基于制度[控制系统]的内部审计方法
制度基础审计应该是内部审计主要采用的方法。该系列文章旨在对该种内部审计方法进行简述并探讨如何更有效地开展内部审计工作。我们也试图论证内部审计与外部审计在方法和目标上的不同点。
　　近几年风险管理的兴起让许多内部审计师开始考虑开发基于风险的的内部审计方法。然而，风险并非单独存在，而是与组织或制度的目标没有实现关联在一起的。风险自然应包含在制度基础审计方法中。该方法使我们可以在整体制度的框架内考察内部控制的充分性与可靠性。
　　制度基础审计在开始时是由外部审计师为提高效率而开发的。然而，制度基础审计方法在成为更有效的内审方法前还需要进一步开发和提炼。外部审计是对组织的财务报表发表意见，而内部审计目的则完全不同，他们与各层经理一起工作，不断改善和优化内部控制、风险管理和公司治理。不同的目的导致内部审计不能完全照搬外审的方法，而应该根据自己的特点来开发属于内审自己的方法。
　　分步进行内部审计
　　通常用分段式的方式描述制度基础审计方法。但也不能按字面意思描述，并不表示每阶段必须在上一阶段完成后才开始。相反，制度基础审计应该看做一个整体。通过应用该整合的方法，审计师的知识将逐步扩大。在审计的每个阶段审计师都应重新考虑方法是否适用，不断回顾对体系的理解，在必要的时候也要把重大事宜通报给经理。制度基础审计分为以下几个方面：
　　1.审计计划；
　　2.识别控制系统
　　3.描述现行控制
　　4.控制评估
　　5.测试关键控制
　　6.形成结论和建议
　　7.审计报告
　　在审计计划阶段，要考虑前期的审计结果并了解相关制度。即使审计初步计划已经与被审系统（制度或流程）的负责人达成一致，也要根据新的情况和后续的进展考虑对初步计划进行修改。如果该系统最近经过复核，那么复核记录更有助于了解被审体系。如果被审体系的经理在每次审计前都要从头给审计师介绍这个体系，那简直太遭了。然而，要想对该体系有个清晰全面的理解必须是渐进的过程，直到审计结束后才可能有完整的理解。审计师应像锯条一样增进对业务的了解：先看边缘的和容易理解的部分，然后再进攻比较困难的核心部分。
　　审计师描述流程的深入程度取决于他对系统的理解。只要审计师发现一些细节就应该记录，但这个阶段不要求审计师给出非常全面的流程描述。审计测试以及审计报告、与被审对象的讨论等都会加深审计师对制度流程的理解。在计划结束时再描述流程图或记录是个好主意。至少也要严格的复核，然后，在审计报告发布时再作必要的修改。
　　控制评估是每次审计的非常重要的阶段。在内控测试前应该完成控制评估。要注意的是：仅对那些存在且可能降低风险的控制才进行测试。然而，评估仅是测试的一个引导，测试程序要随着对制度流程的更深入理解而不断的修订。如果审计师意识到控制根本不起作用，那就应该立刻停止测试。如果在测试过程中又发现了一些关键控制，那还要开展更深入的测试。
　　对内部审计来是说，利用测试来说明控制是否有效地保证了制度流程的目标或者控制是否减少了风险。控制本身未见得是好事，所以只要其有效的运行…………
基于制度[控制系统]的内部审计方法