抽查十笔没问题，能不能说总体没问题。这个问题答不好，审计结论就站不住。
抽样是一门有公式的学问，不是凭经验抓几笔。
一、抽样适用与不适用的场景
抽样适用于总体中项目数量多、单个金额小、特征相对同质的场景，比如销售发票、采购订单、费用报销、工资记录。
不适用于：总体中项目数量很少、单个项目金额重大、项目之间差异极大、需要100%检查的关键项目。
实务中的分层思路是：金额重大的项目全部检查，剩余部分抽样。这样既保证覆盖，又控制工作量。
还有一类不能抽样：舞弊调查、法律法规遵循性检查中的特定事项。这一类要求定向检查，不适用统计推断。
二、统计抽样与非统计抽样的区别
统计抽样以概率论为基础，可以量化抽样风险，结论能推断到总体。非统计抽样靠职业判断，不能量化风险，但更灵活。
两者的核心差别不在方法，在结论的可用性。统计抽样能说「总体偏差率不超过百分之三，置信度百分之九十五」；非统计抽样只能说「未发现异常」。
实务中多数项目用的是非统计抽样，因为成本低、上手快。但在高风险领域，特别是拟利用抽样结果减少实质性程序时，统计抽样更稳妥。
三、四个影响样本量的因素
第一个，可容忍偏差率。能接受的最大偏差水平。容忍度越低，样本量越大。
第二个，预期偏差率。预计总体中存在的偏差比例。预期越高，样本量越大；预期接近容忍率时，样本量急剧上升。
第三个，置信水平。要求的把握程度。百分之九十与百分之九十五，样本量差别明显。
第四个，总体规模。总体越大，样本量增加，但增加幅度递减。总体超过一定规模后，样本量趋于稳定。
这四个因素之外还有一个变量：分层。分层之后每一层分别测算样本量，合计往往小于不分层的样本量。这是提高效率最直接的办法。
四个因素里，可容忍偏差率的影响最大。它由重要性水平决定，重要性定得低，样本量自然上去。
四、三种选样方法
第一种，随机选样。用随机数表或者软件生成，每个项目被选中的概率相同。适用于总体编号连续、分布均匀的情形。
第二种，系统选样。按固定间隔选取，起点随机。适用于总体有序排列的情形。要注意间隔与总体的周期性是否重合，否则会系统性偏差。
第三种，分层选样。按金额或者特征把总体分成若干层，各层分别选样。适用于金额差异大的总体。
三种方法的共同要求是：总体必须完整。总体不完整，选样再科学也没用。测试收入的完整性，总体应当来自发货记录而不是账面收入。
选样之后还有一步常被跳过：验证。抽中的项目要与账面、凭证、系统记录逐一对上。对不上的，说明总体定义有问题，要回到第一步重新界定。
五、偏差率的评价与推断
样本中发现偏差，先要定性：是笔误、是流程缺陷，还是舞弊。定性不同，处理完全不同。
然后计算样本偏差率，再按统计方法推断总体偏差率的上限。上限低于可容忍偏差率，控制可以信赖；高于，则不能信赖。
如果样本中没有发现偏差，也不能直接说总体没有偏差。要按「零偏差」的统计规则计算上限，通常仍会得出一个非零的上限值。
发现偏差后的处理有三条：扩大样本量、改为不信赖控制并扩大实质性程序、认定控制失效要求整改。
六、货币单元抽样的适用边界
货币单元抽样以金额为抽样单位，金额大的项目被选中的概率高，适合查高估（存在性）。
它的优点是样本自动偏向大额项目，效率高；缺点是对低估（完整性）不敏感，因为金额为零或者很小的项目几乎不会被选中。
所以测试应付账款的完整性，不宜用货币单元抽样；测试应收账款的存在性，则很合适。
使用时还要注意：总体中的贷方余额要单独处理，不能混在借方余额里一起抽。
七、一个样本量不足的案例
某制造企业年度审计，应收账款账面余额一亿四千万元，客户六百二十家。项目组抽取了二十笔进行函证，回函十八笔，两笔未回函执行了替代测试，结论是没有异常。
质量复核时提出：样本量如何确定、是否考虑可容忍偏差率、未回函的两笔金额占比多少。
底稿中没有任何样本量的测算过程，只有一句「根据职业判断抽取二十笔」。未回函的两笔合计金额二千三百万元，占应收账款余额的百分之十六，替代测试只核对了期后回款，未检查合同与发货记录。
复核意见是样本量不足、替代程序不到位。项目组扩大样本至六十五笔，另发现三笔共计八百六十万元的应收账款，对应客户已注销，需全额计提坏账。
调整后应收账款净额减少八百六十万元，占当年利润总额的百分之二十一，属于重大错报。项目组追加了程序并调整报表，同时被内部质量检查记入项目档案。
八、抽样工作清单
- 总体已界定并验证完整性，与账面数、系统数核对一致
- 金额重大的项目已全部检查，剩余部分才抽样
- 样本量有测算过程，含可容忍偏差率、预期偏差率、置信水平
- 选样方法已说明，系统抽样的间隔与总体周期已排查
- 抽样过程可复现，随机数种子或者起点已记录
- 偏差已定性分析，区分笔误、流程缺陷与舞弊
- 偏差率已推断至总体，上限与可容忍偏差率已比较
- 零偏差样本已按统计规则计算上限，未直接认定总体无偏差
- 货币单元抽样未用于测试完整性，贷方余额已单独处理
- 抽样结论与后续程序衔接，控制不可信赖时已扩大实质性程序
抽样的价值在于可推断。抽了不能推，等于只是看了看；推了不敢用，等于白抽。
