【正文】 規(guī)模、頻率及時間，懸而未決理賠的發(fā)展和分攤損失而調整的費用。識別的風險應與不同的風險類型相關聯(lián)（信用、市場、業(yè)務、運營和保險風險）。穿行測試應是充分的、詳細的，以確認是否所描述的就是實際發(fā)生的。 第二十條 流程圖和穿行測試 應對不同類型的業(yè)務流程做穿行測試，并編制流程圖。交易處理所采用的系統(tǒng)整合所有的業(yè)務處理，該系統(tǒng)包括銷售人員獲取商業(yè)信息的系統(tǒng)、風險管理系統(tǒng)以及財務控制使用的內部結算及支付系統(tǒng)、總帳系統(tǒng)和管理信息系統(tǒng)。審計通知以郵件的形式發(fā)送至被審計單位的主管，同時抄送公司管理層。 第十三條 監(jiān)管環(huán)境 審計人員應明確主要的監(jiān)管機關，確保已了解監(jiān)管環(huán)境，并已考慮重要的監(jiān)管約束。 二、審計項目之選擇 根據確定的可審計單位，審計部門主管應充分考慮以下因素，確定年度審計項目，編制年度審計計劃。所有包含于年度審計計劃中的審計項目均應編號。 第五條 審計制度 公司制定《公司內部審計制度》。協(xié)助公司管理層發(fā)現業(yè)務發(fā)展中可能存在的風險，并提出如何建立適當的制度、內部控制系統(tǒng)和程序來充分地、有效地管理控制風險。 第四條 審計范圍 審計工作范圍涵蓋公司全部業(yè)務。年度審計計劃編制的目的在于： 一、確保審計工作滿足公司內部管理和外部監(jiān)管的需 要； 二、使審計部門與被審計單位之間在工作安排方面協(xié) 調一致； 三、確保審計項目的時間和人員安排充分并且適當。 以審計工作的可操作性考慮，審計范圍整體應分成若干個可審計單位。 第十一條 審計項目計劃的目的 每一審計工作皆須經過適當的事先規(guī)劃，以確保內部審計工作能有效果并有效率地完成，同時符合內部審計部門的審計作業(yè)方法和程序以及有關法律法規(guī)的要求。 第十六條 初步會議 每一審計項目在現場工作實施之前，應提前足夠的時間開始計劃?？蓮墓緝炔炕蚬就獠揩@得對業(yè)務系統(tǒng)的總體了解。如果管理層無法提供最新的組織架構圖，應要求其編制，并將該問題做書面記錄。 二、穿行測試： 在穿行測試中，審計人員從頭到尾觀察一個樣本（一個或可能的話兩個交易）以確定審計人員對系統(tǒng)或流程的了解，并協(xié)助識別流程中的重要控制點。任何確認的修改應在審計工作底稿中保留修改依據。 死亡率風險是由于死亡的發(fā)生或非發(fā)生而引起現金流的時間和金額的偏差。它包括信譽風險，它不是直接的或是第二順序影響運營的風險。外部欺詐由公司外部人員的犯罪或欺詐行為而引起的損失。RCM是重要的審計檔案，用于歸納相關風險、控制、測試及審計結果。 （三）風險足跡 在評估固有風險前，審計小組根據“標準業(yè)務單位”的風險足跡完成固有風險評級。高級風險對業(yè)務目標和/或價值驅動力的影響是重大的。 影響風險可能性的因素：交易量大，其他情況相同時，意味著與交易量小相比更高的錯誤可能性。 修正性或發(fā)現性控制: 一種在事情發(fā)生后通過“調整”（即更正）以確保風險不會變大的控制。 終端用戶: 某些控制流程可能運用終端客戶應用程序例如電子表格、數據庫和終端用戶編碼。 關鍵控制登記表/測試工作表如附件8。 使用選擇的風險足跡作為剩余風險影響和可能性評分的基礎。審計人員應考慮，在一個“過度控制”的情況下，哪個控制是“關鍵”的。 注意，管理層可能不能理解即使存在控制以預防風險的產生，但風險仍會存在。 識別關鍵控制?？傮w審核同樣能幫助決定需要包括在審計報告執(zhí)行摘要中的關鍵風險領域（一些問題和缺陷應合并成一個發(fā)現）。 如果一個關鍵控制被評估為無效，通常情況下不用進行測試。 注釋：測試深度 下表可以用來作為測試運行有效性水平的指導：控制 設計固有風險嚴重高級中級低級高級降低測試有效性（TOE）測試有效性（TOE）減少有效性測試（Reduced TOE）X中級降低減少有效性測試（Reduced TOE）減少有效性測試（Reduced TOE）XX 注釋：測試方法 有多種方法來執(zhí)行測試以獲取審計證據。檢查是高級有效的測試形式，因為他們能為審計人員的結論提供更需要的證據支持。 二、記錄測試程序 每一個測試程序應清楚地記錄在關鍵控制記錄表/測試工作表中。 測試結果；及 在測試控制有效性時，審計人員應定義控制發(fā)生的總次數。 絕對確信樣本總量能被定義；及 以下情況應使用非統(tǒng)計抽樣： 可信賴的水平；及必須在關鍵控制登記表/測試工作表中記錄樣本選擇的基本原理/標準，樣本測試程序和測試結果。 控制運行的種類和頻率； 注釋：判斷樣本量 在所有情況下，一個清晰的選擇樣本量的基本原理/標準應記錄在適當的控制文件中。 簡單隨機抽樣需要所有項目被抽到的機會是相等的?？蓪颖究偭砍詷颖玖康玫健；蛘撸x擇所有發(fā)票號1000至1050 。測試通常包括“是/不是”決定 – 盡管是或不是被正確執(zhí)行。 因此，項目越大，被抽樣選到的機會就越大。 各層相互不包括：樣本總量中的每一元素必須分到一個層中。在工作表中記錄的結果是總結性水平，應編制充足詳細的支持性工作底稿，供獨立審核，理解結論確切如何得出?？蛻舢a生并持有的證據最不可靠； 控制的重要性和是否有其他控制存在可以減輕失?。?為什么發(fā)生？ 根本原因，描述什么導致目前的狀況。在運行有效性測試的基礎上，更新在設計評估階段的控制評估。考慮被審計客戶的反饋，及同意，更新評估（RCM）。 確保執(zhí)行的工作及編制的記錄遵循受權調查范圍，能充分支持提出的問題，及所有發(fā)現已被提出。 審計工作是根據同意的范圍執(zhí)行的； 編制工作底稿的人員的能力和經驗；計劃階段應在現場工作開始前得到復核，現場工作應在報告開始前得到復核。與審計客戶的審計結束會議應在審計的最后階段正式召集，討論問題及缺陷表中的審計發(fā)現，問題及建議，并取得管理層的同意。如果審計小組不能使管理層 信服，應由更高一級的審計人員及管理層處理。第七章 審計報告 本步驟的目的是確保執(zhí)行摘要（意見和主要發(fā)現）及報告內容被適當的高層批準。 在詳細發(fā)現完成前確定審計等級。必要時還應抄報中國建設銀行股份有限公司。 二、執(zhí)行摘要 執(zhí)行摘要包括3部分：本審計報告包含的審計發(fā)現及建議，是為了改善內部控制的有效性，解決/降低受反洗錢作業(yè)影響的與業(yè)務目標、價值驅動力及其他業(yè)務領域有關的風險。 總體意見描述及支持基礎如下表：審計意見描述不滿意揭示出的控制薄弱對該領域的風險影響是不可接受的。 注釋：管理層風險意識 總體意見是根據審計開始日的情況發(fā)表的。相關管理層正積極地采取措施，并已制定行動計劃來采納審計建議。通常情況下，審計人員應問以下問題：該建議的行動應詳細充分，以便閱讀者能理解業(yè)務單位可采取的特定行動。如果審計部門覺得問題已得到了充分的解決，會在審計報告中備注該影響。一個有效的審計發(fā)現同樣需要告訴閱讀者發(fā)現造成的影響；風險等級：依據風險足跡； 建議：每一項查核發(fā)現同樣需要給管理層一個匯總的解決發(fā)現的行動的建議。 審計報告格式詳見附件10。 管理層回應：同意，不同意或已完成； 負責人：負責采取行動的管理層名字；負責人職位； 到期日：負責人設定的完成日期。對已解決問題的檢查應在審計過程中，不應延遲到審計報告已完成后。審計人員需要確保管理層的行動及執(zhí)行期限對每個發(fā)現的程度來說是適當的。 如果改正，是否不單改正當前狀況，而且能防止將來再發(fā)生同樣的及相關的狀況？ （一）查核發(fā)現章節(jié)的構成 確保問題和缺陷表中所有同意的發(fā)現被正式記錄在審計報告的相關部分。如果當時的情況是風險沒有被充分的控制及剩余風險較高，審計人員將相應決定審計意見。不充足揭示出的控制薄弱對該領域的風險影響是嚴重的。XX是審計小組的負責人。 總體意見； 報告送呈限制在內部，按照“需要知道”原則；本審核的目的是確保報告的正確性，及與結束會議上討論的一致。 完成工作底稿與審計文檔的復核； 注釋：行動計劃 可能需要一個或多個行動步驟來解決每一個審計意見，這取決于問題的屬性和復雜性。 因此，至少最終負責該程序（及負責執(zhí)行任何行動計劃）的管理層成員應被邀請。 在清理復核要點時，工作底稿應提供足夠的證據說明提出的問題得到了解決。 復核人員直接參與工作的程度。 審計工作是根據專業(yè)的標準執(zhí)行的； 確保工作底稿是充分的，外部機構能充分信賴已執(zhí)行的工作，特別是測試可重新執(zhí)行。 任何同意的控制差異應制定一個行動計劃。 關鍵控制測試運行有效性發(fā)現不足，將影響在設計評估階段評估的控制。 審計人員應記錄他/她比較了什么標準，測量出缺陷。持續(xù)資料的收集，直到審計小組確信所有可能的偶然因素都已識別。在這種情況下，可能需要擴大測試，包括重新執(zhí)行控制，或者尋找一些其它確定的證據，表明控制實際上是運行的但沒有證據。注釋：少數例外情況發(fā)現采取的行動少數或占比很少的測試項目沒有達到測試標準，審計人員應考慮進一步證據，是否這些例外情況是單獨的或它們是否給控制滿意運行帶來問題。 注釋：審計結論滿意的結果 – 測試結果沒有顯示任何例外情況及因此指出控制運行有效。 所有文件應與其支持性文件做好交叉索引。每一層采用隨機抽樣。 貸方余額及余額為零時對價值加權抽樣形成困難。 如果樣本的支持性文件丟失，阻礙適當的測試，可被視為一個錯誤。 判斷抽樣在選擇樣本中使用審計人員的判斷。例如，抽樣間隔可以是75，選擇三個隨機起點，每個隨機起點開始各選擇20個樣本。在規(guī)模中的每一項必須代表一個號碼。 控制執(zhí)行的頻率？ 控制執(zhí)行的頻率越少，需要越少的樣本量來決定控制是否按照設計運行。在一些情況下，不大可能測試年度控制。 測試的結果是否定的，應擴大樣本量，評估差異是否是機構性的或偶然的； 可信賴的水平定義了需要從審計測試結果中得到的信心的水平。 不需要可測量，因為結果不需要推斷；