风险导向审计

审计学第七章风险导向审计，知识点有风险导向审计概述、风险评估程序、风险应对等，结构型知识框架方便学习理解！

第七章 风险导向审计

• 风险导向审计概述
  • 变迁
    • 账项导向审计（又称详细审计）
    • 内部控制导向审计：核心：内部控制；缺点：CPA依赖对内控的测试，忽视审计风险产生的其他环节；被审单位：内部控制导向审计效果差
    • 风险导向审计：核心环节：识别、评估、应对；以审计风险模型（重大错报风险*检查风险）为基础的审计
• 风险评估程序
  • 风险评估程序和信息来源
    • 概念：了解被审计单位及其环境，识别和评估重大错报风险的环节
    • 风险识别：找出财务报表层次和认定层次的重大错报风险
    • 风险评估：找出重大错报发生的可能性和后果严重程度
    • 记
    • 风险评估整体上是“粗线条”的评估，并未对具体账户或认定具体金额执行具体程序。询问被审计单位管理层和其他内部相关人员；分析性程序；观察和检查
    • 手段
      • 程序：（1）询问(可靠性低)：询问管理层；询问内部审计人员；询问其他人员
      • （2）分析性程序：CPA使用有助于识别异常的交易或事项，以及对财务报表和审计产生影响的金额、比率和趋势。
      • （3）观察和检查：观察被审计单位的经营活动；检查文件、记录和内部控制手册；阅读由管理层和治理层编制的报告；实地查看被审单位的生产经营场所和厂房设备；追踪交易在财务报告信息系统中的处理过程（穿行测试：了解相关控制并确定控制是否得到执行）
  • 了解被审单位及其环境（是一个连续动态的搜集、更新与分析的过程）
    • 行业状况5个、法律环境与监管环境4个以及其他外部因素4 个（外部因素）书P125
    • 被审计单位的性质
      • 所有权结构：对被审单位的所有权结构的了解有助于CPA识别关联方关系并了解被审单位的决策过程
        • 关联方交易的优点：（1）关联方相互了解，相互信任（2）适当交易安排，达到企业集团的规模经济效益（3）优化资本结构、提高资产盈利能力、及时筹集资金、降低机会成本
      • 治理结构
      • 组织结构
      • 经营活动
      • 投资活动
      • 筹资活动
    • 被审单位对会计政策的选择和运用
      • 重要项目的会计政策和行业惯例
      • 重大和异常交易的会计处理方法
      • 在新领域和缺乏权威性标识或共识的领域，采用重要会计政策产生的影响
      • 会计政策的变更
      • 被审计单位何时采用新颁布的会计准则和相关会计制度
    • 被审单位的目标、战略以及相关经营风险（目标决定战略
      • （1）行业发展 （2）开发新产品或提供新服务 （3）业务扩张 （4）新颁布的会计法规 （5）监管要求 （6）本期及未来的融资条件 （7）信息技术的运用
      • 多数经营风险最终都会产生财务后果，从而影响财务报表，但并非所有经营风险都会导致重大错报风险
    • 被审单位财务业绩的衡量和评价（内部、外部因素）
      • （1）关键业绩指标 （2）业绩趋势 （3）预测、预算和差异分析 （4）管理层和员工业绩考核与激励性报酬政策 （5）分部信息与不同层次部门的业绩报告 （6）与竞争对手的业绩比较 （7）外部机构提出的报告
    • 了解被审单位内部控制
      • 内涵解读
        • 概念（目标）：内部控制是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果、以及对法律法规的遵守，由治理层、管理层和其他人员设计与执行的政策及程序
        • 责任主体：设计和实施的内部控制的责任主体是治理层、管理层和其他人员，组织中的每一个人对内部控制都有责任
        • 实现目标手段：设计和执行控制政策和程序（eg：现金管理制度）
        • CPA需要了解和评价的内部控制只是与财务报表审计相关的内部控制，主要是被审计单位未实现财务报告可靠性目标设计和实施的控制
      • 五要素
        • （1）控制环境：对胜任能力的重视；组织结构；治理层的参与程度；职权和责任分配；管理层的理念和经营风格；对诚信和道德价值观念的沟通与落实；人力资源政策和什实务
        • （2）风险评估过程：风险评估过程包括识别与财务报告相关的经营风险，以及管理层对这些经营风险所采取的措施
        • （3）信息系统与沟通
        • （4）控制活动：试纸有助于确保管理层的指令得以执行的政策和程序。 授权：一般授权和特别授权； 业绩评价； 信息处理：包括信息技术的一般控制和应用控制； 实物控制：对于接触计算机程序和数据文档设置授权 职责分离（不相容职务分离）：CPA应当了解职责分离，主要包括被审计单位如何将交易授权、交易记录以及资产保管等职责分配给不同员工，以防范同一员工在履行多项职责时可能发生的舞弊错误。当信息技术运用于信息系统时，职责分离可通过设置安全控制来实现
        • （5）控制的监督：被审计单位通过持续的监督活动、专门的评价活动或两者相结合，实现对控制的监督
      • 局限性
      • 了解
        • （1）评价控制的设计（及内部控制的设计能否防止或发现并纠正重大错报风险）
        • （2）评价控制是否得到执行
• 风险应对
  • 针对重大错报风险的应对措施
    • 财务报表层次重大错报风险的总体应对措施
      • （1）向项目组强调保持职业怀疑的必要性 （2）指派更有经验或具有特殊技能的审计人员，或利用专家的工作（古玩、珠宝、黄金） （3）提供更多的督导（质量复核） （4）在选择拟实施的进一步审计程序时，融入更多的不可预见的因素（舞弊，采用以前不用的，比如实地监盘低于重要性水平账户等；在审计日期前，公司的不适当调整时，CPA考虑时间可采取不同抽样方法） （5）对拟实施审计程序的性质、时间安排和范围作出总体修改
    • 总体应对措施对拟实施进一步审计程序的总体审计方案的影响
      • 财务报表层次重大，错报风险难以限于某类交易账户余额和披露的特点，可能对财务报表的多项人体产生广泛影响。 拟实施进一步审计程序的总体审计方案包括实质性方案和综合性方案。
      • 当评估的财务报表层次重大错报风险属于高风险水平时，拟实施进一步审计程序的总体方案往往更倾向于实质性方案
    • 认定层次重大错报风险的进一步审计程序
  • 控制测试（不一定执行）
    • 控制测试的含义及要求
      • 含义：控制测试是指测试控制运行的有效性（是了解内部控制的阶段）
      • 当存在下列情形之一时，CPA应当实施控制测试：（1）在评估认定层次重大错报风险时，预期控制的运行是有效的 （2）仅实施实质性程序不足以提供认定层次充分、适当的审计证据
      • 对内部控制的有效性评价：（1）控制在所审计期间的相关时点是如何运行的 （2）控制是否得到一贯执行 （3）控制由谁或以何种方式执行
    • 控制测试的性质：实施控制测试程序及其组合
    • 控制测试的程序
      • （1）询问：必须和其他测试手段结合使用，才能发挥作用
      • （2）观察：CPA通过观察直接获取的证据，比间接获取的证据更可靠
      • （3）检查：对运行情况留有书面证据的控制检查，非常适用
      • （4）重新执行：只有当前三个无法获得充分证据时，CPA才会考虑重新执行来证实控制是否有效运行。（eg：合理保证计价认定的准确性）
      • （5）穿行测试：不是单独的一种程序，通过追踪交易在财务报告信息系统中的处理过程来证实CPA对控制的了解、评价控制设计的有效性以及确定控制是否得到执行
    • 控制测试的时间（期中）
      • 何时实施控制测试
      • 测试所针对的控制适用的时点和期间
  • 实质性程序
    • 实质性程序的含义及要求
      • 含义：实质性程序是指CPA针对评估的重大错报风险实施的直接用以发现认定层次重大错报的审计程序
      • 实质性程序包括对各类交易、账户余额、列表的细节测试以及实质性分析程序
      • 要求：实质性程序是必须要执行的审计程序。由于CPA对重大错报风险的评估是一种判断，可能无法充分识别所有的重大错报风险，并且由于内部控制存在固有局限性，无论评估重大错报风险结果如何，CPA都应当针对重大的各类交易、账户余额、列报实施实质性程序
    • 实质性程序的性质
      • 细节测试（问查看、函证、重新计算）是对各类交易、账户余额、列报的具体细节进行测试，目的在于直接识别财务报表认定是否存在错报
      • 在进一步审计程序中，实质性分析程序不是必须执行的程序，但是细节测试是必须执行的程序
      • 适用性：认定的测试，尤其是对存在和发生、准确性、计价和分摊认定的测试
    • 实质性程序的时间
      • 时间：如果内部控制十分有效，重大错报风险较低，则可以在期中审计阶段增加一些账户实质性程序，但是如果内部控制不十分有效，那么实质性程序尤其是账户余额实质性程序应该尽量安排在期后审计阶段进行
    • 实质性程序的范围
      • 范围：可接受的检查风险水平对实质性程序范围有影响，可接受的检查风险越高，则实质性程序的范围也相对越小，反之，则实质性程序范围也越大