与内控相关的审计工作（穿行测试、控制测试）

上一篇我们介绍了风险评估工作重要性，风险评估做完了，就是做进一步审计程序。进一步审计程序包括了控制测试和实质性程序，两者的内容都不少，本次先对控制测试进行探讨。

在讲风险评估时，我们已经介绍了，风险评估活动是整个审计业务的基础，后面的工作都是与风险评估息息相关，控制测试也不例外。谈到控制测试，就需要跟风险评估活动中的了解被审计单位的内部控制相联系，因为只有先了解被审计单位的内部控制情况，控制测试才有意义。这里我们补充说明一下，了解被审计单位的内部控制和控制测试，这两个业务活动结合在一起，与内审单位的合规性检查、与第三方专门内控机构的内控诊断业务是很相像的，只是侧重点不同。内审和外部内控机构做的会比较细，针对各个业务流程的内控点进行测试，看是否存在问题，而对事务所而言，内控只是审计活动中一部分，主要是了解与审计相关的控制活动，与审计无关的是不需要了解的。有些人可能会说，我做年报审计都没有做过内控相关，这个的主要原因也是跟风险评估一样的，根据业务类型的不同而不同，风险较高的业务就会做的细，风险较低的业务一般就做的随意或者不做。

穿行测试和控制测试如何区分？穿行测试主要是了解被审计单位是否设计并执行了相关的内部控制；控制测试主要是测试内部控制运行的有效性。笔者觉得这句话是与内控相关审计工作的精髓，我们通过下面一个例子将两者关系及审计思路进行说明：

审计人员在对被审计单位采购与付款循环的内控进行了解，假设通过访谈相关人员和查询企业的内控手册得知，采购与付款的控制活动包括：1.需求部门提供请购申请，经需求部门、采购部门负责人、总经理审核后，同意采购—2.采购合同经采购负责人、总经理复核后签订---3.采购货物经质检部门验收后，由仓库部门办理入库—4.对方开票—5.出纳经财务经理及总经理复核后付款。

审计人员通过访谈相关人员和查询企业的内控手册，这个就是了解被审计单位的内控。了解被审计单位已经设计了和采购与付款循环相关的内控后，然后需要评价内控设计的合理性，而不是被审计单位设计了哪些控制点我们就直接进行测试，只有在设计合理的情况下测试其是否得到执行才有意义，如果设计不合理，可能就表明被审计单位内控存在缺陷。根据上述控制点，如果我们认为企业的内控设计合理，那么我们就要对所了解到的这些控制点进行测试，测试其是不是真的按照内控的制度去执行，这就是上述所说的穿行测试。通过追踪一笔采购业务，是否均有通过上述的控制点，如被审计单位向A公司采购原材料，我们需要看这个采购业务是否有经审批的请购单、经审批的采购合同、经验质检人员签字验收单、经仓管人员签字的入库单、采购发票、最后付款是否经审批。如果发现这笔采购业务合同未经审批（我们称之为偏差），那么需要确认偏差的原因，如果偏差属于人为导致的，那应当再做1笔，如果还是有偏差，一般就表明该控制未得到执行。如果控制未出现偏差，那就表明控制已得到执行，就进入控制测试环节，来验证内控是否有效运行。

控制测试，主要是针对关键的控制点进行测试，如上述采购与付款循环中，需要经过1至5个步骤，我们可能认为第2、5步是关键的，拟对其进行测试，其他环节我们认为它对整个采购与付款循环不是那么重要，就不需要进行控制测试了（假设我们了解到第4点对方开票环节，对方经常委托第三方开票给被审计单位，造成收款方与开具发票方不一致，那么我们认为第4个环节可能存在薄弱点，我们就必须将第4点作为关键控制点，进行测试）。我们对第2、5步进行控制测试，就需要找出每个步骤的关键审计证据，比如第2步的审计证据应当是合同经过采购负责人、总经理签字确认，我们所需要选取的样本总量应该是被审计单位全年的采购合同，从中取出若干份，查看是否均有采购负责人、总经理签字确认，如果有签字，说明第2点的控制点是有效的（第5步亦是如此），如果我们拟信赖该控制，那么实质性程序就可以少做一点，如果部分合同未经过签字，就需要考虑偏差率的影响，偏差率越高，需要实施控制测试的范围越大，如果偏差率过高，可能表明该控制运行无效。但是样本量是多少呢，详细见下表：

这里有几点需要关注：

1.穿行测试仅需1笔，而控制测试各个控制点根据发生的频率确定样本量。

2.穿行测试是1笔业务贯穿于各个控制点，而控制测试是对关键控制点进行测试时，各环节之间不要求关联。

3.穿行测试和控制测试做完，后面均需有收集的审计证据支撑，不能仅是底稿记录，无相关审计证据。

4.收集的审计证据一定不能自相矛盾。比如底稿的记录要和收集的证据相符，再如穿行测试的审计证据中，不要出现第2步的审批日期，早于第1步的审批日期。在监管机构对事务所底稿进行检查时，他们一般就是以事务所的底稿为基础进行复核的，由于事务所人员水平参差不齐，底稿质量也是存在较大差异，但无论做的好坏，不要出现那种别人一看就能发现的低级错误。

5.在对上市公司年报进行审计时，事务所需要同时出具内控报告。实务中，有些上市公司的内控执行也不是特别到位，但只要不会产生重大影响，事务所一般不会出具内控缺陷之类的内控报告，所以审计人员在遇到控制偏差时，一般会……不讲太多，结合第4点，怎么操作自己领悟~~~

     以上为执行采购与付款循环的相关内控的大致思路，审计业务还有很多循环，比如货币资金循环、工薪人事循环、销售收款款循环等等，思路都是一样的，主要是根据被审计单位的内控手册及对相关人员的了解，对各个循环的控制进行测试，由于审计底稿表格太多、不同单位的内控设置也可能存在差异，故本次不再对底稿进行深入说明，理论知识也没有写太多，有需要可以结合教材内容进行学习。

  Ps：以上内容仅代表笔者的观点。