注册会计师了解被审计单位及其环境后,如何评估重大错报风险?

注册会计师（CPA）在了解被审计单位及其环境之后，评估重大错报风险，这可不是随便看看报表就行的，它是一个既细致又需要职业判断的过程。就像你交了个新朋友，得先了解他的背景、性格、习惯，才能判断他是不是个靠谱的人。审计工作也一样，得先“摸底”，才能知道财务报表有没有“坑”。

首先，得清楚什么是“重大错报风险”。简单说，就是财务报表在审计之前，本身就存在重大错误的可能。这种错误可能是疏忽造成的，也可能是故意舞弊导致的。CPA的目标就是把这个风险降到可接受的低水平。重大错报风险又分为两块：固有风险和控制风险。

了解被审计单位及其环境，这是第一步也是基础。

CPA会从多个维度去了解被审计单位，这包括了：

1. 行业状况、法律法规和外部环境：公司所在的行业景不景气？有没有什么新的法律规定会影响它的运营？宏观经济怎么样？这些外部因素都可能给公司带来经营风险，进而影响财务报表。比如，如果公司在一个快速变化的行业，技术更新快，那么它的存货就可能面临快速贬值的风险，从而影响存货的计价和披露。
2. 公司自身的性质：比如公司的组织结构是怎样的？所有权和治理结构如何？业务模式是什么，是不是高度依赖信息技术？这些都会影响公司经营的复杂程度和风险水平。
3. 会计政策的选择和运用：公司是怎么选择和运用会计政策的？有没有新的会计准则生效？这些政策是不是恰当，有没有可能被用来操纵利润？
4. 目标、战略和相关经营风险：公司管理层有什么目标和战略？为了实现这些目标，公司可能面临哪些经营风险？这些经营风险会不会最终导致财务报表出现重大错报？
5. 财务业绩的衡量和评价：公司内部和外部是怎么评价财务业绩的？有没有关键业绩指标？有没有预算和实际的差异分析？管理层的薪酬是不是跟业绩挂钩？这些都可能给管理层带来压力，促使他们去“美化”报表。
6. 内部控制：公司的内部控制系统是怎样的？有没有建立起一套能够有效防止和发现错报的机制？

CPA通过询问管理层、内部审计人员、采购、生产、销售等不同部门和层级的人员，实施分析程序，以及观察和检查相关文件，来收集这些信息。这个过程不是一次性的，而是贯穿整个审计始终的，是一个动态收集、更新和分析信息的过程。

评估重大错报风险，分两层进行。

了解了这些情况后，CPA就要开始评估重大错报风险了。这个评估是分两个层次的：

1. 财务报表整体层次的重大错报风险：这种风险会广泛影响整个财务报表，跟很多认定都有关系。比如，如果公司的管理层诚信度不高，或者公司的财务状况非常紧张，那整个财务报表都可能存在被操纵的风险。
2. 认定层次的重大错报风险：这指的是针对某类交易、账户余额或披露的某个具体认定（比如存货的“存在”认定，收入的“发生”认定）可能存在的重大错报风险。

对于这两个层次的风险，CPA都要评估固有风险和控制风险。

固有风险和控制风险，这两个概念得搞清楚。

• 固有风险：你可以理解为“事情本身的风险”。在不考虑公司内部控制的情况下，某类交易、账户余额或披露的某个认定，由于其自身的特点，就容易出现错报的可能性。比如，一些复杂的计算、重大的会计估计、非经常性的大额交易，或者涉及主观判断的会计政策选择，这些本身就比常规交易更容易出错。例如，农产品加工企业向农户采购原材料，交易复杂，价格波动大，还有现金交易和白条交易，这些因素都会导致固有风险较高。
  CPA在评估固有风险时，会考虑错报发生的可能性和严重程度。

• 控制风险：这指的是“内部控制的风险”。简单说，就是如果重大错报真的发生了，公司的内部控制没能及时发现或者纠正的可能性。即使公司有再好的规章制度，如果执行不到位，或者制度本身就有漏洞，那控制风险就高。比如，如果公司每月都有财务人员与供应商对账并复核，且对账差异得到调查和说明，那么这项控制的风险就可能评估为低水平。反之，如果内部控制存在缺陷，比如职责划分不明确，或者缺乏有效的审批流程，那控制风险就高。

CPA在评估控制风险时，如果计划测试控制的运行有效性，就会评估相关控制的控制风险。如果CPA不打算测试控制的运行有效性，那么就会直接将固有风险的评估结果作为重大错报风险的评估结果。

特别风险和舞弊风险，需要重点关注。

在评估过程中，CPA还会特别关注一些“特别风险”。这些风险通常是固有风险较高且需要特别考虑的风险。例如，由于舞弊导致的重大错报风险，就是一种特别风险。CPA在识别和评估舞弊风险时，会特别关注管理层凌驾于控制之上的风险，因为管理层可能会故意绕过内部控制来实施舞弊。

CPA会通过分析性复核法（比如对比比率、趋势），关联交易剔除法，现金流量分析法等方法来识别舞弊的迹象。如果CPA识别出管理层未能识别的重大错报风险，特别是舞弊风险，还需要了解管理层风险评估过程未能识别的原因，并重新评估自己的判断。

评估结果，是后续审计工作的指南针。

评估重大错报风险，不是目的，它只是一个手段。评估的结果直接决定了CPA接下来要怎么做审计。

1. 制定总体应对措施：针对财务报表整体层次的重大错报风险，CPA会采取总体应对措施，比如更强调职业怀疑态度，指派更有经验的审计人员，加强督导，或者在审计程序中增加一些不可预见的因素，让管理层难以预料。
2. 设计进一步审计程序：针对认定层次的重大错报风险，CPA会设计和实施进一步审计程序，包括控制测试和实质性程序。风险评估结果越高，就需要获取越有说服力的审计证据。
   • 控制测试：如果CPA预期内部控制运行有效，并且打算信赖这些控制来降低风险，或者仅实施实质性程序不能获取充分的审计证据，那么就会进行控制测试，来验证内部控制的有效性。控制测试会检查控制在不同时点是如何运行的，是否一贯执行，由谁执行，以及以何种方式运行。
   • 实质性程序：无论风险评估结果如何，CPA都必须对所有重大的交易类别、账户余额和披露实施实质性程序。实质性程序包括细节测试（比如核对发票、合同）和实质性分析程序（比如分析销售额和毛利率的波动是否合理）。如果风险评估结果较高，CPA可能会扩大实质性程序的范围，调整审计程序的性质（比如从抽样检查变为全面检查），或者在更接近期末的时间实施实质性程序。

整个评估过程是一个循环往复、不断修正的过程。CPA在实施审计程序的过程中，如果发现新的信息，可能会重新评估重大错报风险，并相应调整审计计划。最终，所有这些评估和判断都需要在审计工作底稿中详细记录下来，包括讨论的结论、获取的信息、实施的程序，以及识别和评估的重大错报风险和相关的重大判断理由。这样才能确保审计工作的质量和可追溯性。