【文章內(nèi)容簡介】 鍵控制的目的是為了關(guān)注重要的控制以幫助提高審計測試的效率和效果。 五、與被審計單位確認設計評估 風險和控制評估應與管理層分享。考慮被審計單位的反饋，適當?shù)脑挘略u估（RCM）。確保審計軌跡能完整地證明變化及理由。 （一） 注釋: 固有風險評估 審計人員應與管理層討論已識別的風險和控制的存在性、完整性及其評估。 注意，管理層可能不能理解即使存在控制以預防風險的產(chǎn)生，但風險仍會存在。 注釋: 控制設計評估 目標是： 確認識別的控制已準確地被描述； 確認所有相關(guān)控制已被識別； 確認控制已被準確地映射到相關(guān)的風險； 確認每個控制的重要性 (高級、中級和有限的有 效)； 確認每個風險的控制設計評估；及, 確認識別的任何控制差距或過度控制的地方，及 他們的重要性和行動計劃； 識別關(guān)鍵控制。 （二）問題及缺陷表 任何商定的控制差距都應制定一個行動計劃。相反地，過度控制的地方可能導致重新調(diào)整/合理化控制和運營資源。發(fā)現(xiàn)的問題應記錄在問題及缺陷表上，與相關(guān)的風險/控制矩陣互相進行索引。行動計劃應包括執(zhí)行的完成日期和負責人。問題及缺陷表是RCM上列出所有相關(guān)控制問題的初步登記表（設計和運行有效性）。因此，它可能涉及控制的缺失，控制設計的缺陷，和運行有效性的缺陷。完整的總體審核能幫助發(fā)現(xiàn)是否問題和缺陷存在相同的根源或者相同的地方。總體審核同樣能幫助決定需要包括在審計報告執(zhí)行摘要中的關(guān)鍵風險領(lǐng)域（一些問題和缺陷應合并成一個發(fā)現(xiàn)）。 問題及缺陷表如附件9。第五章 測試運行有效性 第二十四條 記錄測試程序 本步驟的目的是編制書面的測試程序，包括適當?shù)臏y試目的，詳細描述測試深度，及測試方法。 一、記錄測試目的、測試深度及測試方法 識別了最適當?shù)年P(guān)鍵控制來進行測試后，審計人員應編制測試的特定步驟，以滿足關(guān)鍵控制登記表/測試工作表中的測試目的。包括測試目的、測試深度及測試方法。 以下規(guī)則能用來評估哪些控制測試應得到關(guān)注： 如果一個關(guān)鍵控制被評估為設計有效，應得到測試； 如果當一個關(guān)鍵控制只有與其他控制在一起時才被評估為有效，那么，這些控制都應得到測試； 如果一個關(guān)鍵控制被評估為無效，通常情況下不用進行測試。但是，一個設計無效的控制可能得到測試，用于決定該控制缺陷的影響。 注釋：測試目的 – 控制運行有效性測試 正確設定測試目的是非常重要的，因為這是確保執(zhí)行的工作有價值的起點。測試目的應直接從關(guān)鍵控制登記表/測試工作表的控制描述中獲得。行動應明確和直接為了獲取證據(jù)（核查/證實等）而不應含糊不清（審閱、了解、討論等）。 注釋：測試目的 – 實質(zhì)性測試 運行無效的控制需要額外的測試，例如，對運行的項目重新執(zhí)行一遍控制或進行實質(zhì)性核查，以證實他們的完整性和正確性。例如，控制設計及運行測試發(fā)現(xiàn)例外情況，實質(zhì)性測試可以提供額外的審計證據(jù)。實質(zhì)性測試程序可以包括分析性復核，將余額/項目與原始憑證或獨立的文件進行核對及重新計算或核實該項目。 注釋：測試深度 下表可以用來作為測試運行有效性水平的指導：控制 設計固有風險嚴重高級中級低級高級降低測試有效性（TOE）測試有效性（TOE）減少有效性測試（Reduced TOE）X中級降低減少有效性測試（Reduced TOE）減少有效性測試（Reduced TOE）XX 注釋：測試方法 有多種方法來執(zhí)行測試以獲取審計證據(jù)。審計人員應選擇能達到測試目的的最合適的方法。包括： 證實性的詢問 – 向員工、管理層及服務提供者詢問以獲取程序和控制的資料。管理層可能被要求提供他們對控制運行有效性滿意的資料。通過詢問的測試方法通常沒有其他形式的測試可靠，可能需要與其他形式的測試一起，為審計人員的結(jié)論提供充分的證據(jù)支持。 觀察 – 直接觀察員工的實際操作，以查看控制是否按設計運行。當確認員工培訓及技能水平時，審計人員應考慮審計人員在場的情況下對控制運行表現(xiàn)的影響 – 如，如果審計人員不在場，該控制運行是否如此徹底。 檢查 – 通過檢查或盤點資產(chǎn)、及閱讀、追蹤、審核支持性文件、比較及核對記錄來獲取證據(jù)。檢查是高級有效的測試形式，因為他們能為審計人員的結(jié)論提供更需要的證據(jù)支持。 確認函 – 此測試方法用于比較內(nèi)部記錄與第三方記錄。確認函是高級有效的測試形式，但是，它被限制在當有第三方參與的情況下使用。 重新執(zhí)行 – 此方法包括審計人員重新全部或部分執(zhí)行被審計單位的運作。它只有在審計人員需要確保計算或記數(shù)的正確性情況下使用。審計人員在決定進行重新執(zhí)行相關(guān)運作時應注意，因為那將化較多時間。 分析性復核程序 – 在測試階段可能需要用到分析性復核。例如，在風險評估時發(fā)現(xiàn)不利的趨勢，可能需要進一步分析，更深層次專研，及鎖定推動這種趨勢的特定的一組交易，以確定可能造成控制失敗的根本原因。 二、記錄測試程序 每一個測試程序應清楚地記錄在關(guān)鍵控制記錄表/測試工作表中。測試程序應能被充分理解，確保審計人員提供充足的證據(jù)使得工作底稿審核人員能判定測試了什么及測試的結(jié)果，及可以執(zhí)行隨后的重新測試。 注釋：關(guān)鍵控制登記表/測試工作表 測試工作底稿應要求審計人員記錄： 測試的控制； 測試數(shù)據(jù)的來源； 規(guī)?；蚩刂茍?zhí)行的頻率及樣本量； 樣本選取的方法； 測試的根本特征； 測試結(jié)果；及 審計測試的結(jié)論，包括任何控制例外的詳細情況。對每一項控制例外，應記錄是否有追蹤測試或行動。 第二十五條 確定抽樣方法 本步驟的目的是評估和記錄通過抽樣獲取的審計證據(jù)的充分性。 一、識別和定義規(guī)模 測試控制時，先識別和定義控制發(fā)生的頻率（樣本總量）。確保樣本總量盡可能的清楚和完整，以確保表現(xiàn)所有元素。 注釋：樣本總量 樣本總量是指收集到的項目總量，審計人員將對該項目總量發(fā)表一個結(jié)論。它也可以指“樣本架構(gòu)”，為了一個特定審計測試目的而定義的樣本總量。 在測試控制有效性時，審計人員應定義控制發(fā)生的總次數(shù)。例如，審計人員可能識別了對帳發(fā)生的頻率（每月或每周），這就是樣本總量。 二、考慮統(tǒng)計抽樣 使用統(tǒng)計抽樣時，審計小組應將決定選擇統(tǒng)計抽樣的原因記錄在關(guān)鍵控制登記表/測試工作表中。 注釋：統(tǒng)計抽樣 統(tǒng)計抽樣需要審計人員確定要素的數(shù)量及隨機抽取項目，允許審計人員定量地表達結(jié)果及測量樣本風險。因此，當執(zhí)行實質(zhì)性測試時使用統(tǒng)計抽樣是一個合適的方法。 以下情況應使用統(tǒng)計抽樣： 規(guī)模超過了定義的最低交易量（如5,000件交易），與審計經(jīng)理溝通確認最低交易量； 需要精確及確信的推斷結(jié)果； 絕對確信樣本總量能被定義；及 樣本總量中的每一項被選到的機會均等。 大部分審計測試，我們通常不會使用統(tǒng)計抽樣的方法。相應的，它也不大可能說明從測試結(jié)果中獲得的保證的水平。 三、考慮非統(tǒng)計抽樣 使用非統(tǒng)計抽樣時，審計小組應將決定選擇非統(tǒng)計抽樣的原因記錄在關(guān)鍵控制登記表/測試工作表中。 注釋：非統(tǒng)計抽樣 非統(tǒng)計抽樣使用的樣本是非正式地（不帶有故意和偏見的選擇）或判斷地（根據(jù)判斷與測試目的相關(guān)聯(lián)）選擇的。非正式地選擇是指沒有使用特定的標準從一個樣本總量中選擇項目。判斷地選擇可以包括，如選擇高價值的項目（為了測試適當?shù)呐鷾剩? 以下情況應使用非統(tǒng)計抽樣： 規(guī)模小于設定的最低交易數(shù)量限額； 不需要可測量，因為結(jié)果不需要推斷； 不可能識別整個樣本總量或交易量架構(gòu)； 其他審計證據(jù)暗示非常不可能發(fā)生錯誤。 測試控制有效性，最合適的內(nèi)部審計樣本方法是非統(tǒng)計抽樣。 四、選擇樣本量 在關(guān)鍵控制登記表/測試工作表中評估及記錄合適的樣本量。 注釋：統(tǒng)計樣本量 影響樣本量的因素有以下兩個： 可信賴的水平；及 可容忍的錯誤率。 可信賴的水平定義了需要從審計測試結(jié)果中得到的信心的水平。期望可信賴的水平越高，需要測試的樣本就越多。 可容忍錯誤率定義了在控制被認為是有效的之前，能容忍的與描述的控制程序的差異數(shù)量?？扇萑痰腻e誤率越高，需要測試的樣本就越少。 注釋：非統(tǒng)計抽樣樣本量 下表用于測試控制運行有效性時選擇非統(tǒng)計抽樣樣本量。測試控制設計（穿行測試）不包括在本表中。必須在關(guān)鍵控制登記表/測試工作表中記錄樣本選擇的基本原理/標準，樣本測試程序和測試結(jié)果?？刂祁愋涂刂茍?zhí)行的頻率每年每季每月每星期每天每天多次很少手工111268大部分手工1113915自動111111注釋：擴大范圍測試 在一些情況下，應擴大樣本量，如： 測試的結(jié)果是否定的，應擴大樣本量，評估差異是否是機構(gòu)性的或偶然的； 控制的重要性及復雜程度和判斷的重要性； 失敗的風險。 但是，結(jié)果不能通過測試的樣本來推斷。審計人員的判斷始終是重要的。 注釋：測試周期 測試周期應考慮以下因素： 控制運行的種類和頻率； 控制環(huán)境的變化和/或在一個期間內(nèi)的特定控制有復核； 通常，測試周期可以是審計開始日前1個月之前的期間。在一些情況下，不大可能測試年度控制。如果這樣，審計小組應將這種情況記錄在審計工作底稿中。 注釋：減少測試 樣本量和測試深度根據(jù)期望可信賴的水平及控制運行的頻率決定。如果測試水平是減少測試，樣本量至少為1個，最多根據(jù)統(tǒng)計抽樣樣本量（見上表）。測試結(jié)果應對關(guān)鍵控制運行有效性給出充分的保證。 必須在關(guān)鍵控制登記表/測試工作表中記錄樣本選擇的基本原理/標準，樣本測試程序和測試結(jié)果。 注釋：判斷樣本量 在所有情況下，一個清晰的選擇樣本量的基本原理/標準應記錄在適當?shù)目刂莆募小Ｒ韵虑闆r，有必要脫離標準樣本量： 控制執(zhí)行的頻率？ 控制執(zhí)行的頻率越少，需要越少的樣本量來決定控制是否按照設計運行。 控