审计原理与实务（第3版）课件 第8章 风险评估

第8章

风险评估目录01

了解被审计单位及其环境02

了解内部控制03

识别与评估重大错报风险引导案例：蓝田神话

鱼塘业绩异常：同业30倍的产值神话蓝田声称“水中有鱼，水面有鸭，水下有藕”的立体养殖技术实现每亩水面年产值3万元，而湖北同业企业不足1000元，业绩差异显著异常。

巨额现金交易：收入真实性存疑2000年销售收入18.4亿元，应收账款仅857.2万元，占比0.46‰，以“个体户上门提货、钱货两清”为由解释，但巨额现金交易缺乏银行结算支持，真实性难以验证。

现金流与固定资产矛盾：财务逻辑异常2000年年末流动比率0.77，营运资金-1.27亿元，存在严重现金流缺口，却将资金大量投入固定资产（21.69亿元，占总资产76.4%），农业企业高固定资产占比不合常理且难以验证。

思考：1．本案例所描述的情形是否表明蓝田公司财务报表存在重大错报风险？2．注册会计师应如何识别与评估重大错报风险？了解被审计单位及其环境01（一）被审计单位所有权结构、治理结构与组织结构所有权结构涵盖所有者性质、企业类型、所属地区、规模及关联方关系等。审计需关注一股独大导致的控制缺陷、股权质押平仓风险、持续经营能力不确定性及关联方交易披露问题。治理结构包括董事会构成、独立董事设置、专门机构运作及治理层监督责任。审计重点关注治理层监督能力薄弱可能加大控制风险，控制环境缺陷易引发报表层次重大错报风险。组织结构体现为单一实体或多地区子公司、部门等组成形式。复杂的组织结构可能在商誉、合营、投资等领域引发重大错报风险，需结合业务分布评估潜在问题。一、了解被审计单位及其环境的主要内容（二）被审计单位的业务模式业务类型与市场客户涉及主要产品/服务、业务分部、联盟合营情况，以及大众/小众市场、细分客户群体。如中国联通服务个人、企业及政府用户，审计需关注业务多样性对财务数据的映射影响。营销模式与收入来源营销模式包括线上平台、实体门店、分销商等，如小米采用全渠道模式；收入来源如抖音的广告、直播打赏及电商佣金。审计需警惕异常客户交易、刷单虚构收入等舞弊风险。核心资源与成本结构核心资源涵盖技术、品牌、供应链等，如阿里巴巴的电商平台与支付系统；成本结构含固定/可变成本、规模效应等，制造业侧重原材料与人工，软件企业研发成本较高。审计关注成本变动逻辑及资源依赖风险。（三）被审计单位的投资与筹资活动

投资活动包括并购、资产处置、证券贷款投资、资本性投资及对非合并实体投资等。重大收购重组等非常规事项易导致投资、并表相关的重大错报风险，需评估交易真实性与会计处理准确性。

筹资活动涉及债务结构、子公司联营企业所有权、实际受益方及衍生金融工具使用。审计需关注表外融资、关联方融资安排及实际受益人未披露风险，确保融资信息完整合规。（四）被审计单位对适用的财务报告编制基础的运用

行业特定惯例与重要会计政策特定行业交易类别及账户余额披露存在差异，如银行业的贷款投资、医药行业的研发活动；重要会计政策包括收入确认、金融工具处理及外币计量等，审计需关注政策选择的恰当性。

会计政策变更与新准则应用环境变化（如准则或税制改革）可能引发会计政策变更；新颁布准则需关注采用时间与执行情况。审计需评估变更合理性及新准则对财务报表的影响。（五）相关行业状况、法律环境、监管环境和其他外部因素行业状况包含竞争格局、季节性周期性、生产技术及能源供应成本。如计算机硬件制造企业需关注市场竞争与技术进步，可能导致存货滞销计价风险；毛利率异于同行业提示收入确认错报风险。法律与监管环境涉及行业法规框架、影响经营的法律法规（如劳动法）、税收政策及环保要求。审计需关注企业对法规的遵循情况，如环保新法规可能导致未合理记录相关负债的错报风险。其他外部因素包括社会经济情况、利率、融资可获得性、通货膨胀及汇率变动等。汇率变动时，外币货币性项目若未及时调整或折算汇率不当，可能导致资产负债高估或低估。（六）被审计单位财务业绩的衡量标准

内部业绩衡量标准涵盖关键业绩指标、同期比较分析、预算差异分析、员工业绩考核及竞争对手比较。审计需关注业绩考核压力（如股价维护、管理层报酬挂钩）可能引发的舞弊风险，异常增长率或盈利水平需警惕利润高估。

外部业绩衡量标准来源于证券分析师、信用评级机构、媒体、税务机关、监管机构等外部主体。审计可通过公开信息了解业务矛盾点，关注银行借款条款挂钩的业绩标准及监管比率要求对财务状况的影响。（七）被审计单位的信息技术系统

信息技术系统基本情况包括应用系统名称、运行环境、初次安装与修改记录，系统类型（商业通用、定制或集成系统）及新兴技术应用。审计需了解通用软件可靠性、修改权限及数据访问风险，复杂系统关注集成整合与外包管理问题。

对信息技术系统的评价信息技术系统复杂程度，信息技术系统对审计工作的影响。判断是否需要利用信息技术专家的工作，确定专家的介入程度。了解内部控制02（一）询问01询问被审计单位管理层和财务负责人了解管理层关注的主要问题；掌握被审计单位最近的财务状况、经营成果、现金流量；知晓可能影响财务报告的交易事项及重大会计处理问题，以及所有权结构、内部控制等方面的重要变化。02询问被审计单位内部不同部门不同级别的员工询问治理层、内部审计人员、参与生成、处理或记录复杂或异常交易的员工、内部法律事务人员、销售人员、采购人员和生产人员、仓库人员、风险管理人员、信息系统人员。03询问被审计单位外部相关人员走访询问外部法律顾问、专业评估师、投资顾问、财务顾问、客户、供应商等，获取从外部视角对被审计单位的相关信息，以辅助风险评估。二、风险评估程序（二）分析程序

分析程序的应用方式在了解被审计单位及其环境并评估重大错报风险时，通过对财务数据与非财务数据、本期数据与历史数据、被审计单位数据与同行业数据等进行比较分析，识别异常波动和关系，从而评估重大错报风险。

分析程序识别风险示例例如，已知被审计单位银行贷款额略有增加且贷款利率上涨1个百分点，预期财务费用应相应上升，但比较发现今年财务费用比上年大幅下降，这种异常情况表明财务费用可能存在重大错报风险。（三）观察

011.观察被审计单位的生产经营活动观察被审计单位人员从事的生产活动和控制活动，了解其生产经营流程及相关控制的实施情况，判断控制是否得到有效执行。

02观察被审计单位的生产经营场所和设备实地观察厂房、设备等，结合与管理层及不同职责员工的交流，增进对被审计单位主要业务、经营活动及重大影响因素的了解。

03观察被审计单位管理层或治理层的行为和行动如观察审计委员会会议等，了解管理层和治理层对财务报告、内部控制等方面的态度和行为，评估其对风险的重视程度。（四）检查1.检查内部文件、记录和内部控制手册检查被审计单位的章程、战略方案、经营计划、合同协议、股东大会及董事会会议纪要、业务流程操作指引和内部控制手册等。2.阅读管理层和治理层编制的报告阅读公告、年度和中期报告、管理层讨论与分析资料、内部管理报告、特殊目的报告、董事会会议纪要等。3.阅读外部信息通过AI工具搜索、访问公开网络与媒体、向被审计单位索取等方式，获取证券分析师报告、行业研究报告、同行业公司招股说明书及年度报告等外部信息。三、其他信息来源初步业务活动获取的信息在初步业务活动阶段，通过与被审计单位沟通、了解其基本情况、评估业务承接风险等获取的信息，可作为风险评估的基础。其他服务获得的信息向被审计单位提供税务服务等其他服务过程中获得的关于其税务处理、经营模式等方面的信息，有助于全面评估风险。连续审计时利用以前年度审计信息连续审计情况下，以前年度审计获取的被审计单位的内部控制情况、错报情况、经营特点等经验和信息，可用于本期风险评估，识别新的风险点。四、项目组内部讨论

讨论内容在审计过程中持续分享被审计单位财务报告披露要求的变化，所处环境、经营状况、财务状况的变化，面临的经营风险、舞弊风险、可能的错报领域及发生错报的方式等信息。

讨论作用通过分享审计思路与方法，使项目组成员对审计风险有更全面的认识，明确审计方向，提高审计效率和质量，确保审计工作的顺利开展。了解内部控制02一、了解内部控制的范围

内部控制的了解范围注册会计师仅需了解与审计相关的内部控制，并非被审计单位所有内部控制。例如，与应交税费和所得税费用相关的控制与审计相关，而航空公司维护航班时间表的自动控制系统通常与审计无关。二、内部控制的了解深度

（一）评价控制设计的合理性考虑一项控制单独或连同其他控制是否能够有效防止或发现并纠正重大错报。设计不当的控制可能表明存在值得关注的内部控制缺陷。

（二）确定控制是否得到执行控制得到执行是指某项控制存在且正在使用。设计合理的控制如果得不到执行，可能意味着内部控制存在缺陷。三、了解内部控制的程序

（一）询问被审计单位的有关人员向被审计单位相关人员询问内部控制是否建立、执行，以及与上次审计相比的新变化、薄弱环节改进等情况。

（二）观察特定控制的运行针对不留下书面记录的控制，实地观察被审计单位的业务活动和控制运行情况，以确定控制是否建立并运行。

（三）检查文件和报告索取并检查被审计单位编制的有关内部控制的文件与报告，如董事会会议纪要、员工培训记录等，结合询问了解内部控制的建立与执行情况。（一）从整体层面了解并评价内部控制

控制环境包括员工行为守则执行、董事会成员经验资历、组织结构合理性、人力资源政策等方面，如公司制定完备的员工行为守则并在公司内网上公开查阅。

风险评估涉及确定风险评估方法、建立风险识别与应对机制等，例如被审计单位考虑内外部风险因素，进行风险分析并由适当级别管理人员参与。

信息与沟通涵盖信息系统提供经营信息、内部横向沟通渠道畅通、管理层与内外部人士有效沟通等，如建立销售部门与技术、生产等部门的沟通渠道。

对控制的监督包含内部控制定期评价、评价控制对常规工作活动的保障程度、利用外界沟通信息反映控制有效性等，如建立内部控制评价体系定期评价内部控制。四、了解内部控制的内容（二）从业务流程层面了解并评价内部控制1.确定重要业务流程和交易类别

通过划分业务循环确定重要业务流程，如销售与收款循环；重要交易类别（如销售与收款）与重大账户（如主营业务收入和应收账款）及其认定相联系。2.了解重要交易流程并记录

了解重要交易在系统中的生成、处理、记录及报告流程，例如销售交易流程包括接受订单、核准信用、发货、开具发票等环节。3.确定可能发生错报的环节

确认错报可能发生的环节，如开具发票账单环节可能出现虚构交易、计算错误等错报，涉及应收账款存在认定及业务收入相关认定。4.识别和了解相关控制并记录

确定是否有必要了解交易相关控制，重点放在易发生错报的环节，若多项控制实现同一目标，不必了解每项控制，考虑控制组合的综合效果。5.执行穿行测试

追踪交易从发生到记账的整个流程，验证对交易流程和控制的了解是否准确完整，如针对销售交易追踪从订单处理到过账的全过程。6.初步评价内部控制

评价结论包括控制设计合理并得到执行、设计合理但未执行、设计无效或缺乏必要控制三种情况。五、识别直接控制与间接控制

直接控制的定义与特点直接控制是能够精准应对认定层次重大错报风险的控制，能精准防止、发现并纠正认定层次错报，例如确保员工适当盘点和记录年度实物存货的控制。

间接控制的定义与特点间接控制是为直接控制提供支持的控制，不足以精准防止、发现并纠正认定层次错报，支持关系越间接，控制有效性越低，如销售经理对销售网点销售汇总情况的复核。

不同控制要素中的控制类型内部环境、风险评估和对控制的监督要素中的控制主要是间接控制，信息与沟通以及控制活动要素中的控制主要为直接控制，但某些控制也可能属于另一类型。

关注重点评估时通常更关注直接控制，但有时也会考虑直接控制与间接控制组合的综合效果。识别与评估重大错报风险03一、识别与评估重大错报风险的思路

（一）在了解被审计单位及其环境的整个过程中识别风险结合对被审计单位及其环境的了解，同步考虑财务报表各类交易、账户余额和披露，例如执行新会计准则或市场价格下降等情况均可能预示风险。（二）识别两个层次的重大错报风险报表层次风险影响广泛（如内控薄弱），认定层次风险与特定交易、账户相关（如存货跌价），需分别评估以精准应对。（三）考虑内部控制对评估重大错报风险的影响控制环境等要素影响报表层次风险，控制活动等直接影响认定层次风险，有效控制可降低错报发生的可能性。（四）将已识别风险与认定层次可能发生错报的领域相联系将识别的风险与具体认定挂钩，例如市场价格下降可能导致存货计价认定错报，确保审计程序针对性。（五）评估已识别风险导致财务报表发生重大错报的可能性考虑风险发生的可能性及影响程度（六）汇总识别的重大错报风险汇总重大错报