独立审计具体准则第9号——内部控制与审计风险

第一章　总则

第二章　一般原则

第三章　内部控制

第四章　审计风险

第五章　附则

第一章　总则

第一条　为了规范注册会计师在会计报表审计中研究与评价被审计单位的内部控制，评估审计风险，提高审计效率，保证执业质量，根据《独立审计基本准则》，制定本准则。

第二条　本准则所称内部控制，是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。内部控制包括控制环境、会计系统和控制程序。

第三条　本准则所称审计风险，是指会计报表存在重大错报或漏报，而注册会计师审计后发表不恰当审计意见的可能性。审计风险包括固有风险、控制风险和检查风险。

第四条　注册会计师执行会计报表审计以外的其他审计业务，除有特定要求者外，应当参照本准则办理。

第二章　一般原则

第五条　注册会计师编制审计计划时，应当研究与评价被审计单位的内部控制。

第六条　注册会计师应当对拟信赖的内部控制进行符合性测试，据以确定对实质性测试的性质、时间和范围的影响。

第七条　注册会计师应当保持应有的职业谨慎，合理运用专业判断，对审计风险进行评估，制定并实施相应的审计程序，以将审计风险降低至可接受的水平。

第八条　注册会计师应当将研究、评价内部控制和评估审计风险的过程及结果记录于审计工作底稿。

第三章　内部控制

第九条　建立健全内部控制是被审计单位管理当局的会计责任。相关内部控制一般应当实现以下目标：

（一）保证业务活动按照适当的授权进行；

（二）保证所有交易和事项以正确的金额，在恰当的会计期间及时记录于适当的账户，使会计报表的编制符合会计准则的相关要求；

（三）保证对资产和记录的接触、处理均经过适当的授权；

（四）保证账面资产与实存资产定期核对相符。

第十条　注册会计师在确定内部控制的可信赖程度时，应当保持应有的职业谨慎，充分关注内部控制的以下固有限制：

（一）内部控制的设计和运行受制于成本与效益原则；

（二）内部控制一般仅针对常规业务活动而设计；

（三）即使是设计完善的内部控制，也可能因执行人员的粗心大意、精力分散、判断失误以及对指令的误解而失效；

（四）内部控制可能因有关人员相互勾结、内外串通而失效；

（五）内部控制可能因执行人员滥用职权或屈从于外部压力而失效；

（六）内部控制可能因经营环境、业务性质的改变而削弱或失效。

第十一条　在编制审计计划时，注册会计师应当了解被审计单位内部控制的设计和运行情况。

在确定了解内部控制所应实施审计程序的性质、时间和范围时，注册会计师应当主要考虑下列因素：

（一）被审计单位经营规模及业务复杂程度；

（二）被审计单位数据处理系统类型及复杂程度；

（三）审计重要性；

（四）相关内部控制类型；

（五）相关内部控制的记录方式；

（六）固有风险的评估结果。

第十二条　注册会计师在了解内部控制时，应当合理利用以往的审计经验。对于重要的内部控制，通常还可实施以下程序：

（一）询问被审计单位有关人员，并查阅相关内部控制文件；

（二）检查内部控制生成的文件和记录；

（三）观察被审计单位的业务活动和内部控制的运行情况；

（四）选择若干具有代表性的交易和事项进行穿行测试。

第十三条　注册会计师应当充分了解控制环境，以评价被审计单位管理当局对内部控制及其重要性的态度、认识和措施。

影响控制环境的主要因素有：

（一）经营管理的观念、方式和风格；

（二）组织结构和权利、职责的划分方法；

（三）控制系统。

第十四条　注册会计师应当充分了解会计系统，以识别和理解：

（一）被审计单位交易和事项的主要类别；

（二）各类主要交易和事项的发生过程；

（三）重要的会计凭证、账簿记录以及会计报表项目；

（四）重大交易和事项的会计处理过程。

第十五条　注册会计师应当充分了解以下主要控制程序，以合理确定相关的审计程序：

（一）交易授权；

（二）职责划分；

（三）凭证与记录控制；

（四）资产接触与记录使用；

（五）独立稽核。

第十六条　内部审计是被审计单位控制系统的重要组成部分，注册会计师应当考虑下列因素，对内部审计工作质量进行研究和评价，以确定是否利用内部审计的工作结果：

（一）内部审计人员的独立性；

（二）内部审计人员的经验和能力；

（三）内部审计程序的性质、时间和范围；

（四）内部审计人员所获取的审计证据的充分性和适当性；

（五）管理当局对内部审计工作的重视程度。

第十七条　注册会计师可采用文字叙述、调查问卷、核对表、流程图等方法对内部控制进行了解和评价，并形成审计工作底稿。

第十八条　注册会计师应当将审计过程中注意到的内部控制重大缺陷，告知被审计单位管理当局。必要时，可出具管理建议书。

第四章　审计风险

第十九条　在编制总体审计计划时，注册会计师应当对会计报表整体的固有风险进行评估。固有风险是指假定不存在相关内部控制时，某一账户或交易类别单独或连同其他账户、交易类别产生重大错报或漏报的可能性。

第二十条　在编制具体审计计划时，注册会计师应当考虑固有风险的评估对各重要账户或交易类别的认定所产生的影响，或者直接假定这种认定的固有风险为高水平。

第二十一条　注册会计师应当合理运用专业判断，考虑下列事项，评估固有风险：

（一）管理人员的品行和能力；

（二）管理人员特别是财会人员的变动情况；

（三）管理人员遭受的异常压力；

（四）业务性质；

（五）影响被审计单位所在行业的环境因素；

（六）容易产生错报的会计报表项目；

（七）需要利用专家工作结果予以佐证的重要交易和事项的复杂程度；

（八）确定账户金额时，需要运用估计和判断的程度；

（九）容易受损失或被挪用的资产；

（十）会计期间内，尤其是临近会计期末发生的异常及复杂交易；

（十一）在正常的会计处理程序中容易被漏记的交易和事项。

第二十二条　注册会计师了解内部控制并评估固有风险后，应当对各重要账户或交易类别的相关认定所涉及的控制风险作出初步评估。控制风险是指某一账户或交易类别单独或连同其他账户、交易类别产生错报或漏报，而未能被内部控制防止、发现或纠正的可能性。

第二十三条　出现下列情况之一时，注册会计师应当将重要账户或交易类别的部分或全部认定的控制风险评估为高水平：

（一）被审计单位内部控制失效；

（二）注册会计师难以对内部控制的有效性作出评估；

（三）注册会计师不拟进行符合性测试。

第二十四条　注册会计师对某一会计报表认定的控制风险进行初步评估时，如果同时出现下列情况，不应将控制风险评估为高水平：

（一）相关的内部控制可能防止、发现或纠正重大错报或漏报；

（二）注册会计师拟进行符合性测试。

第二十五条　注册会计师如拟信赖内部控制，应当实施符合性测试程序，以评估控制风险。初步评估的控制风险水平越低，注册会计师就应获取越多的关于内部控制设计合理和运行有效的证据。

第二十六条　注册会计师可实施以下符合性测试程序：

（一）检查交易和事项的凭证；

（二）询问并实地观察未留下审计轨迹的内部控制的运行情况；

（三）重新实施相关内部控制程序。

第二十七条　出现下列情况之一时，注册会计师可不进行符合性测试，而直接实施实质性测试程序：

（一）相关内部控制不存在；

（二）相关内部控制虽然存在，但注册会计师通过了解发现其并未有效运行；

（三）符合性测试的工作量可能大于进行符合性测试所减少的实质性测试的工作量。

第二十八条　注册会计师应当根据符合性测试结果，评估内部控制的设计和运行是否与控制风险初步评估结论相一致。如果存在偏差，应当修正对控制风险的评估，并据以修改实质性测试程序的性质、时间和范围。

第二十九条　如持续接受委托，注册会计师可利用上期对内部控制的研究与评价资料，但应对其予以更新。

第三十条　注册会计师应当了解内部控制在所审计会计期间的运用是否一贯。如发生显著变动，应当考虑分别进行测试。

第三十一条　如期中审计已进行符合性测试，注册会计师在决定完全信赖其结果前，应当考虑以下因素，以进一步获取期中至期末的相关审计证据：

（一）期中审计符合性测试的结论；

（二）期中审计后剩余期间的长短；

（三）期中审计后内部控制的变动情况；

（四）期中审计后发生的交易和事项的性质及金额；

（五）拟实施的实质性测试程序。

第三十二条　终结审计之前，注册会计师应当根据实质性测试的结果和其他审计证据，对控制风险进行最终评估，并检查其是否与控制风险的初步评估结论相一致。如不一致，应当考虑是否追加相应的审计程序。

第三十三条　由于控制风险与固有风险相互联系，注册会计师应当对固有风险与控制风险进行综合评估，并据以作为检查风险的评估基础。

检查风险是指某一账户或交易类别单独或连同其他账户、交易类别产生重大错报或漏报，而未能被实质性测试发现的可能性。

固有风险及控制风险的评估对检查风险有直接影响，固有风险和控制风险的水平越高，注册会计师就应实施越详细的实质性测试程序，并着重考虑其性质、时间和范围，以将检查风险降低至可接受的水平。

第三十四条　不论固有风险和控制风险的评估结果如何，注册会计师均应对各重要账户或交易类别进行实质性测试。

第三十五条　如经实施有关审计程序，注册会计师仍认为某一重要账户或交易类别认定的检查风险不能降低至可接受的水平，应当发表保留意见或拒绝表示意见。

第三十六条　小规模企业的内部控制通常比较薄弱，固有风险和控制风险较高，注册会计师应当主要或全部依赖实质性测试程序获取审计证据，以将检查风险降低至可接受的水平。

第五章　附则

第三十七条　本准则由中国注册会计师协会负责解释。

第三十八条　本准则自1997年1月1日起施行。