一文读懂内控审计与财报审计有何区别

一句话讲重点：财报审计注重“结果”——财务报表是否公允反映；内控审计注重“过程”——保证财报质量的内部控制是否有效。

一、什么是财务报表审计？

财务报表审计，是指注册会计师对财务报表是否在所有重大方面按照适用的财务报告编制基础编制，并公允反映被审计单位的财务状况、经营成果和现金流量，发表审计意见。

简单来说，财报审计回答的是一个问题：“账做得对不对？”审计师看的是最终出来的报表数字是否真实、公允。

审计依据：《中国注册会计师审计准则》及《企业会计准则》等财务报告编制基础。

二、什么是内部控制审计？

内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。

《企业内部控制审计指引》（财会〔2010〕11号）第四条明确规定，注册会计师应当对财务报告内部控制的有效性发表审计意见，并对审计过程中注意到的非财务报告内部控制的重大缺陷，在审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。

简单来说，内控审计回答的是另一个问题：“保证账做对的机制靠不靠谱？”审计师看的是企业用来确保财务报表不出错的内部控制制度是否设计得当、运行有效。

审计依据：《企业内部控制基本规范》（财会〔2008〕7号）及《企业内部控制审计指引》（财会〔2010〕11号）。

三、两者的核心区别

（一）审计目标不同

正如财政部会计司在解读中所言：财务报表审计“重在审计‘结果’”，而内部控制审计“是对保证企业财务报告质量的内在机制的审计，重在审计‘过程’”。资本市场从注重财务报告本身可靠性，转向注重对保证财务报告可靠性机制的建设——“通过过程的有效保证结果的有效”。

（二）审计范围不同

财务报表审计的范围是财务报表本身——资产、负债、收入、费用等各报表项目及其披露。

内部控制审计的范围是与财务报告相关的内部控制——包括企业层面控制（内部环境、风险评估、信息与沟通、内部监督等）和业务层面控制（具体业务流程中的控制活动）。非财务报告内部控制的重大缺陷虽不直接影响审计意见类型，但需在报告中单独披露。

（三）审计意见类型不同

财务报表审计有四种意见类型：

·1.标准无保留意见（含带强调事项段的无保留意见）——财务报表在所有重大方面公允反映

·2.保留意见——存在重大错报但不具有广泛性，或审计范围受限但不具有广泛性

·3.否定意见——存在重大且具有广泛性的错报

·4.无法表示意见——审计范围受限且具有广泛性

内部控制审计只有三种意见类型：

·1.无保留意见——财务报告内部控制有效

·2.否定意见——存在一项或多项重大缺陷

·3.无法表示意见——审计范围受到限制

内控审计中没有“保留意见”。原因很简单：财务报告内部控制审计意见类型不存在“保留意见”的中间状态——不存在重大缺陷即出具无保留意见（如有重要事项需说明可增加强调事项段），存在一项或多项重大缺陷则出具否定意见。非重大的重要缺陷和一般缺陷不影响无保留意见，仅需与管理层沟通或在审计过程中予以记录。

两种审计的意见类型虽有关联，但并非一一对应。例如，内控获得无保留意见，财报审计可能是标准无保留，也可能是带强调事项段的无保留甚至保留意见；内控被出具否定意见，仅代表财务报告内部控制存在重大缺陷、控制不可信赖；注册会计师可通过扩大实质性程序范围、增加样本量等方式，直接验证财务报表本身的公允性。若实质性程序证实财报不存在重大错报，财报审计仍可出具无保留意见。两者意见类型不存在强制对应关系。

（四）审计方法不同

财务报表审计采用风险导向审计模式，先了解被审计单位及其环境（含内部控制），评估重大错报风险，再设计和实施进一步审计程序（控制测试+实质性程序）。注册会计师根据风险评估结果确定是否执行控制测试——只有在拟信赖控制运行的有效性、或仅实施实质性程序不足以获取充分证据时，才必须执行控制测试。

内部控制审计采用自上而下的方法：从企业层面控制入手，再逐步深入到业务层面控制，识别风险、选择拟测试的控制。中注协发布的《企业内部控制审计指南》指出，两者“在测试范围、测试的时间安排、测试所需达到的可靠程度等诸多方面均存在显著差别”。

（五）责任主体不同

财务报表审计中，管理层对编制财务报表负责，注册会计师对审计意见负责。

内部控制审计中，建立健全和有效实施内部控制、评价内部控制的有效性，是企业董事会的责任；在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。

四、两者的联系：整合审计

虽然两者是两种不同的审计业务，但并非完全割裂。《企业内部控制审计指引》第五条规定，注册会计师可以单独进行内部控制审计，也可将内部控制审计与财务报表审计整合进行（即整合审计）。

在整合审计中，注册会计师对内部控制设计与运行的有效性进行测试，以同时实现两个目标：（1）支持内部控制审计意见；（2）支持财务报表审计中对控制风险的评估结果。

中注协指出，虽然两者存在区别，但“在重大错报风险评估、确定的重要账户和相关认定，了解和测试内部控制采用的基本方法等方面存在共同点”，将两者有机融合，可起到“一箭双雕”的效果。财政部会计司司长刘玉廷在解读配套指引时也强调，内控审计与财报审计虽存在显著差别，但两者可以整合进行。

在实践中，上市公司通常聘请同一家会计师事务所同时执行两项审计，既提高效率，也降低企业成本。

五、一张表看懂全部区别

?核心记忆：财报审计看“结果”，内控审计看“过程”。两者目标不同、范围不同、意见类型不同，但可以整合进行，实现“一箭双雕”。

主要参考文献

1.财政部、证监会、审计署、银监会、保监会：《企业内部控制审计指引》（财会〔2010〕11号），2010年4月15日发布，现行有效

2.财政部、证监会、审计署、银监会、保监会：《企业内部控制基本规范》（财会〔2008〕7号）

3.财政部会计司、中注协：《规范内控审计行为促进内控有效实施——解读〈企业内部控制审计指引〉》，2010年8月

4.中注协：《企业内部控制审计指引实施意见》（会协〔2011〕66号），2011年10月11日发布，2012年1月1日起施行

5.中注协：《企业内部控制审计指南》，2011年8月

6.财政部、中国证监会：《关于强化上市公司及拟上市企业内部控制建设推进内部控制评价和审计的通知》，2024年1月

※本文依据财政部、证监会发布的《企业内部控制审计指引》等现行有效法规及官方解读文件。