风险评估与风险应对：审计的骨架
审计整本书可以压成一句话：识别哪里可能错，然后决定怎么查、查多少。前半句是风险评估，后半句是风险应对。
一、审计风险模型
审计风险 = 重大错报风险 × 检查风险
- 重大错报风险：报表本身出错的风险，由被审计单位决定，注册会计师只能评估、不能改变。
- 检查风险：审计程序没查出问题的风险，由注册会计师控制。
推论：评估的重大错报风险越高，可接受的检查风险越低，需要越多的审计证据（程序范围更大、时间更靠近期末、更可靠的类型）。
审计风险是「可接受的低水平」，不是零。
二、风险评估程序
三类，缺一不可：
- 询问管理层和其他人员（含内部审计、治理层）；
- 分析程序（横向、纵向、比率、趋势）；
- 观察和检查（实地查看、检查文件记录）。
另外还要求：项目组内部讨论（讨论舞弊易发环节）、了解被审计单位及其环境（行业、监管、业务模式、会计政策、目标战略、业绩衡量）、了解内部控制。
风险评估程序本身不足以提供充分适当的审计证据，它只是「打地基」。
三、了解内部控制：五个要素
| 要素 | 关注点 |
|---|---|
| 控制环境 | 治理层与管理层的态度、诚信、组织架构、人力资源政策 |
| 风险评估过程 | 单位如何识别和应对经营风险 |
| 信息系统与沟通 | 业务流程如何生成、记录、处理、报告交易 |
| 控制活动 | 授权、职责分离、凭证与记录、实物控制、独立检查 |
| 对控制的监督 | 内审、管理层日常监督 |
了解重点是与控制相关的设计是否合理、是否得到执行——注意：是「得到执行」，不是「运行有效」。运行有效性要靠控制测试。
控制测试 vs 实质性程序
| 控制测试 | 实质性程序 | |
|---|---|---|
| 目的 | 证明控制运行有效 | 发现认定层次的重大错报 |
| 对象 | 内部控制 | 交易、余额、披露 |
| 手段 | 询问、观察、检查、重新执行 | 细节测试、实质性分析程序 |
实质性程序是必须的，控制测试只在「拟信赖控制」或「仅实施实质性程序无法提供充分证据」时才做。
四、认定层次：错报可能长什么样
| 认定 | 含义 | 举例 |
|---|---|---|
| 发生 | 记录的交易确实发生 | 虚构销售 |
| 完整性 | 应记的都记了 | 漏记应付账款 |
| 准确性 | 金额和其他数据正确 | 计算错误 |
| 截止 | 记在正确期间 | 跨期确认收入 |
| 分类 | 记在正确科目 | 资本化支出费用化 |
| 存在 | 资产/负债确实存在 | 存货虚增 |
| 权利和义务 | 归企业所有/承担 | 已售商品仍挂账 |
| 计价和分摊 | 账面价值恰当 | 减值不足 |
完整性对应「低估」风险，存在/发生对应「高估」风险，两者审计方向相反：查低估要多查「漏记」，查高估要多查「凭证」。
五、风险应对
总体应对措施（报表层次）
- 向项目组强调保持职业怀疑；
- 指派更有经验的人员或专家；
- 增加督导；
- 在选择进一步审计程序时增加不可预见性；
- 总体修改审计程序的性质、时间安排和范围。
进一步审计程序（认定层次）
| 维度 | 高风险时怎么做 |
|---|---|
| 性质 | 多用实质性程序，多用外部证据，多用细节测试 |
| 时间 | 尽量在期末实施，少依赖期中证据，增加期末后的程序 |
| 范围 | 扩大样本量，增加程序数量，覆盖更多地点 |
特别风险
以下通常存在特别风险，需要专门应对：
- 舞弊导致的重大错报风险；
- 复杂交易（衍生品、结构化融资）；
- 重大关联方交易；
- 收入确认（推定存在舞弊风险）；
- 会计估计（尤其是高度估计不确定性的）。
应对特别风险时，不能只依赖实质性分析程序，必须有细节测试。
六、舞弊三角
- 动机/压力：业绩考核、融资压力、个人债务；
- 机会：内控薄弱、职责不分、管理层凌驾；
- 借口：大家都这么做、只是暂时调剂。
审计上对应的动作：保持职业怀疑、评价管理层凌驾控制的风险、测试会计分录（尤其是期末手工调整）、复核会计估计。
七、答题框架（主观题很好用）
遇到「应当实施哪些审计程序」这类题，按这个结构写：
- 了解：询问、分析、观察检查，了解业务与内控；
- 评估：识别认定层次风险，说明为什么高；
- 应对：针对该认定，设计具体程序（检查什么凭证、向谁函证、重新计算什么）；
- 评价：结果是否支持结论，是否需要扩大范围。
写程序时尽量具体到「查什么单据、找谁、比什么数」——只写「实施实质性程序」拿不到分。