2025CPA-第7章风险评估、6分

这是一篇关于风险评估的思维导图，主要内容包括：风险识别和评估概述，项目组内部讨论，了解被审计单位及其环境等方面，识别和评估重大错报风险。

风险评估

• 风险识别和评估概述
  • 贯穿审计始终
  • 风险识别：找出财务报表层次和认定层次的重大错报风险
  • 风险评估：对重大错报发生的可能性和后果严重程度进行评估
  • 风险识别和评估是审计风险控制流程的起点。
    • 审计过程的起点通常为接受业务委托
  • 注册会计师应当实施风险评估程序，以了解被审计单位及其环境、适用的财务报告编制基础和内部控制体系各要素。
• 项目组内部讨论
  • 内容
    • （1）分享了解的信息。
    • （2）分享审计思路和方法。
    • （3）为项目组指明审计方向
  • 人员
    • （1）项目组关键成员（通常包括项目合伙人，但并非项目组所有成员）。
    • （2）专家（如适用）。
    • （3）项目合伙人应当确定向未参与讨论的项目组成员通报 哪些事项
• 了解被审计单位及其环境等方面
  • 了解的方面
    • 组织结构、 所有权结构、治理结构、
    • 业务模式（包括该业务模式利用信息技术的程度）
      • 经营风险对 重大错报风险的影响
        • 经营风险比财务报表重大错报风险范围更广，注册会计师没有责任了解或识别所有的经营风险。
        • 多数经营风险最终都会产生财务后果，从而影响财务报表，但并非所有的经营风险都导致重大错报风险；注册会计师没有责任识别或评估对财务报表没有重大影响的经营风险。
      • 作用
        • 有助于注册会计师识别预期在财务报表中反映的主要交易类别、重要账户余额和披露；了解被审计单位的活动 特别是经营活动，也有助于注册会计师了解影响财务报告的重要会计政策、交易或事项
        • 有助于注册会计师关注被审计单位在经营策略和方向上的重大变化
        • 有助于注册会计师评估被审计单位在融资方面的压力，并进一步考虑被审计单位在可预见未来的持续经营能力
    • 行业形势、法律环境、监管环境 和其他外部因素
    • 财务业绩的衡量标准，包括内部和外部使用的衡量标准
    • 被审计单位及其环境
    • 适用的财务报告编制基础、会计政策以及变更会计政策的原因
    • 被审计单位内部控制体系各要素
      • 内控体系五要素：控制环境、控制活动、风险评估、信息系统与沟通、内部监督
      • 了解内部控制的性质和程度
        • 注册会计师在了解被审计单位及其环境等方面（即风险评估程序）的过程中应当运用分析程序，但并不意味着在其中每一环节均需要运用分析程序（在了解内部控制时并不运用）
        • 了解内部控制的程序
          • 询问被审计单位人员
          • 观察特定控制的运用
          • 检查文件和报告
          • 追踪交易在财务报告信息系统中的处理过程（即穿行测试 ）
        • 实施穿行测试的目标和可获得的审计证据
          • （1）确认对业务流程的了解。
          • （2）确认对相关交易的了解是完整的，即所有与认定相关的可能错报环节都已识别。
          • （3）确认所获取的有关流程中的预防性控制和检查性控制信息的准确性。
          • （4）评估控制设计的有效性。
          • （5）确认控制是否得到执行。
          • （6）确认之前所作书面记录的准确性。
  • 影响了解的性质和范围的因素
    • 被审计单位的性质和具体情况。 例如，被审计单位的规模和复杂程度（包括信息技术环境）， 被审计单位政策 和 程序、业务流程和体系的标准化程度。
    • 注册会计师以往与被审计单位或类似行业、类似企业交往的经验
    • 被审计单位文件记录的性质和形式
• 识别和评估重大错报风险
  • 识别和评估两个层次的重大错报风险
    • 由于重大错报风险是固有风险和控制风险共同作用的结果，因此，注册会计师在评估重大错报风险时，应当考虑相关控制的影响（即控制风险）。
    • 财务报表层次重大错报风险
      • eg:在经济不稳定的国家和地区开展业务、资产的流动性出现问题、重要客户流失、融资能力受限等，可能导致注册会计师对被审计单位的持续经营能力产生重大疑虑。
    • 认定层次重大错报风险
      • 要求
        • ①注册会计师识别确定某项认定是否属于相关认定，应当依据其固有风险，而不考虑相关控制的影响。注册会计师识别出相关认定后，在评估认定层次重大错报风险时，才应当考虑相关控制的影响。
        • ②对于识别出的认定层次重大错报风险，注册会计师应当分别评估 固有风险和控制风险。
        • ③注册会计师应当确定评估的重大错报风险是否为特别风险。
    • 两个层次间相互影响的处理
      • 在评估识别的认定层次重大错报风险时，注册会计师可能认为某些重大错报风险与财务报表整体存在广泛联系，可能影响多项认定，在这种情况下，注册会计师可能更新对财务报表层次重大错报风险的识别。
      • 如果重大错报风险由于广泛影响多项认定而被识别为财务报表层次重大错报风险，并可以识别出受影响的特定认定，注册会计师应当在评估 认定层次重大错报风险的固有风险时考虑这些风险。
    • 评估固有风险等级
      • 确定固有风险等级的方法
        • 注册会计师应使用错报发生的可能性和严重程度综合起来的影响程度，确定固有风险等级。综合起来的影响程度越高，评估的固有风险等级越高，反之亦然。
        • 评估的固有风险等级较高也可能是错报发生的可能性和严重程度的不同组合导致的，即评估的固有风险等级较高，并不意味着评估的错报发生的可能性和严重程度都较高。
      • 固有风险因素
        • 复杂性
        • 变化
        • 主观性
        • 由影响固有风险的管理层偏向或其他舞弊风险因素导致易于发生错报的其他因素
        • 不确定性
  • 需要特别考虑的重大错报风险
    • 特别风险，是指注册会计师识别出的符合下列特征之一的重大错报风险：
      • （1）根据固有风险因素对错报发生的可能性和错报的严重程度的影响，注册会计师将固有风险评估为达到或接近 固有风险等级的最高级（上限）。
      • （2）根据除《中国注册会计师审计准则第 1211 号——重大错报风险的识别和评估》准则之外的其他审计准则的规定，注册会计师应当将其作为特别风险。
    • 判断特别风险时的考虑因素
      • 应当考虑的因素
        • 应当考虑固有风险因素的影响，包括以下事项：
          • （1）交易具有多种可接受的会计处理，因此涉及主观性。
          • （2）会计估计具有高度不确定性或模型复杂。
          • （3）支持账户余额的数据收集和处理较为复杂。
          • （4）账户余额或定量披露涉及复杂的计算。
          • （5）对会计政策存在不同的理解。
          • （6）被审计单位业务的变化涉及会计处理发生变化，如合并和收购
      • 不应考虑的因素
        • 在判断哪些风险是特别风险时，注册会计师不应考虑识别出的控制对相关风险的抵销效果
    • 来源于
      • 非常规交易
        • （1）管理层更多地干预会计处理；
        • （2）数据收集和处理进行更多的人工干预；
        • （3）复杂的计算或会计处理方法；
        • （4）非常规交易的性质可能导致难以实施有效控制
      • 判断事项
        • （1）对涉及会计估计、收入确认等方面的会计原则存在不同的理解；
        • （2）所要求的判断可能是主观和复杂的，或需要对未来事项作出假设
    • 了解与特别风险相关的控制
      • 对特别风险，注册会计师应当评价相关控制的设计情况，并确定其是否已经得到 执行（即应当了解相关的内部控制）。
      • 如果管理层未能 实施控制以恰当应对特别风险，注册会计师应当认为内部控制存 在值得关注的内部控制缺陷，并考虑其对风险评估的影响。
  • 仅实施实质性程序无法应对的重大错报风险
    • 针对某些认定层次重大错报风险，仅实施实质性程序无法为其提供充分、适当的审计 证据，注册会计师应当确定评估出的重大错报风险是否属于该类风险。 例如，在被审计单位对日常交易采用高度自动化处理的情况下，审计证据可能仅以电子形式存在，其充分性和适当性通常取决于自动化信息系统相关控制的有效性。对这类风险，注册会计师当根据相关审计准则的规定，对相关控制的设计和执行进行了解和测试。
  • 修正风险识别或评估结果
    • 评估重大错报风险是一个连续和动态地收集、更新与分析信息的过程， 与了解被审计单位及其环境等方面情况一样，贯穿于整个审计过程的始终。

• 审计风险
  • 认定层次重大错报风险
    • 固有风险
      • 强调在不考虑控制的情况下，某一认定易于发生错报的可能性
      • 既可能是定性的，也可能是定量的
      • 可能影响错报发生的可能性以及错报发生时其可能的严重程度
      • 固有风险因素之间可能会相互关联， 固有风险因素之间相互关系会影响注册会计师的风险评估
      • 如果进一步审计程序的设计和实施能够适当应对固有风险的评估结果，则注册会计师对固有风险等级的评估就是适当的
    • 控制风险
  • 检查风险
• 特别风险
  • 特别风险的通常情形是指达到或接近固有风险等级的最高级的风险
  • 在评估某一风险是否为特别风险时，无须考虑控制对相关风险的抵销效果。
• 重大错报风险
  • 财务报表层次重大错报风险
  • 认定层次重大错报风险
    • 固有风险
    • 控制风险
• 内部控制
  • 只应当了解与审计相关的控制
  • 内部控制：被审计单位为实现控制目标所制定的政策和程序。
    • 程序：正式文件/组织文化中约定俗成的/......
    • 控制活动：有助于确保管理层的指令得以执行的政策和程序。
  • 内部控制体系，是指由治理层、管理层和其他人员设计、执行和维护的体系：以合理保证被审计单位能够实现 财务报告的可靠性，提高 经营效率和效果，以及遵守 适用的法律法规等目标。
  • 内部控制体系 包含以下五个相互关联的 要素
    • (与财务报表编制相关的)
    • 内部环境（控制环境）
      • 含义
        • 内部环境包括治理职能和管理职能，以及治理层和管理层对内部控制体系及其重要性的态度、认识和行动。良好的内部环境是实施有效内部控制的基础。实际上，在审计业务承接阶段，注册会计师就需要对内部环境作出初步了解和评价。
      • 内容
        • （1）对诚信和道德价值观念的沟通与落实。
        • （2）对胜任能力的重视。
        • （3）治理层的参与程度。
        • （4）管理层的理念和经营风格。
        • （5）职权与责任的分配。
        • （6）人力资源政策与实务。
      • 内部环境 对风险评估程序的影响
        • 在确定构成内部环境的要素是否得到执行时，注册会计师需要考虑将询问与其他风险评估程序相结合以获取审计证据。
        • 虽然令人满意的内部环境并不能绝对防止舞弊，但却有助于降低发生舞弊的风险。
        • 内部环境本身并不能防止或发现并纠正各类交易、账户余额和披露认定层次的重大错报，注册会计师在评估重大错报风险时，应当将内部环境连同其他内部控制要素产生的影响一并考虑。
    • 风险评估
    • 信息与沟通（信息系统与沟通）
    • 控制活动
      • 控制活动的要素可能包括：
        • 授权和批准
        • 调节
        • 验证
        • 实物或逻辑控制
          • 包括保证资产的实物安全、逻辑访问权限、定期盘点等
        • 职责分离
          • 指将交易授权、交易记录以及资产保管等不相容职责分配给不同员工
    • 内部监督
      • 持续的监督活动
        • 通常贯穿于被审计单位日常重复的活动中，包括常规管理和监督工作
      • 单独的评价活动
        • 由内部审计人员、具有类似职能的人员或利用与外部有关各方沟通或交流获取的信息，对内部控制的设计和执行进行专门评价
  • 内部控制的固有局限性
    • 控制风险不可能为零
    • 主要限制来源
      • 在决策时人为判断可能出现错误、人为失误 导致内部控制失效
      • 可能由于人员串通或管理层不当凌驾于内部控制之上而被规避
    • 其他考虑
      • 人员素质不适应岗位要求
      • 实施内部控制的成本效益
  • 分类
    • 整体层面和业务流程层面控制
      • 应当从被审计单位整体层面和业务流程层面 分别了解和评价被审计单位的内部控制
    • 直接控制和间接控制
      • 与审计相关的控制，按照其对防止、发现或纠正认定层次错报发挥作用的方式，分为直接控制和间接控制。
      • 直接控制
        • 指足以精准防止、发现或纠正认定层次错报的内部控制
          • 信息系统与沟通以及控制活动要素中的控制主要为直接控制。
          • 注册会计师对这些要素的了解和评价更有可能影响其对认定层次重大错报风险的识别和评估
      • 间接控制
        • 指不足以精准防止、发现或纠正认定层次错报的内部控制
          • 内部环境、风险评估和内部监督中的控制主要是间接控制， 也是被审计单位内部控制体系的基础
          • 注册会计师对这些要素的了解和评价，更有可能影响其对财务报表层次重大错报风险的识别和评估，也可能影响对认定层次重大错报风险的识别和评估
    • 人工和自动化控制
      • 人工控制 适用范围
        • ①存在大额、异常或偶发的交易。
        • ②存在难以界定、预计或预测的错误情况。
        • ③为应对情况的变化，需要对现有的自动化控制进行人工干预。
        • ④监督自动化控制的有效性
      • 自动化控制 适用范围
        • ①存在大量或重复发生的交易。
        • ②事先可预计或预测的错误能够通过自动化处理得以防止或发现并纠正。
        • ③用特定方法实施的控制可得到适当设计和自动化处理
    • 预防性和检查性控制
      • 预防性控制：旨在防止错报发生的控制
      • 检查性控制：旨在发现流程中可能发生的错报