审计准则里有一句话，常被误读：在识别和评估舞弊风险时，应当推定收入确认存在舞弊风险。
这不是说所有企业都在造假，是说审计师不能默认收入是真的，必须用程序去证实。
一、推定的含义
推定的意思是：把收入确认列为舞弊风险领域，除非有相反证据，否则按高风险对待。
反证可以成立。比如企业收入来源单一、客户为大型国企、结算通过公开招标、回款周期稳定，这些可以降低风险评估等级。
但降低不等于取消。即使评估为低风险，仍要执行基本的收入程序：分析性程序、抽样检查、截止测试。
推定的背后是一个统计事实：财务舞弊案里，收入舞弊占比最高。虚增收入最直接、最能改善报表、最容易讲故事。
推定还有一个实务含义：审计师要在底稿中记录「为什么认为收入不存在舞弊风险」，或者「识别出的舞弊风险是什么、如何应对」。这段记录不能是模板，要针对本企业的业务模式写。
二、五类收入舞弊手法
第一类，提前确认。货物未发出、服务未提供、验收未完成，就确认收入。
第二类，虚构交易。没有真实业务，伪造合同、发票、出库单、回款，形成闭环。
第三类，总额与净额混淆。代理业务按总额确认收入，虚增收入规模而不增利润。
第四类，关联方非关联化。通过看似无关的第三方完成交易，隐藏关联关系。
第五类，跨期调节。年末压单、次年开票，或者年末突击发货、次年退货。
五类手法的共同点是「时点」或者「对手方」。所以收入审计的两个核心动作是：查截止、查对手方。截止查的是「记在哪个期间」，对手方查的是「卖给谁、钱从哪来」。两个动作做完，虚构与跨期都很难藏。
三、不可预见程序
不可预见程序，指被审计单位难以预料的审计程序。目的是打破「准备好的现场」。
常见做法：不预先通知的实地走访；对小型客户或者新客户函证；在非年末时点测试截止；检查非财务人员的邮件与审批记录；核对物流公司的原始记录。
不可预见不等于突然袭击。程序仍要在业务约定书范围内，仍要遵守沟通要求。不可预见的对象是「选点」，不是「越界」。
设计思路是「换一个角度」。企业准备好的，是给审计看的那套资料；审计要看的，是业务自然留下的痕迹。
比如收入，企业能准备合同、发票、验收单，但很难准备物流轨迹、司机通话记录、客户仓库的监控。
不可预见程序的记录也要写清「不可预见在哪里」。写「执行了不可预见程序」，检查人员会问「企业能不能预料到」。答不上来，等于没做。
四、职业怀疑怎么落地
职业怀疑不是态度，是动作。四个动作：追问、印证、比对、扩大。
追问：对异常保持敏感，问「为什么」。为什么这个客户突然放量？为什么毛利率高于同业？为什么年末集中发货？
印证：不满足于单一证据。合同要有物流，发票要有回款，验收要有签字人。
比对：横向比同业，纵向比历史，内部比部门。异常就是线索。
扩大：发现一例异常，扩大到同类交易。一单有问题，往往不是孤例。
四个动作做到，才叫「保持了职业怀疑」。只在底稿里写一句「已保持职业怀疑」，等于没做。怀疑要有痕迹：问了什么、看出了什么、追加了什么程序。
五、收入截止测试
截止测试是收入审计的必做程序。选两个方向：
方向一，从发货单到账面。选取资产负债表日前后的发货记录，检查是否记入正确期间。
方向二，从账面到发货单。选取账面记录，检查是否有对应的发货或者验收。
两个方向都要做。只做一个方向，容易漏掉「记了但没发」或者「发了但没记」。
测试期间通常覆盖资产负债表日前后各若干天，具体天数取决于企业的业务节奏。月末集中发货的，要扩大到前后各十天。
六、一起提前确认收入的案例
某设备制造企业，本年第四季度收入同比增长八成，毛利率提升五个百分点。管理层解释「新产品放量」。
审计师做了三件事：第一，按客户拆分量价，发现增长集中在三家新客户；第二，对三家客户函证，两家回函「设备已收到但尚未验收」；第三，检查物流单，发现发货时间在十二月二十八日至三十一日。
合同条款明确约定「安装调试并验收合格后确认收入」。企业按发货确认，提前了确认时点。
扩大测试：全年类似交易共十七笔，金额合计四千三百万元，全部在发货时确认收入，验收在次年一月完成。
调整后，本年收入调减四千三百万元，利润由盈转亏。审计意见为保留意见（调整后仍存在未更正错报）。
这个案子的突破口是「函证问了一句验收」。如果只函证「是否收到货物」，回函会全部相符。
七、把舞弊风险程序做扎实
第一条，收入必须单列为高风险领域，除非有充分反证。
第二条，截止测试双向做，覆盖期末前后足够天数。
第三条，函证问对问题。问「是否验收」「是否有退货权」「是否有侧信协议」，不只问余额。
第四条，设计至少一项不可预见程序，并记录设计思路。
第五条，异常必追。单客户放量、毛利率异常、年末集中，三项任一出现，就要扩大程序，不要等复核时再补。
八、舞弊风险审计清单
- 将收入确认列为舞弊风险领域
- 按客户、产品、月份拆分量价与毛利
- 执行双向截止测试
- 函证覆盖新客户、小客户与异常客户
- 核对物流、验收、回款三流一致
- 识别关联方非关联化迹象
- 检查总额与净额的确认口径
- 设计并执行至少一项不可预见程序
- 访谈非财务人员，获取侧面信息
- 发现异常扩大测试范围并记录结论
舞弊审计的难点不是技术，是「愿不愿意多问一句」。多问一句，很多故事就圆不回来了。
