如何评价内部控制与审计风险

如何评价内部控制与审计风险

萧伟强

2000年6月

(一) 内部控制与审计风险概论

(1) 审计风险的函义

按照独立审计基本准则，独立审计的目的是对被审计单位会计报表的合法性、公

允性及会计处理方法的一贯性发表审计意见。审计风险是指会计报表存在重大错

报或漏报，而注册会计师审计后发表不恰当审计意见的可能性。

至于注册会计师为何要评价被审计单位的审计风险及应如何评价审计风险以减低

或避免发表不恰当审计意见的可能性，将会是这个讲义的主要内容，也是整个审

计过程中的关键。

(2) 评价审计风险的重要性

(a) 决定审计资源分配，使审计工作有效地进行。

注册会计师对被审计单位会计报表进行审计时采用的审计方法大致可分为以下两

种；

(i) (Risk-drivenaudit)，

(ii)

险后，分析有关审计风险对财务报表认定的影响，按照审计风险分析结果，

序的审计方法并不考虑审计风险的程度，采用预先制定的标准审计程序进行

审计工作，最终可能导致低风险的审计科目所得的资源过多，而高风险审计

重风险的审计方法，对被审计单位的审计风险进行评价，以便决定审计资源

应如何分配，使审计工作有效地进行。一般而言，主要审计负责人的经验和

企业，应安排较具经验的审计人员，如高级经理负责主理；另外，高风险的

审计项目通常需要超过一个合伙人和经理负责处理，以确保审计风险能降至

可接受水平。

另外，评价审计风险后不单可决定审计资源应如何分配到各个会计科目；若

被审计单位是一家拥有多间分行或多家子公司的机构或从事不同类型行业

的跨国性企业时，注册会计师还可按照对各个分公司或子公司进行审计风险

评价后的结果，决定那一家分公司、子公司或那一类别的行业应获分配较多

审计资源。

(b) 决定需获取审计证据的类别

独立审计准则第5号规定注册会计师判断审计证据是否充分、适当、应考虑审计

风险；当注册会计师了解及分析被审计单位存在的审计风险后，注册会计师需判

断应获取审计证据的类别；若被审计单位的固有风险及控制风险(将于第二节中作

详细讨论)较高时，注册会计师需获取可靠程度较高的审计证据。而审计证据的可

靠程度可参照下列标准来判断：

?书面证据比口头证据可靠；

?外部证据比内部证据可靠；

?注册会计师自行获得的证据比由被审计单位提供的证据可靠；

?内部控制较好时的内部证据比内部控制较差时均内部证据可靠。

图一说明了审计风险分析结果如何影响需获取的审计证据类

图一

(c) 考虑应否接受聘约

除非在被审计单位特别要求情况下，所有审计项目均采用抽样审计方法进行。但

由于财务报表的真实性及可靠性乃建基于管理层的诚信，故只要采用抽样审计，

所有审计项目均存在审计风险；问题是该等审计风险是否不可控制或不可接受；

而评价审计风险的其中一个目的，是透过了解及分析被审计单位存在的固有风险

及控制风险后，注册会计师判断有关风险水平是否不可控制或不可接受，并考虑

应否接受聘约。

(d) 制定整体审计计划

注册会计师在评价及衡量被审计单位的固有风险及控制风险后，可按照风险评价

结果制定相应的审计计划，决定各审计程序(包括符合性测试及实质性测试)实施

的范围、时间和性质。

(e) 降低注册会计师的营业风险

注册会计师的营业风险是指其所执行的每项聘约都有可能使会计师事务所面临诉

讼、赔偿、损坏名声的风险。

意思是虽然注册会计师已按照独立审计准则进行审计工作及发表其审计意见，被审

计单位或使用其财务报表的其它人仕仍可能对注册会计师提出控告。就算注册会

计师最后被判胜诉，有关诉讼已对该注册会计师的名誉造成一定程度的影响。于

七十至八十年代，注册会计师就其对财务报表发表意见而需面临的诉讼多数集中

在英国及美国两个国家，而发生的案例并不算多，所涉及的赔偿金额一般较轻；

但于近十年，注册会计师由于专业疏忽而需作出赔偿的例子在西方国家(不仅在英

国及美国)与日俱增，虽然大部份的案件所涉及的赔偿金额都没有被公布，但一般

相信都是可观的数字。至于在国内及香港，近年亦有多宗涉及注册会计师就其发表的审计意见而需面临诉讼或调查的个案被传播媒介广泛披露，虽然有关案件暂时未有涉及任何赔偿金额，但对注册会计师的名誉已造成一定影响。

从上述可见，营业风险有可能对注册会计师造成极大伤害(包括金钱赔偿及名誉方面)。虽然注册会计师不能直接控制营业风险水平，但透过了解及分析被审计单位的审计风险，尤其是固有风险，注册会计师可从客户甄选过程中辨别那些高风险的聘约，并考虑拒绝接受有关聘约，从而降低面临诉讼的可能性。

结论：

总括而言，由于审计风险评价可使审计工作有效地进行及降低审计风险及注

也是各国注册会计师监管机构所提倡的审计方法。事实上，多个中国注册会计师独立审计具体准则也提及审计风险的重要性，以下节录了部份有关涉及中国注册会计师在接受及执行聘约时需考虑审计风险的独立审计具体准则及规条作为参考：

事实上，按照上述独立审计具体准则，注册会计师在多个审计阶段均须衡量审计风险，例如：

?在承接审计业务时，考虑是否接受委聘；

?在编制审计计划时，确定所需要的审计程序的性质、时间和范围；

?在编制具体的审计程序时，确定所需的审计测试内容；

?在编制审计报告时，考虑出具合适的审计意见。

基于上述原因，审计风险的评价在整个审计过程中是非常重要的，直接影响后续

审计工作的进行及注册会计师面临诉讼的可能性。

(3) 内部控制与审计风险的关系

本讲义的标题为「如何评价内部控制与审计风险」，到底内部控制与审计风险存在

什么的关系呢？在这环节里将会作简单介绍。

上一环节提及多个独立审计具体准则均提及评价审计风险的重要；而独立审计具

体准则第9号「内部控制与审计风险」更将内部控制及审计风险放在同一个准则

里，规定注册会计师在评价审计风险时需研究被审计单位的内部控制，主要基于

要了解内部控制与审计风险的关系，需首先介绍两种注册会计师可选择采用的审计

策略；i)系统信赖法(System-based approach or Reliance approach) 或ii)实

质性测试法(Substantive approach)。系统信赖法指注册会计师透过测试被审计

单位内部控制的有效性而减少对相关财务报表认定进行实质性测试的策略。而实

质性测试指注册会计师完全不依赖内部控制，直接对财务报表帐目金额获取审计

证据。

根据独立审计具体准则第9号，内部控制指被审计单位为了保证业务活动的有效

进行，保护资产的安全和完整、防止、发现、纠正错鋘与舞弊，保证会计数据的

真实、合法、完整而制定和实施的政策与程序。从以上内部控制的目标及功效来

看，若被审计单位的内部控制健全，该企业便可透过内部控制系统的运作防止及

纠正在日常营运中错误及舞弊的发生，从而减低了会计报表存在重大错误或漏报

的可能性。因此，当其它条件如固有风险水平一致时，被审计单位的内部控制越

方法时，必须研究及评价被审计单位内部控制的有效性，从而确定审计风险水平；

而对于那些具备有效内部控制的会计循环(Accounting cycle)如销售与收款循环

或采购与付款循环等，其对应的审计风险必然较低，在此情况下，注册会计师便

可在审计过程中较大程度依赖被审计单位的内部控制系统，减少实质性测试的程

序；相反，对于那些内部控制较为薄弱的会计循环，其对应的审计风险必然较高，

注册会计师使应较少依赖或不应依赖内部控制，而需实施较多的实质性测试程序。

(二) 审计风险的组成要素及其相互关系

(Tisk-drivenaudit)里的重要性已在第一环节里跟各位讨论。注册会计师若要有效地评价内部控制及审计风险，必需首

先了解审计风险的组成要素及其相互关系。以下部份将会将过介绍审计风险模型

以探讨审计风险的组成要素及其相互关系。而注册会计师在制定审计计划时，一

般会运用审计风险模型的概念去决定需获取多少审计证据。

(1) 审计风险模型

独立审计具体准则第9号[内部控制与审计风险]第三条指出，审计风险包括固有

风险、控制风险和检查风险。审计风险与其构成要素的相互关系一般以下列公式

表示：

审计风险=固有风险x控制风险x检查风险

固有风险：指假定没有相关的内部控制，某一账户或交易类别单独或连同其它账户或交易类别出现重大错误或漏报的可能性

控制风险：指某一账户或交易类别单独或连同其它账户或交易类别产生错误或漏报，但没有透过内部控制而防止、发现或纠正的可能性

检查风险：指某一账户或交易类别单独或连同其它账户或交易类别产生重大错报或漏报，但未能透过实质性测试发现的可能性

上述组成元素及其相互关系可透过图2作进一步理解

图2

在上列公式中审计风险水平乃作为注册会计师发表审计意见的基础，故注册会计师一般会将审计风险设定在可接受的低水平。

虽然注册会计师不能控制被审计单位的固有风险和控制风险，但通过研究和评价被审计单位的内部控制，注册会计师可对被审计单位固有风险和控制风险的高低进行评估，并在此基础上，确定实质性测试的性质、时间和范围，以降低检查风险，使总体审计风险降低至注册会计师设定的可接受水平。

由于注册会计师一般会将审计风险设定在某一水平，而固有风险及控制风险乃不受注册会计师直接按制，故在制定审计计划时，为决定需获取多少审计证据，注册会计师一般会按照上述的公式计算检查风险如下：

审计风险

检查风险=

固有风险x控制风险

在设定的审计风险水平下，固有风险及控制风险评估结果对注册会计师可承受的检查风险水平的影响如图3所示：

图3

当固有风险和控制风险的综合水平(即公式上的分母)较高时，计算得到的检查风险便会较低，这意味注册会计师需扩大审计范围，将检查风险尽量降低，使整体审计风险降低至可接受的水平。相反，如果被审计单位固有风险较低而内部控制亦能有效地运作，固有风险和控制风险的综合水平会较低(即分母较小)，在设定的可接受审计风险水平下，注册会计师可承受的检查风险可以较高，即注册会计师可减少实质性测试的范围。上述关系如图4所示：

图4

由此可见，通过对被审计单位固有风险和控制风险的评估，注册会计师便可确定实质性测试的样本规模，把审计计划与审计实施过程有机地联系起来。 (2) 评价审计风险需注意事项

注册会计师在评价被审计单位的审计风险时，需特别注意下列事项： (a) 风险量化问题

许多注册会计师认为独立审计具体准则应提供具体的风险量化指引或方法(即在甚么情况下，固有风险须定为高？在甚么情况下，控制风险须定为低？)；独立审计准则没有提供这些风险量化指引的主要原因是：

––评价审计风险各组成元素(即固有风险，控制风险和检查风险)的风险水

平时需考虑的因素太多，根本不可能列出所有情况的操作方法，尤其是风险往往是众多因素相互影响的结果。

–– 在相同的因素或情况下，不同的注册会计师可能由于经验或专业水平

的差异而作出不同的风险评估。

–– 过于具体的准则或指引将使审计工作由一项专业判断性工作变成一项

机械的证据搜集工作。

因此，审计风险评价及审计风险模型应作为协助注册会计师将风险与审计证据连击起来的一个概念；在实际应用时，注册会计师应将所有影响固有风险及控制风险的各种因素进行了解及分析后，以本身的经验及运用专业判断去

正 ： 正 面 關 系 反 ： 反 面 關 系

反

需 透 過 實 質 性 測 試 獲 取 的 審 計 證 據

评价整体审计风险，从而制定相应的审计程序将审计风险降至可接受水平。

切勿以划一的风险量化公式计算风险水平。

(b) 风险与接受聘约问题

对被审计单位进行审计风险评价后需作出第一个决定为应否接受聘约。在作出这个决定时，注册会计师需注意两点：

?对于被评为高风险的审计项目，注册会计师不一定要拒绝接受聘约，

问题是该风险程度的水平是否高至不可控制或不可接受；若注册会计

师能透过实施的相应审计程序将审计风险降至可接受水平，则该聘约

应可被接受。

?在考虑是否接受聘约时，应首先考虑被审计单位的固有风险，若固有

风险被评为低水平，注册会计师才进一步考虑控制风险；但若固有风

险的水平偏高，注册会计师应考虑有关风险会否已导致整体审计风险

高至不可控制或不可接受水平，而无须再考虑控制风险。主要原因是

固有风险是计风险中最重要的组成部份，而影响固有风险的主要因素