第九章 风险评估
一、本章大纲
1.风险评估概述
（1）出台审计风险准则的背景
（2）审计风险准则体现出的重大变化
（3）对风险评估的总体要求
2.风险评估程序、信息来源以及项目组内部的讨论
（1）风险评估程序和信息来源
①风险评估程序
②其他审计程序和信息来源
（2）项目组内部的讨论
①讨论的目标
②讨论的内容
③参与讨论的人员
④讨论的时间和方式
3.了解被审计单位及其环境
（1）总体要求
（2）行业状况、法律环境与监管环境以及其他外部因素
①行业状况
②法律环境及监管环境
③其他外部因素
④了解的重点和程度
（3）被审计单位的性质
①所有权结构
②治理结构
③组织结构
④经营活动
⑤投资活动
⑥筹资活动
（4）被审计单位对会计政策的选择和运用
①重要项目的会计政策和行业惯例
②重大和异常交易的会计处理方法
③在新领域和缺乏权威性标准或共识的领域，采用重要会计政策产生的影响
④会计政策的变更
⑤被审计单位何时采用以及如何采用新颁布的会计准则和相关会计制度
（5）被审计单位的目标、战略以及相关经营风险
①目标、战略与经营风险
②经营风险对重大错报风险的影响
③被审计单位的风险评估过程
④对小型被审计单位的考虑
（6）被审计单位财务业绩的衡量和评价
①了解的主要方面
②关注内部财务业绩衡量的结果
③考虑财务业绩衡量指标的可靠性
④对小型被审计单位的考虑
4.了解被审计单位的内部控制
（1）内部控制的含义和要素
（2）与审计相关的控制
①为实现财务报告可靠性目标设计和实施的控制
②其他与审计相关的控制
（3）对内部控制了解的深度
①评价控制的设计
②获取控制设计和执行的审计证据
③了解内部控制与测试控制运行有效性的关系
（4）内部控制的人工和自动化成分
①考虑内部控制的人工和自动化特征及其影响
②信息技术的优势及相关内部控制风险
③人工控制的适用范围及相关内部控制风险
（5）内部控制的局限性
①内部控制的固有局限性
②对小型被审计单位的考虑
（6）控制环境
①控制环境的含义
②对诚信和道德价值观念的沟通与落实
③对胜任能力的重视
④治理层的参与程度
⑤管理层的理念和经营风格
⑥组织结构及职权与责任的分配
⑦人力资源政策与实务
（7）被审计单位的风险评估过程
①被审计单位的风险评估过程的含义
②对风险评估过程的了解
③对小型被审计单位的考虑
（8）信息系统与沟通
①与财务报告相关的信息系统的含义
②对与财务报告相关的信息系统的了解
③与财务报告相关的沟通的含义
④对与财务报告相关的沟通的了解
⑤对小型被审计单位的考虑
（9）控制活动
①相关的控制活动的含义
②对控制活动的了解
③对小型被审计单位的考虑
（10）对控制的监督
①对控制的监督的含义
②了解对内部控制的监督
③对小型被审计单位的考虑
（11）在整体层面对内部控制了解和评估的总结
（12）在业务流程层面了解内部控制
①确定重要业务流程和重要交易类别
②了解重要交易流程，并进行记录
③确定可能发生错报的环节
④识别和了解相关控制
⑤执行穿行测试，证实对交易流程和相关控制的了解
⑥初步评价和风险评估
⑦对财务报告流程的了解
5.评估重大错报风险
（1）识别和评估财务报表层次和认定层次的重大错报风险
①识别和评估重大错报风险的审计程序
②可能表明被审计单位存在重大错报风险的事项和情况
③识别两个层次的重大错报风险
④控制环境对评估财务报表层次重大错报风险的影响
⑤控制对评估认定层次重大错报风险的影响
⑥考虑财务报表的可审计性
（2）需要特别考虑的重大错报风险
①特别风险的含义
②确定特别风险时应考虑的事项
③非常规交易和判断事项导致的特别风险
④考虑与特别风险相关的控制
（3）仅通过实质性程序无法应对的重大错报风险
（4）对风险评估的修正
6.与治理层和管理层的沟通
（1）就内部控制重大缺陷与治理层和管理层沟通
（2）就重大错报风险的控制与治理层沟通
7.审计工作记录
（1）记录的内容
（2）记录的方式
二、历年考题
单项选择题
C注册会计师负责对丙公司20×7年度财务报表进行审计。在考虑重要性和审计风险时，C注册会计师遇到下列事项，请代为做出正确的专业判断。
1．在进行风险评估时，C注册会计师通常采用的审计程序是（ ）。
A．将财务报表与其所依据的会计记录相核对
B．实施分析程序以识别异常的交易或事项，以及对财务报表和审计产生影响的金额、比率和趋势
C．对应收账款进行函证
D．以人工方式或使用计算机辅助审计技术，对记录或文件中的数据计算准确性进行核对
【答案】B
【解析】在风险评估时，审计人员常用的审计程序有询问被审计管理层和内部其他相关人员、实施分析程序、观察和检查。选项A是实质性程序；选项B是在风险评估程序时运用的分析程序；选项C是实质性程序；选项D是实质性程序，所以正确的答案是选项B。
多项选择题
E注册会计师负责对戊公司20×7年度财务报表进行审计。在了解戊公司内部控制时，E注册会计师遇到下列事项，请代为做出正确的专业判断。
1．在了解控制环境时，E注册会计师应当关注的内容有（ ）。
A．戊公司治理层相对于管理层的独立性
B．戊公司管理层的理念和经营风格
C．戊公司员工整体的道德价值观
D．戊公司对控制的监督
【答案】ABC
【解析】选项A，要考虑治理层的参与程度，治理层对控制环境的影响要素包括有治理层相对于管理层的独立性；选项B，管理层负责企业的运作以及经营策略和程序的制定、执行与监督，管理层的理念包括管理层对内部控制的理念；选项C，在确定控制环境的要素是否得到执行时，通过询问管理层和员工，注册会计师可能了解管理层如何就业务规程和道德价值观念与员工进行沟通；选项D，对控制的监督和控制环境都属于内部控制所包括的要素，所以对控制的监督并不是了解控制环境时应该关注的内容。
2．戊公司下列控制活动中，属于经营业绩评价方面的有（ ）。
A．由内部审计部门定期对内部控制的设计和执行效果进行评价
B．定期与客户对账并发现的差异进行调查
C．对照预算、预测和前期实际结果，对公司的业绩复核和评价
D．综合分析财务数据和经营数据之间的内在关系
【答案】CD
【解析】注册会计师应当了解和业绩评价有关的控制活动，主要包括被审计单位分析评价实际业绩与预算（或预测、前期业绩）的差异，综合分析财务数据与经营数据的内在关系，将内部证据与外部信息来源相比较，评价职能部门分支机构或项目活动的业绩，以及对发现的异常差异或关系采取必要的调查与纠正措施。
3．在了解戊公司内部控制时，E注册会计师通常采用的程序有（ ）。
A．查阅内部控制手册
B．追踪交易在财务报告信息系统中的处理过程
C．重新执行某项控制
D．现场观察某项控制的运行
【答案】ABD
【解析】重新执行用于控制测试，并不是用于了解内部控制，所以选项C是错误的。
综合题
W公司主要从事小型电子消费品的生产和销售，产品销售以W公司仓库为交货地点。W公司日常交易采用自动化信息系统（以下简称系统）和手工控制相结合的方式进行。系统自20×6年以来没有发生变化。W公司产品主要销售给国内各主要城市的电子消费品经销商。A和B注册会计师负责审计W公司20×7年度财务报表。
资料一：A和B注册会计师在审计工作底稿中记录了所了解的W公司及其环境的情况，部分内容摘录如下：
（1）在20×6年度实现销售收入增长10%的基础上，W公司董事会确定的20×7年销售收入增长目标为20%。W公司管理层实行年薪制 ，总体薪酬水平根据上述目标的完成情况上下浮动。W公司所处行业20×7年的平均销售增长率是12%。
（2）W公司财务总监已为W公司工作超过6年，于20×7年9月劳动合同到期后被W公司的竞争对手高薪聘请。由于工作压力大，W公司会计部门人员流动频繁，除会计主管服务期超过4年外，其余人员的平均服务期少于2年。
（3）W公司的产品面临快速更新换代的压力，市场竞争激烈。为巩固市场占有率，W公司于20×7年4月将主要产品（C产品）的销售下调了8%至10%。另外，W公司在20×7年8月推出了D产品（C产品的改良型号），市场表现良好，计划在20×8年全面扩大产量，并在20×8年1月停止C产品的生产。为了加快资金流转，W公司于20×8年1月针对C产品开始实施新一轮的降价促销，平均降价幅度达到10%。
（4）W公司销售的产品均由经客户认可的外部运输公司实施运输，运输由W公司承担，但运输途中风险仍由客户自行承担。由于受能源价格上涨影响，20×7年的运输单价比上年平均上升了15%，但运输商同意将运费结算周期从原来的30天延长至60天。
（5）20×7年度W公司主要原料的价格与上年基本持平，供应商也没有大的变化，但由于技术要求发生变化，D产品所耗高档金属材料比C产品略有上升，使得D产品的原材料成本比C产品上升了3%。
（6）除了于20×6年12月借入的2年期、年利率6%的银行借款5000万元外，W公司没有其他借款。上述长期借款专门用于扩建现有的一条生产线，以满足D产品的生产需要。该生产线总投资6500万元，20×6年12月开工，20×7年7月完工投入使用。（假设不考虑利息收入）
资料二：A和B注册会计师在审计工作底稿中记录了所获取的W公司财务数据，部分内容摘录如下：
资料三：A和B注册会计师在审计工作底稿中记录了所了解的有关销售与收款循环的控制，部分内容摘录如下：
（1）仓库人员在系统中根据经销售部门批准的客房订单生成连续编号的发货单，并在将产品交运输商发运后，将发货单设备为“已执行”状态并提交结算部门。结算部门根据系统中的“已执行”发货单记录、订单及相关客户基础资料，在系统中生成并打印销售发票，系统在月末根据发货单和发票信息自动汇兑主营业务收入，并据此过入应收账款和主营业务收入账薄。
（2）每月末，系统自动匹配发货单、订单、发票和入账的主营业务收入，并可以生成一个专门报告反映未匹配项目的清单。系统授权可以生成和阅读该报告的人员是W公司销售部经理和总经理。
资料四：A和B注册会计师对销售与收款循环的内部控制实施测试，并在审计工作底稿中记录了测试情况，部分内容摘录如下：
（1）A注册会计师观察了结算部门人员根据发货单在系统中开具发票的过程，并从20×7年主营业务收入明细账中选取销售记录实施测试，未发现异常。
（2）B注册会计师询问了总经理和部经理有关资料三中第（2）项控制的运行情况，他们均表示由于以前月份很少发现不匹配情况，因此，从20×7年6月以后就没有再实际生成和阅读上述专门报告。在B注册会计师的要求下，销售部经理在系统中生成了截止20×7年12月31日的专门报告，B注册会计师没有发现存在不匹配的事项。
要求：
（1）针对资料一（1）至（6）项，结合资料二，假定不考虑其他条件，请逐项指出资料一所列事项是否可能表明存在重大错报风险。如果认为存在，请简要说明理由，并分别说明该风险是属于财务报表层次还是认定层次。如果认为属于认定层次，请指出相关事项与何种交易或账户的何种认定相关。请将答案直接填入答题卷第13页至第14页的相应表格内。
（2）针对资料三（1）至（2）项，请逐项指出上述控制与何种交易或账户的何种认定相关。请将答案直接填入答题卷第15页的相应表格内。
（3）针对资料三（1）至（2）项，假定不考虑其他条件，请逐项判断上述控制在设计上是否存在缺陷。如果存在担缺陷，请分别予以指出，并简要说明理由，提出改进建议。请将答案直接填入答题卷第15页的相应表格内。
（4）针对资料四（1）至（2）项，假定不考虑其他条件，请逐项指出上述测试结果是否表明相关内部控制得到有效执行。如果表明相关内部控制未能得到有效执行，请简要说明理由。请将答案直接填入答题卷第16页的相应表格内。
（5）针对资料一（1）至（6）项，结合资料三和资料四，假定不考虑其他条件，请判断资料三所列控制对防止或发现根据资料一识别的认定层次重大错报风险是否有效果。如果有效果，请指出资料三所列控制与识别的认定层次重大错报风险的对应关系，并简要说明理由。请将答案直接填入答题卷第17页的相应表格内。
【答案】
（1）
（2）
（3）
（4）
（5）
三、本章重难点讲解
一、对风险评估的总体要求
对风险评估的总体要求是：注册会计师应当了解被审计单位及其一半境，以充分识别和评估财务报表重大错报风险，设计和实施进一步审计程序。
在总体要求中，了解被审计单位及其环境是必要程序。该程序是一个连续和动态地收集、更新与分析信息的过程，贯穿于整个审计过程的始终。
了解被审计单位及其环境能为注册会计师在下列关键环节做出职业判断提供重要基础：
1．确定重要性水平，并随着审计工作的进程评估对重要性水平的判断是否仍然适当；
2．考虑会计政策的选择和运用是否恰当，以及财务报表的列报是否适当；
3．识别需要特别考虑的领域；
4．确定在实施分析程序时所使用的预期值；
5．设计和实施进一步审计程序，以将审计风险降至可接受的低水平；
6．评价所获取审计证据的充分性和适当性。
二、风险评估程序
1．询问被审计单位管理层和内部其他相关人员
注册会计师可以考虑向管理层和财务负责人询问下列事项：
（1）管理层所关注的主要问题。
（2）被审计单位最近的财务状况、经营成果和现金流量。
（3）可能影响财务报告的交易和事项，或者目前发生的重大会计处理问题。
（4）被审计单位发生的其他重要变化。
除此之外，注册会计师还应当考虑询问以下各类人员，以获取对识别重大错报风险有用的信息：
（1）询问治理层，有助于注册会计师理解财务报表编制的环境；
（2）询问内部审计人员，有助于注册会计师了解其针对被审计单位内部控制设计和运行有效性而实施的工作，以及管理层对内部审计发现的问题是否采取适当的措施；
（3）询问参与生成、处理或记录复杂或异常交易的员工，有助于注册会计师评估被审计单位选择和运用某项会计政策的适当性；
（4）询问内部法律顾问，有助于注册会计师了解有关法律法规的遵循情况、产品保证和售后责任、与业务合作伙伴（如合营企业）的安排、合同条款的含义以及诉讼情况等；
（5）询问营销或销售人员，有助于注册会计师了解被审计单位的营销策略及其变化、销售趋势以及与客户的合同安排；
（6）询问采购人员和生产人员，有助于注册会计师了解被审计单位的原材料采购和产品生产等情况；
（7）询问仓库人员，有助于注册会计师了解原材料、产成品等存货的进出、保管和盘点等情况。
2．实施分析程序
在实施分析程序时，注册会计师应当预期可能存在的合理关系，并与被审计单位记录的金额、依据记录金额计算的比率或趋势相比较；如果发现异常或未预期到的关系，注册会计师应当在识别重大错报风险时考虑这些比较结果。
3．观察和检查
（1）观察被审计单位的生产经营活动；
（2）检查文件、记录和内部控制手册；
（3）阅读由管理层和治理层编制的报告；
（4）实地察看被审计单位的生产经营场所和设备；
（5）追踪交易在财务报告信息系统中的处理过程（穿行测试）。
三、了解被审计单位及其环境
1．总体要求
注册会计师应当从下列方面了解被审计单位及其环境：行业状况、法律环境与监管环境以及其他外部因素；被审计单位的性质；被审计单位对会计政策的选择和运用；被审计单位的目标、战略以及相关经营风险；被审计单位财务业绩的衡量和评价；被审计单位的内部控制。
2．行业状况、法律环境与监管环境以及其他外部因素
注册会计师应当了解被审计单位的行业状况，主要包括：所处行业的市场供求与竞争；生产经营的季节性和周期性；产品生产技术的变化；能源供应与成本；行业的关键指标和统计数据。
注册会计师应当了解被审计单位所处的法律环境及监管环境，主要包括：适用的会计准则、会计制度和行业特定惯例；对经营活动产生重大影响的法律法规及监管活动；对开展业务产生重大影响的政府政策，包括货币、财政、税收和贸易等政策；与被审计单位所处行业和所从事经营活动相关的环保要求。
注册会计师应当了解影响被审计单位经营的其他外部因素，主要包括：宏观经济的景气度；利率和资金供求状况；通货膨胀水平及币值变动；国际经济环境和汇率变动。
3．被审计单位的性质
被审计单位的性质包括：所有权结构；治理结构；组织结构；经营活动；投资活动；筹资活动。
4．被审计单位对会计政策的选择和运用
具体包括五个方面：重要项目的会计政策和行业惯例；重大和异常交易的会计处理方法；在新领域和缺乏权威性标准或共识的领域，采用重要会计政策产生的影响；会计政策的变更；被审计单位何时采用以及如何采用新颁布的会计准则和相关会计制度。
其中，重要项目的会计政策包括收入确认方法，存货的计价方法，投资的核算，固定资产的折旧方法，坏账准备、存货跌价准备和其他资产减值准备的确定，借款费用资本化方法，合并财务报表的编制方法等。
如果被审计单位变更了重要的会计政策，注册会计师应当考虑变更的原因及其适当性，即考虑会计政策变更是否是法律、行政法规或者适用的会计准则和相关会计制度要求的变更；会计政策变更是否能够提供更可靠、更相关的会计信息；会计政策的变更是否得到充分披露。
5．被审计单位的目标、战略与经营风险
注册会计师应当了解被审计单位是否存在与下列方面有关的目标和战略，并考虑相应的经营风险：
（1）行业发展及其可能导致的被审计单位不具备足以应对行业变化的人力资源和业务专长等风险；
（2）开发新产品或提供新服务及其可能导致的被审计单位产品责任增加等风险；
（3）业务扩张及其可能导致的被审计单位对市场需求的估计不准确等风险；
（4）新颁布的会计法规及其可能导致的被审计单位执行法规不当或不完整，或会计处理成本增加等风险；
（5）监管要求及其可能导致的被审计单位法律责任增加等风险；
（6）本期及未来的融资条件及其可能导致的被审计单位由于无法满足融资条件而推动融资机会等风险；
（7）信息技术的运用及其可能导致的被审计单位信息系统与业务流程难以融合等风险。
7．被审计单位财务业绩的衡量和评价
四、了解被审计单位的内部控制
1．内部控制的概念
内部控制的目标是合理保证财务报告的可靠性，经营的效率和效果以及在所有经营活动中遵守法律法规的要求；设计和实施内部控制的责任主体是治理层、管理层和其他人员，组织中的每一个人都对内部控制负有责任；实现内部控制目标的手段是设计和执行控制政策和程序。
2．内部控制的要素
具体包括：控制环境；风险评估过程；信息系统与沟通；控制活动；对控制的监督。
3．了解内部控制的内容与深度
（1）评价控制的设计
注册会计师在了解内部控制时，应当评价控制的设计，并确定其是否得到执行。如果控制设计不当，不需要再考虑控制是否得到执行。
（2）获取控制设计和执行的审计证据
注册会计师通常实施下列风险评估程序，以获取有关控制设计和执行的审计证据：询问被审计单位的人员；观察特定控制的运用；检查文件和报告；追踪交易在财务报告信息系统中的处理过程（穿行测试）。
询问本身并不足以评价控制的设计以及确定其是否得到执行，注册会计师应当将冶金部与其他风险评估程序结合使用。
（3）了解内部控制与测试控制运行有效性的关系
4．考虑内部控制的人工和自动化成分
信息技术可能对内部控制产生特定风险：系统或程序未能正确处理数据，或处理了不正确的数据，或两种情况同时并存；在未得到授权情况下访问数据，可能导致数据的毁损或对数据不恰当的修改，包括记录未经授权或不存在的交易，或不正确地记录了交易；信息技术人员可能获得超越其履行职责以外的数据访问权限，破坏了系统应有的职责分工；未经授权改变主文档的数据；未经授权改变系统或程序；未能对系统或程序做出必要的修改；不恰当的人为干预；数据丢失的风险或不能访问所需要的数据。
由于人工控制由人执行受人为因素的影响，也产生特定风险：人工控制可能更容易被规避、忽视或凌驾；人工控制可能不具有一贯性；人工控制可能更容易产生简单错误或失误。相对于自动控制，人工控制的可靠性较差。
5．内部控制的固有局限性
在决策时人为判断可能出现错误和由于人为失误而导致内部控制失效；可能由于两个或更多的人员进行串通或管理层凌驾于内部控制之上而被规避；行使控制职能的人员素质不适应岗位要求；被审计单位实施内部控制的成本效益问题；内部控制一般都是针对经常且重复发生的业务而设置的，如果出现不经常发生或未预计到的业务，原有控制就可能不适用。
6．控制环境
控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。具体来说，包括：对诚信和道德价值观念的沟通与落实；对胜任能力的重视；治理层的参与程度；管理层的理念和经营风格；组织结构及职权与责任的分配；人力资源政策与实务。
7．被审计单位的风险评估过程
被审计单位的风险评估过程包括识别与财务报告相关的经营风险，以及针对这些风险所采取的措施。可能产生风险的事项和情形包括：监管及经营环境的变化；新员工的加入；新信息系统的使用或对原系统进行升级；业务快速发展；新技术；新生产型号、产品和业务活动；企业重组；发展海外经营；新的会计准则。
8．控制活动
控制活动具体包括：授权，业绩评价，信息处理，实物控制以及职责分离。
五、评估重大错报风险
下列事项和情况可能表明被审计单位存在重大错报风险：
1．在经济不稳定的国家或地区开展业务；
2．在高度波动的市场开展业务；
3．在严厉、复杂的监管环境中开展业务；
4．持续经营和资产流动性出现问题，包括重要客户流失；
5．融资能力受到限制；
6．行业环境发生变化；
7．供应链发生变化；
8．开发新产品或提供新服务，或进入新的业务领域；
9．开辟新的经营场所；
10．发生重大收购、重组或其他非经常性事项；
11．拟出售分支机构或业务分部；
12．复杂的联营或合资；
13．运用表外融资、特殊目的实体以及其他复杂的融资协议；
14．重大的关联方交易；
15．缺乏具备胜任能力的会计人员；
16．关键人员变动；
17．内部控制薄弱；
18．信息技术战略与经营战略不协调；
19．信息技术环境发生变化；
20．安装新的与财务报告有关的重大信息技术系统；
21．经营活动或财务报告受到监管机构的调查；
22．以往存在重大错报或本期期末出现重大会计调整；
23．发生重大的非常规交易；
24．按照管理层特定意图记录的交易；
25．应用新颁布的会计准则或相关会计制度；
26．会计计量过程复杂；
27．事项或交易在计量时存在重大不确定性；
28．存在未决诉讼和或有负债。
在确定风险的性质时，注册会计师应当考虑下列事项：（1）风险是否属于舞弊风险；（2）风险是否与近期经济环境、会计处理方法和其他方面的重大变化有关；（3）交易的复杂程度；（4）风险是否涉及重大的关联方交易；（5）财务信息计量的主观程度，特别是对不确定事项的计量存在较大区间；（6）风险是否涉及异常或超出正常经营过程的重大交易。
