内部控制审计操作手册.docx

目 录

第一章 获取审计业务约定书 1
一、获取审计业务约定书 1
二、内部控制审计业务约定书的内容 1
三、连续审计 2
四、审计业务约定条款的变更 2
五、业务约定书的文档记录 3
第二章 建立审计项目组 3
一、项目小组成员的要求 3
二、组建项目小组的考虑 3
三、管理、指导、并监督项目小组 4
四、项目小组成员的角色及责任 5
第三章 了解被审计单位及其环境 6
一、了解被审计单位及其环境的必要性 6
二、了解被审计单位及其环境的程度 7
三、了解被审计单位及其环境的主要内容 7
3.1行业状况、法律环境与监管环境以及其他外部因素 7
3.1.1行业因素 8
3.1.2 遵守法律法规的规定 8
3.1.3 其他外部因素 8
3.2了解被审计单位的性质 9
3.3被审计单位对会计政策的选择和运用 10
3.4被审计单位的目标、战略以及相关经营风险 10
3.5被审计单位财务业绩的衡量和评价 11
四、了解IT在企业中的角色 12
4.1了解IT复杂程度 12
4.2了解IT对我们审计工作的影响 13
五、如何了解企业及其环境 13
5.1检阅相关信息 13
5.2询问企业管理层及其他人员 14
5.3观察及检查 14
5.4信息来源 14
六、确定重大错报风险 15
七、工作底稿记录 15
第四章 利用专家的工作 15
一、确定是否利用专家的工作 16
1.1确定IT专家的介入程度 17
1.2确定税务专家的介入程度 17
1.3确定相关行业专家的介入程度 18
二、利用管理层专家的工作 18
2.1评价管理层专家的胜任能力、专业素养和客观性 18
2.2 了解管理层专家的工作 19
2.3 评价管理层专家的工作是否足以实现审计目的 20
三、利用事务所的内部专家的工作 21
四、利用事务所外部专家的工作 23
五、记录审计工作 26
第五章 了解企业整体的内部控制 27
一、企业层面控制的内涵 27
二、企业层面控制对其他控制及其测试的影响 28
三、了解和评价企业层面内部控制的主要内容 29
3.1与控制环境(即内部环境)相关的控制 30
3.1.1管理层的理念和经营风格 31
3.1.2诚信和道德价值观念的沟通与落实 31
3.1.3治理层的参与程度 32
3.2针对管理层和治理层凌驾于控制之上的风险而设计的控制 32
3.3被审计单位的风险评估过程 34
3.4对内部信息传递的控制 35
3.5对控制有效性的内部监督(即监督其他控制的控制)和内部控制评价 35
3.5.1管理层是否定期地将会计系统中记录的数额与实物资产进行核对 36
3.5.2管理层是否为保证内部审计活动的有效性而确立了相应的控制 36
3.5.3管理层是否建立了相关的控制以保证自我评价或定期的系统评价的有效 性 36
3.5.4管理层是否建立了相关的控制以保证监督性控制能够在一个集中的地点有效进行(如共享服务中心等) 36
3.6集中化的处理和控制(包括共享的服务环境) 36
3.7监督经营成果的控制 37
四、企业层面控制对其他控制及其测试的影响 38
五、如何了解企业层面控制 39
5.1了解企业层面控制的方法 39
5.2审计证据的考虑和了解企业层面控制的范围 39
六、识别和评估重大错报风险 40
七、工作底稿记录 40
第六章 识别舞弊风险并确定应对措施 40
一、识别舞弊风险的相关要求 40
二、识别舞弊风险的主要程序及考虑因素 41
2.1组织项目组讨论 42
2.2就舞弊风险询问管理层和其他人员 42
2.2.1询问管理层 42
2.2.2询问内部审计人员 43
2.2.3询问内部其他人员 44
2.2.4询问治理层 44
2.3考虑舞弊风险因素 45
2.4考虑异常关系或偏离预期的关系 45
2.5考虑其他信息 45
三、识别由于舞弊而导致的重大错报风险 45
3.1收入确认 46
四、应对舞弊导致的重大错报风险 46
4.1总体应对措施 46
4.2特别措施 46
五、应对管理层凌驾于控制之上的措施 47
六、应对与关联方有关的由于舞弊而导致的重大错报风险的措施 47
七、对审计其他方面的影响 48
第七章 确定重要性水平 48
一、了解确定整体重要性水平需做的考虑 48
1.1确定整体重要性水平时财务报表使用者的展望与预期 49
1.2整体重要性水平的恰当基准 49
1.2.1是否存在特定会计主体的财务报表使用者特别关注的项目 49
1.2.2被审计单位的性质、所处的生命周期阶段以及所处行业和经济环境 49
1.2.3治理层的看法和预期 49
二、了解确定特定类别的交易、账户余额或披露的重要性水平需做的考虑 50
三、了解确定实际执行重要性水平（可容忍误差）需做的考虑 50
四、确定整体重要性水平 50
4.1定义整体重要性水平时确定应用适当百分比的税前利润 51
4.1.1上市企业或重要项目 51
4.1.2非重要项目 51
4.2当税前利润作为计量基准不恰当时确定应用适当百分比的计量基础 51
五、确定特定类别的交易、账户余额或披露的重要性水平 52
六、确定实际执行的重要性水平 52
七、在审计过程中修改重要性水平 53
第八章 识别重大账户、重大列报及相关认定 53
一、识别重大账户、重大列报及其相关认定 53
1.1重大账户或列报 53
1.2确定重大账户或列报的金额标准 53
1.3确定重大账户或列报的性质考虑 54
1.3.1重大账户或列报的性质确定 54
1.3.2考虑已识别的固有风险 54
1.3.3评价财务报表项目及附注的错报风险因素 54
1.4有关账户的其他考虑因素 55
二、确定相关认定 55
2.1利润表科目的重要账户的相关认定 56
2.2资产负债表重要账户的相关认定 56
2.3与列报和披露相关的认定 56
三、更新我们确定的重大账户或列报及相关认定 57
第九章 识别重大业务流程和重大列报流程 57
一、识别业务流程 57
1.1常规的业务流程 58
1.2非常规的业务流程 58
1.3估计的业务流程 58
二、确定重大流程 58
2.1确定重大业务流程 58
2.2对重大估计业务流程的考虑 59
2.3重大列报流程 59
三、识别相关信息系统 60
第十章 关于集团审计的特殊考虑 60
一、了解集团及其环境、集团组成部分及其环境 60
二、了解集团及其组成部分的内部控制 61
三、集团管控风格的影响 62
四、确定重要性水平以及可容忍误差 62
4.1确定集团整体财务报表重要性 63
4.2确定集团实际执行的重要性（可容忍误差） 63
4.3确定组成部分可容忍误差 63
五、确定重要组成部分 64
5.1根据规模确定 65
5.2根据特定性质或情况确定 65
5.3不重要组成部分 65
六、识别重大账户、重大列报及其相关认定 65
七、组成部分内部控制审计策略 66
八、设定组成部分审计策略的标准 66
第十一章 了解企业内部控制自我评价过程以及利用他人的工作 67
一、了解企业内部控制自我评价过程 67
二、利用他人的工作 68
2.1对专业胜任能力和客观性的考虑 68
2.1.1专业胜任能力和客观性对可利用他人工作程度的影响 68
2.2对利用内部审计人员工作的特殊考虑 69
2.2.1评价内部审计人员的专业胜任能力 69
2.2.2评价内部审计人员的客观性 70
2.3利用内部审计人员的工作成果 71
2.4确定利用他人工作的范围 74
2.5测试由他人执行的部分工作 74
三、工作底稿记录 75
第十二章 评价企业层面控制测试 75
一、间接的企业层面控制 75
二、应对舞弊导致的重大错报风险（包括董事会、管理层凌驾于控制之上的风险）的控制 76
三、控制环境 77
四、充当业务层面控制的直接企业层面控制 77
五、工作底稿记录 77
第十三章 了解重大业务流程和重大列报流程 78
一、考虑企业层面控制对重大业务流程和重大列报流程的影响 78
二、识别重大业务流程和重大列报流程的关键流程 78
2.1信息来源 80
2.2询问 80
2.3观察和检查 80
2.4对服务机构的考虑 81
三、在重大业务流程和重大列报流程中识别可能出错项 81
3.1如何识别可能出错项 82
3.2将可能出错项联系到相关认定 83
3.3特别风险和可能出错项 83
3.4 IT方面的可能出错项 83
四、识别与审计相关的控制活动 84
4.1相关的控制的种类 84
4.2如何开始识别相关控制 84
4.3对识别降低特别风险的控制的特殊考虑 84
五、对了解不同性质的重大业务流程的具体考虑 85
5.1重大业务流程的种类 85
5.2相关控制活动 86
5.2.1管理层对专家的利用 87
5.2.2假设 87
5.2.3改变会计估计的方法 87
5.2.4估计的不确定性 88
六、对了解重大列报流程的特殊考虑 88
6.1重大会计账户的列报 88
6.2财务报表决算过程的列报 88
第十四章 执行穿行测试 89
一、执行穿行测试 89
1.1穿行测试的程序 90
1.2与穿行测试过程中进行的询问相关的考虑 90
1.3对穿行测试的结果得出结论 91
1.4对控制有效性的初步评价 91
二、穿行测试的特殊考虑 92
2.1会计估计的流程 92
2.2关于降低重大错报风险的控制的穿行测试的考虑 92
2.3在执行穿行测试时利用他人工作 93
2.4针对自动化程序里的数据和交易信息 93
第十五章 选择、测试内部控制 93
一、选择拟测试的控制的基本要求 94
二、选择拟测试的控制的考虑因素 94
2.1选择适当的控制测试 94
2.1.1控制的目标和分类 95
2.1.1.1预防性控制和检查性控制 95
2.1.1.2手工控制和自动执行的控制 95
2.2确认已选测试的控制与审计相关 97
2.3评估已选测试的控制是否充分敏感 97
三、与控制相关的风险 99
四、控制测试的程序的性质 100
4.1询问 100
4.2观察 100
4.3检查 100
4.4重新执行 101
五、控制测试的时间安排 102
5.1期中测试的两种方法 102
5.2是否测试被取代的控制 103
5.3期中测试和前推程序 103
5.4针对信息技术一般控制（ITGCs）和应用控制的前推程序 104
5.5集团内部控制审计中实施前推程序的考虑 104
六、控制测试的范围 105
6.1影响测试范围的因素 105
6.2抽样方法的一般考虑 105
6.3样本参考量 106
6.3.1测试人工控制的最小样本规模 106
6.3.2测试应用控制的最小样本规模 107
6.4追加控制测试 107
七、执行内部控制测试 108
7.1执行控制测试的一般考虑 108
7.2审计证据质量的额外考虑 108
八、评价控制偏差 108
8.1确认控制偏差 108
8.2确定控制偏差的属性 109
8.3确定审计应对措施 110
九、工作底稿记录 110
第十六章 了解和评价财务报告流程（FSCP） 111
一、了解和评价财务报告流程过程 111
1.1财务报告流程了解程度 111
1.2对财务报告流程进行了解的起点 112
1.3了解和评价财务报告流程的程序 113
1.3.1了解财务报告流程的子过程 113
1.3.1.1编制试算平衡表并进行任何必要的合并 113
1.3.1.2生成、授权和记录记账分录 113
1.3.1.3编制财务报表及相关列报 113
1.4识别可能出错项 114
1.5识别和了解财务报告流程中的控制活动 114
1.6初步评价控制的有效性 115
第十七章 了解、穿行测试、测试和评估IT一般控制 115
一、信息系统审计范围界定 116
二、信息系统环境中的控制测试 116
2.1信息系统审计策略的确定 116
2.2信息系统一般控制测试 117
2.3系统应用控制测试 119
三、控制测试底稿 120
附件一 信息系统环境复杂度判断指引 120
附件二 信息系统环境控制测试底稿 122
第十八章 评价内部控制缺陷 123
一、控制缺陷的分类 123
二、内部控制缺陷评价时的一般考虑 124
2.1衡量缺陷严重性的标准 124
2.2充分考虑缺陷组合 124
2.3补偿性控制 124
2.4考虑企业内部控制自我评价的结果 124
三、财务报告内部控制缺陷评价标准 124
3.1定量标准 125
3.2定性标准 125
四、非财务报告内部控制缺陷评价标准 126
五、内部控制缺陷评价程序 127
六、内部控制缺陷评价的特殊考虑 130
6.1对信息系统一般控制的考虑 130
6.2对企业层面控制缺陷评价的考虑 131
6.3与其他缺陷一同进行评价 131
6.4内部控制缺陷评价的其他关注领域 132
七、内部控制缺陷整改 132
八、工作底稿记录 132
第十九章 完成审计工作 133
一、项目组内部讨论 133
二、取得管理层的书面声明 134
三、与企业沟通控制缺陷 135
四、形成审计意见 136
第二十章 出具审计报告 137
一、出具标准内部控制审计报告 137
二、出具非标准内部控制审计报告 138
2.1带强调事项段的无保留意见内部控制审计报告 138
2.2否定意见内部控制审计报告 139
2.3无法表示意见内部控制审计报告 139
三、非财务报告内部控制存在重大限制 140
四、对期后事项的考虑 140
五、内部控制审计报告与财务报表审计报告的衔接 141

第一章 获取审计业务约定书
在内部控制审计业务开始前，我们应先确定我们已遵循了风险管理委员会拟订的《业务承接制度--客户关系和具体业务的接受与保持操作规程》，评估客户承接/保持程序的结论以确定其对我们审计风险评估及审计策略的影响，确定客户承接/保持决定是适当的。在执行相关程序以评价职业道德（包括独立性）要求的合规性及我们已遵守事务所独立性政策后，我们应当就内部控制审计业务约定条款与客户达成一致意见，并单独签订内部控制审计业务约定书。
一、 获取审计业务约定书
根据《中国注册会计师执业准则》第九条，注册会计师应当就审计业务约定条款与管理层或治理层（如使用）达成一致意见；第十条，注册会计师应当将达成一致意见的审计业务约定条款记录于审计业务约定书或其他适当形式的书面协议中。
在审计工作开始前，我们应当获取根据我所内部控制审计业务约定书模板的要求编制的业务约定书，并在适用时加入对特定项目的特殊要求。
业务约定书确定了我们与公司的业务条款，是记录项目范围和条款的重要书面文件。业务约定书描述了我们在项目执行过程中的责任，以及客户管理层对内部控制的责任，及其为我们的审计工作提供信息及人员协助的责任。
通常情况下，项目小组应在获取业务约定书之后才开始工作。只有在很特殊的情况下，项目小组才需要在获取业务约定书以前开始展开工作，例如参加盘点。
二、内部控制审计业务约定书的内容
内部控制审计业务约定书应当单独出具。业务约定书的具体内容可能因被审计单位的不同而存在差异，但应当包括下列主要方面：
l 内部控制审计的目标；
l 企业对内部控制的责任；
l 企业建立内部控制所依据的内部控制框架；
l 内部控制审计范围，包括指明注册会计师在执行内部控制审计业务时遵守的《企业内部控制审计指引》和《中国注册会计师执业准则》的相关要求；
l 内部控制的固有局限性及审计的固有限制；
l 管理层为我们提供必要的工作条件和协助；
l 我们不受限制地接触任何与审计有关的记录、文件和所需要的其他信息；
l 企业对其作出的与审计有关的声明予以书面确认；
l 我们对执业过程中获知的信息保密；
l 审计收费，包括收费的计算基础和收费安排；
l 违约责任；
l 解决争议的方法；
l 签约双方法定代表人或其授权代表的签字盖章，以及签约双方加盖的公章。
如果情况需要，内部控制审计业务约定书还可以包括其他条款，例如：
l 在某些方面对利用其他注册会计师和专家工作的安排；
l 计划和执行内部控制审计工作的安排，包括项目组的构成；
l 对审计涉及的其他人员（包括被审计单位的内部审计人员、其他人员以及在管理层或治理层指导下的第三方）工作的安排；
l 我们与被审计单位之间需要达成进一步协议的事项；
l 向其他机构或人员提供审计工作底稿的义务。
我所《内部控制审计工作底稿》模板提供了内部控制审计业务约定书的参考格式。注册会计师可根据业务的具体情况作出必要修改。
三、 连续审计
对于连续审计，我们应当根据具体情况评估是否需要对审计业务约定条款作出修改。下列因素可能导致我们修改审计业务约定条款或提醒被审计单位注意现有的约定条款：
l 有迹象表明被审计单位误解审计目标和范围；
l 需要修改约定条款或增加特别条款；
l 法律法规的规定发生变化。
四、 审计业务约定条款的变更
被审计单位可能由于下列事项要求我们变更审计业务约定条款：
l 环境变化对审计服务的需求产生影响；
l 对原来要求的审计业务的性质存在误解；
l 无论是管理层施加的还是其他情况引起的。
当被审计单位要求变更审计业务约定条款时，我们应当考虑要求变更的理由是否合理，特别是审计范围存在限制的影响。
由于环境变化导致对审计服务的需求产生影响，或对原来要求的审计业务性质存在误解可以认为是被审计单位要求变更审计业务约定条款的合理理由。
相反，如果有迹象表明变更审计业务约定条款的要求与错误的、不完整的或不能令人满意的信息有关，该变更不能认为是合理的。
五、 业务约定书的文档记录
为了满足检查的需要，我们应将业务约定书的一份副本存于工作底稿中，或者在工作底稿中记录该副本的存放位置。
第二章 建立审计项目组
在进行初步业务活动时，项目合伙人需要统筹考虑审计工作，挑选相关领域的人员组建项目小组，同时组织对项目组成员进行培训，以合理安排内部控制审计工作。
一、 项目小组成员的要求
我们期望审计项目小组具有：
l 通过培训或者参与项目而获取的性质和复杂程度类似的审计知识和项目经验；
l 了解企业内部控制相关规范和指引要求；
l 了解《企业内部控制审计指引》、《企业内部控制审计指引实施意见》和《中国注册会计师执业准则》的相关要求；
l 拥有适当的专业知识，包括与项目相关的IT知识；
l 拥有与客户所处行业相关的知识；
l 具有职业判断能力；
l 了解事务所的质量控制政策与程序。
二、 组建项目小组的考虑
组建一个项目小组时，我们需要考虑以下因素：
l 及时确定人员需求；
l 准备项目时间预算以确定所需资源的要求，并安排工作进度；
l 使项目小组具有合适的技巧、经验、能力；
l 项目大小及复杂度；
l 所需专业能力；
l 工作时间；
l 项目小组成员的连续性和定期轮换；
l 项目上的培训机会；
l 可能出现的独立性问题和利益冲突；
l 考虑项目小组成员是否具有与项目复杂度及其他要求相匹配的工作和培训经验；
l 确定项目小组所需要的管理、监控、以及指导；
l 确定负有这些责任的项目小组成员。
我们需要对开展审计工作中需要、但当前项目小组成员不具备的额外所需技能做出评估，并针对此情况制定计划获取相关资源。例如：当项目小组成员不具备与客户公司IT环境相关的知识技能时，我们需要获得IT专业人员的协助以测试与IT系统相关的内部控制。
我们要确定审计现场是否需要使用公司会计与审计专业以外的人员，是否需要从公司外部引入专家。关于利用专家的工作的更多要求与指引，请参见“第四章 利用专家的工作”。
三、 管理、指导、并监督项目小组
项目小组组建完成后，我们应当制定计划，分配工作，确定对项目组成员的指导和监督以及对其工作的复核。
在项目初期阶段，项目小组负责人应当与项目小组成员讨论确定工作分配，这样可以让项目小组成员了解其在项目中的职责、预期工作成果和了解其他项目小组成员的职责。同时，我们要讨论并确定项目小组的目的和目标、责任和交付的成果。
在项目进行的过程中，项目合伙人和项目中负责监督的人应当：
l 监控项目的进展；
l 复核审计工作底稿；
l 评估项目小组成员是否具有执行所分配的工作的技能和能力 ，有充分的时间执行所分配的工作；
l 解决重大的财务及审计问题。
负有指导审计工作的项目小组成员具有需要了解其监督工作质量及进度的责任，包括：
l 对于所分配的工作的成员，给予充分的指导；
l 定期复核工作底稿；
l 对比预算控制实际花费的时间；
l 复核已完成的工作底稿和即将出具的审计报告。
四、 项目小组成员的角色及责任
项目小组各成员的责任如下：
经理级别以下的有经验的审计员和初级审计员
l 直接参与审计工作，编制相关工作底稿。
除项目合伙人以外的项目小组负责人（例如：经理、高级经理）
l 如有必要，直接参与审计流程的设计与执行，例如：亲自编制高风险领域的工作底稿。
l 对审计员及高级审计员编制的工作底稿进行详细复核，复核审计报告，确保我们出具的审计报告是适当的；
l 与公司治理层及管理层进行沟通；
l 与项目小组其他成员沟通值得关注的事项。
项目合伙人
l 在项目特定阶段进行复核，确保重大发现及问题在我们的审计报告出具前及时解决 ；
l 如有必要，直接参与审计流程的设计与执行，以便了解高风险领域及其他审计小节中记录的事项；
l 项目合伙人有责任对我们的职业判断、项目中识别的复杂事项、重大风险、及其他项目合伙人认为重要的事项进行复核；
l 对高风险领域进行第二层次复核，以便确信详细复核是充分的，对重大账户、重大列报和相关认定的审计流程是充分的 ；
l 与项目小组其他成员沟通值得关注的事项；
l 复核我们的审计报告，确保我们出具的审计报告是适当的 ；
l 复核我们与公司治理层及管理层的沟通，包括重大缺陷的沟通。

第三章 了解被审计单位及其环境
在了解客户业务时，我们应了解企业及其经营环境。了解程度依赖于我们的职业判断。我们应考虑对于企业及其经营环境，我们是否获取了足够的了解，以支持我们所评估的财务报表及认定层面的重大错报风险（包括舞弊及错误），并为我们设计、执行审计程序应对重大错报风险提供基础。
一、了解被审计单位及其环境的必要性
了解被审计单位及其环境是财务报表审计及内部控制审计的必要程序，特别是为我们在下列关键环节做出职业判断提供重要基础：
l 确定重要性水平，并随着审计工作的进程评估对重要性水平的判断是否仍然适当；
l 确定重大账户、重大列报及相关认定；
l 考虑会计政策的选择和运用是否恰当，以及财务报表的列报包括披露是否适当；
l 识别需要特别考虑的领域，包括关联方交易、管理层运用持续经营假设的合理性，或交易是否具有合理的商业目的等；
l 确定在实施分析程序时所使用的预期值；
l 设计和实施进一步审计程序，以将审计风险降至可接受的低水平；
l 评价所获取审计证据的充分性和适当性。
而按照《企业内部控制审计指引》第七条要求：
“ 在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：
（一）与企业相关的风险；
（二）相关法律法规和行业概况；
（三）企业组织结构、经营特点和资本结构等相关重要事项；
（四） 企业内部控制最近发生变化的程度；
（五） 与企业沟通过的内部控制缺陷；
（六） 重要性、风险等与确定内部控制重大缺陷相关的因素；
（七）对内部控制有效性的初步判断；
（八）可获取的、与内部控制有效性相关的证据的类型和范围。 ”
职业判断贯穿于注册会计师审计的全过程。职业判断只有建立在对被审计单位及其环境了解的基础上，才是恰当的和符合实际的。
二、了解被审计单位及其环境的程度
了解被审计单位及其环境是一个连续和动态地收集、更新与分析信息的过程，贯穿于整个审计过程的始终，涉及被审计单位外部、内部，社会政治、技术经营的方方面面。我们由于时间、成本的限制，应当运用职业判断确定需要了解被审计单位及其环境的程度。
评价对被审计单位及其环境了解的程度是否恰当，关键是看我们对被审计单位及其环境的了解是否足以识别和评估财务报表重大错报风险。如果了解被审计单位及其环境获得的信息足以识别和评估财务报表重大错报风险，设计和实施进一步审计程序，那么了解的程度就是恰当的。当然，我们对被审计单位及其环境了解的程度，要低于管理层为经营管理企业而对被审计单位及其环境需要了解的程度。
三、了解被审计单位及其环境的主要内容
《中国注册会计师执业准则》要求我们必须执行风险识别程序，从下列方面了解被审计单位及其环境：（1）行业状况、法律环境与监管环境以及其他外部因素；（2）被审计单位的性质；（3）被审计单位对会计政策的选择和运用；（4）被审计单位的目标、战略以及相关经营风险；（5）被审计单位财务业绩的衡量和评价。
上述第（1）项是被审计单位的外部环境，第（2）项至第（4）项是被审计单位的内部因素，第（5）项则既有外部因素也有内部因素。值得注意的是，被审计单位及其环境的各个方面可能会互相影响。因此，我们在对被审计单位及其环境的各个方面进行了解和评估时，应当考虑各因素之间的相互关系。
我们进行企业内部控制审计，针对上述五个方面进行初步了解，在审计实务中，需要了解的被审计单位及其环境各个方面的具体内容，不同行业、企业可能有较大的差别，需要我们根据情况进行判断。
3.1行业状况、法律环境与监管环境以及其他外部因素　　
了解企业所处行业、法律环境、监管环境及其他外部环境因素可以帮助我们识别与企业所面临的机会与压力相关的风险。
3.1.1行业因素
我们应当了解被审计单位的行业状况，主要包括：
l 所在行业的市场供求与竞争；
l 生产经营的季节性和周期性；
l 产品生产技术的变化；
l 能源供应与成本；
l 行业的关键指标和统计数据。
3.1.2 遵守法律法规的规定
我们应当了解被审计单位所处的法律环境及监管环境，主要包括：
l 适用的会计准则、会计制度和行业特定惯例；
l 对经营活动产生重大影响的法律法规及监管活动；
l 对开展业务产生重大影响的政府政策，包括货币、财政、税收和贸易等政策；
l 与被审计单位所处行业和所从事经营活动相关的环保要求。
我们应了解企业如何遵守这些法律法规，向管理层、治理层询问企业是否遵守了这些法律法规，检查企业与许可证颁发机构或监管机构的往来函件。
一些企业属于严格监管行业（例如：银行、保险企业）。一些企业只需遵守通用法律法规（例如：与职业安全、健康、平等雇佣机会相关的法律法规）。企业违反法律法规的行为可能导致罚款、诉讼及其他可能对企业财务报表产生重大影响的结果。了解法律法规体系可以协助我们识别因违反法律法规行为的事项而导致的重大错报风险。
我们应当就识别出的或怀疑存在的违反法律法规行为的事项，及时与企业管理层、治理层沟通。
3.1.3 其他外部因素
我们应当了解影响被审计单位经营的其他外部因素，主要包括：
l 宏观经济的景气度；
l 利率和资金供求状况；
l 通货膨胀水平及币值变动；
l 国际经济环境和汇率变动。
3.2了解被审计单位的性质
我们应当主要从下列方面了解被审计单位的性质：
（一）所有权结构，了解所有权结构以及所有者与其他人员或单位之间的关系，考虑关联方关系是否已经得到识别，以及关联方交易是否得到恰当核算;
（二）治理结构，考虑治理层是否能够在独立于管理层的情况下对被审计单位事务（包括财务报告）做出客观判断；
（三）组织结构，考虑复杂组织结构可能导致的重大错报风险，包括财务报表合并、商誉摊销和减值、长期股权投资核算以及特殊目的实体核算等问题；
（四）经营活动，主要包括：
l 主营业务的性质；
l 与生产产品或提供劳务相关的市场信息；
l 业务的开展情况；
l 联盟、合营与外包情况；
l 从事电子商务的情况；
l 地区与行业分布；
l 生产设施、仓库的地理位置及办公地点；
l 关键客户；
l 重要供应商；
l 劳动用工情况；
l 研究与开发活动及其支出；
l 关联方交易。
（五）投资活动，主要包括：
l 近期拟实施或已实施的并购活动与资产处置情况；
l 证券投资、委托贷款的发生与处置；
l 资本性投资活动，包括固定资产和无形资产投资，以及近期或计划发生的变动；
l 不纳入合并范围的投资。
（六）筹资活动，主要包括：
l 债务结构和相关条款，包括担保情况及表外融资；
l 固定资产的租赁；
l 关联方融资；
l 实际受益股东；
l 衍生金融工具的运用。
3.3被审计单位对会计政策的选择和运用
我们应当了解被审计单位对会计政策的选择和运用，是否符合适用的会计准则和相关会计制度，是否符合被审计单位的具体情况。我们应评估企业的会计政策是否适当，是否与财务报告框架及会计法规的要求相一致。在了解被审计单位对会计政策的选择和运用是否适当时，我们应当关注下列重要事项：
l 重要项目的会计政策和行业惯例；
l 重大和异常交易的会计处理方法；
l 在新领域和缺乏权威性标准或共识的领域，采用重要会计政策产生的影响；
l 会计政策的变更；
l 被审计单位何时采用以及如何采用新颁布的会计准则和相关会计制度。
如果被审计单位变更了重要的会计政策，我们应当考虑变更的原因及其适当性，并考虑是否符合适用的会计准则和相关会计制度的规定。我们应当考虑，被审计单位是否按照适用的会计准则和相关会计制度的规定恰当地进行了列报，并披露了重要事项。
当我们了解企业对会计政策的选择及应用时，我们应考虑会计估计的不确定性（也就是会计估计的敏感性及计量准确性的缺乏）。我们应根据我们的职业判断，确定会计估计是否会因为计量不准确而导致特别风险。
3.4被审计单位的目标、战略以及相关经营风险
我们应当了解被审计单位的目标和战略，以及可能导致财务报表重大错报的相关经营风险。经营风险源于对被审计单位实现目标和战略产生不利影响的重大情况、事项、环境和行动，或源于不恰当的目标和战略。我们应当了解被审计单位是否存在与下列方面有关的目标和战略，并考虑相应的经营风险：
l 行业发展，及其可能导致的被审计单位不具备足以应对行业变化的人力资源和业务专长等风险；
l 开发新产品或提供新服务，及其可能导致的被审计单位产品责任增加等风险；
l 业务扩张，及其可能导致的被审计单位对市场需求的估计不准确等风险；
l 新颁布的会计法规，及其可能导致的被审计单位执行法规不当或不完整，或会计处理成本增加等风险；
l 监管要求，及其可能导致的被审计单位法律责任增加等风险；
l 本期及未来的融资条件，及其可能导致的被审计单位由于无法满足融资条件而失去融资机会等风险；
l 信息技术的运用，及其可能导致的被审计单位信息系统与业务流程难以融合等风险。
多数经营风险最终都会产生财务后果，从而影响财务报表。我们应当根据被审计单位的具体情况考虑经营风险是否可能导致财务报表发生重大错报。管理层通常制定识别和应对经营风险的策略，我们应当了解被审计单位的这些风险评估过程。
3.5被审计单位财务业绩的衡量和评价
被审计单位内部或外部对财务业绩的衡量和评价可能对管理层产生压力，促使其采取行动改善财务业绩或歪曲财务报表。
我们应当了解被审计单位财务业绩的衡量和评价情况，考虑这种压力是否可能导致管理层采取行动，以至于增加财务报表发生重大错报的风险，包括由舞弊引起的错报。
在了解被审计单位财务业绩衡量和评价情况时，我们应当关注下列信息：
l 关键业绩指标；
l 业绩趋势；
l 预测、预算和差异分析；
l 管理层和员工业绩考核与激励性报酬政策；
l 分部信息与不同层次部门的业绩报告；
l 与竞争对