第三節 控制測試

　　一、控制測試的含義和要求(教材340)

　　(一)了解內部控制與控制測試(重點理解和掌握)

　　1.了解內部控制(教材P298)

　　(1)注冊會計師在了解內部控制時，應當評價控制的設計，并確定其是否得到執行。

　　(2)評價控制的設計是指考慮一項控制單獨或連同其他控制是否能夠有效防止或發現并糾正重大錯報。

　　(3)控制得到執行是指某項控制存在且被審計單位正在使用。

　　(4)設計不當的控制可能表明內部控制存在重大缺陷，注冊會計師在確定是否考慮控制得到執行時，應當首先考慮控制的設計。

　　(5)如果控制設計不當，不需要再考慮控制是否得到執行。

　　2.控制測試(教材P340)

　　(1)控制測試指的是測試控制運行的有效性。

　　(2)控制測試是為了獲取關于控制防止或發現并糾正認定層次重大錯報的有效性而實施的測試。注冊會計師應當選擇為相關認定提供證據的控制進行測試。

　　(二)獲取關于控制運行有效的證據(教材P341，請重點理解和掌握)

　　注冊會計師應當從下列方面獲取關于控制運行有效證據：

　　1.控制在所審計期間的不同時點是如何運行的;

　　2.控制是否得到一貫執行;

　　3.控制由誰執行;

　　4.控制以何種方式運行(如人工控制或自動化控制)。

　　(三)控制測試的要求

　　1.兩種情形

　　當存在下列情形之一時，注冊會計師應當實施控制測試：

　　(1)在評估認定層次重大錯報風險時，預期控制的運行是有效的;

　　(2)僅實施實質性程序不足以提供認定層次充分、適當的審計證據。

　　2.預期控制運行有效時應當實施控制測試

　　如果在評估認定層次重大錯報風險時預期控制的運行是有效的，注冊會計師應當實施控制測試，就控制在相關期間或時點的運行有效性獲取充分、適當的審計證據。

　　3.出于成本效益的考慮

　　出于成本效益的考慮，注冊會計師可能預期，如果相關控制在不同時點都得到了一貫執行，與該項控制有關的財務報表認定發生重大錯報的可能性就不會很大，也就不需要實施很多的實質性程序。因此，只有認為控制設計合理、能夠防止或發現和糾正認定層次的重大錯報，注冊會計師才有必要對控制運行的有效性實施測試。

　　4.僅實施實質性程序獲取的審計證據無法將認定層次重大錯報風險降至可接受的低水平應當實施控制測試

　　如果認為僅實施實質性程序獲取的審計證據無法將認定層次重大錯報風險降至可接受的低水平，注冊會計師應當實施相關的控制測試，以獲取控制運行有效性的審計證據。

　　5.信息系統更新或變更時

　　被審計單位在所審計期間內可能由于技術更新或組織管理變更而更換了信息系統，從而導致在不同時期使用了不同的控制。如果被審計單位在所審計期間內的不同時期使用了不同的控制，注冊會計師應當考慮不同時期控制運行的有效性。

　　二、控制測試的性質(教材P342)

　　(一)控制測試的性質的含義(教材P342)

　　1.控制測試的性質是指控制測試所使用的審計程序的類型及其組合。

　　2.計劃從控制測試中獲取的保證水平是決定控制測試性質的主要因素之一。注冊會計師應當選擇適當類型的審計程序以獲取有關控制運行有效性的保證。計劃的保證水平越高，對有關控制運行有效性的審計證據的可靠性要求越高。當擬實施的進一步審計程序主要以控制測試為主，尤其是僅實施實質性程序獲取的審計證據無法將認定層次重大錯報風險降至可接受的低水平時，注冊會計師應當獲取有關控制運行有效性的更高的保證水平。

　　(二)確定控制測試的性質時的要求(教材P343)

　　1.考慮特定控制的性質

　　注冊會計師應當根據特定控制的性質選擇所需實施審計程序的類型。

　　例如，某些控制可能存在反映控制運行有效性的文件記錄，在這種情況下，注冊會計師可以檢查這些文件記錄以獲取控制運行有效的審計證據;

　　某些控制可能不存在文件記錄(如一項自動化的控制活動)，或文件記錄與能否證實控制運行有效性不相關，注冊會計師應當考慮實施檢查以外的其他審計程序(如詢問和觀察)或借助計算機輔助審計技術，以獲取有關控制運行有效性的審計證據。

　　2.考慮測試與認定直接相關和間接相關的控制

　　在設計控制測試時，注冊會計師不僅應當考慮與認定直接相關的控制，還應當考慮這些控制所依賴的與認定間接相關的控制，以獲取支持控制運行有效性的審計證據。

　　3.如何對一項自動化的應用控制實施控制測試

　　對于一項自動化的應用控制，由于信息技術處理過程的內在一貫性，注冊會計師可以利用該項控制得以執行的審計證據和信息技術一般控制(特別是對系統變動的控制)運行有效性的審計證據，作為支持該項控制在相關期間運行有效性的重要審計證據。

　　(三)實施控制測試時對雙重目的的實現(教材P344)

　　1.控制測試的目的是評價控制是否有效運行;

　　2.細節測試的目的是發現認定層次的重大錯報。

　　3.注冊會計師可以考慮針對同一交易同時實施控制測試和細節測試，以實現雙重目的。例如，注冊會計師通過檢查某筆交易的發票可以確定其是否經過適當的授權，也可以獲取關于該交易的金額、發生時間等細節證據。當然，如果擬實施雙重目的測試，注冊會計師應當仔細設計和評價測試程序。

　　(四)實施實質性程序的結果對控制測試結果的影響(教材P344，請重點理解和掌握)

　　1.如果通過實施實質性程序未發現某項認定存在錯報，這本身并不能說明與該認定有關的控制是有效運行的。

　　2.但如果通過實施實質性程序發現某項認定存在錯報，注冊會計師應當在評價相關控制的運行有效性時予以考慮。

　　3.注冊會計師應當考慮實施實質性程序發現的錯報對評價相關控制運行有效性的影響(如降低對相關控制的信賴程度、調整實質性程序的性質、擴大實質性程序的范圍等)。

　　4.如果實施實質性程序發現被審計單位沒有識別出的重大錯報，通常表明內部控制存在重大缺陷，注冊會計師應當就這些缺陷與管理層和治理層進行溝通。

　　三、控制測試的時間(教材P344)

　　(一)如何考慮期中審計證據(請依據教材P345第2段)

　　如果已獲取有關控制在期中運行有效性的審計證據，并擬利用該證據，注冊會計師應當實施下列審計程序：

　　(1)獲取這些控制在剩余期間變化情況的審計證據;

　　(2)確定針對剩余期間還需獲取的補充審計證據。

　　(二)注冊會計師針對期中證據以外的、剩余期間的補充證據應當考慮下列因素：

　　1.評估的認定層次重大錯報風險的重大程度。評估的重大錯報風險對財務報表的影響越大，注冊會計師需要獲取的剩余期間的補充證據越多。

　　2.在期中測試的特定控制。例如，對自動化運行的控制，注冊會計師更可能測試信息系統一般控制的運行有效性，以獲取控制在剩余期間運行有效性的審計證據。

　　3.在期中對有關控制運行有效性獲取的審計證據的程度。如果注冊會計師在期中對有關控制運行有效性獲取的審計證據比較充分，可以考慮適當減少需要獲取的剩余期間的補充證據。

　　4.剩余期間的長度。剩余期間越長，注冊會計師需要獲取的剩余期間的補充證據越多。

　　5.在信賴控制的基礎上擬減少進一步實質性程序的范圍。注冊會計師對相關控制的信賴程度越高，通常在信賴控制的基礎上擬減少進一步實質性程序的范圍就越大。在這種情況下，注冊會計師需要獲取的剩余期間的補充證據越多。

　　6.控制環境。在注冊會計師總體上擬信賴控制的前提下，控制環境越薄弱(或把握程度越低)，注冊會計師需要獲取的剩余期間的補充證據越多。

　　(三)如何考慮以前審計獲取的審計證據

　　1.當控制在本期發生變化時注冊會計師的做法(請依據教材P346倒數第3段)

　　如果控制在本期發生變化，注冊會計師應當考慮以前審計獲取的有關控制運行有效性的審計證據是否與本期審計相關。

　　例如，如果系統的變化僅僅使被審計單位從中獲取新的報告，這種變化通常不影響以前審計所獲取證據的相關性;如果系統的變化引起數據累積或計算發生改變，這種變化可能影響以前審計所獲取證據的相關性。如果擬信賴的控制自上次測試后已發生變化，注冊會計師應當在本期審計中測試這些控制的運行有效性。

　　2.當控制在本期未發生變化時注冊會計師的做法(請依據教材P346倒數第2段)

　　如果擬信賴的控制自上次測試后未發生變化，且不屬于旨在減輕特別風險的控制，注冊會計師應當運用職業判斷確定是否在本期審計中測試其運行有效性，以及本次測試與上次測試的時間間隔，但兩次測試的時間間隔不得超過兩年。

　　3.在確定利用以前審計獲取的有關控制運行有效性的審計證據是否適當以及再次測試控制的時間間隔時，注冊會計師應當考慮的因素或情況包括：

　　(1)內部控制其他要素的有效性，包括控制環境、對控制的監督以及被審計單位的風險評估過程。例如，當被審計單位控制環境薄弱或對控制的監督薄弱時，注冊會計師應當縮短再次測試控制的時間間隔或完全不信賴以前審計獲取的審計證據。

　　(2)控制特征(人工控制還是自動化控制)產生的風險。當相關控制中人工控制的成分較大時，考慮到人工控制一般穩定性較差，注冊會計師可能決定在本期審計中繼續測試該控制的運行有效性。

　　(3)信息技術一般控制的有效性。當信息技術一般控制薄弱時，注冊會計師可能更少地依賴以前審計獲取的審計證據。

　　(4)控制設計及其運行的有效性，包括在以前審計中測試控制運行有效性時發現的控制運行偏差的性質和程度。例如，當所審計期間發生了對控制運行產生重大影響的人事變動時，注冊會計師可能決定在本期審計中不依賴以前審計獲取的審計證據。

　　(5)由于環境發生變化而特定控制缺乏相應變化導致的風險。當環境的變化表明需要對控制做出相應的變動，但控制卻沒有做出相應變動時，注冊會計師應當充分意識到控制不再有效，從而導致本期財務報表發生重大錯報的可能，此時不應再依賴以前審計獲取的有關控制運行有效性的審計證據。

　　(6)重大錯報的風險和對控制的擬信賴程度。如果重大錯報風險較大或對控制的擬信賴程度較高，注冊會計師應當縮短再次測試控制的時間間隔或完全不信賴以前審計獲取的審計證據。

　　如果擬信賴以前審計獲取的某些控制運行有效性的審計證據，注冊會計師應當在每次審計時從中選取足夠數量的控制，測試其運行有效性;不應將所有擬信賴控制的測試集中于某一次審計，而在之后的兩次審計中不進行任何測試。這主要是為了盡量降低審計風險，畢竟注冊會計師可能難以充分識別以前審計中測試過的控制在本期是否發生變化。此外，在每一次審計中選取足夠數量的部分控制進行測試，除了能夠提供這些以前審計中測試過的控制在當期運行有效性的審計證據外，還可提供控制環境持續有效性的旁證，從而有助于注冊會計師判斷其信賴以前審計獲取的審計證據是否恰當。

　　4.不得依賴以前審計所獲取證據的情形。鑒于特別風險的特殊性，對于旨在減輕特別風險的控制，不論該控制在本期是否發生變化，注冊會計師都不應依賴以前審計獲取的證據。因此，如果確定評估的認定層次重大錯報風險是特別風險，并擬信賴旨在減輕特別風險的控制，注冊會計師不應依賴以前審計獲取的審計證據，而應在本期審計中測試這些控制的運行有效性。也就是說，如果注冊會計師擬信賴針對特別風險的控制，那么所有關于該控制運行有效性的審計證據必須來自當年的控制測試。相應地，注冊會計師應當在每次審計中都測試這類控制。

　　教材圖14-1 概括了注冊會計師是否需要在本期測試某項控制的決策過程。

　　四、控制測試的范圍(教材P348)

　　(一)確定控制測試范圍的考慮因素

　　注冊會計師在確定某項控制的測試范圍時通常考慮下列因素：

　　1.在整個擬信賴的期間，被審計單位執行控制的頻率。控制執行的頻率越高，控制測試的范圍越大。

　　2.在所審計期間，注冊會計師擬信賴控制運行有效性的時間長度。擬信賴控制運行有效性的時間長度不同，在該時間長度內發生的控制活動次數也不同。注冊會計師需要根據擬信賴控制的時間長度確定控制測試的范圍。擬信賴期間越長，控制測試的范圍越大。

　　3.為證實控制能夠防止或發現并糾正認定層次重大錯報，所需獲取審計證據的相關性和可靠性。對審計證據的相關性和可靠性要求越高，控制測試的范圍越大。

　　4.通過測試與認定相關的其他控制獲取的審計證據的范圍。針對同一認定，可能存在不同的控制。當針對其他控制獲取審計證據的充分性和適當性較高時，測試該控制的范圍可適當縮小。

　　5.在風險評估時擬信賴控制運行有效性的程度。注冊會計師在風險評估時對控制運行有效性的擬信賴程度越高，需要實施控制測試的范圍越大。

　　6.控制的預期偏差。預期偏差可以用控制未得到執行的預期次數占控制應當得到執行次數的比率加以衡量(也可稱為預期偏差率)。控制的預期偏差率越高，需要實施控制測試的范圍越大。

　　(二)對自動化控制的測試范圍的特別考慮(教材P349)

　　除非系統(包括系統使用的表格、文檔或其他永久性數據)發生變動，注冊會計師通常不需要增加自動化控制的測試范圍。

　　信息技術處理具有內在一貫性，除非系統發生變動，一項自動化應用控制應當一貫運行。對于一項自動化應用控制，一旦確定被審計單位正在執行該控制，注冊會計師通常無須擴大控制測試的范圍，但需要考慮執行下列測試以確定該控制持續有效運行：

　　1.測試與該應用控制有關的一般控制的運行有效性;

　　2.確定系統是否發生變動，如果發生變動，是否存在適當的系統變動控制;

　　3.確定對交易的處理是否使用授權批準的軟件版本。

　　例如，注冊會計師可以檢查信息系統安全控制記錄，以確定是否存在未經授權的接觸系統硬件和軟件，以及系統是否發生變動。

　　(三)測試兩個層次控制時注意的問題(教材P349)

　　整體層次控制測試通常更加主觀(如管理層對勝任能力的重視)。對整體層次控制進行測試，通常比業務流程層次控制(如檢查付款是否得到授權)更難以記錄。因此，整體層次控制和信息技術一般控制的評價通常記錄的是文件備忘錄和支持性證據。注冊會計師最好是在審計的早期測試整體層次控制。原因在于對這些控制測試的結果會影響其他計劃審計程序的性質和范圍。