2021CPA审计风险评估

2021CPA审计第七章风险评估，包含风险识别与风险评估概念、风险评估程序、信息来源以及项目组内部的讨论等。

***风险评估

• 风险识别与风险评估概念
  • 概念
    • 指注册会计师通过实施风险评估程序，识别与评估财务报表层次和认定层次的重大错报风险
  • 要求
    • 了解被审计单位及其环境是必要程序，注册会计师应当了解被审计单位及其环境，以充分识别和评估财务报表重大错报风险，设计和实施进一步审计程序
      • 必须实施的程序！！
    • 了解被审计单位及其环境贯穿与整个审计业务的始终
    • 注册会计师对被审计单位及其环境的了解程度，低于管理层需要了解的程度
• 风险评估程序、信息来源以及项目组内部的讨论
  • 风险评估程序和信息的来源
    • 主要程序
      • 询问
      • 检查
      • 观察
      • 分析程序
      • 穿行测试
        • 重新执行：为了控制测试、需要大量样本 穿行测试：了解、需要少量交易
        • 含义
          • 追踪交易在财务报告信息系统中的处理过程
        • 操作
          • 追踪交易在业务流程中如何生成、记录、处理和报告，以及相关控制如何执行
        • 目的
          • **了解相关控制并确定控制是否得到执行
            • 了解设计
            • 是否执行
        • 穿行测试把上面四个程序综合一起了
  • 其他审计程序和信息来源
    • 包括询问外部人员、阅读外部信息、考虑以往经验以及考虑承接信息等
  • 项目组内部讨论
    • 讨论的目标
      • 为项目成员提供交流信息和分享见解的机会
      • 各自负债的领域内，由于舞弊或者错误导致财务报表重大错报的可能性
      • 各自实施审计程序的结果如何影响审计的其他方面，包括对确定进一步审计程序性质、时间安排和范围的影响
    • 讨论的内容
      • 被审计单位的经营风险
        • 考虑风险
      • 财务报表容易发生错报的领域以及发生错报的方式
        • 考虑错报
      • 特别是由于舞弊导致重大错报的可能性
        • 考虑舞弊
    • 讨论人员
      • 关键成员
        • 合伙人
      • 专家（不必要）
      • 未来人员
        • 由合伙人决定向他们通报哪些事项
    • 讨论时间与方式
      • 根据具体情况，在整个审计过程中持续交换有关财务报表发生重大错报可能性的信息
• 了解被审计单位及其环境
  • (外部)行业状况、法律环境和监管环境及其他外部因素
    • 行业状况
      • 所处行业的市场与竞争
      • 生产经营的季节性和周期性
      • 相关的生产技术
        • 收入下降
        • 存货减值
      • 能源供应与成本
        • 成本上升，毛利率下降
      • 行业的关键指标和统计数据
        • 是否存在逆势
    • 法律环境与监管环境
      • 会计原则和行业特定惯例
        • 准则修订更新使被审计单位运用不当
      • 受管制行业的法律框架
      • 对被审计单位经营活动产生重大影响的法律法规，包括直接的监管活动
      • 税收政策
      • 政府政策
      • 影响行业和被审计单位经营活动的环保要求
    • 其他外部因素
      • 总体经济情况、利率、融资的可获得性、同伙膨胀水平或币值变动
    • 对注册会计师的要求
      • 注册会计师考虑将了解的重点放在对被审计单位的经营活动可能产生重要影响的关键外部因素以及与前期相比发生的重大变化上
  • 被审计单位的性质(三结构，三活动，一报告)
    • 所有权结构
      • 了解关联方关系和交易及决策过程
      • 了解控股公司并评估相关舞弊风险
    • 治理结构
      • 良好治理结构可以对被审计单位的经营和财务运作实施有效监督
      • 董事会的构成和独立董事的履职
      • 审计委员会和监事会
    • 组织结构
      • 考虑复杂的组织结构可能导致的重大错报风险
      • 长期股权投资和财务报表合并
      • 商誉减值
      • 对子公司、联营、合营企业的投资
    • 经营活动
      • 识别主要交易类别、重要账户余额和列报(与日常经营相关)
    • 投资活动
      • 有助于了解在经营策略和方向上的重大变化,如：并购和重组；资本性投资活动
    • 筹资活动
      • 评估融资方面的压力，如：***评估持续经营能力；债务结构和相关条款
    • 财务报告
      • 了解影响财务报告的重要政策、交易和事项，如：收入确认惯例,公允价值会计核算
  • *被审计单位会计政策的选择与运用
    • 重大和异常交易的会计处理方法
    • 在缺乏权威性标准和共识、有争议的或新兴领域采用重要会计政策产生的影响
    • *会计政策的变更
    • 新颁布的财务报告准则、法律法规
    • 财会人员的胜任能力
    • 足够的资源和培训以支持会计政策的运用
  • **被审计单位的目标、战略和经营风险
    • 目标、战略和经营风险
      • 行业发展
        • 不具备足以应对行业变化的人力资源和业务专长等风险
      • 开发新产品或提供新服务
        • 被审计单位产品责任增加等风险
      • 业务扩张
        • 对市场需求的估计不准确等风险
      • 新的会计要求
        • 执行相关会计要求不当，或会计处理成本增加等风险
      • 监管要求
        • 被审计单位法律责任增加等风险
      • 本期及未来的融资条件
        • 无法满足融资条件而失去融资机会等风险
      • 信息技术的运用
        • 信息系统与业务流程难以融合等风险
      • 实施战略的影响
        • 需要运用新的会计要求的影响
    • 经营风险对重大错报风险的影响
      • 多数经营风险最终都会产生财务后果，从而影响财务报表，但并非所有的经营风险都导致重大错报风险
      • 注册会计师没有责任识别或评估财务报表没有重大影响的经营风险
    • 被审计单位的风险评估过程
      • 管理层通常制定识别和应对经营风险的策略，注册会计师应当了解被审计的风险评估过程
  • *(内外兼修)被审计单位财务业绩的衡量与评价
    • 外部机构的报告，如分析师的报告和信用评级机构的报告
    • 关键业绩指标、关键比率、趋势和经营统计数据
    • 同期财务业绩比较分析
    • 预算分析和各部门业绩报告
    • 员工业绩考核与激励性报酬政策
    • 被审计单位与竞争对手的业绩比较
  • 被审计单位的内部控制
• 了解被审计单位的内部控制
  • 基本概念
    • 含义与目标
      • 内部控制是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计和执行的政策及程序
    • 内部控制要素（COSO框架）
      • 背下来
      • 控制环境
      • 风险评估过程
      • 与财务报告相关的信息系统和沟通
      • 控制活动
      • 对控制的监督
    • 人工和自动化成分
      • 自动化控制
        • 适用范围
          • 存在大量或重复发生的交易
          • 事先可预计或预测的错误能够通过自动化控制参数得以防止或发现并纠正
          • 用特定方法实施控制的控制活动可得到适当设计和自动化处理
        • 优势
          • 处理大量的交易或数据、进行复杂运算
          • 提高信息的及时性、可获得性及准确性
          • 有助于对信息的深入分析
          • 提高监督能力
          • 降低控制被规避的风险
          • 通过实施安全控制，提高不兼容职务分离的有效性
        • 风险
          • 处理的数据不正确
          • 授权不恰当
          • 越权访问
          • 未经授权改变数据、系统或程序
          • 未能对系统或程序作出必要的修改
          • 不恰当的人为干预
          • 数据丢失或无法访问
      • 人工控制
        • 适用范围
          • 存在大额、异常或偶发的交易
          • 存在难以界定、预计或预测的错误情况
          • 为应对情况的变化，需要对现有的自动化控制进行人工干预
          • 监督自动化控制的有效性
        • 风险
          • 人工控制可能更容易被规避、忽视或凌驾
          • 人工控制可能不具有一惯性
          • 人工控制可能更容易产生简单错误或失误
    • 内部控制固有局限性
      • 主要原因
        • 在决策时人为判断可能出现错误、人为失误导致内部控制失效
        • 可能由于人员串通或管理层不当凌驾于内部控制之上而被规避
      • 其他原因
        • 人员素质不适应岗位要求
        • 实施内部控制的成本效益
      • 小型被审计单位的考虑
        • 可以实施比大型被审计的单位更有效的监督，可以弥补职责分离有限的局限性 更可能凌驾于控制之上
  • ***了解被审计单位内部控制要求
    • 目标
      • 财务报表审计的目标是对是否不存在重大错报发表审计意见，而不是对内部控制有效性发表审计意见
      • 注册会计师应当在所有审计项目中了解内部控制
      • 注册会计师需要了解和评价的只是与审计相关的内部控制，并非被审计单位所有的内部控制
      • 被审计单位通常有一些与目标相关但与审计无关的控制，注册会计师无须对其加以考虑
        • 与财务报告可靠性相关控制都与审计有关？
        • 与经营效率与效益相关控制都与审计有关？
        • 与合规性相关的控制都与审计有关？
        • 都是错的！
    • 对内部控制了解的深度
      • 评价控制的设计，并确定其是否得到执行，但不包括对控制是否得到一贯执行的测试
        • 只管它一时执行，不管它一世执行(有效性)
      • 除非存在某些可以使控制得到一贯运行的自动化控制，否则注册会计师对控制的了解并不足以测试控制运行的有效性
    • 程序
      • 询问被审计单位人员，但询问程序本身并不足以评价控制的设计和确定其是否得到执行，应当将询问与其他程序相结合
      • 观察特定控制运用
      • 检查文件和报告
      • 追踪交易在财务报告信息系统中的处理过程，即穿行测试
  • 控制五要素
    • 控制环境
      • 含义
        • 包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施
      • 对注册会计师的要求
        • 注册会计师应当了解控制环境，在审计业务承接阶段，就需要对控制环境作出初步了解和评价
      • 内容
        • 诚信和道德价值观念的沟通与落实
        • 对胜任能力的重视
        • 治理层的参与程度
        • 管理层的理念和经营风格
        • 组织结构及职权与责任分配
        • 人力资源政策与实务
          • 人员招聘、培训、考核、晋升和薪酬等(选、育、留)
      • 影响
        • 广泛性
          • 对重大错报风险具有广泛影响，可能导致财务报表层次的重大错报风险，很难认定某一流程的控制是有效的
        • 舞弊
          • 不能绝对防止舞弊，但有助于降低舞弊风险
        • 错报
          • 本身并不能防止或发现并纠正认定层次的重大错报。应连同其他内部控制要素产生的影响一并考虑
    • 风险评估过程
      • 风险评估过程包括识别与财务报告相关的经营风险，以及针对这些风险所采取的措施，包括被审计单位是否已经建立相关机制，识别和应对会计准则的重大变化、业务操作流程的重大变化以及经营环境的重大变化
    • 信息系统与沟通
      • 信息系统
        • 生成、记录、处理和报告
        • 与财务报告相关的信息系统应当与业务流程相适应
        • 自动化程序和控制降低了发生无意错误的风险，但没有消除个人凌驾于控制之上的风险
        • 信息系统由自动化程序执行或人工执行
      • 沟通
        • 注册会计师应当了解被审计单位内部如何对财务报告的岗位职责以及与财务报告相关的重大事项进行沟通
    • 控制活动
      • 内容
        • 授权
          • 一般授权与特别授权
            • 一般授权是管理层制定的普遍适用政策，特别授权是针对特定类别交易逐一设置的授权
        • 业绩评价
          • 分析财务数据与经营数据
          • 评价实际业务与预算
          • 比较内部数据与外部信息等
          • 比较内部数据与外部信息等
        • 信息处理
          • 应当了解信息技术的一般控制与应用控制
        • 实物控制
          • 安全保护
          • 访问授权
          • 定期盘点
        • 职责分离
          • 交易授权，交易记录以及资产保管应当职责分离
      • 对注册会计师的要求
        • 注册会计师应当重点考虑一项控制活动单独或连同其他控制活动，是否能够以及如何防止或发现并纠正各类交易、账户余额和披露存在的重大错报
        • 如果多项控制活动能够实现同一目标，注册会计师不必了解与该目标相关的每项控制活动
    • 对控制的监督
      • 持续的监督
        • 贯穿于日常经营活动与常规管理工作中
      • 单独的评价
        • 由内部审计人员对内部控制的设计和执行进行专门评价
          • 注册会计师审计
          • 内部审计
          • 审计委员会定期了解财务数据
  • 在整体层面和业务流程层面了解内部控制
    • 两个层面
      • 整体层面
        • 主要与控制环境相关
        • 与被审计单位整体相关
        • 考虑舞弊和管理层凌驾于内部控制之上的风险
        • 信息技术的一般控制
        • 财务报告流程的控制
      • 业务流程层面
        • 与业务流程和认定相关
        • 信息系统的应用控制
        • 控制活动
    • 步骤
      • 确定重要业务流程和重要交易类别
        • 无论业务流程与以前年度相比是否有变化，注册会计师每年都需要重新考虑和了解。注册会计师通常针对每一年的变化修改记录流程的工作底稿，除非存在重大变化
      • 了解重要交易流程，并进行记录
      • 确定可能发生错报的环节
      • 识别和了解相关控制
        • **预防性控制：旨在防止错报发生的控制
        • **检查性控制：旨在及时发现已发生的错报的控制
      • 执行穿行测试，证实对交易流程和相关控制的了解
        • 确认对业务流程的了解
        • 确认对重要交易的了解是完整的，即所有与认定相关的可能错报环节都已识别
        • 确认所获取的有关流程中的预防性控制和检查性控制信息得到准确性
        • 评估控制设计的有效性
        • 确认控制是否得到执行
          • 不是执行有效性！！
        • 确认之前所做的书面记录的准确性
      • 初步评价和风险评估
        • 所设计的控制单独或连同其他控制能够防止或发现并纠正重大错报，并得到执行
        • 控制的设计时合理的，但是没有得到执行
        • 控制设计无效或缺乏必要控制
      • 对财务报告流程的了解
• 评估重大错报风险
  • **财务报表层次和认定层次的重大错报风险
    • 考虑因素
      • 风险的性质
      • 错报的规模
      • 发生的可能性
    • 评估重大错报风险的审计程序
      • 在了解被审计单位及其环境的整个过程中，结合对各类交易、账户余额和披露的考虑，识别风险
      • 将识别的风险与认定层次可能发生错报的领域相联系
      • 将评估识别出的风险，评价其是否更广泛地与财务报表整体相关，进而潜在地影响多项认定
      • 考虑发生错报的可能性，以及潜在错报的重大程度是否足以导致重大错报
    • 识别两个层次的重大错报风险
      • 财务报表层次
        • 重大经营风险
        • 薄弱的控制环境
        • 频繁更换关键岗位人员
      • 认定层次
        • 通常对应具体的财务报表项目等
    • 考虑财务报表的可审计性
      • 可审计性疑虑的情形
        • 会计记录的状况和可靠性存在重大问题，不能获取充分、适当的审计证据以发表无保留意见
        • 对管理层的诚信存在严重疑虑
      • 应对措施
        • 考虑出具保留或无法表示意见的审计报告
        • 必要时，应当考虑解除业务约定
  • 需要特别考虑的重大错报风险
    • 含义
      • 特别风险，指注册会计师识别和评估的、根据判断认为需要特别考虑的重大错报风险
    • 考虑因素
      • 考虑因素
        • 风险是否属于舞弊风险
        • 风险是否与近期经济环境、会计处理方法和其他方面的重大变化有关
        • 交易的复杂程度
        • 风险是否涉及重大的关联方交易
        • 财务信息计量的主观程度，特别是计量结果是否具有高度不确定性
        • 风险是否涉及异常或超出正常经营过程的重大交易
        • 不能直接假定被审计单位存货存在特别风险
      • 不考虑因素
        • 在判断哪些风险是特别风险时，注册会计师不应考虑识别出的控制对相关风险的抵消效果
    • 来源
      • 非常规交易
        • 管理层更多地干预会计处理
        • 数据收集和处理进行更多的人工干预
        • 复杂的计算或会计处理方法
        • 非常规交易的性质可能导致难以实施有效控制
      • 判断事项
        • 对涉及会计估计、收入确认等方面的会计原则存在不同的理解
        • 所要求的判断可能是主观和复杂的，或需要对未来事项作出假设
    • 考虑与特别风险相关的控制
      • 对特别风险，注册会计师应当评价相关控制的设计情况，并确定其是否已经得到执行
      • 如果管理层未能实施控制以恰当应对特别风险，注册会计师应当认为内部控制存在重大缺陷，并考虑其对风险评估的影响
  • 仅通过实质性程序无法应对的重大错报风险
    • 情形
      • 当日常交易采用高度自动化处理时，审计证据可能仅以电子形式存在，其充分性和适当性通常取决于自动化信息系统相关控制的有效性，注册会计师仅通过实施实质性程序可能难以获取充分、适当审计证据
    • 对注册会计师的要求
      • 评价被审计单位针对这些风险设计的控制，并确定其执行情况
      • 注册会计师应当考虑依赖的相关控制的有效性，并对其进行了解、评估和测试
  • 对风险评估的修正
    • 评估重大错报风险是一个连续和动态地收集、更新与分析信息的过程，贯穿于整个审计过程的始终