尽职调查与风险导向审计

尽职调查与风险导向审计江苏省注册会计师协会汪伦主讲2011年11月南通课题背景看了浙江注协的一位参加今年检查的同行发表在中国会计视野论坛上有一篇检查总结，我觉得，他说的很现实，问题提得非常好，可遗憾的是，他没有能充分考虑到问题的解决办法，尤其是没有能换一个角度来理解风险导向审计的真正内涵和应该采取的措施。这个课题是根据我多年来从事的多项尽职调查的实践体会，结合我配合部分注册会计师审计（我代表券商、PE）所见的情况进行的思考1、为什么风险导向审计流于形式？2、尽职调查和风险评估存在着什么样的内在联系？3、尽职调查方法是否可以有效移植到风险导向审计的具体操作之中？4、风险导向审计理念下的审计行为和审计准备有哪些？听过两次中注协做的新准则的课程的部分内容，有两个深切的感觉1、招式的目标只有一个。很多程序、很多准则，但对象只有一个－－被审计单位，只有了解单位及其所在行业情况才能真正体现风险导向审计。恰如武术套路，很多个招式，但目的只有一个－－实战效果，就审计而言，那就是探察到审计对象有没有风险。2、自我而非忘我。风险的规避和寻找，主观上是为了“自我”，但实践中却需要“忘我”－－立足于与程序执行之中的有自我意识，并在具体操作之中忘我，忘我的调研之后，再回到自我，如此进到更为宽泛的领域。藏拙也许也是一种换个角度。讨论的核心内容主要谈四个方面的问题一、简要解读《通过了解被审计单位及其环境识别和评估重大错报风险》二、尽职调查的内容和方法透析三、尽职调查与风险导向审计的共性在哪四、如何利用尽职调查的思路在整个课件内容中，我们安排了几个案例（涉及化工、冶金、鞋业、服装、文化传播、健身服务、农业发展等行业或类型的企业）做一点说明。一、中国注册会计师审计准则第1211号－－《通过了解被审计单位及其环境识别和评估重大错报风险》简要解读（一）从“总则”猜情况第一条为了规范注册会计师通过了解被审计单位及其环境，识别和评估财务报表重大错报风险，制定本准则。解读：1、了解是手段－－了解什么？内控、环境、内部2、识别是要求－－程序与措施？风险层次？报表和交易，识别。3、评估是目标－－判断可接受程度？4、判断是核心－－如何达成双方之间的关系才是实践中我们所要考虑和执行的？5、话外音：风险导向－－环境与错报存在内在逻辑关系。（二）从“目标”探情况第七条注册会计师的目标是，通过了解被审计单位及其环境，识别和评估财务报表层次和认定层次的重大错报风险（无论该错报由于舞弊或错误导致），从而为设计和实施针对评估的重大错报风险采取的应对措施提供基础。解读：关键词1、了解被审计单位及其环境－－第二条，内部控制（一个或多个要素，或要素表现出的各个方面）行业、法律、监管，单位性质，会计政策，目标、战略和经营，财务业绩衡量等2、财务报表层次和认定层次－－披露和列示，第三条认定，管理层明确或隐含的表达，CPA考虑潜在错报3、重大错报风险－－什么才是重大？一票否决还是可以容忍4、舞弊－1411号准则，管理层等或第三方故意、欺骗，不正当，虚假报告、侵占资产－－动机、压力、机会、借口，审计固有限制，错报角度的合理保证5、错误－－非故意行为导致的财务错报。6、设计和实施应对措施－－简化还追溯？保留还是披露？（三）从“要求”看程序准则的主体是第四章要求共28条第一节风险评估程序和相关活动（8-13条，6条）第二节了解被审计单位及其环境（14条，1条）第三节了解内部控制（15-27条，13条）第四节识别和评估重大错报风险（28-34条，7条）第五节审计工作底稿（35条，1条）解读：纵贯总体，表现为以下几点逻辑1、先想自己程序（第一节），再探对象状况（第二三节），回归自己行为（第四五节）2、自己的程序和活动认知，了解行为是感知，识别评估是判断，审计底稿是依据，主线是被审计对象。3、先谋划，再行动，最后总结判断。（四）从“程序和相关活动”看风险导向（1）第八条（关键词）应当实施风险评估程序，为识别和评估重大错报风险提供基础。但是程序本身并不能为形成审计意见提供充分、适当的审计证据。解读：审计的固有限制问题，一个是对方的理解问题，另外一个是多方的串通作弊问题。埋下伏笔，但不能作为借口。第九条（关键词）：询问、分析程序、观察和检查解读：问题的关键是“答复是否一致”，说的和做的是否一致，正常和应付情况下是否一致，所见所闻和询问到的是否一致……。有的时候，太完美情况下很可能存在问题。职业怀疑的精神是少不了的（四）从“程序和相关活动”看风险导向（2）第十条在客户接受或保持过程中获取的信息是否与识别重大错报风险相关；第十一条，做其他业务获取的信息；第十二条，确定被审计单位及其环境自以前审计后是否已发生变化；第十三条，讨论被审计单位财务报表存在重大错报的可能性，通报哪些事项。解读：这四条，实际上都是事务所内部之间的沟通、交流和延续问题，他要求我们内部需要配合起来，及时总结归纳、日积月累。尤其是需要在承接业务中把握动机因素、在日常中关注客户的变化和需求、关注行业的状况、外部环境的变化等（五）从“了解单位和环境”看风险导向（一）行业状况、法律环境和监管环境及其他外部因素（二）被审计单位的性质，经营活动、所有权和治理结构、投资、组织结构和筹资方式。（三）被审计单位对会计政策的选择和运用。（四）目标、战略以及相关经营风险；（五）对被审计单位财务业绩的衡量和评价；（六）被审计单位的内部控制。解读：其实，面对这样的一些要求，与我们自身而言，已经超越了审计和财会本身的范畴了，用明箱和暗箱的管理理论来看，包括了两个角度，一个是在外部，一个深入内部。与尽职调查有所不同的是，审计的了解主要还是就是否可能存在重大错报来展开的。此时，我们导向的是企业的风险，以及由于企业的风险而可能带给我们因没有识别的风险。（六）从“了解内控”看风险导向（1）第十五条，内控与审计相关性的判断－－内在逻辑关系问题第十六条，问询并评价内控的设计和执行－－手段问题第十七条，了解环境并评价管理层是羊还是狼，总体优势是否弥补局部劣势－－观察和以事实说话第十八条，了解是否已建立风险评估过程，以识别经营风险，估计风险的重要性，评估风险发生的可能性，决定应对这些风险的措施－－一种标杆第十九条，有风险评估过程，管理层未识别－－自己试试，找找原因－－有效性检查第二十条，如果没有风险评估过程，评价缺少记录的风险评估过程是否适合具体情况，或确定是否表明存在值得关注的内部控制缺陷－－最低要求（六）从“了解内控”看风险导向（2）第二十一条了解与财务报告相关的信息系统（包括相关业务流程）：第二十二条了解被审计单位如何沟通与财务报告相关的人员的角色和职责以及与财务报告相关的重大事项。包括管理层与治理层之间的沟通；外部沟通，如与监管机构的沟通第二十三条注册会计师应当了解与审计相关的控制活动。第二十四条了解被审计单位如何应对信息技术导致的风险。第二十五条了解被审计单位用于监督与财务报告相关的内部控制的主要活动第二十六条如果被审计单位设有内部审计，应当了解内部审计的职能范围、组织结构中的地位和作用、内部审计已实施或拟实施的活动。以确定内部审计是否可能与审计相关：第二十七条注册会计师应当了解被审计单位监督活动所使用信息的来源，以及管理层认为信息对于实现目的足够可靠的依据。解读：上述几条都是说要了解的内容和需要作出的应对措施（七）从“识别和评估”看风险导向第二十八条在财务报表层次、各类交易、账户余额和披露的认定层次两个层次识别和评估重大错报风险,为设计和实施进一步审计程序提供基础－－报表是浓缩，主要通过分析，交易的是发生情况，主要通过检查。第二十九条程序：1、在了解被审计单位及其环境中识别风险，2、评估识别出的风险，并评价其是否更广泛地与财务报表整体相关，进而潜在地影响多项认定；3、结合对拟测试的相关控制的考虑，将识别出的风险与认定层次可能发生错报的领域相联系；4、考虑发生错报的可能性，以及潜在错报的重大程度是否足以导致重大错报。－－这是一个流程化的选择问题。（七）从“识别和评估”看风险导向（2）第三十条根据职业判断，确定识别出的风险是否为特别风险。在进行判断时，注册会计师不应考虑识别出的控制对相关风险的抵消效果。第三十一条在判断哪些风险是特别风险时，注册会计师应当至少考虑：1、是否属于舞弊风险；2、是否与近期经济环境、会计处理方法或其他方面的重大变化相关；3、交易的复杂程度；4、风险是否涉及重大的关联方交易；5、财务信息计量的主观程度，特别是计量结果是否具有高度不确定性；6、风险是否涉及异常或超出正常经营过程的重大交易。解读：这两条是说特别风险（指注册会计师识别和评估的、根据判断认为需要特别考虑的重大错报风险），其实，这块也是投行等最为关注的。（七）从“识别和评估”看风险导向（3）第三十二条如果认为存在特别风险，注册会计师应当了解被审计单位与该风险相关的控制（包括控制活动）。第三十三条对于某些风险，注册会计师可能认为仅从实质性程序中获取充分、适当的审计证据是不可能或不可行的。这些风险可能与对日常和重大类别的交易或账户余额作出的不准确或不完整的记录相关，对这些交易或账户余额通常可以采用高度自动化处理，不存在或存在很少人工干预。在这种情况下，被审计单位针对这类风险建立的控制与审计相关，注册会计师应当了解这些控制。解读：这两条是对一旦碰到特别风险的处理。也就是说，一旦碰到了，就需要考虑是否进返回处理－－了解内控（七）从“识别和评估”看风险导向（3）第三十四条注册会计师对认定层次重大错报风险的评估，可能随着审计过程中不断获取审计证据而作出相应的变化。如果实施进一步审计程序获取的审计证据，或获取的新信息，与注册会计师之前作出评估所依据的审计证据不一致，注册会计师应当修正风险评估结果，并相应修改原计划实施的进一步审计程序。解读：这仍然是考虑返回起点来进行重新测试的问题。（八）从“审计底稿”看风险导向（3）第三十五条注册会计师应当就下列事项形成审计工作底稿：（一）根据本准则第十三条的规定，项目组进行的讨论以及得出的重要结论；（二）根据本准则第十四条的规定，对被审计单位及其环境各个方面的了解要点、根据本准则第十七条至第二十七条的规定对内部控制各项要素的了解要点，获取上述了解的信息来源，以及实施的风险评估程序；（三）根据本准则第二十八条的规定，在财务报表层次和认定层次识别和评估的重大错报风险；（四）根据本准则第三十条至第三十三条的规定，识别出的风险和了解的相关控制。解读：四大类底稿，其实也就是针对具体项目的底稿，而更多的底稿应该是那些平时进行整理和总结的底稿。小结（1）1、风险导向审计的核心问题程序－－讨论、询问、了解、分析、观察、检查识别－－环境、内控、系统、关联、评价证据－－逻辑性的底稿小结：（2）2、一种通俗的判断和抉择程序观察、沟通、检查都只是一种手段，问题的关键在于：首先，你想了解些什么即目标是什么？其次，你运用什么办法来把调研取得的资料整合起来，并经过判断得出相应的初步结果？第三，你对这个初步结果与规定或规范的内容做出比较了吗，差异何在？第四，你内心里感觉一下，你能接受这样程度的差异吗？第五，现在再返回到执业准则的话，你该如何追加程序或者如何表达，或者作出怎么样的抉择？小结（3）企业财务风险的来源1．筹资风险，是企业在筹资活动中，由于资金供需市场、宏观经济环境的变化或者筹资来源结构、币种结构、期限结构等因素而给企业财务成果带来的不确定性。2．投资风险，是企业在投资活动中，由于各种难以预计或无法控制的因素使投资收益率达不到预期目标而产生的风险。3．现金流量风险，是企业现金流出与现金流人在时间上不一致所形成的风险。4．利率风险，是在一定时期内由于利率水平的变动而导致经济损失的可能性。5．汇率风险，是在一定时期内由于汇率变动引起企业外汇业务成果的不确定性。有时觉得啊，世界上的很多事情都是同