| （一）總體要求 |
在內部控制審計中，注冊會計師應當運用自上而下的方法選擇擬測試的控制。
1.從財務報表層次初步了解內部控制整體風險；
2.識別企業層面控制；
3.識別重要賬戶、列報及其相關認定；
4.了解錯報的可能來源；
5.選擇擬測試的控制。
關注：
自上而下的方法是注冊會計師識別風險、選擇擬測試控制的基本思路。
注冊會計師在實施審計工作時，可以將企業層面控制和業務層面控制的測試結合進行 |
| （二）識別企業層面控制 |
企業層面控制包括：
1.與控制環境（內部環境）相關的控制；
2.針對管理層凌駕于控制之上的風險而設計的控制；
3.企業的風險評估過程；
4.集中化的處理和控制，包括共享的服務環境；
5.監控經營成果的控制；
6.監控其他控制的控制，包括內部審計職能、審計委員會的活動及內部控制自我評價；
7.對期末財務報告流程的控制；
8.針對重大經營控制及風險管理實務的政策
關注：
1.控制環境（同教材P275）
2.期末財務報告流程
評價：
（1）企業財務報表編制流程；
（2）期末財務報告流程中運用信息技術的程度；
（3）管理層中參與期末財務報告流程的人員；
（4）期末財務報告流程涉及的經營場所；
（5）調整分錄及合并分錄的類型；
（6）管理層、董事會和審計委員會對期末財務報告流程進行監督的性質及范圍 |
| （三）識別重要賬戶、列報及其相關認定 |
注冊會計師應當從下列方面評價財務報表項目及附注的錯報風險因素：
1.賬戶的規模和構成；
2.易于發生錯報的程度；
3.賬戶中處理的或列報中反映的交易的業務量、復雜性及同質性；
4.賬戶或列報的性質；
5.與賬戶或列報相關的會計處理及報告的復雜程度；
6.賬戶發生損失的風險；
7.由賬戶或列報中反映的活動引起重大或有負債的可能性；
8.賬戶記錄中是否涉及關聯方交易；
9.賬戶或列報的特征與前期相比發生的變化。
注冊會計師還應當確定導致財務報表發生重大錯報的潛在的錯報可能來源，注冊會計師可通過考慮在特定的重要賬戶或列報中錯報可能發生的領域和原因，確定潛在的錯報的可能來源. |
| （四）了解錯報的可能來源 |
1.了解與相關認定有關的交易的處理流程，包括這些交易如何生成、批準、處理及記錄；
2.驗證注冊會計師已識別出業務流程中可能發生的重大錯報的環節；
3.識別管理層用于應對這些潛在錯報的控制；
4.識別管理層用于及時防止或發現未經授權的、導致財務報表發生重大錯報的資產取得、使用或處置的控制 |
| （五）選擇擬測試的控制 |
注冊會計師應當評價控制是否足以應對評估的每個相關的錯報風險，并選擇其中對形成評價結論具有重要影響的控制進行測試 |
| （六）測試控制設計的有效性 |
如果控制由擁有有效執行控制所需的授權和專業勝任能力的人員按規定執行，能夠實現控制目標，從而有效地防止或發現可能導致財務報表發生重大錯吧誤或舞弊，，則表明控制設計是有效性。
關注：
注冊會計師測試控制設計的有效性----詢問、觀察、檢查、穿行測試
（同教材P273） |
| （七）測試控制運行的有效性 |
1.控制運行有效性的含義
如果控制正在按照設計運行，執行人員擁有有效執行控制所需的授權和專業勝任能力，則表明控制運行是有效性。
2.風險與擬獲取證據的關系
影響與某項控制相關的風險的因素：
（1）該項控制擬防止或發現的錯報的性質和重要程度；
（2）相關賬戶、列報及其認定的固有風險；
（3）交易的數量和性質是否發生變化，進而可能對該項控制設計或運行的有效性產生不利的影響；
（4）相關賬戶或列報是否曾經出現錯誤；
（5）企業層面控制的有效性；
（6）該項控制的性質及其執行頻率；
（7）該項控制對其他控制有效性的依賴程度；
（8）該項控制或監督該項控制執行的人員的專業勝任能力，以及其中的關鍵人員是否發生變化；
（9）該項控制是人工控制還是自動化控制；
（10）該項控制的復雜程度，以及在運行過程中依賴判斷的程度。
3.控制測試程序
注冊會計師實施控制測試的程序，按提供證據的效力，由弱到強排序為：詢問、觀察、檢查、重新執行。
（同教材P311）
4.控制測試涵蓋的期間
（1）盡量在接近管理層評估日實施控制測試；
（2）控制測試需要涵蓋足夠長的時間。
注冊會計師旨在對截至某特定日期內部控制的有效性出具報告，如果已獲取截至期中某日期控制運行有效性的證據，注冊會計師應當確定還需要那些補充證據，以證實剩余期間控制運行的情況。在將期中測試的結果更新至年末時，注冊會計師應當考慮下列因素以確定需獲取的補充證據：
（1）管理層評估日之前測試的特定控制，包括與控制相關的風險、控制的性質和測試的結果。
（2）期中獲取的有關證據的充分、適當性；
（3）剩余期間的長短；
（4）期中測試之后，內部控制發生重大變化的可能性。
5.控制發生變化時的處理
在管理層評估日之前，管理層可能為提高控制效率、效果或彌補控制缺陷而改變企業的控制。
如果新控制實現了相關控制目標，且運行足夠長的時間，注冊會計師能夠通過對控制進行測試評價其設計和運行的有效性，則無需測試被取代的控制。
如果被取代控制的運行有效性對控制風險的評估有重大影響，注冊會計師應當測試被取代控制的設計和運行的有效性
6.發現控制偏差時的處理----注冊會計師應當確定其與測試控制相關的風險評估，需要獲取的證據以及控制運行有效性結論的影響
如果發現偏差，CPA應當確定其對與所測試控制相關的風險評估、需要獲取的證據以及控制運行有效性結論的影響。
由于有效的內部控制不能為實現控制目標提供絕對保證，單項控制并非一定要毫無偏差地運行，才被認為是有效的。 |
| （八）連續審計時的特殊考慮 |
1.影響連續審計中與某項控制相關的風險的因素：
（1）以前年度審計中所實施程序的性質、時間安排和范圍；
（2）以前年度對控制的測試結果；
（3）上次審計之后，控制或其運行流程是否發生變化，尤其是考慮IT環境的變化。
2.實施對標策略
通常，完全自動化的應用控制不會因人為失誤而失效。在連續審計中，對這類控制，注冊會計師可以某年度為測試基準，重點考慮該年后內部控制發生的變化（即實施對標策略）。
注冊會計師在確定是否使用對標策略時，首先要評價下列風險因素：
（1）應用控制與相關應用程序直接對應的程度；
（2）應用系統的穩定性；
（3）有關投入使用的程序，其匯編日期報告的可獲得性和可靠性，該信息可作為次程序中的控制未發生變化的證據。
關注：
在一段時期后，注冊會計師應重新設置自動化應用控制運行的測試基準。在確定何時重設測試基準時，注冊會計師應當評價下列因素：
（1）信息技術控制環境的有效性，包括針對應用及操作系統的開發與維護、訪問權限以及計算機操作實施的控制的有效性；
（2）如果含有控制的具體程序發生變化，注冊會計師對該變化性質的了解；
（3）其他相關測試的性質和時間安排；
（4）與被設為測試基準的應用控制相關的錯誤導致的后果；
（5）控制是否易于受到其他可能變化的經營因素的影響。
3.增加測試的不可預見性
為保證控制測試的有效性，使測試具有不可預見性，并能應對環境的變化，注冊會計師需要每年改變控制測試的性質、時間安排和范圍。每年在期中不同的時段測試控制，并增加或減少所執行測試的數量和種類，或者改變所使用測試程序的組合等 |
