1、.理解內(nèi)部控制那些能夠準(zhǔn)確解釋COSO內(nèi)部控制框架的審計(jì)師為管理層提供了巨大的價(jià)值。 內(nèi)部控制知識(shí)是內(nèi)部審計(jì)技能中最基本的。然而，內(nèi)部控制不是由審計(jì)師負(fù)責(zé)，而是由管理層負(fù)責(zé)。審計(jì)師負(fù)責(zé)為管理層提供有關(guān)內(nèi)部控制如何運(yùn)行的信息。美國(guó)內(nèi)部控制的正式定義是由“反虛假財(cái)務(wù)報(bào)告委員會(huì)”發(fā)起成立的一個(gè)贊助組織委員會(huì)（COSO）在“內(nèi)部控制整體框架”的研究報(bào)告中提出的。審計(jì)師必須能夠解釋這個(gè)框架，從而幫助管理層完成他們的職責(zé)。 定義內(nèi)部控制 根據(jù)COSO委員會(huì)的定義，內(nèi)部控制是為達(dá)到目標(biāo)提供合理保證而設(shè)計(jì)的過(guò)程。具體來(lái)說(shuō)，是為了達(dá)到提供可靠財(cái)務(wù)報(bào)告、遵循法律法規(guī)和提高經(jīng)營(yíng)效率效果等目標(biāo)。COSO內(nèi)部控制框架中

2、，管理層需要履行的職責(zé)包括5個(gè)步驟或要素。COSO將內(nèi)部控制要素以一個(gè)金字塔結(jié)構(gòu)提出，其中控制環(huán)境作為金字塔的最底部，風(fēng)險(xiǎn)評(píng)估和控制活動(dòng)位于上一層次，信息和溝通接近頂部，監(jiān)督處于最頂端。 控制環(huán)境控制環(huán)境不僅包括非正式的，經(jīng)常是無(wú)形的軟控制，例如道德價(jià)值觀，誠(chéng)信原則，管理哲學(xué)，勝任的能力等，同時(shí)還包括組織結(jié)構(gòu)和職責(zé)劃分等更為正式的控制。控制的其他要素發(fā)揮作用都依賴于這一基礎(chǔ)的可靠性。當(dāng)經(jīng)濟(jì)景氣，公司股價(jià)持續(xù)較高時(shí)，金字塔底部的任何弱點(diǎn)可能都不會(huì)明顯。然而，當(dāng)經(jīng)濟(jì)低迷時(shí)，控制環(huán)境就可能會(huì)受到來(lái)自管理層對(duì)于持續(xù)盈利，獎(jiǎng)金紅利以及其他一些短期目標(biāo)的期望的壓力。所以在經(jīng)濟(jì)景氣時(shí)期內(nèi)部控制尚且還可以，但

3、在經(jīng)濟(jì)低迷時(shí)則需要加強(qiáng)。管理層和內(nèi)部審計(jì)師需要理解處于金字塔底部各因素的狀況，但不是為了改變它們，而是要考慮它們對(duì)于其他控制要素的影響。許多軟控制的特性在于只能由員工自己對(duì)其進(jìn)行評(píng)價(jià)。為了能理解控制環(huán)境，審計(jì)師訪問(wèn)員工，使用自我評(píng)價(jià)工作坊和問(wèn)卷調(diào)查等方法。當(dāng)審計(jì)報(bào)告中包含非正式控制，這些自我評(píng)價(jià)的結(jié)果就成為支持非正式控制狀況的證據(jù)。 風(fēng)險(xiǎn)評(píng)估在風(fēng)險(xiǎn)評(píng)估過(guò)程中，管理層識(shí)別并分析實(shí)現(xiàn)其目標(biāo)過(guò)程中所面臨的風(fēng)險(xiǎn)，從而制定決定如何管理風(fēng)險(xiǎn)的制度基礎(chǔ)。管理層應(yīng)該在審計(jì)師開始審計(jì)之前，識(shí)別那些重大的風(fēng)險(xiǎn)，并基于這些風(fēng)險(xiǎn)發(fā)生的可能性和影響采取措施緩和這些風(fēng)險(xiǎn)。隨后，審計(jì)師對(duì)這一風(fēng)險(xiǎn)評(píng)估過(guò)程進(jìn)行評(píng)價(jià)。期望風(fēng)險(xiǎn)評(píng)

4、估能夠保證完全地識(shí)別并提出所有的風(fēng)險(xiǎn)是不可行的。風(fēng)險(xiǎn)評(píng)估過(guò)程中討論的目的是為了控制，即由一組人討論決定如何處理與某一目標(biāo)有關(guān)的三、四個(gè)重要風(fēng)險(xiǎn)。控制是實(shí)際的討論，不是風(fēng)險(xiǎn)的結(jié)果列示。隨著小組成員對(duì)于如何處理風(fēng)險(xiǎn)的討論，他們開始能夠更好地理解目標(biāo)，提高處理其他未知風(fēng)險(xiǎn)的能力。無(wú)論是審計(jì)師或是其他人都不能代替負(fù)責(zé)實(shí)現(xiàn)組織目標(biāo)的經(jīng)理人員和員工進(jìn)行風(fēng)險(xiǎn)評(píng)估。然而，審計(jì)師可以對(duì)經(jīng)理和員工進(jìn)行風(fēng)險(xiǎn)評(píng)估技術(shù)培訓(xùn)，使工作坊在協(xié)助識(shí)別和管理風(fēng)險(xiǎn)以及幫助組織建立起一套在評(píng)估中使用的通用風(fēng)險(xiǎn)語(yǔ)言方面變得更容易。 控制活動(dòng)控制活動(dòng)是指確保管理層的指令得以實(shí)現(xiàn)的機(jī)制，包括那些被識(shí)別能夠緩和風(fēng)險(xiǎn)的活動(dòng)。這些控制很大程度上

5、是基于審批活動(dòng)。運(yùn)輸貨物、支付帳單、等待客戶定單、購(gòu)買資產(chǎn)等活動(dòng)都需要實(shí)施具體的，基于活動(dòng)的控制。所以要求具備大量的有關(guān)特定活動(dòng)的知識(shí)來(lái)決定應(yīng)該實(shí)施怎樣的針對(duì)性控制。COSO控制框架提出風(fēng)險(xiǎn)控制矩陣，分析企業(yè)經(jīng)營(yíng)目標(biāo)、風(fēng)險(xiǎn)和控制。這個(gè)矩陣只是建立控制活動(dòng)的一種方法。其他建立控制活動(dòng)的方法還有流程圖；分析業(yè)務(wù)輸入、處理、輸出的完整性、準(zhǔn)確性、授權(quán)、及時(shí)性以及維護(hù)狀況；對(duì)內(nèi)分析自身的優(yōu)勢(shì)與劣勢(shì)，對(duì)外分析外界的機(jī)會(huì)和威脅的SWOT分析等。甚至還存在完整的框架或模型可以適用于該要素。例如，信息及相關(guān)技術(shù)的控制目標(biāo)（COBIT）、系統(tǒng)保證與控制（SAC）、全面質(zhì)量管理（TQM）以及系統(tǒng)開發(fā)生命周期（SD

6、LC）就是幾種基于活動(dòng)的控制機(jī)制。COSO框架并不是要代替這些控制活動(dòng)，它所做的是要指出需要控制的活動(dòng)，然后由管理層決定選取一種最好的方法來(lái)完成這一指令。 信息與溝通COSO框架的第四個(gè)控制要素是信息與溝通。信息是指員工能夠獲得其工作中所需要的信息，溝通是指信息向上的、向下的、橫向的、在組織內(nèi)外自由的流動(dòng)。同控制環(huán)境相同，審計(jì)師如果不事先訪問(wèn)員工是不能對(duì)這一要素做出評(píng)價(jià)的。因而，自我評(píng)價(jià)過(guò)程常常用來(lái)收集審計(jì)證據(jù)。 監(jiān)督控制的監(jiān)督要素包括經(jīng)理人員日常的監(jiān)督，審計(jì)師和其他群體定期的審核以及經(jīng)理人員用以揭示和糾正已知的缺陷與不足的程序。監(jiān)督可以用來(lái)保證其他控制的運(yùn)行，這也就解釋了為什么內(nèi)部審計(jì)被看作

7、是監(jiān)督的一部分。 誰(shuí)控制？ 管理層負(fù)責(zé)內(nèi)部控制。簡(jiǎn)單回顧一下控制的五要素就不難理解了。管理層對(duì)于一個(gè)部門的控制環(huán)境最具影響力。他們制定經(jīng)營(yíng)目標(biāo)，幫助員工理解目標(biāo)，鼓勵(lì)員工對(duì)實(shí)現(xiàn)目標(biāo)過(guò)程中面臨的風(fēng)險(xiǎn)進(jìn)行討論。管理層實(shí)施控制活動(dòng)以確保每個(gè)人都執(zhí)行其指令，并負(fù)責(zé)使部門內(nèi)的溝通以及信息的流動(dòng)變得更容易。最后，管理層還要提供日常的監(jiān)督。因而，如果管理層贊成COSO的定義，他們就應(yīng)該贊成控制是其主要責(zé)任之一的觀點(diǎn)。審計(jì)師通過(guò)向管理層解釋什么是內(nèi)部控制，并集中將COSO作為采用許多其他控制和管理機(jī)制的框架使管理層的這種贊同變得更同意了。審計(jì)師還應(yīng)該說(shuō)明控制的存在是如何幫助實(shí)現(xiàn)企業(yè)的基本經(jīng)營(yíng)目標(biāo)，如服務(wù)客戶、銷售產(chǎn)品，保障資產(chǎn)安全等。最后，