通常情况，内部控制制度审计可按以下步骤进行： 一、调查了解和初步评价企业的内控制度 在对内部控制制度调查了解时，审计人员可先将企业的经济业务划分为若干业务循环，如：收入循环、支出循环、销售循环等，然后针对每一业务循环，从内部控制制度审计的具体内容出发，按照每一项内容所要实现的调查目标和所要了解的问题，去进行调查了解。调查的方法包括：询问被审计单位的相关人员，查阅被审计单位相关文件记录及会计报表资料，观察被审计单位经济业务活动的运行，考虑以前年度审计过程中所了解到的相关情况及其变化，复核以前年度审计工作底稿等。审计人员在调查了解一个企业的内部控制制度时，应抓住该企业的特点，确定其内部控制制度中的关键控制点，进行重点调查，以合理保证发现内部控制制度中潜在的薄弱点，促进内部控制制度更健全完善。对于审计人员调查了解到的情况，可运用文字叙述备忘录、问卷、流程图等方法记录于审计工作底稿中，为形成恰当的结论提供审计证据。 二、测试和评价企业的内控制度 符合性测试是在了解内部控制制度的基础上，搜集必要的证据，以确定内部控制制度设计和执行的有效性。符合性测试的程序可以包括两部分： 1.初步控制测试 初步控制测试，又可称为同步符合性测试。审计人员在调查了解内部控制制度时，需要运用一定的方法，执行一定的程序。在这个调查了解过程中，往往可以获得有关控制政策和程序是否有效的证据，可以对控制系统控制力的强弱有个初步评价，即可初步估计一下控制风险的大小。例如，审计人员在调查了解内部控制制度时，可能会询问企业的预算制度是否存在，同时还会询问有关预算报告以及管理层追查预算差异的情况，这样就可以使审计人员据此初步确定预算控制制度是否有效执行。因此，对内部控制制度的调查了解过程也可称为初步控制测试。 2.额外控制测试 额外控制测试是否实施，一般有两个判断标准：（1）是否有可能进一步降低控制风险的估计值；（2）额外控制测试是否符合成本效益原则。对于被审计单位的内部控制制度，在调查了解和初步控制测试过程中，如果审计人员已认定其某方面的控制系统不存在和无效，那么即使再进一步实行额外控制测试，也会得到同样的结论，此时就应直接以最高控制风险水平为基点设计实质性测试程序；如果审计人员通过额外控制测试可获得额外证据以支持控制风险估计值降低，且进一步执行额外控制测试程序所花费的成本小于因控制风险水平降低而减少实质性测试所节约的成本，那么此时就应当采取额外控制测试。 额外控制测试一般有三种方法：即穿行测试法、观察法、凭证抽查法。穿行测试是指审计人员将业务在客户控制系统内穿行一遍，以确认业务是否被适当地执行和记录。通过这种穿行测试，审计人员可以检测控制系统对其监控下的各种业务中所含有的差错进行辨别和改正的能力。例如：假定在销售循环中可能包含有售价不实，对新客户没有进行信用核准，客户已超出信用额度，销售发票填写内容不齐全，数额加总错误等情况。在进行穿行测试时，审计人员就要把上述假定的违背重要控制制度的业务处理带入客户的内部控制系统，以观察这些业务处理在控制系统内穿行一遍后的结果如何。如果这些业务处理中的错误能够被有效地发现，则可说明该企业销售循环的内控系统能有效地发挥作用，是可值得依赖的，其控制风险估计值较低。反之，如果这些错误不能被发现或只被发现了其中的某几项，则该企业应借助测试的结果，针对销售循环内控系统中薄弱不健全的地方进行完善充实，从而降低控制风险。通过这样的测试，审计人员就可以确定在备忘录、问卷和流程图中认为存在而加以描述的某些内部控制制度是否存在并有效。另外，还有可能发现新的控制制度，而没有在调查记录中揭示。至于观察法，可以作为穿行测试的补充方法，对内部控制制度的效用进行更多的观察，尤其是对内部控制制度中关键控制点进行观察，以便更加有效地了解内部控制制度。此外，结合凭证审查对内部控制制度进行测试也是内部控制制度进行测试也是内部控制制度审计中极为重要的环节。通过抽查那些发生金额较大，交易事项需特别注意的凭证，审计凭证的流转程序，在很大程度上可以反映企业内部控制制度设计和执行的现状，有利于进一步健全内部控制制度。例如：通过抽查材料单、付款凭证、购货发票、请购单、是否经主管部门批准等，就可以有效地审查材料采购内部控制制度是否得到良好的执行，其本身还有哪些缺陷，应如何弥补。以上这三种测试方法可单独使用，也可结合使用，以充分发挥它们的符合性测试作用，并将测试内容详细记录于工作底稿。
