内部审计与内控评价具体工作的结合实践
内部审计与内控评价具体工作的结合实践
改革开放以来，大批的外资企业进入中国，在引入先进生产技术的同时大量先进的管理理念、管理工具也伴随而来，特别是欧美公司财务舞弊案件频发及美国萨班斯法案的颁布，在世界范围内引起较大的震动，我国为了防范此类问题也出台了一系列规范、指引。近期国资委与财政部联合发布的《关于加快构建中央企业内部控制体系有关事项的通知》，更是将内部控制由上市公司延伸至非上市的所有中央企业。
将内部控制导入企业日常管控活动中并与企业内部审计相结合，已逐渐成为各家公司目前及今后一段时期的工作重点，但二者结合过程中需要搞清内部控制和内部审计的重要性、相互关系、各自的特点及具体工作过程中的结合方式。内部审计与内控评价工作的组织管理方式、具体工作程序及工作重点具有相同的地方，下面以审计工作流程为主线谈一下内部审计与内控评价在各个关键点的结合与协同。
一、内部审计计划阶段与内控风险识别的结合
审计计划一般包括年度审计计划、项目审计计划和审计方案三个层次，年度审计计划按照内部审计具体准则的要求：内部审计机构负责人应根据审计项目的风险程度规划审计项目执行的先后顺序，年度审计计划报董事会批准执行。项目审计计划的编制内容中，按照内部审计具体准则的要求应包括重要性和审计风险的评估。 财政部发布的《企业内部评价指引》解读中，对内部控制评价程
序一般包括：制定评价工作方案等，针对制定评价工作方案描述如下：内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制定科学合理的评价工作方案，经董事会批准后实施。 上述内容显示无论内部审计还是内部控制，在其计划阶段强调的是风险评估，和聚焦高风险领域和重要业务事项。公司在具体内审、内控工作开展的计划阶段，应注意两者的结合，充分关注高风险领域和重要业务事项的风险程度，完成内审和内控两方面的工作。同时利用内部控制内控风险识别的自我评价这一有效的日常工作成果，使内部审计计划的针对性更强，内控风险识别工作的作用更明显。
二、内部审计实施阶段与内控风险认定、测试、分析的结合 《内部审计准则第5号内部控制审计》，其中第五条对内部控制包括的内容描述为控制环境、风险管理、控制活动、信息与沟通、监督等五个要素。《企业内部控制基本规范》中描述的内部控制的五要素为：内部环境、风险评估、控制活动、信息与沟通、内部监督，认真阅读比对后发现，虽然字面稍有差异，但内容是一致的。 内部审计实施阶段常用的方法包括：询问、检查、观察、测试、追踪、分析等。
财政部发布的《企业内部评价指引》解读中，对实施阶段——开展现场检查测试中描述如下：评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查
测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。
上述内容显示内控审计和内控评价的实施阶段无明显差异，但在公司内审、内控工作中发现，充分利用内控体系建设中《风险表-风险清单》、《控制矩阵表》《不相容职责表》《授权审批表》等成果，快速并系统的完成风险测试、认定和针对审计发现缺陷的深入分析，往往会减少现场工作时间提高效率和质量，内控评价的规范性、全面性在时间工作中表现突出。
三、内部审计评价与内控风险评价的结合
针对审计过程发现的问题或缺陷，充分利用应用指引明确的关键风险点和《控制矩阵表》描述的风险等级标准，展开现场审计发现问题的评价和责任划分。实际工作中，内控评价的风险程度划分对内部审计问题的界定提供了较好的支持，完善了以往审计发现问题无明确的界定标准的工作缺陷。
四、内部审计整改阶段与内控缺陷整改的结合
公司董事会和经营层为防范经营风险，越来越注重问题整改跟踪，实际工作中发现内控缺陷整改的全面性优于内控审计问题的整改，原因是内部审计发现问题一般比较关注偏重大问题的整改跟踪或安排后续审计，管理建议书习惯使用文字描述存在难以细致全面描述的问题。而内控评价针对所发现的设计或执行缺陷的描述使用标准的表格形式，具有明显的问题描述清晰、信息量大、简单直观的优点。同时内控缺陷整改与定期展开的内控自评结合起来，可以弥
补审计问题整改跟踪中一直存在的人员不足导致的跟踪不及时、关注不全面等问题。
此阶段工作的结合，即可以将审计发现问题转化为内控缺陷，也可以将审计难以关注的一般性问题交由日常化的内控自评、缺陷整改来完成，审计人员重点关注重大问题的整改跟踪，既可以提供内部审计的工作质量，也通过内控评价、整改跟踪全面完成风险控制的目标。
近几年的工作实践显示，上述四个方面的结合如果运用到位，无论是内审工作还是内控工作的管理提升效果都很明显。