文档介绍：基于制度[控制系统]的内部审计方法
制度基础审计应该是内部审计主要采用的方法。该系列文章旨在对该种内部审计方法进行简述并探讨如何更有效地开展内部审计工作。我们也试图论证内部审计与外部审计在方法和目标上的不同点。
近几年风险管理的兴起让许多内部审计师开始考虑开发基于风险的的内部审计方法。然而,风险并非单独存在,而是与组织或制度的目标没有实现关联在一起的。风险自然应包含在制度基础审计方法中。该方法使我们可以在整体制度的框架内考察内部控制的充分性与可靠性。
制度基础审计在开始时是由外部审计师为提高效率而开发的。然而,制度基础审计方法在成为更有效的内审方法前还需要进一步开发和提炼。外部审计是对组织的财务报表发表意见,而内部审计目的则完全不同,他们与各层经理一起工作,不断改善和优化内部控制、风险管理和公司治理。不同的目的导致内部审计不能完全照搬外审的方法,而应该根据自己的特点来开发属于内审自己的方法。
分步进行内部审计
通常用分段式的方式描述制度基础审计方法。但也不能按字面意思描述,并不表示每阶段必须在上一阶段完成后才开始。相反,制度基础审计应该看做一个整体。通过应用该整合的方法,审计师的知识将逐步扩大。在审计的每个阶段审计师都应重新考虑方法是否适用,不断回顾对体系的理解,在必要的时候也要把重大事宜通报给经理。制度基础审计分为以下几个方面:
;

在审计计划阶段,要考虑前期的审计结果并了解相关制度。即使审计初步计划已经与被审系统(制度或流程)的负责人达成一致,也要根据新的情况和后续的进展考虑对初步计划进行修改。如果该系统最近经过复核,那么复核记录更有助于了解被审体系。如果被审体系的经理在每次审计前都要从头给审计师介绍这个体系,那简直太遭了。然而,要想对该体系有个清晰全面的理解必须是渐进的过程,直到审计结束后才可能有完整的理解。审计师应像锯条一样增进对业务的了解:先看边缘的和容易理解的部分,然后再进攻比较困难的核心部分。
审计师描述流程的深入程度取决于他对系统的理解。只要审计师发现一些细节就应该记录,但这个阶段不要求审计师给出非常全面的流程描述。审计测试以及审计报告、与被审对象的讨论等都会加深审计师对制度流程的理解。在计划结束时再描述流程图或记录是个好主意。至少也要严格的复核,然后,在审计报告发布时再作必要的修改。
控制评估是每次审计的非常重要的阶段。在内控测试前应该完成控制评估。要注意的是:仅对那些存在且可能降低风险的控制才进行测试。然而,评估仅是测试的一个引导,测试程序要随着对制度流程的更深入理解而不断的修订。如果审计师意识到控制根本不起作用,那就应该立刻停止测试。如果在测试过程中又发现了一些关键控制,那还要开展更深入的测试。
对内部审计来是说,利用测试来说明控制是否有效地保证了制度流程的目标或者控制是否减少了风险。控制本身未见得是好事,所以只要其有效的运行并对体系目标的实现有重大影响就应该不断的测试。因此控制测试实际上反映了制度流程的全面属性、审计师对体系的理解以及不同的控制的相互关系。
形成结论和建议通常是内部审计的最后一个阶段。但也有可能开始时就能形成初步的“结论”,对以前对该制度流程的了解以及与经理人员的会谈都能使有经验的审计人员形成对控制环境和改善方法等的初步观点。观点会随着审计的开展不断深入、升华。.
审计报告,包括书写正式的报告以及与经理的意见交流,是审计人员对制度流程理解、进行弱点分析以及提出改进建议的重要阶段。报告阶段应该客观的复核控制系统的各个方面以及分析整个系统的合理性。写报告使审计师有机会“站在画外看画”。
在分析审计结论并考虑是否还要附加控制来改进时,一定要注意利用对整个系统以及各块控制相互关系的理解为基础来分析。如果需要,还要进行必要的质询和附加测试。
没有经验的审计人员要按制度基础审计的方法逐步实施审计。随着经验的增长,应运用更高级的方法。通过参加项目,审计师的知识和对体系的理解会愈发深入。这些知识应该不断的与审计方法、测试的范围与程度以及审计报告的时间相适应。
内审计划
内部审计师希望组织更有效率并提高价值。为了使得审计的价值不过于“虚”,审计师应该确保能充分地计划审计工作并确保有效率的完成工作。审计师应注意是否复核了被审系统体系的所有重大方面以及是否存在有效的控制来管理风险。为此,审计师应该与业务经理合作开展工作。因此可以考虑在审计开始前的几周内把审计工作的概要计划发给业务经理。这样,可以使经理能对审计目的与范围提出意见和建议并预先通知其能够根据审计计划来安排工作。
在每次审计前应该召开启动会,由审