业务外包内控审计概念
　　《企业内部控制应用指引第13条———业务外包》第二条规定：“本指引所称业务外包，是指企业利用专业化分工优势，将日常经营中的部分业务委托给本企业以外的专业服务机构或其他经济组织(以下简称承包方)完成的经营行为。本指引不涉及工程项目外包。”本指引对业务外包的定义，借鉴了学术界的一般观点。1990年，美国学者普拉哈拉德(C.K.Prahalad)和哈默尔(Gary Hamel)在其《企业核心能力》一文中正式提出业务外包概念。根据他们的观点，所谓业务外包，指企业基于契约，将一些非核心的、辅助性的功能或业务外包给外部的专业化厂商，利用他们的专长和优势来提高企业的整体效率和竞争力。
　　业务外包内部控制审计，就是对被审计单位业务外包内部控制设计与运行的有效性的审查和评价活动，对促使被审计单位加强业务外包内部控制建设，防范业务外包风险具有重要意义。
　　企业应当建立对业务外包内部控制的审计制度，明确审计机构或人员的职责权限，定期或不定期地进行检查。内部审计部门或人员应检查承包方选择、业务外包实施业务内部控制制度是否健全，各项规定是否得到有效执行。
　　审计依据
　　业务外包内部控制审计依据除了国家关于业务外包管理方面的法律法规，企业制定的业务外包管理制度及其《企业内部控制手册》有关业务外包部分的内容外，还应包括国家、行业协会、被审计单位有关审计方面的规范及标准等。
　　审计目标
　　业务外包内部控制审计目标，就是保证业务外包内部控制设计和运行的有效性，促使企业预防和控制业务外包风险，具体包括：(1)证实业务外包管理内部控制是否建立、健全并有效执行。(2)证实各项业务外包业务是否合法、合规等。
　　审计内容
　　业务外包内部控制审计内容，因审计主体、要求及其方式的不同而不同。采用传统的全面审计方式，业务外包内部控制审计是审查和评价业务外包内部控制设计和运行的有效性两个方面，范围包括承包方选择、业务外包实施等业务。采用现代以风险为导向审计方式，审计人员应以业务外包风险为导向，审计已经设计完成的业务外包内部控制及其相关的管理制度是否有效执行，是否有效控制了业务外包风险;已经设计有效的业务外包各控制点的控制措施是否有效实施，是否有效防止了各控制环节的风险;是否根据业务、环境等的变化持续改进业务外包内部控制等。
　　审计程序
　　笔者认为，业务外包内部控制审计一般程序包括业务外包内部控制有效性调查、初步评价、风险评估、控制测试、评价缺陷、审计评价、形成意见等。
　(一)调查了解
　　调查了解，就是调查了解业务外包内部控制设计和运行的基本情况，这是对业务外包内部控制审计实施阶段的首要环节。业务外包调查这项工作是在内部控制审计总体工作的准备阶段的基础上进行的，涉及具体内容很多，也因单位的不同而不同。对业务外包内部控制调查了解的方法有文字叙述法、调查表法、流程图法、控制矩阵法等。这些方法各有其特点，经常综合运用。实际审计工作中，为提高业务外包内部控制审计效率，调查了解工作应同业务外包现场测试工作一并进行，不宜为满足调查而走形式。
　　(二)初步评价
　　对业务外包内部控制初步评价，可通过问题调查表和初步评价表进行，反映业务外包初步评价可以结合调查了解程序一起进行，也可独立进行。
　　(三)风险评估
　　按照风险导向审计理论，审计人员进行业务外包内部控制审计应当以风险评估为基础，选择拟测试的控制，确定测试所需要收集的证据。业务外包风险评估，就是识别、分析、评价业务外包方面的风险。
　　从笔者认为，业务外包风险应识别和描述： (1)外包范围和价格确定不合理，承包方选择不当，可能导致企业遭受损失。(2)业务外包监控不严、服务质量低劣，可能导致企业难以发挥业务外包的优势。(3)业务外包存在商业贿赂等舞弊行为，可能导致企业相关人员涉案。
　　(四)控制测试
　　业务外包内部控制测试，就是审计人员现场测试业务外包内部控制设计和运行的有效性。对业务外包内部控制设计有效性测试时，审计人员应当综合运用询问适当人员、观察经营活动和检查相关文件等程序。对业务外包内部控制运行有效性测试，审计人员应当综合运用询问适当人员、观察经营活动、检查相关文件以及重新执行控制等程序。事实上，审计实践中，审计人员对业务外包内部控制设计有效性和运行有效性是一并进行测试的，测试重点是业务外包关键控制。
　　(五)评价缺陷
　　评价业务外包控制缺陷，就是对业务外包内部控制存在的设计和执行有效性方面的缺陷进行分析和评价。对已发现的业务外包内部控制重大缺陷，审计人员应当及时以书面形式与被审计单位进行沟通，核对测试结果和数据，确认业务外包内部控制缺陷事实并在缺陷认定底稿上签章。
　　(六)审计评价
　　业务外包内部控制审计评价业务外包内部控制审计工作的一个重要环节。业务外包内部控制审计评价的方法很多，比较常用的评分法。
　　(七)形成意见
　　业务外包内部控制审计意见，就是对业务外包内部控制有效性的审计结论，是被审计单位内部控制审计意见的一部分。这方面的工作是在前面业务外包内部控制审计工作基础上进行的。