1、内部控制调查。评价被审计单位的内部控制，首先要对内部控制进行调查。通过查阅被审计单位的规章制度、组织机构设置、上一年度的审计工作底稿和现场询问有关人员以及审计人员的实地观察，了解和掌握被审计单位的详细情况。审计人员可向各级主管、经办人员询问筹资和投资权限、工资制度、赊销、折扣折让、退货授权手续、仓库保管及领料手续等，并将询问结果同相关内部控制制度核对，以检查规定执行情况；查阅内部控制生成的文件和记录，如组织结构图、业务流程图、职务说明、工时及薪金记录、进销货记录、内部审计报告及工作底稿等，增强对被审计单位的控制环境、控制程序的感性认识；实地观察正在进行的业务活动和内部控制的运行情况，了解业务授权、文件记录、程序和步骤是否与内部控制规定一致；在每一类交易循环中选择若干具有代表性的交易和事项进行测试，以验证内部控制的实际运行是否与审计工作底稿所描述的内部控制一致，如选取一笔或若干笔材料采购，从采购—订货—验收—保管—开票—付款—记账，对整个采购程序进行详查，以确定各环节的实际执行是否与所了解的相一致。审计人员通过以上程序了解到的内部控制情况，以问卷调查表、文字表达和流程图等记录方法，形成审计工作底稿。 2、内部控制测试。测试有符合性测试和实质性测试。 审计人员只有对信赖的内部控制执行测试，并且通过测试而减少的审计工作量大于测试的工作量时，测试才是必要和经济的。一是控制设计测试。主要测试被审计单位的控制政策和程序的设计是否合理、适当，能否防止、发现和纠正重大的错报或漏报。如审计人员通过调查了解到，被审计单位的存货保管制度中要求将货物储存在加锁并有两位保管员看守的仓库里，据此可下结论，该项控制可以防止或能减少存货被盗、作假的可能性。二是控制执行测试。主要测试被审计单位的控制制度是否真正发挥作用。如上例认为存货设计合理之后，还应实地观察存货是否实际储存在有两人看管并加锁的仓库里。 3、内部控制评价。一是评价内部控制的健全性及有效性。通过对内部控制的符合性测试，可以评价被审计单位内部控制制度的贯彻执行情况。如果执行得有效，那么会计信息的可靠性程度就高，因而也可相应地减少审计程序和范围。相反，若执行无效，则会计信息的可靠性程度就差，相应地也应扩大审计程序和范围。因此，通过对内部控制制度的符合性测试，最后确定进一步开展审计工作的范围和规模。在符合性测试的基础上，应进一步进行实质性测试，主要是对被审计单位的会计信息及有关的经济信息的真实性、正确性作进一步核实，将审核的结果作为审计证据，做出相应的审计结论。二是评价内部控制的风险水平。审计人员在对被审计单位内部控制制度的健全性进行评审后，若内部控制制度比较健全，则应进一步对内部控制制度进行符合性测试，以获取被审计单位内部控制是否有效地发挥其功能的证据，然后对内部控制的风险水平做出评价。对内部控制风险水平的评价通常可分为高、中、低三个等级，分别代表内部控制未能防止或查出会计报表中包含的错误，导致审计结论偏离客观事实的可能性大于40％，在10％～40％之间和低于10％。与内部控制风险水平高低相对的是内部控制的可信赖程度，可信赖程度与风险水平成反比。 （摘自《中国内部审计》（京），2007.7.72）
