审计学第07章风险评估与风险应对

1、第一节内部控制第二节风险评估第三节风险应对,第七章风险评估和风险应对,本章讲解内容一、风险评估程序二、了解被审计单位的内部控制三、评估重大错报风险四、总体应对措施五、进一步审计程序,一、风险评估程序（一）风险评估程序的含义:为了解被审计单位及其环境而实施的程序称为“风险评估程序”。（P173）（二）风险评估程序的目的:为了识别和评估财务报表重大错报风险，注册会计师应当了解被审计单位及其环境。（P173）（三）风险评估程序的性质（P173）:1.询问被审计单位管理层和内部其他相关人员；2.分析程序；3.观察和检查4.穿行测试（walk-thoughtest，P174)：追踪交易在财务报告信息系统

2、中的处理过程。,风险评估程序的时间、范围？,1.询问管理层和被审计单位内部其他相关人员询问管理层和财务负责人（P173）：(1)管理层所关注的主要问题（管理层/主要是经营环境）。如新的竞争对手、主要客户和供应商的流失、新的税收法规的实施以及经营目标或战略的变化等。(2)被审计单位发生的其他重要变化。如所有权结构、组织结构、内部控制的变化等（管理层/主要是经营环境）。(3)被审计单位最近的财务状况、经营成果和现金流量（财务负责人/主要是财务环境）。(4)可能影响财务报告的交易和事项，或者目前发生的重大会计处理问题。如重大的购并事宜等（财务负责人/主要是财务环境）。,询问其他不同层级的人员（P17

3、3）：(1)询问治理层，或有助于了解财务报表编制的环境；(2)询问内部审计人员，可能有助于注册会计师了解其针对被审计单位内部控制设计和运行有效性而实施的内部审计程序，以及管理层对内部审计发现的问题是否采取适当的应对措施；(3)询问参与生成、处理或记录复杂或异常交易的员工，可能有助于评估被审计单位选择和运用某项会计政策的适当性；(4)询问内部法律顾问，有助于了解有关法律法规的遵循情况、产品保证和售后责任、合同条款的含义以及诉讼情况等；(5)询问营销或销售人员，有助于了解营销策略的变化、销售趋势或与客户的合同安排。,2.实施分析程序（P174）在实施分析程序时，应当预期可能存在的合理关系，并与被审

4、计单位记录的金额、依据记录金额计算的比率或趋势相比较；如发现异常或未预期的关系，应在识别重大错报风险时考虑这些比较结果。3.观察和检查（P174）观察和检查程序不仅可以提供有关被审计单位及其环境的信息，并可以支持对管理层和其他相关人员的询问结果。（1）观察被审计单位的生产经营活动（经营活动、内部控制）。（2）检查文件、记录和内部控制手册（组织结构、内部控制）。（3）阅读由管理层和治理层编制的报告（重大事项）。（4）实地察看被审计单位的生产经营场所和厂房设备（被审计单位的性质和经营活动）。（5）追踪交易在财务报告信息系统中的处理过程(穿行测试)（内部控制）。,（四）了解被审计单位及其环境的内容（

5、P174）,【例：单选】注册会计师了解被审计单位及其环境的目的是（）。A为了进行风险评估程序B收集充分适当的审计证据C为了识别和评估财务报表重大错报风险D控制检查风险,【答案】C,二、了解被审计单位的内部控制（P164）（一）内部控制的含义内部控制是被审计单位为了合理保证/财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，/由治理层、管理层和其他人员/设计和执行的/政策和程序。1.内部控制的目标：财务报告的可靠性；经营的效率和效果；在所有经营活动中遵守法律法规的要求。2.内部控制设计和实施的责任主体是治理层、管理层和其他人员。3.实现内部控制目标的手段是设计和执行控制政策及程序。,4.内

6、部控制要素包括：控制环境；风险评估过程；与财务报告相关的信息系统和沟通；控制活动；对控制的监督。被审计单位可能并不一定采用这种分类方式来设计和执行内部控制。对内部控制要素的分类提供了了解内部控制的框架，但无论如何对内部控制要素进行分类，注册会计师都应当重点考虑，被审计单位的某项控制是否能够以及如何防止或发现并纠正各类交易、账户余额和披露存在的重大错报。,5.内部控制具有局限性无论如何设计和执行，只能对财务报告的可靠性提供合理的保证。无论评估的控制风险多低，都不能仅依赖内部控制而不实施实质性程序。导致内部控制固有局限性的主要原因：（1）人为判断可能出现错误、人为失误导致内部控制失效。（2）可能由

7、于人员串通或管理层凌驾于内部控制而被规避。（3）人员素质不适应岗位（4）成本效益考虑（5）不经常发生或未预计到的业务,（二）内部控制的要素（P164）,（COSO,1992）,1.控制环境（P165）（1）控制环境的含义控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。（2）了解控制环境的总体要求在评价控制环境的设计和实施情况时，注册会计师应当了解管理层在治理层的监督下，是否营造并保持了诚实守信和合乎道德的文化，以及是否建立了防止或发现并纠正舞弊和错误的恰当控制。,（3）控制环境的构成（P166）对诚信和道德价值观念的沟通与落实；对胜任能力的重视；审计最

8、在乎的还是对财务人员胜任能力的重视。治理层的参与程度；控制环境在很大程度上受治理层的影响。管理层的理念和经营风格；衡量管理层对内部控制重视程度的重要标准是，管理层收到有关内部控制缺陷及违规事件的报告时是否做出适当反应。组织结构及职权与责任的分配；人力资源政策与实务。内部控制的有效性取决于人，人表现取决于人事政策与实务。,（4）了解控制环境具体要求注册会计师应当对控制环境的构成要素获取足够的了解，并考虑控制环境的各个要素是否得到执行。在确定构成控制环境的要素是否得到执行时，注册会计师应当考虑将询问与其他风险评估程序（观察和检查）相结合以获取审计证据。控制环境对重大错报风险的评估具有广泛影响，注册

9、会计师应当考虑控制环境的总体优势是否为内部控制的其他要素提供了适当的基础，并且未被控制环境中存在的缺陷所削弱。控制环境本身并不能防止或发现并纠正各类交易、账户余额和披露认定层次的重大错报，注册会计师在评估重大错报风险时，应当将控制环境连同其他内部控制要素产生的影响一并考虑。例如，将控制环境与对控制的监督和具体控制活动一并考虑。,2.控制活动（P169）控制活动是指有助于确保管理层的指令得以执行的政策和程序。（1）业务授权控制授权的目的在于保证交易在管理层授权范围内进行。一般授权是指管理层制定的要求组织内部遵守的普遍适用于某类交易或活动的政策。特别授权是指管理层针对特定类别的交易或活动逐一设置的

10、授权，如重大资本支出和股票发行等。权利一般和特别的衡量标准包括金额和性质，被授权人一般和特别的衡量标准是个人和集体（补充）。,（2）业绩评价主要包括被审计单位分析评价实际业绩与预算（或预测、前期业绩）的差异，综合分析财务数据与经营数据的内在关系，将内部数据与外部信息来源相比较，评价职能部门、分支机构或项目活动的业绩，以及对发现的异常差异或关系采取必要的调查与纠正措施。,（3）信息处理注册会计师应当了解与信息处理有关的控制活动，包括信息技术的一般控制和应用控制。信息技术一般控制是指与多个应用系统有关的政策和程序，有助于保证信息系统持续恰当地运行，支持应用控制作用的有效发挥。信息技术应用控制是指主

11、要在业务流程层面运行的人工或自动化程序，与用于生成、记录、处理、报告交易或其他财务数据的程序相关。,（4）实物控制注册会计师应当了解实物控制，主要包括了解：对资产和记录采取适当的安全保护措施，对访问计算机程序和数据文件设置授权，以及定期盘点并将盘点记录与会计记录相核对。,（5）职责分离注册会计师应当了解职责分离，主要包括了解被审计单位如何将交易授权、交易记录以及资产保管等职责分配给不同员工，以防范同一员工在履行多项职责时可能发生的舞弊或错误。企业内部常见的不相容职责包括授权、执行、保管、记录、核查（补充）。,（6）了解与审计相关的控制活动的要求在了解控制活动时，注册会计师应当重点考虑一项控制活

12、动单独或连同其他控制话动，是否能够以及如何防止或发现并纠正各类交易、账户余额和披露存在的重大错报。注册会计师的工作重点是识别和了解针对重大错报可能发生的领域的控制活动。注册会计师对被审计单位整体层面的控制活动进行的了解和评估，主要是针对被审计单位的一般控制活动，特别是信息技术一般控制。在了解和评估一般控制活动时考虑的主要因素可能包括：（1）被审计单位的主要经营活动是否都有必要的控制政策和程序；（2）管理层在预算、利润和其他财务及经营业绩方面是否都有清晰的目标，在被审计单位内部，是否对这些目标都加以清晰的记录和沟通，并且积极地对其进行监控(P170）,【例：简答】内部控制制度评价,（三）了解内制

13、的深度、定位和程序1.了解内制的深度（程度）它包括包括评价控制的设计，并确定其是否得到执行，但不包括对控制是否得到一贯执行的测试。（P165）具体包括：（1）评价控制的设计评价控制的设计涉及考虑该控制单独或连同其他控制，是否能够有效防止或发现并纠正重大错报。（2）确定控制是否得到执行控制得到执行是指某项控制存在且被审计单位正在使用。,2.了解内制的定位注册会计师需要了解和评价的内部控制只是与财务报表审计相关的内部控制，并非被审计单位所有的内部控制。（补充）,3.了解内控的程序（性质）（P165）询问被审计单位的人员；观察特定控制的运用；检查文件和报告；追踪交易在财务报告信息系统中的处理过程（穿

14、行测试）,（四）对内部控制了解和评估的两个层面1.内部控制要素与整体层面、与业务流程层面相关（补充了解）内部控制的某些要素（如控制环境）更多对被审计单位整体层面产生影响，而其他要素（如信息系统与沟通、控制活动）则可能更多地与特定业务流程相关。,2.整体层面控制与业务流程层面控制的关系（补充了解）（1）整体层面的控制（包括对管理层凌驾于内部控制之上的控制）和信息技术一般控制通常在所有业务活动中普遍存在。业务流程层面控制主要是对工薪、销售和采购等交易的控制。（2）整体层面的控制对内部控制在所有业务流程中得到严格的设计和执行具有重要影响。整体层面的控制较差甚至可能使最好的业务流程层面控制失效。（3）

15、管理层凌驾于内部控制之上（它们经常在企业整体层面出现）也是不好的公司行为中的普遍问题。,3.从业务流程层面了解和评估内部控制（P171-172）在初步计划审计工作时，注册会计师需要确定在被审计单位财务报表中可能存在重大错报风险的重大账户及其相关认定。(1)确定被审计单位的重要业务流程和重要交易类别；(2)了解重要交易流程，并记录获得的了解；(3)确定可能发生错报的环节；(4)识别和了解相关控制；(5)执行穿行测试，证实对交易流程和相关控制的了解：(6)进行初步评价和风险评估(7)对财务报告流程的了解,Letslookateachofthesesteps.,业务流程层面的控制包括预防性控制和检查

16、性控制（按照控制的功能）。检查性控制是被审计单位的最后一道防火墙。相对来说，被审计单位更重视预防性控制，注册会计师更重视检查性控制。预防性控制：预防性控制属于事前控制。目的是防止错报的发生。通常用于正常业务流程的每一项交易。例如，赊销须经审批，以防止发生坏账；出纳员不得登记债权、债务、收入、费用明细账，以防其贪污或挪用款项。检查性控制：检查性控制属于事后控制，目的是发现已经发生的错报。如，每月寄送顾客对账单；每天复核发票。,预防性控制示例:,检查性控制示例：,例题多选题下列各项控制活动中,属于检查性控制的有()。A.定期编制银行存款余额调节表,并追查调节项目或异常项目B.对接触计算机程序和数据

17、文档设置访问和修改权限C.财务人员每季度复核应收账款贷方余额并找出原因D.财务总监复核月度毛利率的合理性,答案ACD,三、评估重大错报风险（一）评估重大错报风险的审计程序（P178，2010年修订）1.在了解被审计单位及其环境(包括与风险相关的控制)的整个过程中，结合对财务报表中各类交易、账户余额和披露的考虑，识别风险；2.结合对拟测试的相关控制的考虑，将识别出的风险与认定层次可能发生错报的领域相联系；3.评估识别出的风险，并评价其是否更广泛地与财务报表整体相关，进而潜在地影响多项认定；4.考虑发生错报的可能性(包括发生多项错报的可能性)，以及潜在错报的重大程度是否足以导致重大错报。,（二）识

18、别和评估两个层次的重大错报风险（P178-179）注册会计师应当识别和评估财务报表层次以及各类交易、账户余额、列报认定层次的重大错报风险。某些重大错报风险可能与特定的各类交易、账户余额、列报的认定相关（认定层重大错报风险）。例如，被审计单位存在复杂的联营或合资，这一事项表明长期股权投资账户的认定可能存在重大错报风险。某些重大错报风险可能与财务报表整体广泛相关，进而影响多项认定（报表层重大错报风险）。例如，在经济不稳定的国家和地区开展业务、资产的流动性出现问题、重要客户流失、融资能力受到限制等，可能导致注册会计师对被审计单位的持续经营能力产生重大疑虑。,【例:单选】下列关于财务报表层次重大错报风

19、险的说法不正确的是（）。A通常与控制环境有关B与财务报表整体存在广泛联系C可能影响多项认定D直接界定于某类交易、账户余额、列报的具体认定,【答案】D,【例：单选】下列各项中，与丙公司财务报表层次重大错报风险评估最相关的是()。A丙公司应收账款周转率成明显下降趋势B丙公司持有大量高价值且易被盗窃的资产C丙公司的生产成本计算过程相当复杂D丙公司控制环境薄弱,【答案】D,【例：简答】风险评估,课堂练习：风险评估课堂练习,四、总体应对措施注册会计师应当针对评估的财务报表层次的重大错报风险确定下列总体应对措施（P179）：1.向项目组强调保持职业怀疑的必要性；2.指派更有经验或具有特殊技能的审计人员，或

20、利用专家的工作；3.提供更多的督导；,4.在选择拟实施的进一步审计程序时融入更多的不可预见的因素；（1）对某些以前未测试的低于设定的重要性水平或风险较小的账户余额和认定实施实质性程序；（2）调整实施审计程序的时间，使其超出被审计单位的预期；（3）采取不同的审计抽样方法，使当年抽取的测试样本与以前有所不同；（4）选取不同的地点实施审计程序，或预先不告知被审计单位所选定的测试地点。,5.对拟实施审计程序的性质、时间安排和范围作出总体修改。财务报表层次的重大错报风险很可能源于薄弱的环境如果控制环境存在缺陷，注册会计师在对拟实施审计程序的性质、时间安排和范围作出总体修改时应当考虑：（1）在期末而非期中

21、实施更多的审计程序；（2）通过实施实质性程序获取更为广泛的审计证据；（3）增加拟纳入审计范围的经营地点的数量。,五、进一步审计程序（一）进一步审计程序的概念：进一步审计程序是指注册会计师针对评估的各类交易、账户余额和披露认定层次重大错报风险实施的审计程序，包括控制测试和实质性程序。（P180）（二）设计和实施进一步审计程序的要求：注册会计师设计和实施的进一步审计程序的性质、时间安排和范围，应当与评估的认定层次重大错报风险具备明确的对应关系。（P180）,（三）控制测试1.控制测试含义控制测试是指用于评价内部控制在防止或发现并纠正认定层次重大错报方面的运行有效性的审计程序。（P182）在测试控制

22、运行的有效性时，注册会计师应当从下列方面获取关于控制是否有效运行的审计证据：（1）控制在所审计期间的相关时点是如何运行的；（2）控制是否得到一贯执行；(3)控制由谁执行或以何种方式运行。（补充）,2.实施控制测试的两种情形（P180）作为进一步审计程序的类型之一，控制测试并非在任何情况下都需要实施。当存在下列情形之一时，注册会计师应当实施控制测试：,(1)在评估认定层次重大错报风险时，预期控制的运行是有效的；(2)仅实施实质性程序不足以提供认定层次充分、适当的审计证据。,【例：单选】下列关于审计程序的说法中，不正确的是（）。A在评估认定层次重大错报风险时，预期控制的运行是有效的，注册会计师应当

23、实施控制测试以支持评估结果B仅实施实质性程序不足以提供认定层次充分、适当的审计证据，注册会计师应当实施控制测试，以获取内部控制运行有效性的审计证据C注册会计师可以通过实施风险评估程序获取充分、适当的审计证据，作为发表审计意见的基础D无论评估的重大错报风险结果如何，注册会计师均应当针对所有重大的各类交易、账户余额、列报实施实质性程序，以获取充分、适当的审计证据,【答案】C,3.控制测试的性质、时间、范围（1）控制测试的性质虽然控制测试与了解内部控制的目的不同，但两者采用审计程序的类型通常相同，包括询问、观察、检查和重新执行（P182）。,【例：多选题】控制测试的程序包括（）。A.询问B.分析程序

24、C.检查和观察D.重新执行,【答案】ACD,（2）控制测试的时间：期中的后期对于控制测试，注册会计师在期中实施此类程序具有更积极的作用。（补充）但需要说明的是，即使注册会计师已获取有关控制在期中运行有效性的审计证据，仍然需要考虑如何能够将控制在期中运行有效性的审计证据合理延伸至期末，一个基本的考虑是针对期中至期末这段剩余期间获取充分、适当的审计证据。因此，如果已获取有关控制在期中运行有效性的审计证据，并拟利用该证据，注册会计师应当实施下列审计程序：（1）获取这些控制在剩余期间变化情况的审计证据；（2）确定针对剩余期间还需要获取的补充审计证据。（补充）,【例：单选】注册会计师在期中实施进一步审计

25、程序也存在很大的局限性，下列有关局限性的说法不恰当的是（）。A在期中实施进一步审计程序，可能有助于注册会计师在审计工作初期识别重大事项，并在管理层的协助下及时解决这些事项：或针对这些事项制定有效的实质性方案或综合性方案B如果在期中实施了进一步审计程序，注册会计师不需要针对剩余期间再获取审计证据C被审计单位管理层也完全有可能在注册会计师于期中实施了进一步审计程序之后对期中以前的相关会计记录作出调整甚至篡改，使注册会计师在期中实施了进一步审计程序所获取的审计证据已经发生了变化,D即使注册会计师在期中实施的进一步审计程序能够获取有关期中以前的充分、适当的审计证据，但从期中到期末这段剩余期间还往往会发

26、生重大的交易或事项(包括期中以前发生的交易、事项的延续，以及期中以后发生的新的交易、事项)，从而对所审计期间的财务报表认定产生重大影响,【答案】B,（3）控制测试的范围当针对控制运行的有效性需要获取更具说服力的审计证据时，可能需要扩大控制测试的范围。在确定控制测试的范围时，除考虑对控制的信赖程度外，注册会计师还可能考虑以下因素：在拟信赖期间，被审计单位执行控制的频率；在所审计期间，注册会计师拟信赖控制运行有效性的时间长度；控制的预期偏差；通过与认定相关的其他控制获取的审计证据的范围；拟获取的有关认定层次控制运行有效性的审计证据的相关性和可靠性。,【例：多选】下列与控制测试有关的表述中，正确的有

27、（）。A.如果控制设计不合理，则不必实施控制测试B.如果在评估认定层次重大错报风险时预期控制的运行是有效的，则应当实施控制测试C.如果认为仅实施实质性程序不足以提供认定层次充分、适当的证据，则应当实施控制测试D.对特别风险，即使拟信赖的相关控制没有发生变化，也应当在本次审计中实施控制测试,【答案】ABCD,（四）实质性程序1.实质性程序的含义实质性程序是指用于发现认定层次重大错报的审计程序，包括对各类交易、账户余额和披露的细节测试以及实质性分析程序（P184）。由于注册会计师对重大错报风险的评估是一种判断，可能无法充分识别所有的重大错报风险，并且由于内部控制存在固有局限性，无论评估的重大错报风

28、险结果如何，注册会计师都应当针对所有重大的各类交易、账户余额和披露实施实质性程序（补充）。,2.实质性程序的性质（P184）细节测试是对各类交易、账户余额和披露的具体细节进行测试，目的在于直接识别财务报表认定是否存在错报。细节测试被用于获取与某些认定相关的审计证据，如存在、准确性、计价等。实质性分析程序从技术特征上讲仍然是分析程序，主要是通过研究数据间关系评价信息，只是将该技术方法用做实质性程序，即用以识别各类交易、账户余额和披露及相关认定是否存在错报。实质性分析程序通常更适用于在一段时间内存在可预期关系的大量交易。,细节测试的方向（P184）在针对存在或发生认定设计细节测试时，注册会计师应当选择包含在财务报表金额中的项目，并获取相关审计证据（逆查）；在针对完整性认定设计细节测试时，注册会计师应当选择有证据表明应包含在财务报表金额中的项目，并调查这些项目是否确实包括在内（顺查）。,【例：单选】在对资产存在性认定获取审计证据时，正确的测试方向是（）。A从财务报表到尚未记录的项目B从尚未记录的项目到财务报表C从会计记录到支持性证据D从支持性证据到会计记录,【答案】C,3.实质性测试的时间（P185）：期末及期后实质性程序的时间选择与控制测试