CSA 1152指南:向治理层和管理层通报内部控制缺陷

《中国注册会计师审计准则第1152号 ——向治理层和管理层通报内部控制缺陷》

应用指南

（2010年11月1日修订）

一、确定是否识别出内部控制缺陷（参见本准则第八条）

1．在确定是否识别出内部控制缺陷时，注册会计师可以就审计结果中的相关事实和情况与适当层级的管理层讨论。这种讨论有助于注册会计师及时提醒管理层关注以前可能没有注意到的缺陷。适合与之讨论的管理层是熟悉所关注的内部控制领域并且有权对识别出的内部控制缺陷采取纠正措施的人员。在某些情况下（如审计结果可能引发注册会计师对管理层的诚信或胜任能力的质疑时），注册会计师直接与管理层讨论可能是不适当的（参见本指南第20段）。

2．在与管理层讨论审计结果中的事实和情况时，注册会计师可能获取供进一步考虑的其他相关信息，例如：

（1）管理层对造成缺陷的原因的了解；

（2）管理层可能已经注意到的由于缺陷而引发的例外事项，如相关信息技术控制未能防止的错报；

（3）管理层应对审计结果的初步迹象。

对小型被审计单位的特殊考虑

3．尽管小型被审计单位控制活动所依据的理念可能与大型被审计单位的相似，但是它们运行的正式程度存在差别。在小型被审计单位，由于管理层亲自实施控制，特定类型的控制活动可能并不必要。

例如，管理层独自负责对客户授予信用和批准重大采购，可以对重要的账户余额和交易提供有效的控制，降低或消除对实施更具体控制活动的需要。

4．小型被审计单位通常员工较少，这可能限制职责分离的可行程度。然而，在业主管理的小型被审计单位中，业主兼经理可能能够实施比大型被审计单位更有效的监督。这种更高程度的管理层监督，需要与管理层凌驾于控制之上的更大的可能性相权衡。

二、值得关注的内部控制缺陷（参见本准则第六条和第九条）

5．内部控制的一个缺陷或多个缺陷的组合的重要性，不仅取决于是否实际发生了错报，而且取决于错报发生的可能性和错报的潜在重要程度。因此，即使注册会计师在审计过程中没有发现错报，也可能存在值得关注的内部控制缺陷。

6．在确定内部控制的一个缺陷或多个缺陷的组合是否构成值得关注的内部控制缺陷时，注册会计师可能考虑下列主要事项：

（1）缺陷在未来导致财务报表重大错报的可能性；

（2）资产或负债易于发生损失或舞弊的可能性；

（3）在确定估计金额时的主观性和复杂性，如公允价值会计估计；

（4）受缺陷影响的财务报表金额；

（5）受缺陷影响的账户余额或某类交易已经或可能发生的业务量；

（6）与财务报告过程相关的控制（包括其重要性），例如： ① 一般监督控制（如管理层的监督）；

② 对防止和发现舞弊的控制；

③ 对选择和运用重大会计政策的控制；

④ 对重大关联方交易的控制；

⑤ 对超出被审计单位正常经营过程的重大交易的控制；

⑥ 对期末财务报告流程的控制（如对非常规会计分录的控制）；

（7）发现的由于控制缺陷导致的例外事项的原因与频率；

（8）内部控制中某一缺陷与其他缺陷的相互影响。

7．表明存在值得关注的内部控制缺陷的迹象举例如下：

（1）控制环境无效的证据，例如：

①与管理层经济利益相关的重大交易没有得到治理层适当审查； ②识别出被审计单位内部控制未能防止的管理层舞弊（无论是否重大）；

③管理层未能对以前已经沟通的值得关注的内部控制缺陷采取适当的纠正措施；

（2）被审计单位内部缺乏通常应当建立的风险评估过程；

（3）被审计单位风险评估过程无效的证据，例如，管理层未能识别出注册会计师预期被审计单位的风险评估过程应当识别出的重大错报风险；

（4）没有有效应对识别出的特别风险的证据（如缺乏针对这种风险的控制）；

（5）注册会计师实施程序发现的、被审计单位的内部控制未能防止或发现并纠正的错报；

（6）重述以前公布的财务报表，以更正由于错误或舞弊导致的重大错报；

（7）管理层无力监督财务报表编制的证据。

8．得到恰当设计的控制可能单独运行或组合运行，以有效地防止或发现并纠正错报。例如，针对应收账款的控制可能包括自动化控制和手工控制，这两种控制共同运行以防止或发现并纠正账户余额中的错报。内部控制某个缺陷本身可能不足以构成值得关注的内部控制缺陷。但是，影响相同账户余额或披露、相关认定或内部控制要素的多个缺陷的组合，可能增加错报风险，以至于达到导致值得关注的内部控制缺陷的程度。

9．法律法规可能要求（尤其是针对上市实体的审计）注册会计师向治理层或相关机构或人员（如监管机构）通报在审计过程中识别出的特定类型的内部控制缺陷。如果法律法规对这些类型的缺陷规定了具体条件和定义，并要求注册会计师运用这些条件和定义以达到通报的目的，注册会计师在按照法律法规的要求通报时需要运用这些条件和定义。

10．如果法律法规对需要通报的内部控制缺陷的类型规定了具体条件，但没有对这些条件给出定义，注册会计师可能有必要运用判断来确定根据法律法规要求需要进一步沟通的事项。在这个过程中，注册会计师可能认为考虑本准则及应用指南的规定和要求是适当的。例如，如果法律法规的目的在于提请治理层关注其应当关注的特定内部控制事项，将这些事项视同本准则要求沟通的值得关注的内部控制缺陷可能是适当的。

11．尽管法律法规可能要求注册会计师运用具体的条件或定义，但是本准则的要求同样适用。

三、通报内部控制缺陷

（一）向治理层通报值得关注的内部控制缺陷（参见本准则第十

条）

12．以书面形式向治理层通报值得关注的内部控制缺陷，可以反映这些事项的重要性，有助于治理层履行监督责任。《中国注册会计师审计准则第1151号——与治理层的沟通》规定了当治理层全部成员参与管理被审计单位时注册会计师与治理层沟通的相关考虑。

13．在确定何时致送书面沟通文件时，注册会计师可能考虑收到这些沟通文件是否是使治理层能够履行监督责任的重要因素。对于上市实体，治理层可能需要在批准财务报表前收到注册会计师的书面沟通文件，以履行出于监管或其他目的与内部控制有关的特定责任。对于其他实体，注册会计师可能会在较晚的日期致送书面沟通文件。但是，在后一种情形下，由于注册会计师关于值得关注的内部控制缺陷的书面沟通文件构成最终审计档案的一部分，书面沟通文件受到及时完成最终审计档案归档要求的约束。《中国注册会计师审计准则第1131号——审计工作底稿》规定，审计工作底稿的归档期限为审计报告日后六十天内。

14．无论在何时以书面形式通报值得关注的内部控制缺陷，注册会计师都可以尽早向管理层和治理层（如适用）口头通报这些事项，以便帮助他们及时采取纠正措施以降低重大错报风险。但是，这么做并不减轻注册会计师根据本准则的要求以书面形式通报值得关注的内部控制缺陷的责任。

15．通报值得关注的内部控制缺陷的详细程度，需要注册会计师根据具体情况作出职业判断。在确定通报的详细程度时，注册会计师可能考虑下列主要因素：

（1）被审计单位的性质。例如，对于公众利益实体，通报的要

求可能不同于非公众利益实体；

（2）被审计单位的规模和复杂程度。例如，对于复杂实体，通报的要求可能不同于经营简单业务的实体；

（3）注册会计师识别出的值得关注的内部控制缺陷的性质；

（4）被审计单位治理层的构成。例如，如果治理层包括缺乏被审计单位所在行业或影响领域的经验的成员，通报可能需要更加详细；

（5）法律法规对通报特定类型的内部控制缺陷的规定。

16．管理层和治理层可能已经注意到注册会计师在审计过程中识别出的值得关注的内部控制缺陷，并且可能由于成本或其他方面的考虑而选择不纠正这些缺陷。评价纠正措施的成本和效益是管理层和治理层的责任。无论管理层和治理层在确定是否纠正这些缺陷时如何考虑相关的成本或其他因素，本准则第十条的要求都适用。

17．如果仍未采取纠正措施，注册会计师在以前审计中向治理层和管理层通报过值得关注的内部控制缺陷这一事实，并不能降低注册会计师再次通报的必要性。如果以前通报过的值得关注的内部控制缺陷依然存在，当期通报可以重复以前通报中的描述，或简单提及以前的通报。注册会计师可以询问管理层或治理层（如适用）为何该缺陷尚未得到纠正。如果缺乏合理的解释，未能采取措施本身就可能代表一个值得关注的内部控制缺陷。

对小型被审计单位的特殊考虑

18．对于小型被审计单位的审计，注册会计师可以以相对于大型被审计单位而言不太正式的方式与治理层沟通。

（二）向管理层通报内部控制缺陷（参见本准则第十一条）

19．通常情况下，适当层级的管理层是有责任和权力评价内部控制缺陷并采取必要纠正措施的人员。对于值得关注的内部控制缺陷，适当的层级可能是首席执行官或首席财务官（或类似人员）。对于内部控制其他缺陷，适当的层级可能是更直接地参与所影响的领域并有权采取适当纠正措施的负责被审计单位运营的管理层。

向管理层通报值得关注的内部控制缺陷（参见本准则第十一条第一款第（一）项）

20．某些识别出的值得关注的内部控制缺陷，可能引发对管理层的诚信或胜任能力的质疑。例如，可能存在管理层舞弊或有意违反法律法规的证据，或者管理层可能无力监督相关财务报表的编制。因此，直接向管理层通报这些缺陷可能是不适当的。

21．《中国注册会计师审计准则第1142号——财务报表审计中对法律法规的考虑》对报告识别出的或怀疑存在的违反法律法规行为作出规定。《中国注册会计师审计准则第1141号——财务报表审计中与舞弊相关的责任》对注册会计师识别出的或怀疑存在的舞弊涉及管理层时向治理层的通报作出规定。

向管理层通报内部控制的其他缺陷（参见本准则第十一条第一款第（二）项）

22．在审计过程中，注册会计师可能识别出虽不构成值得关注的内部控制缺陷，但可能足够重要、值得管理层关注的内部控制其他缺陷。确定哪些是值得管理层关注的其他缺陷，需要注册会计师根据具体情况作出职业判断。注册会计师在作出判断时，需要考虑这些缺陷可能导致财务报表错报的可能性和错报的潜在重要程度。

23．通报值得管理层关注的内部控制其他缺陷不需要采取书面形

式，可以采取口头形式。如果已与管理层讨论了审计结果中的事实和情况，注册会计师可以认为在进行讨论的同时已向管理层口头通报了这些其他缺陷。因此，此后不需要再进行正式通报。

24．如果注册会计师已在上期向管理层通报了值得关注的内部控制缺陷以外的其他内部控制缺陷，并且管理层出于成本或其他方面的原因而选择不纠正这些缺陷，注册会计师没有必要在本期重复通报。如果其他机构或人员以前曾向管理层通报过这些缺陷，注册会计师也不必重复通报这些信息。但是，如果管理层发生变化，或注册会计师注意到新信息使注册会计师和管理层改变以前对该缺陷的理解，注册会计师重新通报这些其他缺陷可能是适当的。管理层未能纠正以前通报过的内部控制其他缺陷，可能变成需要与治理层沟通的值得关注的内部控制缺陷。是否属于这种情况，需要注册会计师根据具体情况作出判断。

25．在某些情况下，治理层可能希望了解注册会计师已向管理层通报的内部控制其他缺陷的细节，或希望被简要告知其他缺陷的性质。此外，注册会计师也可能认为将向管理层通报过的其他缺陷告知治理层是适当的。无论哪种情形，注册会计师都可以在适当时以口头或书面形式向治理层报告。

26．《中国注册会计师审计准则第1151号——与治理层的沟通》规定了当治理层全部成员参与管理被审计单位时与治理层沟通的相关考虑。

（三）对公共部门实体的特殊考虑（参见本准则第十条和第十一条）

27．执行公共部门实体审计的注册会计师在通报审计过程中识别

出的内部控制缺陷方面可能承担额外的责任，表现为在详细程度和通报对象方面超出本准则的规定。例如，可能需要向立法机构或其他主管部门通报值得关注的内部控制缺陷。法律法规或其他权威部门可能强制要求注册会计师报告内部控制缺陷，无论其潜在影响是否重大。进一步讲，法律法规可能要求注册会计师报告比本准则要求沟通的内部控制缺陷更广泛的内部控制相关事项，如与遵守法律法规或合同协议条款有关的控制。

（四）值得关注的内部控制缺陷的书面沟通文件的内容（参见本准则第十二条）

28．在解释值得关注的内部控制缺陷的潜在影响时，注册会计师不需要将这些后果量化。注册会计师可以出于报告目的将值得关注的内部控制缺陷分类汇总，还可以在书面沟通文件中包括针对该缺陷提出的纠正措施、管理层已采取或拟采取的应对措施，并说明注册会计师是否证实管理层是否已采取应对措施。

29．注册会计师可能认为将下列信息包含在通报内容中是适当的：

（1）如果对内部控制实施了更广泛的程序，注册会计师可能识别出更多的需要报告的缺陷，或认为已报告的某些缺陷实际上不需要报告；

（2）这种通报是为治理层提供的，可能不适用于其他目的。

30．法律法规可能要求注册会计师或管理层向适当的监管机构提交注册会计师关于值得关注的内部控制缺陷的书面沟通文件的副本。在这种情况下，注册会计师可以在书面沟通文件中注明这些监管机构。