一份审计底稿最能看出水平的地方，不是实质性程序做得多细，是风险评估那一章写得有多实。
风险评估写得空，后面的程序就只能靠模板铺；写得实，程序自然就有了靶子。
一、修订的核心变化
第一，强调风险的「谱系」而非二元判断。风险不是一个点，是一条从很低到很高的连续区间，评价要落到具体位置上。
第二，要求分别评价固有风险与控制风险，再组合成重大错报风险。以前常把两者混在一起写一句「风险较高」，现在不行。
第三，对固有风险的评价提出五个因素：交易的复杂程度、主观程度、变化、不确定性、舞弊的可能性。
第四，强调风险评估与后续程序的衔接。评估为高风险的事项，必须有针对性的程序，不能所有科目都做同一套。
二、了解被审计单位的六个方面
第一，组织结构与治理。股权结构、子公司分布、董事会构成、是否存在实际控制人一人决策。
第二，业务模式。收入来源、客户结构、定价方式、结算方式、季节性。
第三，行业与监管。行业周期、竞争格局、监管政策变化、许可资质。
第四，会计政策的选择。收入确认、存货计价、折旧、减值，与同行业是否一致。
第五，目标与战略。扩张计划、融资安排、业绩承诺，这些直接构成舞弊动机。
第六，财务业绩的衡量与评价。内部考核指标是什么，管理层的薪酬与什么挂钩。
六个方面里，第五、第六最容易被忽略，但它们恰恰是风险的源头。
了解的方式也不止一种。除了询问管理层，还要看外部信息：行业报告、监管公告、诉讼查询、招聘信息。一家公司突然大量招聘某类岗位，往往比管理层的陈述更早暴露战略变化。
三、了解内部控制的深度
了解内控不是评价内控。审计师要了解的是控制的设计是否合理、是否得到执行，而不是运行的有效性。
运行有效性只有在拟信赖控制、准备减少实质性程序时才需要测试。这一点常被做反：不打算信赖控制，却做了一堆控制测试。
了解的深度到「穿行测试」为止：挑一两笔交易，从起点走到终点，确认控制确实存在。
对于信息技术系统，要了解系统生成报告的完整性与准确性，特别是管理层在决策中依赖的那些系统报表。
四、固有风险与控制风险怎么组合
固有风险是假定没有内控时的风险水平，控制风险是内控未能防止或发现错报的风险。
组合的逻辑是：固有风险很高，控制设计又薄弱，重大错报风险就是高；固有风险很高，但控制设计有效，风险可以降到中，但仍需实质性程序。
控制的抵减作用有限。再好的内控也不能把风险降到零，因为存在管理层凌驾、串通舞弊、人为错误。
所以实务中的保守做法是：固有风险高的事项，无论控制如何，都安排较大范围的实质性程序。
还有一条实务经验：控制风险的评估要落到具体的控制活动上，不能笼统写「内控有效」。写清是哪个控制、由谁执行、留下什么痕迹，才叫评价。
五、特别风险与仅靠实质性程序无法应对的风险
特别风险通常包括：复杂的重大交易、涉及重大判断的事项、关联方交易、舞弊风险、会计估计的不确定性。
对特别风险，不能只做分析程序，必须做细节测试，且要针对性地设计程序，不能用通用模板。
还有一类风险，仅靠实质性程序无法应对，比如高度自动化的收入流程、由系统自动计算的成本分摊。这一类必须测试信息技术一般控制与应用控制。
两类风险的区分决定了程序的性质：一个靠扩大样本，一个靠测试系统。
六、评估与程序的顺序不能倒
实务中最常见的错误是「倒做」：先把实质性程序做完，再回头补写风险评估底稿。
倒做的迹象很明显：风险评估里写「收入存在舞弊风险」，程序里却只做了三期对比分析；写着「关联方交易复杂」，程序里却没有关联方清单。
质量复核与监管检查都会看这个对应关系。评估与程序脱节，底稿就等于自证不充分。
七、一个风险评估写空了的案例
某贸易企业年度审计，收入三亿八千万元，毛利率百分之六，客户集中度较高。项目组的风险评估底稿只有一页，写了「行业竞争激烈，收入存在高估风险」，风险等级标为中等。
实质性程序做了收入的分析程序与十笔抽查，结论是没有异常。
次年该企业被查出虚增收入四千二百万元，手法是年末向三家客户压货，次年以质量异议为由全额退货，退货未在当期反映。
回溯底稿发现三个问题：一是风险评估未识别「年末集中发货、次年期后退货」这一舞弊风险；二是未了解企业的销售考核政策，该政策以发货额计提提成，构成明显的舞弊动机；三是期后事项程序只做到次年一月，未覆盖退货集中发生的二月至三月。
监管检查认定风险评估程序不充分、期后程序不到位，对事务所出具警示函，签字注册会计师被监管谈话。
八、风险评估清单
- 已了解组织结构、业务模式、行业监管、会计政策、战略目标、业绩评价六个方面
- 已了解管理层的考核指标与薪酬挂钩方式，舞弊动机已评估
- 内部控制的设计与执行已了解，穿行测试已执行
- 固有风险已按五个因素逐项评价，未与控制风险混写
- 重大错报风险已落实到具体科目与认定层次
- 特别风险已识别，并设计了针对性的细节测试
- 仅靠实质性程序无法应对的风险，已安排信息系统测试
- 风险评估结论与后续程序存在一一对应关系
- 期后事项程序覆盖至报告日，未提前截止
- 风险评估底稿经项目质量复核人复核并留痕
风险评估不是一份说明，是一张作战地图。地图画得准，后面的每一步都有着落；画得糊，走多远都是绕圈。
