企業內部控制審計指引
第一章 總 則
第一條 為了規范注冊會計師執行企業內部控制審計業務，明確工作要求，保證執業質量，根據《中國注冊會計師鑒證業務基本準則》及相關執業準則，制定本指引。
第二條 本指引所稱內部控制審計，是指會計師事務所接受委托，對截至特定日期企業內部控制的有效性進行審計，并發表審計意見。
本指引中內部控制審計的范圍，主要是企業為了合理保證財務報告及相關信息真實完整、資產安全而設計和執行的內部控制。用以合理保證資產安全的內部控制，可能涉及合理保證經營效率和效果、經營管理合法合規的內部控制。
注冊會計師在內部控制審計或財務報表審計中實施的程序并不是企業內部控制的組成部分。
第三條 在企業治理層的監督下，按照《企業內部控制基本規范》和相關規定，設計、實施和維護有效的內部控制，并評價其有效性是企業管理層的責任。按照本指引的要求，在實施審計工作的基礎上對內部控制的有效性發表審計意見，是注冊會計師的責任。
內部控制審計不能減輕企業管理層的責任。
第四條 有效的內部控制能夠為財務報告及相關信息真實完整、資產安全提供合理保證。
如果存在一項或多項重大缺陷，內部控制應被認定為無效。
即使財務報表不存在重大錯報，內部控制也可能存在重大缺陷。
第五條 注冊會計師應當計劃和實施審計工作，獲取充分、適當的證據，為截至特定日期內部控制是否不存在重大缺陷提供合理保證，并作為支持審計意見的基礎。
第二章 整合審計
第六條 注冊會計師應當將內部控制審計與財務報表審計整合進行（以下簡稱整合審計）。
內部控制審計和財務報表審計的目標不同。注冊會計師應當計劃和實施審計工作，以同時實現兩者的目標。
第七條 在整合審計中，注冊會計師應當計劃和實施對控制設計和運行有效性的測試，以同時實現下列目標：
（一）獲取充分、適當的證據，支持其在內部控制審計中對內部控制的有效性發表的意見；
（二）獲取充分、適當的證據，支持其在財務報表審計中對內部控制的風險評估結果。
第三章 計劃審計工作
第一節 總體要求
第八條 注冊會計師應當恰當地計劃內部控制審計工作，并對助理人員進行適當的督導。
第九條 在計劃整合審計工作時，注冊會計師應當評價下列事項對財務報表和內部控制是否有重要影響，以及有重要影響的事項將如何影響審計工作：
（一）注冊會計師執行其他業務時了解的情況；
（二）在評價是否接受與保持客戶和業務時，注冊會計師了解的與企業相關的風險情況；
（三）影響企業所處行業的事項，如行業財務報告慣例、經濟狀況和技術革新；
（四）與企業相關的法律法規；
（五）與企業經營相關的重要事項，包括組織結構、經營特征和資本結構；
（六）經營活動的復雜程度；
（七）經營活動或內部控制最近發生變化的程度；
（八）注冊會計師對重要性、風險以及與確定內部控制重大缺陷相關的其他因素所作的初步判斷；
（九）以前與審計委員會或管理層溝通過的控制缺陷；
（十）可獲取的、與內部控制有效性相關的證據的類型和范圍；
（十一）對內部控制有效性的初步判斷；
（十二）與評價財務報表發生重大錯報的可能性和內部控制有效性相關的公開信息。
第二節 風險評估的作用
第十條 在內部控制審計中，注冊會計師應當以風險評估為基礎，確定重要賬戶、列報及其相關認定，選擇擬測試的控制，以及確定針對特定控制所需收集的證據。
第十一條 內部控制的特定領域存在重大缺陷的風險越高，給予該領域的審計關注就越多。
注冊會計師應當更多地關注高風險領域，而沒有必要測試那些即使有缺陷、也不可能導致財務報表重大錯報的控制。
第十二條 在進行風險評估以及確定審計程序時，注冊會計師應當考慮企業組織結構、經營流程或業務單元的復雜程度可能產生的重要影響。
第三節 調整審計工作
第十三條 企業組織結構、經營流程及業務單元的規模和復雜程度影響許多控制目標的實現方式。注冊會計師應當根據企業具體情況調整審計工作，以獲取充分、適當的證據，支持發表的審計意見。
第四節 應對舞弊風險
第十四條 在計劃和實施內部控制審計工作時，注冊會計師應當考慮財務報表審計中對舞弊風險的評估結果。在識別和測試企業層面控制以及選擇其他控制進行測試時，注冊會計師應當評價企業的控制是否足以應對已識別的、由舞弊導致的重大錯報風險，并評價為應對管理層凌駕于控制之上的風險而設計的控制。
第十五條 在內部控制審計中，如果識別出旨在防止或發現舞弊的控制存在缺陷，注冊會計師在財務報表審計中應當按照《中國注冊會計師審計準則第1141號——財務報表審計中對舞弊的考慮》的規定，在制定應對重大錯報風險的方案時考慮這些缺陷。
第五節 利用其他相關人員的工作
第十六條 注冊會計師應當評估是否利用他人（包括企業的內部審計人員、其他人員以及在管理層或審計委員會指導下的第三方）的工作以及利用的程度，以減少可能本應由注冊會計師執行的工作。
如果決定利用內部審計人員的工作，注冊會計師應當按照《中國注冊會計師審計準則第1411號——考慮內部審計工作》的規定辦理。
第十七條 如果擬利用他人的工作，注冊會計師應當評價該人員的專業勝任能力和客觀性，以確定可利用程度。
第十八條 在內部控制審計中，注冊會計師利用他人工作的程度還受到與被測試控制相關的風險的影響。與某項控制相關的風險越高，可利用他人工作的程度就越低，注冊會計師應當越多地親自對該項控制進行測試。
第十九條 如果其他注冊會計師負責審計企業的一個或多個分部、分支機構、子公司等組成部分的財務報表和內部控制，注冊會計師應當按照《中國注冊會計師審計準則第1401號——利用其他注冊會計師的工作》的規定，確定自己能否擔任主審注冊會計師，以及是否利用其他注冊會計師的工作。
第六節 確定重要性水平
第二十條 在計劃內部控制審計工作時，注冊會計師應當使用與財務報表審計相同的重要性水平。
第七節 對企業使用服務機構的考慮
第二十一條 在內部控制審計中，如果服務機構執行企業的交易，并履行受托責任，該服務機構的服務可能影響企業的內部控制。在這種情況下，注冊會計師應當按照《中國注冊會計師審計準則第1212號——對被審計單位使用服務機構的考慮》的規定辦理。
第四章 實施審計工作
第一節 總體要求
第二十二條 管理層實施的內部控制評價應當以控制環境（也稱內部環境）為基礎，以生產經營活動為重點，并兼顧控制手段。相應地，在內部控制審計中，注冊會計師應當以風險評估為基礎，運用自上而下的方法，選擇擬測試的控制。
第二十三條 自上而下的方法按照下列思路展開：
（一）從財務報表層次初步了解內部控制整體風險；
（二）識別企業層面控制；
（三）識別重要賬戶、列報及其相關認定；
（四）了解錯報的可能來源；
（五）選擇擬測試的控制。
自上而下的方法是注冊會計師識別風險、選擇擬測試的控制的思路，但并不一定是實施審計工作的順序。
第二節 識別企業層面控制
第二十四條 注冊會計師應當測試對評價內部控制有效性有重要影響的企業層面控制。對企業層面控制的評價，可能增加或減少本應對其他控制進行的測試。
第二十五條 企業層面控制包括：
（一）與控制環境相關的控制；
（二）針對管理層凌駕于控制之上的風險而設計的控制；
（三）企業的風險評估過程；
（四）集中化的處理和控制，包括共享的服務環境；
（五）監控經營成果的控制；
（六）監督其他控制的控制，包括內部審計職能、審計委員會的活動及內部控制自我評價；
（七）對期末財務報告流程的控制；
（八）針對重大經營控制及風險管理實務而采取的政策。
第二十六條 控制環境對保持有效的內部控制有重要影響，注冊會計師應當評價企業的控制環境。
第二十七條 期末財務報告流程對內部控制審計和財務報表審計有重要影響，注冊會計師應當評價期末財務報告流程。
期末財務報告流程包括：
（一）將交易總額登入總分類賬的程序；
（二）與會計政策的選擇和運用相關的程序；
（三）總分類賬中會計分錄的編制、批準等處理程序；
（四）對財務報表進行調整的程序；
（五）編制財務報表的程序。
由于期末財務報告流程通常發生在管理層評價日之后，注冊會計師一般只能在該日之后測試相關控制。
第三節 識別重要賬戶、列報及其相關認定
第二十八條 注冊會計師應當識別重要賬戶、列報及其相關認定。
如果某賬戶或列報可能包含了一個錯報，該錯報單獨或連同其他錯報將對財務報表產生重大影響（需要同時考慮多報和少報的風險），則該賬戶或列報為重要賬戶或列報。判斷某賬戶或列報是否為重要賬戶或列報，應當依據其固有風險，而不應考慮相關控制的影響。
如果某財務報表認定可能包含了一個或多個錯報，這個或這些錯報將導致財務報表重大錯報，則該認定為相關認定。判斷某認定是否為相關認定，應當依據其固有風險，而不應考慮相關控制的影響。
第二十九條 為識別重要賬戶、列報及其相關認定，注冊會計師應當從下列方面評價財務報表項目及附注的錯報風險因素：
（一）賬戶的規模和構成；
（二）易于發生錯報的程度；
（三）賬戶或列報中反映的交易的業務量、復雜性及同質性；
（四）賬戶或列報的性質；
（五）與賬戶或列報相關的會計處理及報告的復雜程度；
（六）賬戶發生損失的風險；
（七）賬戶或列報中反映的活動引起重大或有負債的可能性；
（八）賬戶記錄中是否涉及關聯方交易；
（九）賬戶或列報的特征與前期相比發生的變化。
第三十條 在識別重要賬戶、列報及其相關認定時，注冊會計師還應當確定對財務報表產生重大影響的潛在錯報的可能來源。注冊會計師可通過考慮在特定的重要賬戶或列報中錯報可能發生的領域和原因，確定潛在錯報的可能來源。
第三十一條 在內部控制審計中，注冊會計師在識別重要賬戶、列報及其相關認定時應當評價的風險因素,與財務報表審計中考慮的因素相同。因此，在這兩種審計中識別的重要賬戶、列報及其相關認定應當相同。
在財務報表審計中，注冊會計師可能針對非重要賬戶、列報及其相關認定實施實質性程序。
第三十二條 如果某潛在重要賬戶或列報的各組成部分存在的風險差異較大，企業可能采用不同的控制以應對這些風險，注冊會計師應當分別處理。
第四節 了解錯報的可能來源
第三十三條 注冊會計師應當執行下列工作，了解潛在錯報的可能來源，以選擇擬測試的控制：
（一）了解與相關認定有關的交易的處理流程，包括這些交易如何生成、批準、處理及記錄；
（二）驗證注冊會計師已識別出的、業務流程中可能發生重大錯報（尤其是由舞弊導致的錯報）的環節；
（三）識別管理層用于應對這些潛在錯報的控制；
（四）識別管理層用于及時防止或發現未經授權的、導致財務報表重大錯報的資產取得、使用或處置的控制。
第三十四條 注冊會計師應當了解信息技術如何影響企業的業務流程。注冊會計師應當按照《中國注冊會計師審計準則第1211號——了解被審計單位及其環境并評估重大錯報風險》的規定，考慮信息技術對內部控制及風險評估的影響。
第三十五條 穿行測試通常是完成本指引第三十三條所規定工作的最有效方式。穿行測試是指追蹤某筆交易從發生到最終被反映在財務報表中的整個處理過程。
在執行穿行測試時，注冊會計師使用的文件和信息技術應當與企業員工使用的相同。
在執行穿行測試時，通常需要綜合運用詢問適當人員、觀察經營活動、檢查相關文件及重新執行控制等程序。
第三十六條 在執行穿行測試時，針對特定交易的重要處理環節，注冊會計師可以詢問企業員工對規定程序及控制的了解程度。這些試探性提問連同穿行測試中的其他程序，可以幫助注冊會計師充分了解業務流程，識別必要控制設計無效或出現缺失的重要環節。
第五節 選擇擬測試的控制
第三十七條 注冊會計師應當評價控制是否足以應對評估的每個相關認定的錯報風險，并選擇其中對形成評價結論具有重要影響的控制進行測試。
第三十八條 對特定的相關認定而言，可能有多項控制應對評估的錯報風險；反之，一項控制可能應對評估的多個相關認定的錯報風險。注冊會計師沒有必要測試與某個相關認定有關的所有控制。
第三十九條 在確定是否測試某項控制時，不論該項控制的分類和名稱如何，注冊會計師應當考慮其單獨或連同其他控制，是否足以應對評估的某項相關認定的錯報風險。
第六節 測試控制設計的有效性
第四十條 注冊會計師應當測試控制設計的有效性。
如果某項控制由擁有必要授權和專業勝任能力的人員按規定執行，能夠實現控制目標，從而有效防止或發現可能導致財務報表重大錯報的錯誤或舞弊，則表明該項控制的設計是有效的。
第四十一條 注冊會計師在測試控制設計的有效性時，應當綜合運用詢問適當人員、觀察經營活動和檢查相關文件等程序。
執行穿行測試通常足以評價控制設計的有效性。
第七節 測試控制運行的有效性
第四十二條 注冊會計師應當測試控制運行的有效性。
如果某項控制正在按照設計運行、執行人員擁有必要授權和專業勝任能力，則表明該項控制的運行是有效的。
第四十三條 注冊會計師在測試控制運行的有效性時，應當綜合運用詢問適當人員、觀察經營活動、檢查相關文件以及重新執行控制等程序。
第八節 風險與擬獲取證據的關系
第四十四條 在測試所選定控制的有效性時，注冊會計師應當根據與控制相關的風險，確定所需獲取的證據。
與控制相關的風險包括控制可能無效的風險和因控制無效而導致重大缺陷的風險。與控制相關的風險越高，注冊會計師需要獲取的證據就越多。
注冊會計師應當針對每一相關認定獲取控制有效性的證據，以便對內部控制整體的有效性發表意見，但沒有責任對單項控制的有效性發表意見。
第四十五條 得出控制運行無效的結論所需的證據通常比得出其運行有效的結論所需的證據少。
第四十六條 下列因素影響與某項控制相關的風險：
（一）該項控制擬防止或發現的錯報的性質和重要程度；
（二）相關賬戶、列報及其認定的固有風險；
（三）相關賬戶或列報是否曾經出現錯報；
（四）交易的數量和性質是否發生變化，進而可能對該項控制設計或運行的有效性產生不利影響；
（五）企業層面控制（特別是監督其他控制的控制）的有效性；
（六）該項控制的性質及其執行頻率；
（七）該項控制對其他控制（如控制環境或信息技術一般控制）有效性的依賴程度；
（八）該項控制的執行或監督人員的專業勝任能力，以及其中的關鍵人員是否發生變化；
（九）該項控制是人工控制還是自動化控制；
（十）該項控制的復雜程度，以及在運行過程中依賴判斷的程度。
第四十七條 如果發現控制偏差，注冊會計師應當確定該偏差對相關風險評估、需要獲取的證據以及控制運行有效性結論的影響。
第四十八條 注冊會計師通過測試控制有效性獲取的證據，取決于實施程序的性質、時間和范圍的組合。就單項控制而言，注冊會計師應當根據與該項控制相關的風險，適當組合實施程序的性質、時間和范圍，以獲取充分、適當的證據。
第四十九條 注冊會計師測試控制有效性實施的程序，按提供證據的效力，由弱到強排序為：詢問、觀察、檢查和重新執行。
詢問本身并不能為得出控制是否有效的結論提供充分、適當的證據。
第五十條 測試控制有效性實施的程序，其性質在很大程度上取決于擬測試控制的性質。某些控制可能存在文件記錄，反映其運行的有效性，而另外一些控制，如管理理念和經營風格，可能沒有書面的運行證據。
對缺乏正式運行證據的企業或業務單元，注冊會計師可以通過詢問并結合運用觀察活動、檢查非正式的書面記錄和重新執行某些控制，獲取有關控制有效性的充分、適當的證據。
第五十一條 對控制有效性的測試涵蓋的期間越長，提供的控制有效性的證據越多。
對控制有效性的測試實施的時間越接近管理層評價日，提供的控制有效性的證據越有力。
為獲取充分、適當的證據，注冊會計師應當在下列兩個因素之間作出平衡，以確定測試的時間：
（一）盡量在接近管理層評價日實施測試；
（二）實施的測試需要涵蓋足夠長的期間。
第五十二條 在管理層評價日之前，管理層可能為提高控制效率、效果或彌補控制缺陷而改變企業的控制。
如果新控制實現了相關控制目標，運行足夠長的時間，且注冊會計師能夠測試并評價該項控制設計和運行的有效性，則無需測試被取代的控制。
如果被取代控制設計和運行的有效性對控制風險的評估有重大影響，注冊會計師應當測試該項控制的有效性。
第五十三條 針對某項控制，測試的范圍越大，獲取的證據越多。
第五十四條 注冊會計師執行內部控制審計業務通常旨在對特定日期（通常為年末）內部控制的有效性發表意見。如果已獲取有關控制在期中運行有效性的證據，注冊會計師應當確定還需要獲取哪些補充證據，以證實在剩余期間控制的運行情況。
第五十五條 在將期中測試的結果更新至年末時，注冊會計師應當考慮下列因素，以確定需獲取的補充證據：
（一）期中測試的特定控制的有關情況，包括與控制相關的風險、控制的性質和測試的結果；
（二）期中獲取的有關證據的充分性、適當性；
（三）剩余期間的長短；
（四）期中測試之后，內部控制發生重大變化的可能性。
第九節 連續審計時的特殊考慮
第五十六條 在連續審計中，注冊會計師在確定測試的性質、時間和范圍時，應當考慮以前年度執行內部控制審計時了解的情況。
第五十七條 除本指引第四十六條所列因素之外，下列因素也會影響連續審計中與某項控制相關的風險：
（一）以前年度審計中所實施程序的性質、時間和范圍；
（二）以前年度對控制的測試結果；
（三）上次審計之后，控制或其運行流程是否發生變化。
第五十八條 在考慮本指引第四十六條和第五十七條所列的風險因素，以及連續審計中可獲取的進一步信息之后，只有當認為與控制相關的風險水平比以前年度有所下降時，注冊會計師在本年度審計中才可以減少測試。
第五十九條 在連續審計中，由于完全自動化的應用控制通常不會因人為失誤而失效，因此，注冊會計師可以考慮對自動化應用控制實施對標策略。
第六十條 如果認為程序變更、訪問權限及計算機操作方面的一般控制有效，且可持續對其進行測試，并能證實自動化應用控制自最近一次測試之后未發生變化，注冊會計師不必重復執行測試，就可以認為自動化應用控制是持續有效的。
注冊會計師為證實控制未發生變化而需獲取證據的性質和范圍，可能隨情況的變化而變化。例如，企業程序變更控制的強弱將影響需獲取證據的性質和范圍。
第五章 評價識別的控制缺陷
第一節 評價控制缺陷的嚴重程度
第六十一條 如果控制的設計或運行不能使管理層或員工在正常履行職責的過程中及時防止或發現錯報，則表明內部控制存在缺陷。
內部控制存在的缺陷包括設計缺陷和運行缺陷。
設計缺陷是指缺少為實現控制目標所必需的控制，或者現有控制設計不適當，即使正常運行也難以實現控制目標。
運行缺陷是指設計適當的控制沒有按設計意圖運行，或者執行人員缺乏必要授權或專業勝任能力，無法有效實施控制。
第六十二條 內部控制存在的缺陷，按嚴重程度分為重大缺陷、重要缺陷和一般缺陷。
重大缺陷是內部控制中存在的、可能導致財務報表重大錯報的一項控制缺陷或多項控制缺陷的組合。
重要缺陷是內部控制中存在的、其嚴重程度不如重大缺陷、但足以引起企業財務報告監督人員關注的一項控制缺陷或多項控制缺陷的組合。
一般缺陷是內部控制中存在的、除重大缺陷和重要缺陷之外的控制缺陷。
第六十三條 注冊會計師應當評價其注意到的各項控制缺陷的嚴重程度，以確定這些缺陷單獨或組合起來，是否構成重大缺陷。但是，在計劃和實施審計工作時，不要求注冊會計師尋找單獨或組合起來不構成重大缺陷的控制缺陷。
第六十四條 控制缺陷的嚴重程度取決于：
（一）控制缺陷導致賬戶余額或列報錯報的可能性；
（二）因一項控制缺陷或多項控制缺陷的組合導致潛在錯報的金額大小。
第六十五條 控制缺陷的嚴重程度與賬戶余額或列報是否發生錯報無關，而取決于控制缺陷是否可能導致錯報。
第六十六條 在評價一項控制缺陷或多項控制缺陷的組合是否可能導致賬戶余額或列報錯報時，注冊會計師應當考慮的風險因素包括：
（一）所涉及的賬戶、列報及其相關認定的性質；
（二）相關資產或負債易于發生損失或舞弊的程度；
（三）確定相關金額時所需判斷的主觀程度、復雜程度及范圍；
（四）所涉及的控制與其他控制的相互作用或關系；
（五）控制缺陷之間的相互作用；
（六）控制缺陷在未來可能產生的影響。
第六十七條 在評價因一項控制缺陷或多項控制缺陷的組合導致潛在錯報的金額大小時，注冊會計師應當考慮的因素包括：
（一）受控制缺陷影響的財務報表金額或交易總額；
（二）在本期或預計的未來期間受控制缺陷影響的賬戶余額或各類交易涉及的交易量。
第六十八條 在確定一項控制缺陷或多項控制缺陷的組合是否構成重大缺陷時，注冊會計師應當評價補償性控制的影響。為減弱控制缺陷的不利影響，企業執行的補償性控制應當有足夠的精確度，以防止或發現可能發生的重大錯報。
第二節 表明可能存在重大缺陷的跡象
第六十九條 下列跡象可能表明內部控制存在重大缺陷：
（一）注冊會計師發現高級管理人員舞弊；
（二）企業重述以前公布的財務報表，以更正重大錯報；
（三）注冊會計師發現當期財務報表存在重大錯報，而控制未能發現；
（四）審計委員會對財務報告及內部控制的監督無效。
第七十條 如果注冊會計師確定，發現的一項控制缺陷或多項控制缺陷的組合，將導致審慎的管理人員在執行工作時認為自身無法合理保證按照企業會計準則的規定記錄交易，應當將這種情況視為內部控制存在重大缺陷的跡象。
第六章 完成審計工作
第一節 形成審計意見
第七十一條 注冊會計師應當評價從各種來源獲取的證據，包括對控制的測試結果、財務報表審計中發現的錯報以及已識別的所有控制缺陷，以形成對內部控制有效性的意見。
第七十二條 在對內部控制的有效性形成意見后，注冊會計師應當評價，管理層內部控制評價報告中對與財務報告及相關信息的真實完整、資產安全相關的內部控制的表達是否符合有關法律法規的要求。
如果認為上述表達不完整或不恰當，注冊會計師應當按照本指引第九十八條的要求進行處理。
第七十三條 只有在審計范圍沒有受到限制時，注冊會計師才能對內部控制的有效性形成意見。如果存在范圍限制，注冊會計師應當按照本指引第九十九條至第一百零二條的要求進行處理。
第二節 獲取管理層書面聲明
第七十四條 注冊會計師應當向管理層獲取書面聲明。管理層聲明的內容應當包括：
（一）管理層認可其對設計、實施和維護有效的內部控制負責；
（二）管理層已對內部控制的有效性作出評價，并說明評價時采用的標準；
（三）管理層沒有利用注冊會計師在內部控制審計和財務報表審計中執行的程序及其結果，作為管理層自我評價的基礎；
（四）管理層根據控制標準評價內部控制有效性得出的結論；
（五）管理層已向注冊會計師披露識別出的、內部控制在設計或運行方面存在的所有缺陷，并已專門向注冊會計師披露所有重要缺陷或重大缺陷；
（六）導致財務報表重大錯報的所有舞弊，以及不會導致財務報表重大錯報，但涉及管理層和其他在內部控制中具有重要作用的員工的所有舞弊；
（七）注冊會計師在以前年度審計中識別的、已與審計委員會溝通的控制缺陷是否已經得到解決，以及哪些缺陷尚未得到解決；
（八）在審計報告日后，內部控制是否發生變化，或者是否存在對內部控制產生重要影響的其他因素，如管理層針對重要缺陷和重大缺陷采取的所有糾正措施。
第七十五條 如果管理層拒絕提供書面聲明，或因其他原因未能獲取書面聲明，注冊會計師應當將其視為審計范圍受到限制，解除業務約定或出具無法表示意見的審計報告。
注冊會計師應當評價，管理層拒絕提供書面聲明對其他聲明（包括在財務報表審計中獲取的聲明）的可靠性產生的影響。
第七十六條 注冊會計師應當按照《中國注冊會計師審計準則第1341號——管理層聲明》的規定，確定聲明書的簽署者、聲明書涵蓋的期間以及何時獲取更新的聲明書等。
第三節 溝通相關事項
第七十七條 注冊會計師應當以書面形式與管理層和審計委員會溝通審計過程中識別的所有重大缺陷。書面溝通應當在注冊會計師出具內部控制審計報告之前進行。
第七十八條 如果認為審計委員會對財務報告及其內部控制的監督無效，注冊會計師應當就此以書面形式與董事會溝通。
第七十九條 注冊會計師應當考慮其識別的一項控制缺陷或多項控制缺陷的組合是否構成重要缺陷。如果構成重要缺陷，則應當就此以書面形式與審計委員會溝通。
第八十條 注冊會計師應當以書面形式與管理層溝通其在審計過程中識別的內部控制存在的所有缺陷，并在溝通完成后告知審計委員會。在進行溝通時，注冊會計師無需重復自身、內部審計人員或企業其他人員以前書面溝通過的控制缺陷。
第八十一條 本指引不要求注冊會計師執行足以識別所有控制缺陷的程序，但是，注冊會計師應當溝通其注意到的內部控制的所有缺陷。
第八十二條 如果發現企業存在或可能存在舞弊或違反法規行為，注冊會計師應當按照《中國注冊會計師審計準則第1141號——財務報表審計中對舞弊的考慮》、《中國注冊會計師審計準則第1142號——財務報表審計中對法律法規的考慮》的規定，確定并履行自身的責任。
第七章 審計報告
第一節 總體要求
第八十三條 注冊會計師應當評價根據審計證據得出的結論，以作為對內部控制的有效性形成審計意見的基礎。
第八十四條 注冊會計師在完成內部控制審計和財務報表審計后，應當分別對內部控制和財務報表出具審計報告。
第二節 標準審計報告
第八十五條 審計報告應當包括下列要素：
（一）標題；
（二）收件人；
（三）引言段；
（四）管理層對內部控制的責任段；
（五）注冊會計師的責任段；
（六）內部控制審計的范圍段；
（七）內部控制固有局限性的說明段；
（八）內部控制審計意見段；
（九）財務報表審計意見類型的提及段；
（十）注冊會計師的簽名和蓋章；
（十一）會計師事務所的名稱、地址及蓋章；
（十二）報告日期。
第八十六條 在內部控制審計報告中，財務報表審計意見類型的提及段應當說明，注冊會計師還按照中國注冊會計師審計準則的規定，審計了企業的財務報表[指出財務報表]，并于××年×月×日出具的審計報告中發表了××意見[指出意見的類型]。如果出具了無法表示意見的財務報表審計報告，應當對該提及段的表述作必要修改。
此外，注冊會計師應當在財務報表審計報告意見段后，增加下列段落：“我們還按照《企業內部控制審計指引》及相關執業準則的要求，審計了截至××年×月×日企業的內部控制，并在我們出具的××年×月×日（該日期應當與財務報表的審計報告日期一致）的審計報告中，發表了[指出意見的類型]。”如果出具了無法表示意見的內部控制審計報告，應當對該段落的表述作必要修改。
第八十七條 如果符合下列所有條件，注冊會計師應當對內部控制出具無保留意見的審計報告：
（一）截至特定日期，企業按照《企業內部控制基本規范》和相關規定的要求，在所有重大方面保持了有效的內部控制；
（二）注冊會計師已經按照《企業內部控制審計指引》的要求計劃和實施審計工作，在審計過程中未受到限制。
第八十八條 由于內部控制審計和財務報表審計是整合進行的，注冊會計師對內部控制審計報告和財務報表審計報告應當簽署相同的日期。
第三節 重大缺陷與非標準審計報告
第八十九條 如果認為內部控制存在一項或多項重大缺陷，除非審計范圍受到限制，否則，注冊會計師應當對內部控制發表否定意見。
第九十條 注冊會計師出具的否定意見審計報告還應包括下列內容：
（一）本指引對重大缺陷的定義；
（二）注冊會計師已識別出的重大缺陷（包括在管理層內部控制評價報告中描述的、由管理層識別的內部控制重大缺陷），重大缺陷的性質以及重大缺陷在存在期間對企業編制的財務報表產生的實際和潛在影響等具體情況。
如果重大缺陷尚未包含在管理層內部控制評價報告中，注冊會計師應當在審計報告中說明重大缺陷已經識別、但沒有包含在管理層內部控制評價報告中。
如果管理層內部控制評價報告中包含了重大缺陷，但注冊會計師認為這些重大缺陷未能在所有重大方面得到公允反映，注冊會計師應當在審計報告中予以說明，并公允表達有關重大缺陷的必要信息。
第九十一條 如果對內部控制發表否定意見，注冊會計師應當確定該意見對財務報表審計意見的影響，并在內部控制審計報告中予以說明。
第四節 期后事項與非標準審計報告
第九十二條 在內部控制審計報告引言段中指出的特定日期之后、審計報告日之前（以下簡稱期后期間），內部控制可能發生變化，或出現其他可能對內部控制產生重要影響的因素。注冊會計師應當向管理層詢問是否存在這類變化或影響因素，并按本指引的要求獲取管理層關于這些情況的書面聲明。
第九十三條 注冊會計師應當針對期后期間，詢問并檢查下列信息：
（一）在期后期間出具的內部審計報告或類似報告；
（二）其他注冊會計師出具的涉及企業內部控制缺陷的報告；
（三）監管機構發布的涉及企業內部控制的報告；
（四）注冊會計師在執行其他業務中獲取的、有關企業內部控制有效性的信息。
注冊會計師還應當考慮獲取期后期間的其他文件，并按照《中國注冊會計師審計準則第1332號——期后事項》的規定，對其進行檢查。
第九十四條 如果知悉對管理層評價日內部控制有效性有重大負面影響的期后事項，注冊會計師應當對內部控制發表否定意見。
如果不能確定期后事項對內部控制有效性的影響，注冊會計師應當出具無法表示意見的審計報告。
如果管理層在內部控制評價報告中披露了管理層評價日后企業可能采取的糾正措施，注冊會計師應當在審計報告中指明不對其發表意見。
第九十五條 注冊會計師可能知悉在管理層評價日并不存在、但在期后期間發生的事項。如果這類期后事項對內部控制有重大影響，注冊會計師應當在審計報告中增加強調事項段，以描述該事項及其影響，或提醒審計報告使用者關注管理層內部控制評價報告中披露的該事項及其影響。
第九十六條 在出具內部控制審計報告之后，如果知悉在審計報告日已存在的、可能對審計意見產生影響的情況，注冊會計師應當按照《中國注冊會計師審計準則第1332號——期后事項》的規定辦理。
第五節 其他情況與非標準審計報告
第九十七條 如果存在下列情況之一，注冊會計師應當出具非標準審計報告：
（一）管理層內部控制評價報告的表達不完整或不恰當；
（二）審計范圍受到限制；
（三）管理層內部控制評價報告中包含其他信息。
第九十八條 如果認為管理層內部控制評價報告的表達不完整或不恰當，注冊會計師應當在審計報告中增加強調事項段，說明這一情況并解釋得出該結論的理由。如果認為有關內部控制重大缺陷未能在所有重大方面得到公允反映，注冊會計師應當按照本指引第九十條的要求進行處理。
第九十九條 注冊會計師只有實施了必要的審計程序，才能對內部控制的有效性發表意見。如果審計范圍受到限制，注冊會計師應當解除業務約定或出具無法表示意見的審計報告。
在出具無法表示意見的審計報告時，注冊會計師應當指明無法對內部控制的有效性發表意見。
第一百條 在出具無法表示意見的審計報告時，注冊會計師應當在審計報告中說明審計范圍不足以支持發表意見，并單設段落說明無法表示意見的實質性理由。注冊會計師不應在審計報告中指明所執行的程序，也不應描述內部控制審計的特征，以避免對無法表示意見的誤解。
第一百零一條 當擬出具無法表示意見的審計報告時，如果已執行的有限程序發現內部控制存在重大缺陷，注冊會計師應當按照本指引第九十條的要求，對重大缺陷做出適當說明。
第一百零二條 如果擬出具無法表示意見的審計報告，注冊會計師應當就未能完成整個內部控制審計工作的情況，以書面形式與管理層和審計委員會進行溝通。
第一百零三條 除涉及與財務報告及相關信息的真實完整、資產安全相關的內部控制信息外，如果管理層內部控制評價報告還包括其他信息，注冊會計師應當在審計報告中指明不對其他信息發表意見。
第一百零四條 如果認為其他信息含有對事實的重大錯報，注冊會計師應當就此與管理層進行討論。
如果討論后仍認為存在對事實的重大錯報，注冊會計師應當以書面形式，將其看法告知管理層和審計委員會。
如果其他信息未包含在管理層內部控制評價報告中，而是包含在年度財務報告中，注冊會計師無需在審計報告中指明不對其發表意見。
第八章 審計工作記錄
第一百零五條 注冊會計師應當按照《中國注冊會計師審計準則第1131號——審計工作底稿》的規定，編制內部控制審計工作底稿。
第一百零六條 注冊會計師應當就下列內容形成審計工作記錄：
（一）制定的內部控制審計計劃及重大修改情況；
（二）相關風險評估和選擇擬測試控制的主要過程及結果；
（三）測試控制設計和運行有效性的程序及結果；
（四）對識別的控制缺陷的評價；
（五）形成的審計結論和意見；
（六）其他重要事項。
第九章 附 則
第一百零七條 本指引自2009年7月1日起施行。
附錄：內部控制審計報告的參考格式
1.標準審計報告
內部控制審計報告
××股份有限公司全體股東：
我們審計了截至××年×月×日××股份有限公司（以下簡稱××公司）的內部控制。
一、管理層對內部控制的責任
在企業治理層的監督下，按照《企業內部控制基本規范》和相關規定，設計、實施和維護有效的內部控制，并評價其有效性是企業管理層的責任。
二、注冊會計師的責任
我們的責任是在實施審計工作的基礎上對內部控制的有效性發表審計意見。我們按照《企業內部控制審計指引》及相關執業準則的要求執行了審計工作。上述有關規定要求我們遵守職業道德守則，計劃和實施審計工作，以對企業在所有重大方面是否保持了有效的內部控制獲取合理保證。
審計工作包括獲取對內部控制的了解，評估重大缺陷存在的風險，并根據風險評估的結果，測試和評價內部控制設計和運行的有效性。審計工作還包括實施我們認為必要的其他程序。
我們相信，我們獲取的審計證據是充分、適當的，為發表審計意見提供了基礎。
三、內部控制審計的范圍
本報告中內部控制審計的范圍，主要是企業為了合理保證財務報告及相關信息真實完整、資產安全而設計和執行的內部控制。用以合理保證資產安全的內部控制，可能涉及合理保證經營效率和效果、經營管理合法合規的內部控制。
四、內部控制的固有局限性
內部控制具有固有局限性，存在不能防止和發現錯報的可能性。此外，由于情況的變化可能導致內部控制變得不恰當，或對控制政策和程序遵循的程度降低，根據內部控制審計結果推測未來內部控制的有效性具有一定風險。
五、內部控制審計意見
我們認為，截至××年×月×日，××公司按照《企業內部控制基本規范》和相關規定在所有重大方面保持了有效的內部控制。
六、提及財務報表審計意見的類型
我們還按照中國注冊會計師審計準則的規定，審計了××公司的財務報表[指出財務報表]，并在××年×月×日出具的審計報告中發表了××意見[指出意見的類型]。
××會計師事務所 中國注冊會計師：×××（簽名并蓋章）
（蓋章） 中國注冊會計師：×××（簽名并蓋章）
中國××市 ××年×月×日
2.帶強調事項段的無保留意見審計報告
內部控制審計報告
××股份有限公司全體股東：
我們審計了截至××年×月×日××股份有限公司（以下簡稱××公司）的內部控制。
[“一、管理層對內部控制的責任”至“六、提及財務報表審計意見的類型”參見標準審計報告相關段落表述。]
七、強調事項
我們提醒審計報告使用者關注，[如管理層內部控制評價報告中第×部分第×段所述，××公司發生了一項期后事項。（描述期后事項的性質及其對內部控制的重大影響）]。本段內容不影響已發表的審計意見。
××會計師事務所 中國注冊會計師：×××（簽名并蓋章）
（蓋章） 中國注冊會計師：×××（簽名并蓋章）
中國××市 ××年×月×日
3.否定意見審計報告
內部控制審計報告
××股份有限公司全體股東：
我們審計了截至××年×月×日××股份有限公司（以下簡稱××公司）的內部控制。
[“一、管理層對內部控制的責任”至“四、內部控制的固有局限性”參見標準審計報告相關段落表述。]
五、導致否定意見的事項
重大缺陷是內部控制中存在的、可能導致不能及時防止或發現企業財務報表重大錯報的一項控制缺陷或多項控制缺陷的組合。
[指出注冊會計師已識別出的重大缺陷（包括在管理層內部控制評價報告中描述的由管理層識別的內部控制重大缺陷），并說明重大缺陷的性質以及重大缺陷在存在期間對企業編制的財務報表產生的實際和潛在影響等具體情況。]
其中，××重大缺陷沒有包含在管理層內部控制評價報告中（如存在這種情況的話，應增加本句）?！痢林卮笕毕蓦m然已包含在管理層內部控制評價報告中，但未能在所有重大方面得到公允反映，[公允表達有關重大缺陷的必要信息]（如存在這種情況的話，應增加本句）。
有效的內部控制能夠為財務報告及相關信息真實完整、資產安全提供合理保證，而上述重大缺陷使××公司內部控制失去這一功能。
[如果上述重大缺陷對財務報表審計意見有影響，說明該影響。]
六、內部控制審計意見
我們認為，由于存在上述重大缺陷及其對實現控制目標的影響，截至××年×月×日，××公司未能按照《企業內部控制基本規范》和相關規定在所有重大方面保持有效的內部控制。
七、提及財務報表審計意見的類型
[參見標準審計報告相關段落表述]
××會計師事務所 中國注冊會計師：×××（簽名并蓋章）
（蓋章） 中國注冊會計師：×××（簽名并蓋章）
中國××市 ××年×月×日
4.無法表示意見審計報告
內部控制審計報告
××股份有限公司全體股東：
我們接受委托，對截至××年×月×日××股份有限公司（以下簡稱××公司）的內部控制進行審計。
[刪除注冊會計師的責任段，“一、管理層對內部控制的責任”、“二、內部控制審計的范圍”和“三、內部控制的固有局限性”參見標準審計報告相關段落表述。]
四、導致無法表示意見的事項
[描述審計范圍受到限制的具體情況]
五、內部控制審計意見
由于審計范圍受到上述限制，我們未能實施必要的審計程序以獲取發表意見所需的充分、適當證據，因此，我們無法對截至××年×月×日××公司內部控制的有效性發表意見。
六、識別的內部控制重大缺陷（如在審計范圍受到限制前，執行有限程序未能識別出重大缺陷，則應刪除本段）
重大缺陷是內部控制中存在的、可能導致不能及時防止或發現企業財務報表重大錯報的一項控制缺陷或多項控制缺陷的組合。
[指出注冊會計師已識別出的重大缺陷（包括在管理層內部控制評價報告中描述的由管理層識別的內部控制重大缺陷），并說明重大缺陷的性質以及重大缺陷在存在期間對企業編制的財務報表產生的實際和潛在影響等具體情況。]
其中，××重大缺陷沒有包含在管理層內部控制評價報告中（如存在這種情況的話，應增加本句）。××重大缺陷雖然已包含在管理層內部控制評價報告中，但未能在所有重大方面得到公允反映，[公允表達有關重大缺陷的必要信息]（如存在這種情況的話，應增加本句）。
有效的內部控制能夠為財務報告及相關信息真實完整、資產安全提供合理保證，而上述重大缺陷使××公司內部控制失去這一功能。
七、提及財務報表審計意見的類型
[參見標準審計報告相關段落表述]
××會計師事務所 中國注冊會計師：×××（簽名并蓋章）
（蓋章） 中國注冊會計師：×××（簽名并蓋章）
中國××市 ××年×月×日
