第十三章 风险评估
第四节 了解被审计单位的内部控制
（二）对内部控制了解的定位（教材 P297）
注册会计师需要了解和评价的内部控制只是与财务报表审计相关的内部控制，并非被审
计单位所有的内部控制。
1．为实现财务报告可靠性目标设计和实施的控制
该内部控制更多是强调内部控制五要素中的“控制活动”。
与审计相关的控制，包括被审计单位为实现财务报告可靠性目标设计和实施的控制。
注册会计师应当运用职业判断，考虑一项控制单独或连同其他控制是否与评估重大错报
风险以及针对评估的风险设计和实施进一步审计程序有关。
控制测试是为了了解被审计单位的内部控制情况。
固有风险是指假设不存在相关的内部控制，某一认定发生重大错报的可能性。
控制风险是指某项认定发生了重大错报，而该错报没有被企业的内部控制及时防止、发
现和纠正的可能性。
在运用职业判断时，注册会计师应当考虑下列因素：
（1）注册会计师确定的重要性水平；
（2）被审计单位的性质，包括组织结构和所有制性质；
（3）被审计单位的规模；
（4）被审计单位经营的多样性和复杂性；
（5）法律法规和监管要求；
（6）作为内部控制组成部分的系统的性质和复杂性。
2．其他与审计相关的控制
区分以下两者：
（1）注册会计师了解的是与审计相关的内部控制。这里的“审计”是指报表的审计，旨
在提高财务报表的可靠程度；
（2）内部控制的一个目标是合理保证财务报告的可靠性。这是企业管理层、治理层和
员工的职责。
（三）对内部控制了解的深度（教材 P298~299）
要了解内部控制，直至能够评估出重大错报风险。
了解内部控制的内容：评价内部控制的设计和获取控制设计和执行的审计证据。
1．评价内部控制的设计
（1）了解内部控制包括评价控制的设计并确定其是否得到执行；
（2）评价控制的设计是指考虑一项控制单独或连同其他控制是否能够有效防止或发现
并纠正认定层次的重大错报；
（3）控制得到执行是指某项控制存在且被审计单位正在使用；
（4）设计不当的控制可能表明内部控制存在重大缺陷，注册会计师在确定是否考虑控
制得到执行时，应当首先考虑控制的设计。如果控制设计不当，不需要再考虑控制是否得到
执行。
2．获取控制设计和执行的审计证据
注册会计师通常实施下列风险评估程序，以获取有关控制设计和执行的审计证据：
（1）询问被审计单位的人员；
删除书 P299 第一点开头的“报告”两字。
（2）观察特定控制的运用；
（3）检查文件和报告；
（4）追踪交易在财务报告信息系统中的处理过程（穿行测试）。
3．了解内部控制的四个步骤
第一步，识别需要降低哪些风险以预防财务报表中发生重大错报；
第二步，记录相关的内部控制；
第三步，评估控制的执行；
第四步，评估内部控制的设计。
4．了解内部控制与测试控制运行有效性的关系（重点理解掌握）
除非存在某些可以使控制得到一贯运行的自动化控制，注册会计师对控制的了解并不能
够代替对控制运行有效性的测试。
了解要点：
（1）了解内部控制与测试控制运行有效性不同；
（2）如果是一贯运行的自动化控制，则对内部控制的了解能够代替对控制运行有效性
的测试；
（3）如果是不一贯运行的自动化控制，对内部控制的了解则不能够代替对控制运行有
效性的测试；
（4）如果是人工控制，对控制的了解并不能够代替对控制运行有效性的测试。
图 13-2：内部控制了解流程
评价控制的设计
控制能否有效地防止或发现并纠正
重大错报？
控制是否得到执行？
控制是否存在以及是否得到
被审计单位使用？
记录发现和结论
控制中存在重大弱点
向管理层和治理层报告
评估风险并针对评估的风
险设计适当的审计方法
是 否
是
否
