第一章  总则

第一条  为规范学校内部控制审计工作，根据《教育系统内部审计工作规定》（教育部令2004年第17号）、《行政事业单位内部控制规范（试行）》（财会【2012】21号）、《关于全面推进行政事业单位内部控制建设的指导意见》（财会【2015】24号）和《厦门大学内部审计工作规定》（厦大综字【2015】第11号）等有关规定，结合学校实际，制定本办法。

第二条  本办法所称内部控制，是指学校为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控。

第三条  本办法所称内部控制审计，是指审计部门对被审计单位内部控制设计和运行的有效性进行的审查和评价活动。

第二章  一般原则

第四条  学校管理层的责任是建立、健全内部控制并使之有效运行。

内部审计的责任是对内部控制设计和运行的有效性进行审查和评价，出具客观、公正的审计报告，促进学校改善内部控制及风险管理。

第五条  内部控制审计的目标：

（一）遵守国家有关法律法规和学校内部规章制度；

（二）信息的真实、可靠；

（三）资产的安全、完整；

（四）资源的经济、有效使用；

（五）提高管理的效率、效果。

第六条  开展内部控制审计时，应当考虑成本效益原则。结合内部审计资源和实际情况，既可以对被审计单位内部控制进行全面审计与评价，也可以对被审计单位内部控制的组成部分进行审计与评价；既可以将内部控制审计作为一个单独的审计项目实施，也可以作为实施其他审计项目的一个程序和办法。

第七条  开展内部控制审计工作时应遵循以下原则与办法：

（一）内部控制审查与业务活动、财务活动审查相结合；

（二）内部控制审查与风险管理审查相结合；

（三）根据不同的审计对象、审计目标和审计所需的证据选择不同的办法，以保证审计工作的质量和审计资源的有效配置。

第八条  当内部审计人员在计算机信息系统环境下执行内部控制审计业务时，或其他缺乏实施内部控制审计事项应具备的知识、技能或其他能力时，审计部门可以利用没有利益冲突、具有胜任能力的外部专家。

第三章  审计内容

   第九条  审计部门依据《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》等相关规定，根据被审计单位的实际情况和需要，通过审查内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对被审计单位层面内部控制的设计与运行情况进行审查和评价。

   第十条  开展内部环境要素审计时，应当以《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》等有关内部环境要素的规定为依据，关注被审计单位架构、发展战略、人力资源、组织文化、社会责任等，对内部环境进行审查和评价。

   第十一条  开展风险评估要素审计时，应当以《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》有关风险评估的要求，以及相关规定中所列主要风险为依据，对日常经营管理过程中的风险识别、风险分析、应对策略等进行审查和评价。

   第十二条  开展控制活动要素审计时，应当以《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》等关于控制活动的规定为依据，对相关控制活动的设计和运行情况进行审查和评价。

   第十三条  开展信息与沟通要素审计时，应当以《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》等有关内部信息传递、财务报告、信息系统等规定为依据，对信息收集处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行审查和评价。

   第十四条  开展内部监督要素审计时，应当以《行政事业单位内部控制规范（试行）》、《教育部直属高校经济活动内部控制指南（试行）》或《企业内部控制基本规范》有关内部监督的要求，以及相关规定中有关日常管控的规定为依据，对内部监督机制的有效性进行审查和评价。

第四章  具体审计程序和方法

第十五条  内部控制审计按照《厦门大学内部审计工作规定》的审计程序实施。

第十六条  内部审计人员在实施现场审查之前，可以要求被审计单位提交最近一次的内部控制自我评估报告。

内部审计人员应当结合内部控制自我评估报告，确定审计内容及重点，实施内部控制审计。

第十七条  内部审计人员应当综合运用访谈、问卷调查、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被审计单位内部控制设计和运行是否有效的证据。

第十八条  内部审计人员可以采用文字叙述、流程图等方法对内部控制进行描述，并记录于审计工作底稿中。

第十九条  内部审计人员对被审计单位内部控制作出评价时，应选择适当的评价标准：

（一）首先应判断被审单位已有标准的适当性，如果认为已有标准不合适，应向管理层报告；

（二）如果管理层没有制定合适的标准，内部审计人员可以基于被审单位利益最大化的原则选择适当的评价标准。

第二十条 内部审计人员在评价内部控制时，按照项目的性质和需要，既可以对全部控制要素进行评价，也可以只对部分控制要素进行评价。

第二十一条在审计过程中，出现下列情况时，内部审计人员应及时向适当管理层汇报：

（一）可以合理确认舞弊已经发生，并需深入调查；

（二）舞弊已经造成学校财务信息严重失实；

（三）发现犯罪线索，并获得相应移送司法机关处理的证据。

第二十二条  被审计单位基于成本或其他考虑，决定对内部控制审计中发现的问题不采取纠正措施时，应当做出书面承诺。

第二十三条  审计部门应将审计结果以及被审计单位书面决定不采取纠正措施的情况向学校管理层报告。

   第二十四条  审计部门应在必要时进行内部控制的后续审计。

第五章  附则

   第二十五条  本办法自发布之日起施行。