审计学之风险评估与应对

关于审计学中风险评估与应对的思维导图。下图内容覆盖风险评估的概念、要求和主要程序，风险应对的措施，被审计单位的内部控制等。若感到有所帮助，就请点赞收藏吧！

风险评估与应对

风险评估总述

概念

了解被审计单位及其环境来获得信息并且评估风险的过程，叫做风险评估过程。要求注册会计师识别和评估报表层次和认知层次的重大错报风险

要求

注册会计师加强对被审计单位及其环境的了解是必须的程序

子主题

要求注册会计师在审计的所有阶段（不仅仅是计划阶段而是全过程）都要实施风险评估过程。不能不经过风险评估过程，直接将风险认定为高水平

要求注册会计师将识别和评估的风险与实施的审计程序挂钩

要求注册会计师将识别、评估和应对风险的关键程序形成审计工作记录，保质明责

审计师对被审计单位管理层及环境的了解程度是低于管理层的了解程度

风险评估的主要程序（应当）

询问

分析‘

形成预期，进行比较，获取解释，评估风险

观察、检查

生产经营活动、内部控制手册、报告等

穿行测试

通过追踪交易在财务报告信息系统中的处理过程，来证实注册会计师对控制的了解、评价控制设计的有效性、确定控制是否得到执行。穿行测试更多的是在了解内部控制的时候运用。但在执行穿行测试的过程中，注册会计师可能获取部分控制运行有效性的审计证据。

了解被审计单位的环境

了解外部环境

相关行业状况

法律环境与监管环境

以及其他外部因素

了解经营环境

被审计单位的性质

被审计单位的目标、战略与相关经营风险

被审计单位的 内部控制

了解财务环境

被审计单位对会计政策的选择和运用

被审计单位财务业绩的衡量与评价

（针对认定层次重大错报风险的进一步审计程序）具体应对

含义、考虑因素、要求

含义

是指CPAer针对评估的各类交易、账户余额、列报认定层次的重大错报风险实施的审计程序，包括实质性测试（细节测试+分析）和控制测试

考虑因素

风险的重要性（风险造成后果的严重程度）

确定的重要性水平越高，进一步审计程序的范围就越小【反向变动】

重大错报发生的可能性越高，进一步审计程序的范围越大【同向变动】

计划获取的保证程度越高，你进一步审计程序的范围就越大【同向变动】

CPA对内部控制越信赖（风险评估时预期内部控制有效）越测试【同向变动】

性质（即进一步审计程序的目的和类型）

类型：【7个子程序】分为两大类：实质性细节测试和控制测试

控制测试（客户做了什么，我们就审计什么）

内容

通过控制测试来确定内部控制的有效性，是指评价内部控制在防止或发现并纠正认定层次重大错报风险方面的运行有效性的审计程序

与“了解内部控制”进行区分

了解内部控制

评价控制的设计

确定控制是否得到执行

实施控制测试【最深】

”控制“在不同的时点是如何运行的

“控制”是否得到一贯、完整地执行

“控制”由谁以何种方式执行（人工控制or自动化控制）

控制测试的要求（何时进行控制测试）

预期控制测试是有效的【越信赖越测试】

仅仅实施实质性测试不足以提供认定层次充分适当的审计程序

控制测试的类型（“控制测试”与“了解内部控制”采用审计程序的类型相同）

询问、观察、检查、重新执行

实施实质性程序（细节测试+分析）的结果对控制测试结果的影响

没有发现某项认定存在错报，这本身不能说明与该认定有关的控制是有效运行的

发现某项认定存在错报，CPA应当在评价相关控制的运行有效性时予以考虑

控制测试的时间

控制测试的时间含义

何时实施控制测试

若测试特定时点的控制，CPA仅得到该时点控制运行有效性的审计证据

测试所针对的控制使用的时点或期间

测试某一期间的控制，CPA获取该期间控制有效性的审计证据

考虑期中实施的控制测试

具有积极作用，考虑将期中审计结果合理延伸至期末

该控制在剩余期间的变化情况

若未变化，可以继续信赖期中证据

若变化，需要进行了解和测试

确定剩余期间的补充审计证据

考虑以前审计获取的审计证据

本期变化

与本期相关，不影响审计证据【能用到就保留】

与本期不相关，在本期测试【用不上重新做】

本期未变化

减轻特别风险，不应依赖过往【每年都要做】

不属于特别风险，每三年至少测一次。 （应该将所有拟信赖控制的测试在三年内分开测试，而不是累计到一年测试）

控制测试的范围

1）【越信赖越测试】

2）【控制执行频率越高越测试】

3）【拟信赖控制运行有效性的时间长度越长越测试】

4）【控制的预期偏差率很高，说明内部控制无效，应直接执行实质性程序（细节测试）】

实质性程序’

内容

是指用于发现认定层次重大错报风险的审计程序，包括细节测试和实质性分析程序

一般要求

由于内部控制的固有局限性，无论评估的错报风险结果如何，都应当针对各类认定实施实质性程序

对特别风险的要求

若评估的认定层次重大错报风险是特别风险

实施实质性程序+控制测试

仅实施实质性程序

细节测试

细节测试+实质性分析程序

实质性分析程序（不允许）

分类

细节测试

含义：对交易、账户余额和披露的具体细节进行测试

适用性：认定的测试，尤其是对存在或发生、计价和分摊认定的测试

程序：检查、询问、观察、函证、重新计算

实质性分析程序

含义：研究数据之间的关系，识别相关认定是否存在错误

适用性：一段时间内存在可预期的大量交易

程序：分析程序

细节测试的方向

顺查

凭证/实物—账本

低估应对风险

测试的相关认定：完整性

逆查

账本—实物/凭证

高估应对风险

测试的相关认定：存在或发生

实质性程序的时间

考虑在期中实施实质性程序

将期中审计证据合理延伸至期末

方法

针对剩余期间实施进一步实质性程序

将实质性程序与控制程序结合使用

特别风险的考虑

将期中结论延伸至期末而实施的审计程序通常无效，考虑在期末或接近期末实施实质性程序

特别风险

含义

特别风险是风险评估的一部分，CPAer应当运用职业判断，确定识别的风险哪些是特别考虑的重大错报风险

考虑与特别风险相关的控制

评价该控制的设计情况，并确定其是否已经得到执行【实质性程序】

若被审计单位未实施控制应对特别风险，则认为该内部控制存在重大缺陷

若被审计单位实施控制应对特别风险，则每年都要进行测试

必须了解对应的控制

若拟信赖相关控制，则每年都要测试

若不信赖相关控制，则不需要测试

面对仅通过实质性程序无法应对的重大错报风险

（自动化）应考虑相关控制的有效性

tips:注册会计师在考虑特别风险时，不需要考虑的是“控制对相关风险的抵消效果” 需要考虑：“潜在错报的重大程度”、“错报发生的可能性”、“风险的性质”、

总体应对（财务报表层次重大错报风险的）

财务报表层次重大错报风险的总体应对措施

向项目组强调在收集和评价审计证据的过程汇总过程中保持职业怀疑态度的必要性

分派更有经验或具有特殊技能的审计人员，或利用专家的工作

提供更多的督导

增加审计程序的不可预见性

思路

对未测试过的低于重要性水平或风险较小的账户余额和认定实施实质性程序

调整审计程序的实施时间

采取不同的审计抽样方法，使之与之前不同

调整审计程序的实施地点，抑或不提前告知审计地点

对CPA的要求

事先与高管要求实施不可预见程序，但不告知具体内容

CPA可以在签订审计业务约定书时期明确提出这一要求

若控制环境存在缺陷，在增加审计程序预见性时应当考虑的因素

时间：在期末而不是期中实施审计程序

性质：通过实质性程序获得更广泛的审计证据

范围：增加拟纳入审计范围的经营地点

总体应对措施对实施进一步审计程序的总体审计方案的影响

内部控制

内部控制五要素

控制环境（氛围）

a对诚信和道德价值观念的沟通与落实（决定能否产生诚信和道德行为）

b对胜任能力的重视

c治理层的参与程度

d管理层的理念和经营风格

e组织结构及职权、责任分配

f人力资源政策与实务

风险评估过程

含义：是指客户自己对本单位风险的识别

信息系统与沟通

控制活动

含义：是企业内部的风险控制活动（确保指令能够得以执行的程序）eg：授权、业绩评价、实物控制、信息处理、职责分离

对控制的监督

含义：是指企业评价内部控制在一段时期内有效运行的过程（该过程包括及时评价控制的设计和运行，并采取必要的措施

固有局限【合理保证】

决策时的人为判断可能出现错误和失误，导致内控失效

可能由于两个或者更多的人员进行串通或者管理层凌驾于内部控制之上，导致内控失效

内部控制的类型

预防性控制【事前控制】

a目的：在流程中防止错报

b适用范围：正常业务流程的每一项交易

检查性控制【事后控制】

a目的：发现流程中可能出现的错报

b适用范围：不适用于业务流层中的所有交易，而是用于一般业务以外的已经过处理或部分处理的某类交易，可能一年只运行几次。eg：每月进行的账账核对