一、内部控制审计中存在的问题 1.内部控制审计目标和审计范围的矛盾。《基本规范》第十条明确指出，接受企业委托从事内部控制审计的会计师事务所，应当根据本规范及其配套办法和相关执业准则，对企业内部控制的有效性进行审计，出具审计报告。由此看出，审计的目标是对内部控制的有效性发表意见。《审计指引》第二条规定。内部控制审计是指会计师事务所接受委托，对特定基准日内部控制设计和运行的有效性进行审计。这条指引进一步明确了内部控制审计的目标，即对特定基准日内部控制设计和运行的有效性发表意见。所以，注册会计师的责任就是对内部控制的有效性发表审计意见。进而，内部控制审计范围包括企业所有的内部控制制度，注册会计师应对其设计和运行的有效性发表意见。但是，《审计指引》中的规定却与之不符，分别不同的内部控制予以不同待遇。 《审计指引》第四条指出，注册会计师应当对财务报告内部控制的有效性发表审计意见，并对审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。这条规定将内部控制分为两类，即财务报告内部控制和非财务报告内部控制，注册会计师对它们承担不同的审计责任。具体而言，对财务报告内部控制，注册会计师发表审计意见，提供的是合理保证；对非财务报告内部控制，注册会计师实际上进行的是审核，提供的是有限保证，并对注意到的非财务报告内部控制重大缺陷负有披露责任。更离谱的是，在内部控制审计报告参考格式中，有这样的措辞：“我们并不对××公司的非财务报告内部控制发表意见或提供保证”。这意味着注册会计师对非财务报告内部控制不负有责任，但这与上述注册会计师对非财务报告内部控制重大缺陷承担披露责任的规定存在矛盾。 就具体操作层面而言，注册会计师和企业很难把握财务报告内部控制和非财务报告内部控制的界限，这势必影响对财务报告内部控制有效性提出正确的审计意见。管理层凌驾于内部控制之上，这应该属于非财务报告内部控制范畴，但是其经济后果必然会反映在公司的财务报告中。 2.内部控制审计规范原则性太强。通过分析《审计指引》等规范可知，我国内部控制审计规范为原则导向的，其显著特点是普适性强，只是提供一般性、原则性的规范，执行者具有较大的自由裁量权。 为了评价内部控制缺陷，进而提出内部控制有效性的意见，《审计指引》中将控制缺陷分为三类：重大缺陷、重要缺陷和一般缺陷。重大缺陷（也可称为实质性漏洞）是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形。一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。这里的“严重”是多严重？“有可能”是多大的可能？对于判断重大内部控制缺陷，《审计指引》只是列举了四种情况，并没有给出定量标准。 就实际操作层面而言，究竟何为内部控制缺陷？其严重程度到底如何判断？这都会给注册会计师和企业带来很大的困难，容易导致认识上的偏差和观点分歧。对于缺陷认定的具体标准，《评价指引》要求企业自行确定。对于同一控制，不同企业自行确定的缺陷认定标准可能会存在差异，在审计中注册会计师应该以哪个为准呢？企业制定的标准又由谁来认证呢？这都是实际中急需解决的问题。 3.CPA胜任能力不足。内部控制审计是注册会计师一项新的鉴证业务，这必然要求注册会计师加强对内部控制有关业务知识的学习，不断提高对内部控制审计业务的专业胜任能力。有效开展内部控制审计.对CPA提出了更高的挑战。比如在进行内部控制审计时，注册会计师需要按照内部控制五要素获取充分、适当的审计证据。就内部环境而言，CPA需要了解和评价企业的组织架构内部控制、发展战略内部控制、人力资源内部控制、社会责任内部控制、企业文化内部控制等，这些内部控制几乎涉及了企业管理的方方面面，对如此庞杂的控制环境进行审查和评估，无疑是对CPA胜任能力的巨大挑战。 财务报表审计一直是注册会计师的主业，对内部控制的考虑也只是财务报告的内部控制，并且从未提升到审计的高度。当前国内外均缺乏对非财务报告内部控制审核或审查的经验，即没有执业经验供CPA借鉴。 4.内部控制审计收费难以确定。决定内部控制审计收费的因素有两个：一是内部控制审计的方式。《审计指引》允许注册会计师单独对内部控制进行审计，也允许将内部控制审计与财务报表审计整合进行（即整合审计）。企业选择不同的内部控制审计方式，其支付的审计收费也会不同。一般而言，单独进行内部控制审计的审计收费要高于整合审计的审计收费。二是审计范围。对非财务报告内部控制进行审核必然会增加审计成本，进而提高审计收费。 理论界和实务界对内部控制审计的方式似乎达成了共识，认为整合审计是内部控制审计的较优方式，这也是国际上的通常做法。问题是，内部控制审计规范中对审计范围规定的混乱导致对审计收费的确定产生很大影响。财务报告内部控制和非财务报告内部控制的审计收费标准是否一样？若不一样，对财务报告内部控制和非财务报告内部控制的界定不同必然导致审计收费上的差异。即使能够合理界定非财务报告内部控制，注册会计师又该如何将审计资源在二者之间进行分配？不同的分配方式也将带来审计成本和审计费用的差异。 5.内部控制审计报告披露时间及方式缺乏统一规定。《审计指引》说明了内部控制审计报告的格式和内容，但并未对其披露时间及披露方式作出相应规定。从美国的情况看，企业内部控制自评报告和会计师事务所出具的内部控制审计报告，一般与企业年报一并公布。从我国部分上市公司近年来先行尝试内部控制审计的实际来看，既有在年度报告中单作一部分予以披露的，也有自成体系形成一个专门报告单独披露的。
