内部控制具体测试内容和方法

内部控制具体测试内容和 方法2010年4月

目录1. 测试步骤 2. 设计有效性测试内容3. 公司层面测试内容 4. 业务活动层面测试内容 5. 信息系统总体控制测试内容 6. 追加、冗余或补充及补偿性控制测试的采用 7. 例外事项的确认

1. 测试步骤记录测试过程

审阅相关文件

检查内控文档记录

访谈相关人员

观察执行情况

检查 样本等

例外事项

复印证据

1. 测试步骤按测试步骤区分的测试类型 1)设计有效性测试执 行 有 效 性 测 试

2)跟单测试 3)公司层面测试及关键控制抽样测试

4)信息系统总体控制测试

1. 测试步骤1.1 设计有效性的主要测试步骤(1)访谈相关人员， 取得内部控制资料， 了解内控设计情况

(2)分析核对抽样检查

(3)记录测试发现

如果是首次检查， 则应全面了解； 如果是连续检查， 则重点关注变化情况

公司层面 业务层面 信息系统总体层面

设计方面的问题

信息系统总体控制设计有效性仅在集团、股份公司进行测试， 不需在海外勘探进行测试

1. 测试步骤1.2 跟单测试的主要测试步骤

(1)访谈，

(2)观察特定 控制执行情况

(3)检查样本，

记录结果

记录检查结果

(4)取得证据

适用于手工及应用系统控制测试

1. 测试步骤1.3 公司层面测试及关键控制抽样测试的主要步骤

(1)访谈，了解 该业务人员对控制 的理解程度

(2)确定样本总体， 并根据控制频率确 定样本数量

(3)综合利用 各种测试程序对 样本进行测试

(4)利用权限

(5)记录测试结果

测试工具，进

行权限测试

其中(2)(4)不适用公司层面控制测试

1. 测试步骤1.4 信息系统总体控制测试的主要步骤

(1)访谈，了解业务 人员是否理解该控制， 是否具有相应的胜任 能力。

(2)确定样本总体和 控制频率并选取样本。

(3)对样本进行检查 或执行再执行程序， 关注相应控制是否得 到有效执行。

测试人员不应在发现样本出现问题后更换样本， 对于存在问题的文档需要取得复印件等证据。

目录1. 测试步骤 2. 设计有效性测试内容3. 公司层面测试内容 4. 业务活动层面测试内容 5. 信息系统总体控制测试内容 6 . 追加、冗余或补充及补偿性控制测试的采用 7. 例外事项的确认

2. 设计有效性测试内容设计有效性测试定义和形式 设计有效性是对于建立的内部控制体系，如果由符合条 件的机构和人员按设计的要求去实施，能够有效地防范 财务报告风险，为实现内部控制目标提供合理的保证。 设计有效性测试，能够查找内部控制设计方面存在的问 题，确保内控设计能有效地防范财务报告风险，达到财 务报告控制目标，为

内部控制执行评价提供基础。

2. 设计有效性测试内容 2.1 公司层面设计有效性测试 2.2 业务层面设计有效性测试 2.3 信息系统总体控制设计有效性测试 2.4 内控设计案例分析

2. 设计有效性测试内容2.1 公司层面设计有效性控制测试 公司层面设计有效性测试检查海外勘探针对公司层面内控关注要点是否有相关控制措施，如没有， 是否遵照集团、股份公司的控制措施执行，进一步验证公司应有的控制 措施是否存在，如按照控制的设计执行是否能达到控制目标。

2. 设计有效性测试内容2.1 公司层面设计有效性控制测试 公司层面设计有效性控制测试的记录将公司层面设计有效性控制测试的情况在《公司层面设计有效性测 试表》(表2.3)中进行记录，对于测试中发现的设计方面的问题， 在对海外勘探进行公司层面测试时进一步验证，分析是否会对财务 报告内部控制造成影响，并把最终确定的例外事项在《公司层面测 试表》(表2.4)和《公司层面测试例外事项汇总表》(表2.5)中 记录并上报。

如：公司没有建立举报机制，实际工作中也没有为员工或其他人员 提供报告可能违反道德准则和舞弊事项的途径，即作为公司层面设 计有效性例外事项进行记录。

2. 设计有效性测试内容 2.1 公司层面设计有效性测试 2.2 业务层面设计有效性测试 2.3 信息系统总体控制设计有效性测试 2.4 内控设计案例分析

2. 设计有效性测试内容2.2 业务层面设计有效性控制测试

业务层面有效性测试检查集团、股份公司统一确定的风险和控制，海外勘探是否采用，如果没 有采用，通过访谈内控部门相关人员初步分析其合理性。检查海外勘探是

否有新增的特殊风险和控制，如果有，则进一步通过访谈内控部门相关人员初步分析其风险评估和相应控制的合理性。

2. 设计有效性测试内容2.2 业务层面设计有效性控制测试

业务层面设计有效性测试的记录将业务层面设计有效性测试的情况在《业务活动层面设计有效性测试 表》(表2.6)中进行记录，对于测试中发现的设计方面的问题，在 对公司本部或企事业单位进行跟单测试和关键控制抽样测试时进一步 验证，分析是否会对财务报告内部控制造成影响，并把最终确定的例 外事项在《跟单测试表》(表2.7)及《跟单测试例外事项汇总表》 (表2.8)中记录并上报。

如：企事业单位没有完整准确地描述集团公司所确认的关键控制，同 时也没有执行；企事业单位没有识别特殊的重要风险。即作为业务层 面设计有效性例外事项进行记录。