實務公告2130-1 評估控制程序的適當性

　　主要相關標準：

　　2130-控制

　　內部審計部門必須評估控制的效果和效率，并促進控制持續(xù)改進，從而協(xié)助組織維持有效的控制。

　　1、組織建立和維持有效的風險管理科控制程序。控制程序的目的是在風險管理和實現(xiàn)組織既定目標方面提供支持。控制程序主要用于確保：

　　●財務和運營信息的可靠性與完整性；

　　●運營的效率和效果；

　　●資產的安全；

　　●對法律、法規(guī)及合同遵守。

　　2、高級管理層的任務之一是監(jiān)督風險管理系統(tǒng)和控制程序的建立、管理和評估。一箱管理人員的職責之一是評估所在領域的控制程序。內部審計師為組織所選工作和部門的風險管理及控制程序的有效性提供不同程度的確認。

　　3、首席審計執(zhí)行官對控制程序的適當性和有效性發(fā)表總體意見。首席審計執(zhí)行官通過實施審計和適當信賴其他確認服務提供者的工作來取得足夠證據(jù)，并據(jù)此發(fā)表意見。首席審計執(zhí)行官就該意見與高級管理層和董事會溝通。

　　4、首席審計執(zhí)行官制定年度審計計劃草案，以獲取充分證據(jù)，評估控制程序的有效性。

　　計劃包括省級業(yè)務和/或其他程序，應以獲取評估所有主要運營部門和業(yè)務部門的充分、適當?shù)膶徲嬜C據(jù)，同時檢察主要控制程序在組織內的運行情況。計劃應該靈活，以便根據(jù)管理戰(zhàn)略、外部條件、主要風險領域的變化或對組織實現(xiàn)目標期望的修改而進行調整。

　　5、審計計劃要特別考慮至易受到近期或意外變化影響的運營領域。這些領域的變化可能源自市場或投資環(huán)境、收購或過戶、重組、新系統(tǒng)和新風險。

　　6、在確定所提議的審計計劃的覆蓋面時，首席審計執(zhí)行官要考慮其他高級管理層提供確認的人（如企業(yè)合規(guī)人員）開展的相關工作，同時要考慮外部審計師完成的審計工作和管理層對組織風險管理過程、控制和質量改進程序的自我評價。

　　7、首席審計執(zhí)行官應該評估所提議的審計計劃的覆蓋面的廣度，以確定審計范圍是否足以支持審計師對組織的風險管理和控制程序達成審計意見。如果在審計范圍方面存在任何可能阻礙審計師達成意見的缺陷，首席審計執(zhí)行官應當告知高級管理層和董事會。

　　8、內部審計部門所面臨的主要挑戰(zhàn)是在許多單項評估匯總的基礎上評估組織控制程序的有效性。這些評估主要來源于內部審計業(yè)務、管理層的自我評估檢查和其他相關確認服務提供者。隨著業(yè)務的開展，內部審計師應該及時與適當管理層溝通業(yè)務發(fā)現(xiàn)，以便采取改進措施，糾正或減緩說發(fā)現(xiàn)的控制差異、缺陷及其后果。

　　9、在評估組織控制程序的總體效果時，首席審計執(zhí)行官應該考慮以下因素：

　　●是否發(fā)現(xiàn)重大差異或缺陷；

　　●發(fā)現(xiàn)后是否進行了糾正或改進；

　　●能否從這一發(fā)現(xiàn)及潛在后果中得出一個結論，即無法接受的風險水平普遍存在。

　　10、重大差異或缺陷的存在不一定必然得出類似情形普通存在且將為組織帶來無法接受的風險的結論。內部審計師在確定控制程序有效性是否受到危害和是否存在無法接受的風險時，既要考慮風險發(fā)現(xiàn)的性質和范圍，也要考慮潛在后果的大小。

　　11、首席審計執(zhí)行官通常每年向高級管理層和董事會提交關于組織控制程序的報告。該報告表明控制程序在實現(xiàn)組織目標方面所起的主要作用，同時闡述內部審計部門開展工作的性質和范圍，以及在形成意見時所依賴的其他確認服務提供者的工作性質和范圍。

　　相關鏈接：國際內審師(CIA)紅皮書2009年1月修訂版匯總