企业内部控制审计指引
第一章 总 则
第一条 为了规范注册会计师执行企业内部控制审计业务，明确工作要求，保证执业质量，根据《中国注册会计师鉴证业务基本准则》及相关执业准则，制定本指引。
第二条 本指引所称内部控制审计，是指会计师事务所接受委托，对截至特定日期企业内部控制的有效性进行审计，并发表审计意见。
本指引中内部控制审计的范围，主要是企业为了合理保证财务报告及相关信息真实完整、资产安全而设计和执行的内部控制。用以合理保证资产安全的内部控制，可能涉及合理保证经营效率和效果、经营管理合法合规的内部控制。
注册会计师在内部控制审计或财务报表审计中实施的程序并不是企业内部控制的组成部分。
第三条 在企业治理层的监督下，按照《企业内部控制基本规范》和相关规定，设计、实施和维护有效的内部控制，并评价其有效性是企业管理层的责任。按照本指引的要求，在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。
内部控制审计不能减轻企业管理层的责任。
第四条 有效的内部控制能够为财务报告及相关信息真实完整、资产安全提供合理保证。
如果存在一项或多项重大缺陷，内部控制应被认定为无效。
即使财务报表不存在重大错报，内部控制也可能存在重大缺陷。
第五条 注册会计师应当计划和实施审计工作，获取充分、适当的证据，为截至特定日期内部控制是否不存在重大缺陷提供合理保证，并作为支持审计意见的基础。
第二章 整合审计
第六条 注册会计师应当将内部控制审计与财务报表审计整合进行（以下简称整合审计）。
内部控制审计和财务报表审计的目标不同。注册会计师应当计划和实施审计工作，以同时实现两者的目标。
第七条 在整合审计中，注册会计师应当计划和实施对控制设计和运行有效性的测试，以同时实现下列目标：
（一）获取充分、适当的证据，支持其在内部控制审计中对内部控制的有效性发表的意见；
（二）获取充分、适当的证据，支持其在财务报表审计中对内部控制的风险评估结果。
第三章 计划审计工作
第一节 总体要求
第八条 注册会计师应当恰当地计划内部控制审计工作，并对助理人员进行适当的督导。
第九条 在计划整合审计工作时，注册会计师应当评价下列事项对财务报表和内部控制是否有重要影响，以及有重要影响的事项将如何影响审计工作：
（一）注册会计师执行其他业务时了解的情况；
（二）在评价是否接受与保持客户和业务时，注册会计师了解的与企业相关的风险情况；
（三）影响企业所处行业的事项，如行业财务报告惯例、经济状况和技术革新；
（四）与企业相关的法律法规；
（五）与企业经营相关的重要事项，包括组织结构、经营特征和资本结构；
（六）经营活动的复杂程度；
（七）经营活动或内部控制最近发生变化的程度；
（八）注册会计师对重要性、风险以及与确定内部控制重大缺陷相关的其他因素所作的初步判断；
（九）以前与审计委员会或管理层沟通过的控制缺陷；
（十）可获取的、与内部控制有效性相关的证据的类型和范围；
（十一）对内部控制有效性的初步判断；
（十二）与评价财务报表发生重大错报的可能性和内部控制有效性相关的公开信息。
第二节 风险评估的作用
第十条 在内部控制审计中，注册会计师应当以风险评估为基础，确定重要账户、列报及其相关认定，选择拟测试的控制，以及确定针对特定控制所需收集的证据。
第十一条 内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。
注册会计师应当更多地关注高风险领域，而没有必要测试那些即使有缺陷、也不可能导致财务报表重大错报的控制。
第十二条 在进行风险评估以及确定审计程序时，注册会计师应当考虑企业组织结构、经营流程或业务单元的复杂程度可能产生的重要影响。
第三节 调整审计工作
第十三条 企业组织结构、经营流程及业务单元的规模和复杂程度影响许多控制目标的实现方式。注册会计师应当根据企业具体情况调整审计工作，以获取充分、适当的证据，支持发表的审计意见。
第四节 应对舞弊风险
第十四条 在计划和实施内部控制审计工作时，注册会计师应当考虑财务报表审计中对舞弊风险的评估结果。在识别和测试企业层面控制以及选择其他控制进行测试时，注册会计师应当评价企业的控制是否足以应对已识别的、由舞弊导致的重大错报风险，并评价为应对管理层凌驾于控制之上的风险而设计的控制。
第十五条 在内部控制审计中，如果识别出旨在防止或发现舞弊的控制存在缺陷，注册会计师在财务报表审计中应当按照《中国注册会计师审计准则第1141号——财务报表审计中对舞弊的考虑》的规定，在制定应对重大错报风险的方案时考虑这些缺陷。
第五节 利用其他相关人员的工作
第十六条 注册会计师应当评估是否利用他人（包括企业的内部审计人员、其他人员以及在管理层或审计委员会指导下的第三方）的工作以及利用的程度，以减少可能本应由注册会计师执行的工作。
如果决定利用内部审计人员的工作，注册会计师应当按照《中国注册会计师审计准则第1411号——考虑内部审计工作》的规定办理。
第十七条 如果拟利用他人的工作，注册会计师应当评价该人员的专业胜任能力和客观性，以确定可利用程度。
第十八条 在内部控制审计中，注册会计师利用他人工作的程度还受到与被测试控制相关的风险的影响。与某项控制相关的风险越高，可利用他人工作的程度就越低，注册会计师应当越多地亲自对该项控制进行测试。