第九章 風險評估概述對風險評估的總體要求
1、了解被審計單位及其環(huán)境。
2、識別和評估重大錯報風險。
3、設計和實施進一步程序。
了解被審計單位及其環(huán)境能為注冊會計師在下列關鍵環(huán)節(jié)作出職業(yè)判斷提供重要基礎：
（1）確定重要性水平，并隨著審計工作的進程評估對重要性水平的判斷是否仍然適當；
（2）考慮會計政策的選擇和運用是否恰當，以及財務報表的列報是否適當；
（3）識別需要特別考慮的領域；
（4）確定在實施分析程序時所使用的預期值；
（5）設計和實施進一步審計程序，以將審計風險降至可接受的低水平；
（6）評價所獲取審計證據(jù)的充分性和適當性。
了解被審計單位及其環(huán)境是一個連續(xù)和動態(tài)的過程。
了解的程度是否恰當，關鍵看注冊會計師對被審計單位及其環(huán)境的了解是否足以識別和評估財務報表的重大錯報風險。（低于管理層的了解程度）
風險評估程序、信息來源以及項目組內部的討論
一、風險評估程序和信息來源
（一）風險評估程序
（1）詢問被審計單位管理層和內部其他相關人員。
（2）分析程序；
（3）觀察和檢查
1、詢問被審計單位管理層和內部其他相關人員
注冊會計師可以考慮向管理層和財務負責人詢問下列事項：
（1）管理層所關注的主要問題。
（2）被審計單位最近的財務狀況、經(jīng)營成果和現(xiàn)金流量。
（3）可能影響財務報告的交易和事項，或者目前發(fā)生的重大會計處理問題。
（4）被審計單位發(fā)生的其他重要變化。
除此之外，注冊會計師還應當考慮詢問以下各類人員，以獲取對識別重大錯報風險有用的信息：
（1）詢問治理層，有助于注冊會計師理解財務報表編制的環(huán)境；
（2）詢問內部審計人員，有助于注冊會計師了解其針對被審計單位內部控制設計和運行有效性而實施的工作，以及管理層對內部審計發(fā)現(xiàn)的問題是否采取適當?shù)拇胧?BR> （3）詢問參與生成、處理或記錄復雜或異常交易的員工，有助于注冊會計師評估被審計單位選擇和運用某項會計政策的適當性；
（4）詢問內部法律顧問，有助于注冊會計師了解有關法律法規(guī)的遵循情況、產(chǎn)品保證和售后責任、與業(yè)務合作伙伴（如合營企業(yè)）的安排、合同條款的含義以及訴訟情況等；
（5）詢問營銷或銷售人員，有助于注冊會計師了解被審計單位的營銷策略及其變化、銷售趨勢以及與客戶的合同安排；
（6）詢問采購人員和生產(chǎn)人員，有助于注冊會計師了解被審計單位的原材料采購和產(chǎn)品生產(chǎn)等情況；
（7）詢問倉庫人員，有助于注冊會計師了解原材料、產(chǎn)成品等存貨的進出、保管和盤點等情況。
2、實施分析程序
如果使用了高度匯總的數(shù)據(jù)，實施分析程序的結果僅可能初步顯示財務報表存在重大錯報風險，注冊會計師應當將分析結果連同識別重大錯報風險時獲取的其他信息一并考慮。
3、觀察和檢查
觀察被審計單位的生產(chǎn)經(jīng)營活動
檢查文件、記錄和內部控制手冊
閱讀由管理層和治理層編制的報告
實地查看被審計單位的生產(chǎn)經(jīng)營場所和設備
追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿行測試）
（二）其他審計程序和信息來源
詢問被審計單位聘請的外部法律顧問、專業(yè)評估師、投資顧問和財務顧問等。
二、項目組內部的討論
（一）討論的目標：了解在各自分工負責的領域中，由于舞弊或錯誤導致財務報表重大錯報的可能性，并了解各自實施審計程序的結果如何影響審計的其他方面，包括對確定進一步審計程序的性質、時間和范圍的影響；
（二）討論的內容：項目組應當討論被審計單位面臨的經(jīng)營風險、財務報表容易發(fā)生錯報的領域以及發(fā)生錯報的方式。特別是由于舞弊導致重大錯報的可能性；
（三）參與討論的人員：項目組的關鍵成員應當參與討論，如果項目組需要擁有信息技術或其他特殊技能的專家，這些專家也應參與討論；
（四）討論的時間和方式：在整個審計過程中持續(xù)交換有關財務報表發(fā)生重大錯報可能性的信息；項目組在討論時應當強調在整個審計過程中保持職業(yè)懷疑態(tài)度，警惕可能發(fā)生重大錯報的跡象，并對這些跡象進行嚴格追蹤
了解被審計單位及其環(huán)境
一、總體要求
注冊會計師應當從下列方面了解被審計單位及其環(huán)境：
（1）行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素；
（2）被審計單位的性質；
（3）被審計單位對會計政策的選擇和運用；
（4）被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險；
（5）被審計單位財務業(yè)績的衡量和評價；
（6）被審計單位的內部控制。
二、行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素
（一）行業(yè)狀況
注冊會計師應當了解被審計單位的行業(yè)狀況，主要包括:
（1）所處行業(yè)的市場供求與競爭；
（2）生產(chǎn)經(jīng)營的季節(jié)性和周期性；
（3）產(chǎn)品生產(chǎn)技術的變化；
（4）能源供應與成本；
（5）行業(yè)的關鍵指標和統(tǒng)計數(shù)據(jù)。
（二）法律環(huán)境及監(jiān)管環(huán)境
注冊會計師應當了解被審計單位所處的法律環(huán)境及監(jiān)管環(huán)境，主要包括：
（1）適用的會計準則、會計制度和行業(yè)特定慣例；
（2）對經(jīng)營活動產(chǎn)生重大影響的法律法規(guī)及監(jiān)管活動；
（3）對開展業(yè)務產(chǎn)生重大影響的政府政策，包括貨幣、財政、稅收和貿易等政策；
（4）與被審計單位所處行業(yè)和所從事經(jīng)營活動相關的環(huán)保要求。
（三）其他外部因素
（1）宏觀經(jīng)濟的景氣度；
（2）利率和資金供求狀況；
（3）通貨膨脹水平及幣值變動；
（4）國際經(jīng)濟環(huán)境和匯率變動。
（四）了解的重點和程度
1、CPA對行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素了解的范圍和程度會因為被審計單位所處行業(yè)、規(guī)模以及其他因素的不同而不同。
2、CPA應當考慮了解的重點放在對被審計單位的經(jīng)營活動可能產(chǎn)生重要影響的關鍵外部因素以及與前期相比發(fā)生的重大變化上。
3、CPA應當考慮被審計單位所在行業(yè)的業(yè)務性質或監(jiān)管程度是否可能導致特定的重大錯報風險，考慮項目組是否配備了具有相關知識和經(jīng)驗的成員。
三、被審計單位的性質
（一）所有權結構：對被審計單位所有權結構的了解有助于CPA識別關聯(lián)方關系并了解被審計單位的決策過程。
（二）治理結構：良好的智力結構可以對被審計單位的經(jīng)營和財務運做實施有效的監(jiān)督，從而降低財務報表發(fā)生重大錯報風險
（三）組織結構：CPA應當了解被審計單位的組織結構，考慮復雜的組織結構導致的重大錯報風險，包括財務報表合并、商譽減值以及長期股權投資核算等問題
（四）經(jīng)營活動：了解被審計單位經(jīng)營活動有助于CPA識別預期在財務報表中反映的主要交易類別、重要帳戶余額和列報。
—主營業(yè)務的性質
－與生產(chǎn)產(chǎn)品或提供勞務相關的市場信息
－業(yè)務的開展情況
－聯(lián)盟、合營與外包情況
－從事電子商務的情況
－地區(qū)與行業(yè)分布
－生產(chǎn)設施、倉庫的地理位置及辦公地點
－關鍵客戶
－重要供應商
－勞動用工情況
－研究與開發(fā)活動及其支出
－關聯(lián)方交易
（五）投資活動：了解被審計單位投資活動有助于CPA關注被審計單位在經(jīng)營策略和方向上的重大變化
－近期擬實施或已實施的并購活動與資產(chǎn)處置情況
－證券投資、委托貸款的發(fā)生與處置
－資本性投資活動，包括固定資產(chǎn)和無形資產(chǎn)投資，以及近期或計劃發(fā)生的變動
－不納入合并范圍的投資
（六）籌資活動：了解被審計單位籌資活動有助于CPA評估被審計單位在融資方面的壓力。并進一步考慮被審計單位在可預見未來的持續(xù)經(jīng)營能力。
－債務結構和相關條款，包括擔保情況及表外融資
－固定資產(chǎn)的租賃
－關聯(lián)方融資
－實際受益股東
－衍生金融工具的運用
四、被審計單位對會計政策的選擇和運用
（一）重要項目的會計政策和行業(yè)慣例
重要項目的會計政策包括收入確認方法，存貨的計價方法，投資的核算，固定資產(chǎn)的折舊方法，壞賬準備、存貨跌價準備和其他資產(chǎn)減值準備的確定，借款費用資本化方法，合并財務報表的編制方法等
（二）重大的異常交易的會計處理方法
（三）在新領域和缺乏權威性標準或共識的領域，采用重要會計政策產(chǎn)生的影響
（四）會計政策的變更
（五）被審計單位何時采用以及如何采用新頒布的會計準則和相關會計制度
五、被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險
經(jīng)營風險源于對被審計單位實現(xiàn)目標和戰(zhàn)略產(chǎn)生不利影響的重大情況、事項、環(huán)境和行動，或源于不恰當?shù)哪繕撕蛻?zhàn)略。
不能隨環(huán)境變化而做出相應的調整固然可能產(chǎn)生經(jīng)營風險。但是調整的過程也可能導致經(jīng)營風險。
（一）CPA應當了解被審計單位是否存在與下列方面有關的目標和戰(zhàn)略，并考慮相應的經(jīng)營風險：
－行業(yè)發(fā)展
－開發(fā)新產(chǎn)品或提供新服務
－業(yè)務擴張
－新頒布的會計法規(guī)
－監(jiān)管要求
－本期及未來的融資條件
－信息技術的運用
（二）經(jīng)營風險對重大錯報風險的影響
經(jīng)營風險與重大錯報風險多數(shù)經(jīng)營風險最終都會產(chǎn)生財務后果，從而影響財務報表。但并非所有經(jīng)營風險都會導致重大錯報風險。經(jīng)營風險可能對各類交易、賬產(chǎn)余額以及列報認定層次或財務報表層次產(chǎn)生直接影響。
六、被審計單位財務業(yè)績的衡量和評價
（一）了解的主要方面
（1）關鍵業(yè)績指標；
（2）業(yè)績趨勢
（3）預測、預算和差異分析；
（4）管理層和員工業(yè)績考核與激勵性報酬政策；
（5）分部信息與不同層次部門的業(yè)績報告；
（6）與競爭對手的業(yè)績比較；
（7）外部機構提出的報告。
了解被審計單位的內部控制
一、內部控制的含義和要素
含義：指被審計單位為了合理保證財務報告的可靠性、經(jīng)營的效率和效果以及對法律法規(guī)的遵守，由治理層、管理層和其他人員設計和執(zhí)行的政策和程序
1、內部控制的目標是合理保證：
（1）財務報告的可靠性，
（2）經(jīng)營的效率和效果
（3）在所有經(jīng)營活動中遵守法律法規(guī)的要求；
2、設計和實施內部控制的責任主體是治理層、管理層和其他人員，組織中的每一個人都對內部控制負有責任；
3、實現(xiàn)內部控制目標的手段是設計和執(zhí)行控制政策和程序。
內部控制的要素：
（1）控制環(huán)境；
（2）風險評估過程；
（3）信息系統(tǒng)與溝通；
（4）控制活動；
（5）對控制的監(jiān)督。
二、與審計相關的控制
1、為實現(xiàn)財務報告可靠性目標設計和實施的控制。
2、其他與審計相關的控制。
三、對內部控制了解的深度
評價控制的設計，并確定其是否得到執(zhí)行，但不包括對控制是否得到一貫執(zhí)行的測試。
（一）評價控制的設計
了解的程度比較淺，再深入就是控制測試了。
（二）獲取控制設計和執(zhí)行的審計證據(jù)
（1）詢問被審計單位的人員；
（2）觀察特定控制的運用；
（3）檢查文件和報告；
（4）追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿行測試）。
四、內部控制的人工和自動化成分
（一）考慮內部控制的人工和自動化特征及其影響
（二）信息技術的優(yōu)勢及相關內部控制風險
信息技術可能對內部控制產(chǎn)生特定風險：
（1）統(tǒng)或程序未能正確處理數(shù)據(jù)，或處理了不正確的數(shù)據(jù)，或兩種情況同時并存；
（2）在未得到授權情況下訪問數(shù)據(jù),可能導致數(shù)據(jù)的毀損或對數(shù)據(jù)不恰當?shù)男薷模ㄓ涗浳唇?jīng)授權或不存在的交易，或不正確地記錄了交易；
（3）信息技術人員可能獲得超越其履行職責以外的數(shù)據(jù)訪問權限，破壞了系統(tǒng)應有的職責分工；
（4）未經(jīng)授權改變主文檔的數(shù)據(jù)；
（5）未經(jīng)授權改變系統(tǒng)或程序；
（6）未能對系統(tǒng)或程序作出必要的修改；
（7）不恰當?shù)娜藶楦深A；
（8）數(shù)據(jù)丟失的風險或不能訪問所需要的數(shù)據(jù)。
（三）人工控制的適用范圍及相關內部控制風險
風險：
（1）人工控制可能更容易被規(guī)避、忽視或凌駕；
（2）人工控制可能不具有一貫性；
（3）人工控制可能更容易產(chǎn)生簡單錯誤或失誤。
人工控制在下列情形中可能是不適當?shù)模?BR> （1）存在大量或重復發(fā)生的交易；
（2）事先可預見的錯誤能夠通過自動化控制得以防范或發(fā)現(xiàn)；
（3）控制活動可得到適當設計和自動化處理。
五、內部控制的局限性
內部控制的固有局限性：
1、在決策時人為判斷可能出現(xiàn)錯誤和由于人為失誤而導致內部控制失效；
2、可能由于兩個或更多的人員進行串通或管理層凌駕于內部控制之上而被規(guī)避；
3、行使控制職能的人員素質不適應崗位要求；
4、被審計單位實施內部控制的成本效益問題；
5、內部控制一般都是針對經(jīng)常而重復發(fā)生的業(yè)務而設置的，如果出現(xiàn)不經(jīng)常發(fā)生或未預計到的業(yè)務，原有控制就可能不適用。
六、控制環(huán)境
（一）控制環(huán)境的含義
控制環(huán)境包括治理職能和管理職能，以及治理層和管理層對內部控制及其重要性的態(tài)度、認識和措施。
（二）對誠信和道德價值觀念的溝通與落實
（三）對勝任能力的重視
（四）治理層的參與程度
（五）管理層的理念和經(jīng)營風格
（六）組織結構及職權與責任的分配
（七）人力資源政策與實務
控制環(huán)境本身并不能防止或發(fā)現(xiàn)并糾正各類交易、賬戶余額、列報認定層次的重大錯報，注冊會計師在評估重大錯報風險時，應當將控制環(huán)境連同其他內部控制要素產(chǎn)生的影響一并考慮。
七、被審計單位的風險評估過程
管理層應當確定可以承受的風險水平，識別這些風險并采取一定的應對措施。
可能產(chǎn)生風險的事項和情形包括：
（1）監(jiān)管及經(jīng)營環(huán)境的變化；
（2）新員工的加入；
（3）新信息系統(tǒng)的使用或對原系統(tǒng)進行升級；
（4）業(yè)務快速發(fā)展；
（5）新技術；
（6）新生產(chǎn)型號、產(chǎn)品和業(yè)務活動；
（7）企業(yè)重組；
（8）發(fā)展海外經(jīng)營；
（9）新的會計準則。
注冊會計師在對被審計單位整體層面的風險評估過程進行了解和評估時，考慮的主要因素包括：
－被審計單位是否已建立和溝通其整體目標，并輔以具體策略和業(yè)務流程和層面的計劃
－被審計單位是否已建立風險評估過程，包括識別風險，估計風險的重大性，評估風險發(fā)生的可能性，以及確定需要采取的措施
－被審計單位是否已建立某種機制，來預計、識別和應對可能會被審計單位產(chǎn)生重大的普遍影響的變化
－會計部門是否建立了某種流程來識別相關部門發(fā)布的會計準則等的重大變化
－當被審計單位業(yè)務操作發(fā)生變化影響交易記錄的流程時，是否存在溝通渠道來通知會計部門
－風險管理部門是否建立了某種流程來識別經(jīng)營環(huán)境發(fā)生的重大變化
八、信息系統(tǒng)與溝通
（一）與財務報告相關的信息系統(tǒng)的含義
理想的信息系統(tǒng)的特征：
（1）識別與記錄所有的有效交易；
（2）及時、詳細地描述交易，以便在財務報告中對交易做出恰當分類；
（3）恰當計量交易，以便在財務報告中對交易的金額做出準確記錄；
（4）恰當確定交易生成的會計期間；
（5）在財務報表中恰當列報交易。
（二）對與財務報告相關的信息系統(tǒng)的了解
1、在被審計單位經(jīng)營過程中，對財務報表具有重大影響的各類交易。
2、在信息技術和人工系統(tǒng)中，交易生成、記錄、處理和報告的程序。
3、與交易生成、記錄、處理和報告有關的會計記錄、支持性信息和財務報表中的特定項目。
4、信息系統(tǒng)如何獲取除各類交易之外的對財務報表具有重大影響的事項和情況的信息。
5、被審計單位編制財務報告的過程，包括做出的重大會計估計和披露。
6、管理層凌駕于賬戶記錄控制之上的風險。
九、控制活動
（一）相關的控制活動的含義
控制活動是指有助于確保管理層的指令得以執(zhí)行的政策和程序。包括與授權、業(yè)績評價、信息處理、實物控制和職責分離等相關的活動。
1、授權
2、業(yè)績評價
3、信息處理
4、實物控制
5、職責分離
（二）對控制活動的了解
(1)被審計單位的主要經(jīng)營活動是否都有必要的控制政策和程序；
(2)管理層在預算、利潤和其他財務和經(jīng)營業(yè)績方面是否都有清晰的目標，在被審計單位內部，是否對這些目標加以清晰的記錄和溝通，并且積極地對其進行監(jiān)控；
(3)是否存在計劃和報告系統(tǒng)，以識別與目標業(yè)績的差異，并向適當層次的管理層報告該差異；
(4)是否由適當層次的管理層對差異進行調查，并及時采取適當?shù)募m正措施；
(5)不同人員的職責應在何種程度上相分離，以降低舞弊和不當行為發(fā)生的風險；
(6)會計系統(tǒng)中的數(shù)據(jù)是否與實物資產(chǎn)定期核對；
(7)是否建立了適當?shù)谋Ｗo措施，以防止未經(jīng)授權接觸文件、記錄和資產(chǎn)；
(8)是否存在信息安全職能部門負責監(jiān)控信息安全政策和程序。
十、對控制的監(jiān)督
指被審計單位評價內部控制在一段時間內運行有效性的過程，該過程包括及時評價控制的設計和運行以及根據(jù)情況的變化采取必要的糾正措施。
CPA在對被審計單位整體層面的監(jiān)督進行了解和評估時，考慮的主要因素包括：
1、被審計單位是否定期評價內部控制
2、審計單位人員在履行正常職責時能夠在多大程度上獲得內部控制是否有效運行的證據(jù)
3、與外部的溝通能夠在多大程度上證實內部產(chǎn)生的信息或者指出存在的問題
4、管理層是否采納內部審計人員和CPA有關內部控制的建議
5、管理層根據(jù)監(jiān)管機構的報告及建議是否即使采取糾正措施
6、管理層是否及時糾正控制運行中的 偏差
7、是否存在協(xié)助管理層監(jiān)督內部控制的職能部門。
十一、在整體層面對內部控制了解和評估的總結
通常由項目組中對被審計單位情況比較了解且較有經(jīng)驗的成員負責。
了解內部控制是否得到執(zhí)行。
十二、在業(yè)務流程層面了解內部控制
確定被審計單位財務報表中可能存在重大錯報風險的重大賬戶及其相關認定的步驟：
（1）確定被審計單位的重要業(yè)務流程和重要交易類別；
（2）了解重要交易流程，并記錄獲得的了解；
（3）確定可能發(fā)生錯報的環(huán)節(jié)；
控制目標
解釋
1.完整性：所有的有效交易都已記錄
必須有程序確保沒有漏記實際發(fā)生的交易。
2.存在和發(fā)生：每項已記錄的交易均真實
必須有程序確保會計記錄中沒有虛構的或重復入賬的項目。
3.適當計量交易
必須有程序確保交易以適當?shù)慕痤~入賬。
4.恰當確定交易生成的會計期間（截止性）
必須有程序確保交易在適當?shù)臅嬈陂g內入賬（如，月、季度、年等）。
5.恰當分類
必須有程序確保將交易記入正確的部分類賬，必要時，記入相應的明細賬內。
6.匯總和過賬
必須有程序確保所有作為財務記錄中的供貨方余額都正確地歸集（加總）。確保加總后的金融正確過入總賬，必要時，過入明細分類賬
控制目標是否達到的問題
有關認定
怎樣確保沒有記錄虛構或重復的銷售？
怎樣確保所有的銷售和收款均已記錄？
怎樣保證貨物運送給正確的收貨人？
怎樣保證發(fā)貨單據(jù)只有在實際發(fā)貨時才開具？
怎樣保證發(fā)票正確反映了發(fā)貨的數(shù)量？
發(fā)生
完整性
發(fā)生
發(fā)生
準確性
（4）識別和了解相關控制；
預防性控制
檢查性控制
預防性控制示例
對控制的描述
設計控制用來防止的錯報
·生成收貨報告的計算機程序，同時也更新采購情況檔案
·防止出現(xiàn)購貨漏記賬的情況
·在更新采購情況檔案之前必須先有收貨報告
·防止記錄了未收到的購貨的情況
·銷貨發(fā)票上的價格根據(jù)價格信息檔案上的信息確定
·防止對銷貨不正確的計價
·計算機將各憑證上的賬戶號碼與會計科目表對比，然后進行一系列的邏輯測試
·防止出現(xiàn)分類錯報
檢查性控制示例
對控制的描述
設計控制預計查也的錯報
·定期編制銀行調節(jié)表，跟蹤調查掛賬的項目
·在對其他項目進行審核的同時，查找存入銀行但沒有記入日記賬的現(xiàn)金收入，未記錄的現(xiàn)金支付或虛構入賬的不真實的現(xiàn)金收入或支付，未及時入賬或未正確匯總分類現(xiàn)金收入或支付
·將預算與實際費用間的差異列入計算機編制的報告中并由部門經(jīng)理復核。記錄所有超過預算2%的差異情況和解決措施
·在對其他項目進行審核的同時，查找本月發(fā)生的重大分類錯報或沒有記錄及沒有發(fā)生的大筆收入、支出以及相關聯(lián)的資產(chǎn)和負債項目
對控制的描述
設計控制預計查也的錯報
·計算機每天比較運出貨物的數(shù)量和開票數(shù)量，如果發(fā)現(xiàn)差異，產(chǎn)生報告，由開票主管復核和遍查
·查找沒有開票和記錄的出庫貨物，以及與真實發(fā)貨無關的發(fā)票
·每季度復核應收賬款貨方余額并找出原因
·查找沒有記錄的發(fā)票和銷售與現(xiàn)金收入中的分類錯誤
（5）執(zhí)行穿行測試，證實對交易流程和相關控制的了解；
穿行測試：追蹤交易通過與財務報告相關的信息系統(tǒng)的過程
執(zhí)行穿行測試可獲得下列方面的證據(jù)：
－確認對業(yè)務流程的了解
－確認對重要交易的了解是完整的，在流程中所有與財務報表認定相關的可能發(fā)生錯報的環(huán)節(jié)都已識別
－確認所獲得的有關流程中的預防性和檢查性控制信息的準確性
－評估控制設計的有效性
－確認控制實際是否得到執(zhí)行并正常運行
－確認之前所作的書面記錄的準確性
（6）進行初步評價和風險評估。
評價控制的設計并確定其是否得到執(zhí)行
1、對控制的初步評價
－內部控制本身的設計可以單獨或連同其他控制能夠有效防止或發(fā)現(xiàn)并糾正重大錯報，并得到執(zhí)行。
－控制本身的設計是合理的，但沒有得到執(zhí)行。
－控制本身的設計無效或缺乏必要的控制。
2、風險評估需考慮的因素
帳戶特征及已識別的重大錯報風險，識別的重大錯報風險水平為高，則相關的控制應有較高的敏感度
對被審計單位整體層面控制的評價。CPA應將對整體層面獲得的了解和結論，同在業(yè)務流程層面獲得的有關重大交易流程及其控制的證據(jù)結合起來考慮。在評價業(yè)務流程層面的控制要素時，考慮的影響因素可能包括：
·管理層及執(zhí)行控制的員工表現(xiàn)出來的勝任能力及誠信，員工受監(jiān)督的程度及員工流動的頻繁程度
·管理層凌駕于控制之上的潛在可能性
·缺乏職責劃分
·所內內部審計人員或其他監(jiān)督人員測試控制動作的程度
·業(yè)務流程變更所產(chǎn)生的的影響
·被審計單位本身的風險評估過程針對某控制所識別的風險，以及對于該控制是否有進一步的監(jiān)督
3、評價決策
·根據(jù)以上的考慮因素，控制本身的設計是否有效？
·控制是否得到執(zhí)行？
·是否更多地依賴控制并進一步測試控制
（7）對財務報告流程的了解和評估
財務報告流程：有關信息從具體交易的業(yè)務流程到總賬和財務報表以及相關列報和披露的流程，這一流程與財務報表的列報認定直接有關
財務報告流程包括：
－將業(yè)務加總記入總賬的程序，即如何將重要業(yè)務流程的信息與總賬和財務報告系統(tǒng)相連接的過程
－在總賬中產(chǎn)生、授權、記錄和處理記賬分錄的程序
－其他用于記錄財務報常規(guī)和非常規(guī)調整的程序，例如合并調整，報告匯總、重分類等
－用于起草財務報表和相關披露的程序
五、 評估重大錯報風險
一、識別和評估財務報表層次和認定層次的重大錯報風險
（一）識別和評估重大錯報風險的審計程序
1、在了解被審計單位及其環(huán)境的整個過程中識別風險，并考慮各類交易、賬戶余額、列報。
2、將識別的風險與認定層次可能發(fā)生錯報的領域相聯(lián)系。
3、考慮識別的風險是否重大。
4、考慮識別的風險導致財務報表發(fā)生重大錯報的可能性。
（二）可能表明被審計單位存在重大錯報風險的事項和情況
下列事項和情況可能表明被審計單位存在重大錯報風險：
（1）在經(jīng)濟不穩(wěn)定的國家或地區(qū)開展業(yè)務；
（2）在高度波動的市場開展業(yè)務；
（3）在嚴厲、復雜的監(jiān)管環(huán)境中開展業(yè)務；
（4）持續(xù)經(jīng)營和資產(chǎn)流動性出現(xiàn)問題，包括重要客戶流失；
（5）融資能力受到限制；
（6）行業(yè)環(huán)境發(fā)生變化；
（7）供應鏈發(fā)生變化；
（8）開發(fā)新產(chǎn)品或提供新服務，或進入新的業(yè)務領域；
（9）開辟新的經(jīng)營場所；
（10）發(fā)生重大收購、重組或其他非經(jīng)常性事項；
（11）擬出售分支機構或業(yè)務分部；
（12）復雜的聯(lián)營或合資；
（13）運用表外融資、特殊目的實體以及其他復雜的融資協(xié)議；
（14）重大的關聯(lián)方交易；
（15）缺乏具備勝任能力的會計人員；
（16）關鍵人員變動；
（17）內部控制薄弱；
（18）信息技術戰(zhàn)略與經(jīng)營戰(zhàn)略不協(xié)調；
（19）信息技術環(huán)境發(fā)生變化；
（20）安裝新的與財務報告有關的重大信息技術系統(tǒng)；
（21）經(jīng)營活動或財務報告受到監(jiān)管機構的調查；
（22）以往存在重大錯報或本期期末出現(xiàn)重大會計調整；
（23）發(fā)生重大的非常規(guī)交易；
（24）按照管理層特定意圖記錄的交易；
（25）應用新頒布的會計準則或相關會計制度；
（26）會計計量過程復雜；
（27）事項或交易在計量時存在重大不確定性；
（28）存在未決訴訟和或有負債。
（三）識別兩個層次的重大錯報風險
在對重大錯報風險進行識別和評估后，注冊會計師應當確定，識別的重大錯報風險是與特定的某類交易、賬戶余額、列報的認定相關，還是與財務報表整體廣泛相關，進而影響多項認定。
（四）控制環(huán)境對評估財務報表層次重大錯報風險的影響
財務報表層次的重大錯報風險很可能源于薄弱的控制環(huán)境。薄弱的控制環(huán)境帶來的風險可能對財務報表產(chǎn)生廣泛影響，難以限于某類交易、賬戶余額、列報，注冊會計師應當采取總體應對措施。
（五）控制對評估認定層次重大錯報風險影響
在評估重大錯報風險時，注冊會計師應當將所了解的控制與特定認定相聯(lián)系?？刂瓶赡芘c某一認定直接相關，也可能與某一認定間接相關。關系越間接，控制在防止或發(fā)現(xiàn)并糾正認定中錯報的作用越小。
（六）考慮財務報表的可審計性
如果通過對內部控制的了解發(fā)現(xiàn)下列情況，并對財務報表局部或整體的可審計性產(chǎn)生疑問，
注冊會計師應當考慮出具保留意見或無法表示意見的審計報告：
（1）被審計單位會計記錄的狀況和可靠性存在重大問題，不能獲取充分、適當?shù)膶徲嬜C據(jù)以發(fā)表無保留意見；
（2）對管理層的誠信存在嚴重疑慮。
必要時，注冊會計師應當考慮解除業(yè)務約定。
二、非常規(guī)交易和判斷事項導致的特別風險
（一）特別風險的含義
作為風險評估的一部分，注冊會計師應當運用職業(yè)判斷，確定識別的風險哪些是需要特別考慮的重大錯報風險(以下簡稱特別風險)。
（二）在確定哪些風險是特別風險時，注冊會計師應當在考慮識別出的控制對相關風險的抵消效果前，根據(jù)風險的性質、潛在錯報的重要程度(包括該風險是否可能導致多項錯報)和發(fā)生的可能性，判斷風險是否屬于特別風險。
（三）非常規(guī)交易和判斷事項導致的特別風險
特別風險通常與重大的非常規(guī)交易和判斷事項有關。
1、非常規(guī)交易是指由于金額或性質異常而不經(jīng)常發(fā)生的交易。非常規(guī)交易會導致特別風險，因為：
（1）管理層更多地介入會計處理；
（2）數(shù)據(jù)收集和處理涉及更多的人工成分；
（3）復雜的計算或會計處理方法；
（4）非常規(guī)交易的性質可能使被審計單位難以對由此產(chǎn)生的特別風險實施有效控制。
2、判斷事項可能會導致的特別風險：
（1）對涉及會計估計、收入確認等方面的會計原則存在不同的理解；
（2）所要求的判斷可能是主觀和復雜的，或需要對未來事項作出假設。
3、考慮與特別風險相關的控制
了解與特別風險相關的控制，有助于注冊會計師制定有效的審計方案予以應對。對特別風險，注冊會計師應當評價相關控制的設計情況，并確定其是否已經(jīng)得到執(zhí)行。由于與重大非常規(guī)交易或判斷事項相關的風險很少受到日常控制的約束，注冊會計師應當了解被審計單
位是否針對該特別風險設計和實施了控制。
三、僅通過實質性程序無法應對的重大錯報風險
1．作為風險評估的一部分，如果認為僅通過實質性程序獲取的審計證據(jù)無法將認定層次的重大錯報風險降至可接受的低水平，注冊會計師應當評價被審計單位針對這些風險設計的控制，并確定其執(zhí)行情況。
2．在被審計單位對日常交易采用高度自動化處理的情況下，審計證據(jù)可能僅以電子形式存在，其充分性和適當性通常取決于自動化信息系統(tǒng)相關控制的有效性，注冊會計師應當考慮僅通過實施實質性程序不能獲取充分、適當審計證據(jù)的可能性。
六、與治理層和管理層的溝通
注冊會計師應當及時將注意到的內部控制設計或執(zhí)行方面的重大缺陷告知適當層次的管理層或治理層。
下列情況通常表明內部控制存在重大缺陷：
1、CPA在審計工作中發(fā)現(xiàn)了重大錯報，而被審計單位的內部控制沒有發(fā)現(xiàn)這些重大錯報
2、控制環(huán)境薄弱
3、存在高層管理層人員舞弊跡象
如果識別出被審計單位未加控制或控制不當?shù)闹卮箦e報風險，或認為被審計單位的風險評估過程存在重大缺陷，注冊會計師應當就此類內部控制缺陷與治理層溝通。
七、審計工作記錄
注冊會計師應當就下列內容形成審計工作記錄：
（一）項目組對由于舞弊或錯誤導致財務報表發(fā)生重大錯報的可能性進行的討論，以及得出的重要結論；
（二）對被審計單位及其環(huán)境各個方面的了解要點（包括內部控制各項要素的了解要點）、信息來源以及實施的風險評估程序；
（三）在財務報表層次和認定層次識別、評估出的重大錯報風險；
（四）識別出的特別風險和僅通過實質性程序無法應對的重大錯報風險，以及對相關控制的評估。
八、風險評估程序中對小型被審計單位的考慮：
1、了解被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險
小型被審計單位通常沒有正式的計劃和程序來確定其目標、戰(zhàn)略并管理經(jīng)營風險。注冊會計師應當詢問管理層或觀察小型被審計單位如何應對這些事項。
2、了解被審計單位財務業(yè)績的衡量和評價
小型被審計單位通常沒有正式的財務業(yè)績衡量和評價程序，管理層往往依據(jù)某些關鍵指標，作為評價財務業(yè)績和采取適當行動的基礎，注冊會計師應當了解管理層使用的關鍵指標
3、內部控制的要素
小型被審計單位通常采用非正式和簡單的內部控制實現(xiàn)其目標，參與日常經(jīng)營管理的業(yè)主（以下簡稱業(yè)主）可能承擔多項職能，內部控制要素沒有得到清晰區(qū)分，注冊會計師應當綜合考慮小型被審計單位內部控制要素能否實現(xiàn)其目標。
4、內部控制的局限性
小型被審計單位擁有的員工通常較少，限制了其職責分離的程度，業(yè)主凌駕于內部控制之上的可能性較大，注冊會計師應當考慮一些關鍵領域是否存在有效的內部控制。
5、在對被審計單位內部控制的了解時，對小型被審計單位的考慮：
（1）控制環(huán)境在小型被審計單位，可能無法獲取以文件形式存在的有關控制環(huán)境要素的審計證據(jù)，注冊會計師應當重點了解管理層對內部控制設計的態(tài)度、認識和措施。
（2）被審計單位的風險評估過程在小型被審計單位，管理層可能沒有正式的風險評估過程，注冊會計師應當與管理層討論其如何識別經(jīng)營風險以及如何應對這些風險。
（3）信息系統(tǒng)與溝通在小型被審計單位，與財務報告相關的信息系統(tǒng)和溝通可能不如大型被審計單位正式和復雜，注冊會計師應當考慮這種特征對評估重大錯報風險的影響。
（4）控制活動小型被審計單位通常難以實施適當?shù)穆氊煼蛛x，注冊會計師應當考慮小型被審計單位采取的控制活動能否有效實現(xiàn)控制目標。
（5）對控制的監(jiān)督小型被審計單位通常沒有正式的持續(xù)監(jiān)督活動，且持續(xù)的監(jiān)督活動與日常管理工作難以明確區(qū)分，注冊會計師應當考慮業(yè)主對經(jīng)營活動的密切參與能否有效實現(xiàn)其對控制的監(jiān)督目標。
1、了解被審計單位及其環(huán)境。
2、識別和評估重大錯報風險。
3、設計和實施進一步程序。
了解被審計單位及其環(huán)境能為注冊會計師在下列關鍵環(huán)節(jié)作出職業(yè)判斷提供重要基礎：
（1）確定重要性水平，并隨著審計工作的進程評估對重要性水平的判斷是否仍然適當；
（2）考慮會計政策的選擇和運用是否恰當，以及財務報表的列報是否適當；
（3）識別需要特別考慮的領域；
（4）確定在實施分析程序時所使用的預期值；
（5）設計和實施進一步審計程序，以將審計風險降至可接受的低水平；
（6）評價所獲取審計證據(jù)的充分性和適當性。
了解被審計單位及其環(huán)境是一個連續(xù)和動態(tài)的過程。
了解的程度是否恰當，關鍵看注冊會計師對被審計單位及其環(huán)境的了解是否足以識別和評估財務報表的重大錯報風險。（低于管理層的了解程度）
風險評估程序、信息來源以及項目組內部的討論
一、風險評估程序和信息來源
（一）風險評估程序
（1）詢問被審計單位管理層和內部其他相關人員。
（2）分析程序；
（3）觀察和檢查
1、詢問被審計單位管理層和內部其他相關人員
注冊會計師可以考慮向管理層和財務負責人詢問下列事項：
（1）管理層所關注的主要問題。
（2）被審計單位最近的財務狀況、經(jīng)營成果和現(xiàn)金流量。
（3）可能影響財務報告的交易和事項，或者目前發(fā)生的重大會計處理問題。
（4）被審計單位發(fā)生的其他重要變化。
除此之外，注冊會計師還應當考慮詢問以下各類人員，以獲取對識別重大錯報風險有用的信息：
（1）詢問治理層，有助于注冊會計師理解財務報表編制的環(huán)境；
（2）詢問內部審計人員，有助于注冊會計師了解其針對被審計單位內部控制設計和運行有效性而實施的工作，以及管理層對內部審計發(fā)現(xiàn)的問題是否采取適當?shù)拇胧?BR> （3）詢問參與生成、處理或記錄復雜或異常交易的員工，有助于注冊會計師評估被審計單位選擇和運用某項會計政策的適當性；
（4）詢問內部法律顧問，有助于注冊會計師了解有關法律法規(guī)的遵循情況、產(chǎn)品保證和售后責任、與業(yè)務合作伙伴（如合營企業(yè)）的安排、合同條款的含義以及訴訟情況等；
（5）詢問營銷或銷售人員，有助于注冊會計師了解被審計單位的營銷策略及其變化、銷售趨勢以及與客戶的合同安排；
（6）詢問采購人員和生產(chǎn)人員，有助于注冊會計師了解被審計單位的原材料采購和產(chǎn)品生產(chǎn)等情況；
（7）詢問倉庫人員，有助于注冊會計師了解原材料、產(chǎn)成品等存貨的進出、保管和盤點等情況。
2、實施分析程序
如果使用了高度匯總的數(shù)據(jù)，實施分析程序的結果僅可能初步顯示財務報表存在重大錯報風險，注冊會計師應當將分析結果連同識別重大錯報風險時獲取的其他信息一并考慮。
3、觀察和檢查
觀察被審計單位的生產(chǎn)經(jīng)營活動
檢查文件、記錄和內部控制手冊
閱讀由管理層和治理層編制的報告
實地查看被審計單位的生產(chǎn)經(jīng)營場所和設備
追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿行測試）
（二）其他審計程序和信息來源
詢問被審計單位聘請的外部法律顧問、專業(yè)評估師、投資顧問和財務顧問等。
二、項目組內部的討論
（一）討論的目標：了解在各自分工負責的領域中，由于舞弊或錯誤導致財務報表重大錯報的可能性，并了解各自實施審計程序的結果如何影響審計的其他方面，包括對確定進一步審計程序的性質、時間和范圍的影響；
（二）討論的內容：項目組應當討論被審計單位面臨的經(jīng)營風險、財務報表容易發(fā)生錯報的領域以及發(fā)生錯報的方式。特別是由于舞弊導致重大錯報的可能性；
（三）參與討論的人員：項目組的關鍵成員應當參與討論，如果項目組需要擁有信息技術或其他特殊技能的專家，這些專家也應參與討論；
（四）討論的時間和方式：在整個審計過程中持續(xù)交換有關財務報表發(fā)生重大錯報可能性的信息；項目組在討論時應當強調在整個審計過程中保持職業(yè)懷疑態(tài)度，警惕可能發(fā)生重大錯報的跡象，并對這些跡象進行嚴格追蹤
了解被審計單位及其環(huán)境
一、總體要求
注冊會計師應當從下列方面了解被審計單位及其環(huán)境：
（1）行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素；
（2）被審計單位的性質；
（3）被審計單位對會計政策的選擇和運用；
（4）被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險；
（5）被審計單位財務業(yè)績的衡量和評價；
（6）被審計單位的內部控制。
二、行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素
（一）行業(yè)狀況
注冊會計師應當了解被審計單位的行業(yè)狀況，主要包括:
（1）所處行業(yè)的市場供求與競爭；
（2）生產(chǎn)經(jīng)營的季節(jié)性和周期性；
（3）產(chǎn)品生產(chǎn)技術的變化；
（4）能源供應與成本；
（5）行業(yè)的關鍵指標和統(tǒng)計數(shù)據(jù)。
（二）法律環(huán)境及監(jiān)管環(huán)境
注冊會計師應當了解被審計單位所處的法律環(huán)境及監(jiān)管環(huán)境，主要包括：
（1）適用的會計準則、會計制度和行業(yè)特定慣例；
（2）對經(jīng)營活動產(chǎn)生重大影響的法律法規(guī)及監(jiān)管活動；
（3）對開展業(yè)務產(chǎn)生重大影響的政府政策，包括貨幣、財政、稅收和貿易等政策；
（4）與被審計單位所處行業(yè)和所從事經(jīng)營活動相關的環(huán)保要求。
（三）其他外部因素
（1）宏觀經(jīng)濟的景氣度；
（2）利率和資金供求狀況；
（3）通貨膨脹水平及幣值變動；
（4）國際經(jīng)濟環(huán)境和匯率變動。
（四）了解的重點和程度
1、CPA對行業(yè)狀況、法律環(huán)境與監(jiān)管環(huán)境以及其他外部因素了解的范圍和程度會因為被審計單位所處行業(yè)、規(guī)模以及其他因素的不同而不同。
2、CPA應當考慮了解的重點放在對被審計單位的經(jīng)營活動可能產(chǎn)生重要影響的關鍵外部因素以及與前期相比發(fā)生的重大變化上。
3、CPA應當考慮被審計單位所在行業(yè)的業(yè)務性質或監(jiān)管程度是否可能導致特定的重大錯報風險，考慮項目組是否配備了具有相關知識和經(jīng)驗的成員。
三、被審計單位的性質
（一）所有權結構：對被審計單位所有權結構的了解有助于CPA識別關聯(lián)方關系并了解被審計單位的決策過程。
（二）治理結構：良好的智力結構可以對被審計單位的經(jīng)營和財務運做實施有效的監(jiān)督，從而降低財務報表發(fā)生重大錯報風險
（三）組織結構：CPA應當了解被審計單位的組織結構，考慮復雜的組織結構導致的重大錯報風險，包括財務報表合并、商譽減值以及長期股權投資核算等問題
（四）經(jīng)營活動：了解被審計單位經(jīng)營活動有助于CPA識別預期在財務報表中反映的主要交易類別、重要帳戶余額和列報。
—主營業(yè)務的性質
－與生產(chǎn)產(chǎn)品或提供勞務相關的市場信息
－業(yè)務的開展情況
－聯(lián)盟、合營與外包情況
－從事電子商務的情況
－地區(qū)與行業(yè)分布
－生產(chǎn)設施、倉庫的地理位置及辦公地點
－關鍵客戶
－重要供應商
－勞動用工情況
－研究與開發(fā)活動及其支出
－關聯(lián)方交易
（五）投資活動：了解被審計單位投資活動有助于CPA關注被審計單位在經(jīng)營策略和方向上的重大變化
－近期擬實施或已實施的并購活動與資產(chǎn)處置情況
－證券投資、委托貸款的發(fā)生與處置
－資本性投資活動，包括固定資產(chǎn)和無形資產(chǎn)投資，以及近期或計劃發(fā)生的變動
－不納入合并范圍的投資
（六）籌資活動：了解被審計單位籌資活動有助于CPA評估被審計單位在融資方面的壓力。并進一步考慮被審計單位在可預見未來的持續(xù)經(jīng)營能力。
－債務結構和相關條款，包括擔保情況及表外融資
－固定資產(chǎn)的租賃
－關聯(lián)方融資
－實際受益股東
－衍生金融工具的運用
四、被審計單位對會計政策的選擇和運用
（一）重要項目的會計政策和行業(yè)慣例
重要項目的會計政策包括收入確認方法，存貨的計價方法，投資的核算，固定資產(chǎn)的折舊方法，壞賬準備、存貨跌價準備和其他資產(chǎn)減值準備的確定，借款費用資本化方法，合并財務報表的編制方法等
（二）重大的異常交易的會計處理方法
（三）在新領域和缺乏權威性標準或共識的領域，采用重要會計政策產(chǎn)生的影響
（四）會計政策的變更
（五）被審計單位何時采用以及如何采用新頒布的會計準則和相關會計制度
五、被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險
經(jīng)營風險源于對被審計單位實現(xiàn)目標和戰(zhàn)略產(chǎn)生不利影響的重大情況、事項、環(huán)境和行動，或源于不恰當?shù)哪繕撕蛻?zhàn)略。
不能隨環(huán)境變化而做出相應的調整固然可能產(chǎn)生經(jīng)營風險。但是調整的過程也可能導致經(jīng)營風險。
（一）CPA應當了解被審計單位是否存在與下列方面有關的目標和戰(zhàn)略，并考慮相應的經(jīng)營風險：
－行業(yè)發(fā)展
－開發(fā)新產(chǎn)品或提供新服務
－業(yè)務擴張
－新頒布的會計法規(guī)
－監(jiān)管要求
－本期及未來的融資條件
－信息技術的運用
（二）經(jīng)營風險對重大錯報風險的影響
經(jīng)營風險與重大錯報風險多數(shù)經(jīng)營風險最終都會產(chǎn)生財務后果，從而影響財務報表。但并非所有經(jīng)營風險都會導致重大錯報風險。經(jīng)營風險可能對各類交易、賬產(chǎn)余額以及列報認定層次或財務報表層次產(chǎn)生直接影響。
六、被審計單位財務業(yè)績的衡量和評價
（一）了解的主要方面
（1）關鍵業(yè)績指標；
（2）業(yè)績趨勢
（3）預測、預算和差異分析；
（4）管理層和員工業(yè)績考核與激勵性報酬政策；
（5）分部信息與不同層次部門的業(yè)績報告；
（6）與競爭對手的業(yè)績比較；
（7）外部機構提出的報告。
了解被審計單位的內部控制
一、內部控制的含義和要素
含義：指被審計單位為了合理保證財務報告的可靠性、經(jīng)營的效率和效果以及對法律法規(guī)的遵守，由治理層、管理層和其他人員設計和執(zhí)行的政策和程序
1、內部控制的目標是合理保證：
（1）財務報告的可靠性，
（2）經(jīng)營的效率和效果
（3）在所有經(jīng)營活動中遵守法律法規(guī)的要求；
2、設計和實施內部控制的責任主體是治理層、管理層和其他人員，組織中的每一個人都對內部控制負有責任；
3、實現(xiàn)內部控制目標的手段是設計和執(zhí)行控制政策和程序。
內部控制的要素：
（1）控制環(huán)境；
（2）風險評估過程；
（3）信息系統(tǒng)與溝通；
（4）控制活動；
（5）對控制的監(jiān)督。
二、與審計相關的控制
1、為實現(xiàn)財務報告可靠性目標設計和實施的控制。
2、其他與審計相關的控制。
三、對內部控制了解的深度
評價控制的設計，并確定其是否得到執(zhí)行，但不包括對控制是否得到一貫執(zhí)行的測試。
（一）評價控制的設計
了解的程度比較淺，再深入就是控制測試了。
（二）獲取控制設計和執(zhí)行的審計證據(jù)
（1）詢問被審計單位的人員；
（2）觀察特定控制的運用；
（3）檢查文件和報告；
（4）追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿行測試）。
四、內部控制的人工和自動化成分
（一）考慮內部控制的人工和自動化特征及其影響
（二）信息技術的優(yōu)勢及相關內部控制風險
信息技術可能對內部控制產(chǎn)生特定風險：
（1）統(tǒng)或程序未能正確處理數(shù)據(jù)，或處理了不正確的數(shù)據(jù)，或兩種情況同時并存；
（2）在未得到授權情況下訪問數(shù)據(jù),可能導致數(shù)據(jù)的毀損或對數(shù)據(jù)不恰當?shù)男薷模ㄓ涗浳唇?jīng)授權或不存在的交易，或不正確地記錄了交易；
（3）信息技術人員可能獲得超越其履行職責以外的數(shù)據(jù)訪問權限，破壞了系統(tǒng)應有的職責分工；
（4）未經(jīng)授權改變主文檔的數(shù)據(jù)；
（5）未經(jīng)授權改變系統(tǒng)或程序；
（6）未能對系統(tǒng)或程序作出必要的修改；
（7）不恰當?shù)娜藶楦深A；
（8）數(shù)據(jù)丟失的風險或不能訪問所需要的數(shù)據(jù)。
（三）人工控制的適用范圍及相關內部控制風險
風險：
（1）人工控制可能更容易被規(guī)避、忽視或凌駕；
（2）人工控制可能不具有一貫性；
（3）人工控制可能更容易產(chǎn)生簡單錯誤或失誤。
人工控制在下列情形中可能是不適當?shù)模?BR> （1）存在大量或重復發(fā)生的交易；
（2）事先可預見的錯誤能夠通過自動化控制得以防范或發(fā)現(xiàn)；
（3）控制活動可得到適當設計和自動化處理。
五、內部控制的局限性
內部控制的固有局限性：
1、在決策時人為判斷可能出現(xiàn)錯誤和由于人為失誤而導致內部控制失效；
2、可能由于兩個或更多的人員進行串通或管理層凌駕于內部控制之上而被規(guī)避；
3、行使控制職能的人員素質不適應崗位要求；
4、被審計單位實施內部控制的成本效益問題；
5、內部控制一般都是針對經(jīng)常而重復發(fā)生的業(yè)務而設置的，如果出現(xiàn)不經(jīng)常發(fā)生或未預計到的業(yè)務，原有控制就可能不適用。
六、控制環(huán)境
（一）控制環(huán)境的含義
控制環(huán)境包括治理職能和管理職能，以及治理層和管理層對內部控制及其重要性的態(tài)度、認識和措施。
（二）對誠信和道德價值觀念的溝通與落實
（三）對勝任能力的重視
（四）治理層的參與程度
（五）管理層的理念和經(jīng)營風格
（六）組織結構及職權與責任的分配
（七）人力資源政策與實務
控制環(huán)境本身并不能防止或發(fā)現(xiàn)并糾正各類交易、賬戶余額、列報認定層次的重大錯報，注冊會計師在評估重大錯報風險時，應當將控制環(huán)境連同其他內部控制要素產(chǎn)生的影響一并考慮。
七、被審計單位的風險評估過程
管理層應當確定可以承受的風險水平，識別這些風險并采取一定的應對措施。
可能產(chǎn)生風險的事項和情形包括：
（1）監(jiān)管及經(jīng)營環(huán)境的變化；
（2）新員工的加入；
（3）新信息系統(tǒng)的使用或對原系統(tǒng)進行升級；
（4）業(yè)務快速發(fā)展；
（5）新技術；
（6）新生產(chǎn)型號、產(chǎn)品和業(yè)務活動；
（7）企業(yè)重組；
（8）發(fā)展海外經(jīng)營；
（9）新的會計準則。
注冊會計師在對被審計單位整體層面的風險評估過程進行了解和評估時，考慮的主要因素包括：
－被審計單位是否已建立和溝通其整體目標，并輔以具體策略和業(yè)務流程和層面的計劃
－被審計單位是否已建立風險評估過程，包括識別風險，估計風險的重大性，評估風險發(fā)生的可能性，以及確定需要采取的措施
－被審計單位是否已建立某種機制，來預計、識別和應對可能會被審計單位產(chǎn)生重大的普遍影響的變化
－會計部門是否建立了某種流程來識別相關部門發(fā)布的會計準則等的重大變化
－當被審計單位業(yè)務操作發(fā)生變化影響交易記錄的流程時，是否存在溝通渠道來通知會計部門
－風險管理部門是否建立了某種流程來識別經(jīng)營環(huán)境發(fā)生的重大變化
八、信息系統(tǒng)與溝通
（一）與財務報告相關的信息系統(tǒng)的含義
理想的信息系統(tǒng)的特征：
（1）識別與記錄所有的有效交易；
（2）及時、詳細地描述交易，以便在財務報告中對交易做出恰當分類；
（3）恰當計量交易，以便在財務報告中對交易的金額做出準確記錄；
（4）恰當確定交易生成的會計期間；
（5）在財務報表中恰當列報交易。
（二）對與財務報告相關的信息系統(tǒng)的了解
1、在被審計單位經(jīng)營過程中，對財務報表具有重大影響的各類交易。
2、在信息技術和人工系統(tǒng)中，交易生成、記錄、處理和報告的程序。
3、與交易生成、記錄、處理和報告有關的會計記錄、支持性信息和財務報表中的特定項目。
4、信息系統(tǒng)如何獲取除各類交易之外的對財務報表具有重大影響的事項和情況的信息。
5、被審計單位編制財務報告的過程，包括做出的重大會計估計和披露。
6、管理層凌駕于賬戶記錄控制之上的風險。
九、控制活動
（一）相關的控制活動的含義
控制活動是指有助于確保管理層的指令得以執(zhí)行的政策和程序。包括與授權、業(yè)績評價、信息處理、實物控制和職責分離等相關的活動。
1、授權
2、業(yè)績評價
3、信息處理
4、實物控制
5、職責分離
（二）對控制活動的了解
(1)被審計單位的主要經(jīng)營活動是否都有必要的控制政策和程序；
(2)管理層在預算、利潤和其他財務和經(jīng)營業(yè)績方面是否都有清晰的目標，在被審計單位內部，是否對這些目標加以清晰的記錄和溝通，并且積極地對其進行監(jiān)控；
(3)是否存在計劃和報告系統(tǒng)，以識別與目標業(yè)績的差異，并向適當層次的管理層報告該差異；
(4)是否由適當層次的管理層對差異進行調查，并及時采取適當?shù)募m正措施；
(5)不同人員的職責應在何種程度上相分離，以降低舞弊和不當行為發(fā)生的風險；
(6)會計系統(tǒng)中的數(shù)據(jù)是否與實物資產(chǎn)定期核對；
(7)是否建立了適當?shù)谋Ｗo措施，以防止未經(jīng)授權接觸文件、記錄和資產(chǎn)；
(8)是否存在信息安全職能部門負責監(jiān)控信息安全政策和程序。
十、對控制的監(jiān)督
指被審計單位評價內部控制在一段時間內運行有效性的過程，該過程包括及時評價控制的設計和運行以及根據(jù)情況的變化采取必要的糾正措施。
CPA在對被審計單位整體層面的監(jiān)督進行了解和評估時，考慮的主要因素包括：
1、被審計單位是否定期評價內部控制
2、審計單位人員在履行正常職責時能夠在多大程度上獲得內部控制是否有效運行的證據(jù)
3、與外部的溝通能夠在多大程度上證實內部產(chǎn)生的信息或者指出存在的問題
4、管理層是否采納內部審計人員和CPA有關內部控制的建議
5、管理層根據(jù)監(jiān)管機構的報告及建議是否即使采取糾正措施
6、管理層是否及時糾正控制運行中的 偏差
7、是否存在協(xié)助管理層監(jiān)督內部控制的職能部門。
十一、在整體層面對內部控制了解和評估的總結
通常由項目組中對被審計單位情況比較了解且較有經(jīng)驗的成員負責。
了解內部控制是否得到執(zhí)行。
十二、在業(yè)務流程層面了解內部控制
確定被審計單位財務報表中可能存在重大錯報風險的重大賬戶及其相關認定的步驟：
（1）確定被審計單位的重要業(yè)務流程和重要交易類別；
（2）了解重要交易流程，并記錄獲得的了解；
（3）確定可能發(fā)生錯報的環(huán)節(jié)；
控制目標
解釋
1.完整性：所有的有效交易都已記錄
必須有程序確保沒有漏記實際發(fā)生的交易。
2.存在和發(fā)生：每項已記錄的交易均真實
必須有程序確保會計記錄中沒有虛構的或重復入賬的項目。
3.適當計量交易
必須有程序確保交易以適當?shù)慕痤~入賬。
4.恰當確定交易生成的會計期間（截止性）
必須有程序確保交易在適當?shù)臅嬈陂g內入賬（如，月、季度、年等）。
5.恰當分類
必須有程序確保將交易記入正確的部分類賬，必要時，記入相應的明細賬內。
6.匯總和過賬
必須有程序確保所有作為財務記錄中的供貨方余額都正確地歸集（加總）。確保加總后的金融正確過入總賬，必要時，過入明細分類賬
控制目標是否達到的問題
有關認定
怎樣確保沒有記錄虛構或重復的銷售？
怎樣確保所有的銷售和收款均已記錄？
怎樣保證貨物運送給正確的收貨人？
怎樣保證發(fā)貨單據(jù)只有在實際發(fā)貨時才開具？
怎樣保證發(fā)票正確反映了發(fā)貨的數(shù)量？
發(fā)生
完整性
發(fā)生
發(fā)生
準確性
（4）識別和了解相關控制；
預防性控制
檢查性控制
預防性控制示例
對控制的描述
設計控制用來防止的錯報
·生成收貨報告的計算機程序，同時也更新采購情況檔案
·防止出現(xiàn)購貨漏記賬的情況
·在更新采購情況檔案之前必須先有收貨報告
·防止記錄了未收到的購貨的情況
·銷貨發(fā)票上的價格根據(jù)價格信息檔案上的信息確定
·防止對銷貨不正確的計價
·計算機將各憑證上的賬戶號碼與會計科目表對比，然后進行一系列的邏輯測試
·防止出現(xiàn)分類錯報
檢查性控制示例
對控制的描述
設計控制預計查也的錯報
·定期編制銀行調節(jié)表，跟蹤調查掛賬的項目
·在對其他項目進行審核的同時，查找存入銀行但沒有記入日記賬的現(xiàn)金收入，未記錄的現(xiàn)金支付或虛構入賬的不真實的現(xiàn)金收入或支付，未及時入賬或未正確匯總分類現(xiàn)金收入或支付
·將預算與實際費用間的差異列入計算機編制的報告中并由部門經(jīng)理復核。記錄所有超過預算2%的差異情況和解決措施
·在對其他項目進行審核的同時，查找本月發(fā)生的重大分類錯報或沒有記錄及沒有發(fā)生的大筆收入、支出以及相關聯(lián)的資產(chǎn)和負債項目
對控制的描述
設計控制預計查也的錯報
·計算機每天比較運出貨物的數(shù)量和開票數(shù)量，如果發(fā)現(xiàn)差異，產(chǎn)生報告，由開票主管復核和遍查
·查找沒有開票和記錄的出庫貨物，以及與真實發(fā)貨無關的發(fā)票
·每季度復核應收賬款貨方余額并找出原因
·查找沒有記錄的發(fā)票和銷售與現(xiàn)金收入中的分類錯誤
（5）執(zhí)行穿行測試，證實對交易流程和相關控制的了解；
穿行測試：追蹤交易通過與財務報告相關的信息系統(tǒng)的過程
執(zhí)行穿行測試可獲得下列方面的證據(jù)：
－確認對業(yè)務流程的了解
－確認對重要交易的了解是完整的，在流程中所有與財務報表認定相關的可能發(fā)生錯報的環(huán)節(jié)都已識別
－確認所獲得的有關流程中的預防性和檢查性控制信息的準確性
－評估控制設計的有效性
－確認控制實際是否得到執(zhí)行并正常運行
－確認之前所作的書面記錄的準確性
（6）進行初步評價和風險評估。
評價控制的設計并確定其是否得到執(zhí)行
1、對控制的初步評價
－內部控制本身的設計可以單獨或連同其他控制能夠有效防止或發(fā)現(xiàn)并糾正重大錯報，并得到執(zhí)行。
－控制本身的設計是合理的，但沒有得到執(zhí)行。
－控制本身的設計無效或缺乏必要的控制。
2、風險評估需考慮的因素
帳戶特征及已識別的重大錯報風險，識別的重大錯報風險水平為高，則相關的控制應有較高的敏感度
對被審計單位整體層面控制的評價。CPA應將對整體層面獲得的了解和結論，同在業(yè)務流程層面獲得的有關重大交易流程及其控制的證據(jù)結合起來考慮。在評價業(yè)務流程層面的控制要素時，考慮的影響因素可能包括：
·管理層及執(zhí)行控制的員工表現(xiàn)出來的勝任能力及誠信，員工受監(jiān)督的程度及員工流動的頻繁程度
·管理層凌駕于控制之上的潛在可能性
·缺乏職責劃分
·所內內部審計人員或其他監(jiān)督人員測試控制動作的程度
·業(yè)務流程變更所產(chǎn)生的的影響
·被審計單位本身的風險評估過程針對某控制所識別的風險，以及對于該控制是否有進一步的監(jiān)督
3、評價決策
·根據(jù)以上的考慮因素，控制本身的設計是否有效？
·控制是否得到執(zhí)行？
·是否更多地依賴控制并進一步測試控制
（7）對財務報告流程的了解和評估
財務報告流程：有關信息從具體交易的業(yè)務流程到總賬和財務報表以及相關列報和披露的流程，這一流程與財務報表的列報認定直接有關
財務報告流程包括：
－將業(yè)務加總記入總賬的程序，即如何將重要業(yè)務流程的信息與總賬和財務報告系統(tǒng)相連接的過程
－在總賬中產(chǎn)生、授權、記錄和處理記賬分錄的程序
－其他用于記錄財務報常規(guī)和非常規(guī)調整的程序，例如合并調整，報告匯總、重分類等
－用于起草財務報表和相關披露的程序
五、 評估重大錯報風險
一、識別和評估財務報表層次和認定層次的重大錯報風險
（一）識別和評估重大錯報風險的審計程序
1、在了解被審計單位及其環(huán)境的整個過程中識別風險，并考慮各類交易、賬戶余額、列報。
2、將識別的風險與認定層次可能發(fā)生錯報的領域相聯(lián)系。
3、考慮識別的風險是否重大。
4、考慮識別的風險導致財務報表發(fā)生重大錯報的可能性。
（二）可能表明被審計單位存在重大錯報風險的事項和情況
下列事項和情況可能表明被審計單位存在重大錯報風險：
（1）在經(jīng)濟不穩(wěn)定的國家或地區(qū)開展業(yè)務；
（2）在高度波動的市場開展業(yè)務；
（3）在嚴厲、復雜的監(jiān)管環(huán)境中開展業(yè)務；
（4）持續(xù)經(jīng)營和資產(chǎn)流動性出現(xiàn)問題，包括重要客戶流失；
（5）融資能力受到限制；
（6）行業(yè)環(huán)境發(fā)生變化；
（7）供應鏈發(fā)生變化；
（8）開發(fā)新產(chǎn)品或提供新服務，或進入新的業(yè)務領域；
（9）開辟新的經(jīng)營場所；
（10）發(fā)生重大收購、重組或其他非經(jīng)常性事項；
（11）擬出售分支機構或業(yè)務分部；
（12）復雜的聯(lián)營或合資；
（13）運用表外融資、特殊目的實體以及其他復雜的融資協(xié)議；
（14）重大的關聯(lián)方交易；
（15）缺乏具備勝任能力的會計人員；
（16）關鍵人員變動；
（17）內部控制薄弱；
（18）信息技術戰(zhàn)略與經(jīng)營戰(zhàn)略不協(xié)調；
（19）信息技術環(huán)境發(fā)生變化；
（20）安裝新的與財務報告有關的重大信息技術系統(tǒng)；
（21）經(jīng)營活動或財務報告受到監(jiān)管機構的調查；
（22）以往存在重大錯報或本期期末出現(xiàn)重大會計調整；
（23）發(fā)生重大的非常規(guī)交易；
（24）按照管理層特定意圖記錄的交易；
（25）應用新頒布的會計準則或相關會計制度；
（26）會計計量過程復雜；
（27）事項或交易在計量時存在重大不確定性；
（28）存在未決訴訟和或有負債。
（三）識別兩個層次的重大錯報風險
在對重大錯報風險進行識別和評估后，注冊會計師應當確定，識別的重大錯報風險是與特定的某類交易、賬戶余額、列報的認定相關，還是與財務報表整體廣泛相關，進而影響多項認定。
（四）控制環(huán)境對評估財務報表層次重大錯報風險的影響
財務報表層次的重大錯報風險很可能源于薄弱的控制環(huán)境。薄弱的控制環(huán)境帶來的風險可能對財務報表產(chǎn)生廣泛影響，難以限于某類交易、賬戶余額、列報，注冊會計師應當采取總體應對措施。
（五）控制對評估認定層次重大錯報風險影響
在評估重大錯報風險時，注冊會計師應當將所了解的控制與特定認定相聯(lián)系?？刂瓶赡芘c某一認定直接相關，也可能與某一認定間接相關。關系越間接，控制在防止或發(fā)現(xiàn)并糾正認定中錯報的作用越小。
（六）考慮財務報表的可審計性
如果通過對內部控制的了解發(fā)現(xiàn)下列情況，并對財務報表局部或整體的可審計性產(chǎn)生疑問，
注冊會計師應當考慮出具保留意見或無法表示意見的審計報告：
（1）被審計單位會計記錄的狀況和可靠性存在重大問題，不能獲取充分、適當?shù)膶徲嬜C據(jù)以發(fā)表無保留意見；
（2）對管理層的誠信存在嚴重疑慮。
必要時，注冊會計師應當考慮解除業(yè)務約定。
二、非常規(guī)交易和判斷事項導致的特別風險
（一）特別風險的含義
作為風險評估的一部分，注冊會計師應當運用職業(yè)判斷，確定識別的風險哪些是需要特別考慮的重大錯報風險(以下簡稱特別風險)。
（二）在確定哪些風險是特別風險時，注冊會計師應當在考慮識別出的控制對相關風險的抵消效果前，根據(jù)風險的性質、潛在錯報的重要程度(包括該風險是否可能導致多項錯報)和發(fā)生的可能性，判斷風險是否屬于特別風險。
（三）非常規(guī)交易和判斷事項導致的特別風險
特別風險通常與重大的非常規(guī)交易和判斷事項有關。
1、非常規(guī)交易是指由于金額或性質異常而不經(jīng)常發(fā)生的交易。非常規(guī)交易會導致特別風險，因為：
（1）管理層更多地介入會計處理；
（2）數(shù)據(jù)收集和處理涉及更多的人工成分；
（3）復雜的計算或會計處理方法；
（4）非常規(guī)交易的性質可能使被審計單位難以對由此產(chǎn)生的特別風險實施有效控制。
2、判斷事項可能會導致的特別風險：
（1）對涉及會計估計、收入確認等方面的會計原則存在不同的理解；
（2）所要求的判斷可能是主觀和復雜的，或需要對未來事項作出假設。
3、考慮與特別風險相關的控制
了解與特別風險相關的控制，有助于注冊會計師制定有效的審計方案予以應對。對特別風險，注冊會計師應當評價相關控制的設計情況，并確定其是否已經(jīng)得到執(zhí)行。由于與重大非常規(guī)交易或判斷事項相關的風險很少受到日常控制的約束，注冊會計師應當了解被審計單
位是否針對該特別風險設計和實施了控制。
三、僅通過實質性程序無法應對的重大錯報風險
1．作為風險評估的一部分，如果認為僅通過實質性程序獲取的審計證據(jù)無法將認定層次的重大錯報風險降至可接受的低水平，注冊會計師應當評價被審計單位針對這些風險設計的控制，并確定其執(zhí)行情況。
2．在被審計單位對日常交易采用高度自動化處理的情況下，審計證據(jù)可能僅以電子形式存在，其充分性和適當性通常取決于自動化信息系統(tǒng)相關控制的有效性，注冊會計師應當考慮僅通過實施實質性程序不能獲取充分、適當審計證據(jù)的可能性。
六、與治理層和管理層的溝通
注冊會計師應當及時將注意到的內部控制設計或執(zhí)行方面的重大缺陷告知適當層次的管理層或治理層。
下列情況通常表明內部控制存在重大缺陷：
1、CPA在審計工作中發(fā)現(xiàn)了重大錯報，而被審計單位的內部控制沒有發(fā)現(xiàn)這些重大錯報
2、控制環(huán)境薄弱
3、存在高層管理層人員舞弊跡象
如果識別出被審計單位未加控制或控制不當?shù)闹卮箦e報風險，或認為被審計單位的風險評估過程存在重大缺陷，注冊會計師應當就此類內部控制缺陷與治理層溝通。
七、審計工作記錄
注冊會計師應當就下列內容形成審計工作記錄：
（一）項目組對由于舞弊或錯誤導致財務報表發(fā)生重大錯報的可能性進行的討論，以及得出的重要結論；
（二）對被審計單位及其環(huán)境各個方面的了解要點（包括內部控制各項要素的了解要點）、信息來源以及實施的風險評估程序；
（三）在財務報表層次和認定層次識別、評估出的重大錯報風險；
（四）識別出的特別風險和僅通過實質性程序無法應對的重大錯報風險，以及對相關控制的評估。
八、風險評估程序中對小型被審計單位的考慮：
1、了解被審計單位的目標、戰(zhàn)略以及相關經(jīng)營風險
小型被審計單位通常沒有正式的計劃和程序來確定其目標、戰(zhàn)略并管理經(jīng)營風險。注冊會計師應當詢問管理層或觀察小型被審計單位如何應對這些事項。
2、了解被審計單位財務業(yè)績的衡量和評價
小型被審計單位通常沒有正式的財務業(yè)績衡量和評價程序，管理層往往依據(jù)某些關鍵指標，作為評價財務業(yè)績和采取適當行動的基礎，注冊會計師應當了解管理層使用的關鍵指標
3、內部控制的要素
小型被審計單位通常采用非正式和簡單的內部控制實現(xiàn)其目標，參與日常經(jīng)營管理的業(yè)主（以下簡稱業(yè)主）可能承擔多項職能，內部控制要素沒有得到清晰區(qū)分，注冊會計師應當綜合考慮小型被審計單位內部控制要素能否實現(xiàn)其目標。
4、內部控制的局限性
小型被審計單位擁有的員工通常較少，限制了其職責分離的程度，業(yè)主凌駕于內部控制之上的可能性較大，注冊會計師應當考慮一些關鍵領域是否存在有效的內部控制。
5、在對被審計單位內部控制的了解時，對小型被審計單位的考慮：
（1）控制環(huán)境在小型被審計單位，可能無法獲取以文件形式存在的有關控制環(huán)境要素的審計證據(jù)，注冊會計師應當重點了解管理層對內部控制設計的態(tài)度、認識和措施。
（2）被審計單位的風險評估過程在小型被審計單位，管理層可能沒有正式的風險評估過程，注冊會計師應當與管理層討論其如何識別經(jīng)營風險以及如何應對這些風險。
（3）信息系統(tǒng)與溝通在小型被審計單位，與財務報告相關的信息系統(tǒng)和溝通可能不如大型被審計單位正式和復雜，注冊會計師應當考慮這種特征對評估重大錯報風險的影響。
（4）控制活動小型被審計單位通常難以實施適當?shù)穆氊煼蛛x，注冊會計師應當考慮小型被審計單位采取的控制活動能否有效實現(xiàn)控制目標。
（5）對控制的監(jiān)督小型被審計單位通常沒有正式的持續(xù)監(jiān)督活動，且持續(xù)的監(jiān)督活動與日常管理工作難以明確區(qū)分，注冊會計師應當考慮業(yè)主對經(jīng)營活動的密切參與能否有效實現(xiàn)其對控制的監(jiān)督目標。