风险评估思维导图笔记

《风险评估》有几个重要的步骤：资产识别与赋值、威胁识别与赋值、脆弱性识别与赋值、风险值计算、被评估单位可根据风险评估结果防范和化解信息安全风险，或者将风险控制在可接受的水平，为最大限度地保障网络和信息安全提供科学依据。

7、风险评估

• 7.1 风险识别和评估概述
  • 无考点
• 7.2 风险评估程序、信息来源
  • 内部
    • 询问
    • 观察、检查
    • 分析程序
  • 外部
    • 其他审计程序
      • 询问外部法律顾问、评估师、投资财务顾问等
    • 其他信息来源
      • 在客户接受或保持过程中
      • 提供其他服务所获得的经验
      • 连续审计业务，拟利用以往的经验和以前审计获取的信息，应当确定被审计单位及其环境是否发生变化
        • 被审计单位或其环境变化可能导致以前的信息在本期不具有相关性
  • 项目组内部讨论
    • 内容
      • 经营风险
      • 容易发生错报的领域以及错报的方式
        • 特别：舞弊导致错报的可能性
    • 参与讨论人员
      • 关键成员应当参与
      • 专家根据需要参与
      • 不要求所有成员每次都参与
      • 项目合伙人通报讨论内容
• 7.3 了解被审计单位及其环境
  • 外部
    • ①行业、法律、监管
  • 内部
    • ②被审计单位性质
    • ③对会计政策的选择和应用
    • ④目标、战略、相关经营风险
      • 并非所有的经营风险都与财务报销相关，cpa没有责任识别或评估对财务报表没有重大影响的经营风险。
      • 多数经营风险会产生财务后果，从而影响报表
      • 经营风险可能对财务报表层次和认定层次产生直接影响
    • ⑤内部控制
  • 内+外
    • ⑥财务业绩的衡量和评价
• 7.4 了解内控
  • 含义
    • 报告、经营、合规
    • 责任主体：全员参与
  • 与审计相关的控制
    • cpa需要了解和评价的内部控制只是与审计相关的内部控制，并非所有内部控制。
    • 如果拟利用内部生成的信息，针对该信息完整性和准确性的控制可能与审计相关。
    • 如果与经营和合规相关的控制与cpa实施审计程序时评价或使用的数据相关，则这些控制也可能与审计相关。
    • 与财务报告可靠性相关的控制--与审计相关；但与财务报告的相关的控制不一定与审计相关。与审计相关的内部控制并非均与财务报告相关。
  • 对内控了解的深度
    • 除非存在某些可以使控制得到一贯运行的自动化控制，否则cpa对控制的了解不足以测试控制运行的有效性。
  • 内部控制的人工和自动化成分
  • 内部控制的固有局限性
    • 人为判断或人为失误
    • 人员进行传统或管理层凌驾于控制之上
  • 五要素
    • 控制环境
      • 了解控制环境的要求
        • 防止或发现并纠正舞弊和错误是治理层和管理层的责任
        • 在审计业务承接阶段，cpa需要对控制环境做出初步了解和评价。
      • 了解控制环境的要素
        • 对诚信和道德观念的沟通和落实
        • 对胜任能力的重视
        • 治理层的参与程度
        • 管理层的理念和经营风格
        • 组织结构及职权与责任的分配
        • 人力资源政策与实务
    • 风险评估过程
    • 信息系统与沟通
    • 控制活动
      • 五方面
        • 授权
        • 业绩评价
        • 信息处理
        • 实物控制
        • 职责分离
      • 如果多项控制活动能够实现同一目标，cpa不必了解与该目标相关的每一项控制活动。
    • 对控制的监督
  • 在整体层面和业务层面了解内控
    • 不是必须了解业务流程层面的控制，无效或不打算依赖可以不了解
    • 即使不打算信赖控制，cpa仍要执行穿行测试
• 7.5 评估重大错报风险
• 控制环境本身并不能防止或发现并纠正认定层次的重大错报