风险评估

良好的控制环境不能绝对防止舞弊，但有助于降低发生舞弊的风险；控制环境本身并不能防止或发生并纠正认定层次的重大错报。

风险评估

• 风险识别和评估概述
• 风评程序、信息来源以及项目组内部讨论
  • 程序
    • ①询问 ②分析程序（应当用） ③观察 ④检查 ⑤穿行测试
  • 项目组内部讨论
    • 围绕”风险评估和应对“展开
    • 讨论人员：①项目组关键成员（项目合伙人） ②专家 ③项目合伙人应当确定向未参与 讨论的项目组成员通报哪些事项
• 了解被审计单位及其环境
  • 行业状况、法律环境和监管环境以及其他外部因素
  • 被审计单位的性质
    • ①所有权结构、治理结构和组织结构 ②经营活动、投资活动和筹资活动 ③财务报告
  • 被审计单位的会计政策的选择和应用
  • 目标、战略以及相关经营风险
    • 对重大错报风险影响：①多数经营风险最终都影响财报， 但并非所有经营风险都会导致重大错报风险 ②经营风险对重大错报产生直接影响 ③CPA没有责任识别或评估对财报没有重大影响的经营风险
  • 财务业绩的衡量与评价
    • ①外部机构的报告 ②关键业绩指标、关键比率、趋势和经营统计数据 ③同期财务业绩比较分析 ④预算、预测、差异分析和各层次业绩报告 ⑤员工业绩考核与激励性报酬政策 ⑥被审计单位与竞争对手的业绩比较
• 了解被审计单位内部控制
  • 概念
    • 概念：内部控制是政策及程序
    • 目标：合理保证财务报告的可靠性；经营的效率和效果；对法律法规的遵守
    • 存在固有局限性
    • 分类：①人工和自动化控制 ②预防性和检查性控制 ③整体层面和业务流程层面控制
  • 内控五要素（coso框架）
    • 控制环境
      • CPA应该了解控制环境； 在业务承接阶段，就要做出初步了解和评价
      • 内容：①诚信和道德价值观念的沟通与落实 ②对胜任能力的重视 ③治理层的参与程度 ④管理层的理念和经营风格 ⑤组织结构及职权与责任分配 ⑥人力资源政策与实务
      • 良好的控制环境不能绝对防止舞弊，但有助于降低发生舞弊的风险； 控制环境本身并不能防止或发生并纠正认定层次的重大错报
    • 控制活动
      • 如果多项控制活动能够实现同一目标， CPA不必了解与该项目标相关的每项控制活动
    • 对控制的监督
      • 持续的监督；单独的评价
    • 风险评估过程
    • 信息系统与沟通
      • 与财务报告相关的信息系统应当与业务流程相适应
  • 了解被审计单位内部控制的要求
    • 原则性要求
      • ①CPA应当在所有项目中了解内部控制 ②CPA需要了解和评价的只是与审计相关的内部控制
    • 深度
      • ①CPA应当评价控制的设计，并确定其是否得到执行 ②了解内控≠控制有效 了解内控 → IT控制（一般控制有效+应用控制执行→应用控制有效）
    • 程序
      • ①询问被审计单位员工，但仅询问不足，应当与其他风险评估程序结合 ②观察特定控制的运用 ③检查文件和报告 ④追踪交易在财务报告信息系统中处理过程（穿行测试）
      • 执行穿行测试可获得以下证据：①确认对业务流程的了解 ②确认对重要交易的了解是完整的 ③预防性控制和检查性控制的准确性 ④评估控制设计的有效性 ⑤确认控制是否得到执行 ⑥确认之前所做的书面记录的准确性
    • 对控制的初步评价
      • 设计合理+得到执行=预期控制有效
• 评估重大错报风险
  • 财报和认定层次的重大错报风险
    • 财务报表层次：①对持续经营能力产生重大疑惑 ②舞弊风险 ③薄弱的控制环境 ④信息技术一般控制存在缺陷
    • 认定层次：通常对应具体的财务报表项目
  • 需要特别考虑的重大错报风险
    • 考虑因素
      • 应当考虑：①风险是否属于舞弊风险 ②是否与重大变化有关 ③是否涉及重大关联方交易 ④是否涉及异常或超出正常经营过程的重大交易 ⑤交易的复杂程度 ⑥计量结果是否具有高度不确定性
      • 不应考虑：CPA不应考虑识别出的控制对相关风险的抵消效果
    • 来源
      • 非常规交易
      • 判断事项
    • 与特别风险相关的控制
      • 应当了解相关的内部控制
      • 管理层未能实施控制应对，CPA应对认为内控存在重大缺陷
  • 仅实质性程序无法应对重大错报风险
    • 日常交易采用自动化信息系统
    • CPA应当：①评价被审计单位针对这些风险设定的控制，以及执行情况 ②考虑依赖相关控制的有效性，并对其进行了解、评估和测试
  • 对风险评估的修正
    • 贯穿整个审计过程的始终