2021CPA审计风险评估

2021CPA审计风险评估思维导图。该导图介绍了风险识别和评估概述、风险评估程序、项目组内部讨论、了解被审计单位及其环境等。

第七章 风险评估★★★

一、 风险识别和评估概述

概念：通过实施风险评估程序，识别和评估财报层次和认定层次的重大错报风险

发现风险，评估风险的严重性

要求：了解被审计单位及其环境是必要程序

二、 风险评估程序

1. 询问

2. 分析（应当运用）

3. 观察

4. 检查

链接第三章

5. 穿行测试

含义：追踪交易在财务报告信息系统中的处理过程

若干程序的组合运用：询问、观察、检查

操作：追踪一笔或几笔交易在业务流程中如何生成→记录→处理→报告，及相关内控如何执行

设计如何？是否执行？

目的：了解相关控制并确定控制是否得到执行

穿行测试运用于风险评估，→相关控制是否执行？

坑：执行有效

重新执行运用于控制测试，→相关控制运行的有效性

1、3、4、5可用于了解内控，2不用于了解内控

三、 项目组内部讨论

专业术语

目标

交流信息和分享见解、确定进一步审计程序等

内容

与经营风险、舞弊、错报等相关、职业怀疑重要性

紧紧围绕“风险评估和应对”

人员

关键人员（包项目合伙人）不应缺席、专家（如适用）

项目合伙人向未与加者告知

时间和方式

四、 了解被审计单位及其环境

从“三层六点”上了解

1. 行业状况、法律环境和监管环境及其他外部因素

供过于求、行业不景气：收入下降→收入高估风险

出现强势竞争对手和新型产品：收入下降、存货跌价→收入高估、存货减值风险

会计准则修订更新：存在运用不当风险

违章建筑、责令拆除：未进行正确处理风险

未正确执行税务政策：未确认递延所得税资产或负债的风险

货币政策、财政刺激政策等、赔款罚金、因诉讼产生的预计负债或营业外支出等

其他：融资的课获得性、通货膨胀、币值变动等

外部环境

CPA了解重点：经营活动可能产生重要影响的关键外部因素及重大变化

2. 性质

（1） 所有权结构

识别关联方关系和交易、了解控股公司并评估相关舞弊风险（如：一股独大）

（2） 治理结构

董事会构成、独立董事的履职、审计委员会和监事会

（3） 组织结构

长投和财报合并、商誉减值、对子公司、联营、合营企业的投资

（4） 经营活动

市场信息、劳动用工安排、研发活动、关联方交易

（5） 投资活动

并购和重组、资本性投资活动

（6） 筹资活动

评估持续经营能力、债务结构

（7） 财务报告

收入确认惯例、公允价值会计核算

三结构三活动一报告

3. 目标、战略和经营风险

（1） 行业发展

（2） 开发新产品或提供新服务

（3） 行业扩张

（4） 新的会计要求

（5） 监管要求

（6） 本期及未来的融资条件

（7） 信息技术的运用

（8） 实施战略的影响

经营的风险对重大错报的影响

多数经营风险最终都会产生财务后果

经营风险可能对认定层或报表层重大错报风险产生直接影响

CPA没有责任识别和评估对财报没重大影响的经营风险

4. 内部控制

经营环境

5. 会计政策的选择和运用

财会人员的胜任能力

新颁布的财务报告准则

重大和异常交易的会计处理

会计政策变更

6. 财务业绩的衡量和评价

员工业绩考核与激励性报酬政策

关键业绩指标、关键比率、趋势和经营统计数据

外部机构报告

与竞争对手的业绩比较

为了考虑管理层是否面临业绩指标压力而舞弊

财务环境

五、 了解被审计单位的内部控制

1. 内控的基本概念

内部控制是被审计单位为了①合理保证财务报告的可靠性、②经营的效率和效果以及③对法律法规的遵守，由管理层或治理层和其他人员设计与执行的政策及程序

内控三目标：财报、经营、合规

2. 了解内控的要求

CPA应当在所有审计项目中了解内部控制

了解和评价的只是与审计相关的内控

深度：评价控制的设计并确定其是否得到执行，但不包括对控制是否得到一贯执行的测试

CPA对内控的了解不足以测试控制运行的有效性，除非某些可以使控制得到一贯运行的自动化控制

程序：询问、检查、观察、穿行测试

坑：分析×

3. 控制五要素（COSO框架）

（1） 控制环境p135

治理职能和管理职能

CPA应当了解内控环境，在承接阶段就需要对其作出初步了解和评价

内容

1||| 诚信和道德价值观念的沟通与落实

2||| 对胜任能力的重视

3||| 治理层的参与程度

4||| 管理层的理念和经营风险

5||| 组织结构及职权与责任的分配

6||| 人力资源政策与实务

影响

广泛性

舞弊

错报

强调整个企业，宏观

（2） 风险评估过程

指被审计单位的管理层对公司的风险评估

（3） 信息系统与沟通

财务系统适应业务流程

（4） 控制活动

内容

授权

一般授权和特别授权

业绩评价

分析财务数据与经营数据、评价实际业绩与预算、比较内部数据与外部信息等

信息处理

应当了解信息技术的一般控制与应用控制

实务控制

安全保护、访问授权、定期盘点

职责分离

交易授权、交易记录以及资产保管应当职责分离

对CPA的要求

如何防止或发现并纠正各类认定的错报

预防性或检查性

不必了解每一项控制活动

强调规章制度本身，具体

（5） 对控制的监督

持续的监督

贯穿于日常经营活动与常规管理工作中 （日常，员工）

单独的评价

内部审计人员对内部控制的设计和执行进行专门评价 （定期，内审）

4. 在整体层面和业务流程层面了解内控

如何了解？

（1） 两个层面

1||| 整体层面

与控制环境、被审计单位整体有关

考虑舞弊和管理层凌驾于内控之上的风险

信息技术的一般控制

财务报告流程的控制

宏观

2||| 业务流程层面

与业务流程和认定相关

信息系统的应用控制

控制活动

微观

（2） 步骤

1. 确定重要业务流程和重要交易类别

2. 了解重要交易流程，并进行记录

3. 确定可能发生错报的环节

4. 识别和了解相关控制

1||| 预防性控制：强调事先预防/前置规则

审批、授权、职责分离

2||| 检查性控制：强调事后复核

复核、对账、盘点

5. 执行穿行测试以证实交易流程和相关控制的了解

穿行测试的目的：设计如何？是否执行？

确认对业务流程的了解

确认对重要交易的了解是完整的

确认预防性和检查性控制信息的准确性

识别可能发生错报的环节

评估设计的有效性

确认控制是否执行

坑：执行的有效性×

6. 初步评价和风险评估

控制的设计√执行√→内控预期有效

5. 评估重大错报风险

链接第一章

考虑因素

风险的性质、错报的规模、发生的可能性

财务报表层次

对应COSO的“控制环境”，都是公司整体的概念

与财务报表整体广泛相关，影响多项认定（宏观）

重大经营风险、持续经营能力的重大疑虑

薄弱的控制环境

频繁更换关键岗位人员

信息技术一般控制缺陷

管理层凌驾于内控之上

舞弊风险

认定层次

大部分对应的是COSO的”信息系统与沟通“、“控制活动”，具体

与特定的交易、账户余额和披露相关（微观）

通常对应具体的财报项目

考虑特别风险

报表层和认定层都有可能有特别风险

需考虑因素：舞弊、重大关联方交易、异常重大交易、财务信息计量的主管程度（会计估计）等

不考虑：控制对相关风险的抵销效果（即控制风险）

针对固有风险