《企业内部控制审计指引》之实施审计工作(2)

　　此外，企业层面控制还包括：集中化的处理和控制，包括共享的服务环境；监控经营成果的控制；针对重大经营控制以及风险管理实务而采取的政策。

　　（三）测试控制设计和运行的有效性审计指引第十四条规定，注册会计师应当测试内部控制设计与运行的有效性。如果某项控制由拥有必要授权和专业胜任能力的人员按照规定的程序与要求执行，能够实现控制目标，表明该项控制的设计是有效的。如果某项控制正在按照设计运行，执行人员拥有必要授权和专业胜任能力，能够实现控制目标，表明该项控制的运行是有效的。

　　设计不当的控制可能表明控制存在缺陷甚至重大缺陷，注册会计师在测试控制运行的有效性时，首先要考虑控制的设计。注册会计师在测试控制设计与运行的有效性时，应当综合运用询问适当人员、观察经营活动、检查相关文件、穿行测试和重新执行等方法。注册会计师测试控制有效性实施的程序，按提供证据的效力，由弱到强排序为：询问、观察、检查和重新执行。其中询问本身并不能为得出控制是否有效的结论提供充分、适当的证据。执行穿行测试通常足以评价控制设计的有效性。

　　（四）与控制相关的风险与拟获取证据的关系在测试所选定控制的有效性时，注册会计师需要根据与控制相关的风险，确定所需获取的证据。与控制相关的风险包括控制可能无效的风险和因控制无效而导致重大缺陷的风险。与控制相关的风险越高，注册会计师需要获取的证据就越多。

　　与某项控制相关的风险受下列因素的影响：

　　（1）该项控制拟防止或发现并纠正的错报的性质和重要程度；

　　（2）相关账户、列报及其认定的固有风险；

　　（3）相关账户或列报是否曾经出现错报；

　　（4）交易的数量和性质是否发生变化，进而可能对该项控制设计或运行的有效性产生不利影响；

　　（5）企业层面控制（特别是对控制有效性的内部监督和自我评价）的有效性；

　　（6）该项控制的性质及其执行频率；

　　（7）该项控制对其他控制（如内部环境或信息技术一般控制）有效性的依赖程度；

　　（8）该项控制的执行或监督人员的专业胜任能力，以及其中的关键人员是否发生变化；

　　（9）该项控制是人工控制还是自动化控制；

　　（10）该项控制的复杂程度，以及在运行过程中依赖判断的程度。

　　针对每一相关认定，注册会计师都需要获取控制有效性的证据，以便对内部控制整体的有效性单独发表意见，但注册会计师没有责任对单项控制的有效性发表意见。

　　对于控制运行偏离设计的情况（即控制偏差），注册会计师需要考虑该偏差对相关风险评估、需要获取的证据以及控制运行有效性结论的影响。

　　注册会计师通过测试控制有效性获取的证据，取决于实施程序的性质、时间安排和范围的组合。就单项控制而言，注册会计师应当根据与该项控制相关的风险，适当确定实施程序的性质、时间安排和范围，以获取充分、适当的证据。

　　测试控制有效性实施的程序，其性质在很大程度上取决于拟测试控制的性质。某些控制可能存在文件记录，反映其运行的有效性，而另外一些控制，如管理理念和经营风格，可能没有书面的运行证据。对缺乏正式运行证据的企业或企业的某个业务单元，注册会计师可以通过询问并结合运用观察活动、检查非正式的书面记录和重新执行某些控制等程序，获取有关控制有效性的充分、适当的证据。

　　对控制有效性的测试涵盖的期间越长，提供的控制有效性的证据越多。注册会计师需要获取内部控制在企业内部控制自我评价基准日前足够长的期间内有效运行的证据。对控制有效性的测试实施的时间安排越接近企业内部控制自我评价基准日，提供的控制有效性的证据越有力。因此，审计指引第十七条规定，注册会计师在确定测试的时间安排时，应当在下列两个因素之间作出平衡，以获取充分、适当的证据：

　　（1）尽量在接近企业内部控制自我评价基准日实施测试；

　　（2）实施的测试需要涵盖足够长的期间。

　　在企业内部控制自我评价基准日之前，管理层可能为提高控制效率、效果或弥补控制缺陷而改变企业的控制。如果新控制实现了相关控制目标，运行足够长的时间，且注册会计师能够测试并评价该项控制设计和运行的有效性，则无需测试被取代的控制。如果被取代控制设计和运行的有效性对控制风险的评估有重大影响，注册会计师则需要测试该项控制的有效性。