审计风险评估与审计测试教学课件PPT.ppt

第六章 审计风险评估与审计测试,第一节 风险评估程序 第二节 了解被审计单位的内部控制 第三节 重大错报风险的识别与评估 第四节 进一步审计程序,第一节 风险评估程序,一、风险评估程序的含义 为了解被审计单位及其环境而实施的程序称为“风险评估程序”。 注册会计师了解被审计单位及其环境，目的是为了识别和评估财务报表重大错报风险。 1.了解被审计单位及其环境是必要程序。 2.了解的目的是识别和评估财务报表重大错报风险，设计和实施进一步审计程序。 3.了解的程度应当足够实现了解的目的。,二、风险评估程序的基本方法 （一）询问被审计单位管理层和内部其他相关人员 1.询问管理层 2.询问治理层 3.询问内部审计人员 4.询问参与生成、处理或记录复杂或异常交易的人员 5.询问内部法律顾问 6.询问营销或销售人员 7.询问采购人员和生产人员 8.询问仓库人员,（二）分析程序 分析程序是指注册会计师通过研究不同财务数据之间以及财务数据与非财务数据之间的内在关系，对财务信息做出评价。分析程序还包括调查识别出的与其他相关信息不一致或与预期数据严重偏离的波动和关系。 分析程序可用做风险评估程序，也可用来对财务报表进行总体复核。注册会计师实施分析程序有助于识别异常的交易或事项，以及对财务报表和审计产生影响的金额、比率和趋势。,（三）观察和检查 观察和检查程序可以印证对管理层和其他相关人员的询问结果，并可提供有关被审计单位及其环境的信息。 1.观察被审计单位的生产经营活动。 2.检查文件、记录和内部控制手册。 3.阅读由管理层和治理层编制的报告。 4.实地查看被审计单位的生产经营场所和设备。 5.追踪交易在财务报告信息系统中的处理程序（穿行测试）。,（四）其他审计程序 注册会计师可以通过实施其他审计程序从被审计单位外部获取信息。如询问被审计单位聘请的外部法律顾问、专业评估师、投资顾问和财务顾问等。 外部信息包括证券分析师、银行、评级机构出具的有关被审计单位及其所处行业的经济或市场环境等状况的报告，贸易与经济方面的报纸期刊，法规或金融出版物，以及政府部门或民间组织发布的行业报告和统计数据等。,三、了解被审计单位及其环境 （一）了解的必要性 了解被审计单位及其环境为注册会计师在下列关键环境作出职业判断提供重要基础： 1.确定重要性水平 2.考虑会计政策选择和运用的恰当性 3.识别需要特别考虑的领域 4.确定在实施分析程序时所使用的预期值 5.设计和实施进一步审计程序 6.评价所获取审计证据的充分性和适当性,（二）了解的程度 了解被审计单位及其环境是一个连续和动态地收集、更新与分析信息的过程，贯穿于整个审计过程的始终。 注册会计师对被审计单位及其环境的了解应当足以识别和评估财务报表的重大错报风险，设计和实施进一步审计程序。 注册会计师对被审计单位了解的程度，要低于管理层对被审计单位了解的程度。,（三）了解的主要内容 1.行业状况、法律环境与监管环境以及其他外部因素 （1）行业状况：所处行业的市场供求与竞争；生产经营的季节性和周期性；产品生产技术的变化；能源供应与成本；行业的关键指标和统计数据。 （2）法律环境及监管环境：使用的会计准则、会计制度和行业特定惯例；对经营活动产生重大影响的法律法规及监管活动；对开展业务产生重大影响的政府政策；与被审计单位所处行业和所从事经营活动相关的环保要求 （3）其他外部因素：宏观经济的景气程度；利率和资金供求状况；通货膨胀水平及币值变动；国际经济环境和汇率变动。,2.被审计单位的性质 （1）所有权结构；（2）治理结构；（3）组织结构；（4）经营活动；（5）投资活动；（6）筹资活动 3.被审计单位对会计政策的选择和运用 （1）重要项目的会计政策和行业惯例； （2）重大和异常交易的会计处理方法； （3）在新领域或缺乏权威性标准的领域，采用重要会计政策产生的影响； （4）会计政策的变更； （5）被审计单位何时采用以及如何采用新颁布的会计准则和相关会计制度。,4.被审计单位的目标、战略以及相关经营风险 （1）目标、战略与经营风险 （2）经营风险对重大错报风险的影响 （3）被审计单位的风险评估过程 5.被审计单位财务业务的衡量和评价 注册会计师应当了解被审计单位财务业绩的衡量和评价情况，考虑这种压力是否可能导致管理层采取行动，以致增加财务报表发生重大错报的风险。,四、实施风险评估程序 （一）查阅以前年度的审计工作底稿 （二）询问被审计单位管理层和员工 （三）查阅内部与外部的信息资料 （四）与项目组成员或熟悉被审计单位所处行业的其他人员讨论 （五）实地查看被审计单位的主要生产经营场所 （六）运用分析程序,第二节 了解被审计单位的内部控制,一、内部控制概述 （一）内部控制的内涵 内部控制是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计和执行的政策和程序。 1.内部控制的目标是合理保证； 2.设计和实施内部控制的责任主体是治理层、管理层和其他人员，组织对内部控制负有责任。 3.实现内部控制目标的手段是设计和执行控制政策和程序。,（二）与审计相关的控制 1.为实现财务报告可靠性目标设计和实施的控制 （1）注册会计师确定的重要性水平 （2）被审计单位的性质 （3）被审计单位的规模 （4）被审计单位经营的多样性和复杂性 （5）法律法规和监管要求 （6）作为内部控制组成部分的系统的性质和复杂性,2.其他与审计相关的内部控制 （1）如果在设计和实施进一步审计程序时拟利用被审计单位内部生成的信息，注册会计师应当考虑用以保证该信息完整性和准确性的控制可能与审计相关。 （2）如果用以保证经营效率、效果的控制以及对法律法规遵守的控制与实施审计程序时评价或使用的数据相关，注册会计师应当考虑这些控制可能与审计相关。 （3）用以保护资产的内部控制可能包括与实现财务报告可靠性和经营效率、效果目标相关的控制。,（三）对内部控制了解的深度 1.评价控制的设计。 2.获取控制设计和执行的审计证据。实施的风险评估程序为： （1）询问被审计单位的人员 （2）观察特定控制的运用 （3）检查文件和报告 （4）追踪交易在财务报告信息系统中的处理过程（穿行测试） 3.了解内部控制与测试控制运行有效性的关系,（四）内部控制的人工和自动化成分 1.考虑内部控制的人工和自动化特征及其影响 2.与信息技术相关的内部控制风险 如：系统未能正确处理数据；未经授权情况下访问数据；越权访问数据；未经授权改变主文档数据；未经授权改变系统或程序；不恰当的人为干预；数据丢失的风险或不能访问所需要数据等 3.与人工控制相关的内部控制风险 （1）人工控制可能容易被规避、忽视或凌驾； （2）人工控制可能不具有一贯性； （3）人工控制可能更容易产生简单错误或失误。,（五）内部控制的局限性 1.在决策时人为判断可能出现错误和由于人为失误而导致内控制制失效。 2.可能由于两个或更多的人员进行串通或管理层凌驾于内部控制之上而被规避。 3.如果被审计单位内部控制行使控制职能的人员素质不适应岗位要求，也会影响内部控制功能的正常发挥。 4.被审计单位实施内部控制的成本效益问题也会影响其使用。 5.内部控制一般都是针对经常而重复发生的业务而设置的。,二、内部控制的要素 控制环境 风险评估过程 信息系统与沟通 控制活动 对控制的监督,三、了解和评估控制环境 （一）控制环境的含义 控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施 （二）控制环境的构成要素 1.对诚信和道德价值观念的沟通与落实 2.对胜任能力的重视 3.治理层的参与程度 4.管理层的理念和经营风格 5.组织结构及职权与责任的分配 6.人力资源政策与实务,（三）了解控制环境的程序 了解控制环境的程序主要有询问、观察和检查等。注册会计师应当将询问、观察和检查等综合运用以获取审计证据。 （四）考虑控制环境的总体优势及缺陷 控制环境对重大错报风险的评估具有广泛影响，注册会计师应当考虑控制环境的总体优势是否为内部控制的其他要素提供了适当的基础，而且未被控制环境中存在的缺陷所削弱。 （五）考虑控制环境与其他控制要素的综合作用,四、了解与评估被审计单位的风险评估过程 （一）被审计单位面临的风险及风险评估过程 可能产生风险的事项和情形包括： 1.监管及经营环境的变化；2.新员工的加入； 3.新信息系统或对原信息系统进行升级； 4.业务快速发展；5.新技术； 6.新生产型号、产品和业务活动7.企业重组； 8.发展海外经营；9.新的会计准则 （二）评价风险过程的设计与执行 （三）向管理层询问识别出的经营风险,五、了解被审计单位的信息系统与沟通 （一）与财务报告相关的信息系统的含义 与财务报告相关的信息系统，包括用以生成、记录、处理和报告交易、事项和情况，对相关资产、负债和所有者权益履行经营管理责任的程序和记录。 交易可能通过人工或自动化程序生成。记录包括识别和收集与交易、事项有关的信息。处理包括编辑、核对、计量、估价、汇总和调节活动，可能由人工或自动化程序来执行。报告是指用电子或书面形式编制财务报告和其他信息，供被审计单位用于衡量和考核财务及其他方面的业绩。,（二）了解与财务报告相关的信息系统 1.在被审计单位经营过程中，对财务报表具有重大影响的各类交易。 2.在信息技术和人工系统中，对交易生成、记录、处理和报告的程序。 3.与交易生成、记录、处理和报告有关的会计记录、支持性信息和财务报表中的指定项目。 4.信息系统如何获取除各类交易之外的对财务报表具有重大影响的事项。 5.被审计单位编制财务报告的过程。 6.管理层凌驾于账户记录控制之上的风险。 （三）与财务报告相关的沟通,六、了解控制活动 （一）控制活动的含义 控制活动是指有助于确保管理层的指令得以执行的政策和程序。 1.授权 2.业绩评价 3.信息处理 4.实物控制 5.职责分离 （二）对控制活动的了解,七、了解对控制的监督 （一）对控制的监督的含义 对控制的监督是指被审计单位评价内部控制在一段时间内运行有效性的过程。该过程包括及时评价控制的设计和运行，以及根据情况的变化采取必要的纠正措施。 （二）了解对控制的持续监督和专门评价 是否定期评价内部控制；能够在多大程度上获取内部控制是否有效运行的证据；与外部沟通能否证实内部产生的信息或支出支出的问题；是否采纳专业人员的建议；是否及时纠正控制运行中的偏差等,八、就内部控制重大缺陷与治理层和管理层的沟通 （一）职业判断时应考虑的因素 内部控制的5个要素都可能存在控制缺陷，在了解和测试内部控制的过程中发现的偏差是否构成重大缺陷，取决于偏差的性质、频率和后果。 （二）表明内部控制存在重大缺陷的情形 1.注册会计师在审计工作中发现了重大错报，而被审计单位的内部控制没有发现这些重大错报。 2.控制环境薄弱。 3.存在高层管理人员舞弊迹象（无论涉及金额大小）。,第三节 重大错报风险的识别与评估,一、可能表明被审计单位存在重大错报风险的事项和情况 在经济不稳定的国家或地区开展业务；在高度波动的市场开展业务；在严厉、复杂的监管环境中开展业务；持续经营和资产流动性出现问题；融资能力受到限制；行业环境发生变化；供应链发生变化；开发新产品或提供新服务，或进入新的业务领域；开辟新的经营场所；发生重大收购、重组或其它非经常性事项等,二、识别和评估重大错报风险的审计程序 （一）识别风险并将其与各类交易、账户余额和列报相联系 （二）将识别的风险与认定层次可能发生错报的领域相联系 （三）考虑识别的风险是否重大 （四）考虑识别的风险导致财务报表发生重大错报的可能性,三、特别风险的识别与评估 （一） 确定特别风险时应考虑的事项 风险是否属于舞弊风险；风险是否与近期经济环境、会计处理方法和其他方面的重大变化有关；交易的复杂程度；财务信息计量的主观程度；风险是否涉及异常或超出正常经营的重大交易。 （二）非常规交易和判断事项导致的特别风险 非常规交易：管理层过多地介入会计处理；数据收集和处理涉及更多的人工成分；复杂的计算或会计处理方法等；判断事项：涉及会计估计、收入确认方面的会计原则理解；涉及主观和复杂的，或需要对未来事项作出假设。 （三）考虑与特别风险相关的控制,四、仅通过实质性程序无法应对的重大错报风险 如果仅通过实质性程序获取的审计证据无法将认定层次的重大错报风险降至可接受的低水平，注册会计师应当评价被审计单位针对这些风险设计的控制，并确定其执行情况。 在被审计单位对日常交易采用高度自动化处理的情况下，审计证据可能仅以电子形式存在，其充分性和适当性通常取决于自动化信息系统相关控制的有效性，注册会计师应当考虑仅通过实质性程序不能获取充分、适当审计程序的可能性。,五、其他应该考虑的问题 （一）确定重大错报风险对财务报表层次和认定层次的相关性 （二）分析控制环境对评估财务报表层次重大错报风险的影响 通常与财务报表层次的重大错报风险有关 （三）分析控制对评估认定层次重大错报风险的影响 通常与交易账户余额和认定层次重大错报风险有关 （四）考虑财务报表的可审性 可能导致出具保留或无法表示意见的审计报告；必要时应当考虑解除业务约定。,六、对风险评估的修正 评估重大错报风险与了解被审计单位及其环境一样，也是一个连续和动态的收集更新与分析信息的过程，贯穿于整个审计过程的始终。注册会计师对认定层次重大错报风险的评估应以获取的审计证据为基础，并可能随着不断获取审计证据而作出相应的变化。,第四节 进一步审计程序,进一步审计程序包括控制测试和实质性程序。 一、针对财务报表层次重大错报风的总体应对措施及实施方案 （一）总体应对措施 1.向项目组强调在收集和评价审计证据过程中保持职业怀疑态度的必要性。 2.分派更有经验或具有特殊技能的审计人员，或利用专家的工作。 3.提供更多的督导。,4.在选择进一步审计程序时，应当注意使某些审计程序不被被审计单位管理层预见或事先了解。 对某些未测试过的低于设定重要性水平或风险较小的账户余额和认定实施审计程序；调整实施审计程序的时间，使被审计单位不可预期；采取不同的审计抽样方法；选取不同的地点实施审计程序，或预先不告知被审计单位所选定的测试地点。 5.对拟实施审计程序的性质、时间和范围作出总体修改。 在期末而非期中实施更多的审计程序；主要依赖实质性程序获取审计证据；修改审计程序的性质，获取更具说服力的审计证据；扩大审计程序的范围。,（二）设计进一步审计程序时应考虑的因素 1.风险的重要性 2.重大错报发生的可能性 3.涉及的各类交易、账户余额和列报的特征 4.被审计单位采用的特定控制的性质 5.注册会计师是否拟获取审计证据，以确定内部控制在防止或发现并纠正重大错报方面的有效性 （三）拟实施进一步审计程序的总体方案 包括实质性方案和综合性方案。实质性方案实质注册会计师实施进一步审计程序以实质性程序为主；而综合性方案是将控制测试与实质性程序结合使用,二、控制测试 （一）控制测试的含义 控制测试指的是测试控制运行的有效性。 测试控制运行的有效性与确定控制是否得到执行所需获取的审计证据是不同的。其主要表现在： 1.在实施风险评估程序以获取控制是否得到执行的审计程序时，注册会计师应当确定某项控制是否存在、被审计单位是否正在使用。 2.在测试控制运行的有效性时，注册会计师应当在下列方面获取控制是否有效运行的审计证据：控制是如何运行的；控制是否得到一贯执行；控制由谁执行；控制以何种方式运行。,（二）控制测试的要求 当存在以下情形时，注册会计师应当实施控制测试：在评估认定层次重大错报风险时，预期控制的运行是有效的；仅实施实质性程序不足以提供认定层次充分、适当的审计证据。 对于，注册会计师应当实施控制测试，就控制在相关期间或时点的运行有效性获取充分、适当的审计证据。 对于，注册会计师必须实施控制测试，且这种测试并非出于成本效益的考虑，而是必须获取的一类审计证据。,（三）控制测试的性质 控制测试的性质是指控制测试所使用的审计程序的类型及其组合。 1.控制测试的类型 （1）询问； （2）观察； （3）检查； （4）重新执行； （5）穿行测试 询问和观察本身不足以测试控制运行的有效性，注册会计师应当与其他审计程序结合使用，以获取有关控制运行有效性的审计证据。,2.确定控制测试的性质时的要求 计划从控制测试中获取的保证水平是决定控制测试性质的主要因素之一。 （1）考虑特定控制的性质。 （2）考虑测试与认定直接相关和间接相关的控制。 （3）针对自动化应用控制实施的测试。 （4）实施控制测试时对双重目的的实现。 （5）实质性程序的结果对控制测试结果的影响。,（四）控制测试的时间 控制测试时间的含义：一是何时实施控制测试；二是测试所针对的控制适用的时点或期间。 1.确定控制测试时间的基本原理 如果测试特点时点的控制，注册会计师仅得到该时点控制运行有效性的审计证据；如果需要获取控制在某一期间有效运行的审计证据，仅获取与时点相关的审计证据是不充分的，而应当辅以其他控制测试，包括测试被审计单位对控制的监督。,2.如何考虑期中审计证据 如果已获取有关控制在期中运行有效性的审计证据，并拟利用该证据，注册会计师应当实施下列审计程序： （1）获取这些控制在剩余期间变化情况的审计证据。 （2）确定针对剩余期间还需要获取的补充审计证据。考虑的因素包括：评估的认定层次重大错报风险的重大程度；在期中测试的特定控制；在期中对有关控制运行有效性的审计证据的程度；剩余期间的长度；在信赖控制的基础上拟减少进一步审计程序的范围；控制环境。,3.如何考虑前期获取的审计证据 如果拟信赖的控制自上次测试未发生变化，且不属于旨在减轻特别风险的控制，注册会计师应当运用职业判断确定是否在本期审计中测试其运行的有效性，以及本次测试与上次测试的时间间隔，但两次测试的时间间隔不得超过两年。 （1）内部控制其他要素的有效性 （2）控制特征产生的风险 （3）信息技术一般控制的有效性 （4）控制设计及其运行的有效性 （5）由于环境发生变化导致的风险 （6）重大错报的风险和对控制的拟信赖程度,4.不得依赖以前审计所获取证据的情形 鉴于特别风险的特殊性，对于旨在减轻特别风险的控制，不论该控制在本期是否发生变化，注册会计师都不应依赖以前审计获取的证据，而应在本期审计中测试这些控制的运行有效性。,（五）控制测试的范围 控制测试的范围是指某些控制活动的测试次数。 1.确定控制测试范围的一般考虑因素 （1）在整个拟信赖的期间，被审计单位执行控制的频率 （2）在所审期间，注册会计师拟信赖控制运行有效性的时间长度 （3）为证实控制能够防止或发现并纠正认定层次重大错报，所获取审计证据的相关性和可靠性。 （4）通过测试与认定相关其他控制获取的审计证据的范围 （5）在风险评估时拟信赖控制运行有效性的程度 （6）控制的预期偏差,2.对自动化控制的测试范围的特别考虑 信息技术处理具有内在一贯性，除非系统发生变动，一项自动化应用控制应当一贯运行。对于一项自动化应用控制，一旦确定被审计单位正在执行该控制，注册会计师通常无需扩大控制测试的范围，但需考虑执行下列测试以确定控制持续有效运行： （1）测试与该应用控制有关的一般控制的运行有效性 （2）确定系统是否发生更改，如果发生更改，是否存在适当的系统更改控制 （3）确定对交易的处理是否使用授权批准的软件版本,三、实质性程序 （一）实质性程序的含义 实质性程序是指注册会计师针对评估的重大错报风险实施的直接用以发现认定层次重大错报的审计程序，包括对各类交易、账户余额、列报的细节测试以及实质性分析程序。 （二）实施实质性程序的总体要求 1.将财务报表与其所依据的会计记录相核对； 2.检查财务报表编制过程中做出的重大会计分录和其他会计调整。 如果认为评估的重大错报风险是特别风险，注册会计师应当专门针对该风险实施实质性程序。,（三）实质性程序的性质 实质性程序的性质是指实质性程序的类型及其组合 1.细节测试 适用于对各类交易、账户余额、列报认定的测试，尤其是对存在或发生、计价认定的测试。 2.实质性分析程序 注册会计师在设计实质性分析程序时应考虑： 1）对特定认定使用实质性分析程序的适当性 2）对已记录的金额或比率做出预期时，依据的内部或外部数据的可靠性3）做出预期的准确程度是否足以在计划的保证水平上识别重大错报 4）已记录金额与预期值之间可接受的差异额,（四）实施实质性程序的时间 1.如何考虑是否在期中实施实质性程序 1）控制环境和其他相关的控制 2）实施审计程序所需信息在期中之后的可获得性 3）实质性程序的目标 4）评估的重大错报风险 5）各类交易或账户余额以及相关认定的性质 6）针对剩余期间，能否通过实质性程序或将实质性程序与控制测试相结合，降低期末存在错报而未被风险的风险,2.如何考虑期中审计证据 1）针对剩余期间实施进一步的实质性程序； 2）将实质性程序和控制测试结合使用。 3.如何考虑以前审计获取的审计证据 在以前审计中实施实质性程序所获取的审计证据，通常对本期只有很弱的证据效力或没有证据效力，不足以应对本期的重大错报风险。 如果拟利用审计中实施实质性程序获取的审计证据，注册会计师应当在本期实施审计程序，以确定这些审计证据是否具有持续相关性。,（五）实质性程序的范围 注册会计师在确定实质性程序的范围时，应当考虑评估的认定层次重大错报风险和实施控制测试的结果。注册会计师评估的认定层次重大错报风险越高，需要实施实质性程序的范围越广。如果对控制测试结果不满意，应当考虑扩大实质性程序的范围。 实质性分析程序的范围有两次含义：一是对什么层次上的数据进行分析；二是需要对审计幅度或性质的偏差展开进一步调查。,