教学材料《审 计 学》-第8章

【案例8-1】内控隐患引发挪用案中华人民共和国审计署披露：2005年5月，浙江省象山县审计局对某镇财政财务收支进行审计，审计人员发现出纳处有借款白条19万元。经询问，系原镇财政所所长骆某2003年12月的借款，由于银行开户、票据及印章管理等均由骆一人经管，直到2004年4月骆某调离该镇时，才将该借条连同有关票据交给了镇政府出纳，碍于个人情面，出纳未向镇领导汇报此事。审计人员进一步审查发现，2004年5月镇财政所支付信用社借款利息4873.40元，但其原始凭证右上方注有“骆2515.30元，镇2358.10元”的字样。经查发现，2003年11月，为缓解镇财政资金周转困难向当地信用社借款16万元，而身为财政所长的骆某，却将此款全额取出用于个人从事经营活动，至审计进点，骆仍没有还款。上述原始凭证所注字样实为当时骆某调离不久，其个人应承担16万元借款的利息。审计人员再次质询出纳，出纳交代2515.30元现金已由骆某交于她本人，只是单位一直未开具收据。第一节风险评估

下一页返回经审计核查，截止2005年3月20日，镇政府共支付该笔借款利息1.7万余元，而骆某仅交款2515.30元。这样，骆某利用职务之便，长期挪用公款19万元、涉案总金额35万元的经济案件基本查清。象山县审计局及时将有关证据材料移送县纪委，县纪委与县检察院进行了立案审查，2005年6月5日骆某被刑事拘留。讨论：该案件从内部管理上给我们以什么启迪？

第一节风险评估

上一页下一页返回第一节风险评估风险导向审计要求审计人员必须了解被审计单位及其环境，包括内部控制，以充分识别和评估财务报表重大错报的风险，并针对评估的重大错报风险设计和实施控制测试和实质性程序。2006年2月我国出台了新的审计风险准则，包括《中国注册会计师审计准则第1101号——财务报表审计的目标和一般原则》、《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》、《中国注册会计师审计准则第123l号——针对评估的重大错报风险实施的程序》和《中国注册会计师审计准则第1301号——审计证据》四个项目。一、审计风险评估的含义所谓风险评估，是指注册会计师承办审计业务时，通过了解被审计单位及其环境，包括内部控制，用以评估财务报表重大错报的风险的过程。第一节风险评估

上一页下一页返回注册会计师承办审计业务时，了解被审计单位及其环境是必须的程序，并贯穿于整个审计过程的始终。例如，在确定重要性水平时，考虑会计政策的选择和运用是否适当时，财务报表的列报是否适当时，识别关联方交易、持续经营假设的是否合理性时，确定分析程序的预期值时，评价审计证据的充分性和适当性时，设计和实施进一步审计程序以将审计风险降至可接受的低水平时等等。注册会计师进行风险评估的目的是为了识别和评估财务报表重大错报的风险。只有识别出了财务报表的重大错报风险，才可在后续审计中设计和实施有针对性的控制测试和实质性程序。注册会计师进行风险评估的方法是了解被审计单位及其环境，包括内部控制。所以，了解被审计单位及其环境而实施的程序称为风险评估程序。风险评估程序主要有以下几种：（1）询问。如询问被审计单位管理层和内部其他相关人员所关注的主要问题；最近的财务状况、经营成果和现金流量等。第一节风险评估

上一页下一页返回（2）分析程序。主要是通过研究不同财务数据之间以及财务数据与非财务数据之间的内在关系，以识别异常的交易或事项，识别出与其他相关信息不一致或与预期数据严重偏离的波动和关系。（3）观察和检查。如观察被审计单位的生产经营活动，检查文件、记录和内部控制手册，阅读由管理层和治理层编制的报告，实地察看被审计单位的生产经营场所和设备，追踪交易在财务报告信息系统中的处理过程（穿行测试）。二、了解被审计单位及其环境1．了解被审计单位的外部因素注册会计师进行风险评估时了解的外部因素主要是行业状况、法律环境与监管环境以及其他外部因素。被审计单位的行业状况通常包括所处行业的市场供求与竞争、生产经营的季节性和周期性、产品生产技术的变化、能源供应与成本、行业的关键指标和统计数据等。被审计单位所处的法律环境与监管环境通常包括行业特定惯例、第一节风险评估

上一页下一页返回会计准则与会计制度，对经营活动产生重大影响的货币、财政、税收、环保要求和贸易等政策等。其他外部因素通常包括宏观经济的景气度、利率的变动和资金供求状况、通货膨胀水平及币值变动、国际经济环境和汇率变动等。2．了解被审计单位的性质了解被审计单位的性质主要是了解其所有权结构、治理结构和组织结构，了解其经营活动、投资活动和筹资活动。对被审计单位所有权结构的了解有助于注册会计师识别诸如母公司、子公司、重要股东或关键控制人等方面的关联方关系，并了解被审计单位的决策过程。良好的治理结构可以对被审计单位的经营和财务运作实施有效的监督，从而降低财务报表发生重大错报的风险。例如，是否设有独立董事，是否设有审计委员会或监事会及其运作情况等。而复杂的组织结构可能导致某些特定的重大错报风险。例如，对于在多个地区拥有子公司、合营企业、联营企业或其他成员机构，第一节风险评估

上一页下一页返回或者存在多个业务分部和地区分部的被审计单位，不仅编制合并财务报表的难度增加，还存在其他可能导致重大错报风险的复杂事项，包括：对于子公司、合营企业、联营企业和其他股权投资类别的判断及其会计处理；商誉在不同业务分部间的摊销及减值；对特殊目的实体是否进行了适当的会计处理等。了解被审计单位经营活动，如主营业务、产品或提供劳务、关键客户、重要供应商、关联方交易等，有助于注册会计师识别预期在财务报表中反映的主要交易类别、重要账户余额和列报。了解被审计单位投资活动，如重大的并购活动与资产处置、业务重组或终止、证券投资、资本性投资活动、不纳入合并范围的投资等，有助于注册会计师关注被审计单位在经营策略和方向上的重大变化。了解被审计单位筹资活动，如债务规模与结构、债务条款、关联方融资等，有助于注册会计师评估被审计单位在融资方面的压力，并进一步考虑被审计单位在可预见未来的持续经营能力。第一节风险评估

上一页下一页返回3．了解被审计单位的会计政策了解被审计单位的会计政策主要是了解被审计单位重要项目的会计政策、重大和异常交易的会计处理方法以及会计政策的变更等。重要项目的会计政策包括收入确认方法、存货的计价方法、投资的核算、固定资产的折旧方法、坏账准备、存货跌价准备和其他资产减值准备的确定、借款费用资本化方法、合并财务报表的编制方法等，是审计过程中必须了解的。重大的、不经常发生的交易的会计处理方法是否适当，重要的会计政策变更的原因及其适当性，将对财务报表错报的风险产生重大的影响。4．了解被审计单位的目标与风险企业管理层或治理层一般会根据企业经营面临的外部环境和内部各种因素，制定合理可行的经营目标，以及管理层为实现经营目标采用的战略。被审计单位实现目标和战略产生不利影响的重大情况、事项、环境和行动，或不恰当的目标和战略，第一节风险评估

上一页下一页返回都可能使企业面临不同的经营风险。多数经营风险，如企业所处的是高风险行业、经营的产品竞争激烈、原材料受天气的影响很大等，最终都会产生财务后果，对各类交易、账户余额以及列报认定层次或财务报表层次产生直接影响，从而影响财务报表。5．了解被审计单位业绩评价被审计单位管理层经常会衡量和评价关键业绩指标、预算及差异分析、分部信息和分支机构、部门或其他层次的业绩报告以及与竞争对手的业绩比较等。在了解被审计单位财务业绩衡量和评价情况时，注册会计师应当关注关键业绩指标、业绩趋势、预测与预算和差异分析、管理层和员工业绩考核与激励性报酬政策、分部信息与不同层次部门的业绩报告、与竞争对手的业绩比较、外部机构提出的报告等相关信息，以发现对财务报表错报的风险事项。第一节风险评估

上一页下一页返回三、了解被审计单位的内部控制（一）内部控制概述任何单位都应建立自己的内部控制，如会计与出纳分工、采购批准与执行职务的分离、控制销售发票的开具与收款不能由一个经办、收款收据与发料单必须编号控制等，这些控制与单位的经营管理形影相随。所谓内部控制，是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计与执行的政策及程序。该概念包括了以下主要内容。（1）内部控制的目标是合理保证财务报告的可靠性、经营活动的效率和效果、在所有经营活动中遵守法律法规的要求等。（2）实现内部控制目标的手段是设计和执行控制政策和程序，如职责分工，不相容职务的分离，内部相互复核、监控的措施，发现与纠正错弊的机制等。第一节风险评估

上一页下一页返回（3）设计和实施内部控制的责任主体是各单位的治理层、管理层和其他人员，组织中的每一个人都对内部控制负有责任。内部控制包括被审计单位使用并依赖的、用以在交易流程中防止错报的发生或在发生错报后发现与纠正错报的所有政策和程序，通常划分为预防性控制和检查性控制。预防性控制通常用于正常业务流程的每一项交易中，以防止错报的发生。缺少有效的预防性控制增加了数据发生错报的可能性，特别是在相关账户及其认定存在较高重大错报风险时，更是如此。检查性控制是管理层用来发现流程中可能发生的错报，监督预防性控制能否有效地发挥作用，实现业务流程目标的控制。例如，企业应建立出纳不能保管理会计档案的预防性控制，以防止“一证二用”的错弊；同时还应经常检查出纳是否能够以各种理由接触会计档案，如是否常到会计档案室聊天、与档案保管人员是否有三代以内的血亲关系等，以监控这项措施的效果。第一节风险评估

上一页下一页返回内部控制存在固有局限性，无论如何设计和执行，只能对财务报告的可靠性提供合理的保证。内部控制存在的固有局限性包括：（1）内部控制设计中的局限性。内部控制一般都是针对经常而重复发生的业务而设置的，如果出现不经常发生或未预计到的业务，原有控制就可能不适用。当实施某项控制的成本大于控制效果而发生损失时，就没有设置控制环节或控制措施，从而产生没有发现错报的预防性控制。（2）内部控制执行中的局限性。可能由于两个或更多的人员进行串通或管理层凌驾于内部控制之上而被规避。被审计单位内部行使控制职能的人员素质不适应岗位要求，也会影响内部控制功能的正常发挥。在执行时人为判断可能出现错误和由于人为失误，也会导致内部控制失效。例如，被审计单位信息技术工作人员没有完全理解系统如何处理销售交易，为使系统能够处理新型产品的销售，可能错误地对系统进行更改等。第一节风险评估

上一页下一页返回（二）了解内部控制的内容一个良好的内部控制应当包括控制环境、风险评估过程、信息系统与沟通、控制活动、对控制的监督五个要素，注册会计师应从这五个方面了解对被审计单位的内部控制。1．了解控制环境控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。控制环境的具体内容主要包括括：治理层的参与程度，管理层对诚信和道德价值观念的沟通与落实，管理层对胜任能力的重视，管理层的理念和经营风格，组织结构及职权与责任的分配，人力资源政策与实务等。注册会计师应当对控制环境的构成要素获取足够的了解，以获知了解管理层和治理层对内部控制及其重要性的态度、认识以及所采取的措施。在评价控制环境各个要素时，注册会计师应当了解管理层在治理层的监督下，是否建立了防止或发现并纠正舞弊和错误的恰当控制。第一节风险评估

上一页下一页返回在评价控制环境的设计和实施情况时，注册会计师应当考虑控制环境各个要素是否得到执行，以考察内部控制的实质及其综合效果。另外，控制环境本身并不能防止或发现并纠正各类交易、账户余额、列报认定层次的重大错报，注册会计师在评估重大错报风险时，应当将控制环境连同其他内部控制要素产生的影响一并考虑，与其他风险评估程序相结合以获取审计证据。2．了解风险评估过程被审计单位的风险评估过程包括识别与财务报告相关的经营风险，以及针对这些风险所采取的措施。如被审计单位如何考虑某些重大交易未记录的风险、重大会计估计与实际情况严重偏离的风险、新产品或新市场开发失败的风险等。风险评估过程的作用是识别、评估和管理影响被审计单位实现经营目标能力的各种风险。而针对财务报告目标的风险评估过程则包括识别与财务报告相关的经营风险，评估风险的重大性和发生的可能性，以及采取措施管理这些风险。第一节风险评估

上一页下一页返回注册会计师应当了解被审计单位的风险评估过程和结果。在审计过程中，如果发现与财务报表错报的风险因素，注册会计师可通过向管理层询问和检查有关文件确定被审计单位的风险评估过程是否也发现了该风险；如果识别出管理层未能识别的重大错报风险，注册会计师应当考虑被审计单位的风险评估过程为何没有识别出这些风险，以及评估过程是否适合于具体环境。例如，在销售循环中，如果发现了销售的截止性错报的风险，注册会计师应当考虑管理层是否也识别了该错报风险，以及管理层如何应对该风险。3．了解财务报告相关的信息系统被审计单位的财务报告信息系统应该与业务流程相适应。业务流程是指被审计单位采购、生产、销售、提供服务，以及保证遵纪守法、记录信息等一系列活动。财务报告相关的信息系统包括用以生成、记录、处理和报告交易、事项和情况，对相关资产、负债和所有者权益履行经营管理责任的程序和记录。第一节风险评估

上一页下一页返回这些信息系统的设计与实施，应能实现以下基本职能：识别与记录所有的有效交易；及时、详细地描述交易，以便在财务报告中对交易做出恰当的分类；恰当计量交易，以便在财务报告中对交易的金额做出准确的记录；恰当确定交易生成的会计期间；在财务报表中恰当列报交易。注册会计师应当了解对财务报表具有重大影响的各类交易、事项和情况信息，了解信息系统处理过程、管理层凌驾于记录控制之上的行为等，了解治理层、管理层、部门员工是否就在信息系统中的责任进行了有效的勾通等，以发现与财务报表错报的风险因素。4．了解控制活动控制活动是指有助于确保管理层的指令得以执行的政策和程序。包括与授权、业绩评价、信息处理、实物控制和职责分离等相关的活动。（1）授权的目的在于保证交易在管理层授权范围内进行。它包括一般授权和特别授权。一般授权是指管理层制定的要求组织内部遵守的普遍适用于某类交易或活动的政策。第一节风险评估

上一页下一页返回特别授权是指管理层针对特定类别的交易或活动逐一设置的授权，如重大资本支出和股票发行等。特别授权也可能用于超过一般授权的常规交易，如因特别原因，对不符合一般信用条件的客户赊销产品等。（2）业绩评价主要包括被审计单位分析评价实际业绩与预算（或预测、前期业绩）的差异，综合分析财务数据与经营数据的内在关系，将内部数据与外部信息来源相比较，评价职能部门、分支机构或项目活动的业绩以及对发现的异常差异或关系采取必要的调查与纠正措施。通过调查非预期的结果和非正常的趋势，管理层可以识别可能影响经营目标实现的情形。管理层对业绩信息的使用，决定了业绩指标的分析只是用于经营目的，还是同时用于财务报告的目的。（3）信息处理控制可以是人工的、自动化的，或是基于自动流程的人工控制。被审计单位通常执行各种措施，检查各种类型信息处理环境下的交易的准确性、完整性和授权，如通过对原始凭证的编号控制，可防止丢失，保证经济业务的完整性等。第一节风险评估

上一页下一页返回信息处理控制包括信息技术的一般控制和应用控制。信息技术一般控制是指与多个应用系统有关的政策和程序，有助于保证信息系统持续恰当地运行（包括信息的完整性和数据的安全性），支持应用控制作用的有效发挥，通常包括数据中心和网络运行控制，系统软件的购置、修改及维护控制，接触或访问权限控制，应用系统的购置、开发及维护控制。例如，程序改变的控制、限制接触程序和数据的控制、与新版软件包实施有关的控制等都属于信息技术一般控制。信息技术应用控制是指主要在业务流程层面运行的人工或自动化程序，与用于生成、记录、处理、报告交易或财务数据的程序相关，通常包括检查数据计算的准确性，审核账户和试算平衡表，设置对输入数据和数字序号的自动检查，以及对例外报告进行人工干预。（4）实物控制主要包括对资产和记录采取适当的安全保护措施，对访问计算机程序和数据文件设置授权，以及定期盘点并将盘点记录与会计记录相核对。第一节风险评估

上一页下一页返回例如，实施实物限制接近、实物保护和财产清查制度等。实物控制的效果影响资产的安全，从而对财务报表的可靠性及审计产生影响。（5）职责分离主要包括如何将交易授权、交易记录以及资产保管等职责分配给不同员工，以防范同一员工在履行多项职责时可能发生的舞弊或错误。当信息技术运用于信息系统时，职责分离可以通过设置安全控制来实现。职责分离要求不相容职务相互分离。不相容职务是指某项业务或事项若由一个人或一个部门承担，其发生舞弊的可能性就会大大增加的两项或两项以上的职务。一般情况下，不相容职务主要包括：业务批准与执行、保管职务的分离，如批准采购与货物采购，批准核销坏账与收款结算等；业务执行与记录职务的分离，如填制收款收据与收取现金等；财产保管与记录职务分离，如保管实物与记账等；出纳与编制银行存款余额调节表的分离、银行印鉴分管、出纳与保管会计档案职务的分离；手工账务处理下，记录总账、明细账与日记账职务的相互分离等。第一节风险评估

上一页下一页返回【案例8-2】某公司A、B、C三名会计人员要完成的几项会计工作为：（1）记录总账；（2）记录应收账款明细账；（3）记录应付账款明细账；（4）保管并送存所收入的现金，登记现金日记账；（5）开具支票以便主管人员签章；（6）签发拒付理由通知书；（7）核对银行对账单，编制银行存款余额调节表。已知这三名会计人员均具有相当的能力，除第（6）、（7）项的工作量较小外，其他几项会计工作量相当。讨论：如何使三名会计人员的工作量相当，又符合内部控制的要求。解析：会计A分配（1）（6）（7）工作；会计B分配（2）（3）工作；会计C实为出纳工作，分配（4）（5）工作。小型单位的控制活动，可能没有大型被审计单位那样正式和复杂，并且某些控制活动可能直接由小型被审计单位中的管理层执行。例如，由管理层批准销售的信用额度、重大的采购等，可能就不再需要更具体的控制活动。第一节风险评估

上一页下一页返回在了解控制活动时，注册会计师应当重点考虑一项控制活动单独或连同其他控制活动，是否能够、以及如何防止或发现并纠正各类交易、账户余额、列报存在的重大错报。注册会计师的工作重点是识别和了解针对重大错报可能发生的领域的控制活动。如果多项控制活动能够实现同一目标，注册会计师不必了解与该目标相关的每项控制活动。注册会计师对被审计单位的控制活动进行的了解和评估，主要是针对被审计单位的一般控制活动，特别是信息技术的一般控制。小型被审计单位通常难以实施适当的职务分离，注册会计师应当考虑小型被审计单位采取的控制活动，特别是职责分离，能否有效实现控制目标。5．了解内部控制的监督内部控制的监督是指被审计单位评价内部控制在一段时间内运行有效性的过程，该过程包括及时评价控制的设计和运行，以及根据情况的变化采取必要的纠正措施。管理层的重要职责之一就是建立和维护控制并保证其持续有效运行，对控制的监督可以实现这一目标。第一节风险评估

上一页下一页返回例如，没有对银行存款余额调节表是否得到及时和准确的编制进行监督，该项实物控制可能无法得到持续的执行。通常被审计单位通过持续的监督活动、专门的评价活动或两者相结合，实现对控制的监督。持续的监督活动通常贯穿于被审计单位的日常经营活动与常规管理工作中。例如，管理层在履行其日常管理活动时，取得内部控制持续发挥功能的信息，当业务或财务报告与他们获取的信息有较大的差异时，会对有重大差异的报告提出疑问，并做必要的追踪调查和处理。被审计单位也可能使用内部审计人员或具有类似职能的人员对内部控制的设计和执行进行专门的评价，以找出内部控制的优点和不足，并提出改进建议。注册会计师应当了解与被审计单位监督活动相关的信息来源，以及管理层认为信息具有可靠性的依据。如果拟利用被审计单位监督活动使用的信息（包括内部审计报告），注册会计师应当考虑该信息是否具有可靠的基础，是否足以实现审计目标。第一节风险评估

上一页下一页返回（三）初步评估内部控制注册会计师了解被审计单位内部控制后，应当根据获取的审计证据，评估其设计的合理性并确定其是否得到执行，但这种结论可能随后续的控制测试的结果而变化，所以是初步评估结论。初步评估结论可能是：所设计的内部控制单独或连同其他控制能够防止或发现并纠正重大错报，并得到执行；控制本身的设计是合理的，但没有得到执行；控制本身的设计是无效的或缺乏必要的控制。四、评估重大错报风险（一）识别重大错报风险注册会计师应当在了解被审计单位及其环境（包括内部控制）的整个过程中识别风险，并考虑所识别的风险是否重大。下列事项和情况可能表明被审计单位存在重大错报风险：（1）在经济不稳定的国家、严厉监管的环境中开展业务第一节风险评估

上一页下一页返回；（2）持续经营、资产流动性出现问题，包括重要客户流失；（3）融资能力受到限制；（4）关键人员变动；（5）发生重大的非常规交易；（6）重大的关联方交易；（7）事项或交易在计量时存在重大不确定性；（8）存在未决诉讼和或有负债；（9）开发新产品、提供新服务、进入新的业务领域或开辟新的经营场所；（10）按照管理层特定意图记录的交易等。（二）评估重大错报风险的层次注册会计师识别出重大错报风险后，还应评估其风险层次，即确定该重大错报风险是认定层的重大错报风险，还是财务报表层的重大错报风险。认定层的重大错报风险是指与特定的某类交易、账户余额、列报的认定相关的重大错报风险。例如，被审计单位存在复杂的联营或合资，这一事项表明长期股权投资账户的存在、完整性、所有权或计价等认定可能存在重大错报风险。第一节风险评估

上一页下一页返回又如，被审计单位存在重大的关联方交易，该事项表明关联方及关联方交易的披露认定可能存在重大错报风险。再如，开发的新产品无法外销，该事项表明存货的计价认定可能存在重大错报风险。财务报表层的重大错报风险是指与财务报表整体广泛相关的重大错报风险，进而影响多项认定。例如，在经济不稳定的国家或地区开展业务、资产的流动性出现问题、重要客户流失、融资能力受到限制等，可能导致注册会计师对被审计单位的持续经营能力产生重大疑虑。又如，管理层缺乏诚信或承受了异常的压力，可能引起舞弊风险。财务报表层次的重大错报风险也可能源于薄弱的控制环境。例如，被审计单位治理层、管理层对内部控制的重要性缺乏认识，没有建立必要的制度和程序；或管理层经营理念偏于激进，又缺乏实现激进目标的人力资源等，这些缺陷源于薄弱的控制环境，可能对财务报表产生广泛影响，需要注册会计师采取总体应对措施。第一节风险评估

上一页下一页返回（三）评估特别风险作为风险评估的一部分，注册会计师应当运用职业判断，确定识别的风险哪些是需要特别考虑的重大错报风险，即特别风险，因为特别风险可能导致更高的重大错报风险。日常的、不复杂的、经正规处理的交易不太可能产生特别风险，特别风险通常与重大的非常规交易和判断事项有关。非常规交易是指由于金额或性质异常而不经常发生的交易，如企业购并、债务重组、重大或有事项等。判断事项通常包括做出的会计估计，如资产减值金额的估计、需要运用复杂估值技术确定的公允价值计量等。在确定风险的性质时，注册会计师应当考虑下列事项：（1）风险是否属于舞弊风险；（2）风险是否与近期经济环境、会计处理方法和其他方面的重大变化有关；（3）交易的复杂程度；（4）风险是否涉及重大的关联方交易；（5）财务信息计量的主观程度，特别是对不确定事项的计量存在较大区间的情况第一节风险评估

上一页下一页返回；（6）风险是否涉及异常或超出正常经营活动的重大交易。五、风险评估的记录与沟通1．风险评估的记录注册会计师应当就风险评估的下列内容形成审计工作记录：（1）项目组对由于舞弊或错误导致财务报表发生重大错报的可能性进行的讨论，以及得出的重要结论；（2）注册会计师对被审计单位及其环境各个方面的了解要点（包括对内部控制各项要素的了解要点）、信息来源以及实施的风险评估程序；（3）注册会计师在财务报表层次和认定层次识别、评估出的重大错报风险；（4）注册会计师识别出的特别风险和仅通过实质性程序无法应对的重大错报风险，以及对相关控制的评估。注册会计师需要运用职业判断，确定对上述事项进行记录的方式。常见的记录方式包括文字叙述、问卷、核对表和流程图等。第一节风险评估

上一页下一页返回记录的方式和范围受被审计单位性质、规模、复杂程度、内部控制、被审计单位信息的可获得性，以及审计过程中使用的具体审计方法和技术的影响。例如，被审计单位通过复杂的信息系统，生成、记录、处理和报告大量交易，注册会计师在了解该信息系统后，可能采用的记录方式包括流程图、问卷或决策表。对于很少使用或不使用信息技术的信息系统，或者只处理少量交易（如长期借款）的信息系统，注册会计师仅以备忘录的形式对其进行记录就已足够。2．风险评估的沟通被审计单位管理层有责任在治理层的监督下，建立、执行和维护有效的内部控制，以合理保证企业经营目标的实现。注册会计师在了解内部控制的过程中，可能会注意到内部控制在设计或执行方面的重大缺陷，例如，注册会计师在审计工作中发现了重大错报，而被审计单位的内部控制没有发现这些重大错报；控制环境薄弱；存在高层管理人员舞弊迹象等。第一节风险评估

上一页下一页返回在这种情况下，注册会计师应将其告知适当层次的管理层或治理层。如果识别出被审计单位未加控制或控制不当的重大错报风险，或认为被审计单位的风险评估过程存在重大缺陷，注册会计师应当就此类内部控制缺陷与治理层沟通。第一节风险评估

上一页返回《中国注册会计师审计准则第1231号——针对评估的重大错报风险实施的程序》规定，注册会计师应对重大错报风险，应当针遵循以下规定：（1）注册会计师针对财务报表层次的重大错报风险制定总体应对措施，包括向审计项目组强调在获取审计证据过程中保持职业怀疑态度的必要性、分派更有经验或具有特殊技能的审计人员或利用专家，向审计项目组提供更多的督导等；（2）注册会计师应当针对认定层次的重大错报风险设计和实施进一步审计程序，包括测试控制的执行有效性以及实施实质性程序；（3）注册会计师应当评价风险评估的结果是否适当，并确定是否已经获取充分、适当的审计证据；（4）注册会计师应当将实施关键的程序形成审计工作记录。一、重大错报风险的应对措施注册会计师应当针对评估的财务报表层次重大错报风险确定总体应对措施，并针对评估的认定层次重大错报风险设计和实施进一步审计程序，以将审计风险降至可接受的低水平。第二节风险应对下一页返回（一）认定层重大错报风险的应对措施在重大错报风险的评估过程中，若注册会计师所识别的重大错报风险是与特定的某类交易、账户余额、列报的认定相关的，则属于认定层的重大错报风险。注册会计师针对评估的认定层次重大错报的风险，应当设计和实施进一步审计程序。进一步审计程序相对风险评估结果而言，是指注册会计师针对评估的各类交易、账户余额、列报的认定层次重大错报风险所实施的审计程序，包括控制测试和实质性程序。进一步审计程序的目的包括通过实施控制测试确定内部控制运行的有效性，通过实施实质性程序以发现认定层次的重大错报，从而获取充分、适当的审计证据。无论选择何种方案，注册会计师都应当对所有重大的各类交易、账户余额、列报设计和实施实质性程序。进一步审计程序的审计方法包括检查、观察、询问、函证、重新计算、重新执行和分析程序等。第二节风险应对上一页下一页返回不同审计程序对特定认定的错报风险的效力是不同的。例如，对于收入发生认定相关的重大错报风险，审计该账户与业务交易（即实质性程序）更能有效应对；对于收入完整性认定相关的重大错报风险，测试其内部控制的有效性更能有效应对，因为收入不完整则该账户中是没有记录的。同样地，函证应收账款可以为应收账款在某一时点存在的认定提供审计证据；而对于应收账款计价的认定，通过检查其账龄等方式更能确定其可收回金额。评估的认定层次重大错报风险越高，越要求审计程序的组合运用。例如，当注册会计师判断某类交易协议的真实性（发生认定）有大错报风险较高时，除了检查文件以外，还应向第三方询问或函证。（二）财务报表层重大错报风险的应对在重大错报风险的评估过程中，注册会计师所识别的重大错报风险与财务报表整体广泛相关，进而影响多项认定时，则属于财务报表层的重大错报风险。第二节风险应对上一页下一页返回注册会计师应当针对评估的财务报表层次重大错报风险确定下列总体应对措施。1．保持职业怀疑态度注册会计师对财务报表层次的重大错报风险，应向项目组强调在收集和评价审计证据过程中保持职业怀疑态度的必要性，更具针对性的实施审计程序。2．增强项目组专业胜任能力由于各行业在经营业务、经营风险、财务报告、法规要求等方面具有特殊性，审计人员的专业细分成为一种趋势。审计项目组成员中应有一定比例的人员曾经参与过被审计单位以前年度的审计，或具有被审计单位所处特定行业的相关审计工作经验。必要时，要考虑利用信息技术、税务、评估、精算等方面的专家的工作。所以，注册会计师对财务报表层次的重大错报风险，应分派更有经验或具有特殊技能的注册会计师，或利用专家的工作。第二节风险应对上一页下一页返回3．提供更多的项目督导对于财务报表层次重大错报风险较高的审计项目，项目负责人应特别强调重大错报风险所在的领域，更具针对性的指导项目组成员了解拟执行工作的目标，并加强对审计业务过程进行监督、复核。事务所应委派非项目组成员为项目质量控制复核人员，客观评价项目组对重大错报风险作出的重大判断、疑难问题或争议事项、意见分歧的解决等，以加强项目质量复核。4．增加审计程序的不可预见性对于财务报表层次重大错报风险，注册会计师必须实施进一步审计程序，包括控制测试或实质性程序；在选择进一步审计程序时，应当注意使某些程序不被管理层预见或事先了解。注册会计师增加审计程序不可预见性的措施主要有：对某些以前未测试的低于设定的重要性水平或风险较小的账户余额和认定实施实质性程序；第二节风险应对上一页下一页返回调整实施审计程序的时间，使其超出被审计单位的预期；采取不同的审计抽样方法，使当年抽取的测试样本与以前有所不同；选取不同的地点实施审计程序，或预先不告知被审计单位所选定的测试地点（如存货监盘等）。增加审计程序不可预见性的方法如表8-1所示。第二节风险应对上一页下一页返回5．修改审计程序对于财务报表层次重大错报风险，应从总体上对拟实施审计程序的性质、时间和范围作出修改。如在期末而非期中实施更多的审计程序；主要依赖实质性程序获取审计证据；调整拟实施审计程序的类别及组合；扩大样本规模、或采用更详细的数数据分析程序等。二、控制测试（一）控制测试的含义控制测试是指注册会计师对被审计单位内部控制运行的有效性所实施的测试。注册会计师通过了解被审计单位的内部控制可以评估其内部控制的设计是否合理和健全，并初步确定其是否得到执行；但该内部控制是否有效且被一贯执行，则需要进行控制测试。例如，某单位的会计与出纳分工明确，但若他们是父子关系，则可能使这项内部控制失去应有的作用。第二节风险应对上一页下一页返回在测试控制运行的有效性时，注册会计师应当从下列方面获取关于控制是否有效运行的审计证据：（1）控制在所审计期间的不同时点是如何运行的；（2）控制是否得到一贯执行；（3）控制由谁执行；（4）控制以何种方式运行，如是人工控制还是自动化控制等。从这四个方面来看，控制运行有效性强调的是控制能够在各个不同时点按照既定设计得以一贯执行。作为进一步审计程序的类型之一，控制测试并非在任何情况下都需要实施。当存在下列情形之一时，注册会计师应当实施控制测试。（1）在评估认定层次重大错报风险时，预期控制的运行是有效的。（2）仅实施实质性程序不足以提供认定层次充分、适当的审计证据。如某企业通过高度自动化的系统确定采购品种和数量，生成采购订单，并通过系统中设定的收货确认和付款条件进行付款；除了系统中的相关信息外，该企业没有其他有关订单和收货的记录。第二节风险应对上一页下一页返回在这种情况下，如果认为仅通过实施实质性程序不能获取充分适当的审计证据，注册会计师应当考虑依赖的相关控制的有效性，并对其了解、评估和测试。（二）控制测试的性质控制测试的性质是指控制测试所使用的审计程序的目的及其类型组合。控制测试程序的目的是通过实施控制测试确定内部控制运行的有效性；控制测试的程序类型（即审计方法）通常包括询问、观察、检查和穿行测试和重新执行等。（1）注册会计师可以向被审计单位适当员工询问，获取与内部控制运行情况相关的信息。例如，询问信息系统管理人员有无未经授权接触计算机硬件和软件，向负责复核银行存款余额调节表的人员询问如何进行复核，包括复核的要点是什么、发现不符事项如何处理等。第二节风险应对上一页下一页返回（2）观察是测试不留下书面记录的控制（如职责分离）的运行情况的有效方法。例如，观察存货盘点控制的执行情况。观察也可运用于实物控制，如查看仓库门是否锁好，或空白支票是否妥善保管。（3）检查是对运行情况留有书面证据的控制。书面说明、复核时留下的记号，或其他记录在偏差报告中的标志都可以被当作控制运行情况的证据。例如，检查销售发票是否有复核人员签字，检查销售发票是否附有客户订购单和出库单等。（4）重新执行则通常只有当询问、观察和检查程序结合在一起仍无法获得充分的证据时，注册会计师才考虑通过重新执行来证实控制是否有效运行。例如，为了合理保证计价认定的准确性，被审计单位的一项控制是由复核人员核对销售发票上的价格与统一价格单上的价格是否一致。第二节风险应对上一页下一页返回（5）穿行测试是通过追踪交易在财务报告信息系统中的处理过程，来证实注册会计师对控制的了解、评价控制设计的有效性以及确定控制是否得到执行。可见，穿行测试更多地在了解内部控制时运用。但在执行穿行测试时，注册会计师可能获取部分控制运行有效性的审计证据。（6）询问本身并不足以测试控制运行的有效性，注册会计师应当将询问与其他审计程序结合使用，以获取有关控制运行有效性的审计证据。观察提供的证据仅限于观察发生的时点，本身也不足以测试控制运行的有效性；将询问与检查或重新执行结合使用，通常能够比仅实施询问和观察获取更高的保证。（三）控制测试的时间控制测试的时间包含两层含义：一是控制测试的时间是指何时实施控制测试；二是实施控制测试时获取审计证据适用的期间或时点。第二节风险应对上一页下一页返回注册会计师可以在期中或期末实施控制测试。在可能的情况下，注册会计师应分别在期中、期末或其他关键时间分别实施控制测，以获取不同时点上内部控制运行的变化情况，以及是否持续有效运行的审计证据；注册会计师也可利用以前审计获取的有关控制运行有效性的审计证据，运用职业判断确定其是否在本期运行有效性，并考虑在本期发生的变化而进行必要的测试，但两次测试的时间间隔不得超过两年。注册会计师应根据控制测试的目的确定获取审计证据适用的期间或时点。如果仅需要测试内部控制在特定时点上运行是否有效性，如对被审计单位期末存货盘点有效性进行控制测试，则注册会计师只需要获取该时点的审计证据；某些控制活动可能仅在期中或期中以前发生，之后将难以观察到时，如发生管理层变更等，则应考虑在发生时点进行控制测试；如果需要获取控制在某一期间有效运行的审计证据，如对所审期间采购业务的批准与执行职务分离是否有效性进行控制测试，仅获取与时点相关的审计证据是不充分的，注册会计师应当辅以其他控制测试，包括测试被审计单位对控制的监督。第二节风险应对上一页下一页返回（四）控制测试的范围控制测试范围是指注册会计师对某项控制活动的测试次数。确定控制测试的范围的基本要求是，获取内部控制在整个拟信赖的期间有效运行的充分、适当的审计证据。注册会计师在确定某项控制的测试范围时通常考虑下列因素。（1）在整个拟信赖的期间，被审计单位执行控制的频率。控制执行的频率越高，控制测试的范围越大。（2）在所审计期间，注册会计师拟信赖控制运行有效性的时间长度。拟信赖控制运行有效性的时间长度不同，在该时间长度内发生的控制活动次数也不同。注册会计师需要根据拟信赖控制的时间长度确定控制测试的范围。拟信赖期间越长，控制测试的范围越大。（3）为证实控制能够防止或发现并纠正认定层次重大错报，所需获取审计证据的相关性和可靠性。对审计证据的相关性和可靠性要求越高，控制测试的范围越大。第二节风险应对上一页下一页返回（4）通过测试与认定相关的其他控制获取的审计证据的范围。针对同一认定，可能存在不同的控制。当针对其他控制获取审计证据的充分性和适当性较高时，测试该控制的范围可适当缩小。（5）在风险评估时拟信赖控制运行有效性的程度。注册会计师在风险评估时对控制运行有效性的拟信赖程度越高，需要实施控制测试的范围越大。（6）控制的预期偏差。预期偏差可以用控制未得到执行的预期次数占控制应当得到执行次数的比率加以衡量（也可称为预期偏差率）。考虑该因素，是因为在考虑测试结果是否可以得出控制运行有效性的结论时，不可能只要出现任何控制执行偏差就认定控制运行无效，所以需要确定一个合理水平的预期偏差率。控制的预期偏差率越高，需要实施控制测试的范围越大。如果控制的预期偏差率过高，注册会计师应当考虑控制可能不足以将认定层次的重大错报风险降至可接受的低水平，从而针对某一认定实施的控制测试可能是无效的。第二节风险应对上一页下一页返回三、实质性程序（一）实质性程序的内涵实质性程序是指注册会计师针对评估的重大错报风险实施的直接用以发现认定层次重大错报的审计程序。因此，注册会计师应当针对评估的重大错报风险设计和实施实质性程序，以发现认定层次的重大错报。实质性程序包括对各类交易、账户余额、列报的细节测试以及实质性分析程序。在财务报表审计中，由于注册会计师对重大错报风险的评估是一种判断，可能无法充分识别所有的重大错报风险，并且由于内部控制存在固有局限性，无论评估的重大错报风险结果如何，注册会计师都应当针对所有重大的各类交易、账户余额、列报实施实质性程序。第二节风险应对上一页下一页返回（二）实质性程序的性质实质性程序的性质是指实质性程序的目的及其类型组合。实质性程序的目的是通过实施实质性程序以发现认定层次的重大错报；实质性程序的两种基本类型包括细节测试和实质性分析程序。细节测试是对各类交易、账户余额、列报的具体细节进行测试，目的在于直接识别财务报表认定是否存在错报，细节测试适用于对各类交易、账户余额、列报的获取与某些认定相关的审计证据，特别适用于存在或发生、计价认定的测试。注册会计师需要根据不同的认定层次的重大错报风险设计有针对性的细节测试，例如，在针对存在或发生认定设计细节测试时，注册会计师应当选择包含在财务报表金额中的项目，并获取相关审计证据；在针对完整性认定设计细节测试时，注册会计师应当选择有证据表明应包含在财务报表金额中的项目，并调查这些项目是否确实包括在内。如为应对被审计单位漏记本期应付账款的风险，注册会计师可以检查期后付款记录。第二节风险应对上一页下一页返回实质性分析程序从技术特征上讲仍然是分析程序，主要是通过研究数据间关系评价信息，只是将该技术方法用作实质性程序，即用以识别各类交易、账户余额、列报及相关认定是否存在错报。实质性分析程序通常更适用于在一段时间内存在可预期关系的大量交易。在设计实质性分析程序时应考虑对特定认定使用实质性分析程序的适当性、对已记录的金额或比率做出预期时所依据的内部或外部数据的可靠性、做出预期的准确程度是否足以在计划的保证水平上识别重大错报，已记录金额与预期值之间可接受的差异额。需要说明的是，应对认定层次重大错报风险时，拟实施的进一步审计程序的性质、时间和范围都应当确保其具有针对性，但其中进一步审计程序的性质是最重要的。例如，注册会计师评估的重大错报风险越高，实施进一步审计程序的范围通常越大；但是只有首先确保进一步审计程序的性质与特定风险相关时，扩大审计程序的范围才是有效的。第二节风险应对上一页下一页返回（三）实质性程序的时间注册会计师可以在期中、期末或期末以后实施实质性程序。在很多情况下，可以根据具体情况选择实施实质性程序的时间，但也存在着一些限制性选择。这些限制性选择主要包括以下方面。（1）注册会计师评估的某项认定的重大错报风险越高，针对该认定所需获取的审计证据的相关性和可靠性要求也就越高，注册会计师越应当考虑将实质性程序集中于期末或接近期末实施。（2）所审财务报表与会计分录的核对，检查财务报表编制过程中所作的会计调整等，应当考虑在期末或期末以后实施实质性程序。（3）被审计单位在期末或接近于期末发生了重大交易，或重大交易在期末尚未完成，则交易的发生或截止认定可能存在重大错报的风险，应当考虑在期末或期末以后实施实质性程序。第二节风险应对上一页下一页返回（4）被审计单位可能为了保证盈利目标的实现，而在会计期末以后伪造销售合同以虚增收入，此时注册会计师需要考虑在期末（即资产负债表日）这些特定时点获取被审计单位截止期末所能提供的所有销售合同及相关资料，以防止被审计单位在资产负债表日后伪造销售合同以虚增收入的做法。（5）为了获取资产负债表日的存货、现金等实物资产存在的证据，应在期末或接近于期末的时点实施存货、现金等的监盘程序。（6）实施实质性程序所需信息在期中之后可能难以获取，如系统变动导致某类交易记录难以获取、对建筑物的地基工程量需要测算等，注册会计师应考虑在期中实施实质性程序；（7）如果针对某项认定实施实质性程序的目标就包括获取该认定的期中审计证据（从而与期末比较），注册会计师应在期中实施实质性程序。第二节风险应对上一页下一页返回（8）某些交易或账户余额以及相关认定的特殊性质，如未决诉讼等，决定了注册会计师必须在期末或期末以后实施实质性程序。（9）对于舞弊导致的重大错报风险（即特别风险），注册会计师应当考虑在期末或者接近期末实施实质性程序。（四）实质性程序的范围评估的认定层次重大错报风险和实施控制测试的结果是审计人员在确定实质性程序的范围时的重要考虑因素。因此，在确定实质性程序的范围时，审计人员应当考虑评估的认定层次重大错报风险和实施控制测试的结果。审计人员评估的认定层次的重大错报风险越高，需要实施实质性程序的范围越广。如果对控制测试结果不满意，审计人员应当考虑扩大实质性程序的范围。在设计细节测试时，审计人员除了从样本量的角度考虑测试范围外，还要考虑选样方法的有效性等因素。例如，从总体中选取大额或异常项目，而不是进行代表性抽样或分层抽样。第二节风险应对上一页下一页返回实质性分析程序的范围有两层含义。第一层含义是对什么层次上的数据进行分析，审计人员可以选择在高度汇总的财务数据层次进行分析，也可以根据重大错报风险的性质和水平调整分析层次。例如，按照不同产品线、不同季节或月份、不同经营地点或存货存放地点等实施实质性分析程序。第二层含义是需要对什么幅度或性质的偏差展开进一步调查。实施分析程序可能发现偏差，但并非所有的偏差都值得展开进一步调查。可容忍或可接受的偏差（即预期偏差）越大，作为实质性分析程序一部分的进一步调查的范围就越小。于是确定适当的预期偏差幅度同样属于实质性分析程序的范畴。因此，在设计实质性分析程序时，审计人员应当确定已记录金额与预期值之间可接受的差异额。在确定该差异额时，审计人员应当主要考虑各类交易、账户余额、列报及相关认定的重要性和计划的保证水平。第二节风险应对上一页下一页返回四、风险应对的记录注册会计师需要运用职业判断，确定风险应对事项的记录方式，常见的记录方式包括文字叙述、问卷、核对表和流程图等。风险应对审计工作记录下列事项如下。（1）对评估的财务报表层次重大错报风险采取的总体应对措施；（2）实施进一步审计程序的性质、时间和范围；（3）实施的进一步审计程序与评估的认定层次重大错报风险的联系；（4）实施进一步审计程序（包括控制测试和实质性程序）的结果。五、进一步审计程序举例【案例8-3】某公司是一家生产和销售高端清洁用品的外商独资被审计单位，其产品主要用于星级酒店宾馆和大型饭店。第二节风险应对上一页下一页返回除了在北京、上海直接向终端客户销售外，在全国其他地区均向省级或市级经销商销售。该公司提供的财务报表部分资料如表8-2所示。即该公司2005年度销售收入为11266万元，比上一年增长21%（董事会制定的当年预算目标是增长20%）。2005年12月31日应收账款余额为3956万元，共有226个客户，其中9个客户（均为省级经销商）的余额在100万以上，占应收账款总额的38%，其余客户的余额均小于30万。此外余额为10万元以上且账龄超过一年的应收账款客户有15家。第二节风险应对上一页下一页返回2005年12月31日坏账准备余额为188万元。该公司采用账龄分析法和个别认定法相结合的方式计提坏账准备，其中账龄分析法为：账龄六个月以上一年以下：10%；一年以上两年以下：50%；两年以上：100%。该公司2005年度的税前利润为847.56万元，总体重要性水平为42.38万元（税前利润的5%）。1．销售业务的风险评估基于以前年度对该公司的了解，以及本年度对该公司环境、经营状况、内部控制等的了解和评估，注册会计师认为，由于销售业务的重要性及其固有风险，销售收入和应收账款层次的“发生或存在”和“准确性”认定存在重大错报风险。同时，被审计单位在2005年以放宽授信额度来增加销售收入，导致货款回收速度放缓，应收账款余额大幅上升，但坏账准备余额与去年基本持平。注册会计师认为应收账款的计价认定存在特别风险，即年末坏账准备的计提很可能不够。注册会计师决定对应收账款采用综合性审计方案。第二节风险应对上一页下一页返回该公司在各主要业务流程及财务报告编制中采用了计算机信息系统，注册会计师在本年度审计中测试了信息系统一般控制并认为信息系统一般控制是有效的。2．确定进一步审计程序注册会计师决定对销售收入、应收账款余额和坏账准备余额实施以下的进一步审计程序：控制测试，评估针对特别风险的控制，实质性程序。3．实施控制测试注册会计师从销售流程中选取了一些关键的控制进行测试。（1）业绩评价控制测试。所测试的控制为：销售主管每月审核按客户分列的销售收入（包括与上月销售额和本月预算额的比较）和应收账款（包括当月货款回收金额和月末余额）汇总表，对其中的重大差异和异常情况进行跟进分析，编制分析报告并呈报销售经理和总经理。总经理与销售经理审阅后讨论解决措施。第二节风险应对上一页下一页返回相关的财务报表认定：销售收入的发生、准确性、完整性以及应收账款的存在、准确性。测试程序：该控制是月度控制，注册会计师决定选取2月、6月、10月、11月这四个月份测试该控制。注册会计师分别与总经理和销售经理就上述四个月份的分析报告进行讨论，证实他们确实审阅了该报告并对重大差异和异常情况进行了调查和跟进。事后注册会计师还通过询问销售经理和相关销售人员印证了当时所采取的跟进措施。销售收入和应收账款汇总表由财务系统自动生成并与当月财务报表的销售收入总额和应收账款余额一致，注册会计师核对了上述四个月份的财务报表，证实无误。测试结果：该控制有效运行，注册会计师对该控制可以信赖。（2）人工控制测试。所测试的控制为：对每一笔销售收入，销售部专职秘书将客户订单、客户已签收的送货单（所有货物由物流公司运送）以及发票（