內部控制與審計風險評估要素內部控制與審計風險評估要素第PAGE48頁內部控制與審計風險評估要素如何評價內部控制與審計風險蕭偉強2000年6月(一) 內部控制與審計風險概論(1) 審計風險的函義 按照獨立審計基本準則，獨立審計的目的是對被審計單位會計報表的合法性、公允性及會計處理方法的一貫性發表審計意見。審計風險是指會計報表存在重大錯報或漏報，而注冊會計師審計后發表不恰當審計意見的可能性。 至于注冊會計師為何要評價被審計單位的審計風險及應如何評價審計風險以減低或避免發表不恰當審計意見的可能性，將會是這個講義的主要內容，也是整個審計過程中的關鍵。(2) 評價審計風險的重要性(a) 決定審計資源分配，使審計工作有效地進行。注冊會計師對被審計單位會計報表進行審計時采用的審計方法大致可分為以下兩種；(i) 重風險的審計(Risk-drivenaudit)，(ii) 重程序的審計。重風險的審計方法是透過了解被審計單位存在的審計風險后，分析有關審計風險對財務報表認定的影響，按照審計風險分析結果，將審計資源集中分配到高風險會計科目，使審計工作有效地進行。而重程序的審計方法并不考慮審計風險的程度，采用預先制定的標準審計程序進行審計工作，最終可能導致低風險的審計科目所得的資源過多，而高風險審計科目的資源過少。由于重程序的審計存在上述弊端，現代的審計應采用重風險的審計方法，對被審計單位的審計風險進行評價，以便決定審計資源應如何分配，使審計工作有效地進行。一般而言，主要審計負責人的經驗和知識水平及審計團隊的人數應與審計風險水平掛。風險越高的會計科目或企業，應安排較具經驗的審計人員，如高級經理負責主理；另外，高風險的審計項目通常需要超過一個合伙人和經理負責處理，以確保審計風險能降至可接受水平。 另外，評價審計風險后不單可決定審計資源應如何分配到各個會計科目；若被審計單位是一家擁有多間分行或多家子公司的機構或從事不同類型行業的跨國性企業時，注冊會計師還可按照對各個分公司或子公司進行審計風險評價后的結果，決定那一家分公司、子公司或那一類別的行業應獲分配較多審計資源。(b) 決定需獲取審計證據的類別 獨立審計準則第5號規定注冊會計師判斷審計證據是否充分、適當、應考慮審計風險；當注冊會計師了解及分析被審計單位存在的審計風險后，注冊會計師需判斷應獲取審計證據的類別；若被審計單位的固有風險及控制風險(將于第二節中作詳細討論)較高時，注冊會計師需獲取可靠程度較高的審計證據。而審計證據的可靠程度可參照下列標準來判斷：書面證據比口頭證據可靠；外部證據比內部證據可靠；注冊會計師自行獲得的證據比由被審計單位提供的證據可靠；內部控制較好時的內部證據比內部控制較差時均內部證據可靠。 圖一說明了審計風險分析結果如何影響需獲取的審計證據類 圖一展開審計工作展開審計工作評價固有風險評價固有風險及控制風險高風險？高風險？否是否是可加強依靠內部證據可加強依靠內部證據需集中獲取外部證據(c) 考慮應否接受聘約 除非在被審計單位特別要求情況下，所有審計項目均采用抽樣審計方法進行。但由于財務報表的真實性及可靠性乃建基于管理層的誠信，故只要采用抽樣審計，所有審計項目均存在審計風險；問題是該等審計風險是否不可控制或不可接受；而評價審計風險的其中一個目的，是透過了解及分析被審計單位存在的固有風險及控制風險后，注冊會計師判斷有關風險水平是否不可控制或不可接受，并考慮應否接受聘約。(d) 制定整體審計計劃 注冊會計師在評價及衡量被審計單位的固有風險及控制風險后，可按照風險評價結果制定相應的審計計劃，決定各審計程序(包括符合性測試及實質性測試)實施的范圍、時間和性質。(e) 降低注冊會計師的營業風險 注冊會計師的營業風險是指其所執行的每項聘約都有可能使會計師事務所面臨訴訟、賠償、損壞名聲的風險。意思是雖然注冊會計師已按照獨立審計準則進行審計工作及發表其審計意見，被審計單位或使用其財務報表的其它人仕仍可能對注冊會計師提出控告。就算注冊會計師最后被判勝訴，有關訴訟已對該注冊會計師的名譽造成一定程度的影響。于七十至八十年代，注冊會計師就其對財務報表發表意見而需面臨的訴訟多數集中在英國及美國兩個國家，而發生的案例并不算多，所涉及的賠償金額一般較輕；但于近十年，注冊會計師由于專業疏忽而需作出賠償的例子在西方國家(不僅在英國及美國)與日俱增，雖然大部份的案件所涉及的賠償金額都沒有被公布，但一般相信都是可觀的數字。至于在國內及香港，近年亦有多宗涉及注冊會計師就其發表的審計意見而需面臨訴訟或調查的個案被傳播媒介廣泛披露，雖然有關案件暫時未有涉及任何賠償金額，但對注冊會計師的名譽已造成一定影響。 從上述可見，營業風險有可能對注冊會計師造成極大傷害(包括金錢賠償及名譽方面)。雖然注冊會計師不能直接控制營業風險水平，但透過了解及分析被審計單位的審計風險，尤其是固有風險，注冊會計師可從客戶甄選過程中辨別那些高風險的聘約，并考慮拒絕接受有關聘約，從而降低面臨訴訟的可能性。 結論：總括而言，由于審計風險評價可使審計工作有效地進行及降低審計風險及注冊會計師面臨訴訟的可能性，采用重風險的審計方法已是現代審計的必然趨勢，也是各國注冊會計師監管機構所提倡的審計方法。事實上，多個中國注冊會計師獨立審計具體準則也提及審計風險的重要性，以下節錄了部份有關涉及中國注冊會計師在接受及執行聘約時需考慮審計風險的獨立審計具體準則及規條作為參考：中華人民共和國獨立審計具體準則中部份涉及評價審計風險的規條第2號審計業務約定書第六條在簽訂審計業務約定書之前，會計師事務所應委派注冊會計師了解被審計單位基本情況，初步評價審計風險，并與委托人就約定事項進行商議，達成一致意見。第3號審計計劃第八條在編制審計計劃時，注冊會計師應當對審計重要性、審計風險進行適當評估。第5號審計證據第七條注冊會計師判斷審計證據是否充分、適當，應考慮下列主要因素(一)審計風險第8號錯誤與舞弊第六條注冊會計師應當根據獨立審計準則的要求，充分考慮審計風險，實施適當的審計程序，以合理確信能夠發現可能導致會計報表嚴重失實的錯誤與舞弊。第9號內部控制與審計風險第七條注冊會計師應當保持應有的職業謹慎，合理運用專業判斷，對審計風險進行評估，制定并實施相應的審計程序，以將審計風險降低至可接受的水平。第10號審計重要性第八條注冊會計師應當考慮重要性與審計風險之間存在的反向關系。重要性水平越高，審計風險越低；重要性水平越低，審計風險越高。注冊會計師應當保持應有的職業謹慎，合理確定重要性水平。事實上，按照上述獨立審計具體準則，注冊會計師在多個審計階段均須衡量審計風險，例如：在承接審計業務時，考慮是否接受委聘；在編制審計計劃時，確定所需要的審計程序的性質、時間和范圍；在編制具體的審計程序時，確定所需的審計測試內容；在編制審計報告時，考慮出具合適的審計意見。 基于上述原因，審計風險的評價在整個審計過程中是非常重要的，直接影響后續審計工作的進行及注冊會計師面臨訴訟的可能性。(3) 內部控制與審計風險的關系 本講義的標題為「如何評價內部控制與審計風險」，到底內部控制與審計風險存在什么的關系呢？在這環節里將會作簡單介紹。 上一環節提及多個獨立審計具體準則均提及評價審計風險的重要；而獨立審計具體準則第9號「內部控制與審計風險」更將內部控制及審計風險放在同一個準則里，規定注冊會計師在評價審計風險時需研究被審計單位的內部控制，主要基于內部控制與審計風險存在密切的相互關系。要了解內部控制與審計風險的關系，需首先介紹兩種注冊會計師可選擇采用的審計策略；i)系統信賴法(System-basedapproachorRelianceapproach)或ii)實質性測試法(Substantiveapproach)。系統信賴法指注冊會計師透過測試被審計單位內部控制的有效性而減少對相關財務報表認定進行實質性測試的策略。而實質性測試指注冊會計師完全不依賴內部控制，直接對財務報表帳目金額獲取審計證據。 根據獨立審計具體準則第9號，內部控制指被審計單位為了保證業務活動的有效進行，保護資產的安全和完整、防止、發現、糾正錯鋘與舞弊，保證會計數據的真實、合法、完整而制定和實施的政策與程序。從以上內部控制的目標及功效來看，若被審計單位的內部控制健全，該企業便可透過內部控制系統的運作防止及糾正在日常營運中錯誤及舞弊的發生，從而減低了會計報表存在重大錯誤或漏報的可能性。因此，當其它條件如固有風險水平一致時，被審計單位的內部控制越健全，注冊會計師所面臨的審計風險越低。故當注冊會計師采用重風險的審計方法時，必須研究及評價被審計單位內部控制的有效性，從而確定審計風險水平；而對于那些具備有效內部控制的會計循環(Accountingcycle)如銷售與收款循環或采購與付款循環等，其對應的審計風險必然較低，在此情況下，注冊會計師便可在審計過程中較大程度依賴被審計單位的內部控制系統，減少實質性測試的程序；相反，對于那些內部控制較為薄弱的會計循環，其對應的審計風險必然較高，注冊會計師使應較少依賴或不應依賴內部控制，而需實施較多的實質性測試程序。(二) 審計風險的組成要素及其相互關系 評價審計風險在當代重風險的審計方法(Tisk-drivenaudit)里的重要性已在第一環節里跟各位討論。注冊會計師若要有效地評價內部控制及審計風險，必需首先了解審計風險的組成要素及其相互關系。以下部份將會將過介紹審計風險模型以探討審計風險的組成要素及其相互關系。而注冊會計師在制定審計計劃時，一般會運用審計風險模型的概念去決定需獲取多少審計證據。(1) 審計風險模型 獨立審計具體準則第9號[內部控制與審計風險]第三條指出，審計風險包括固有風險、控制風險和檢查風險。審計風險與其構成要素的相互關系一般以下列公式表示：審計風險=固有風險x控制風險x檢查風險固有風險： 指假定沒有相關的內部控制，某一賬戶或交易類別單獨或連同其它賬戶或交易類別出現重大錯誤或漏報的可能性控制風險： 指某一賬戶或交易類別單獨或連同其它賬戶或交易類別產生錯誤或漏報，但沒有透過內部控制而防止、發現或糾正的可能性檢查風險： 指某一賬戶或交易類別單獨或連同其它賬戶或交易類別產生重大錯報或漏報，但未能透過實質性測試發現的可能性上述組成元素及其相互關系可透過圖2作進一步理解圖2帳帳戶或交易產生重大錯誤內部控制系統通過內部控制系統已防止及糾正的重大錯誤或漏報未被內部控制系統防止或糾正的重大錯誤或漏報注冊會計師進行的實質性測試由各審計程序發現的重大錯誤或漏報仍未被發現的重大錯誤或漏報會計報表存在重大錯誤或漏報而注冊會計師發表不恰適的審計意見固有風險控制風險檢查風險審計風險 在上列公式中審計風險水平乃作為注冊會計師發表審計意見的基礎，故注冊會計師一般會將審計風險設定在可接受的低水平。 雖然注冊會計師不能控制被審計單位的固有風險和控制風險，但通過研究和評價被審計單位的內部控制，注冊會計師可對被審計單位固有風險和控制風險的高低進行評估，并在此基礎上，確定實質性測試的性質、時間和范圍，以降低檢查風險，使總體審計風險降低至注冊會計師設定的可接受水平。 由于注冊會計師一般會將審計風險設定在某一水平，而固有風險及控制風險乃不受注冊會計師直接按制，故在制定審計計劃時，為決定需獲取多少審計證據，注冊會計師一般會按照上述的公式計算檢查風險如下： 審計風險檢查風險= 固有風險x控制風險 在設定的審計風險水平下，固有風險及控制風險評估結果對注冊會計師可承受的檢查風險水平的影響如圖3所示： 圖3注冊會計師對固有風險的評估注冊會計師對控制風險的評估高中低注冊會計師可接受的檢查風險高最低較低中等中較低中等較高低中等較高最高上表說明，檢查風險與固有風險和控制風險的綜合水平之間存在反比關系。當固有風險和控制風險的綜合水平(即公式上的分母)較高時，計算得到的檢查風險便會較低，這意味注冊會計師需擴大審計范圍，將檢查風險盡量降低，使整體審計風險降低至可接受的水平。相反，如果被審計單位固有風險較低而內部控制亦能有效地運作，固有風險和控制風險的綜合水平會較低(即分母較小)，在設定的可接受審計風險水平下，注冊會計師可承受的檢查風險可以較高，即注冊會計師可減少實質性測試的范圍。上述關系如圖4所示：

圖4可可接受的審計風險水平正：正面關系反：反面關系正反反反固有風險控制風險可承受的檢查風險需透過實質性測試獲取的審計證據 由此可見，通過對被審計單位固有風險和控制風險的評估，注冊會計師便可確定實質性測試的樣本規模，把審計計劃與審計實施過程有機地聯系起來。(2) 評價審計風險需注意事項 注冊會計師在評價被審計單位的審計風險時，需特別注意下列事項： (a) 風險量化問題 許多注冊會計師認為獨立審計具體準則應提供具體的風險量化指引或方法(即在甚么情況下，固有風險須定為高？在甚么情況下，控制風險須定為低？)；獨立審計準則沒有提供這些風險量化指引的主要原因是：––評價審計風險各組成元素(即固有風險，控制風險和檢查風險)的風險水平時需考慮的因素太多，根本不可能列出所有情況的操作方法，尤其是風險往往是眾多因素相互影響的結果。–– 在相同的因素或情況下，不同的注冊會計師可能由于經驗或專業水平的差異而作出不同的風險評估。–– 過于具體的準則或指引將使審計工作由一項專業判斷性工作變成一項機械的證據搜集工作。 因此，審計風險評價及審計風險模型應作為協助注冊會計師將風險與審計證據連擊起來的一個概念；在實際應用時，注冊會計師應將所有影響固有風險及控制風險的各種因素進行了解及分析后，以本身的經驗及運用專業判斷去評價整體審計風險，從而制定相應的審計程序將審計風險降至可接受水平。切勿以劃一的風險量化公式計算風險水平。 (b) 風險與接受聘約問題對被審計單位進行審計風險評價后需作出第一個決定為應否接受聘約。在作出這個決定時，注冊會計師需注意兩點：對于被評為高風險的審計項目，注冊會計師不一定要拒絕接受聘約，問題是該風險程度的水平是否高至不可控制或不可接受；若注冊會計師能透過實施的相應審計程序將審計風險降至可接受水平，則該聘約應可被接受。在考慮是否接受聘約時，應首先考慮被審計單位的固有風險，若固有風險被評為低水平，注冊會計師才進一步考慮控制風險；但若固有風險的水平偏高，注冊會計師應考慮有關風險會否已導致整體審計風險高至不可控制或不可接受水平，而無須再考慮控制風險。主要原因是固有風險是計風險中最重要的組成部份，而影響固有風險的主要因素如管理層誠信亦同時對被審計單位的控制風險水平有重大影響。 (c) 需持續評價審計注冊會計師一般會較為重視首次聘約的審計風險分析，而忽略對持續聘約進行有關分析。但由于審計風險會隨社會整體經濟的轉形、被審計單位所在行業營運環境的變化及企業內部結構改變而不斷轉變，故注冊會計師必需對首次聘約及持續聘約的審計風險評價同時予以重視。(三) 固有風險(1) 評價固有風險的目的 固有風險是審計風險中最重要的組成部分。原因是固有風險主要反映被審計單位管理層的誠信及企業的營業風險；而注冊會計師面臨訴訟及賠償的個案主要涉及管理層欺詐行為及被審計單位經營失敗而需進行清盤，上述兩個面臨訴訟的成因正是評價固有風險需考慮的因素。假若被審計單位管理層的誠信良好，財務報告因管理層的欺詐行為而出現重大錯誤的可能性會相應減低。事實上，對管理層誠信的評價為注冊會計師考慮是否接受審計聘約最關鍵的因素。另外，雖然固有風險跟控制風險于前文所述的審計風險模型中分別是獨立元素，但主要影響固有風險的因素–「管理層誠信」亦同會對控制風險有重大影響。因此，注冊會計師對固有風險的評價結果一般對整體審計風險有極其重要的影響。 固有風險的評價主要集中以下兩部分：(a) 評價因錯誤與舞弊而導致會計報表存在錯報或漏報獨立審計具體準則第8號規定注冊會計師在編制和實施審計計劃時，應當充分關注可能存在的導致會計報表嚴重失實的錯誤與舞弊。錯誤主要包括：原始記錄和會計數據的計算、抄寫錯誤對事實的疏忽和誤解對會計政策的誤用舞弊主要包括：偽造、變造記錄或憑證侵占資產隱瞞或冊除交易或事項記錄虛假的交易或事項蓄意使用不當的會計政策顯而易見，錯誤是指一些非蓄意引致會計報表錯報或漏報的行為；而舞弊是指一些蓄意引致會計報表錯報或漏報的行為。 (b) 評價被審計單位的營業風險被審計單位的營業風險指企業因外部及內部因素而引致不能達到企業目標，最后引致企業存在盈利不足或倒閉的風險。注冊會計師要對財務報表的真實性及公允性發表審計意見，必須要了解企業的營運策略及企業存在的風險，確定該等風險是否引致企業不能持續經營及會計報表出現錯報或漏報的情況。(2) 評價固有風險需考慮因素正如上文所述，注冊會計師對固有風險的評價主要集中評價i)因錯誤與舞弊而導致會計報表存在錯報或漏報。ii)被審計單位的營業風險；以下部分將討論注冊會計師在作出上述有關評價時需考慮的因素。而在下列多個因素中，a)項至f)項為注冊會計師在考慮是否接受首次聘約或持續聘約時需特別關注的因素。 (a) 主要股東及管理層的誠信和聲譽高風險水平指示： 誠信和聲譽不佳低風險水平指示： 誠信和聲譽良好編制真實、公允的會計報表是企業管理層的責任；而注冊會計師在整個審計過程中搜集證據時都需要依賴管理層提供數據及各項聲明；若管理層誠信出現問題，蓄意隱瞞或虛報財務數據及憑據以達到某一目的，是會直接影響財務報表的真實程度；同時，由于設計企業內部控制是由管理層負責，而內部控制系統能否有效地運作也是要依賴管理層對內部控制及財務數據的真實性所持有的態度，故評價管理層的誠信是固有風險評價中最重要的一環。事實上，很多注冊會計師面臨訴訟的源頭皆來自管理層誠信出現問題。香港廣南集團部分前管理層人員誠信出現問題，編造虛假交易，并偽造文件，導致其截至一九九七年十二月三十一日止的財務報表存在虛假盈利，并需于一九九大八年作出大量撥備，便是這方面最的好例子。故此，若某公司打算聘請我們出任注冊會計師，但我們在大眾傳媒中，經常得到一些對公司管理層的負面消息；例如：第三者正循法律途徑控告公司的董事長進行詐騙或公司的總經理正牽涉入多宗法律訴訟，在這些情況下，我們便應考慮是否接受公司的委聘。假如上述公司已是我們的客戶，我們便需提高該公司的固有風險。 (b) 管理當局是否敢冒風險高風險水平指示： 敢做敢為、大膽冒險低風險水平指示： 小心謹慎、穩健保守雖然風險與投資回報存在直接正面關系，但管理層如沒有適當運用風險管理技巧，在風險與回報之間尋求平衡，很容易因為一次投資眼光失準或一宗交易出現問題而要面臨倒閉的結果。香港百富勤的倒閉是一個最好的例子。當時百富勤將大量資金投資于印度尼西亞債券，于亞洲金融風暴出現后，印度尼西亞貨幣出現大幅貶值而引致香港公司資金周轉不靈而需面臨倒閉。另外，處事一般不考慮風險的管理層作出違規及違法的行為的可能性比穩健保守的管理層較高，增加被審計單位的固有風險。 (c) 企業所在行業的變化率高風險水平指示： 行業變化率快低風險水平指示： 行業變化率慢企業所在行業的變化會為企業帶來很多不穩定或不明朗的因素，這些因素會提高會計報表存在錯誤或漏報的可能性。同時，若企業未能在策略上或架構上就行業的有關變化作出及時的調整，會直接影響企業的營運表現及持續經營能力。個別企業或會基于某些因素(如股價或銀行信貸)而采用不正規的會計處理方，令企業業績維持往年水平。根據獨立審計具體準則第21號[了解被審計單位情況]，上述因行業變化而為企業帶來不穩定或不明朗的因素可包括：市場供求與競爭；經營的周期性或季節性；產品生產技術的變化；經營風險；行業的現狀及發展趨勢；行業的關鍵指針及統計數據；環保要求及問題；行業適用的法規；行業特定會計慣例及問題；及行業其它特殊慣例。以下是一些關于上述因素的例子：于一九九七年發生洲金融風暴后及在政府調整興建公營房屋政策的影響下，香港的地產業開始了周期性調整，某公司可能為了維持去年的業績而作出舞弊行為。近年國內流動電話的發展使尋呼業務大受影響。自從粵海企業及廣南集團出現財政問題及廣東省信托投資有限公司面臨清盤事件后，香港多間銀行對中資企業的貸款已較前審慎，一般要求借款人以實質資產作為抵押。某公司的競爭對手研究出一種節省成本的生產新技術，因此，某公司的未來銷售收入及利潤可能會出現大幅下降而影響其持續經營能力。由于科技的發展，某公司的主要產品逐漸被新產品取替，公司存貨可能雖作出大量撥備。某公司所在行業的競爭對手已開始透過互聯網推銷其產品或進行電子商貿交易，但該公司仍未有意發展互相網業務，可能使公司未來收入及利潤大幅下降。由于政府最近頒布新的環保法規，對工業的污水排放有更嚴格的管制，某皮革制造公司因沒有足夠資金進行污水處理投資以符合新的環保法規，最后可能導致公司被迫結業。隨著上市公司須于今年執行《企業會計準則____非貨幣性交易》，某上市公司因為經常與其母公司及附屬公司發生大量非貨幣性交易而需符合新會計準則的要求；由于公司的財會人員對新的會計準則沒有充分理解，所以未能按新的會計準則的規定處理有關交易。某公司的多個主要競爭對手最近進行了一連串收購、合并行動(這情況在互聯網行業甚為普遍)，這些競爭對手的資金及市場占有率在這些行動后均大幅提高，對公司的前境可能帶來負面影響。由于上述種種情況均為公司帶來不穩定因素，我們應提高這些公司的固有風險。 (c) 企業業務上的聲譽高風險水平指示： 企業聲譽不佳低風險水平指示： 企業聲譽良好企業在業務上的聲譽乃綜合多個因素而建立；這些因素包括股東或管理層對企業所在行業的經驗及其過往的表現(包括投資眼光、對公眾的承諾)。企業產品的質量和違返監管機構規則的記錄等；若被審計單位經常因產品質量問題而需作出賠償或需于市場收回其生產的產品(如早年Dreyer雪糕，因生產過程出現問題引致其產品變壞而需于全球各地收回部分Dreyer雪糕的產品)，或被審計單位經常違返監管機構的管制條例(于證券業最為普遍)，這不但對企業業務聲譽有所影響，注冊會計師在審核有關會計報表時還需考慮該等事項對某些會計科目，如營業收入、存貨、應收帳款，索償準備等及整體財務報表披露的影響。同時，注冊會計師還需留意會否還有一些未經傳媒報導而影響財務報表的有關事項。因此，若企業在業務上的聲譽不佳，其固有風險亦會相對增加。相反，良好的業務聲譽減低企業發生上述問題的可能性，并同時增加管理層的公信力，使企業較為容易籌集資金作營運或投資發展用途。香港投資者對T及中國移動電話公司在市場集資的踴躍表現就是最佳例證。 (e) 外部債務高風險水平指示： 現在或預計存在大量債務低風險水平指示： 現在或預計均無被審計單位的債務狀況會直接影響其持續經營能力。事實上，很多企業雖然業績良好，但由于發展過急而需大量舉債，最后因投資回報未如預期理想，引致資金周轉不靈而結業。早年香港多間日資百貨公司如八佰伴就是因為上述原因而倒閉。因此，在評價被審計單位的償債能力時，應先審閱其流動資金的充裕性，以確定企業在可預見的將來能持續經營。另外，注冊會計師不單要考慮企業現有的負債，還需留意企業是否存在或有負債，例如：企業有否為其它單位作出擔保、保證或資產抵押，以評價該等或有負債在日后會否為企業帶來額外的債務而影響企業的營運。 (f) 會計師變動情況高風險水平指示： 經常轉換注冊會計師低風險水平指示： 注冊會計師的變動不大注冊會計師一般愿意跟其客戶保持長遠的關系；若企業經常撤換注冊會計師，間接反映出企業可能不愿意配合注冊會計師的工作，或是在重大會計處理方法上與注冊會計師存在嚴重分歧。事實上，接受首次聘約之前；新被委托的注冊會計師應向前任注冊會計師了解其辭聘原因。若發現原注冊會計師沒有主動要持續聘約時，新注冊會計師應向原注冊會計師就被審計單位的情況作較為深入的了解。另外，對于國際性的會計師事務所拒絕接受持續聘約的企業，被審計單位的固有風險也相對較高。 (g) 管理經驗和知識高風險水平指示： 管理層經驗不足、知識貧泛低風險水平指示： 經驗豐富、知識廣博踏入二十一世紀，企業需要面對的是一個急速改變的營運環境，信息科技不斷演進，消費者的行為也因為信息及媒體的變革而有所改變。許多新興行業冒起，也有舊有產品沒落。經驗豐富的管理層能夠：及早發現問題的存在及實時作出糾正，減少出現錯誤與舞弊或因此對企業造成影響的可能性；及帶領企業在此不斷轉變的營運環境中繼續生存及尋求突破。在實上，管理層的經驗及知識水平乃很多跨國企業成敗的關鍵因素。英國航空公司的SirColinMarshall就是最明顯的例子。SirColinMarshall于一九八七年成功將陷入破產邊緣的英國航空公司私營化，成為當時全球最賺錢的航空公司之一，于截至一九九六年三月三十一日止會計年度(SirColinMarlin離任前)，BritishAirway的盈利達4億7仟萬英磅。除管理層的經驗及知識水平外，注冊會計師也需考慮被審計單位財務人員的知識水平；例如，若某公司會計部門的大部分員工均沒有接受過正規的會計專業教育；例如：沒有員工擁有由會計專業團體或國家認可的院校所頒發的有關會計專科證書或文憑等。在這情況下，我們便需提高該公司的固有風險。 (h) 集權經營高風險水平指示： 權力下放程度高低風險水平指示： 集權經營權力過分下放予子公司或分公司的企業，很多時候會因欠缺完善的內部監控及管理機制，而導致企業資產被挪用或被錯誤運用或投資，使公司資產無法獲得合適的保障。同時，權力過于下放會增加子公司或分公司管理層為掩飾其所作出的錯誤決策或舞弊行為而虛報子公司的財務狀況的可能性。故注冊會計師就上述情況，需增加被審計單位的固有風險。 (i) 管理人員(包括高級會計人員)在審計期間的變動高風險水平指示： 管理人員變動頻繁低風險水平指示： 管理人員變動不大一個穩定的管理層是企業成功的主要因素之一。因為管理人員一般必須經過一段時間對公司的評估，才可為公司定出發展策略和監控制度。因此，我們不會預期一間管理人員變動性大的企業的業績會在短時期內得到較大的增長或改善；相反，在管理人員及財會人員轉變的交接期間，往往因為監控松懈而出現很多重大錯誤。因此在上述情況下，我們一般需提高該企業的固有風險。另外，管理人員或會計人員的離職可能是因為拒絕接受高級管理層、股東或董事局對企業資產進行欺詐行為或財務報表作出虛報行為的要求，反映股東或董事局的道德及誠信出現問題；或者是因為管理人員作出舞弊行為后，為避免法律責任而辭職。注冊會計師若未能就管理人員及財會人員的頻繁變動獲取合理解釋，應提高被審計單位的固有風險。 (j) 相對于行業的企業盈利水平高風險水平指示： 盈利不高，或與行業平均水平不一致(高或低)低風險水平指示： 盈利適當，與行業平均水平一致若企業的盈利低于同業競爭對手，間接反映出該企業的經營能力出現問題，同時也會增加管理層的盈利壓力，可能引致管理層作出違規行為。香港廣南集團是其中一個例子。廣南集團于一九九四年上市，雖然企業的規模在上市后不斷發展，并成為一家經營多項業務的綜合企業，但大部分業務利潤不高，且低于其它競爭對手的盈利水平，如超級市場業務就遠低于其競爭對手的利潤；最后，由于企業的經營及管理出現問題，引致負債嚴重而需面臨重組。同樣地，若企業的盈利遠高于同業競爭對手，注冊會計師需考慮企業財務報表會否存在重大錯誤，抑或是企業在某方面比其它競爭對手的經營較為優勝。 (k) 經營結果對匯率、息率或油價變動的敏感性高風險水平指示： 相對敏感低風險水平指示： 相對不敏感若企業的投資價值或營運結果容易受匯率、息率或油價的波動而遭受重大影響，該企業的固有風險相比其它企業為高。例如：于早年前，莫斯科石油危機、巴西通脹過百倍所觸發的經濟危機及東南亞國家如印度尼西亞、泰國及韓國的貨幣大幅貶值所引發的亞洲金融風暴等，以便大量易受這些因素影響的企業如證券投資公司經營出現困難而面臨倒閉。 (l) 重于實現盈利計劃或其它營運指標高風險水平指示： 重實現盈利計劃低風險水平指示： 不重實現盈利計劃實現盈利計劃的壓力主要源自董事局、股東或監管機構對企業營運或經營成果的要求，例如：董事局要求公司銷售額每年必須增長20%以上。總公司要求公司本年的利潤必須增長10%或以上。某上市公司已經連續兩年錄得虧損(對于已經連續三年虧損的上市公司，中國證券監督委員會可暫停其股票上市)。公司與銀行簽訂借款合同，合同條約規定公司的凈資產要超過1千萬，而資產負債率不可低于1.5，否則銀行有權實時要求公司清還所有貸款額。為達到上述目標或規定，管理層可能采取不符常規的手段。這些手段包括：指令財會人員不按會計準則確認銷售收入、不將企業負債完全反映在會計報表、虛報收入或沒有計提足夠壞帳準備。另外，管理人員可能為了達到上述指標而在制定或執行日常營運政策時忽略風險。例如：為了達到銷售或盈利指標，銷售部門因而沒有對客戶的還款能力進行評估，增加應收帳款可回收性的風險。因此，若發現于某一審計年度管理人員需實現某些盈利計劃或其它營運指標，特別是當這些盈利或營運指標高于企業以往年度的實際表現時，注冊會計師需提高企業的固有風險。 (m) 企業所有權高風險水平指示： 上市企業低風險水平指示： 非上市企業若其它因素一致，上市企業的固有風險一般比非上市企業的固有風險較高；主要原因是：上市公司從市場集資，公眾股東提供資金予企業發展，但企業的日常營運由董事局及管理人員負責，公眾股東唯一只能透過企業公布的財務報表了解企業的營運表現，故對注冊會計師審核后的財務報表的真實性予以絕對信賴。市場投資者依靠財務報表作出投資決定，涉及金額龐大；若因財務報表的真實性出現問題而導致其作出錯誤的投資決定，不管這些問題是否由于注冊會計師的專業疏忽所引致，投資者一般會將所有責任歸究于注冊會計師，增加注冊會計師面臨訴訟的可能性。上市公司需滿足市場對公司信息披露的要求，并在多方面受中國證監會及肯市條例監管。 (n) 與客戶的業務關系高風險水平指示： 首次聘約低風險水平指示： 常年聘約由于對委托單位的背景數據、管理層誠信、內部控制及帳目情況未有透徹了解，首次聘約較常年聘約的固有風險為高。 (o) 需要運用估計和判斷才能確定的賬戶高風險水平指示： 這類賬戶較多低風險水平指示： 這類賬戶較少對于某公司的賬戶，假如我們須運用估計和判斷才能確定其金額時，我們便應提高這公司的固有風險。對于一般企業而言，這些賬戶包括四項減值準備(即壞帳準備、存貨跌價準備、短期投資跌價準備和長期投資跌價準備)。至于上述賬戶需作出估計和判斷的程度，則要視乎被審計單位所從事的行業及其營運情況而定；例如：銀行業的應收貸款撥備金一般屬于高風險的會計科目。然而，假如大部分應收貸款均為有足夠扺押的貸款，則有關其可收回程度的風險便會大幅下降。另外，隨全球經濟轉形，互聯網及高科技公司的高速發展，該等行業的特性使新的交易類別不斷產生，這些交易類別一般需運用網及高科技公司的固有風險，相對一般行業為高。上述交易類別及互聯網公司的審風險將會在第六節中再作詳細介紹。

(p) 容易受損失或被挪用的資產高風險水平指示： 這類資產較多低風險水平指示： 這類資產較少當客戶擁有重大容易遭受損失或被挪用的資產時，我們一般會把他們的固有風險提高。從事珠寶零售行業的客戶便是其中一個例子。 (q) 容易產生錯報的會計報表項目高風險水平指示： 這類會計報表項目較多低風險水平指示： 這類會計報表項目較少這些會計報表項目一般包括受首年執行新會計準則影響的項目。這是因為企業的會計人員往往未能充分理解或掌握新會計準則的要求，所以在執行新會計準則時，出現錯報情況。因此，我們一般在評估審計風險時，提高有關企業的固有風險。 (r) 在會計期間內，尤其是臨近會計期末發生的異常及復雜交易高風險水平指示： 存在這類交易低風險水平指示： 沒有這類交易這些臨近會計期末發生的異常及復雜交易很可能為了下列目的而發生的：通過年末資產重組，使公司轉虧為盈或增加盈利，從而符合有關法規的要求。例如： 在《關于執行具體會計準則和股份有限公司會計制度有關會計問題解答》(財會字(1998)66號)發布前，有不少上市公司通過與母公司在年末進行資產重組，母公司把一些業績良好的子公司注入上市公司，同時，上市公司把一些原屬其直接控制的虧損的或擁有負資產的子公司以高于公允價值賣給母公司。上市公司一般將新購子公司的全年業績合并到上市公司的合并會計報表中，這樣上市公司不但可轉虧為盈，同時還可避免其股票因兩年連續虧損而遭受「特別處理」。改變公司的資產負債表所展示的情況，這些交易一般會于結算日后被還原。例如： 某公司在資產負債表日以前出售的大量物資在資產負債表日后被退回。由于在資產負債表日公司已經確認有關銷售，因此這些重大銷售退回往往導致虛增公司的銷售和盈利。 (s) 上年度會計報表存在重大錯誤或漏報高風險水平指示： 出具有保留意見的上年度會計報表低風險水平指示： 出具無保留意見的上年度會計報表假如注冊會計師對被審計單位的上年度會計報表出具有保留意見的審計報告，注冊會計師須關注出具保留意見的原因，提高企業的固有風險。此外，當我們發現企業在上年審計結束后，需按大量審計調整分錄調整其帳項時，這可能顯示企業的會計報表一般會出現大量錯報及漏報，在這情況下，注冊會計師也需提高企業的固有風險。(3) 評價固有風險時實施的程序 上一環節已跟大家研究評價固有風險時需考慮的因素，至于注冊會計師應如何有系統及有效地研究上述因素，以評價被審計單位的固有風險水平(即評價因錯誤與舞弊而導致會計報表存在錯報或漏報及評價被審計單位的營業風險)，將會在以下部分為大家介紹。注冊會計師在評價固有風險時可參考圖1所示的步驟及程序進行。所在行業的所在行業的營運環境研究客戶的營運環境及狀況整體經濟環境企業的營運情況步驟一對財務報表對財務報表進行分析性復核程序跟以前年度比較跟注冊會計師預測的數據比較跟被審計單位的財務預算或預測比較跟所在行業平均指標比較步驟二詢問企業詢問企業管理層第三階段分析性復核結果的合理性企業的營運環境變化對財務報表皂影響 (a) 研究企業的營運環境及狀況研究企業的營運環境及狀況是評價固有風險的第一個步驟；如上文所述，固有風險的評價主要集中以下兩部份；i)錯誤與舞弊及ii)客戶的營業風險；分析性復核程序可幫助注冊會計師發現錯誤與舞弊(以下會再作討論)，而研究客戶的營運環境可幫助注冊會計師認識被審計單位存在的營業風險及其營運環境的變化對財務報表的預計影響。一般來說，研究客戶的營運環境主要集中以下幾方面：整體經濟環境企業所在行業的營運環境企業的營運情況關于上述幾方面如何影響企業的固有風險，由于在上一環節「評價固有風險需考慮因素」中已作詳細介紹，故在這里不會再作討論。以下部分將為大家介紹應如何有系統及有效地分析上述三方面的固有風險。 整體而言，對于評估上述環境因素的影響，許多西方國家的注冊會計師已應用了管理學的分析方法。以下將為大家簡單介紹其中一個較為普遍采用的分析方法(SWOT分析)。SWOT分析 SWOT是優勢(Strengths)，弱點(Weaknesses)，機會(Opportunities)及威脅(Threats)的縮寫。采用SWOT分析，注冊會計師可加深了解外在環境因素及內部營運變化對企業的影響，從而有效地評估企業的固有風險。如何進行SWOT分析 為同一客戶服務但在注冊會計師事務所不同部門工作的人員應首先組成客戶服務小組。客戶服務小組(包括審計部門)人員可以在討論審計策略會議中進行SWOT分析，在討論過程中，每一組員須在沒有任何思考限制的情況下，提出自己的觀點。這樣，小組成員可以根據分配到的工作及本身的商業知識，以不同的觀點來分析每個客戶的優勢、弱點、機會和威脅。除了首年的應聘外，以后每年只需更新上年SWOT分析的數據，所以通常只需耗用很少時間，符合成本效益。 以下是某化學公司應用SWOT分析的例子：優勢弱點市場占有率75%與東南地區地方政府機關訂有繼續供應合約須有特殊技術方面的知識以迎合客戶的需求，故不利其它廠商加入競爭采用合約供應方式，使存貨數量耗損大為減少自組運送車隊，使運費降低。營銷資源不足導致新產品無法成功搶占市場管理階層保守，不易接受新式營銷及管理方法售給地方政府機關之利潤很低機會威脅廢棄物及污水管制法令使市場成長好幾個地方政府機關的合約正要求報價與東北地區地方政府機關商討延長供應合約未有進展，但有關合約將于1個月后屆滿。新廠商已于市場上建立根據地–可能使利潤更薄 優勢與弱點是內部環境的主要特征，考慮優勢及弱點時應注意：i) 人 -技能、訓練、態度ii) 組織 -架構與關系iii) 產品 -質量、產品生命周期、成本iv) 生產 -性質、產能、質量v) 財務 -可用性(availability)vi) 商譽 -聲譽、過去的記錄(trackrecord)，客戶印象vii) 知識 -技術、市場、競爭 機會與威脅是企業的外在環境，是考慮企業的駕御能力，考慮機會及威脅時應注意：i) 市場 -成長、衰退、流行的變化ii) 科技 -產品開發、替代性、新技術iii) 經濟 -通貨膨脹/衰退、稅法、貨幣強弱iv) 社會 -銷售狀況、就業情形、貿易聯盟情況v) 法律 -污染、顧客保護、產品責任、稅法vi) 生態 -能源政策、資源回收、環境保護 上述各點可作為與管理階層討論時參考備忘之用，注冊會計師應根據公司個別情況酌為增刪。 在了解客戶的營運環境及狀況時，我們除了可從與管理階層的會議中得悉，也可參考其它方面的數據，而數據的來源一般包括：i) 該公司所刊載的財務資料、報告及其它刊物；ii) 其它與公司來往的有關機構(如銀行、法律顧問、監察機構等)；iii) 公開的數據庫(如：標準普爾、報章、分析員報告等)；iv) 該公司的網址；v) 會計師事務所的其它分所；vi) 前度會計師；及vii) 會計師事務所的各合伙人及專業員工。事實上，透過深入了解及分析被審計單位的營運環境及狀況從而更有效地人評價固有風險及進行審計工作已成為現代審計的必然趨勢，各間國際性會計師事務所已將其審計部門由從前每一部門擁有多元化客戶類別改組成每一部門專責處理某一類別的客戶如銀行、保險、證券、電信、船務等。每一類別的業務亦有專責該業務的合伙人負責其聘約。(b) 分析性復核程序對財務表進行分析性復核程序可幫助注冊會計師發現財務報表潛在的錯誤或舞弊；注冊會計師在進行分析性復核時，可將所審計會計期間的財務數據與以下各項進行比較：i) 跟以前年度比較ii) 跟注冊會計師預測的數據比較iii) 跟被審計單位的財務預算或預測比較iv) 跟所在行業平均指針比較而在實施分析性復核程序時，注冊會計師可使用以下方法：i) 比率分析ii) 簡易比較iii) 結構百分比分析iv) 趨勢分析 (c) 詢問企業管理層詢問企業管理層關于企業在被審計年度的經營實況是固有風險評價中的最后一個步驟，也是最直接及最有效的方法。注冊會計師應就其對客戶營運環境研究及對財務報表進行分析性復核程序的結果，向企業的管理層作出查詢，有關查詢應以會議形式進行，以便能對管理層提出的響應實時作出跟進。而討論結果應作為制定審計計劃的基礎。(四) 控制風險的評估(1) 評價內部控制的目的就先前所說，控制風險是指某一賬戶或交易類別單獨或連同其它賬戶、交易類別產生錯報或漏報，而未能被內部控制防止、發現或糾正的可能性。企業管理層設計內部控制的目的為i)確保資產安全、完整及能有效地運用(CoperationControls)。ii)確保企業符合有關的法規、條例及既定的政策和步驟(Compliance)企業以真實、合法和完整的方式記錄會計數據，作為編制財務報表的基礎(financialreportingcontrols)。而控制風險的高低取決于該企業的內部控制系統能否達到以上目的。而注冊會計師應研究和評價被審計單位的內部控制，其主要目的是考慮是否在審計中依賴企業內部控制系統(即采用系統信賴法)，從而減少對相關財務報表認定進行實質性測試，提高審計效率。

(2) 評價控制風險的程序 注冊會計師評價控制風險的程序如圖4所示：圖4對企業內部控制進行初步了對企業內部控制進行初步了解決定是否降低某認定的相應控制風險初步評價控制風險決定實質性測試的範圍，性質及時間復核對控制風險的評價進行符合性測試有關證據是否存在及進行符合性測試是否合符審計效益否否 (a) 對企業內部控制進行初步了解 注冊會計在制定審計劃前，首先需就各個會計循環(如銷售及收入、采購及付款等)的內部控制作一初步了解，了解范圍應包括企業內部控制的以下幾方面：企業的風險評估過程控制環境信息與溝通系統控制程序監察程序 而有關資料可從以下途徑獲得：詢問被審計單位有關人員，并查閱相關文件以復核企業人員所描述的內部政策和程序查閱內部控制生成的文件和記錄(包括組織結構圖、業務流程圖、職務說明、程序注冊及內部審計報告等)觀察企業在進行的業務活動和內部控制的運行情況因此，如果注冊會計師計劃信賴控制系統，便應測試該系統以確定其是否有效。如果系統表面有效(即我們認定系統中已設置了基本的內部控制，例如：核對、審閱、批準的程序等，并且管理部門廢棄(或莽雇)控制活動的可能性是不大的)，則應對其進行檢驗和測試以證明其實際有效。但是，如果系統表面看來無效，例如：沒有明顯的審批程序，甚至有關部門主管也說不出該系統有什么控制點來確保數據準確無誤，那么，注冊會計師便不應對該控制系統進行測試和加以信賴。就正如我們要估計一張椅子是否穩固，我們必先從椅子的外表開始進行評估，只有當我們清楚看見四只完善的椅腳后，才會決定是否進而采用一下部的程序來測試它的穩固性。若從表面觀察已發現該椅子的椅腳已霉爛，甚至長短不一，我們差不多可以斷定這張椅子是不穩固的。另一方面，如果系統表面有效，但我們認為取證將會非常困難，例如：[ ]，以至測試控制系統的成本太高，例如：[]則不應對該控制系統進行測試和加以信賴，而應直接采用實質性測試來取證。正如獨立審計具體準則第5號[審計證據]第九條所列，在通過符合性測試獲取審計證據時，注冊會計師應當考慮以下主要事項：(一)相關內部控制制度是否存在；(二)相關內部控制制度是否有效；(三)相關內部控制制度在有關會計期間是否一貫得到遵循。接，為了加深各位對審計內部控制實際操作的了解，我將會與大家討論下列關于控制風險的實際評價程序和方法：內部控制的要素；例行性交易與非例行性交易；高層次的內部控制與低層次的內部控制；記錄內部控制；符合性測試；及風險的量化問題。內部控制的要素注冊會計師在進行評價內部控制之前，必須首先識別及了解企業的內部控制系統，以確定相關的審計程序。按照獨立審計具體準則第9號第十五條，企業一般會采用的內部控制措施有：i) 交易授權所有交易均需經有關的負責人授權或核準。授權上限一般會清楚列明。ii) 職責劃分公司應有正式的組織結構，清楚界定和分配各個業務范疇(包括控制)的職責，并確立負責制度。權力及責任下放亦應有明確的指引。同時，企業應分開某些職責或工作，避免一個工序由開始至完成都是由同一人負責。分工可減低內部操縱或出現錯誤的風險，也可減低需要額外核對的情況。應當實行分工的職能包括授權、執行、保管、記錄。此外，對計算機化會計系統來說，系統發展和日常的操作亦應有恰當的分工。iii) 憑證與記錄控制這些是記錄職能內的控制，目的是確保將要記錄及處理的交易已獲授權，并已全數及準確地記錄和處理。這些控制包括核對記錄或總數的準確性，設立核對帳、控制帳、電子表格及其它會計文件。iv) 資產接觸與記錄使用這方面的控制主要是指資產的保管，其中包括將接觸資產(直接或透過文件間接接觸)的機會限制于獲授權人員的保安措施或設置賬冊記錄資產的應用情況。這些控制對貴重、輕便、可易于轉讓或有吸引力的資產而言是相當重要的。v) 獨立監察內部控制系統一般均設置專人負責日常交易及記錄的監察工作；較大型的企業還會設置獨立機構(如內部審計部門)，對企業的主要部門進行監察，并向企業的最高權力或決策機構匯報。下列是一個關于一般銀行的內部控制系統的實例：例如：銀行在處理顧客存款及提款時，在收款、發款、記錄和授權方面都有適當的分工。當他們要處理大銀碼的提款時，也需檢查顧客的身份證。而當柜銀行職員要處理超過某特定大銀碼的計算機過帳紀錄時，計算機會停止操作，直至在主任甚至經理授權(通常運用密碼咭授權)后才能繼續。而在金庫方面，只有獲得授權的人員才可進入金庫，開啟金庫的密碼分成兩部份，分別由兩名人員各自保密。在進出口貿易融資的信用管理方面，除了有適當的分工，在審批貸款的權限也分等級，例如：營業主任只可審批一百萬以下的貸款，若遇到一百萬至一千萬的貸款，便需由經理批核，而若是超過一千萬的貸款申請，便要經過高級經理批準才行，在一些特定情況下，可能還需要呈交總經理甚至總行批核。而銀行對借款顧客自身的還款能力及經營狀況也須仔細審查，并且定期更新有關資料。在銀行的財資管理部(或稱資金部)，銀行為每級的交易員設置每日證券交易的額度(采用計算機程序管理)，對于一些小型銀行來說，可能整個證券部門每日交易金額已設定了一個整體的額度。這些額度的設定，加了銀行在投資方面的風險。例行性交易與非例行性交易具體準則第9號第十四條里有說，我們應識別和理解各類主要交易和事項的發生過程，在第十九條、第二十條、第二十二條、第二十三條、第三十三條、第三十四條和第三十五條里也提及不同的交易類別，可是卻沒有具體說明通常包括哪些類別。一般來說，注冊會計師對不同類別的交易，應當采用不同的審計方法，以最低的審計成本，在維持審計風險在可接受的情況下，完成審計工作。因此，注冊會計師一般把企業發生的交易分為例行性交易和非例行性交易，以便選用最有效的審計方法。例行性交易的特性例行性交易是指企業的日常營運交易。例行性交易之特性為：數量多；重復發生；可客觀衡量，決定列帳金額時僅需略作判斷或無需判斷，例如每個步驟只須根據特定的指引；每次交易發生皆以類似方式處理，能以機械式的操作，像在工廠車間一樣。例行性交易雖有上述特性，但如缺乏有效的內部控制，例行性交易發生重大錯誤的風險將會很高。以下是一些常見的例行性交易之類型：現金收入或支出；變現性的項目(例如應收帳項目)；銷售收入；及購買原材料支出。企業管理階層對例行性交易之記錄、處理與報道通常會制訂一套內部控制系統，從而為達成其經營、財務報告及遵循法規的目的，提供合理的保證。例如： 提供及時且正確的財務報告供管理決策之用。例如： 定期編制財務報表，以符合有關財務或稅務法規的要求。例行性交易的另一特性是交易通常可藉高度自動化數據處理系統處理有關交易數據。此種特性允許將營運規則預加載系統中，使每筆進入系統的待處理交易可與預載的標準相比較，然后產生多個比較或差異報告，為進行下一步的內部控制工作，提供進一步監控基礎。非例行性交易的特性非例行性交易是指金額或性質不尋常，或非經常發生之交易。非例行性交易一般有以下的特性：數量相對稀少；無法預測；交易的金額或計價及所屬會計期間必需依靠專業判斷。非例行性交易包括：在某方面屬不尋常的營運交易；例如： 在接近年終所發生之巨額交易。另外，單就銷售而言，銷售本屬例行性交易，但若當中有一巨額交易(遠超平常交易的金額)，這便視為非例行性交易。企業例行性活動以外之營運交易；例如： 并購、處理、舉借及售后租回交易。正常營運以外之會計分錄；例如： 期末或接近其它對外報表日的結帳分錄、更正錯誤分錄、采用新的會計政策之分錄，及不同科目余額間之重分類。此外，非例行性交易所包含的固有風險可能較高，這是因為：會計處理時管理階層干預較多；數據搜集與處理過程有效多的人為干預；計價方法需要較多的判斷；須運用復雜的計算或會計原則。相對于例行性交易而言，非例行性交易之性質可能使管理階層較難或不愿意建立有效的內部控制。因此，重大錯誤的風險可能較高。例行性與非例行性交易的查核方法分辨例行性與非例行性交易的目的主要是為了幫助注冊會計師采用適當的審計測試方法，從而提高審計效率。由于例行性交易交的量多、簡單等特性，而且一般企業均設置內部控制系統處理有關數據和數據，所以注冊會計師對于這些交易一般采用系統信賴法(systems-basedapproach)(即依賴企業的內部控制系統)進行符合性測試。相反，如果注冊會計師打算不依賴企業的內部控制系統，由于例行性交易一般數量很多，注冊會計師很可能需花大量時間進行實質性測試。這些例行性交易的例子有：例行性銷貨、例行性進貨、現金收入與現金支出。但注冊會計師必須注意下列特殊情況：對于某些例行性交易產生之重大科目余額，但它并不屬于重大交易類別的，如查核目的為這余額之完整性、存在性與正確性，采用實質性測試可能較具效率。例如： 固定資產期末余額很大，但年度中只有少量的增添或處分。如內部控制無效，宜采用實質性測試。對例行性交易產生之重大科目余額之評價、所有權、表達及披露等認定之查核，宜采用實質性查核法。例如： 應收帳款的可收回價值例如：[ ]相反，對非例行性交易的查核，由于一般沒有或缺乏有效的內部控制，注冊會計師應采用實質性測試法。高層次內部控制與低層次內部控制當注冊會計師計劃使用系統依賴法后，為了確保采用最有效或最具成本效益的審計方法，注冊會計師應當在了解企業的內部控制過程中，仔細識別高層次內部控制和低層次內部控制。由于高層次內部控制在偵查企業財務數據報錯及漏報方面優于低層次內部控制，所以注冊會計師在進行符合性測試時，應當首先對高層次內部控制進行測試；在沒有相關的高層次內部控制或沒有有效的高層次內部控制的情況下，注冊會計師才應對低層次內部控制進行測試。高層次內部控制的特性高層次內部控制是指企業管理層在企業日常營運的過程中，經常使用的內部控制，這些內部控制一般可以向企業管理層提供下列信息：經由會計系統編制的企業財務及經營數據或數據是準確的；企業的業務正有效地開展及進行；及企業的業務經營符合有關法規的要求。高層次內部控制一般具有以下特點：管理層依賴它們當我們發現管理層非經常使用某一高層次內部控制時，這個內部控制很可能不會對審計工作產生效用，這是因為我們不會預期一個管理層不依賴的控制會正常運作。因此，我們應只測試那些受管理層依賴的高層次內部控制，并找出管理層依賴該內部控制的原因或他們對該內部控制提供數據的滿意程度。由獨立于負責低層次內部控制的人員操作會計處理系統包括很多內部控制對每一程序進行監控，以防發生錯誤。但高層次內部控制一般是設置于上述系統以外的，其主要功能是偵察那些沒有被低層次內部控制阻止發生的錯誤。因此，職責劃分是高層次內部控制的重要因素：操作高層次內部控制的人員不應由操作低層次內部控制的人員兼任。迅速得到跟進處理只有當高層次內部控制識別的差異或不正常數據得到迅速的跟進或改正時，這個內部控制才可稱為有效。注冊會計師應當測試那些有效的高層次內部控制。調節表或對帳報告常見的高層次控制包括經管理層審查及跟進的調節表或對帳報告，例如：信用控制，供貨商月結單調節表，盤存報告，銀行調節表，客戶投訴報告，例外報告，投資部匯報的投資結果報告等。注冊會計師應當測試有效的高層次內部控制。因此，當我們確定這些內部控制是已經存在后，我們須考慮該控制的有效性。我們須關注下列事項：用來對帳的賬戶或報告是否合適？即是說，若賬戶或報告是由不同數據處理系統產生出來，便有核對價值。相反地，若賬戶或報告也是由同一數據處理系統產生出來，只是用不同的格式而已，這便沒有核對的意義了。調節項目是否合適？是否確實是由時間性差異產生？調節項目是否經過相關負責人的調查和迅速的跟進及解決？對于更正調節項目的分錄處理，是否有足夠的控制措施？編制及審查調節表的工作是否分別由合適的兩個人進行？如在上述問題中有部分答案是否定的話，這并不一定顯示該高層次內部控制失效，這只顯示我們需要再作調查。例如：我們發現企業沒有派遣專人檢查供貨商月結單調節表，這情況并不表示企業的內部控制失效。例如根據注冊會計師過往對該企業的審計經驗，得悉負責編制調節表的員工沒有犯錯，企業的采購和付款程序分工令人滿意，那么，企業的內部控制可能依然有效，但企業只依靠低層次內部控制而已。表現指針數據此外，常見的高層次控制還包括表現指針數據。通常某些指標可反映企業運作的情況是否達至管理層所定的業務目標。例如：酒店業便看重客房入住率，零售店便重銷貨量等。而我們更須了解管理層怎樣運用這些指標、比率、比較及趨勢分析來作跟進。管理層可用關鍵性的表現指針與其它數據作比較，從而找出重大的錯報。相關的表現指標及范圍包括：銷售和市場推廣資料：包括生產量，銷售量，接收訂單數量，積壓而未交付的訂貨及市場推廣項目進行后的效果等。采購和生產資料：包括原材料成本和銷售額的比率，以至產成品的盈利等。資產管理數據：包括維修，資產采購，處理和運用。人事資料：包括員工人數，成本和銷售及職員比例。財務資料：包括現金流和利息等。管理層若能運用上述比較資料，分析個中關系，調查非預期的差異及采取跟進行動，這將是有效的高層次內部控制。不同企業有不同的主要表現指標。當我們考慮這些主要表現指標時，須檢討：我們是否已找出客戶業務成功的關鍵因素？我們是否明白為何這些因素具關鍵性？我們是否已找出管理層所采用的高層次內部控制來監控這些關鍵的成功因素？管理系統是否能夠提供這些主要數據？低層次內部控制低層次內部控制一般屬于預防性控制，主要功用為避免產生錯誤的發生。低層次內部控制一般設置在每個數據處理過程里，因此它的數量會多于高層次內部控制。在一般情況下，多個低層次內部控制才等同一個高層次內部控制所提供的審計保證。例如：[]因此，注冊會計師應首先測試高層次內部控制；在沒有高層次內部控制或沒有有效的高層次內部控制的情況下，才測試低層次內部控制。低層次內部控制的例子包括：職責劃分在處理交易的過程中，有關的處理程序分別分配到多位人員負責處理，以避免或減低交易由一人操縱或隱瞞錯誤的風險。物質控制例如： 只許認可人士應用某資產或只許已辦理指定手續的貨物離門貨倉。交易授權例如： 交易必須經過指定人士批準才能生效。記錄內部控制注冊會計師應對擬信賴的內部控制加以了解，并記錄在審計工作底稿上。正如獨立審計具體準則第6號[工作底稿]第九條提到，審計工作底稿應包括該企業的相關內部控制制度的研究與評價記錄。可是,在準則里再沒有更進一步的講解有關這方面的記錄事宜。就實際工作而言，注冊會計師可采用不同類型的形式來記錄，他們應選擇那些能清楚表達和成本最低的表達方法。一般來說，應優先采用客戶提供的有關記錄。例如：對一個簡單的系統，簡潔的說明段落就可以清楚地表達有關信息；若對一個復雜的系統來說，也許問卷和圖表(流程圖)是不錯的選擇，總之，只要這些記錄能有助于了解系統的情況便行了。注冊會計師在記錄客戶的內部控制時，一般的基本書面數據應包括：控制總評表；企業的重大交易種類如何發生、處理，并在財務報表上披露；計劃采用系統信賴法之查核目的，其控制風險為低或適中的初步評估；內部控制過程中用來作初步評估控制風險為低或適中的特定活動；對初步評估控制風險為低或適中的特定活動所計劃的控制測試。當然,記錄數據的多少與詳細程度是受到該企業的規模、復雜度與其內部控制過程的性質所影響的。例如，一間銀行的內部控制情況便不能以幾行文字概述！有一點是值得留意的，記錄內部控制的情況的目的并非為記錄而記錄，否則，單是復印從客戶借來的系統操作手冊以作存盤便可以了事。其主要目的是讓注冊會計師在了解每一內部控制系統時，能客觀地對內部控制系統作出全面的了解和探索；找出適合審計用途的內部控制，并為改進客戶系統提出建議。控制總評表相信大家已很熟悉流程圖和問卷運用，在這里我便不多談了。現在，讓我們談談控制總評表吧！控制總評表除了包括內部控制的組成要素的匯總外，還可以附注有關缺失、改善建議或其它發現。注冊會計師應對每一個或全部的組成要素，考慮所有發現對審核方法的影響。控制總評表應包括：(一) 客戶的風險評估過程注冊會計師須述該企業的風險評估過程以及注冊會計師的評價及建議事項或其它發現。應考慮事項包括：–– 企業是怎樣確認風險的，即是說，風險確認的過程是怎樣的？例如：[]–– 企業為達成企業整體目標而作的風險確認，例如：[]–– 企業達成各階層目的所作的風險分析，例如：[]––企業管理階層變動的過程，例如：[]舉例來說，若客戶是一家紙品制造廠的話，我們須就多方面(具關鍵性的)向管理層了解他們評估風險的過程，當然，還須了解他們是怎樣管理該些預期的風險的：怎樣評估將來是否可以有足夠的資金以供運用(例如購買機器、繳付工資、雜費、購買原材料等)？怎樣管理成本風險(例如木材、運輸等，而石油價格的提升亦可能簡接增加了運輸和生產費用)？怎樣評估原材料來源的風險(例如：原材料主要來自東南亞，尤其是政局不穩的印度尼西亞。)？怎樣評估外匯風險(特別是進口木材)？怎樣評估與收入有關的稅項(例如關稅和增值稅等)？怎樣評估周遭的環境風險(如社會的消費情況，中國加入世貿后的影響或經濟改革措施)？怎評估信貸風險？(二) 控制環境述控制環境，并判斷其是否支持擬用的審計方法。如注冊會計師對控制環境不滿意，那么報表的重大錯報風險可能須評定為高了。在這方面我們應考慮：–– 誠信和道德價值觀；–– 勝任能力；–– 董事會或審計委員會的權力和活動；–– 管理哲學及經營風格；–– 企業的組織結構；–– 權責的配合；–– 人力資源政策與實務。上述的環境因素我們已在前一部份詳細地講解，所以在這我們不再重復了。(三) 信息與溝通系統須述企業信息與溝通系統及其在財務數據報告方面的有效性。在這方面我們須考慮到：–– 傳遞至管理層的報告的適切性、時效性和詳細程度;–– 系統與企業的策略計劃的連結程度；–– 企業內部溝通以及與外部溝通的管道(例如與顧客，供貨商和監管機構等)。(四) 監察程序注冊會計師須了解及記錄一般監督及控制活動。例如：–– 管理階層如何復核績效，與預算、預測、前期和其它競爭者的數據相比較；–– 管理階層追考核問題的因由和跟進報告的方法；–– 各部門負責經理如何復核績效報告；–– 經營報告與財務報告系統的調節或整合；–– 述一般信息技朮控制。在信息技朮控制這方面，我們應考慮：–– 應用系統之開發與維護；–– 數據存取控制；–– 計算機操作；–– 系統軟件的購置與維護。–– 述內部審計功能，并判斷內部審計的可倚賴程度。在這方面，我們應考慮：–– 內部審計在組織架構的地位；–– 管理階層的指令；–– 當年度內部審計計劃；–– 獲取記錄以及內部審計工作的其它限制；–– 專業準則的應用。當注冊會計師已搜集及記錄以上各方面的了解及評估各方面的情況后，便須進行總結一下總整體的情況，包括：該企業的風險評估過程是否令人滿意？控制環境整體來說是否理想？信息及溝通系統是否能讓訊息有效地交流？管理層在審查財務數據及營運方面的報告時，是否有效地發揮其監控功能？計算機信息控制系統方面是否令人滿意？內部審計是否有效？就上述問題，若答案在整體方面是正面的話，注冊會計師便可初步判斷該企業的系統是可倚賴的，繼而設計符合性測試。相反，注冊會計師便應開始設計實質性測試。符合性測試綜上所述，注冊會計師只有在下列條件完全滿足時才須進行符合性測試：有關交易屬于經常性交易；注冊會計師信賴企業的有關內部控制；信賴這些內部控制而減少的實質性測試的工作量大于符合性測試的工作量。注冊會計師在設計符合性測試時，應當注意下列事項：(1) 首先測試高層次內部控制，在沒有相關的高層次內部控制或沒有有效的高層次內部控制的情況下，才測試低層次內部控制。例如： 當審計企業的銀行現金時，注冊會計師應當首先進行審閱銀行調節表這種屬于高層次內部控制的審計方法。這比測試每一項交易通過多個低次層次內部控制(例如：部門主管、會計部主管及董事的批準、記賬分錄等)更為有效率。符合性測試重點重測試高層次控制的跟進工作。例如：當對客戶管理層所采用的調節表進行符合性測試時，注冊會計師不僅須查看在調節表上管理層的批準簽署，還須審閱在調節表上有否記錄跟進工作的事宜和結果，以證明有關的跟進工作已經執行。例如：在檢查銀行調節表時，可檢驗調節項目在下一期里是否己獲清除；審查重大調節項目的原因是否已列在調節表上。此外，注冊會計師就客戶管理層運用表現指標數據作趨勢分析或財務計劃控制進行符合性測試時，應留意管理層有否進行跟進工作；例如，當銷售情況跟預期指標出現差異時，管理層及銷售部門有否開會檢討，再步署改善措施？注冊會計師是否可以檢閱有關的會議記錄？假如企業不能提供這些記錄給予注冊會計師查閱，注冊會計師便不能依賴這項高層次內部控制措施了。采用詢問及觀察等方法須注意事項。以上例子列出了注冊會計師須檢查一些書面證據來作符合性測試，但在一些情況下，當書面證據不存在時，我們便須運用其它技巧來取證了。若在檢閱銀行調節表時，注冊會計師發覺沒有任何書面證據證明客戶已跟進了調節項目，我們可向有關人士查詢那些調節項目的本質和跟進過程，如客戶能馬上作出合理響應，這也表示了調節表沒有被置諸不理，而注冊會計師亦可同時再檢閱那些調節項目是否已在下期清除掉，從而確認客戶的口頭響應。由此可見，詢問亦是注冊會計師在執行符合性測試的手段之一。但是，值得留意的一點是，若客戶每次均能鴻辯濤濤的提供滿意的答案時，這并不一定代表該控制是存在的，相反，客戶可能隱瞞事實，這時，注冊會計師必須提高警覺。此外，注冊會計師往往也需運用觀察來進行符合性測試，例如當開啟收到的信件及支票時，客戶的兩名員工必須在場，從而互相監視整個過程。客戶的貨倉管理員一定在收到出貨單后才發送貨物，注冊會計師須實地觀察上述內部控制是否真正實施。須留意，觀察應采用「突擊」的方法，切勿事先張揚，否則，客戶可事先妥善安排和準備，隱瞞事實真相。符合性測試的例子現在，讓我們試用一例子來說明如何計劃符合性測試。客戶采用永續盤存制，并定期進行盤點，以確定存貨的實數與賬面記錄相符，有關的內部控制序如下：客戶每月均進行盤點；盤點每組組員由兩名人員組成，這兩人分別來自會計部門和儲存部門。盤點后，會計部人員按照盤點結果編制盤點報告，并比較盤點報告與存貨記錄，當發現較大差異時(例如：差異大于某一數量或金額)會計部會派遣另一組人員進行重點該項貨品。然后，會計人員編制差異報告。會計部人員負責找出重大差異的原因，并須把原因列于上述差異報告中。經會計主管批準后，差異報告傳至財務總監進行審閱。經財務總監批準后，會計部人員編制會計分錄，調整有關差異；有關的調整分錄也需獲得財務總監的批準。存儲部人也需調整有關的存貨記錄。會計部派人審查存儲部所作的調整，以確保有關調整正確無誤。會計部派人每月抽查及重點小部分存貨，以確定盤點報告的準確性。財務總監在每月舉行的部門營運會議中，討論有關存貨問題，其中包括盤點差異和存貨量的變化等。有關討論的內容及決定列于會議記錄中。注冊會計師對于上述企業存貨“存在＂的認定，可實施以下的符合測試：收集全年的差異報告和部門會議記錄，查閱這些文件是否載有跟進行動，例如：差異的原因和有關盤點差異的討論等。(注意：上述差異報告和部門會議記錄可視為高層次內部控制，注冊會計師必須測試企業是否執行有關控制程序。)抽查其中兩個月份的差異報告，確定有關差異是否已被調整，并經過上述的審批程序。(注意：注冊會計師應運用專業判斷，決定抽查樣本的數量。)假如上述符合性測試的結果滿意，注冊會計師便可依賴客戶對于存貨“存在＂的認定的內部控制，從而減少實質性測試的工作量(例如：不須逐筆抽查進貨或出貨單據及有關批準程序；實質性測試只集中在年末的盤點結果)。相反，如上述符合性測試的結果不滿意，注冊會計師便不可依賴客戶的有關內部控制。并須增加實質性測試的工作量(例如：須對進貨或出貨單據及有關批準程序進行逐筆抽查)。總結由于獨立審計準則對實則性測試已有詳盡的介紹，同時，注冊會計師在進行實質性測試時所遇到的困難一般比符合性測試為少，因此，本人不會深入討論實質性測試。此外，為了助大家了解及牢記這次討論的要點，本人已將討論要點列示如下：注冊會計師在進行固有風險評估時，應擴闊眼界，考慮