1、 二、关于计划审计工作 注册会计师应当贯彻风险导向审计的思路，恰当地计划内部控制审计工作，制订总体审计策略和具体审计计划。（一）总体审计策略注册会计师应当在总体审计策略中体现下列内容：（1）确定内部控制审计业务特征，以界定审计范围。例如，被3（2）明确内部控制审计业务的报告目标，以计划审计的时间安排和所需沟通的性质。例如，被审计单位对外公布或报送内部控制审 计报告的时间、注册会计师与管理层和治理层讨论内部控制审计工作 的性质、时间安排和范围，注册会计师与管理层和治理层讨论拟出具 内部控制审计报告的类型和时间安排以及沟通的其他事项等。（3）根据职业判断，考虑用以指导项目组工作方向的重要因素。 例
2、如，财务报表整体的重要性和实际执行的重要性、初步识别的可能 存在重大错报的风险领域、内部控制最近发生变化的程度、与被审计 单位沟通过的内部控制缺陷、对内部控制有效性的初步判断、信息技 术和业务流程的变化等。（4）考虑初步业务活动的结果，并考虑对被审计单位执行其他 业务时获得的经验是否与内部控制审计业务相关（如适用）。（5）确定执行内部控制审计业务所需资源的性质、时间安排和计的范围。入内部控制评价范围，注册会计师可以不将这些实体纳入内部控制审如果法律法规的相关豁免规定允许被审计单位不将某些实体纳当确定是否有必要对与这些实体或业务相关的控制实施测试。体，以及在基准日作为终止经营进行会计处理的业务。
3、注册会计师应（最近一个会计期间截止日，以下简称基准日）或在此之前收购的实内部控制审计范围应当包括被审计单位在内部控制评价基准日被投资方的内部控制。益法下相关会计处理而实施的内部控制，但通常不包括针对权益法下对于按照权益法核算的投资，内部控制审计范围应当包括针对权4范围。例如，项目组成员的选择以及对项目组成员审计工作的分派，项目时间预算等。（二）具体审计计划注册会计师应当在具体审计计划中体现下列内容：（1）了解和识别内部控制的程序的性质、时间安排和范围；（2）测试控制设计有效性的程序的性质、时间安排和范围；（3）测试控制运行有效性的程序的性质、时间安排和范围。（三）对应对舞弊风险的考虑在计划和实
4、施内部控制审计工作时，注册会计师应当考虑财务报 表审计中对舞弊风险的评估结果。在识别和测试企业层面控制以及选 择其他控制进行测试时，注册会计师应当评价被审计单位的内部控制 是否足以应对识别出的、由于舞弊导致的重大错报风险，并评价为应 对管理层和治理层凌驾于控制之上的风险而设计的控制。被审计单位为应对这些风险可能设计的控制包括：（1）针对重大的非常规交易的控制，尤其是针对导致会计处理 延迟或异常的交易的控制；（2）针对期末财务报告流程中编制的分录和作出的调整的控制；（3）针对关联方交易的控制；（4）与管理层的重大估计相关的控制；（5）能够减弱管理层和治理层伪造或不恰当操纵财务结果的动 机和压力的
5、控制。如果在内部控制审计中识别出旨在防止或发现并纠正舞弊的控 制存在缺陷，注册会计师应当按照中国注册会计师审计准则第 1141号财务报表审计中与舞弊相关的责任的规定，在财务报表审计中制定重大错报风险的应对方案时考虑这些缺陷。三、关于实施审计工作（一）采用自上而下的方法 注册会计师应当采用自上而下的方法选择拟测试的控制。 自上而下的方法始于财务报表层次，以注册会计师对内部控制整体风险的了解开始，然后，将关注重点放在企业层面的控制上，并将 工作逐渐下移至重要账户、列报及其相关认定。随后，验证其对被审 计单位业务流程中风险的了解，并选择能足以应对评估的每个相关认 定的重大错报风险的控制进行测试。自上
6、而下的方法分为下列步骤：（1）从财务报表层次初步了解内部控制整体风险；（2）识别、了解和测试企业层面控制；（3）识别重要账户、列报及其相关认定；（4）了解潜在错报的来源并识别相应的控制；（5）选择拟测试的控制。 本部分第（二）至（五）对自上而下的方法的各个步骤进行了规定，第（六）至（十三）对控制有效性测试进行了规定。（二）识别、了解和测试企业层面控制注册会计师应当识别、了解和测试对内部控制有效性有重要影响 的企业层面控制。注册会计师对企业层面控制的评价，可能增加或减 少本应对其他控制进行的测试。1. 企业层面控制对其他控制及其测试的影响不同的企业层面控制在性质和精确度上存在差异，注册会计师应
7、当从下列方面考虑这些差异对其他控制及其测试的影响：56（1）某些企业层面控制，如与控制环境相关的控制，对及时防止或发现并纠正相关认定的错报的可能性有重要影响。虽然这种影响 是间接的，但这些控制仍然可能影响注册会计师拟测试的其他控制， 以及测试程序的性质、时间安排和范围。（2）某些企业层面控制旨在识别其他控制可能出现的失效情况， 能够监督其他控制的有效性，但还不足以精确到及时防止或发现并纠 正相关认定的错报。当这些控制运行有效时，注册会计师可以减少对 其他控制的测试。（3）某些企业层面控制本身能够精确到足以及时防止或发现并 纠正相关认定的错报。如果一项企业层面控制足以应对已评估的错报 风险，注册
8、会计师就不必测试与该风险相关的其他控制。2. 企业层面控制的内容企业层面控制包括下列内容：（1）与控制环境（即内部环境）相关的控制；（2）针对管理层和治理层凌驾于控制之上的风险而设计的控制；（3）被审计单位的风险评估过程；（4）对内部信息传递和期末财务报告流程的控制；（5）对控制有效性的内部监督（即监督其他控制的控制）和内 部控制评价。此外，集中化的处理和控制（包括共享的服务环境）、监控经营 成果的控制以及针对重大经营控制及风险管理实务的政策也属于企 业层面控制。3. 对期末财务报告流程的评价期末财务报告流程对内部控制审计和财务报表审计有重要影响，7注册会计师应当对期末财务报告流程进行评价。期
9、末财务报告流程包括：（1）将交易总额登入总分类账的程序；（2）与会计政策的选择和运用相关的程序；（3）总分类账中会计分录的编制、批准等处理程序；（4）对财务报表进行调整的程序；（5）编制财务报表的程序。注册会计师应当从下列方面评价期末财务报告流程：（1）被审计单位财务报表的编制流程，包括输入、处理及输出；（2）期末财务报告流程中运用信息技术的程度；（3）管理层中参与期末财务报告流程的人员；（4）纳入财务报表编制范围的组成部分；（5）调整分录及合并分录的类型；（6）管理层和治理层对期末财务报告流程进行监督的性质及范 围。（三）识别重要账户、列报及其相关认定注册会计师应当基于财务报表层次识别重要账
10、户、列报及其相关 认定。如果某账户或列报可能存在一个错报，该错报单独或连同其他错 报将导致财务报表发生重大错报，则该账户或列报为重要账户或列 报。判断某账户或列报是否重要，应当依据其固有风险，而不应考虑 相关控制的影响。如果某财务报表认定可能存在一个或多个错报，这些错报将导致财务报表发生重大错报，则该认定为相关认定。判断某认定是否为相8关认定，应当依据其固有风险，而不应考虑相关控制的影响。为识别重要账户、列报及其相关认定，注册会计师应当从下列方 面评价财务报表项目及附注的错报风险因素：（1）账户的规模和构成；（2）易于发生错报的程度；（3）账户或列报中反映的交易的业务量、复杂性及同质性；（4）
11、账户或列报的性质；（5）与账户或列报相关的会计处理及报告的复杂程度；（6）账户发生损失的风险；（7）账户或列报中反映的活动引起重大或有负债的可能性；（8）账户记录中是否涉及关联方交易；（9）账户或列报的特征与前期相比发生的变化。 在识别重要账户、列报及其相关认定时，注册会计师还应当确定重大错报的可能来源。注册会计师可以通过考虑在特定的重要账户 或列报中错报可能发生的领域和原因，确定重大错报的可能来源。在内部控制审计中，注册会计师在识别重要账户、列报及其相关 认定时应当评价的风险因素，与财务报表审计中考虑的因素相同。因 此，在这两种审计中识别的重要账户、列报及其相关认定应当相同。 如果某账户或列
12、报的各组成部分存在的风险差异较大，被审计单 位可能需要采用不同的控制以应对这些风险，注册会计师应当分别予以考虑。（四）了解潜在错报的来源并识别相应的控制注册会计师应当实现下列目标，以进一步了解潜在错报的来源， 并为选择拟测试的控制奠定基础：9（1）了解与相关认定有关的交易的处理流程，包括这些交易如何生成、批准、处理及记录；（2）验证注册会计师识别出的业务流程中可能发生重大错报（包 括由于舞弊导致的错报）的环节；（3）识别被审计单位用于应对这些错报或潜在错报的控制；（4）识别被审计单位用于及时防止或发现并纠正未经授权的、 导致重大错报的资产取得、使用或处臵的控制。注册会计师应当亲自执行能够实现上
13、述目标的程序，或对提供直 接帮助的人员的工作进行督导。穿行测试通常是实现上述目标的最有效方式。穿行测试是指追踪 某笔交易从发生到最终被反映在财务报表中的整个处理过程。注册会 计师在执行穿行测试时，通常需要综合运用询问、观察、检查相关文 件及重新执行等程序。在执行穿行测试时，针对重要处理程序发生的环节，注册会计师 可以询问被审计单位员工对规定程序及控制的了解程度。实施询问程 序连同穿行测试中的其他程序，可以帮助注册会计师充分了解业务流 程，识别必要控制设计无效或出现缺失的重要环节。为有助于了解业 务流程处理的不同类型的重大交易，在实施询问程序时，注册会计师 不应局限于关注穿行测试所选定的单笔交易
14、。（五）选择拟测试的控制注册会计师应当针对每一相关认定获取控制有效性的审计证据， 以便对内部控制整体的有效性发表意见，但没有责任对单项控制的有 效性发表意见。注册会计师应当对被审计单位的控制是否足以应对评估的每个10相关认定的错报风险形成结论。因此，注册会计师应当选择对形成这一评价结论具有重要影响的控制进行测试。 对特定的相关认定而言，可能有多项控制用以应对评估的错报风险；反之，一项控制也可能应对评估的多项相关认定的错报风险。注 册会计师没有必要测试与某项相关认定有关的所有控制。在确定是否测试某项控制时，注册会计师应当考虑该项控制单独 或连同其他控制，是否足以应对评估的某项相关认定的错报风险，
15、而 不论该项控制的分类和名称如何。（六）测试控制设计的有效性 注册会计师应当测试控制设计的有效性。 如果某项控制由拥有有效执行控制所需的授权和专业胜任能力的人员按规定的程序和要求执行，能够实现控制目标，从而有效地防 止或发现并纠正可能导致财务报表发生重大错报的错误或舞弊，则表 明该项控制的设计是有效的。（七）测试控制运行的有效性 注册会计师应当测试控制运行的有效性。 如果某项控制正在按照设计运行、执行人员拥有有效执行控制所需的授权和专业胜任能力，能够实现控制目标，则表明该项控制的运 行是有效的。如果被审计单位利用第三方的帮助完成一些财务报告工作，注册 会计师在评价负责财务报告及相关控制的人员的
16、专业胜任能力时，可 以一并考虑第三方的专业胜任能力。注册会计师获取的有关控制运行有效性的审计证据包括：（1）控制在所审计期间的相关时点是如何运行的；11（2）控制是否得到一贯执行；（3）控制由谁或以何种方式执行。（八）与控制相关的风险和拟获取的审计证据之间的关系在测试所选定控制的有效性时，注册会计师应当根据与控制相关 的风险，确定所需获取的审计证据。与控制相关的风险包括一项控制可能无效的风险，以及如果该控 制无效，可能导致重大缺陷的风险。与控制相关的风险越高，注册会 计师需要获取的审计证据就越多。下列因素影响与某项控制相关的风险：（1）该项控制拟防止或发现并纠正的错报的性质和重要程度；（2）相
17、关账户、列报及其认定的固有风险；（3）交易的数量和性质是否发生变化，进而可能对该项控制设 计或运行的有效性产生不利影响；（4）相关账户或列报是否曾经出现错报；（5）企业层面控制（特别是监督其他控制的控制）的有效性；（6）该项控制的性质及其执行频率；（7）该项控制对其他控制（如控制环境或信息技术一般控制） 有效性的依赖程度；（8）执行该项控制或监督该项控制执行的人员的专业胜任能力， 以及其中的关键人员是否发生变化；（9）该项控制是人工控制还是自动化控制；（10）该项控制的复杂程度，以及在运行过程中依赖判断的程度。（九）测试控制有效性的程序注册会计师通过测试控制有效性获取的审计证据，取决于其实施1
18、2程序的性质、时间安排和范围的组合。此外，就单项控制而言，注册会计师应当根据与控制相关的风险对测试程序的性质、时间安排和范 围进行适当的组合，以获取充分、适当的审计证据。注册会计师测试控制有效性的程序，按其提供审计证据的效力， 由弱到强排序通常为：询问、观察、检查和重新执行。询问本身并不 能为得出控制是否有效的结论提供充分、适当的审计证据。测试控制有效性的程序，其性质在很大程度上取决于拟测试控制 的性质。某些控制可能存在反映控制有效性的文件记录，而另外一些 控制，如管理理念和经营风格，可能没有书面的运行证据。对缺乏正式的控制运行证据的被审计单位或业务单元，注册会计 师可以通过询问并结合运用其他
19、程序，如观察活动、检查非正式的书 面记录和重新执行某些控制，获取有关控制是否有效的充分、适当的 审计证据。注册会计师在测试控制设计的有效性时，应当综合运用询问适当 人员、观察经营活动和检查相关文件等程序。注册会计师执行穿行测 试通常足以评价控制设计的有效性。注册会计师在测试控制运行的有效性时，应当综合运用询问适当 人员、观察经营活动、检查相关文件以及重新执行等程序。（十）控制测试的涵盖期间对控制有效性的测试涵盖的期间越长，提供的控制有效性的审计 证据越多。单就内部控制审计业务而言，注册会计师应当获取内部控制在基 准日之前一段足够长的期间内有效运行的审计证据。在整合审计中，控制测试所涵盖的期间应
20、当尽量与财务报表审计中拟信赖内部控制的期间保持一致。注册会计师执行内部控制审计业务旨在对基准日内部控制有效 性出具报告。如果已获取有关控制在期中运行有效性的审计证据，注 册会计师应当确定还需要获取哪些补充审计证据，以证实剩余期间控 制的运行情况。在将期中测试结果更新至基准日时，注册会计师应当 考虑下列因素以确定需要获取的补充审计证据：（1）基准日之前测试的特定控制，包括与控制相关的风险、控 制的性质和测试的结果；（2）期中获取的有关审计证据的充分性和适当性；（3）剩余期间的长短；（4）期中测试之后，内部控制发生重大变化的可能性。 针对所有重要账户和列报的每个相关认定，注册会计师应当获取控制有效
21、性的审计证据。中国注册会计师审计准则第 1231 号针 对评估的重大错报风险采取的应对措施第十四条提及的“三年轮换 测试”不适用（本意见第四部分提及的与基准相比较的策略除外）。（十一）控制测试的时间安排对控制有效性测试的实施时间越接近基准日，提供的控制有效性 的审计证据越有力。为了获取充分、适当的审计证据，注册会计师应 当在下列两个因素之间作出平衡，以确定测试的时间：（1）尽量在接近基准日实施测试；（2）实施的测试需要涵盖足够长的期间。 整改后的内部控制需要在基准日之前运行足够长的时间，注册会计师才能得出整改后的内部控制是否有效的结论。因此，在接受或保持内部控制审计业务时，注册会计师应当尽早与
22、被审计单位沟通这一1325-60大于 250 次每天多次20-40250每天 1 次5-1552每周 1 次2-5每月 1 次每季 1 次每年 1 次测试的最小样本量区间控制运行 总次数控制运行 频率14在运用表 1 时，注册会计师应当注意下列事项：（1）测试的最小样本量是指所需测试的控制运行次数；（2）注册会计师应当根据与控制相关的风险，基于最小样本量情况，并合理安排控制测试的时间，留出提前量。例如，注册会计师在基准日前个月完成期中测试工作。此外，由于对企业层面控制的 评价结果将影响注册会计师测试其他控制的性质、时间安排和范围， 注册会计师可以考虑在执行业务的早期阶段对企业层面控制进行测 试
23、。（十二）控制测试的范围注册会计师在测试控制的运行有效性时，应当在考虑与控制相关 的风险的基础上，确定测试的范围（样本规模）。注册会计师确定的测试范围，应当足以使其获取充分、适当的审 计证据，为基准日内部控制是否不存在重大缺陷提供合理保证。1测试人工控制的最小样本规模在测试人工控制时，如果采用检查或重新执行程序，注册会计师 测试的最小样本量区间参见表 1。表 1：测试人工控制的最小样本量区间15区间确定具体的样本规模；（3）表 1 假设控制的运行偏差率预期为零。如果预期偏差率不 为零，注册会计师应当扩大样本规模；（4）如果注册会计师不能确定控制运行频率，但是知道控制运 行总次数，仍可根据“控制
24、运行总次数”一列确定测试的最小样本规 模。2. 测试自动化应用控制的最小样本规模信息技术处理具有内在一贯性。在信息技术一般控制有效的前提 下，除非系统发生变动，注册会计师只要对自动化应用控制的运行测 试一次，即可得出所测试自动化应用控制是否运行有效的结论。3发现偏差时的处理如果发现控制偏差，注册会计师应当确定其对下列事项的影响：（1）与所测试控制相关的风险的评估；（2）需要获取的审计证据；（3）控制运行有效性的结论。 评价控制偏差的影响需要注册会计师运用职业判断，并受到控制的性质和所发现偏差数量的影响。如果发现的控制偏差是系统性偏差 或人为有意造成的偏差，注册会计师应当考虑舞弊的可能迹象以及对
25、 审计方案的影响。在评价控制测试中发现的某项控制偏差是否为控制缺陷时，注册 会计师可以考虑的因素包括：（1）该偏差是如何被发现的。例如，如果某控制偏差是被另外 一项控制所发现的，则可能意味着被审计单位存在有效的发现性控制。16（2）该偏差是与某一特定的地点、流程或应用系统相关，还是对被审计单位有广泛影响。（3）就被审计单位的内部政策而言，该控制出现偏差的严重程 度。例如，某项控制在执行上晚于被审计单位政策要求的时间，但仍 在编制财务报表之前得以执行，还是该项控制根本没有得以执行。（4）与控制运行频率相比，偏差发生的频率大小。 由于有效的内部控制不能为实现控制目标提供绝对保证，单项控制并非一定要
26、毫无偏差地运行，才被认为有效。在按照表 1 所列示的 样本规模进行测试的情况下，如果发现控制偏差，注册会计师应当考 虑偏差的原因及性质，并考虑采用扩大样本量等适当的应对措施以判 断该偏差是否对总体不具有代表性。例如，对每日发生多次的控制， 如果初始样本量为 25 个，当测试发现一项控制偏差，且该偏差不是 系统性偏差时，注册会计师可以扩大样本规模进行测试，所增加的样 本量至少为 15 个。如果测试后再次发现偏差，则注册会计师可以得 出该控制无效的结论。如果扩大样本量没有再次发现偏差，则注册会 计师可以得出控制有效的结论。（十三）控制变更时的特殊考虑在基准日之前，被审计单位可能为提高控制效率、效果
27、或弥补控 制缺陷而改变控制。对内部控制审计而言，如果新控制实现了相关控制目标，且运行 了足够长的时间，使注册会计师能够通过对该控制进行测试评价其设 计和运行的有效性，则无需测试被取代的控制。对财务报表审计而言，如果被取代控制的运行有效性对控制风险的评估有重大影响，注册会计师应当测试被取代控制的设计和运行的17有效性。（十四）利用他人的工作注册会计师应当评估是否利用他人（包括被审计单位的内部审计 人员、内部控制评价人员和其他人员以及在管理层或治理层指导下的 第三方）的工作以及利用的程度，以减少可能本应由注册会计师执行 的工作。如果他人的工作能够提供有关内部控制有效性的审计证据， 注册会计师可以利
28、用其工作或者提供的直接帮助。注册会计师应当参照中国注册会计师审计准则第 1411 号 利用内部审计人员的工作的规定，评价他人的专业胜任能力和客观 性，以确定可利用的程度。在评价他人的专业胜任能力时，注册会计师应当考虑其专业资 格、专业经验与技能等相关因素。在评价他人的客观性时，注册会计 师应当考虑是否存在某些因素，将削弱或者增强其客观性。无论他人的专业胜任能力如何，注册会计师都不应利用客观程度 低的人员的工作。同样，无论他人的客观程度如何，注册会计师都不 应利用专业胜任能力低的人员的工作。被审计单位内部负责监督、稽核或合规工作的人员，如内部审计 人员，通常拥有较高的专业胜任能力和客观性。他们的工作可能对注 册会计师有用。注册会计师利用他人工作的程度还受到与所测试控制相关的风 险的影响。与某项控制相关的风险越高，注册会计师应当越多地亲自 对该项控制进行测试。在识别、了解和测试企业层面控制时，注册会计师不得利用他人的工作。18（十五）对被审计单位使用服务机构的考虑如果服务机构提供的服务和对服务的控制，构成被审计单位与财 务报告相关的信息系统（包括相关业务流程）的一部分，注册会计
