实施执行中评价和改进,通过内部审计部门评价内部控制系统的健全性和有效性。内部审计既是内部控制系统中的一个重要分支系统,又是实现内部控制目标的重要手段,在内部控制框架构建中如何正确认识内部审计在内部控制中的作用,以及如何针对不同的审计任务制定灵活适用的审计方案,以确保审计质量、提高审计工作的实效就显得尤为重要。
(二)增加内部审计部门职能促进内部控制有效执行
现在的内部审计部门已经不再是一个简单的业务职能部门,而是企业的一个管理机构,也因此现在的内部审计部门所起的作用也越来越多、越来越重要。内部审计部门有着监督与服务的双重职能,两者孰轻孰重一向都没有一个明确的定论。作为内部审计部门的职能,在工作中监督与服务两者偏向于任何一方都会给内部审计部门的工作带来巨大的影响。在内部审计的工作过程中应当将内部审计的监督与服务的职能充分地结合起来,以服务的态度来进行监督的工作。
(三)建立内部审计信息系统
中国相关政策变迁中国内部控制审计鉴证政策变迁与美国较为相似，由最初的财务报表审计中的内部控制评价发展到财务报告内部控制审核，再发展到财务报告内部控制审计。具体如表3所示。从表3可以看出，财政部等部委制定的内部控制规范主要针对主板上市公司，目前并没有强制要求中小板和创业板遵循，而是择机实施。但是深交所的《中小板指引》和《创业板指引》则对中小板和创业板内部控制审计鉴证作出了强制要求，三个板块《运作指引》的具体要求如表4。
（二）文献回顾
以SOX法案的颁布实施为分界点，美国内部控制相关研究可以分为2002年之前和2002年之后两个阶段。2002年之前，相关文献主要集中于财务报表审计中内部控制评价和财务报告内部控制审核的研究，只有少数研究关注内部控制审计，主要研究结论认为内部控制审计将提高审计的成本却无助于财务报告可靠性的提高（Hermanson,2000）；2002年以后，随着SOX法案的实施，更多的研究开始关注内部控制审计，出现了大量的实证研究，其研究内容主要基于内部控制缺陷，具体包括内部控制缺陷发现和报告（Ashbaugh等,2007;Rice和David,2012）、内部控制缺陷对审计成本的影响（Raghunandan和Rama，2006）及对信息质量的影响等（AshBaugh-Skaifeetal.，2008）。中国内部控制的研究则可以分为2006年之前和2006年之后两个阶段。2006年以前，由于中国监管部门对内部控制审计鉴证尚无强制性规定，大量研究集中于内部控制信息披露，专门研究内部控制审计鉴证报告的文献较少，但是很多文献都提出上市公司内部控制审计或审核的必要性（陈关亭和张少华，2003；张立民等，2003）。2006年以后，随着上交所和深交所《上市公司内部控制指引》的颁布，尤其是2008年《基本规范》的颁布，大量研究开始关注内部控制审计报告，且均发现上市公司内部控制审计报告存在较多的问题，如审计意见表述方式不一致、审核依据不统一等（袁敏，2008；何芹，2012）。与国外研究相似，实证研究方面主要关注内部控制缺陷对审计成本及其信息质量的影响等（张宜霞，2011；田高良等，2011）。同时较多的研究开始关注内部控制鉴证的理论问题，内容包括鉴证目标、鉴证范围、鉴证标准等诸多方面（刘明辉，2010；李明辉和张艳，2010）。但是这些研究都是将内部控制鉴证报告与内部控制审计报告同等看待，并没有考虑二者之间存在的差异，未就内部控制审计与内部控制鉴证实施情况进行实证分析。
（三）比较分析
由此可见，美中内部控制审计鉴证政策的发展具有较强的相似性，都经历了内部控制评价、审核和审计等不同阶段，但是在具体执行过程中，又存在较多的差异，美国仅要求大型公司和中型公司实施内部控制审计，而对小型公司则没有内部控制审计的要求，也没有要求实施内部控制鉴证或评价。然而，中国对主板和中小板上市公司的要求是实施内部控制审计，而对创业板的要求则是内部控制鉴证。那么，内部控制审计与内部控制鉴证的差异是什么？内部控制审计与内部控制鉴证执行情况又是如何呢？这些问题还有待进一步探讨。同时，通过国内外文献回顾可以发现，虽然大量研究关注内部控制审计及其鉴证，但是均将内部控制鉴证报告与内部控制审计报告同等看待，二者之间的差异还有待进一步考察，且有关内部控制鉴证与内部控制审计实施现状的研究较少。因此，本文将在比较内部控制鉴证与内部控制审计政策要求差异的基础上，对内部控制审计与内部控制鉴证的实施现状进行实证分析。
二、内部控制鉴证与内部控制审计政策要求之比较分析
（一）内部控制鉴证与内部控制
审计概念范畴的比较根据《中国注册会计师鉴证业务基本准则》中的规定，鉴证业务是指注册会计师对鉴证对象信息提出结论，以增强除责任方之外的预期使用者对鉴证对象信息信任程度的业务。鉴证业务包括审计业务、审阅业务和其他鉴证业务。具体到内部控制审计与内部控制鉴证业务，根据中国《企业内部控制审计指引》的规定，内部控制审计是指会计师事务所接受委托，对截至特定日期企业内部控制的有效性进行审计，并发表审计意见。因此，内部控制审计属于审计业务的范畴。然而，根据《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》（下文简称《其他鉴证业务准则》），注册会计师执行历史财务信息审计或审阅以外的鉴证业务属于其它鉴证业务，因此，内部控制鉴证属于其他鉴证业务范畴。具体关系可以通过图1予以说明。
（二）内部控制鉴证与内部控制
审计所适用行为规范的比较从所适用的行为规范来看，内部控制鉴证和内部控制审计应该遵循的行为规范既有相同之处，也存在差异。从图1可以看出，内部控制鉴证和内部控制审计都属于鉴证业务，因此二者都应当遵循《中国注册会计师鉴证业务基本准则》。同时，注册会计师在执行鉴证业务时，还应当遵守中国注册会计师职业道德规范和会计师事务所质量控制准则，因此，内部控制审计和内部控制鉴证应当共同遵循的准则是《中国注册会计师鉴证业务基本准则》、《中国注册会计师职业道德规范》和《质量控制准则第5101号——会计师事务所对执行财务报表审计和审阅、其他鉴证和相关服务业务实施的质量控制》（下文简称《质量控制准则》）。但是，与内部控制鉴证业务不同的是，内部控制审计业务还必须遵循《企业内部控制审计指引》（下文简称《审计指引》）的规定，而内部控制鉴证业务则遵循《其他鉴证业务准则》的规定，并参照《指导意见》的规定执行，同时根据《基本规范》和《配套指引》的要求，可以选择性遵循《审计指引》的要求执行。内部控制审计与内部控制鉴证所适用的行为规范如表5所示。
（三）内部控制鉴证与内部控制
审计主体及对象的比较首先，从内部控制鉴证与内部控制审计主体上看，二者主体相同。与《配套指引》鼓励上市公司实施财务报表与内部控制整合审计的要求相一致，三个板块《运作指引》中也均要求上市公司聘请会计师事务所在进行年度审计的同时，要求会计师事务所对上市公司内部控制实施审计或者鉴证，并出具内部控制审计报告或鉴证报告。可以看出，无论是内部控制审计还是内部控制鉴证，均鼓励上市公司聘请与财务报表审计相同的会计师事务所实施内部控制鉴证与审计。然而，从内部控制鉴证与内部控制审计对象上看，二者存在差异。根据《中国注册会计师鉴证业务基本准则》的规定，鉴证业务分为基于责任方认定的业务和直接报告业务。在基于责任方认定的业务中，责任方对鉴证对象进行评价或计量，鉴证对象信息以责任方认定的形式为预期使用者获取。在直接报告业务中，注册会计师直接对鉴证对象进行评价或计量，或者从责任方获取对鉴证对象评价或计量的认定，而该认定无法为预期使用者获取，预期使用者只能通过阅读鉴证报告获取鉴证对象信息。具体到内部控制鉴证和内部控制审计业务中，从理论上来说，内部控制鉴证和内部控制审计可以是基于责任方认定的鉴证或审计业务，也可以是直接报告业务。在实务中，内部控制鉴证业务按照《其他鉴证业务准则》执行的同时，参照《指导意见》的规定执行。根据《指导意见》的规定，在内部控制鉴证业务中，注册会计师应当就企业管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审核意见。因此，从政策要求及注册会计师实务来看，内部控制鉴证是对管理层有关内部控制有效性的认定发表意见，而内部控制审计是直接对内部控制设计和运行的有效性进行审计并发表意见。但是从最终目的上看，都是对内部控制的有效性发表意见。同时，与《配套指引》一致，《主板指引》和《中小板指引》均要求注册会计师对财务报告内部控制有效性发表审计意见，并披露注意到的非财务报告内部控制重大缺陷，但是《创业板指引》只要求注册会计师对财务报告内部控制有效性发表鉴证意见，并没有提及对非财务报告内部控制的关注。内部控制鉴证与内部控制审计主体及对象的比较如表6所示。
（四）内部控制鉴证与内部控制审计保证程度和风险的比较
鉴证业务的保证程度分为合理保证和有限保证。合理保证鉴证业务的目标是注册会计师将鉴证业务风险降至该业务环境下可接受的低水平，以此作为以积极方式提出结论的基础。有限保证鉴证业务的目标是注册会计师将鉴证业务风险降至该业务环境下可接受的水平，以此作为以消极方式提出结论的基础。根据《审计指引》的规定，内部控制审计业务属于合理保证的鉴证业务，要求注册会计师将审计风险降至可接受的低水平，对内部控制提供高水平保证，在审计报告中对内部控制采用积极方式提出结论。根据《其他鉴证业务准则》的规定，内部控制鉴证业务的保证程度根据具体情况确定，可能是有限保证也可能是合理保证。在有限保证的内部控制鉴证业务中，要求注册会计师将鉴证风险降至该业务环境下可接受的水平，对鉴证后的内部控制提供低于高水平的保证，在鉴证报告中对内部控制采用消极方式提出结论。而进一步根据《指导意见》第四条的规定“注册会计师应当保持应有的职业谨慎，关注内部控制的固有限制，获取充分、适当的证据，将审核风险降低至可接受的水平”，从这里看，内部控制鉴证要求提供有限保证，业务风险较低。内部控制审计与内部控制鉴证保证程度及风险的比较如表7所示。
（五）内部控制鉴证与内部控制
审计实施频率和报告的比较首先，从内部控制鉴证与内部控制审计目前政策规定的实施频率上看，《主板指引》对上市公司的要求与配套指引一致，上市公司每年都要聘请会计师事务所对内部控制有效性实施审计；《中小板指引》的规定是上市公司至少每两年要求会计师事务所对内部控制有效性进行一次审计；《创业板指引》的规定是上市公司至少每两年要求会计师事务所对内部控制有效性进行一次鉴证。其次，从内部控制鉴证与内部控制审计报告的内容上看，其差异主要体现在以下几个方面：首先，报告标题不同。根据《审计指引》的要求，内部控制审计报告的标题是“内部控制审计报告”，根据《指导意见》的要求，审核报告的标题应当统一规范为“内部控制审核报告”，而再根据《创业板指引》的要求，内部控制鉴证报告的标题是“内部控制鉴证报告”。其次，报告意见存在差异。从意见类型上看，《审计指引》指出内部控制审计意见包括无保留意见、带强调事项段意见、否定意见和无法表示意见；《指导意见》则指出内部控制鉴证意见包括无保留意见、保留意见、否定意见和无法表示意见。同时，报告段落不同。在内部控制审计业务中，如果审计师在审计过程中注意到被审计单位非财务报告内部控制重大缺陷，还需要对其注意到的非财务报告内部控制重大缺陷进行说明；而内部控制鉴证业务则无此要求。内部控制鉴证与内部控制审计实施频率与报告的比较如表8所示。
（六）其他方面的比较
由于内部控制鉴证与内部控制审计概念范畴、适用行为规范等方面的差异，尤其是因为内部控制鉴证保证程度与风险低于内部控制审计风险，内部控制鉴证与内部控制审计还存在其他方面的差异：（1）证据收集程序要求不同。由于鉴证业务对业务风险降低的要求比审计业务低，因此，与审计业务相比，鉴证业务在证据收集程序的性质、时间、范围等方面是有意识地加以限制的。（2）证据数量要求不同。审计业务所需证据的数量较多，鉴证业务所需证据的数量较少。（3）审计师的责任不同。内部控制审计业务中，审计师所需承担的责任也更高。（4）业务收费不同。根据《会计师事务所服务收费管理办法》（2010）的规定，会计师事务所主要是根据业务性质、风险大小、繁简程度等确定服务收费高低，因此审计业务收费比鉴证业务收费更高。
三、内部控制鉴证与内部控制审计的实施现状
（一）主板上市公司强制内部控制审计具体分析
1.2012年和2013年内部控制审计报告的披露状况2012年主板上市公司中911家披露了内部控制审计报告，披露比例为64.38%；2013年主板上市公司中1090家披露了内部控制审计报告，披露比例为75.91%。2013年主板公司内部控制审计的比例明显高于2012年。如表9所示。可以看出，大部分公司能够满足一年出具一次内部控制审计报告的要求，且2013年相比2012年有较大幅度的提高，但是仍然有一定比例的公司难以满足“每年都要聘请会计师事务所对内部控制有效性实施审计”的规定。2.内部控制审计报告规范性分析2006年以后，有关内部控制审计报告规范性的研究大量涌现，并且发现内部控制审计报告规范性存在的问题包括审计依据不统一、审计报告名称不一致、业务类型有差别等方面（袁敏，2008）；随着《基本规范》和《配套指引》的实施和完善，上市公司内部控制报告也在不断规范（何芹，2012）。我们对2012年至2013年度内部控制审计报告进行分析发现，这两年的内部控制审计报告规范性较好，但是仍然有个别公司内部控制审计报告规范性存在问题，包括报告名称、审核依据及语言表述等，如表10所示。
（二）创业板上市公司内部控制
鉴证具体分析1.2012年至2013年内部控制鉴证概况根据《创业板指引》的要求，创业板上市公司应当至少两年实施一次内部控制鉴证，至2012年12月31日，上市的创业板公司共355家，82家公司2012年和2013年连续两年披露内部控制鉴证报告，占比23.10%；328家公司能满足两年披露1次内部控制审计报告的要求，占比92.39%；27家公司连续两年均未披露内部控制鉴证报告，占比7.61%。可以看出，创业板公司披露内部控制鉴证报告大多数能够为了满足两年实施一次内部控制鉴证的监管需要，但是自愿每年实施内部控制鉴证的公司并不多，而且即使在监管层要求内部控制鉴证的背景下，仍有少数公司不能按照要求披露甚至不披露内部控制鉴证报告。2012年与2013年创业板公司内部控制鉴证概况如表11所示。2.内部控制鉴证报告信息规范性与主板公司相比较，创业板公司内部控制鉴证报告信息规范性较差，还存在较多的问题，具体如下：（1）鉴证依据。与内部控制审计归属审计业务不同，内部控制鉴证业务属于其它鉴证业务，其鉴证依据是《其他鉴证业务准则》，在实务中同时参照《指导意见》的规定执行。但是从创业板内部控制鉴证报告看，鉴证依据却存在非常大的差异，除了《其他鉴证业务准则》以外，还主要有：《企业内部控制鉴证指引》、《企业内部控制审计指引》、《中国注册会计师审计准则》。（2）鉴证报告名称。根据《其他鉴证业务准则》及《创业板指引》的要求，创业板上市公司内部控制鉴证报告的名称应统一为“内部控制鉴证报告”，但是从2009年至2013年创业板公司披露的内部控制鉴证报告看，大多数公司都符合规范的要求，但也存在其他的一些报告名称，具体有：内部控制审计报告、内部控制审核报告、内部控制专项报告、内部控制专项鉴证报告、内部控制制度报告。（3）鉴证业务类型。根据《其他鉴证业务准则》和《指导意见》的规定，内部控制鉴证业务是基于责任方认定的业务，但从实际情况看，创业板内部控制鉴证报告的引言段中既有将内部控制鉴证业务作为直接报告业务，又有将其作为基于责任方认定的业务；但是鉴证报告意见段又主要是针对内部控制发表鉴证意见，即将内部控制鉴证业务作为直接报告业务对待，但是具体范围却存在不同的界定，既有针对所有内部控制发表意见，又有仅针对财务报告内部控制发表意见。（4）鉴证保证程度。根据《指导意见》的规定，内部控制鉴证业务合理保证的要求并未明确，但是从实际情况看，创业板内部控制鉴证则主要提供的是合理保证。内部控制鉴证报告信息披露规范性归纳如表12所示。
（三）进一步分析
通过对主板公司内部控制审计和创业板公司内部控制鉴证实施现状的比较，我们可以发现，从内部控制审计与内部控制鉴证的实施意愿上看，大部分主板公司能够满足一年出具一次内部控制审计报告的要求，但是仍然有一定比例的公司难以满足每年审计一次内部控制的规定；虽然大部分创业板公司能够满足两年出具一次内部控制鉴证报告的要求，但是总体来说内部控制鉴证的意愿相对较低。同时，从内部控制审计报告和内部控制鉴证报告的规范性来看，内部控制审计报告较为规范，个别公司内部控制审计报告规范性存在问题；而内部控制鉴证报告存在的问题则明显较多，具体体现在鉴证依据、鉴证报告名称、鉴证业务类型及鉴证保证程度等方面。
2集团公司内部控制与内部审计存在的问题
2.1环境建设滞后，内部审计力度薄弱由于受到传统管理理念的影响，我国一些集团公司在自身的内部控制体系建设过程中，在内部控制流程设计、执行等环节都取得了一些成绩，然而却普遍未能重视对内部控制执行效果的评估，存在内部审计力度薄弱等问题。具体来说，一些集团公司在内部控制的流程设计中，未能将内部审计职能纳入内部控制的整体设计框架中去，导致内部审计难以对内部控制工作起到切实的监督与管理作用。还有一些集团公司虽然有意识地强调了内部审计的监督作用，但是却忽视其管理作用，同样不利于内部审计职能的充分发挥。从实际情况来看，集团公司的内部审计环境建设上都存在着不同程度的滞后，往往仅把监督职能作为内部审计工作的重点，这样容易造成各个部门之间出现矛盾，甚至出现其他部门将内部审计部门置于工作对立面，对内审工作的顺利开展产生不利影响，继而影响内部控制的持续有效运行。
2.2内部控制流程标准缺失，导致内审人员在观念上存在偏差一些集团公司未能建立起具有明确可参考标准的内部控制体系，在很大程度上影响了内部审计工作人员的审计质量。尤其是一些还未上市的集团公司，由于缺乏标准统一的内部控制体系，导致内部控制工作分散于各类规章制度和文件中。在这种状况下，内部审计人员往往会倾向于将审计重点放在查找集团公司日常经营管理中的重大错误、舞弊，以及内部控制执行过程中所出现的问题上面。把查找问题当成内审工作的最终目的，而对集团公司各项业务流程梳理再造、合理确认关键控制环节、风险评估与分析等重要工作缺乏必要的关注，这样必然会导致内部审计内涵的缩小。从本质上来看，测试内部控制执行情况只是内部审计工作的一种有效手段，而并非内部审计的全部内容。另外，很多集团公司没有对业务流程进行详细的描述，缺乏对各类规章制度与业务流程的再结合过程，各业务之间也没有较为明晰的风险控制手段，因此，内部审计人员在执行审计工作的过程中，由于缺乏具有可操作性的标准，将无法对公司内部控制相关情况进行客观评价，给内部审计人员造成了实际困难。
2.3内审人员业务知识体系不够全面由于集团公司的内部控制工作会涉及公司日常经营运作的方方面面，主要包括生产组织管理、财务管理、经营管理等各个业务流程，客观上对内审人员的知识面有着较高的要求，经济、财务、法律等领域都应该有所涉猎，才能具备作为一名专业内审人员的业务基础。从目前的内部审计队伍来看，审计人员大多都是财务、审计专业，业务知识结构较为单一，难以应对内部控制流程中的各个重点审计环节。随着现代审计手段的不断发展，传统的内审人员知识结构已经难以达到内部审计的客观要求。
3集团公司加强内部控制与内部审计建设对策
3.1营造良好的内部审计环境，提升内审独立性内部审计工作模式不是一成不变的，在我国社会主义市场经济的建设发展过程中，集团公司的业务发展、经营管理都有着鲜明的自身特色。集团公司的经营管理水平、管理方式方法都存在较大差异，尤其针对集团公司这样的综合性企业，在内部审计工作的开展过程中更应该重视对工作手段和方式的完善与创新。市场经济环境下，集团公司应该将内部审计工作作为一个单独的项目进行建设和不断完善，站在项目管理的高度，对集团公司的整个内部审计工作乃至内部控制工作进行深入开发，充分运用经营审计、成本审计、效益审计等先进审计手段，这样才有助于内部审计的环境建设，从而提升内部审计水平。除此之外，集团公司还应该自上而下地实施内部审计及内部控制文化建设，让公司管理层和各部门的员工都能了解到内部审计、内部控制工作的意图，并知晓在这一过程中自己所需承担的责任，不断树立内部审计工作的独立性和权威性。以海尔集团为例，其管理层将内部审计纳入整体管理流程中，并且严格独立于其他业务部门、职能部门，内部审计报告最终直接向总裁递交。内审部门一旦发现某部门在经营管理、业务运作过程中存在问题，都将实施一票到底的原则，始终推进该项问题的整改。
当前，在医院的内部管理中，普遍存在着“有章不循”甚至是“无章可循”的情况，整个内部的基础都比较薄弱。在内部控制中，即使是出现了实质性的问题，管理人员更倾向于“灵活处理”，而非依照相关内控程序规定进行处理，使得内控机制的严肃性与可行性受到了巨大的影响。同时，部分医院的内控机制只是一纸空文，在实际中的落实很不到位。究其原因，更多的是整个医院内控环境不良造成的，从而导致医院的相关管理者根本不重视内部控制，进而给内部管理带来一定困难，甚至间接造成一些工作流程漏洞，为医院的发展带来潜在风险。
（二）内部审计职能滞后
当前，部分医院虽然依照相关管理要求在内部设立了内部审计部门，然而人员配置数量的严重缺乏，再加上内部审计人员专业素质较低，直接导致这些医院内部审计质量不佳。同时，有些医院并没有合理设置专门的内部审计部门与专职人员，或者是设置了内部审计部门却使其从属于医院的财务部门，从而在很大程度上削弱了审计部门对医院层面的经济管理与对相关会计信息质量的有效审计与监督，并影响到内部审计的独立性。此外，伴随市场经济的逐步深化与信息技术、新业务的不断出现与发展，国家鼓励并扶持社会资本积极创办医疗机构的政策落实，创设分院或是合作办学等行为也越来越广泛，使得医院的发展面临着重大的经营风险，其经营活动与经营管理内容必将变得更加复杂，且内部控制重点也必将从原有简单的避免差错逐渐发展到对相关风险的防范和控制。但是，当前医院的内部控制往往只重视事后的稽查，而相对地忽视了事前防范与事中控制，无法充分发挥出医院内部审计的预警、揭示与抵御的功能，在很大程度上影响到医院的健康发展。
（三）人员内控意识不高
不论是哪一种单位类型，其内部机制的构建和实际的运行情况都同管理者内控意识有着直接的关系。可以说，医院相关管理人员的内部控制观念在很大程度上决定着医院整个内部控制工作的实施质量与效果。然而，大多数的医院管理者是医疗专家出身，不论是管理的思想还是管理的能力都比较滞后，工作模式往往也是“墨守成规”，更别说内部控制观念了，从而直接致使整个医院的内部控制建设滞后。加之管理人员内部观念和机制建设的落后，也直接导致医院在日常内部管理工作中缺乏统一的领导与部署，特别是面对新问题的时候无法及时解决。长此以往，不仅阻碍内控机制的健全和完善，也在很大程度上制约着医院的有序发展。
二、信息化环境下医院加强内部控制与内部审计的措施
（一）建立健全的内部控制机制
信息化背景下，医院为提高自身的内部管理效率逐步健全并完善其内部控制机制，以此来保证医院的健康发展。首先，实现对医院内部相关组织机构设置合理性与有效性的控制与管理。医院在设置其业务流程时，要严格遵循相互牵制的原则，建立关键岗位轮岗制度与重大决策集体审批的制度，建立定期或是不定期的稽查制度与预算管理制度。其次，划分权责，构建不相容的职务分离机制。再次，建立目标成本控制机制。设置成本与费用责任中心，制定目标成本与成本控制的相关标准，依照医院的组织结构逐层分级，对每一层级设定相关的成本控制目标，实施相关的奖罚手段以提高医院的经济效益与社会效益。最后，严格医院的物资安全控制机制。在信息化背景下，充分利用计算机技术建立医院财产物资数据库，以实现对医院财产的安全有效管理。
（二）构建医院内部审计的信息系统
首先，在信息化背景下，积极构建医院内部审计的信息系统就需严格遵循数据安全管理原则，因为一个完整的数据安全管理保障体系必须具备科学合理的安全管理。而在安全管理中，又必须遵循专人负责原则与职责分离原则，前者要求每一项同医院的审计数据信息安全相关的活动均必须安排专人来负责，后者则要求不同工作职责应该由不同的人员负责，以保证各机构能结合自身实际特点来制定相关的审计管理制度，并对那些违反了规定的行为采取必要的惩罚措施等。其次，在遵循以上两个原则的基础上还必须建立数据库系统，即构建审计信息的数据备份机制来积极应对安全领域的突发事件，以避免系统出现故障后造成文件的丢失。当前，在较多软件中，文件多被设置为“只读”，即用户只能在计算机上读取相关信息，而不可对信息进行修改，若在计算机以外存储器中也只能供使用者阅读不可修改，而通过设定管理人员则可供一次写入多次读出，虽可追加一些记录却不可删除原有信息。而这样一种不可逆式的记录介质就可有效避免用户更改电子文件信息，以保证审计数据的真实性与原始性。最后，还需对医院的内部审计系统实施必要的管理，逐步强化医院审计人员及相关工作者的风险意识，积极树立风险管理意识，因为风险管理是保证审计数据真实性的一个有效管理措施。因此，医院相关管理人员与审计人员必须更新管理观念，树立风险管理管理，以逐步提高自身的风险意识，从而引导那些管理并使用医院网络系统的人员有效避免风险事故，并承担相应的风险责任，进而逐步形成同审计管理规律相配套的管理理念，构建风险管理体系并明确风险重点，从整体上确保审计数据的安全、真实与准确，提高医院内部控制与审计的质量。
（三）提升审计人员的计算机水平
信息化背景下，医院的内部审计工作对审计人员的业务技巧与综合素质提出了更高的要求。在医院中，审计部门作为其财务管理中的一个重要环节，其主要的工作是对医院财务内部管理制度实施有效的监督与管理，积极落实国家的相关法律法规，逐步提高对各审计人员的思想道德建设。同时，为满足新时期信息化建设对医院内部审计工作所提出的要求，审计人员还需逐步提高自身的计算机水平，使其能够利用信息化手段来提高自身的工作效率与水平，减少审计时间。此外，为确保医院内部审计管理有效性，还需进一步强化审计人员与相关从业者的安全防范意识，并通过安全教育培训等形式对其进行教育，签订保密协议，制定相关的严惩手段，以最大限度地减少人为信息安全风险，并使其充分认识到自身工作态度与行为对医院整个内部审计质量的影响，从而逐渐提高自身的综合素质，提高工作效率。
1、责任控制制度。责任控制制度是以确定经济组织内部各部门、各环节、各层次及其人员的经济责任为中心的内部控制制度。主要是检查各部门和经办人员的职责是否经过恰当授权，各种岗位责任制赋予各职能部门和经办人员的责任是否达到分工明确，职责分明的目的。
2、内部牵制制度。内部牵制制度是为了保证会计资料的正确性、可靠性及保护财产而形成的种制度。它主要检查不相容职务是否分离，会计事项的处理是否遵循必须经过两个以上的人员或部门来完成，是否经过复核，以防止差错、舞弊的发生。
3、会计控制制度。会计控制制度是指经济组织为了保证会计数据的正确性和可靠性而采取的各种措施和方法，主要是各种凭证的记录、传递，资金的使用，债权债务反映，会计报表编制等各个环节的控制制度和程序。主要是通过账证、账账、账表之间的相符关系，检查会计数据的可靠性；通过账实核对检查账实是否相符，以保证会计数据的真实性；通过严格的复核审批制度，以保证会十十业务处理的合法性；通过定期编制计算平衡表检查所有数据的正确性等。
4、经营方面各个循环系统的控制制度。它是经济组织内部为实现经营目标而实现生产经营和管理所必须经过的环节和业务操作的控制制度：如成本控制、购销控制、物资控制、生产经营过程的控制制度等。通过检查这些环节的控制是否严密，反映企业是否能正常进行经营活动及企业的生存和发展。
5、财产、凭单管理制度。财产、凭单管理制度是为了确保经济组织的财产和各种凭证单据而建立的控制制度。如财产物资的保管、清点、验收、领用、计划、合同、单据等各个环节，都应实行专人管理。
进行内部控制制度审计，其重点是放在对于制度内各个控制环节的审查上，目的在于发现制度中控制的薄弱环节。
二、内部控制审计的程序与方法
主要有四个步骤。
1、了解企业的内部控制情况，并做出相应的记录。这是内部控制制度审计的第一步，其主要目的是通过一定手段，了解被审计单位已经建立的内部控制制度及执行的情况，并做出记录、描述。审计人员应考虑被审计单位经营规模及业务复杂程度、数据处理系统类型及复杂程度、审计重要性、相关内部控制类型、相关内部控制汜录方式、固有风险的评估结果等因素，对内部控制的程序、控制环境、会计系统采取有效的方法进行审计，主要方法包括：（1）查阅前期审计报告或审计工作底稿；（2）询问被审计单位有关人员，并查阅相关内部控制文件；（3）检查内部控制生成的文件和记录；（4）观察被审计单位的业务活动和内部控制的运行情况：（5）选择若干具有代表性的交易和事项进行“穿行测试”。通过查阅复核以前的审汁情况，可以了解以前审计时所发现的问题产生的原因以及是否已得到纠正和改进，通过查阅相关规章制度、方针及政策等文件，查看组织机构系统图，和相关人员交谈对内部控制获得足够的了解，以便进行程序设计和制定运用方案。
2、初步评价内部控制的健全性。确认内部控制风险，确定内部控制是否可依赖。在对控制环境、控制程序和会计系统进行调查了解，对被审计单位内部控制有了一个初步的认识的基础上，应对内部控制风险和内部控制的可依赖程度做出初步评价。初步评价实际上就是评价企业会计与内部控制在防止或发现和纠正错弊中的有效性的过程，通常出现以下情况之一时，应将重要账户或交易类别的某些或全部认定的控制风险评估为高水平：（1）企业内部控制失效；（2）难以对内部控制的有效性做出评价；（3）不拟进行符合性测试。对某项会计报表认定而言，如果同时出现以下情况，则不应评价其控制风险处于高水平。（1）相关内部控制可能防止或发现和纠正重大错弊，（2）拟进行符合性测试。
3、实施符合性测试程序，证实有关内部控制的设计和执行的效果。
通过对内部控制进行初步评价，可基本掌握被审计单位内部控制的强弱环节，为进行符合性测试确定一个前提。审计人员只对那些准备信赖的内部控制执行符合测试，并且只有当信赖内部控制而减少的实质性测试的工作量大于符合性测试的工作量时，符合性测试才是必要和经济的。符合性测试是为了确定内部控制制度的设计和执行是否有效而实施的审计程序。其基本对象包括控制设计测试和控制执行测试，控制设计测试是测试被审计单位控制政策和程序是否设计合理、适当，能否防止或发现和纠正特定会计报表认定的重大错报或漏报：控制执行测试是测试被审计单位的控制政策和程序是否实际发挥作用。被审计单位的控制设计的再好，还必须靠有效的执行来发挥作用。
二、内部控制审计的理论基础
内部控制审计是指会计师事务所接受企业委托，对内部控制设计及其运行的有效性进行审计。有关内部控制审计的各种理论观点，先后经历了内部控制牵制论、两要素论、三要素论、五要素论和八要素论等，目前主要流行的是五要素论和八要素论，由于我国将内部控制分为五个要素，因此这里着重介绍五要素论。
内部控制的五个要素为控制环境、风险评估、控制活动、信息与沟通和监控。针对内部控制环境的审计就是评价包括这些组成部分在内的内部控制环境对企业经营管理活动的影响;针对企业风险评估的审计就是评价企业风险控制目标设定是否合理，风险评估的范围是否全面以及相应的风险应对策略是否有效;针对控制活动的审计就是评价企业根据风险评估结果设置的控制措施是否科学以及控制结果是否有效;针对信息和沟通的审计就是评价企业内部控制相关信息在收集、处理和传递程序的科学性，相关沟通程序和机制建立是否科学以及实施效果如何;针对监控的审计就是分析包括企业内部审计机构在内的负责实施监控的专门机构的职责权限情况，评价企业实施内部监督的程序和方法是否科学有效。
三、内部控制审计存在的问题及原因分析
(一)内部控制审计存在的问题
1. 内部控制缺陷披露不充分，审计意见的客观性、恰当性有待提高
从目前企业披露的内部控制审计报告来看，有部分内部控制审计报告没有按照相应的法规要求披露内部控制缺陷的性质和影响，如缺陷具体是属于一般缺陷、重要缺陷还是重大缺陷。除此之外，有部分内部控制审计意见以带强调事项段的审计意见代替其他类型的非标内部控制审计意见，审计意见的恰当性存在一定的问题。而且有不少带强调事项段的内部控制审计报告虽然披露了企业的持续经营问题或内部控制缺陷问题，但是没有披露其对内部控制的影响，而且这些强调事项的性质也与内部控制审计指引中的定义不符。有的内部控制审计报告将部分子公司未完成工商注销登记手续等问题也作为强调事项披露，存在滥用强调事项的问题。总体而言，内部控制审计意见的客观性和恰当性有待提高。
2. 企业内部控制制度不规范，同时缺乏完善有效的内部控制审计制度
目前，我国很多企业并没有建立规范的内部控制制度，有的企业虽然建立了相关内部控制制度，但也只是流于形式，这导致我国的内部控制审计仍存在较大的问题。内部控制审计的核心是建立一套行之有效的制度规范，所以必须要明确内部控制审计的范围、目标和程序，这样才能有效的开展内部控制审计。内部控制审计的范围直接决定审计的质量成本及责任，《企业内部控制基本规范》提到将整个组织的内部控制作为内部控制审计的审计范围，但是相配套的审计指引又提到内部控制审计对象为与财务报告相关的内部控制，两者存在严重的不一致，而且也都不是明确的规定。除此以外，我国内部控制审计制度也没有明确规定内部控制审计的目标和程序，而完善的内部控制审计程序直接关系最终内部控制审计的质量，因此不明确的内部控制审计范围、目标和程序导致没有建立完善有效的内部控制审计制度也是当前内部控制审计存在的一大问题。
3. 会计师事务所内部控制审计经验不足
我国内部控制审计工作起步较晚，会计师事务所无过多经验可循，审计人员内部控制审计经验也不足，基本沿用原来财务报表审计的做法。现阶段的内部控制审计就是在改进原有财务报表审计中所实施的控制测试的基础上，增加了相应的内部控制测试内容，包括内部控制的五个要素以及扩大样本容量，但是这样的审计程序所得出的审计结论是否真实可靠目前看来还不明确。虽然相关法规建议注册会计师采用整合审计的方法，即由同一家会计师事务所同时开展财务报表审计和内部控制审计，但是由于其只是一个通用性的框架，没有具体的操作规范，而且也不是强制性要求，会计师事务所也没有针对整合审计制定具体标准和流程，因此现阶段的内部控制审计仍然是注册会计师凭借原来的个人经验开展，影响了内部控制审计的效率和效果。
(二)内部控制审计存在问题的产生原因
1. 事务所低价竞争，独立性问题突出
有的会计师事务所无原则降低内部控制审计服务收费，以明显的低价格优势赢取服务项目，但是在实际开展内部控制审计的过程中又迫于成本压力，审计资源投入不足，严重影响了内部控制审计报告的质量。除此之外，由于法律法规对内部控制审计报告的强制性要求远远没有财务报表审计报告的强制性要求高，而且由于内部控制审计起步较晚，相关的法律法规还不完善，法律威慑力不够，在内部控制审计服务收费严重依赖被审计单位的现实情况下，现阶段某些内部控制审计机构会迫于压力迎合被审计单位管理层的要求，在内部控制审计报告中模糊化被审计单位的内部控制缺陷，不明确披露其对财务报告质量的影响。而且部分审计机构与咨询机构属于同一网络，甚至存在注册会计师在审计某一公司的同时承接该公司的咨询业务，严重违反独立性原则，给内部控制审计质量带来潜在威胁。
2. 内部控制审计起步较晚，同时企业管理层和治理层的重视程度不够
我国2008 年颁布《企业内部控制基本规范》，2010 年颁布《企业内部控制评价指引》和《企业内部控制审计指引》以及18 项应用指引，并至2011 年才开始逐步施行，内部控制审计制度起步晚，制度尚未健全，与国外健全的内部控制体系相比，仍有着较大的差距，现阶段仍缺乏比较科学和完善的内部控制审计标准。与此同时，企业管理层和治理层开展内部控制的意识不强，即使建立了相应的内部控制制度，实际执行也只是走过场，根本达不到应有的效果。而且内部控制制度从建立、执行、评价、审核到最终的披露，都会大大增加企业的运行成本，但是会计师事务所出具的内部控制审计报告在规避企业风险方面是否有效，其所带来的效益是否大于其产生的成本，目前看来还是个未知数，因此，其主动聘请会计师事务所进行内部控制审计的积极性不高，投入的资源也不充分，致使内部审计工作难以有效开展。
3. 审计人员的专业胜任能力不足
由于我国的内部控制基本规范和相关的配套指引颁布和实施较晚，没有过多实践经验可循，因此对会计师事务所和注册会计师的执业能力提出了更高的要求。但是由于内部控制涵盖的范围很广，注册会计师要想做好内部控制审计业务，仅仅具备财会审计方面的专业知识是远远不够的，企业的信息技术、人力资源、企业文化、发展战略等都需要注册会计师去评估。但是在现阶段的实际工作中，注册会计师由于专业水平有限，在内部控制审计方面的经验也不充分，仍然沿用以前那套财务报表审计的做法，使得其设计的针对内部控制的审计程序不合理，样本量和审计证据的充分适当程度也不适应特定企业内部控制审计的要求，不能有效识别企业内部控制缺陷，影响内部控制审计的效率和效果。
四、完善内部控制审计的建议
(一)强化会计师事务所的质量控制体系和人才培养
虽然内部审计业务起步较晚，但是未来发展空间巨大，而且相关的法律法规也会逐步完善，因此，会计师事务所应提高对内部控制审计业务的重视程度，增加对内部控制审计业务的投入，建立一套成熟完善的执业标准和质量控制体系。注册会计师自身也要加强学习，除了财会审方面的专业知识，也要加强管理学、信息系统、统计学等方面知识的学习，加深对企业所处行业知识的了解，提高注册会计师的专业胜任能力，更好地从事内部控制审计业务。同时，会计师事务所要恪守独立性要求，在确保项目质量的前提下，与被审计单位合理协商有关费用，坚持客观公正原则，恪守职业道德，切实保障内部控制审计的质量。
(二)建立健全内部控制领导组织架构，提高管理层对内部控制建设的积极性
信息化管理层面、业务层面控制是对企业的生产经营过程的控制，但其形式和控制手段相对以往发生了很大变化，它以计算机程序的形式嵌入于公司信息系统之中，对业务的控制由计算机自动完成。
信息系统控制是公司为了保证信息系统正确性、完整性和安全性而采取的控制措施，其控制对象是公司信息系统，随着网络技术和电子商务的发展，信息系统控制还必须考虑网络安全和电子商务控制的问题。
信息化管理层面、业务层面控制和信息系统控制对控制活动有着不同要求，内部控制必须根据公司业务流程的情况和具体的控制点进行设置，因此，控制活动受到公司信息化的直接影响。
二、信息化环境下，通信企业内部审计采取的应对措施
随着国内四大通信运营公司在海内外上市，在当今信息化环境下，通信企业经营业务、经营领域的不断扩大，公司管理的难度、跨度、层次比以前更加复杂，面临的风险更多，管理层更关注公司政策、制度在集团所属单位的贯彻执行情况，关注公司资产的安全性和效益性，关注信息是否失真，关注权力是否失衡，控制是否缺失等。
(一)审计观念的转变
观念问题就是认识问题，通信企业必须积极转换审计观念，将审计目标不仅仅局限在查错纠弊，而应全面树立以风险为基础的审计观念，理解信息化环境下内部审计的重要意义；一个在信息化环境下，完善、良好的控制系统，应该能够防止、发现或纠正自身存在的问题，审计的任务就是帮助和促进被审计者建立、健全这种机制，而不应该是代替被审计者去履行他们的“管理责任”。
1.内部审计应积极参与信息化环境下的审计项目
内审人员应以相对独立的身份，在审计中可以保持客观态度，有助于公司治理、风险管理和内部控制制度的健全和完善。
2.加强信息化知识的培训和学习
目前，随着信息化的实施，对内审工作也提出了新的要求，审计人员不再局限于以前的工作方法和思路，通信企业应以上市执行内部控制制度为契机，以效益为中心，以内控体系为载体，以外部审计为驱动力，通过各种培训，使全体审计人员对企业信息化有全面的了解和认识。
3.明确信息化环境稳定后内审工作的新方向
内审的职能应从查错防弊逐步向为强化管理，加强内部控制方向转变。通信企业审计工作的方向和重点应向管理审计和效益审计转型，应积极开展信息化环境下风险的分析，协助企业完善内部控制体系。
(二)信息化环境下审计工作的方法
信息化环境下，通信企业应统一审计项目计划，统一调配审计资源，统一审计办法。主要审计工作方法可归纳如下：
1.计划阶段
(1)深入了解、分析业务流程，寻找内控薄弱环节，确定审计重点；
(2)分析存在的内控薄弱环节；
(3)确定审计重点；
(4)进行穿行测试，评估信息化系统控制的实现情况，根据评估结果适时调整审计重点；
(5)熟练掌握信息化系统中相关查询功能，搜集所需的相关资料和信息；
(6)导出所需的业务资料，进行分析、比较；
(7)编制可行的审计工作方案，进行合理人员分工。
2.实施阶段
(1)追溯原始数据的来源，抽样核对原始数据的准确性；
(2)分析会计核算方法的差异、对会计报表的影响以及前后期是否一贯执行；
(3)对集成部分数据形成的报表进行对比分析，寻找异常，并抽查验证；对非集成数据从系统中导出相关凭证，抽样查阅原始凭证；
(4)利用信息化环境提供审计线索的功能，查阅相关修改记录并进行追查；
(5)形成审计工作底稿。为了便于以后更好地开展信息化环境下的内审工作，将审计过程所涉及到的审计发现以“实事描述”“信息背景”“风险影响”“审计建议”为内容全部记录下来，形成相应的工作底稿，以待备查，为撰写审计报告打下基础。
3.报告阶段
(1)完成审计工作底稿的三级复核；
(2)根据相关业务统计数据、审计结果，分析企业经营、管理方面存在的不足，编写审计报告，提出管理建议；
(三)消除信息化环境下内审工作认识上的误区
误区一，信息化环境下内审工作职能的削弱。有人认为，实施信息化内部审计部门没事干了，原先很多审计工作可以通过信息化环境下的业务流程的整合，内审工作职能就相应削弱。
误区二，按照传统审计思路开展审计工作。有人认为：信息化环境下，只需将所需数据从信息化环境下系统中导出，然后按传统的审计工作思路和方法进行核对，不加分析，不加判断，继续按照旧环境下容易出现的错误及舞弊为起点进行审计，其结果可能是既浪费时间又没有成效。因为许多核对工作信息化环境下系统已经能自动完成，或者说通过添加一些程序能较快地完成，能大量地减少核对工作。
在新的环境下对通信企业内审人员来说，一方面，要加强信息化相关知识的学习和培训，提高综合素质；另一方面，要积极开展信息化环境下审计的研究工作，将审计工作重点逐步进行转移。从现实意义上讲，信息化环境下内审活动是公司治理、风险管理的控制系统，审计的职能从查错防弊逐步向如何加强企业管理、强化企业内部控制、风险分析与控制等方向转变。
信息化环境下的内部审计工作目前还处于摸索阶段，一些观念和做法还不是很成熟，同时，随着信息化环境下的内部审计逐步完善，内审工作的重点和方法也需逐步调整，这就要求通信企业内部审计人员不断地学习和探索，切实提高审计能力；为适应信息化时代企业生产经营发展的需要，适应信息化环境下的审计要求，审计人员更应该改变审计理念、创新审计思路和方法，跟踪信息环境下内审工作的新方向，使通信企业内审工作进一步发展和提高。
参考文献：
[1]李荣华.信息化时代的企业管理创新[J].广东科技，2003，(11).
[2]滕佳东.企业信息化建设与企业管理创新[J].商业研究，2004，(1).
“正确的路线决定之后，干部就是决定的因素。”审计人员的整体素质直接影响着审计工作的质量。其素质主要由两个方面构成：其一是业务素质；其二是职业道德修养。二者相辅相成，缺一不可。优秀的内部审计人员不但要有全面、过硬的业务能力，而且还要有敏锐的观察能力、良好的文字写作能力与口头表达能力。同时，知道什么该做，什么不该做，严格遵守各项法律、法规和纪律，从”不越雷池一步“，良好的职业道德也是审计质量的保证。
2.体现在制度方面的原因。
“无规矩不成方圆”，企业的现代公司治理机制、会计制度、注册会计的聘用制度、内控机制等等，都与内部审计质量有着密不可分的关系。稍有不慎就会给日后埋下隐患。公司治理的一些漏洞会给内部审计的质量带来许多不利的影响，现行的注册会计师选聘制度使注册会计师在出现意见分歧时，常面临“职业道德”和“经济利益”的两难选择，从而影响内部审计的工作，带来水分。相反，优秀的、现代化的企业制度则会调动注册会计师的工作热情与积极性，同时还可以抵消企业内部的不利因素，进而提高审计质量。
3.体现在技术方面的因素。
审计人员在开展内部审计过程中所采取的的技术手段、措施与方法即是影响内部审计质量的技术因素。近年来，我国广大企业所使用的“业务入手”是由过去的“账面入手”转变而来的；同样，目前的抽样审计也是由传统的早期详细审计发展而来。运用现代化的高科技手段一方面可以提高审计效率，保证审计质量；另一方面，也可以避免人为因素干扰，保证审计工作的正常开展。正是由于互联网审计技术与计算机审计技术的大规模使用，从而使内部审计工作的质量得到了保证。
二、企业内部审计质量存在的问题
1.内部审计应有的独立性欠缺。
独立性是审计最大的特点，也是审计人员能够客观公正地进行调查与报告的基本保证。企业内部审计机构有以下几种隶属关系：（1）隶属于企业财务部门；（2）隶属于总经理或企业最高行政领导；（3）隶属于公司监事会；（4）隶属于公司董事会；（5）隶属于公司董事会下设的审计委员会。在这几种隶属关系中，最多的是第二种形式。据有关数据显示，我国企业的审计部门隶属于企业行政领导或者说是总经理的占到企业总数的42%以上。由于大多数企业内审机构是属于管理层领导与控制，所以如何看待内部审计质量就有了许多不定因素。
2.审计工作人员整体素质有待提高，数量有限。
根据对某一线城市国有企业的调查数据显示，只有四分之一的企业拥有1名审计人员，有三分之一的企业有2~3名审计人员。而且科班出身的审计人员少之又少，捉襟见肘，根本无法完成相关的审计任务，更不要说开展有效的信息加工、项目追踪了。在过去的计划经济体制下，审计一直被认为是非增值服务，“弃之不舍，嚼之无味。”企业从来不舍得投入资金与人力对这方面的人才进行培训，现有的审计人员参差不齐，大都是半路出家，对开展内部审计所需要的信息技术、内部控制、工程预算、经营管理等方面的知识非常欠缺，有的甚至是空白。知识技能普遍偏低，整体素质差强人意。
3.审计质量责任制度尚未落实。
一些审计师事务所没有建立严格的管理制度，尤其是缺乏审计质量责任制度和审计责任追究制度，结果导致少数审计人员为了获得更多的经济利益，置社会责任与职业道德于不顾，缺乏风险意识，缺乏大局意识，导致了审计行为的不规范，给以后的风险留下了隐患。近年来，随着琼民源、成都红光、东方锅炉、银广夏等上市公司舞弊案件不断发生，公众对上市公司的信息真实性产生了很大的怀疑与不信任，对注册审计师的审计质量也大打折扣。这也在一定的程度上反映出我国审计质量责任制度不健全，目前我国会计师事务所采取有限责任制，有限责任的组织形式弱化了事务所和注册会计师的执业风险意识，同时也影响了内部审计的质量，很不利于审计责任制度的落实。
4.审计操作不规范，审计方法不当。
恰当的审计方法是提高审计质量的前提。在具体的审计实务工作中，一些审计人员没有事先做好足够的功课，审计方案草率，内容不详细，文档不规范，所采取的审计方法严重不当抑或是方法简单。不能严格按照审计制度开展工作，而是“眉毛胡子一把抓”，结果是“拣了芝麻丢了西瓜”，抓不到主要矛盾。自然就会影响到审计工作的质量。
5.采用的审计技术、方法、手段落后，远远跟不上形势的发展。
当今时代是知识经济时代，各种信息、技术手段与方法一日千里，稍纵即逝。但是我国的审计方法、技术手段却远不能跟上时代的进程，远远落后于世界审计高科技发展的水平，审计队伍也远远跟不上时代的步伐。我国的大中型企业虽然普遍实现了会计电算化，但是计算机审计软件系统不完善，审计功能不强，滞后于会计电算化。同时，信息系统的审计缺乏，长期适用于手工操作的传统的审计方法给利用计算机开展审计工作带来了诸多的难题。另外，虽然审计抽查技术已经在普遍使用，但是靠审计人员的经验和主观标准来确定样本与评价样本结果的这种老办法，极易遗漏重要事项，而且也会因人而异，影响到审计质量。
三、如何进一步提高企业内部审计质量
1.树立正确的审计理念。
目前我国经济发展正处在转型期，企业所采取的的内部审计模式主要有以下几种：（1）以财务审计为主的账表审计；（2）以管理审计和业务审计为主的系统审计；（3）以风险审计为主的风险导向审计；（4）以公司治理为主的治理导向审计。这几种审计模式各有优势，大多是采取系统导向审计模式。由于企业所处的内外部环境各不相同，内部审计的技术水平、管理模式以及风险理念存在着比较大的差异，因此单一推行或使用某一种审计模式并不合适。笔者认为，应该根据不同的审计对象与审计内容，按照“混合导向”的审计理念，集中治理导向审计、风险导向、系统导向与账表导向为一体，采取不同的审计模式，出“混合拳”，才能赢得主动权和话语权，尽最大可能发挥审计的职能，确保内部审计质量。
2.严格遵守各项审计法律法规。
《中华人民共和国审计法》、《审计署关于内部审计工作的规定》与《中国内部审计准则》这三个主要涉及审计工作相关的法律条文，分别对审计机关职责、审计程序、审计法律责任、审计证据、审计方法、审计报告以及计划制定等等问题，作出了明确的要求。作为审计工作者，只有切实执行内部审计准则与实务指南，严格遵守内部审计的法律法规，头上长悬“达摩克利斯之剑”，“不越雷池一步”，才能不折不扣地履行自己的职责，有效地提高内部审计的质量。
3.有效地保证内部审计的独立性。
内部审计的独立性是审计正确的前提，内部审计的独立性越强，审计质量就会越高，相反则越低。无数事实表明，隶属于公司董事会下设审计委员会的审计机构在与其他几种隶属关系中机构相比，其开展的内部审计工作质量最高，正说明了这一问题。因此，为了确保内部审计的质量，就应该进一步提高审计机构的独立性，实行董事会下设的审计委员会与监事会共同领导的双向负责、双轨报告的组织形式，以便更好地发挥经济监督职能的独立性。
4.进一步提高审计人员的整体素质。
“人的因素第一”，再好的制度、政策、环境，也离不开人的执行与应用。审计工作的开展离不开审计人员的执行，他们的思想道德、职业操守、文化内涵、业务素质水平的高低，直接关系着内部审计的质量。因此，切实提高审计人员的思想、业务水平与整体素质，对有效地提高审计质量有着积极重要的作用。正所谓：“牵一发而动全身”。（1）严格把好准入关。对每一位即将进入审计工作队伍的人员都要进行严格的考核，开展公开竞争上岗、优胜劣汰。公平、公正、公开的竞聘，杜绝暗箱操作，避免工作原则性不强、专业审计能力较差、综合素质不高的人员通过各种渠道进入审计队伍。（2）切实加强审计队伍的职业道德建设。“打铁先得自身硬”，只有审计工作人员自己树立了良好的职业道德，具备了较高的思想道德水平，才能在开展审计工作中始终保持公平、公正、独立、客观。一方面要通过各种方法有效地提高审计人员的素质，使其明白“学习者胜，学习者强”的道理，始终能够与时俱进；另一方面，还要加强政绩考核，不但要对其所取得的成绩进行经常性的考核，而且还要对其诚信进行评价，“防患于未然”，扎好篱笆，有效地预防审计人员腐败行为的发生。（3）开展业务培训，进一步提高审计人员的职业判断能力。优秀的、综合能力高的审计人员能够在浩瀚的审计材料中敏锐地发现问题的足丝马迹，一箭中的。这与其在长期的工作实践中养成的逻辑思维方式，能够运用特殊的审计理念去伪存真，辨别是非有着很大的关系。因此，要做到学习和实践相结合、尽快提高审计人员应对各种复杂局面的能力，有意识地培养与锻炼每一位审计人员，针对不同的审计项目，分析不同的表现形态，透过现象看本质，从中找出有力的证据，抓到问题的关键。
5.着眼长远，精心打造内部审计质量评估体系。
有效地开展内部审计工作，进一步提高内部审计质量，从而推动内部审计职业化发展，是一项长期的工作，不能一躇而就。因此，要着眼未来，精心打造内部审计质量评估体系。根据中国内部审计协会颁布的质量评估办法，审计质量指标体系含有以下内容：（1）选择内部审计质量评估形式；（2）选择评估人员（内部评估应有内部审计、人力资源、内部控制风险管理等部门人员参加，外部评估应由和中国内部审计协会或者其认定的审计机构负责评估）；（3）审计人员的素质要求；（4）内部审计质量内容；（5）内部审计质量评估程序；（6）内部审计评估结果应遵循的原则。内部审计质量评估体系建立之后，可以减少人为风险，强化对内部审计人员的工作质量考核，从而确保对审计质量检查工作的公正性，奖优罚劣，调动审计人员的工作积极性。
6.以全新的审计思维和理念开展内部审计技术创新。
内部审计的效率与效果能否有一个较大的改观，在很大程度上取决于现代化审计方法与技术的使用。因此，要加强对计算机审计工具智能化的投入和使用，减少内部审计方法滞后的影响。（1）进一步规范分析性复合技术。充分利用计算机强大的计算功能和逻辑判断功能，分析与比较信息之间的关系以及计算相关的数据，学习和掌握国际上流行的比较先进的审计技术方法，比如，比率分析、回归分析、简易比、趋势分析等，从而能够在短时间内获取正确的信息，得出初步的结论。（2）广泛开展计算机辅助审计。比如，使用通用审计软件（GAS），能够使审计人员尽快完成基本的审计任务，其对于计算机储存的数据与信息能够很好地在很短的时间内进行测试。另外，还有嵌入式审计模块、数据提取技术、电子表格分析技术、数据挖掘技术等等。知识经济时代，各种信息铺天盖地，数不胜数，审计人员只有以全新的审计思维和理念开展内部审计技术创新，快速而有效地从海量的信息中寻找到对审计工作有用的信息，才能尽快完成自己的任务。因此，充分利用高科技手段越来越成为审计人员出奇制胜、先声夺人的“法宝”。
若内部控制制度执行得好，相应的控制风险也较低。了解被审单位内部控制制度的实施情况，可以确定在内部控制薄弱的领域扩展审计程序，以便在实质性测试过程中采取相应的对策来降低审计风险。与业务委托人签订明确的业务约定书，并取得其管理当局声明书。业务约定书具有法律效力，它是确定会计师事务所与委托人之间权利和义务的重要文件。它规定了所执行业务的性质、审计对象、双方的责任即会计责任和审计责任等事项。被审计单位管理当局声明书是一份表明其对所提供的会计报表及相关资料的真实性负责，且对审计工作不加以限制的书面证明，这对减轻审计人员的审计风险十分重要。
审计实施阶段审计风险控制
根据审计计划确定的范围、要点、步骤、方法，进行取证、评价，借以形成审计结论，这是实现审计目标的中间过程。它是审计全过程的中心环节，其主要工作包括：对被审计单位内部控制制度的建立及遵守情况进行符合性测试，根据测试结果修订审计计划；对会计报表项目的数据进行实质性测试，根据测试结果进行评价和鉴定。在这一阶段中，不可能要求注册会计师把所有的错误事项都审查出来，而且这也是不现实的，所以审计风险总是存在。这只有靠注册会计师自己严格遵循专业标准的要求执业，时刻保持高度的警惕，尽量降低审计风险。
在审计过程中我们要特别注意以下几点：注册会计师对于接近资产负债表日的大量产品销售收入必须特别加以注意，注册会计师必须对资产负债表日后一段时间的有关业务执行必要的审计程序。公司的经营突然与一贯方式不同，可能有其实际上的需要，因为企业经营必须适应环境变化，但审计人员必须谨防经营者借改变经营方式创造虚无的利润。对于收益的确认必须注意有无其他附带条件存在。注册会计师对于不寻常或不合常规的交易，应保持谨慎态度，单凭合同上的法律文字或条款是不够的，注册会计师需凭其敏锐的专业嗅觉，对这些条款加以仔细查核。对于合同上未列示的可能附带的约定，尤其应保持警觉。
当注册会计师注意到表明可能存在违法行为的迹象时，他应获取对这种行为及其产生环境的了解，并获取充分且适当的审计证据来评价它对财务报表的可能影响。在做这种评价时，注册会计师应考虑：(1)潜在的财务后果。如罚款、刑事处罚、被没收财务的损失、强制停业及诉讼
等；(2)是否要求揭示潜在的财务后果；(3)潜在的财务后果是否严重，以致对财务报表的真实性和公允性产生了影响。此外，注册会计师在发现被审计单位内部控制制度存在重大缺陷时，应将他的发现记录于工作底稿中(包括取得记录和文件的副本)，并与管理部门交换意见。甚至，在认为必要时，应向管理当局出具管理建议书。
审计终结阶段审计风险控制
自2002年美国《萨班斯-奥克斯利法案》以来，美国内部控制审计规范相继发生了较大的变动，对上市公司财务报表的内部控制和其他规模企业的内部控制带来了深刻的影响。我国2008年6月，财政部、证监会、审计署、银监会、保监会联合了《企业内部控制基本规范》以及《企业内部控制评价指引》、《企业内部控制应用指引》和中国注册会计师主持起草的《企业内部控制鉴证指引》等配套规范的征求意见稿，这意味着我国初步建立了内部控制的相关法规。本文通过分析美国内部控制审计准则的发展现状，以期对改进和规范我国内部控制审计有所启示。
美国内部控制审计准则的发展现状
（一）《萨班斯-奥克斯利法案》的颁布
在安然以及世通的财务舞弊案相继发生后，美国内部核查体系的诸多缺陷立刻引起了政府的高度关注。针对安然、世通等财务欺诈事件，美国国会出台了《2002年公众公司会计改革和投资者保护法案》。该法案由美国众议院金融服务委员会主席奥克斯利和参议院银行委员会主席萨班斯联合提出，又被称作《2002年萨班斯-奥克斯利法案》（简称萨班斯法案），法案主要内容和意义有：要求建立上市公司会计监管委员会（PCAOB），并授权SEC对PCAOB实施监督，加大了独立监管的力度；要求加强注册会计师的独立性，规定不可同时提供的业务以及合伙人轮换制度；要求上市公司的管理层评估和报告公司最近年度的财务报告内部控制的有效性，加大公司管理层的责任；强化财务披露义务，改善上市公司的财务信息透明度；加重违法行为的处罚措施，提高违法的成本。
此外，404条款还要求公司的外部审计师对管理层的评估意见出具“证明”，也就是说，向股东和公众提供一个信赖管理层对公司财务报告的内部控制描述的独立理由。《萨班斯-奥克斯利法案》是美国自上世纪30年代以来政府制定的涉及面最广、处罚措施最严厉的公司法律，该法律的颁布旨在提高公司信息披露的准确性和可靠性，增加公司责任，为上市公司会计和审计的不适当行为规定更加严厉的处罚，同时保护投资者。
（二）第2号审计准则和第5号准则的颁布
为指导注册会计师出具内部控制审核报告，2004年6月美国PCAOB了第2号审计准则（ASNO.2）——《联系财务报表审计进行的财务报告内部控制审计》。该准则中明确规定了注册会计师应当在进行上市公司财务报表审计的同时实施对上市公司内部控制的审计，并提出了综合审计的概念。
自审计师开始应用第2号准则起，PCAOB密切的监督了准则的执行并收集了来自各方对准则实施的反馈。根据国际财务执行官（FEI）2005年对300多家企业的调查结果，每家需要遵守萨班斯法案的美国大型企业第一年实施第404节的总成本将超过460万美元。这些成本包括35000小时的内部人员投入、130万美元的外部顾问和软件费用以及150万美元的额外审计费用（增幅达到35%）。过高的内部审计费用和极为繁琐的内部审计程序使这两个准则的正式颁布遭来多方非议。为了应对来自多方的批评和怀疑，PCAOB在2006年12月了新的内部控制审计准则征求意见稿，最终于次年7月通过了其最终修订稿。
（三）美国第5号审计准则的重大变动
第5号内部控制审计准则（ASNO.3）首先指引审计师将注意力投向最重要的控制。该准则沿用了以往的由上至下（从财务报表和实体层面到流程层面）的审计方式并且强调了风险评估的重要性，提出审计师从对公司的实质性漏洞风险进行评估开始，就应当不断的调整审计程序，以将审计重点放在风险最大的区域使审计更为有效，并显著增加发现曾被忽视的实质性漏洞的几率。另外，该审计准则修订了重大缺陷和实质性漏洞的定义，用“合理可能性”替换“微小可能性”以改善对缺陷的评估以及重新确定了实质性漏洞的内涵，以避免公司和审计师在定义、讨论和确定那些不足以对公司内部控制整体产生影响的缺陷上花费过多时间。
在程序上，该准则删除了部分对内部控制审计而言不必要的程序，例如：删除了关于评价管理层自身评估流程的要求，以及删除了“每年的审计必须独立”这一要求，从而允许审计师使用一定量的循环测试来减少当年的审计工作。在适用范围上，第5号准则将适用范围扩大到较小规模的公司。准则改变了以往细节性的指导，采用原则性的语言要求审计师在决定如何应用准则前，考虑公司的具体事实和环境。这样的做法有效地提高了审计的效率并保持了较低的成本。另外，值得一提的是，第5号准则简化了陈述方式，对陈述报告进行了重组，以更好地反映内部控制审计流程并且可读性大大提高。
对我国内部控制审计制度建设的启示
我国至今仍没有相关内部控制审计的法律规范，现行的规范体系是由各个政府职能机构和组织颁布的多条规定构成，其中最核心的内容包括：2001年10月证监会的《关于做好证券公司内部控制评审工作的通知》中对内部控制评审提出的规定。而在其他规范中，没有对管理层进行财务报告内部控制有效性评价提出强制性规定。
中国注册会计师协会于2002年2月制定的《内部控制审核指导意见》，该指导意见提出了内部控制鉴证服务的性质、对象、标准、范围等许多内容，但是与当前审计服务市场开展内部控制鉴证业务以及理论界对内部控制理论体系的认识存在不小差距。中国内部审计协会2003年6月实施的《内部审计具体准则——内部控制审计》，该准则基于COSO框架的评价方法，从被审计单位的控制环境、风险评估过程、信息系统和沟通、控制活动、对控制活动的监督五个方面评价内部控制系统。但是诸多内容基本上是原则性的，在现实中的可操作性相对较差。最近几年，我国正加快了内部控制审计的制度建设，笔者认为应从以下几个方面进行完善：
（一）从规范制定层面分析
美国的内部控制准则体系已趋近成熟，拥有包括第2号审计准则和第5号审计准则在内的一整套指导体系，并被独立的划分为一条独立的准则，现行的美国第5号审计准则采用了偏向规则式的表述方式。与之相比，我国的内部控制审计仍未能被列为一条独立的审计准则，仅作为2006注册会计师执业规范第1211号的第四章节对内部控制审计作了有限的规范，并且所涉及的内容大多采用了原则式的表述方式，在随后的准则指南中对具体操作方法作进一步的解释。笔者建议，可以通过将美国的第2号审计准则和第5号审计准则作为参考，制定出一套适应社会主义市场经济体系的完整内部控制审计准则，规范内部控制审计的服务性质、审计责任主体、审计方式、评价标准，指导审计师职全面地执行内部控制审计任务，提高内部控制审计的规范性和可靠性。
（二）从准则执行层面分析
我国的内部设计控制规范并没有明确强调内部控制审计的不可缺失性，也没有具体地规定必要的内部控制审计步骤和程序，在审计实务中，为了追求审计效率，我国审计职业界主要采取了两个方面的对策来减少对内部控制的测试工作量：开发出一套了解内部控制和进行控制测试的程序表来，在审计工作中简单、消极地勾划表格；开始探索分析性程序，希望以某些关键指标、关联和趋势作为引导审计资源流向的标杆。当然，前者有助于逃避责任，后者有助于降低风险。但是总体上看，两者都对审计有效性存在极大的负面影响。
尽管我国已经初步确立了风险基础战略审计系统，并强调了内部控制对整体审计工作效率和效果的影响，但是在实务中内部控制审计所受到的关注仍旧不足，没有强制执行内部控制审计带来的直接后果往往是忽视某些重大错报风险，给整体审计工作带来不利的影响，所以，我国有必要进一步强调内部控制审计工作的重要性，通过完善内部控制审计，提高各类公司的财务信息透明度从而提高审计质量。
（三）从准则信息披露层面分析
我国内部控制信息披露机制尚不完善，有关内部控制信息披露的规定主要是中国证监会制定的《公开发行证券的公司信息披露内容与格式准则第1号——招股说明书》第122条规定以及《公开发行证券的公司信息披露内容与格式准则第11号——上市公司发行新股招股说明书》第59条的相关规定。2000年底中国证监会颁布的《公开发行证券的公司信息披露编报规则》第7号《商业银行年度报告内容与格式特别规定》、第8号《证券公司年度报告内容与格式特别规定》，要求商业银行、证券公司应对内部控制制度的完整性、合理性和有效性做出说明。
不难看出，目前我国对内部控制信息披露的强制性规定主要针对的是商业银行、证券公司、发行新股的上市公司等，对其他类型公司还没有强制性规定。由于我国大部分上市公司不要求强制披露内部控制信息，所以对内部控制信息进行审计就缺乏必要的动力与强制性。由此可见，加强对内部控制审计披露的规范，通过更完善的制度约束审计师的行为，提出必要的审计步骤以指导内部控制审计的进行，对我国公司治理的意义重大，这不仅会促使各类公司提升自身内部控制系统的完善程度，还能够让审计报告的使用者形成对公司内部控制执行情况的深度了解。
参考文献：
1.陈汉文，李荣.财务呈报内部控制审计准则的国际发展.审计与经济研究，2007（3）
2毛敏.美国内部控制审计的最新发展及评价.生产力研究，2006（12）
