1、控制缺陷评价,主讲人：普华永道中天会计师事务所 季瑞华 2011年11月北京,议 题,控制缺陷的定义和评价原则 具体控制缺陷评价 控制缺陷评价示例 总结,2,议 题,控制缺陷的定义和评价原则,3,内部控制缺陷评价的要求,内部控制缺陷包括设计缺陷和运行缺陷 企业内部控制评价指引第十六条 内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷 企业内部控制评价指引第十七条,4,内部控制缺陷评价的要求,内部控制缺陷按其成因分为设计缺陷和运行缺陷，按其影响分为重大缺陷、重要缺陷和一般缺陷 注册会计师应当评价其识别的各项内部控制缺陷的严重
2、程度，已确定这些缺陷单独或组合起来，是否构成重大缺陷 企业内部控制审计指引第二十条,5,控制缺陷评价的要求,控制的设计或运行不能在正常过程中防止或发现财务报告错报 内部控制缺陷按严重程度分级： 一般缺陷 重要缺陷 重大缺陷 对缺陷单独评价及组合起来评价其严重程度,6,重大缺陷的定义,重大缺陷： 一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形 重要缺陷： 是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形 一般缺陷： 是指除重大缺陷、重要缺陷之外的其他控制缺陷 企业内部控制评价指引第十二条,7,重大缺陷定义实际使用的挑战,偏离控制目
3、标：什么目标？ 企业战略 经营效率和效果 财务报告及管理信息真实、可靠和完整 资产的安全完整 遵循法律法规和监管要求,经济后果：怎样去判断经济后果？ 实际后果 可能的后果 评价依据的： 客观性 一致性,8,对重大缺陷定义的 进一步细化的建议,财务报告和信息披露合规、资产安全： 重大缺陷是内部控制中存在的、具有合理可能性导致不能及时防止或发现企业年度或季度财务报表，包括附注，出现重大错报的一项缺陷或多项缺陷的组合 重大错报可以财务报告重要性水平为依据,9,对重大缺陷定义的 进一步细化的建议,战略、经营效率效果、资产安全、合规： 重大缺陷是内部控制中存在的、具有合理可能性导致不能及时防止或发现潜在
4、对企业年度或季度财务报表，包括附注，出现重大负面影响的一项缺陷或多项缺陷的组合 重大负面影响可以财务报告重要性水平为依据 合规： 监管机构的某些罚款或处罚，虽然未必对财务报告有重大的影响，但仍可以被视为重大缺陷,10,重大缺陷的迹象,包括但不限于： 财务报告的重报 一个或多个审计调整的结合，而超过审计重要性水平 公司编制财务报告能力的局限 高级管理层的舞弊行为 高级管理层的定义 关键监督职能（如审计委员会、监事会）无效,11,衡量的指标,原则 是否构成审计基准日财务报告内部控制的重大缺陷 衡量重大缺陷的定量标准： 财务报告重要性水平 衡量重大缺陷的定性标准： 事实依据 职业判断,12,议 题,
5、具体控制缺陷评价,13,内部控制缺陷评价决策树,为帮助具一定知识和经验的注册会计师以相同的方式来评价缺陷 程序图从工作流的角度，以线性渐进的方式介绍缺陷评价的流程,14,内部控制缺陷评价决策树,实际操作中，缺陷的评价是一个反复的过程，需要在程序图相关步骤中不断根据新取得的信息重新审视并考虑以前的步骤和分析判断是否充分适当 缺陷评价是一个需要大量判断的思考过程，机械地应用程序图并不一定会得出正确的结论,15,财务报告内部控制缺陷评价 决策树步骤说明,步骤一：该缺陷是否与实现一个或多个财务报告认定直接相关 与财务报告认定间接相关的控制通常是那些为促进其他控制有效运行的控制，以作为财务报告内部控制整
6、体设计的一部分 一些公司层面控制和信息系统总体控制也可能与一个或多个财务报告认定直接相关,16,财务报告内部控制缺陷评价 决策树步骤说明,步骤一：该缺陷是否与实现一个或多个财务报告认定直接相关（续） 注册会计师在评估与财务报告认定只是间接相关的控制缺陷的严重性时，应当考虑由此缺陷（或同类缺陷的汇总影响）导致的可能出现或已经出现的其他控制缺陷的可能性和重大程度 在评估信息系统总体控制缺陷时，注册会计师应当针对在其基础上运行的系统自动控制的可靠性，考虑单独或结合的影响,17,财务报告内部控制缺陷评价 决策树步骤说明,步骤一：该缺陷是否与实现一个或多个财务报告认定直接相关（续） 与财务报表认定直接相
7、关： 多为业务层面控制，包括人工或自动控制 与财务报表认定直接相关的企业层面控制缺陷，如：年度财务报告编制、经营活动分析等 支持一个或多个财务报表认定相关的信息系统一般控制,18,财务报告内部控制缺陷评价 决策树步骤说明,步骤一：该缺陷是否与实现一个或多个财务报告认定直接相关（续） 与财务报表认定间接相关： 信息系统一般控制 与财务报表认定不直接相关的企业层面控制，如人力资源、企业文化等,19,财务报告内部控制缺陷评价 决策树步骤说明,步骤二：此缺陷是否存在合理的可能性导致财务报告错报 注册会计师需要评估缺陷（无论单独或汇总）导致财务报告错报的可能性； 在注册会计师在分析财务报告内部控制缺陷的
8、严重程度时需要考虑： （1）内部控制缺陷导致账户余额或列报错报的可能性,20,财务报告内部控制缺陷评价 决策树步骤说明,步骤二：此缺陷是否存在合理的可能性导致财务报告错报（续） （2）一个或多个内部控制缺陷的组合导致潜在错报的金额大小。步骤二和步骤三分别讨论如何从错报可能性和重要性两个维度评价财务报告内部控制缺陷的严重程度。 注册会计师不需要对“可能性”进行定量评估，进行合理的定性判断就已足够 ； 注册会计师在工作底稿中必须详细记录分析的过程和判断的依据。,21,财务报告内部控制缺陷评价 决策树步骤说明,步骤二：此缺陷是否存在合理的可能性导致财务报告错报（续） 注册会计师在评价一个缺陷或缺陷汇
9、总是否存在合理的可能性导致财务报表错报时，需要考虑的因素包括但不仅限于： 账户，列报和相关认定的性质；比如，非常规交易和关联交易可能涉及较大风险。 相关资产或负债对损失或舞弊的敏感程度，即越敏感，风险就越大。,22,财务报告内部控制缺陷评价 决策树步骤说明,步骤二：此缺陷是否存在合理的可能性导致财务报告错报（续） 确定涉及金额所需判断的程度及其主观性和复杂性，即所需判断越多（如与会计估计有关），主观性复杂性越强，则风险也越大。 在控制执行有效性测试中发现的控制偏差的产生原因和频率。,23,财务报告内部控制缺陷评价 决策树步骤说明,步骤三：此缺陷或缺陷汇总可能导致的错报是否对财务报告构成重大影响
10、？ 注册会计师在分析了内部控制缺陷导致财务报表错报的可能性后，还需要分析其导致错报的重大程度。 注册会计师需要对控制缺陷或缺陷汇总可能导致的财务报表错报进行估算，与财务报表重要性水平比较，判断内部控制缺陷导致的错报是否对财务报告构成重大影响。,24,财务报告内部控制缺陷评价 决策树步骤说明,步骤三：此缺陷或缺陷汇总可能导致的错报是否对财务报告构成重大影响？（续） 注册会计师在评价缺陷的重大程度时，必须考虑实际或潜在错报对年度财务报告的影响。注册会计师在计算错报影响时应当考虑的因素包括但不限于： （1）受内部控制缺陷影响的账户余额或相关交易发生的总额； （2）本期或预计未来期间受内部控制缺陷影响
11、的账户余额或交易的交易量。,25,财务报告内部控制缺陷评价 决策树步骤说明,步骤四：是否存在有效运行的补偿性控制可以预防或发现年度财务报告重大错报？ 注册会计师应当评估补偿性控制，决定已确认的控制缺陷或缺陷汇总是否存在合理的可能性导致财务报告错报。 为了得出补偿性控制有效运行的结论，注册会计师应当获取其运行有效的证据,26,财务报告内部控制缺陷评价 决策树步骤说明,步骤四：是否存在有效运行的补偿性控制可以预防或发现年度财务报告重大错报？（续） 以一定程度的精确性有效运行的补偿性控制，单独或组合起来，将可能预防或发现财务报告错报，因而会减少或者减轻已确认的控制缺陷所导致的财务报告错报的严重程度
12、注册会计师可以在评估控制缺陷严重性之前适当考虑补偿性控制,27,财务报告内部控制缺陷评价 决策树步骤说明,步骤五：缺陷（或缺陷汇总）的重要程度是否足以引起相关业务主管负责人的重视 注册会计师需要运用职业判断，评估缺陷的重要程度是否足以引起企业相关监管人员的关注，同时也要考虑与此缺陷或缺陷汇总相关的公司特有的事实和环境。,28,财务报告内部控制缺陷评价 决策树步骤说明,步骤五：缺陷（或缺陷汇总）的重要程度是否足以引起相关业务主管负责人的重视（续） 主要关注点： 内部控制缺陷在前期已存在并被确认为重要缺陷或实质性漏洞重大缺陷； 内部控制缺陷存在于公司新兴业务或高风险业务中； 内部控制缺陷存在于对管
13、理层/审计委员会而言属于高度关注的范围内。例如，存在一些特殊单位和业务（如期货交易）。 否：一般缺陷,29,财务报告内部控制缺陷评价 决策树步骤说明,步骤六：一个足够知情、有胜任能力并且客观的人员是否能得出该缺陷（或缺陷汇总）为重大缺陷的结论 在评估一个缺陷或控制缺陷汇总的严重性时，注册会计师应当考虑一个足够知情的、有胜任能力的、并且客观的管理人员是否会认为此控制缺陷（或缺陷汇总）为重大缺陷 如果存在产生重大错报的风险相当高的情况，此控制缺陷或缺陷汇总应当被视为可能存在重大缺陷 是：重大缺陷 否：重要缺陷,30,财务报告内部控制缺陷评价 决策树步骤说明,步骤七：在考虑了所有的情况（包括定性因素
14、）后，是否能够得出此特殊事项并不代表控制缺陷的结论？ 某些情况（如重大审计调整、重述以前年度已公布的财务报告）可能并不是由控制缺陷本身导致的。 这些情况通常包含了特有的事实和环境，并且被定性的因素所影响，例如： 当公司管理层已经建立了合理的方式使用会计准则，而且相关控制的设计是合理的、运行是有效的，注册会计师可以合理地认为控制并没有失效,31,财务报告内部控制缺陷评价 决策树步骤说明,步骤七：在考虑了所有的情况（包括定性因素）后，是否能够得出此特殊事项并不代表控制缺陷的结论？（续） 但当发生重大审计调整、重述以前年度已公布的财务报告时，不认为存在控制失效的情形是很少的，注册会计师必须基于每家公
15、司特有的事实和环境进行慎重考虑，并且进行小心地评估和咨询 是：无缺陷 否：重大缺陷,32,缺陷评价注意点,对控制缺陷严重程度的评估应当同时包括定性和定量的因素 可以通过考虑公司的控制无法及时预防或者发现某个财务报告金额或披露的重大错报的可能性，来评估某个控制缺陷的严重程度，同时还要考虑到由于这一个或者多个缺陷造成的潜在错报的金额 控制缺陷的严重程度依赖于公司的控制是否无法及时预防或者发现偏离某个控制目标，而不取决于是否出现目标偏离（如财务报告是否发生错报）,33,缺陷评价注意点,风险因素会对一个缺陷或者多个缺陷的组合是否可能造成控制目标的偏离（财务报表金额或披露相关的错报）无法被及时预防或者发
16、现产生影响 这些因素包括，但不限于以下方面： 相关领域的性质（如财务报告要素、认定） 相关资产与负债相对于亏损和舞弊行为的脆弱程度 确定涉及的领域（如帐目金额）所需要的判断的主观性、复杂性、或者判断的范围 控制措施与其它控制措施的相互作用或者相互关系，包括它们是否相互依赖或者存在冗余 缺陷之间的相互作用 这种缺陷在将来可能造成的后果,34,缺陷评价注意点,可能由于控制中存在某个缺陷或者多个缺陷而出现的影响错报金额的因素包括但不限于以下方面： 受到缺陷影响的财务报表金额或总的交易数量 出现在当期或预期出现在未来期间的受缺陷影响的科目余额中涉及的交易数量或交易种类,35,缺陷评价注意点,在确定一个
17、控制缺陷或者多个缺陷的组合是否形成重大缺陷时，需要考虑所有相关的信息 应当评估以下情形是否表明控制中存在缺陷，如果存在的话，该缺陷是否是一个重大缺陷： 发现高层管理部门中存在舞弊行为，无论重大与否 为了更正重大错报而对前期财务报表进行了追溯重述 在当期财务报表中发现了重大错报，并且有情况表明该错报没有被公司的内部控制识别出来 公司的审计委员会对公司的外部财务报告以及内部控制的监管不力 等等,36,缺陷评价注意点,在披露中还应考虑包括以下内容： 实质性漏洞的性质 其对公司的财务报告和内部控制的影响 管理层对重大缺陷进行补救的当前计划（如果存在的话）或已经实施的行动 对于重大缺陷的披露是很重要的，
18、但是另外可能还有一些信息也是非常重要和必要的，它们有助于形成一个整体性的描述，避免造成误解,37,议 题,控制缺陷评价示例,38,控制缺陷评价示例 示例1：付款授权背景,重要性水平：2000万元 关键控制活动：对付款发票有适当的审批且有相关的文件对其进行支持 问题总数：该控制活动与大概总共2200万元的发票交易相关 测试目标：选择 25 笔付款并测试它们是否经过了适当的审批，理想状态下应没有异常 测试结果：有一笔付款（与维修维护相关）未经过授权 该例外是控制缺陷么？,39,控制缺陷评价示例 示例1：付款授权,步骤一 ：发现的缺陷是否与实现一个或多个财务报告认定直接相关 是的，涉及到支出的问题，
19、直接影响财务报告 步骤二 ：此缺陷是否存在合理的可能性导致财务报告错报？ 是，付款没有得到审批，有可能导致错报 步骤三：此缺陷或缺陷汇总可能导致的错报是否对财务报告构成重大影响）？ 涉及到支出的问题的总数是2200万元，大于2000万元的指标,40,控制缺陷评价示例 示例1：付款授权,步骤四：是否存在有效运行的补偿性控制可以预防或发现年度财务报告重大错报？ 在维修与维护服务环节中的采购定单审批和发票审批流程中存在权限分离机制（因此需要进行采购定单审批和付款发票审批时需要多人合作进行）（已测试且该控制有效） 对采购定单的审批是与政策一致的（已测试且该控制有效） 成本中心和盈亏状况审阅每月进行；该
20、审阅将实际开销与成本及上季度数据进行对比。对于误差有100万元的差异容忍度，对于差异大于500万元的情况会进行调查（已测试且控制有效）,41,控制缺陷评价示例 示例1：付款授权,步骤五 :缺陷（或缺陷汇总）的重要程度是否足以引起相关业务主管负责人的重视 否判定为一般缺陷,42,控制缺陷评价示例 示例2：月度银行对账背景,重要性水平：2000万元 控制活动：公司每月对其付款账户与银行进行对账 问题总数：本控制与本年度大约总共6000万现金收据以及付款相关 测试目标：选择2笔对账并且确定是否每笔对账都已完成以及是否所有的重大及/或异常事件已进行了调查并及时解决，理想状态下应没有例外 测试结果：两笔
21、银行对账都没有完全完成，存在重大的未对账差异（共计200万元）且差异存在已超过1年,43,控制缺陷评价示例 示例2：月度银行对账,步骤一 ：发现的缺陷是否与实现一个或多个财务报告认定直接相关 是，涉及到银行存款和付款的问题，直接影响财务报告 步骤二 ：此缺陷是否存在合理的可能性导致财务报告错报？ 是，对账没有完成，有可能导致错误不能及时发现 步骤三：此缺陷或缺陷汇总可能导致的错报是否对财务报告构成重大影响）？ 问题总数全部都是交易相关且数量大于6000万元，超过了指标,44,控制缺陷评价示例 示例2：月度银行对账,45,控制缺陷评价示例 示例2：月度银行对账,46,控制缺陷评价示例 示例2：月度银行对账,步骤四：是否存在有效运行的补偿性控制可以预防或发现年度财务报告重大错报？ 会计经理会对每次银行对账进行审核并签字确认，由于经理没有能够发现这些重大的对账错误，因此补偿性控制也被判断为失效 步骤六：一个足够知情、有胜任能力并且客观的人员是否能得出该缺陷（或缺陷汇总）为重大缺陷的结论？ 否：判定为重大缺陷,47,议 题,总结,48,总结,需要对缺陷的核心原因掌握的非常明确 需要非常清晰的思维，明确所评价的缺陷以及相关的控制目标 需要职业判断,49,谢谢！,50,
