深圳证监局会计监管工作通讯2013年第3期（总第3期）
编者按
为加强深圳证监局与审计与评估行业的沟通交流，优化服务机制，促进审计与评估机构执业质量的提高，全面提升审计与评估机构服务资本市场的能力，自2013年起深圳证监局会计监管处不定期编印《深圳证监局会计监管工作通讯》，通报深圳资本市场会计监管信息，并在深圳辖区证券期货相关机构、辖区执业审计与评估机构范围内发布。今后，《会计监管工作通讯》还将设置上市公司内控建设、监管动态、经验交流、案例选编、课题研究等栏目。欢迎各单位提出意见建议并积极投稿：jiangxf＠csrc.gov.cn
本期导读
本期《会计监管工作通讯》为内控专刊，重点关注了中国上市公司2011年度内部控制信息披露的状况，归纳整理了上市公司内控建设的最新资讯。针对会计师事务所内控审计执业，通报了深圳上市公司2011年内部控制审计的常见问题。主要包括：
- 【深圳上市公司内控实施试点工作要求】
- 【中国上市公司内部控制信息披露状况】
- 【上市公司内控建设资讯速递】
- 【内控审计执业风险提示】
【深圳上市公司内控实施试点工作要求】
按照中国证监会的部署，深圳作为内部控制规范整体试点辖区，全部74家主板上市公司自2011年起实施《企业内部控制规范》及其配套指引。结合辖区整体试点情况，深圳证监局于2012年9月下发了《关于做好深圳上市公司分类分批实施企业内部控制规范体系有关工作的通知》（深证局公司字〔2012〕66号），要求已完成内控体系建设工作的30家主板公司持续优化内控体系及运行机制。其他44家主板试点公司中，22家由中央和地方国有控股的公司在披露2012年公司年报的同时，应披露董事会对公司内部控制的自我评价报告及内控审计报告；其余22家非国有控股主板试点公司，除因涉及破产重整、借壳上市或重大资产重组，无法按照规定时间建立健全内控体系的公司外，在披露2012年公司年报的同时，应披露董事会对公司内部控制的自我评价报告。鼓励上述22家非国有控股主板试点公司在2012年完成内控体系建设工作，聘请内控审计机构进行内部控制审计，并披露内控审计报告。
【中国上市公司内部控制信息披露状况】
——以下数据来源于《中国上市公司2012年内部控制白皮书》
2011年，我国68家境内外同时上市的公司和216家内控试点上市公司依据《企业内部控制基本规范》和《企业内部控制配套指引》实施内部控制基本规范。经统计分析，中国上市公司内部控制信息披露状况如下：
一、2011年内部控制自我评价报告的披露情况
2011年，在沪、深交易所2340家上市公司中，1844家上市公司披露了内部控制自我评价报告，占总样本量的78.80%，496家上市公司未披露内部控制自我评价报告，占总样本量的21.20%。
图1：2011年披露内部控制自我评价报告的状况
在1844家披露了内部控制自我评价报告的上市公司中，1841家上市公司认为自身的内部控制体系是有效的，不存在重大缺陷，占总样本量的99.84%；1家上市公司未出具结论，占总样本量的0.05%；仅2家上市公司认为自身的内部控制体系未得到有效实施，占总样本量的0.11%。
图2：2011年内部控制自我评价报告的结论
对比2008-2011四年上市公司披露内部控制自我评价报告的状况，如图3所示：2008年，在所有A股上市的1602家公司中，1076家公司披露了内部控制自我评价报告，526家公司未披露内部控制自我评价报告；2009年，在所有A股上市的1763家公司中，1108家公司披露了内部控制自我评价报告，655家公司未披露内部控制自我评价报告；2010年，在所有A股上市的2105家公司中，1618家公司披露了内部控制自我评价报告，487家公司未披露内部控制自我评价报告；2011年，在所有A股上市的2340家公司中，1844家披露了内部控制自我评价报告，496家未披露内部控制自我评价报告。
图3： 2008-2011年内部控制自我评价报告披露状况
2008-2011四年上市公司披露内部控制自我评价报告的比例：2008年上市公司披露内部控制自我评价报告的比例为67.17%，2009年披露的比例为62.85%，2010年披露的比例为76.86%，2011年披露的比例为78.80%。
图4 2008-2011年披露内部控制自我评价报告的比例
二、2011年内部控制审计报告的披露情况
2011年，在沪深交易所2340家上市公司中，941家上市公司聘请会计师事务所出具了内部控制审计报告（含内控鉴证报告），占总样本量的40.21%，1399家上市公司未聘请会计师事务所出具内部控制审计报告，占总样本量的59.79%。
图5 2011年出具内部控制审计报告（含内控鉴证报告）的状况
在941家聘请了会计事务所出具内部控制审计报告的上市公司中，会计师事务所对其中936家上市公司的内部控制体系出具的为标准无保留意见，占总样本量的99.47%；4家上市公司的内部控制体系被会计师事务所出具了带强调事项段的无保留意见，占总样本量的0.43%；1家上市公司的内部控制体系被会计师事务所出具了否定意见，占总样本量的0.11%。
图6 2011年内控审计报告中内部控制有效性的审计意见
对比2008-2011四年内部控制审计报告的出具状况：2008年，在所有A股上市的1602家公司中，316家公司出具了内部控制审计报告，1286家公司未出具内部控制审计报告；2009年，在所有A股上市的1763家公司中，627家公司出具了内部控制审计报告，1136家未出具内部控制审计报告；2010年，在所有A股上市的2105家公司中，875家公司出具了内部控制审计报告，1230家公司未出具内部控制审计报告；2011年，在所有A股上市的2340家公司中，941家公司出具了内部控制审计报告，1399家公司未出具内部控制审计报告。
图7 2008-2011年内部控制审计报告的出具状况
2008-2011四年上市公司聘请会计师事务所出具内部控制审计报告的比例：2008年上市公司聘请会计师事务所出具内部控制审计报告的比例为19.73%，2009年出具内部控制审计报告的比例为35.56%，2010年出具内部控制审计报告的比例为41.57%，2011年出具内部控制审计报告的比例为40.21%。
图8 2008-2011年内部控制审计报告的出具比例
三、上市公司内部控制缺陷披露情况
在2340家上市公司中，156家上市公司在内部控制自我评价报告中披露其存在内部控制缺陷，占比6.67%；2184家未披露内部控制缺陷，占比93.33%。
图9 2011年披露内部控制缺陷上市公司数量
在156家披露了内部控制缺陷的上市公司中，有3家披露了重大缺陷，有11家披露了重要缺陷，有149家披露了一般缺陷。
图10 2011年披露内部控制各等级缺陷的上市公司数量
【上市公司内控建设资讯速递】
一、中国证监会刘新华副主席为《中国企业内部控制建设征文集选（2011年）》作序：加强内控建设，推进资本市场健康发展
相对于西方成熟资本市场，我国的资本市场起步较晚，但从创立至今，已经历了从小到大的跨越式发展过程。目前，我国资本市场上有2300多家上市公司，包括国有控股企业和民营企业等各类所有制企业，涵盖了国民经济的各个主要行业和领域。资本市场对于上市公司而言，不单单是融资场所或交易平台，其高效透明的体制不断督促上市公司挖掘内生的发展潜力，促进上市公司整体素质的提高。随着资本市场不断改革与发展，科学发展成为资本市场的主导理念，最大限度地保护投资者合法权益成为资本市场的主旋律。市场经济条件下的直接融资有助于提高资源的配置效率、提高经济发展的质量，但要提高直接融资比例，首先要保证资本市场的有效性。作为资本市场最基本的单元——上市公司的资源利用效率、内部管理运作水平、向投资者报告信息的质量等是资本市场有效性的前提。同时，随着经济社会的发展，市场竞争的日趋激烈、经济业务的多样化和复杂化的增加，如何以最优的方式提高战略决策和管理水平、建立和谐稳定的企业文化，保证财务信息的真实完整，正在成为监管机构和市场主体共同探索的课题。
继美国《萨班斯法案》提出上市公司要建立健全与财务报告相关的内部控制以后，通过完善内部控制促进企业管理和财务报告信息质量的提升已经成为世界各主要资本市场监管机构广泛的共识。企业内部控制，是企业的管理手段，更是公司治理的手段。有效的内部控制，可以在职能化管理的基础上，辅之以流程化管理，形成多维、立体的管控体系，从而达到帮助企业全面了解可能面临的风险，采取措施降低或化解风险的目的，促进企业实现科学化发展。良好的内部控制是与企业管理相伴相生的一个过程，只有起点，没有终点。同时，内部控制是一个系统性工程，企业的流程和制度制约着每一个人，靠每一个人身体力行地贯彻执行。对于上市公司来说，良好的内部控制可以促进管理目标的实现、提高对外财务报告信息的质量，从而提高投资者的信心。
2011年，在证监会、财政部等部门的大力推动下，200多家公司全方位实施了企业内部控制规范体系，成为资本市场各类主体建立内部控制的先导。他们大胆尝试将内部控制与企业管理体制相结合，创造出了很多有成效的方法和有益的经验。当然，按照内部控制要素建立健全内部控制工作对许多公司还是一项新的尝试和探索，公司在建设内控过程中也存在一些共性的问题，如对内控工作认识不到位，风险的梳理和控制措施的制定仅局限于操作层面，管理层游离于内控体系之外；对内控工作的本质理解不深，未结合行业和经营管理特点，简单照搬规范指引的规定，造成内控与管理缺乏有效融合；过于依赖外部咨询中介机构的力量，造成内控体系落地、实施及后续持续改进的困难；内控建设范围界定不合理，事无巨细，造成成本的耗费和控制的冗余等。值我国资本市场主板上市公司全面执行内控规范体系之际，欣闻由财政部会计司、证监会会计部和中国会计报共同组织的企业内部控制征文活动得到了企业与业内人士的大力支持及参与，有见地的文章层出不穷。这些文章体现了作者结合我国实际，对内控建设理论和实践的深入思考和探索。希望本书总结出的思想精华和有益经验，可以为后续上市公司的内控建设提供他山之石，可以为有关方面了解内控建设的规律提供有益的思路，可以成为提醒企业管理者居安思危的有益借鉴，使我国资本市场内控建设工作更有成效，资本市场长远发展的基础性工作更加坚实。
二、财政部会计司杨敏司长讲话：贯彻落实党的十八大精神 会计工作要重点抓好三项工作
2013年2月，财政部会计司杨敏司长“贯彻落实党的十八大精神 会计工作要重点抓好三项工作”的讲话指出，加强企业内部控制规范体系建设与实施将有力促进我国企业提高自身经营管理水平。加强和改善企业内部控制，已成为当今世界资本市场发展的基础性工作之一。为此，财政部联合证监会、审计署、银监会、保监会等五部委分别发布了《企业内部控制基本规范》和《企业内部控制配套指引》，标志着我国企业内部控制规范体系建成，并自2011年1月1日起在我国上市公司和大中型企业分步实施。当前，我们要推动企业内部控制规范体系实施范围扩大到所有主板上市公司和中央企业集团，这将全面提升我国上市公司和国有大中型企业经营管理水平和风险防范能力，为我国企业实施“走出去”战略、进入国际市场、参与国际竞争，提供 “安全网”和“防火墙”。
三、中国注册会计师协会副会长兼秘书长陈毓圭在2012年上市公司内控建设评价与审计峰会上的讲话：内部控制审计制度是上市公司重要的制度创新
刚闭幕的党的十八大，系统总结了过去五年的工作和十年的奋斗历程，深刻阐述了全面建成小康社会和全面深化改革开放的宏伟目标，为我们指明了新的前进方向。要实现这个目标，有许多工作要做，其中经济发展方式转变和制度创新无疑是十分重要的方面。习近平总书记在十八届中央政治局第一次集体学习时强调，要把制度建设摆在突出位置，坚持以实践基础上的理论创新推动制度创新，坚持和完善现有制度，从实际出发，及时制定一些新的制度，构建系统完备、科学规范、运行有效的制度体系，使各方面制度更加成熟更加定型，为夺取中国特色社会主义新胜利提供更加有效的制度保障。资本市场是需要加强制度创新的一个重要领域。当前，我国证券市场活力不足、股市持续低迷。其中原因，既有市场需求不足、技术升级缓慢、盈利能力差等技术方面的，也有公司治理缺失、管理薄弱、监管错位等制度方面的。创新企业管理、完善资本市场信息披露、改革市场发行和监管，已经成为促进资本市场健康发展的长久之策。世界各国和国际组织也都十分重视制度方面的建设。金融稳定理事会、联合国贸发会议、世界银行等机构将会计准则、审计准则、内部控制规范和公司治理规则等制度作为维护金融和市场稳定、实现持续发展的基础设施。在诸多的制度建设任务中，内部控制制度和内部控制审计制度是一个重要方面。一个负责任的企业家，应当是一个重视内部控制和内部管理的企业家；一个企业的成功，必然伴随着内部控制和内部管理的成功。
关于内部控制的价值，我想至少有以下三个方面：首先，内部控制是防范经营风险的机制保障。一方面，信息技术的飞速发展、金融创新的层出不穷、市场经济的瞬息万变、企业组织架构的日益复杂，给作为市场主体的企业带来无限机会和可能的同时，也带来了巨大的挑战和风险。内部控制作为企业识别、防范和化解风险的防火墙，是防范企业财务报告错误和舞弊行为的第一道防线，也是保证企业经营活动合法合规的屏障，起着为企业保驾护航的作用。另一方面，企业微观层面的风险，如果防范处理不当，可能累积放大为宏观层面的风险。近几年来，世界经济受到全球性金融危机的严重冲击，而金融危机爆发的重要原因之一就是金融机构的内部控制出了问题，加上监管制度没有跟上，最终累积为全球危机。其次，内部控制是提高经营效率的制度工具。内部控制的目标之一，就是提高企业经营的效率和效果。当前，高投入、低产出的格局严重制约着我国经济的可持续发展和企业的盈利能力。内部控制作为企业科学管理的重要手段，有助于实现以最少的投入，获取最大的产出，从而有助于提高企业的经济效益。最后，内部控制是提升我国企业国际竞争力的治本之策。随着我国经济的进一步对外开放，越来越多的中国企业将赴境外资本市场融资，参与国际竞争，跨国并购已日益成为企业做大做强的重要选择。中国企业能否获得境外投资者的青睐，在对外合并联合后，能否实现有效的制度整合，很大程度上取决于他们是否具备一套健全有效的内部控制机制。
搞好内部控制，有必要认识其全部意义。至少有以下几点是值得认识和把握的：第一，从内部控制的功能来看，已从早期查错防弊，发展到今天的风险防范机制，内部控制的目标相应拓展为合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。第二，从内部控制的内涵来看，已从早期的会计控制措施，发展到包括控制环境、风险评估、控制措施、信息系统与沟通、控制监督等五个要素在内的内部控制系统。早期的内部控制以业务授权、职责分工、定期核对等会计控制为基本内容。随着企业规模日益壮大，组织形式越来越多样化，组织结构也越来越复杂，导致企业经营管理的风险增加，传统的单一、散乱、缺乏体系的内部牵制已经无法满足企业日益发展的需要，内部控制系统应运而生。第三，从内部控制的监管要求看，已从早期的金融证券等特殊高风险行业，发展到所有的公众利益实体都需要建设内部控制、进行自我评价，并聘请外部审计机构对财务报告内部控制进行独立审计。美国安然、世通财务舞弊事件发生后，不少国家的监管机构将监管重心从单纯注重财务报告本身的信息质量，转向财务报告本身信息质量与建立健全财务报告信息质量保证体系并重。财务报告内部控制审计制度应运而生。财政部等部委联合发布的内部控制基本规范，将内部控制审计作为法定要求加以规定。
内部控制功能的拓展、内涵的丰富、监管要求的提高，都对内部控制建设主体提出了新的努力方向。对我国企业来说，现代内部控制理念引入较晚，内部控制制度水平有待提高，内部控制建设仍面临着更多需要注意的问题。如何搞好内部控制，我认为至少在以下三个方面需要加强：一是观念的转变。当前，相当部分企业只注重短期效益，对建设完善内部控制这项长治久安的系统性工程认识不足，重视不够，积极性不高，更多的是出于应付监管方面要求的需要，抱着“达标”或“过关”的心态建设完善内控。内控建设到位，需要企业全体人员形成重视、尊重和自觉遵守内部控制的文化。二是资源的投入。内部控制是一项系统性工程，绝非一日之功，也非一劳永逸的事。内部控制制度的建立健全，需要企业根据自身的具体情况，制定一套实施方案，成立或指定专门的工作机构或工作人员，健全风险评估机制，梳理风险管控流程，完善各项经营管理制度，优化内部信息系统，建立内控责任与员工绩效考评相挂钩的机制，这一切，都需要投入大量的资源。同时，内部控制制度的建设和有效实施，还需要配备充足的、有胜任能力的人员，这对企业的人才队伍建设，也提出了更高要求。三是内控与业务的融合。内部控制建设的最终目的是为了有效控制风险和促进企业的经营管理，要切实把内控建设与企业的各项经营管理活动特别是关键业务环节紧密结合，探索适合本企业业务特点的内控机制，避免内控与业务“两张皮”。
为了贯彻落实内部控制审计制度，中注协制订了内部控制审计指引实施意见和工作底稿编制指南，举办了相关培训，并将在事务所执业质量检查中把内部控制审计作为检查工作的重点。为保证内部控制审计实施到位，需要会计师事务所作为一项重大战略任务来落实。第一，会计师事务所要高度重视内部控制审计业务，将其作为一项独立业务做好、做实、做到位；第二，会计师事务所要积极参加培训，认真学习相关制度和文件精神；第三，会计师事务所要尽早修改业务操作规程，建立和完善内部控制审计业务质量控制体系。
企业是内部控制规范建设和执行的主体，对内部控制的有效性承担主体责任。为了将内部控制审计业务做好做实做到位，提出以下建议：首先，企业治理层和管理层应高度重视内部控制规范体系建设实施工作。要建立健全内部控制领导体制和组织机构，根据基本规范及配套指引的要求，大力推动内部控制规范体系实施，对业务流程进行系统梳理，识别重要业务流程、流程中容易出错的环节、关键控制点，并抓紧开展内部控制自我评价工作，查漏补缺，为会计师事务所开展内部控制审计工作奠定良好的基础。其次，倚重注册会计师的专业优势。从国际会计行业发展趋势看，注册会计师的职业价值正从经济鉴证向价值管理转变，从合规性治理向经营性治理和风险管理转变。注册会计师对企业内部控制的鉴证和咨询，不仅能够提升企业信息披露的透明度，增强投资者对企业财务信息可靠性的信心，同时也能推动企业将内部控制规范落到实处，促进企业加强内部控制规范建设，提升财务报告风险防范能力。再次，尊重注册会计师的专业工作。一方面，内部控制是一个不断完善的动态过程，是企业管理层与注册会计师互动的过程，企业应当尊重注册会计师的专业判断，根据注册会计师的建议去完善内部控制。另一方面，企业应充分理解内部控制审计工作是一项独立的工作，需要事务所增加新的投入，承担新的风险，所以应签署独立的服务合同。最后，与内部控制审计工作的良性互动。企业应充分认识内部控制审计业务的特点，在开展内部控制自我评价工作时，及时与注册会计师沟通和互动，提高自我评价工作的可利用程度，降低审计成本，提高工作效率。一方面，企业应为注册会计师的审计工作提供必要的支持。内部控制绝不是企业财务部门的事，牵涉到公司的治理结构、人力资源政策和程序、业务流程、信息技术等各个方面。在内部控制审计过程中，注册会计师为获取充分、适当的审计证据，需要与企业各个层次和部门的人员打交道。因此，企业应当为注册会计师履责提供充分的支持。另一方面，企业须尽早落实聘请会计师事务所进行内部控制审计的事宜。尽早聘请会计师事务所可以为缺陷整改留下足够的时间，避免事后被动。鉴于财务报表审计与内部控制审计之间的紧密联系，由同一家会计师事务所进行这两项审计工作可能更有助于工作效率和效果。
总之，内部控制建设是企业持续健康发展的治本之策和必然选择，搞好内部控制，需要监管部门、上市公司和会计师事务所携手合作，共同努力。注册会计师行业的同志们愿意为上市公司内部控制制度建设和证券市场的健康发展作出自己最大的努力。
四、财政部将分行业指导企业内部控制建设，部分行业内控操作指南将“出炉”
2013年，财政部会计司将在准则制度建设、内控、会计信息化建设以及行业建设等方面持续推进，寻找突破口，进一步发挥会计在经济财政工作中的基础性作用。据财政部会计司负责人介绍，财政部将分行业指导企业建设内控，如制定发布《石油石化行业内部控制操作指南》，研究电力等行业内部控制操作指南等。
五、多家央企公司集中设立财务公司，风险管理体系待完善
截至目前，国内企业集团财务公司总数超过150家，多数央企已设立财务公司，财务公司成为管理集团资金和运营创新的重要部门。从近期设立财务公司的企业来看，其行业范围覆盖传统的能源电力、机械制造业以及新兴的高科技、服务等民生产业，涵盖多种所有制企业，分布地区从东南部沿海延伸到中西部内陆。除大型央企外，一些中小企业也开始酝酿设立财务公司，满足日益扩大的资金运营需求。
虽然财务公司发展迅猛，但存在一些风险和隐忧还亟待解决。风险管理问题将是伴随财务公司终生发展的重大问题。财务公司面临着市场风险、经营风险和操作风险等多种风险，完善的风险管理体系是保障财务公司安全运行的关键。近来一些财务公司在发展过程中并不重视风险管理和内部控制，其不规范的经营运作积聚了大量金融风险，信贷放款、投资规模、期限结构和经济周期波动等都有可能成为影响财务公司经营的风险因素。此外，法人结构问题、与集团公司关系问题等也是财务公司发展过程中需要关注并解决的问题。
【内控审计执业风险提示】
深圳上市公司2011年内部控制审计常见问题通报
2012年下半年，深圳证监局对辖区7家上市公司的内部控制审计项目执业质量进行了检查，并于10月份联合深圳市注册会计师协会举办了“深圳上市公司内部控制审计经验交流会”。检查结果显示，内部控制审计执业存在的问题较多，突出表现在对内部控制审计方法领会有限、实务操作经验欠缺等方面。2013年，深圳辖区将有更多的上市公司完成内控体系建设工作，聘请会计师事务所进行内控审计。为了促进会计师事务所更好地开展内控审计相关工作，掌握内控审计的方法及审计重点，现将我局检查关注到的内控审计常见问题予以通报。请辖区内执业注册会计师在执行内控审计时逐项对照查找执业存在的问题，切实整改，进一步提高内控审计执业质量。
一、风险评估程序流于形式，内部控制审计缺乏方向性
注册会计师应对内部控制的有效性等重要事项进行风险评估，据以确定相关测试的性质、时间和范围。风险评估程序是内部控制审计的核心所在。检查发现，部分注册会计师未能严格执行风险评估程序，并据以确定拟选择的测试范围和所需收集的证据类型等重要事项。如我局在对某项目实施监管中关注到，注册会计师完全没有执行风险评估程序，审计主体的确定存在较大随意性；重要会计科目、重要业务流程的确定缺少依据；内部控制审计的重点不明确，存在盲目性。
二、内部控制审计流程体系及底稿尚待完善
部分会计师事务所尚未形成规范统一的内部控制审计流程和内部控制审计工作底稿体系；部分会计师事务所虽已初步形成统一的内部控制审计流程和内部控制审计工作底稿体系，但不能满足实际内部控制审计执业需求。此外，部分会计师事务所内控审计项目的部分审计工作底稿缺失，审计工作底稿归档散乱，缺乏系统化。
三、内控审计进场时间普遍较晚，难以保证内部控制审计质量
内部控制审计对审计的时间要求较为严格，对于首次接受委托的项目，因部分内控缺陷整改后运行时间原则上要求在3个月以上，故较为妥当的进场时间应该在第二季度末，不能晚于第三季度末，以期预留充分的内控缺陷整改和再测试时间。我局在对某项目实施监管中关注到，注册会计师在当年11月进场进行第一轮测试，内控审计进场时点严重滞后，导致无法预留充足的内控缺陷整改时间和再测试时间，难以保证审计结论的公允性；部分内部控制审计项目仅有一轮测试，无法保证内部控制审计质量。
四、内控审计范围的确定缺乏清晰记录，部分重要流程未纳入审计范围
检查发现，部分注册会计师在审计工作底稿中缺少确定内控审计范围、确定重要性、确定重要会计科目、确定重要业务流程的相关记录；部分注册会计师仅对被审计单位实施内部控制建设的主体及流程进行内部控制审计，缺少对其他主体重要流程的关注。我局在对某项目实施监管中关注到，注册会计师将内控审计范围仅限定在公司纳入2011年度财务报告内部控制建设和自我评价范围的母公司及所选取的重要子公司，在没有进行集团内控审计的情况下，却对集团整体范围进行了内控审计评价，不能满足内控审计完整性的要求。
五、信息系统审计薄弱，制约了内控审计效果的提升
目前，上市公司大部分已实现ERP系统、财务系统、OA办公系统的信息化管理。如果注册会计师无法对被审单位信息系统进行有效审计，则无法对收入、成本核算等重要事项的内部控制有效性进行合理判断，无法确保内部控制审计效果。检查发现，部分注册会计师由于审计理念、缺乏IT专业人员等原因，普遍未能有效开展信息系统审计测试工作；部分注册会计师仅采用调查问卷方式了解被审单位信息系统相关情况。
六、内控缺陷的认定标准过于简单，随意性较大
《企业内部控制审计指引》仅对内控缺陷认定标准做出了原则性规定，注册会计师在内部控制审计过程中需要结合具体情况，对相关缺陷是否构成重大缺陷、重要缺陷或一般缺陷予以判定，尤其需要基于定量结合定性的方式，综合制定缺陷认定标准。检查发现，部分注册会计师对内控缺陷的认定标准更多地选择数量标准，且部分内控缺陷认定标准过于随意；部分内控审计项目的审计工作底稿显示，公司重要主体的重要风险事项的控制活动缺失或未能有效发挥作用，但注册会计师没有评估相关缺陷的影响并实施缺陷认定程序，也没有在内控审计报告中予以反映。此外，公司自身未制定清晰的、具有可实施性的内部控制缺陷评估标准也是导致内部控制审计缺陷认定标准问题突出的重要因素。
七、内控审计复核流于形式，未能有效发挥作用
会计师事务所应制定程序和方法，解决项目质量控制复核人员的委派问题，质量控制复核人员应客观地评价项目组所做出的重大判断以及内部控制审计报告时得出的结论。检查发现，部分内控审计项目的审计工作底稿已经记录了被审单位存在风险缺陷，但审计结论未能反映相关情况，质量复核也没有及时关注，质量复核机制流于形式，未能有效发挥作用。
八、内部控制审计人员经验不足，抽样方法简单
检查发现，部分会计师事务所的内控审计执业人员内部控制审计执业经验有限；部分注册会计师对内部控制审计缺乏深刻认识，对内部控制审计方法不熟悉。实施内控审计时，抽样测试的方法不科学，样本覆盖面不足或样本选取数量不足，难以确保内部控制审计效果。如我局在对某项目实施监管中关注到，注册会计师抽查的收入流程相关样本仅局限在当年9月以前，而没有抽取第四季度的样本，不足以对截至当年底的内部控制的有效性发表意见。