三喜：不管人们对全面控制多么强调，最后需要会计师事务所的进行内部控制审计范围大多界定在财务报告控制范畴。一般认为，要求注册会计师对企业财务报告控制目标以外的内控目标提供审计鉴证，超越了注册会计师审计的风险承受能力。但仅要求注册会计师针对财务报告内部控制有效性进行审计并发表审计意见，又可能导致企业仅关注财务报告内部控制，既不利于内部控制规范全面实施，也不利于企业风险管控能力的提升。《内部控制审计指引》在借鉴发达市场经济国家成熟做法、结合国内市场监管要求和实务的基础上，明确指出，注册会计师不仅应当对企业财务报告内部控制有效性发表审计意见，同时还应当对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加描述段予以说明。这项制度安排将进一步增强公司财务报表信息的可信性，更好地维护投资者合法权益。不过从财务报告控制向全面控制发展是内部控制不可逆转的发展趋势。

 

         在现有审计制度安排下，会计师事务所要对财务报告内部控制发表审计意见，对非财务报告内部控制重大缺陷仅是描述，因此，现阶段会计师事务所进行控制审计需要关注的控制点肯定是与财务报告相关的控制点。至于关注那些具体控制点，确实因企业的不同而不同，不能一概而论。内部控制环境要素是重要的，但很难落到实处，属于内部控制软要素，在时间和水平有限的情况下，不可能作为特别关注的控制点。尤其是在现有的体制下，包括上市公司及其国有企业把治理结构等作为内部控制关键控制点是严重脱离国情和企情的，这需要从体制层面去解决。把业务活动及其相应的财务活动作为内部控制关键控制点肯定是没有问题的，是比较现实的做法。内部控制建设或审计关注整体层面的控制点是需要的，但更得关注业务层面的控制点。建设项目、采购业务、销售业务是公认的高风险领域，是必须关注的关键领域，其相应的业务人员尤其是相关领导是高风险人群，是关键之中的关键。最近热议的三一重工“贿赂门”事件足以说明采购、销售领域是风险重灾区。人们对三一重工“贿赂门”事件的理解更说明了“不贿赂行吗”的控制环境。

 

         当然，上市公司及其国有企业要业绩，财务报告虚假风险不可避免；上市公司及其国有企业不缺钱，盲目投资风险长期存在；上市公司及其国有企业治理结构不完善，内部人控制不会短期消失；经济不景气或货币紧缩情况下，现金断流风险日益严重。诸如此类，确实是需要关注的关键控制点。