《内部控制具体测试内容和方法.doc》由会员分享，可在线阅读，更多相关《内部控制具体测试内容和方法.doc（39页珍藏版）》请在金锄头文库上搜索。
1、内部控制具体测试内容和方法 6 追加冗余或补充及补偿性控制测试的采用 64 冗余性控制测试 冗余性控制与其他控制具有相同控制目标的控制冗余性控制测试的测试方法同手工控制测试 在最后一轮改进测试中如果测试发现原例外事项仍然没有得到整改测试人员就应查找该项控制的冗余或补充补偿性控制并进行测试确定该冗余或补充补偿性控制是否有效 6 追加冗余或补充及补偿性控制测试的采用 61 考虑追加测试 62 补充性控制测试 63 补偿性控制测试 64 冗余性控制测试 1 测试步骤 2 设计有效性测试内容 目录 3 公司层面测试内容 4 业务活动层面测试内容 5 信息系统总体控制测试内容 6 追加冗余或补充及补偿性
2、控制测试的采用 7 例外事项的确认 1应有的控制不存在或设计不合理 2实际执行的控制没有被记录 3设计的控制记录不准确 4已有的控制缺乏必要的制度或制度不完善 5控制未执行或执行不完整 6控制执行程序错误或者未按授权规定执行 7缺少控制实施证据或实施证据不完整 8控制已执行但控制结果不正确 7 例外事项的确认 1应有的控制不存在或设计不合理 7 例外事项的确认 该类问题是指应该建立的控制被测试单位没有建立或者建立的控制设计不合理达不到控制目标 被测试单位没有完整准确地描述公司确认的关键控制同时也没有执行 被测试单位没有识别特殊的重要风险 被测试单位所确认的关键控制不足于防范主要的财务错报风险
3、不相容岗位未进行分离 2实际执行的控制没有被记录 7 例外事项的确认 该类问题是指已有的控制没有在内控相关文档或控制措施中进行描述 同时满足两个条件 1针对风险而言相关控制在实际工作中已得到较好地执行 2该控制没有在内控相关文档或控制措施中进行描述 3设计的控制记录不准确 7 例外事项的确认 该类问题是指内控相关文档描述不准确或不完整已经影响或者很有可能影响控制的有效实施 同时满足两个条件 1内控相关文档描述与实际执行不一致 2实际执行比描述更能满足控制要求 4已有的控制缺乏必要的制度或制度不完善 7 例外事项的确认 该类问题是指设计或执行的控制措施没有在相关制度文件中规定或规定不准确不完整
4、满足以下条件之一 1相关控制在实际工作中已得到较好地执行但未在相关制度文件中规定或规定不准确不完整 2在内控相关文档或控制措施中所描述的控制未在相关制度文件中规定或规定不准确不完整 5控制未执行或执行不完整 7 例外事项的确认 具体表现在控制措施中描述的控制在实际中没有执行或执行不完整或者已执行但不符合相关规定 例 预估在建工程与负债控制按规定要先由施工单位编制工程形象进度报表工程管理部门编制工程形象进度确认单财务部门审核后进行账务处理但测试发现某项工程没有编制工程形象进度报表直接编制工程形象进度确认单然后财务入账这种例外属于控制执行不完整 6控制执行程序错误或者未按授权规定执行 1 7 例外
5、事项的确认 控制执行程序错误该类问题是指一项控制描述了多个作业步骤但测试时发现实际执行程序有误没有按规定的程序执行控制的作业步骤 例合同审批签订控制正常程序应该是审批-签订-执行但测试发现某项合同实际程序为执行-审批-签订形成事实上的事后合同这种例外属于控制执行程序错误 6控制执行程序错误或者未按授权规定执行 2 7 例外事项的确认 未按授权规定执行控制该类问题是指一项关键控制由未经授权的岗位人员执行或岗位人员的控制权限超过授权范围 例某炼油类地区公司对10万元以内非正常报废资产自行审批10万元以上非正常报废资产报股份公司审批但测试发现部分10万元以上的非正常报废资产地区公司也自行审批没有报股
6、份公司审批这种例外属于未按授权规定执行控制 7缺少控制实施证据或实施证据不完整 7 例外事项的确认 主要是指测试时没有发现可以支持控制有效执行的重要实施证据或控制实施证据不完整如测试时没有发现重要实施证据但有其他证据可以作为旁证来支持控制有效执行 例如测试发现个别入库单没有验收人员的签字盖章但有其他相关人员签字进一步检查发现相关发票送货单等资料齐全内容与入库单货物名称数量价格一致结合访谈了解可能是因为样本总体较多导致出现漏签的现象这种例外属于控制实施证据不完整 8控制已执行但控制结果不正确 7 例外事项的确认 由于不了解如何实施控制导致控制结果不正确和了解如何实施控制但控制结果不正确 例编制银
7、行存款余额调节表控制测试发现银行存款余额调节表编制有误经了解编制人员是刚刚上岗以前没有从事此项工作或可能执行人员业务比较熟悉只是由于疏忽导致编制有误上述两原因均可导致控制结果不正确 7 例外事项的确认 如发现例外事项需针对样本及实际情况分析是否存在其他问题如通过观察发现银行预留印鉴和票据是由一个人来保管的那么需评估对银行存款日常管理及结算等流程的影响通过进一步的检查来证实是否由于该控制的缺失而带来其他连索的风险 1应有的控制不存在或设计不合理 2实际执行的控制没有被记录 3设计的控制记录不准确 4已有的控制缺乏必要的制度或制度不完善 5控制未执行或执行不完整 6控制执行程序错误或者未按授权规定
8、执行 7缺少控制实施证据或实施证据不完整 8控制已执行但控制结果不正确 7 例外事项的确认-总结 1 测试步骤 2 设计有效性测试内容 总结 3 公司层面测试内容 4 业务活动层面测试内容 5 信息系统总体控制测试内容 6 追加冗余或补充及补偿性控制测试的采用 7 例外事项的确认 根据测试计划表中选取样本对样本进行检查确定描述的控制在实际工作中是否得到执行是否留下事实证据记录检查结果 例如对K1控制点对于所选电子表格查看是否打印出来对于打印出来的电子表格是否有审核岗人员签字以确认与原始数据或者单据的一致性 43 电子表格测试 com 检查样本 对抽取的样本进行测试并填写测试表格测试的表格包括测
9、试表抽样测试表 对于每个关键控制点填写一张测试表并在测试表中的相关栏中对抽样范围内的所有电子表格控制点的执行情况进行统一记录对于抽样范围内的电子表格填写抽样测试表来列示样本的详细信息 目前随着信息系统的推广一些企事业单位所使用的电子表格已经纳入到信息系统中统一进行管理针对此类 电子表格的测试工作请参照信息系统总体控制的相关控制点 43 电子表格测试 com 记录抽样情况 1 测试步骤 2 设计有效性测试内容 目录 3 公司层面测试内容 4 业务活动层面测试内容 5 信息系统总体控制测试内容 6 追加冗余或补充及补偿性控制测试的采用 7 例外事项的确认 信息系统总体控制是根据集团股份公司内部控制
10、和信息化建设需要制定的用于指导日常信息技术管理和运营的管理流程和实施办法旨在整个公司范围内更加科学规范地运用信息技术提高企业在信息技术开发实施运营活动方面的控制能力更好地保护信息资产提高信息技术对业务的支持力度 5 信息系统总体控制测试内容 信息系统总体控制是信息处理控制中的一种是控制活动的内部控制组成要素的一部分其中流程和程序是用于对公司的信息技术活动和计算机环境进行管理和控制通常分为信息技术控制环境程序开发程序变更程序和数据存取安全性计算机运行等多个领域信息系统总体控制测试范围包括财务管理信息系统FMIS资产管理系统资金管理系统以及财务关联的信息系统 通过信息系统总体控制测试检查是否根据集
11、团股份公司信息系统总体控制管理文件的要求执行了信息系统管理的各项控制活动从而提高应用系统控制的有效性确保信息系统支持的应用控制是可靠的生成的数据和报告是可信的 5 信息系统总体控制测试内容 51 访谈 52 选取样本 53 检查样本 54 记录抽样情况 5 信息系统总体控制测试内容 5 信息系统总体控制测试内容 51 访谈 访谈 访谈执行控制的岗位人员了解该业务人员是否真正理解所执行的控制并对该业务人员的胜任能力做出判断将访谈结果记录在测试表中 信息系统总体控制包括控制环境信息安全项目建设管理系统变更管理系统运行维护最终用户操作等具体为 1控制环境 包括信息系统总体控制环境信息与沟通风险评估监
12、控等 2信息安全 包括信息安全管理组织逻辑安全物理安全网络安全计算机病毒防护第三方安全管理信息安全事件响应等 3项目建设管理 包括项目建设方法论项目立项审批商业软件硬件的外购项目启动项目需求分析项目设计系统开发实施系统测试数据移植系统上线项目验收用户培训和上线后评估等 5 信息系统总体控制测试内容 51 访谈 5 信息系统总体控制测试内容 51 访谈 4系统变更管理 包括变更管理日常变更流程紧急变更流程等 5系统运行维护 包括机房环境控制系统日常运作监控批处理作业调度管理备份与恢复问题管理等 6最终用户操作 包括最终用户计算机操作安全制度电子表格管理等 51 访谈 52 选取样本 53 检查样
13、本 54 记录抽样情况 5 信息系统总体控制测试内容 选取样本 结合访谈结果确定样本总体和控制频率等问题并选取样本如果从测试起始时间到测试截止时间由于业务发生量的限制无法取得要求的样本量则应该选取已有的全部样本同时记录样本的选取情况备注中进行说明样本量不足要求XX个仅抽取了XX个 5 信息系统总体控制测试内容 52 选取样本 在信息系统总体控制测试中除了项目建设管理流程与信息安全领域AQ-3采取全样本测试外其他控制点测试需要的样本量其确定原则与关键控制抽样测试确定的原则相同 在采用抽样检查的方法时测试人员采用随意的方式选取样本但是同时考虑以下两个因素一是样本数量选取原则是测试业务发生期间随意选
14、取抽取样本时间的均匀分布随意选取是非统计抽样不能集中抽取某一期间的样本样本应分布在测试期间的不同时间段或时点如每日的表格可抽取不同月份各一个如13579月各一个样本二是常规业务样本与非常规业务样本的均匀分布在测试时样本对应的业务不能集中在一种类型尽量覆盖样本所涉及的业务类型 5 信息系统总体控制测试内容 52 选取样本 51 访谈 52 选取样本 53 检查样本 54 记录抽样情况 5 信息系统总体控制测试内容 检查样本 对样本进行检查重点关注信息系统总体控制措施在实际工作中是否得到有效执行是否符合信息系统总体控制措施的描述 5 信息系统总体控制测试内容 53 检查样本 51 访谈 52 选取
15、样本 53 检查样本 54 记录抽样情况 5 信息系统总体控制测试内容 记录抽样情况 在测试表和抽样测试记录表中记录测试过程测试表模板与关键控制测试使用模板相同 5 信息系统总体控制测试内容 54 记录抽样情况 1 测试步骤 2 设计有效性测试内容 目录 3 公司层面测试内容 4 业务活动层面测试内容 5 信息系统总体控制测试内容 6 追加冗余或补充及补偿性控制测试的采用 7 例外事项的确认 6 追加冗余或补充及补偿性控制测试的采用 61 考虑追加测试 62 补充性控制测试 63 补偿性控制测试 64 冗余性控制测试 1追加测试 追加测试是在已抽取样本以外的样本中再次抽取相 同数量的样本进行测试追加测试后在原抽样测试记 录表和测试表中补充描述追加测试的记录方法与原测 试方法一致控制频率为每日一次或每日数次且实际抽 取样本数量大于20包含20的关键控制点经测试如 果例外事项只有1个且该例外事项没有导致财务报告错 报经过判断该例外事项可能是偶然发生的不能代表 样本总体对该项控制进行追加测试 6 追加冗余或补充及补偿性控制测试的采用 61 考虑追加测试 2追加测试的条件 6 追
