AS5控制缺陷评估的实务指南.doc

控制缺陷评估的实务指南
2007 年 7 月

此控制缺陷评估的实务指南，是帮助评估综合审计中发现的与财务报告相关的内部控制缺陷严重程度的工具。此实务指南，与“上市公司监管委员会审计准则5号—与财务报表审计共同进行的内控审计”（PCAOB AS 5, An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements ）中所定的对“可能性”和“重大性”的原则是相一致的，以允许对控制缺陷进行有效的评估。

此外,此实务指南也可以应用于根据“上市公司监管委员会AU 325号，沟通财务报表审计中发现的控制缺陷”（PCAOB AU 325, Communications about Control Deficiencies in an Audit of the Financial Statements）所要求的对上市公司的非综合审计中所发现的控制缺陷的评估。

此实务指南中的概念，对于根据“美国会计师协会AU 325号，沟通审计中发现的内部控制相关事项”（AICPA AU 325, Communicating Internal Control Related Matters Identified in an Audit）对非上市公司审计中发现控制缺陷的评估也有帮助。

此实务指南与审计准则5号相一致，鼓励运用职业判断，提供"定向"的观点和定性因素考虑，而不是“亮线规则”或指令性政策。

此实务指南的使用是被推荐的，因为它讲述了评估控制缺陷的关键原则和概念。如果适用，此实务指南的使用者应该查阅审计准则5号综合审计指南-2007年7月（AS 5 Integrated Audit Guide - July 2007） 、审计准则5号，上市公司监管委员会AU 325 和美国会计师协会AU 325号。

由于运用理性判断，考虑及衡量定量、定性因素的需要，可能导致不同个体在评估相似事实和情况时作出不同的结论。进行控制缺陷评估的时候，对于思维过程，尤其是所涉及的关键判断和得出结论的理由的记录是必要的。对于可能性和重要性，应在评估内部控制缺陷严重程度的记录中给予明确的地考量和陈述。

此实务指南取代了“评估控制例外情况与缺陷的框架” （2004年12月)。

控制缺陷评估的实务指南
2007年7月

第一步：
此缺陷是否与一个或多个财务报告认定的实现直接相关（如：广泛的公司层面控制或某些信息系统总体控制中的缺陷可能只与某些财务报告认定间接相关）？

第三步：
在引起中期或年度财务报告存在潜在错报具备合理可能性（考虑定性和定量因素）的前提下，该错报对财务报告的影响程度是否重大？（AS 5.66 - .67）

无缺陷
（考虑此情况（如重大审计调整、重述以前年度已公布的财务报告）是否需要与负责监督公司财务报告的相关人员进行沟通
重大缺陷
（考虑汇总结果）（AS 5.A11）
实质性漏洞
（AS 5.A7）
第七步：
一个足够知情、胜任并且客观的人员（如谨慎的管理人员）是否能得出此缺陷（或缺陷汇总）为实质性漏洞的结论？（AS 5.70）

否
是
是
是
是
否
否
否
否
控制缺陷
（考虑汇总结果）（AS 5.A3）
第四步：
此缺陷（或缺陷汇总）的重要程度是否足以引起负责监督公司财务报告的相关人员的关注？（AS 5.A11）

否
第六步：
在考虑所有事实和环境，包括定性因素之后，是否能够得出此情况（如重大审计调整、重述以前年度已公布的财务报告）并不代表控制上的缺陷的结论？

否
第五步：
是否存在补偿性控制，并以一定程度的精确性有效运行，足以预防或发现对于中期或者年度财务报告来说可能是重大的错报？（AS 5.68）

是
是
第二步：
由此缺陷（或缺陷汇总）导致错报的情况是否至少具备合理的可能性？（AS 5.64 - .65）

是
第一步

考虑已发现的缺陷与相关财务报告认定的实现是直接相关或只是间接相关

与财务报告认定只是间接相关的控制通常是那些为促进其他控制有效性的控制，以作为财务报告内部控制整体设计的一部分（如：与控制环境相关的公司层面控制 （“ELC”），监督其他控制的公司层面控制，信息系统总体控制 （“ITGC”)）。

一些公司层面控制和信息系统总体控制也可能与一个或多个财务报告认定的实现直接相关。例如，直接的公司层面控制，如具有一定程度的精确性的经营活动分析，并足以预防或发现财务报告的重大错报，所以被认为与一个或多个财务报告认定的实现直接相关。此外，一些信息系统总体控制同时也是应用控制，因而直接支持相关财务报告认定（如：“系统工作日程安排”是一个计算机运行的活动，它可能起到对财务数据完整性和准确性的一个关键控制的作用）。同时，一些事项如在财务流程中存在不适当的应用访问权限、不足够的财务流程方面的职责分工，或是对财务数据的直接访问，通常也被认为与认定的实现直接相关。

评估与财务报告认定的实现只是间接相关的控制缺陷的严重性时，应当考虑由此缺陷（或同类缺陷的汇总影响）导致的可能出现或已经出现的其他控制缺陷的可能性和重大程度。信息系统总体控制的缺陷应当以它们对在其基础上运行的自动应用控制的可靠性考虑单独或合计影响来进行评估。对信息系统总体控制缺陷以严重性分类时，应当考虑的因素包括但不限于：控制缺陷的性质和普遍性；公司系统环境的复杂性以及此缺陷可能影响有关应用控制的可能性；此控制与应用系统和数据的相关性；此缺陷是否与易受损失或舞弊影响的财务科目或披露信息方面的应用系统或数据相关；对于信息系统总体控制的运行有效性方面的已知或已发现的例外情况的原因和频率，以及由被缺陷所影响的应用系统相关的错报历史所证实的更高风险。

第二步

确定是否存在一个控制或者控制汇总的失效（如：已确认的缺陷）导致不能预防或发现科目余额或披露信息的错报的合理可能性

注意AS 5.65提到的是“错报”的可能性，无论单独或汇总，而不是“重大错报”的可能性。在此，我们只需要评估错报的可能性。AS 5.65也提到对可能性的评估不需要对与控制缺陷相关的错报的可能性进行量化。定性的判断就足够了。

某些风险因素将影响一个缺陷或者缺陷汇总所导致的科目余额或披露信息错报是否存在合理的可能性。AS 5.65提供了此类风险因素的例子以供参考。这些因素包括但不仅限于：

· 财务报告科目、披露和相关认定的性质
· 相关资产或负债易受损失或舞弊影响的程度
· 为确定相关金额时所需判断的主观性、复杂性和程度
· 控制与其他控制的相互作用或关系，包括控制是否独立或者是冗余的
· 缺陷的相互影响
· 缺陷所引起的未来可能的后果

在对私有公司的审计中，当评估已确认的控制缺陷是否会导致错报时，可参考AICPA AU 325段落6和段落11。

第三步

影响一个缺陷或多个缺陷可能导致错报的重大程度的因素包括，但不仅限于（AS 5.66）：

· 此缺陷影响的财务报告金额或交易总额
· 此缺陷影响的当期已发生或未来将发生的科目余额或交易类别相关的业务量

评估缺陷的重大程度必须考虑实际或潜在错报对年度和中期财务报告的影响。科目余额或交易总额可能被高估的最大金额通常是已入账的金额，而被低估的金额可能更大。同时，在很多情况下，一个小错报的可能性将比一个大错报的可能性高。在评估重大程度时，应当考虑任何已知的管理层已入账的审计调整或者任何在未调整差异汇总表中记录的金额（实际的错报），以及潜在的错报。

定量的考虑是关系到财务报告错报的发生是否存在合理可能性，并且将不能被单个的控制或多个控制组合所预防或发现，而且对财务报告有数量上的重大影响。定性的考虑包括SAB 99中描述的在评估有关影响财务报告的重大性时所需考虑的因素，以及有关将依赖有关信息的，足够知情、胜任和客观的人员的预期需要而应考虑的其它因素。重要性考虑应当与财务报告内部控制审计和财务报告审计一致。

在审计一家有很多地区单位的公司时，鉴于与特定重大科目相关的风险分布于多个地区单位。在考虑可能性时，结论可能是在一个地区单位的一个认定上的控制失效，但相应的控制失效并没有同时发生在一个或多个其它地区单位时，并不会导致财务报告重大错报的合理可能性。

第四步

评估缺陷的重要程度是否足以引起公司财务报告监管人员的关注，需要应用职业判断，并且取决于与此缺陷（或缺陷汇总）相关的该公司特有的事实和环境。

由于AICPA AU 325和上市公司所适用的PCAOB准则在重大缺陷和实质性漏洞的定义上的不同，在对一个私有公司的审计中，当评估已确认的控制缺陷是否上升为重大缺陷时，可参考AICPA AU 325段落6。

第五步

在决定已确认的控制缺陷或缺陷汇总是否存在合理的可能性导致中期或年度财务报告出现重大错报而不被发现，应当评估补偿性控制。为得出补偿性控制有效运行的结论，应当获取其运行有效性的证据。以一定程度的精确性有效运行的补偿性控制，单独或组合起来，将可能预防或发现年度或中期财务报告的重大错报，因而减少或者减轻已确认的控制缺陷所导致的潜在错报。

第六步

某些情况（如重大审计调整、重述以前年度已公布的财务报告）可能不是由控制缺陷导致的。这些情况通常包含独特的事实和环境，并且被定性的因素所影响。例如当公司的管理层已经建立了合理的方式应用公认会计准则，并且有关的控制也是设计合理、运行有效的，可以合理地认为控制并没有失效。当发生重大审计调整、重述以前年度已公布的财务报告时，不认为控制失效的情形是很少的，必须基于每家公司特有的独特事实和环境作出慎重考虑，并且小心地评估和咨询。

第七步

在评估控制缺陷或控制缺陷汇总的严重性时，应考虑一个足够知情、胜任并且客观的个人（如谨慎的管理人员）是否会认为此控制缺陷（或控制缺陷汇总）为实质性漏洞，因为重大错报的风险相当高而不能接受。如果是这样，此控制缺陷或控制缺陷汇总应当被视为可能代表实质性漏洞存在的情况。
第 5 页 共 5 页