第三节 制度基础审计的程序与方法
一、制度基础审计程序
制度基础审计包括内部控制审计和真实性审计两个部分，而内部控制审计仅仅是对内部控制制度恰当性与有效性的审计。这种审计到底在真实性审计之前进行，还是在真实性审计中间进行，应视具体情况而定。如果与审计项目有关的内部控制制度，过去未作过评价或已作过评价而又发生了重大变化时，这种检查工作应当在制定审计项目计划时进行，这样有利于确定审计的要点及其检查范围和方法；如果与审计项目有关的控制制度，过去已作过系统检查而今又未发生变化或变动不大时，这种检查应在制定审计项目方案时进行；如果要对整个内部控制制度进行系统检查，一般均在实施审计开始时进行。制度基础审计的步骤，一般包括以下四个方面。
（一）适当性测试
适当性测试，主要是对内部控制制度的调查与描述，评价其应有控制环节是否业已规定齐全，有无欠妥之处。其主要步骤如下。
1.确定理想的控制模式
审计人员应通过搜集资料与查阅文件手段，充分了解单位经营管理情况，通过调查了解明确管理风险与控制要点，明确各项控制措施的目标与功能，明确为特定控制目标而需要设计的控制措施与方法，明确如何将内部控制与主要经营环节及业务相互衔接配套，构成有机的系统。总之，根据调查了解的情况，应清楚控制什么，怎样控制？达到设定目标的理想控制模式应该是什么？从而在心目中确定对现行的制度进行评估的标准。
2.描述现行内部制度
当理想的控制模式确定以后，审计人员就应该审查正在行使的内部控制制度。首先，应充分搜集各种成文的制度资料；其次，了解主要业务处理的受控过程、受控成效与存在的薄弱环节；最后，审查鉴别控制方法实施与控制职责实现，是否有效地防止或降低了错误与舞弊的风险。上述审查可通过文字说明、调查表及流程图等形式来描述。
3.将现行制度描述情况与理想模式进行比较并对现行制度的有效性及其控制进行评估
比较时，应注意现行控制程序与理想控制目标是否相联系；现行控制方法是否适合于既定的控制目标，能否满足控制标准的需要；现行制度与理想模式的差距等。进行分析初评时，主要识别出关键的控制以及控制的强点和弱点。所谓关键性控制，是指假如执行这些控制，就会避免错误或弊端的滋生，就会使人们深信这个制度能产生正确的结果。对于内部控制的弱点，应寻找解救性的控制措施。
对内部控制制度进行初评，可通过下列调查表和评价表进行反映，见表9-1、表9-2。
表9-1 内部控制制度问题调查表
表9-2 内部控制评价表
（二）符合性测试
对内部控制制度的系统、功能及优缺点有了初步了解之后，便可据此确定对内部控制大概可予依赖利用的程度。但是，可予依赖利用的确切程度，还取决于内部控制制度的执行情况与结果，即各项活动及项目的执行是否遵循了合适的法律和规定，是否处于经济性、效率性和效果性的方式之中。因此，审计人员还有必要对单位现行内部控制进行认真的审查或符合性测试，以确定其是否实际存在，其执行情况符合制度规定的程度，是否发挥作用。根据规定的控制制度对实际生产、技术、经营或是会计、财务活动进行检查，以确定这些控制环节是否确实存在，是否始终相符，有无失控之处等。把这种符合性测试同这些控制的辨认结合起来，就可以确定该制度产生正确结果的可以依赖程度。
符合性测试旨在检查现行制度是否充分有效或能否取得预定结果。由于单位业务繁杂，不可能进行全面检查，只能根据生产经营活动的特点以及不同业务环节，进行抽样检查。抽样检查重点要根据业务性质与控制目的重要性而定。一般测试步骤如下。
1.业务测试
业务测试是指审计人员按照业务每个类型编号，对单位重要经济业务所作的检查，借以判明内部控制系统中不应缺少的几个控制在业务处理过程中是否确实存在。在进行业务测试时，一般要根据单位的经营环节或重要业务划分成若干类型或子系统。每个类型中的有关业务应具有内在联系，否则没有必要归属为一个子系统；对每一种类型或子系统的业务进行抽样检查，检查其业务有没有按既定的方式处理，如果没有，则说明该控制系统出了故障，凡经该系统处理过的业务都存在误差的可能。
2.功能测试
功能测试是指对内部控制功能进行抽样检查，也即是对关键控制点作用发挥的情况进行检查。测试的目的是为了查明关键控制是否切实存在，是否有效地发挥了作用而有利于预期目的实现，其有效程度是否令人满意，该控制点有无漏过不正确的业务。功能测试根据各种控制功能及其作用可划分为合法性、有效性、完整性、估算或计价、分类、截止期、过账与汇总等七个方面的测试，但主要是合法性、有效性及完整性测试。功能测试方法主要有检查文件资料记录、重复必要的手续进行重新处理、实地观察手续履行情况等。值得提出的是，功能性测试不同于实质性测试（真实性或正确性审计）。前者是为评价内部控制系统是否健全有效，作为确定审计范围、重点和方法的依据；后者则是实施审计的范围中，进行实质性检查，用以获取审计证据，作出审计结论。
（三）制度总评
审计人员进行内部控制制度评价的最终目的，在于确定被审计单位内部控制制度的可靠性，从而决定对它的依赖程度，确定实质性测试的性质、范围、重点及时间安排。内部控制制度评价一般分为初评和总评两个阶段。
初评是在内部控制制度健全性测试以后进行，主要目的是为了决定是否需要进行符合性测试。如有些控制制度可依赖，应进行符合性测试；有些控制制度根本不存在，或极不健全，则无需进行符合性测试；有些控制制度虽然存在，也很健全，但进行符合性测试很不经济。初评主要考虑的问题是：根据一般规律和被审计单位的具体情况，分析被审计单位可能会发生哪些方面的差错、舞弊、浪费、低效、失职等不良行为；按照内部控制的管理要求，被审计单位应该建立哪些方面的控制制度，才能有效地防止和纠正各种失控现象；被审计单位是否具有应有的控制制度，如果没有，是否存在相应的补救措施，这些补救措施是否可以依赖；如果依赖这些控制制度或补救措施，对它们进行符合性测试是否合算，也即是依赖某一控制制度（措施）而减少的实质性测试工作量，是否大于符合性测试的工作量，否则就不合算。
总评或称进一步评价、再评价、综合评价，是指对内部控制制度可信赖程度的评价，当然也可以进一步开展薄弱环节（易损部门）的分析。可信赖程度评价结果可分为以下三种情况：
（1）可信赖程度高。指的是内部控制制度恰当，并且都能有效地发挥作用；经济业务或会计记录发生差错和舞弊的可能性很小。在这种情况下，审计人员可以较多地信赖与利用内部控制制度，减少对业务和会计资料的实质性测试。
（2）可信赖程度一般。指的是内部控制制度较为恰当，大多数制度均能发挥作用，但有差错和舞弊行为的发生，可能会影响到财产的安全与记录的正确性。在这种情况下，审计人员必须扩大实质性测试的范围。
（3）可信赖程度低。指的是内部控制制度明显的不恰当和无效，大部分经济业务及资产记录处于失控状态，差错发生频繁。在这种情况下，审计人员应进行详细的检查，搜集足够的审计证据。
薄弱环节评价，主要是指对控制不足或存在有缺陷的部门进行分析和研究。分析时，应将不足或缺陷与标准结构进行比较，借以发现差距，评价人员还应根据自己的经验，提出自己的见解，进行有价值的判断。对薄弱环节的研究，主要是对存在缺陷所导致的后果影响进行研究：一是要查明造成原因，二是要寻求克服缺陷的措施。薄弱环节评价，不仅对实质性测试的重点确定有其重要意义，关键是要根据其评价结果来改善控制制度。
总评工作完成后，应编制如下内部控制制度总评表，见表9-3。
表9-3 内部控制制度总评表
（四）实质性测试
对内部控制制度进行总评后，便可按照原定的审计方案执行实质性测试，或者对原定审计方案修改以重新安排实质性测试的性质、范围、内容、重点、顺序和时间。实质性测试也叫正确性测试，其总目标是检查财务会计信息是否真实、正确和完整，当然也可以按照会计要素的内容确定具体的测试目标。
实质性测试的重点，一是财务报表所列的资产、负债、所有者权益、费用（成本）和利润的金额是否真实，有无虚列？是否完整，有无遗漏？所列各项资产是否确属被审计单位所有？报表所列全部项目的分类是否恰当，是否完整地反映了每个会计账户的内容？财务报表及其附注说明，是否充分地反映了应予揭示的全部项目，是否符合企业会计准则和制度的要求？二是会计资料中对于各项资产、负债、所有者权益、收入、费用（成本）和利润的计算和记录是否正确、合理、合法？各项收入、费用（成本）和利润的计算是否按照权责发生制和配比原则？是否划清资本性支出与经营性支出的界限，划清各期收支和盈亏的界限？有无人为地调节盈亏水平，掩饰财务状况和经营成果的现象？纯属机械性计算和处理是否准确无误，例如，账、证、表相关记录是否相符？会计记录中小计、合计、乘积、除商、总计等数字计算是否准确？等等。
究竟采用什么样的方法进行实质性测试，一是取决于审计具体项目的不同要求，二是取决于审计人员从事审计工作的实践经验。总之，以前有关章节中所述的审计方法均适用于实质性测试。
二、制度基础审计方法
在审计技术方法一章中所介绍的各种方法均适用于制度基础审计，但在对内部控制制度调查与测试过程中还要使用以下各种方法。
（一）调查法
无论是初次审计，还是多次审计，对内部控制的目的与功能、内部控制的要素及内部控制的系统联系均要进行必要的调查。即要了解各项控制措施的目的是什么，能发挥哪些方面的控制职能；为实现特定目的采取了哪些控制措施或方法，其设计是否合法而有效，可能存在哪些弱点；主要经营环节与业务的内部控制能否互相衔接与配套等。通过调查，以得到制度好坏的全面概念。调查方法主要包括查阅、观察与询问等手段。
审计人员首先应查阅被审计单位有关文件资料，以获得概括的整体印象。如查阅组织机构的设置、分工与职责的有关资料，查阅经营计划与管理决策的有关资料，审阅会计资料、统计资料、以往的审计资料与其他管理资料，查阅各项管理制度与业务处理程序的所有资料。
其次，审计人员应通过实地观察，来印证最初的印象。如到办公室、车间、仓库等观察主要操作与流程，了解其经营特征及实际应用的内部控制措施，了解业务文件资料特别是会计资料的种类、作用、编制单位或人员、传送方式与保管使用状态。通过观察，可以判明被审计单位管理的有序性、组织的优劣与控制的有效性。
然后，审计人员应通过对管理人员、职工的询问，来进一步了解内部控制措施的内容与实施情况，各项职务的分工与有关岗位人员的能力。
上述调查虽然只是表面的，但对于一个有经验的审计人员来说足可以形成他对内部控制的大致印象，据此应对内部控制系统进行描述，形成文字记入有关工作底稿。
（二）文字描述法
文字描述法，是指用文字形式简要描述被审计单位内部控制制度的方法，一般是按照不同经营环节和主要业务，分别说明其特征、经办的部门及人员、有关的控制措施、凭证及业务文件流向、编制要求与归档等情况，并说明各经营环节与主要业务处理过程中的有效控制与可能存在的问题。
文字描述法适用于规模小、内部控制制度简单的企业，使用方便、灵活、全面，不受任何限制。但对于内部控制复杂的内容和经营环节复杂的情况难于描述，往往由于繁杂而不利于理解和直观。
（三）调查表法
调查表法，是指审计人员利用首先设计好的标准化表格，进行调查询问的一种方法，它以提问的方式向直接从事业务经营的人员了解内部控制状况，然后视回答情况判断内部控制的强、弱点。这种调查分别对各个经营环节或主要业务的关键控制点提出一系列的问题，然后要求调查者作出“是”、“否”与“不适用”等答案。“是”表示肯定；“否”表示否定也根据否定的程度也可再分“轻微”与“严重”两种答案；“不适用”一般表示根本不适用或在现在条件下无法适用，如果出现既不肯定也不能否定的情况，也可填入该栏。问题调查表中的备注栏，一般是填写答案的资料来源或补充解释等。审计人员可以在通过直接询问、实地观察和查阅表中有关资料后，逐一填到调查表，一般只需要在相应的答案栏中标上“√”的符号即可。当所有问题答案得出后，即可据此了解各种经营环节或主要业务的内部控制实际情况。见表9-4、表9-5。
表9-4 内部控制制度调查表
表9-5 内部控制制度调查问卷
编制说明：
1.本问卷根据被审计单位业务特点设置内控环节调查关键点（问题）。
2.本问卷应在符合性测试和实质性测试前完成。
3.对每项业务内控调查完成后，对被审计单位内控是否适当发表意见，对内控弱点，提出客户应采取的改进方法，并评价内控弱点对实质性测试的影响。
4.审计结束后，就被审计单位执行内控情况做出评价。
内部控制制度调查表的优点是简便易行，有利于一般审计人员使用；同时，因为标准化表格适用于同类型单位使用，有利于节省审计工作量；再者，“否”栏集中反映了内部控制的弱点，能够引起审计人员的关注，便于明确进一步测试方向。然而，调查表是根据具体业务内容设计的固定格式，一是不利于整体进行评价；二是缺乏弹性，不适用特殊需要；三是用“是”、“否”回答，会导致表面化、例行公事地处理问题。所以调查表应与流程图、文字说明结合使用，才能发挥更好的作用。
（四）流程图法
将调查了解到的有关制度用图解形式描述的方法即为流程图法。通过绘图，能够将文字说明减少到最低限度，还能将各项业务的职责分工、授权、批准和复核验证等控制措施与功能完整地显示出来，便于审计人员评价企业的控制状况和进行符合性测试。一般而言，在对制度进行审计时，无论原来有无对制度用图解表示，审计人员均应根据调查了解到的情况重新绘图。绘图可以用两种不同方式：一是按照业务处理的先后顺序绘制成纵式的流程图。基本做法是：将每一项业务的处理按先后次序，用直线垂直串联起来，再对每一处理步骤的具体做法用图式进一步描绘，包括处理业务时发生的凭证，对凭证的分类、记录、归集等。这种纵式的图解虽简明扼要，便于阅读，但难以反映部门之间的联系。另一是以业务处理过程涉及的部门为基础绘制成横式的流程图，基本做法是：将每一业务处理所涉及的所有部门原则上按先后顺序从左到右排列，再对每一部门的业务处理内容及顺序从上至下排列，最后用流程线将各部门之间的联系连接起来。横式流程图虽可完整反映每项业务在各部门之间的相互联系，但不便于阅读，尤其是业务比较复杂时，往往因符号过多而难以了解整个系统的情况。无论是绘制纵式流程图，还是绘制横式流程图，对于其中业务凭证及账表的形成、传递与保管可用两种不同方式来描述：一是一次反映，即凭证、账表只在形成时反映，以后的传递、保管都不再显示，这种描绘方式简单，但阅读比较困难；另一是多次反映，即对凭证、账表在形成、传递与保管过程中多次重复显示，这种描绘方式同实际处理结果几乎一致，便于阅读和理解，但绘图花费的时间多，而且因符号太多而使绘出的图不够清晰，甚至有零乱之感。用绘图法描述制度虽有许多优点，但要求审计人员有较高的技术，还要花费较多的时间，并且不能揭示实际执行的情况及其薄弱环节。绘制流程图的具体方法如下。
1.充分了解业务处理程序
绘图前应做好详细调查，熟悉每一个经营环节或业务的内容与处理程序及其与前后环节的相互联系，有关文件凭单的填制、传递和处理，对此应反复核实。
2.用线条来描绘整个过程
在设计图例说明时，一定要预先规定每一个符号、每一条线条所代表的意义。一般地说，图例说明要尽量标准化，以便在一个系统内统一掌握和方便检查控制。见图9-1、图9-2。
图9-1 常用流程图符号
3.标明不同环节或业务流程线
流程图绘制，一般是以每个业务环节为一单元。在图内划分为若干栏，分别代表经办业务的部门或人员。如每栏上端标明涉及的部门或人员，以明确岗位职责。流程线始于左上角，从上至下，从左到右。线条、符号之间的关系要尽量表述清楚，尽量少用交叉线，交叉时，要尽量保持线条含义清楚。
4.列示职责分工及相关控制措施
在流程图中必须标明各项业务处理的分工，以便测试分析业务的授权、批准、执行、记录等控制措施是否合理有效，既要注意流程图的合理性，又要注意简便易行与适当的控制。
5.注明每张文件凭证的出处与去向
各业务环节的文件通常来自或流向三个方面：企业外部、不同业务环节以及本环节有关部门。这些都要在流程图中加以描绘，如果有关文件已归档或正常销毁，均应作出说明。
6.说明会计记录编制
利用特定符号标出会计记录的有关凭证、账册及其监制人员，而且要说明它们的保管与存放地点，便于查阅。
7.附加图解注释
流程图内的符号或线条往往可以代表不同的文件、凭证、账册或报表，或者某些控制措施又难以用图例显示，因此要附上注释或文字说明，以便于理解。
（五）强弱点记录法
审计人员在通过各种调查和描述的基础上，经过进一步分析和归纳，就可以编制被审计单位各项内部控制制度强点记录表和弱点记录表。该表可以直观地表达内部控制制度强点所在及薄弱之处，便于阅读和评价。内部控制制度弱点记录表（表9-6）“弱点情况”栏填列没有控制制度的地方；“管理人员意见”栏填列被审计单位有关人员对未能进行控制的看法；“可能出现问题”栏填列不控制将产生的影响及后果，该栏可等初步评价后填写，亦可在最后评价阶段填写；“改进控制意见”栏填列加强控制的措施及办法，一般应在最后评价阶段填写。内部控制制度强点记录表（表9-7）“强点情况”栏填列被审计单位已经实行控制的地方；“控制目标”栏填列单位实施控制希望达到的目的，即防止出现哪些可能的问题；“功能的发挥”情况栏填单位的控制制度实际是否达到了预期的目标，一般等符合性测试完毕后再填写；“完善控制意见”栏填列需要进一步改进的具体措施与办法，一般在最后评价阶段填列。但如果在调查制度时采用的是调查表法，则描述制度时可用调查表代替。
表9-6 内部控制制度弱点记录表
表9-7 内部控制制度强点记录表
（六）测试与质疑法
审计人员在对内部控制进行审计时，必须要运用多种审计技巧，来获得充分而有效的证据，对内部控制制度的恰当性与有效性进行客观全面的评价。审计人员必须充分运用事项复查、事项测试来获得基本证据。
1.事项复查
事项复查是指从已经处理过的业务事项中抽出一项，追溯它的处理过程，以加深对该项控制制度的正确了解。事项复查，是在制度调查和描述之间进行的，其主要目的是用来确证制度的描述是否完整和正确。
例如，审计人员为了确证对销售业务控制的理解程度，他可以取出一笔销售记录，与有关凭证和账簿记录进行比较。对于每个类型的事项，一般只要取一个例子进行检查就可以了，因为事项复查的目的只在于了解制度及其控制作用，而不是为了查找制度中的错误和印证每一件事情。
2.事项测试
事项测试是指从某一类型事项中抽取相当数量事项的文件，进行详细检查，然后根据样本检查结果，对某一类型事项的总体作出正确程度的判断。事项测试的主要目的是证实制度是否按照审计人员所理解应该执行的那样来执行。事项测试，一般采取统计抽样来审查。
【本章小结】
内部控制是现代管理工具，它对于提高企业营运效率和效果，确保财务报告的可靠性和法律、法规的遵循有着重要的作用。内部控制主要包括控制环境、风险评估、控制活动、资讯与沟通、监督。内部控制程序由确立标准、衡量结果、分析差异、采取补救措施、检查与评价构成。内部控制的基本方式与方法有目标控制、组织控制、人员控制、职务分离控制、授权批准控制、程序控制、措施控制与检查控制等。组织中每一个人对内部控制都负有一定的责任，管理层、董事会、普通员工均要承担各自应负的责任。所谓制度基础审计，即是建立在内部控制制度评价基础上的一种现代审计方法。制度审计主要包括对制度进行符合性测试和对经济业务进行实质性测试两部分内容。
制度基础审计的基本内容包括各项制度审计、经营活动与业务处理审计、经济资料审计、资源获取与使用审计和管理业绩审计。制度基础审计的主要内容包括对会计控制、管理控制、审计控制的测评。制度基础审计测评要点包括对五要素测评和各项作业的测评。
制度基础审计程序，主要包括适当性测试、符合性测试、制度总评和实质性测试。制度基础审计，主要采用属性抽样和变量抽样两种抽样方法；同时还要使用调查法、文字描述法、调查表法、流程图法、强弱点记录法以及测试与质疑等各种方法。
本章应强调的术语有内部控制、内部控制制度、内部牵制制度、内控目标、内控局限性、控制环境、风险评估、控制活动、资讯与沟通、监督、不相容职务、授权控制、一般授权、特殊授权、目标控制、组织控制、人员控制、职务轮换制、限制接近、程序控制、措施控制、检查控制、制度基础审计、会计控制、管理控制、内部审计控制、适当性测试、符合性测试、功能测试、业务测试、可信赖程度评价、薄弱环节评价、调查法、文字描述法、调查表法、流程图法、强弱点记录法、事项复查、事项测试。
【思考与练习】
1.什么是内部控制？为什么要设置内部控制？
2.为什么说建立内部控制制度是现代化企业重要的任务及管理方式与手段？
3.什么是内部控制目标？内部控制有何局限性？
4.内部控制结构包括哪五要素？COCO二十项控制标准包括哪些内容？
5.内部控制包括哪些程序和方法？
6.管理阶层、董事会、审计部门及一般员工在内部控制中应负哪些责任？
7.什么是制度基础审计？它和账目基础审计有何不同？
8.制度基础审计包括哪些基本内容？
9.对会计控制和管理控制应审查哪些内容？
10.制度基础审计如何对内部控制五要素进行测评？
11.制度基础审计对哪些作业应进行测评？
12.制度基础审计包括哪些程序？符合性测试和实质性测试有何不同？
13.如何进行适当性测试和符合性测试？
14.怎样进行可信赖程度评价和薄弱环节评价？
15.怎样进行实质性测试？其测试重点包括哪些方面？
16.简述调查法、文字描述法、调查表法、强弱点记录法的具体做法。
17.怎样绘制和审查业务流程图？
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
