培训课程
实务公告 2120.A1—1：对控制过程的评价和报告
解释《内部审计专业实务标准》中的第 2120．A1 条标准 相关标准：第 2120．A1 条标准
内部审计部门应该在风险评价结果的基础上，评价覆盖机构治理、运营及信息系统等内 容的控制程序的充分性与有效性。此类评价应当包括：
•财务与运营信息的可靠性与完整性；
•运营的效率与效果；
•资产的护卫情况；
•对法律、法规与合同的遵守情况。 本实务公告性质
内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com在评价机构控制系统的有效性并将评价意见向管理层和董事会报告时应该 考虑以下建议。当年开展的审计工作应该获取充分的信息，使审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com能够对控制系统进行评 价并形成相关意见。是否遵守实务公告由审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com白行选择决定。
1．董事会的一大任务是建立并维护机构的治理程序，并获取关于风险管理和控制过程 有效性的保证。管理高层的作用是监督风险管理和控制系统的建立、管理和评价。这种多元 控制系统 的目的是支持机构成员对风险进行管理，并实现既定的、已经广为人知的机构目 标。更具体地说，人们希望这些控制过程能够保证以下情形的存在：
•财务和运营信息可靠、完整；
•运营工作高效率、有成效；
•资产得到护卫；
•机构的行为和决定遵守相关的法律、规定和合同。
2．机构管理人员的一大责任是评价所在领域的控制过程。内部和外部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com为所选活 动和部门的风险管理和控制过程的有效性提供了不同程度的保证。
3．机构管理高层和审计委员会一般希望审计执行主管在当年开展充分的审计工作，并
收集其他可以获取的信息，以便就控制过程的充分性和效果性形成判断意见。审计执行主管 应该将关 于机构控制系统的总体判断意见向机构管理高层和审计委员会报告。越来越多的 机构在提交外部利益关系方的年度报告或定期报告中收入管理层关于内部控制系统的报告。
4．审计执行主管应该为来年开发审计计划草案，保证获取充分证据，对控制过程的有 效性进行评价。计划应该呼吁通过审计业务或其他程序，收集关于所有主要操作部门和业务 部门的相 关信息。审计计划还应该特别考虑最受近期或期望变化影响的运营领域。这些环 境的变化可能是市场或投资条件、收购或强制过户、重组或建立新企业所引发的。所提议的 计划应该灵活，以便在当年根据管理战略和外部条件的变化或对机构实现目标期望的修改而 进行调整。
5．在确定所提议的审计计划时，审计执行主管应该考虑其他人开展的相关工作。为了 最大限度地减少重复和效率低下现象，在确定来年的预期审计范围时，应该考虑管理层在评 价控制和质量改进过程中所计划的或最近完成的工作以及外部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com计划的工作。
6．最后，审计执行主管应该从两个角度评价所提议计划的范围：计划是否充分涉及机 构各部门，是否包括各种交易和业务过程。如果所提议审计计划的范围不够充分，不足以就 机构的控制过程做出保证性说明，审计执行主管应该将预期的缺陷、缺陷发生的原因和可能 出现的结果告知管理高层。
7．内部审计所面临的挑战是在许多单项评价总汇的基础上评价机构控制系统的有效性。 这些单项评价结果大都来自内部审计业务、管理层的自我评价和外部审计工作。随着审计业 务的开展，内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com应该及时将审计发现向恰当层次的管理人员通报，以便及时采取行动， 纠正或减缓所发现的控制空隙或薄弱环节所带来的不利后果。
8．在评价机构控制过程的总体效果时应该考虑三大关键因素：
•通过所开展的审计工作和收集的其他评价信息是否发现了控制空隙或薄弱环节?
•如果发现了，是否在发现之后进行了纠正或改进?
•是否可以从所发现的控制空隙或薄弱环节及其后果得出以下结论：机构存在导致风险 水平无法接受的普遍情形?
然而，严重控制空隙或薄弱环节的暂时存在并不总是能使审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com得出这种情形很普遍， 从而会给机构带来无法接受风险的结论。在确定整个控制体系的有效性是否受到损害、是否 存在无法接受的风险时，审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com必须考虑发现问题的形式、非法侵入的程度、后果的严重程 度以及风险程度等因素。在一般情况下，审计执行主管应该每年向管理高层和审计委员会提 交一份关于机构柠制过程状况的报告。
9．上述报告应该强调控制过程在追求机构目标方面所起的关键作用，并应参考内部审 计所开展的主要工作和其他用以形成总体保证判断的重要信息渠道。报告的意见部分一般采 用否定形式的保证意见。即，那个阶段开展的审计工作和收集的其他信息没有揭示产生普遍 影响的严重控制薄弱环节。如果控制空隙或薄弱环节严重而且普遍，报告的保证部分可能采 用有保留的或反面意见的形式，但最后采取什么形式取决于剩余风险水平的预蜘增加及其对 机构目标的影响。
10．年度报告的接收对象是高层执行官和审计委员会委员。因为这些读者对审计和机构 业务的理解比较分散，年度报告应该清楚、扼要、信息量大。报告的措词和编撰应该易于理 解，井能满足读者的信息需要。通过包括主要改进建议和关于现行控制问题和趋势的信息
(如：技术和信息安全风险、各业务部门控制空隙或薄弱环节的形式、遵纪守法所面临的潜 在困难)，可以增加报告对这些读者的价值。
11．有充分的证据表明，围绕内部审计部门在评价控制和就控制过程的运作状况提供保 证方面存在期望差距。一种差距是，管理人员和审计委员会一般对内部审计服务的价值抱有较高期望，而内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com了解审计范围所受的实际限制，而且对于能否产生足够的证据、为
形成客观知情的判断意见提供支持抱怀疑态度，因而，内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com对内部审计工作的期望比 较适度。审计执行主管应该懂得报告读者的期望和当年实际发生的情况之间可能存在的差 距。他/她应该将报告变成协调不同期望的手段，井通过报告建议改进机构的能力并减少审 计师在获取信息和实现审计效果方面受到的限制。
内部审计部门应该在风险评价结果的基础上，评价覆盖机构治理、运营及信息系统等内 容的控制程序的充分性与有效性。此类评价应当包括：
•财务与运营信息的可靠性与完整性；
•运营的效率与效果；
•资产的护卫情况；
•对法律、法规与合同的遵守情况。 本实务公告性质
内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com在评价机构控制系统的有效性并将评价意见向管理层和董事会报告时应该 考虑以下建议。当年开展的审计工作应该获取充分的信息，使审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com能够对控制系统进行评 价并形成相关意见。是否遵守实务公告由审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com白行选择决定。
1．董事会的一大任务是建立并维护机构的治理程序，并获取关于风险管理和控制过程 有效性的保证。管理高层的作用是监督风险管理和控制系统的建立、管理和评价。这种多元 控制系统 的目的是支持机构成员对风险进行管理，并实现既定的、已经广为人知的机构目 标。更具体地说，人们希望这些控制过程能够保证以下情形的存在：
•财务和运营信息可靠、完整；
•运营工作高效率、有成效；
•资产得到护卫；
•机构的行为和决定遵守相关的法律、规定和合同。
2．机构管理人员的一大责任是评价所在领域的控制过程。内部和外部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com为所选活 动和部门的风险管理和控制过程的有效性提供了不同程度的保证。
3．机构管理高层和审计委员会一般希望审计执行主管在当年开展充分的审计工作，并
收集其他可以获取的信息，以便就控制过程的充分性和效果性形成判断意见。审计执行主管 应该将关 于机构控制系统的总体判断意见向机构管理高层和审计委员会报告。越来越多的 机构在提交外部利益关系方的年度报告或定期报告中收入管理层关于内部控制系统的报告。
4．审计执行主管应该为来年开发审计计划草案，保证获取充分证据，对控制过程的有 效性进行评价。计划应该呼吁通过审计业务或其他程序，收集关于所有主要操作部门和业务 部门的相 关信息。审计计划还应该特别考虑最受近期或期望变化影响的运营领域。这些环 境的变化可能是市场或投资条件、收购或强制过户、重组或建立新企业所引发的。所提议的 计划应该灵活，以便在当年根据管理战略和外部条件的变化或对机构实现目标期望的修改而 进行调整。
5．在确定所提议的审计计划时，审计执行主管应该考虑其他人开展的相关工作。为了 最大限度地减少重复和效率低下现象，在确定来年的预期审计范围时，应该考虑管理层在评 价控制和质量改进过程中所计划的或最近完成的工作以及外部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com计划的工作。
6．最后，审计执行主管应该从两个角度评价所提议计划的范围：计划是否充分涉及机 构各部门，是否包括各种交易和业务过程。如果所提议审计计划的范围不够充分，不足以就 机构的控制过程做出保证性说明，审计执行主管应该将预期的缺陷、缺陷发生的原因和可能 出现的结果告知管理高层。
7．内部审计所面临的挑战是在许多单项评价总汇的基础上评价机构控制系统的有效性。 这些单项评价结果大都来自内部审计业务、管理层的自我评价和外部审计工作。随着审计业 务的开展，内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com应该及时将审计发现向恰当层次的管理人员通报，以便及时采取行动， 纠正或减缓所发现的控制空隙或薄弱环节所带来的不利后果。
8．在评价机构控制过程的总体效果时应该考虑三大关键因素：
•通过所开展的审计工作和收集的其他评价信息是否发现了控制空隙或薄弱环节?
•如果发现了，是否在发现之后进行了纠正或改进?
•是否可以从所发现的控制空隙或薄弱环节及其后果得出以下结论：机构存在导致风险 水平无法接受的普遍情形?
然而，严重控制空隙或薄弱环节的暂时存在并不总是能使审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com得出这种情形很普遍， 从而会给机构带来无法接受风险的结论。在确定整个控制体系的有效性是否受到损害、是否 存在无法接受的风险时，审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com必须考虑发现问题的形式、非法侵入的程度、后果的严重程 度以及风险程度等因素。在一般情况下，审计执行主管应该每年向管理高层和审计委员会提 交一份关于机构柠制过程状况的报告。
9．上述报告应该强调控制过程在追求机构目标方面所起的关键作用，并应参考内部审 计所开展的主要工作和其他用以形成总体保证判断的重要信息渠道。报告的意见部分一般采 用否定形式的保证意见。即，那个阶段开展的审计工作和收集的其他信息没有揭示产生普遍 影响的严重控制薄弱环节。如果控制空隙或薄弱环节严重而且普遍，报告的保证部分可能采 用有保留的或反面意见的形式，但最后采取什么形式取决于剩余风险水平的预蜘增加及其对 机构目标的影响。
10．年度报告的接收对象是高层执行官和审计委员会委员。因为这些读者对审计和机构 业务的理解比较分散，年度报告应该清楚、扼要、信息量大。报告的措词和编撰应该易于理 解，井能满足读者的信息需要。通过包括主要改进建议和关于现行控制问题和趋势的信息
(如：技术和信息安全风险、各业务部门控制空隙或薄弱环节的形式、遵纪守法所面临的潜 在困难)，可以增加报告对这些读者的价值。
11．有充分的证据表明，围绕内部审计部门在评价控制和就控制过程的运作状况提供保 证方面存在期望差距。一种差距是，管理人员和审计委员会一般对内部审计服务的价值抱有较高期望，而内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com了解审计范围所受的实际限制，而且对于能否产生足够的证据、为
形成客观知情的判断意见提供支持抱怀疑态度，因而，内部审计师 该 内 容由 中 审 网 校 所 属 ww w.a u ditcn .com对内部审计工作的期望比 较适度。审计执行主管应该懂得报告读者的期望和当年实际发生的情况之间可能存在的差 距。他/她应该将报告变成协调不同期望的手段，井通过报告建议改进机构的能力并减少审 计师在获取信息和实现审计效果方面受到的限制。
