略论内部控制审核与会计报表审计的关系

　　2001年6月，财政部发布《内部会计控制规范》，要求各单位建立适合本单位业务特点和管理要求的内部会计控制制度，并提出，单位可以聘请中介机构或相关专业人员对本单位内部会计控制的建立健全及实施进行评价，接受委托的中介机构或相关专业人员应当对委托单位内部会计控制中的重大缺陷提出书面报告。7月11日，中国注册会计师协会发布《独立审计实务公告—内部控制审核（征求意见稿）》，对注册会计师接受专门委托从事内部控制审核业务作出了规定。此前，由深圳证券交易所发布的《创业板上市公司招股说明书（征求意见稿）》也提出，发行人应当披露对内部控制制度完整性、合理性及有效性作出的说明，注册会计师应对发行人的内部控制制度进行审核，出具评价意见，发行人应披露注册会计师的评价意见。由此可以预见，内部控制审核可能很快将作为一项独立的鉴证业务得以发展，那么，内部控制审核与传统的会计报表审计究竟是什么关系呢？本文试图对此作出论述。

　　一、会计报表审计与内部控制的关系

　　早期的内部控制是以账簿之间的核对、账簿记录与财产的一致性以及会计报表数据可靠性为核心内容，与独立审计有着天然的血缘关系。内部控制被运用于独立审计，最初就是为保证会计信息的真实性。实践中，注册会计师认识到抽样审计可以与内部控制制度结合起来，使审计方式逐渐演进成以评审内部控制为着眼点。注册会计师通过对被审计单位内部控制进行研究和评价，根据内部控制的可信赖程度，确定审计抽样范围以及实质性测试的性质、时间和范围，以获取适当、充分的审计证据。独立审计也由此从传统的审计阶段进入到现代审计阶段。

　　1949年，美国注册会计师协会（AICPA）所属的审计程序委员会发布《内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告指出：内部控制是否健全及是否得到一贯遵行，对注册会计师审计质量的好坏及审计风险的大小有着举足轻重的影响。后来，AICPA又发布一系列公告，使内部控制审查逐渐成为一项必经的审计步骤。

　　90年代以来，我国也在颁布的一系列审计执业规范中明确了内部控制对于会计报表审计的重要作用。比如：《独立审计基本准则》规定，“注册会计师应当评价和研究被审计单位的相关内部控制制度，据以确定实质性测试的性质、时间和范围”；《独立审计具体准则第1号-会计报表审计》要求，“注册会计师应当在对被审计单位相关内部控制制度进行调查、研究和评价的基础上，确定审计程序和方法”；《独立审计具体准则第9号—内部控制和审计风险》要求，注册会计师在编制审计计划时，应当研究和评价被审计单位的内部控制，并指出内部控制包括控制环境、会计系统和控制程序三个方面的内容。然而，透视内部控制发展的现状，不难发现这种内部控制评价和研究仅仅是作为整个会计报表审计程序中的一个步骤，加之企业内部控制基础的薄弱，实践中在很大程度上不免流于形式。

　　随着人们对会计报表审计中内部控制重要性认识的加深，对内部控制进行单独评价及报告逐渐浮出水面。企业对外出具内部控制报告，注册会计师对企业内部控制报告出具审核意见，加重了企业管理当局及注册会计师的责任。企业管理当局出于减轻自身责任及企业长期利益的考虑，需要在注册会计师的协助下真正关注内部控制的缺陷与缺失，不断健全与完善企业的内部控制。同时，注册会计师也会为降低自身的审计风险而加强审计质量控制并督促企业改进内部控制。由此，可降低企业营运的风险，提高企业营运的效率和效果，也保护了投资者的利益，提高了企业对外出具的财务报告及其他披露信息的可靠性，增加了证券市场的透明度和有效性。

　　二、内部控制审核与会计报表审计的关系

　　如前所述，会计报表审计与内部控制存在天然的关系，会计报表审计原包含评价和研究内部控制的内容，如果把内部控制审核作为一项专门的业务独立出来，是否会影响会计报表审计意见的可靠性，甚至削弱会计报表审计的必要性呢？笔者认为，这关键是看两者的关系如何定位。

　　首先，独立审计的业务范围从会计报表鉴证拓展到内部控制报告鉴证的根本原因在于经营管理责任的演化。当公司所有者将会计信息以外领域的责任，如组织、计划、协调、企业文化等委托给公司经营者时，经营者自然要承担并履行责任。所有者不仅关心会计报表审计所提供的会计信息，还要关注包含上述内容的内部控制的建立和执行情况，并对内部控制作出评价和审核。相应地，独立审计鉴证的内容也会随之扩展。因此，通过会计报表审计披露会计信息的同时，对内部控制进行单独审核及报告是经营管理责任深化的结果，会计报表审计并不能完全替代内部控制审核的内容。

　　其次，会计报表审计是注册会计师对公司管理当局提供的会计报表的合法性、公允性和一贯性作出鉴证，以增强会计报表的可信性。内部控制审核是注册会计师对公司管理当局就其内部控制的完整性、合理性及有效性所作的认定进行鉴证，并发表评价意见，以满足利害关系人对管理信息的需求。从两者的报告内容看，审计报告仅是对年度或短期会计信息的鉴证，范围较小，时效也较短；内部控制评价报告则是对经营效率效果、会计信息可靠性、法令遵循性等目标的实现而提供合理保证的过程的鉴证，范围广，时效也较长。因此，内部控制审核报告是对审计报告所提供信息的有益补充，内部控制审核无疑会增强会计报表审计的可靠性。

　　第三，内部控制审核是对过程的鉴证，而会计报表审计是对结果的鉴证，因此，在报告结论上，内部控制审核必然会对会计报表审计产生一定的影响。但这种影响本身也是相对的。因为审计报告所揭示的会计信息的合法、公允和一贯性，并不表示内部控制一定是完整、合理及有效的；而内部控制在完整性、合理性或有效性上存在重大缺失，也并不等于会计报表不可信。所以，不能认为审计报告与内部控制审核报告的意见类型是完全一致的。实际上，内部控制审核与会计报表审计应是相辅相成的，共同为增加资本市场的透明度及有效性发挥重要作用。