内部控制审核是指注册会计师接受委托，就被审核单位管理层对特定日期与财务报表相关的内部控制有效性的认定进行审核，并发表审核意见。

1．内部控制审核的性质

内部控制审核业务是一项专门鉴证业务，注册会计师执行这一业务时，应当事先与委托人就内部控制审核范围达成一致意见。凡是业务约定书确定的内部控制审核范围，注册会计师都要进行审核。

2．内部控制审核的范围

内部控制审核的范围限于特定日期与财务报表相关的内部控制。通常，注册会计师对某特定日期的内部控制进行审核。特定日期可以是会计年度结束日，也可以是某中期结束日。注册会计师对某特定日期的内部控制审核时，应在接近于此日期之前的一段时间内对内部控制进行了解和测试，并对该日期的内部控制有效性发表审核意见。

3．相关责任

被审核单位管理层应当就内部控制的有效性提供书面认定，其作用类似于财务报表，它用于明确被审核单位管理层建立健全内部控制并保持其有效性的责任。

内部控制审核与审计师的审计业务相比有以下区别：

(1)内部控制审核是一项专门的鉴证业务。审计师执行审计业务时，也要对内部控制进行评价，其目的是评价控制风险，决定审计策略，是为完成审计目标服务的。与此不同，内部控制审核的目的是要专门研究内部控制的有效性，并在审核结束后发表审核意见。

(2)内部控制审核的范围限定于特定日期与财务报表相关的内部控制。一般来说，审计时对内部控制进行测试的范围更广泛，需要对内部控制的各个重要方面都进行评价。但在内部控制审核业务中，要评价的领域和期间通常经过审计师和委托企业的管理层双方讨论并确定下来，其审核范围直接取决于双方的约定。

(3)审计师提供审计业务时通过对内部控制的了解和测试，对财务报表总体得出结论。而内部控制审核则仅对内部控制的有效性发表意见，不需要对报表总体发表意见。

(一)签定业务约定书

注册会计师应当在了解被审核单位基本情况的基础上，考虑自身能力和能否保持独立性，初步评估审核风险，确定是否接受委托。如果接受委托，会计师事务所应当与委托人就约定事项达成一致意见，并签订业务约定书。业务约定书应当包括以下主要内容：(1)委托目的；(2)委托业务的性质；(3)审核范围；(4)被审核单位管理当局的责任和注册会计师的责任；(5)内部控制的固有限制；(6)评价内部控制有效性的标准；(7)报告分发和使用的限制。

(二)制订审核计划

制定审核计划前，注册会计师应当向被审核单位管理当局获取有关内部控制有效性的书面认定，以及内部控制手册、流程图、调查问卷和备忘录等文件。在制定审核计划时，注册会计师应当考虑以下主要因素：

1．被审核单位所在行业的情况，包括行业景气程度、经营风险、技术进步等；

2．被审核单位的内部情况，包括组织结构、经营特征、资本构成、生产和业务流程、员工素质等；

3．被审核单位近期在经营和内部控制方面的变化；

4．管理当局的诚信、能力及发生舞弊的可能性；

5．管理当局评价内部控制有效性的方法和证据；

6．对重要性水平、固有风险及其他与确定内部控制重大缺陷有关的因素的初步判断；

7．特定内部控制的性质及其在内部控制整体中的重要性；

8．对内部控制有效性的初步判断；

9．从其他专业服务中了解到的有关被审核单位内部控制的情况；

10．如果被审核单位有多个经营场所，注册会计师应当选择某些经营场所的内部控制进行了解和测试。

(三)审核程序

注册会计师应当根据审核计划，实施以下工作步骤：(1)了解内部控制的设计，包括询问被审核单位的有关人员，检查内部控制生成的文件和记录，观察被审核单位的经营管理活动；(2)评价内部控制设计的合理性，包括特定内部控制的性质、特定内部控制的描述方式、经营活动及其管理系统的复杂性；(3)测试和评价内部控制执行的有效性。

注册会计师应当对相关内部控制进行测试，获取充分、适当的证据，以评价内部控制执行的有效性。在钡0试内部控制执行的有效性时，注册会计师通常实施以下程序：(1)询问被审核单位的有关人员；(2)检查内部控制生成的文件和记录；观察被审核单位的经营管理活动，重新执行有关内部控制。

在评价内部控制执行的有效性时，注册会计师可考虑利用管理当局对内部控制执行有效性的测试结果，但应获取充分、适当的证据进行印证。某些内部控制是连续执行的，而某些内部控制只在特定时间执行，注册会计师应当根据内部控制的性质及其执行的时间和频率，合理确定控制测试的性质、时间和范围。对已发现的内部控制重大缺陷，注册会计师应当及时以书面形式与被审核单位进行沟通。

在判断某项内部控制缺陷单独或连同其他内部控制缺陷是否为重大缺陷时，注册会计师应当考虑潜在的错误或舞弊可能导致错报的金额和性质。如果管理当局拒绝提供有关内部控制的书面声明，注册会计师应当将其视为审核范围受到限制，并考虑管理当局其他声明的可靠性。