财务报表风险评估范文

引言：寻求写作上的突破？我们特意为您精选了4篇财务报表风险评估范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

引言

现代风险导向审计明确了审计工作应以了解被审计单位环境，评估财务报表重大错报风险作为新的正确起点和导向，要求注册会计师全程关注财务报表的重大错报风险，并将风险评估作为整个审计工作的先导、前提和基础。但如何才能全面的了解企业所面临的风险，并评估其对财务报表重大错报的影响呢？本文拟建立一个基于企业风险管理框架理论的三维框架体系解决这一问题。

一、现代风险导向审计评述

随着现代企业规模的日益扩大，企业的经济活动和交易事项内容不断丰富复杂，审计工作的工作量和复杂度迅速增大。为了适应审计环境的变化和审计工作的需求，审计职业界逐渐改变了详细审计，代之以抽样审计，审计方法也从账项基础审计、制度基础审计发展到风险导向审计。根据对审计风险的理解和认识的不同，风险导向审计被划分为传统风险导向审计和现代风险导向审计两个阶段。

传统的风险导向审计运用审计风险模型“审计风险=固有风险×控制风险×检查风险”，将审计的视角确定于企业的管理制度，特别是会计信息赖以生成的内部控制制度。注册会计师通过了解企业及其环境、评价内部控制，对固有风险和控制风险做出评估，在此基础上确定检查风险，再设计和实施实质性程序，以将审计风险控制在会计师事务所确定的水平。由于固有风险的单独评估具有显知的难度，注册会计师往往不注重从宏观层面上了解企业及其环境，而将审计的起点定为企业的内部控制测试，只依赖对内部控制风险所作的粗放型评估来直接、大致确定检查风险水平，再据此规划实质性程序的性质、时间和范围。但是由于企业存在于整个社会经济生活网络中，所处的经济环境、行业状况、经营目标、战略和风险都将最终对会计报表产生重大影响，同时，当企业管理层通同舞弊，故意通过重大误导性的财务报表来伤害公司利益相关者时，企业的内部控制会失去效果。如果注册会计师不把审计视角扩展到内部控制以外，就很容易受到蒙蔽和欺骗，难于发现会计报表存在的重大错报和舞弊行为。

2003年10月，国际审计与鉴证准则理事会（IAASB）紧紧围绕如何提高审计人员评估风险、发现舞弊的能力，了4个修订和新起草的准则，其核心思想是合并原固有风险和控制风险，将审计风险模型修改为“审计风险=重大错报风险×检查风险”，同时修改审计业务流程，强调从宏观上了解被审计单位及其环境，以充分识别和评估会计报表重大错报的风险（风险评估程序），再针对评估的重大错报风险设计和实施控制测试和实质性程序（进一步审计程序）。

我国财政部也了《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风险》，并要求自2007年1月1日执行。该准则也明确了“了解被审计单位及其环境是必要程序”，要求“注册会计师应当了解被审计单位及其环境，以足够识别和评估财务报表重大错报风险，设计和实施进一步审计程序。”

二、构建财务报表重大错报风险评估的三维框架（图1）

经营风险与财务报表重大错报风险是相互联系又有区别的两个范畴。多数经营风险最终都会产生财务后果，从而影响财务报表，但并非所有经营风险都会导致重大错报风险。注册会计师需要通过一定的方法全面了解企业的经营风险并从中考虑经营风险是否可能导致财务报表的重大错报风险。

2004年9月，COSO的《企业风险管理――整合框架》，为人们提供了全面的企业风险管理框架。本文试图以此框架为基础，建立一个以风险管理目标为起点、审计业务循环为主线、风险管理构成要素为步骤的三维重大错报风险评估框架，以便从上向下的全面评估企业所面临的风险及其风险应对的有效性，同时以审计业务循环为主线，识别评估财务报表的重大错报风险。

（一）风险管理目标维度――起点

企业风险管理的目标是指主体力图实现什么。《企业风险管理――整合框架》将之划分为战略、经营、报告、合规四种类型的目标，认为主体应首先设定战略目标，并将战略目标分解成主体及其各单元努力实现的经营、报告、合规目标。

“注册会计师应当了解被审计单位的目标和战略，以及可能导致财务报表重大错报的相关经营风险”。注册会计师应了解：1.战略目标，包括被审计单位的行业状况及影响其经营的其他外部因素，与之相应的被审计单位的目标和战略；2.经营目标，包括企业为实现其战略目标所制定的次级经营目标，如市场占有目标、销售目标、采购目标、生产目标、投资目标、筹资目标等；3.报告目标，了解由企业编制的、向内部和外部散发的各种财务和非财务报告的内容及报告方式，特别是对财务报表报告有重大影响的企业的所有权结构、治理结构、组织结构，财务业绩的衡量和评价方式等；4.合规目标，了解被审计单位所处的法律环境及监管环境，包括适用的会计准则制度，影响经营活动的法律法规、政府政策、监管活动和环保要求等。

（二）审计业务循环维度――主线

业务循环是企业处理某一类经济业务的工作程序和先后顺序，一般可划分为采购与付款循环、销售与收款循环、存货与仓储循环、筹资与投资循环等。企业的经营业务流程与内部控制有着直接的联系，同时，循环审计也有利于审计分工，提高审计效率，因此业务循环审计被广泛应用于传统的内控导向审计中。

本文建立的三维模型，强调以业务循环为线，分循环了解企业风险管理目标和构成要素，以便于界定财务报表容易发生错报的领域及其错报的方式，主要原因如下：1.通过业务循环的划分，企业的所有交易和账户余额被分属于不同的循环，按照业务循环来解析企业风险，能够将风险评估的结果最终具体落实到账户的认定层次。2.“了解被审计单位及其环境是一个连续和动态的收集、更新与分析的过程，贯穿于整个审计过程的始终。”按业务循环来了解企业环境，评估财务报表重大风险，是与进一步审计程序中分业务循环设计和实施控制测试和实质性程序相一致的。

（三）风险管理构成要素维度――步骤

企业风险管理的构成要素是管理层经营一个企业所做的事情，是指主体应以什么样的方式来实现其目标。《企业风险管理――整合框架》将之划分为八个构成要素。注册会计师依照这八个构成要素可以全面了解企业面临的风险、采取的风险应对措施及其有效性，从而全面评估与经营风险相关联的企业财务报表的重大错报风险。

1.内部环境。内部环境是指管理当局确立的关于风险的理念，是企业组织的基调，影响企业组织中人员的风险意识。注册会计师应了解企业管理层的风险管理理念，风险容量，董事会的监督机制，企业中人员的诚信、道德价值观和胜任能力，以对企业的风险管理方式作总体的了解。例如，有效而独立的董事会运作机制能够有效的控制企业的经营风险，也将有效的降低财务报表错报的风险。

2.目标设定。目标设定是指企业管理当局在既定的任务和背景下，采取恰当的程序制定战略目标、选择战略，并制定相关经营目标，将其细分至企业的方方面面，从而确保所设定的目标支持切合企业的使命并与风险容量一致。注册会计师应以审计业务循环为线，了解企业的关键业绩指标、业绩趋势、预测预算、企业各部门单位的业绩目标等，从而推测相关人员的行为导向及可能导致的重大错报风险。例如，过高的销售目标易导致产生压货等各种形式的虚假销售，或使得企业对客户信用评估不重视，为了占领市场盲目扩大客户源，盲目赊销，最终导致销售收款循环的重大错报风险；本期及未来的融资计划，是企业为满足融资条件修改财务报表、管理关键财务指标的重要动机。

3.事项识别。事项识别是指企业管理当局必须能够识别可能对企业产生影响的潜在事项。注册会计师应询问管理层识别出的经营风险或与管理层讨论如何识别经营风险。例如企业各级部门是否实时关注与之相关的政策法规，企业是否具有常规的市场调研机制，是否聘请了法律顾问以规避法律风险，是否具备有效的内部审计机制，财务主管是否了解融资市场的利率及资金供应状况等等。

4.风险评估。风险评估是指企业应该考虑潜在事项如何影响目标的实现。注册会计师应与企业的管理层及各部门负责人讨论，以明确企业是否能够评估各领域的风险程度。例如，销售部门是否能够识别关键客户，采购部门是否有一定方法区分重要供应商，生产部门是否能够明确行业产品的发展方向并有与之相应的研究和开发活动等。

5.风险应对。风险应对是指管理者如何应对风险。注册会计师应了解企业的风险应对措施并评估其有效性。注册会计师应特别关注当被审计单位内部或外部对财务业绩的衡量和评价可能对管理层产生压力时，企业是否存在通过关联方交易、合并报表、会计政策选择等财务手段直接管理财务指标应对业绩评价风险的情况。

6.控制活动。控制活动是帮助管理当局实施风险应对方案的政策和程序。注册会计师可以以审计循环为主线，更多的关注企业为实现财务报告可靠性目标设计和实施的与审计相关的内部控制。

7.信息与沟通。管理者应当建立一套信息系统来处理和提炼大量的数据以形成可参考的信息，并在企业内部和外部恰当、及时、准确的传递。注册会计师应更多的关注“与财务报告相关的信息系统”。

8.监控―管理当局需要依赖监控确定企业风险管理的运行是否持续有效。“注册会计师应当了解被审计单位对与财务报告相关的内部控制的监督活动，并了解如何采取措施”。

【参考文献】

［1］ 中国财政部.中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风险［EB/OL］.http：//mof.省略，2006-2-15.

［2］ ［美］COSO.企业风险管理――整合框架［M］.方红星，王宏，译.大连：东北财经大学出版社，2005.

［3］ 陈毓圭.对风险导向审计方法的由来及其发展的认识［J］.会计研究，2004（2）：58-63.

篇2

一、前言

2006年财政部颁布了《中国注册会计师执业准则》，标志着我国在建立适应社会主义市场经济发展要求，顺应国际趋同新形势的道路上迈进了一大步。为了更好地指导注册会计师有效地识别、评估和应对审计风险，准则框架体系全面渗透着风险导向审计的理念，要求注册会计师将风险导向审计的观念贯穿于审计全过程。传统审计方法的主要缺陷在于注册会计师重视被审计单位的内部环境，但忽视其所处的外部环境；重视审计单位的控制风险但忽视其固有风险。事实上我国注册会计师面临的情形是被审计单位及其所处环境的日趋复杂。行业状况、法律环境与监管环境以及其他外部因素，都会对注册会计师审计质量产生重大影响。在复杂环境下或被审计单位内部控制不健全时，如果继续采用传统审计模式，局限于控制测试和实质性测试，把审计的主要资源集中在具体交易事项和余额细节测试上。极易引发审计风险。因此，新执业准则要求注册会计师了解被审计单位及其内外部环境，同时注重检查风险和固有风险(即重大错报风险)，重点关注存在重大错报风险的领域，达到避免触发审计风险的目的。新执业准则体系的核心内容为以下准则，简称审计风险准则，分别为：《中国注册会计师执业准则第1101号――财务报表审计的目标和一般原则》(以下简称第1101号准则，下同)、《中国注册会计师执业准则第1211号――了解被审计单位及其环境并评估重大错报风险》、《中国注册会计师执业准则第1231号――针对评估的重大错报风险实施的程序》、《中国注册会计师执业准则第1301号――审计证据》。

二、审计风险准则修订的主要内容

(一)第1101号准则 第1101号准则是在借鉴国际审计与鉴证准则第200号的基础上，对原《独立审计准则第1号――会计报表审计》进行修订而形成的。其主要内容有：会计责任和审计责任、审计的目标、审计范围、职业怀疑态度、审计风险及模型。(1)明确区分注册会计师的责任，公司管理层和治理层的责任。新准则规定，对财务报表发表审计意见是注册会计师的责任；在被审计单位治理层的监督下，按照适用的会计准则和相关会计制度的规定编制财务报表是被审计单位管理层的责任。此外，准则条款还特别强调了财务报表审计不能减轻被审计单位管理层和治理层的责任。(2)明确财务报表审计目标。新准则规定，财务报表审计的目标是注册会计师通过执行审计工作，对财务报表的下列方面发表审计意见：财务报表是否按照适用的会计准则和相关会计制度的规定编制；财务报表是否在所有重大方面公允反映被审计单位的财务状况、经营成果和现金流量。这个规定与原有的规定没有太大区别，但是新准则中明确提出，财务报表审计属于鉴证业务，注册会计师的审计意见旨在提高财务报表的可信赖程度。(3)修订审计范围的定义。新准则指出，财务报表的审计范围是指注册会计师为实现财务报表审计目标，根据审计准则和职业判断实施的恰当的审计程序的总和。在确定拟实施的审计程序时，注册会计师应当遵守与财务报表审计相关的各项审计准则。恰当的审计程序是指审计程序的性质、时间和范围是恰当的。一是审计程序的性质指审计程序的目的和类型。目的包括：通过了解被审计单位及其环境，识别、评估重大错报风险；通过实施控制测试，明确内部控制运行的有效性；通过实施实质性程序，发现认定层次的重大错报。类型则包括检查、观察、询问、函证、重新计算、重新执行和分析程序。二是审计程序的时间是指注册会计师何时实施审计程序，或指审计证据适用的期间或时点。三是审计程序的范围是指实施审计程序的数量，包括抽取的样本量，对某项控制活动的观察次数等。审计范围受到限制是指由于客观原因或者被审计单位施加的限制，注册会计师未能实施根据审计准则和职业判断应当实施的审计程序，从而未能获取充分、适当的审计证据。(4)要求注册会计师在审计过程中始终保持职业怀疑态度，并明确在财务报表审计中注册会计师只能提供合理保证。新准则要求，在计划和实施审计工作时，注册会计师应当保持职业怀疑态度，充分考虑可能存在导致财务报表发生重大错报的情形。新准则指出，注册会计师按照审计准则的规定执行审计工作，能够对财务报表整体不存在重大错报获取合理保证。由于审计中存在的固有限制影响注册会计师发现重大错报的能力，注册会计师不能对财务报表整体不存在重大错报获取绝对保证，即只能提供合理保证。(5)引进新的审计模型。新准则对审计风险模型作了重大改变，将原审计风险模型修正为：审计风险：重大错报风险x检查风险，审计风险取决于重大错报风险和检查风险，是两者的综合风险。重大错报风险要求注册会计师站在风险的高度上把握审计过程，以风险为导向进行审计，强化了风险意识，注册会计师对于重大错报风险的评估贯穿于审计的整个过程。改变后的审计风险模型使得注册会计师从更高的层次上把握重大错报风险，要求注册会计师必须了解被审计单位及其环境(包括内部控制)，以充分识别和评估财务报表重大错报风险，并针对评估的重大错报风险设计和实施进一步审计程序(包括控制测试和实质性测试)，以降低注册会计师的审计风险。在目前经济不确定性增大的环境下，显然新的审计风险模型更能满足风险控制的要求，并且可操作性较强。

(二)第1211号准则 第1211号准则是在借鉴国际审计与鉴证准则第315号基础上出台的新准则，将取代我国原有的《独立审计准则第21号――了解被审计单位情况》、《独立审计准则第9号――内部控制与审计风险》和《独立审计准则第20号――计算机信息系统环境下的审计》，以克服旧准则相互分离、缺乏有机融合的缺陷。根据《中国注册会计师审计准则第1101号――财务报表审计的目标和一般原则》要求，注册会计师在审计过程中应当贯彻风险导向审计的理念，围绕重大错报风险的识别、评估和应对，计划和实施审计工作。其中如何识别和评估重大错报风险，构成了注册会计师应对重大错报风险的前提。注册会计师如何了解被审计单位及其环境，了解哪些具体的内容，了解后如何对重大错报风险进行评估，如何将了解和评估的过程、结果与管理层和治理层进行沟通，在审计工作底稿中应当对哪些内容进行记录，本准则对这些问题做了明确规范，其修订的主要内容有：(1)注册会计师审计的总体要求：了解被审计单位及其环境是必要程序；了解的目的是识别和评估财务报表重大错报风险，设计和实施进一步审计程序；了解的程度应当足够实现了解的目的。与独立审计准则中的规定不同，了解被审计单位及其内外部环境是注册会计师审计过程中必须实施的程序，

也是风险导向审计的核心。(2)风险评估程序的概念及项目组内部讨论的要求。风险评估程序是指为了解被审计单位及其环境而实施的程序。风险评估程序包括：询问被审计单位管理层和内部其他相关人员；分析程序；观察和检查。注册会计师在了解被审计单位及其环境的整个过程中，结合了解的内容和被审计单位业务的特点运用相应的风险评估程序，并利用风险评估程序所获取的信息评估重大错报风险，并可能随着不断获取审计证据而作出相应的变化。如果通过实施进一步审计程序获取的审计证据与初始评估获取的审计证据相矛盾，注册会计师应当修正风险评估结果，并相应修改原计划实施的进一步审计程序，实施风险评估程序之后项目组内部必须进行讨论。注册会计师通过风险评估程序了解被审计单位及其环境后，需要对财务报表重大错报风险进行评估，评估重大错报风险需要运用专业判断，必须由项目组内部讨论来完成，项目组内部讨论可以有效降低审计风险。在原准则中，评估固有风险、控制风险也需要专业判断，但并没有需要项目组共同讨论的规定。一是讨论的目标。项目组通过讨论可以使成员更好地了解在各自分工负责的领域中，由于舞弊或错误导致财务报表重大错报地可能性，并了解各自实施审计程序的结果如何影响审计的其他方面，包括对确定进一步审计程序的性质、时间和范围的影响。二是讨论的内容。项目组应当讨论被审计单位面临的经营风险、财务报表容易发生错报的领域以及发生错报的方式，特别是由于舞弊导致重大错报的可能性。三是参与讨论的人员。注册会计师应当运用职业判断确定项目组内部参与讨论的成员。项目组的关键成员应当参与讨论，如果项目组需要拥有信息技术或其他特殊技能的专家，这些专家也应当参与讨论。项目组的讨论不要求所有成员每次都参与讨论，参与讨论人员的范围受项目组成员的职责、经验和信息需求的影响。四是讨论的时间和方式。项目组应当根据审计的具体情况，在整个审计过程中，持续交换有关财务报表发生重大错报可能性的信息。项目组在讨论时应当强调在整个过程中保持职业怀疑态度，警惕表明舞弊或错误导致的重大错报可能已经发生的信息或其他迹象，并对这些迹象进行追踪。通过讨论，项目组成员可以交流和分享在整个审计过程中获得的信息，包括可能对重大错报风险评估产生影响的信息或有关针对风险实施的审计程序的信息。(3)注册会计师应尽到的相关职责。对注册会计师应当从哪些方面了解被审计单位及其环境作了详细的定义：行业状况、法律环境与监管环境以及其他外部因素；被审计单位的性质；被审计单位对会计政策的选择和运用；被审计单位的目标、战略以及相关经营风险；被审计单位财务业绩的衡量和评价；被审计单位的内部控制。这些内容是新准则的重要内容，值得注意的是对被审计单位的了解不仅局限于被审计单位的内部控制。对以上新准则中有相应的章节进行具体的阐述，使得注册会计师思考的是究竟哪些方面去了解被审计单位，而不像原有准则中是比较模糊的概念，这样做可以有效防止了解的不彻底影响审计工作，低估重大错报风险。(4)明确了注册会计师了解内部控制的定位。注册会计师需要了解和评价的内部控制只是与财务报表审计相关的内部控制，并非被审计单位所有的内部控制。因为注册会计师审计的目标是对财务报表是否不存在重大错报发表审计意见，注册会计师考虑与财务报表编制相关的内部控制，但目的并非对被审计单位内部控制的有效性发表意见。(5)明确了注册会计师评估两个层次的重大错报风险。在对重大错报风险进行识别和评估后，注册会计师应当确定识别的重大错报风险是与特定的各类交易、账户余额、列报的认定相关，还是与财务报表整体广泛相关，进而影响多项认定。某些重大错报风险可能与特定的各类交易、账户余额、列报的认定相关。如被审计单位存在复杂的联营或合资，这一事项表明长期股权投资账户的认定可能存在重大错报风险。又如被审计单位存在重大的关联方交易，该事项表明关联方及关联方交易的披露认定可能存在重大错报风险。某些重大错报风险可能与财务报表整体广泛相关，进而影响多项认定。如在经济不稳定的国家和地区开展业务、资产的流动性出现问题、重要客户流失、融资能力受到限制等，可能导致注册会计师对被审计单位的持续经营能力产生重大疑虑。又如管理层缺乏诚信或承受异常的压力可能引发舞弊风险，这些风险与财务报表整体相关。(6)提出了特别风险的概念，需要特别考虑的重大错报风险即为特别风险，并根据风险的性质、潜在错报的重要程度和发生的可能性判断风险是否属于特别风险。如风险是否属于舞弊风险；交易的复杂程度；风险是否涉及重大的关联方交易等。(7)提出了对仅通过实质性程序无法应对的重大错报风险的处理方法。仅通过实质性程序获取的审计证据无法将认定层次的重大错报风险降至可接受的低水平，注册会计师应当评价被审计单位针对这些风险设计的控制，并确定其执行情况。在被审计单位对日常交易采用高度自动化处理的情况下，审计证据可能仅以电子形式存在，其充分性和适当性通常取决于自动化信息系统相关控制的有效性，注册会计师应当考虑仅通过实施实质性程序不能获取充分、适当审计证据的可能性。如果认为仅通过实施实质性程序不能获取充分、适当的审计证据，注册会计师应当考虑依赖的相关控制的有效性，并对其进行了解、评估和测试。(8)将了解被审计单位及其环境过程中获得的信息记录与工作底稿中。此类信息包括项目组对由于舞弊或错误导致财务报表发生重大错报的可能性进行的讨论，以便得出的重要结论；对被审计单位及其环境各个方面的了解要点、信息来源以及实施的风险评估程序；在财务报表层次和认定层次识别、评估出的重大错报风险；识别出的特别风险和仅通过实质性程序无法应对的重大错报风险，以及对相关控制的评估。

(三)第1231号准则 第1231号准则是在借鉴国际审计与鉴证准则第330号的基础上出台的一个全新的准则，将取代原有的《第21号――了解被审计单位情况》、《第9号――内部控制与审计风险》和《第20号――计算机信息系统环境下的审计》。根据《中国注册会计师审计准则第1101号――财务报表审计的目标和一般原则》的要求，注册会计师在审计过程中应当贯彻风险导向审计的理念，围绕重大错报风险的识别、评估和应对，计划和实施审计工作。其中《第1211号――了解被审计单位及其环境并评估重大错报风险》规范了注册会计师通过实施风险评估程序，识别和评估财务报表层次以及各类交易、账户余额、列报认定层次的重大错报风险，注册会计师针对已评估的财务报表层次的重大错报风险如何确定总体应对措施，针对已评估的认定层次的重大错报风险如何设计和实施进一步审计程序，进一步审计程序的性质、时间、范围如何确定和实施，如何评价实施审计程序收集的审计证据的充分性和适当性，在审计工作底稿中将对哪些审计工作进行记录等，对这些问题的明确规范是第1231号准则的核心内容。其修订的主要内容有：总体要求、针对重大错报风险的总体反应、审计程序的不可预见性、总体方案和进一步审计程序、控制测试的相关要求、实质性程序及相关要求、审计的相关要求、审计工作记录。(1)明确提出了对注册会计师审计的两个总体要求：审计程序的总体要求，注册会计师应

当对评估的财务报表层次重大错报风险确定总体应对措施，并针对评估的认定层次重大错报风险设计和实施进一步审计程序；职业判断的总体要求，注册会计师在确定总体应对措施以及设计和实施进一步审计程序的性质、时间和范围时应当运用职业判断。(2)首次提出了注册会计师应当针对评估的财务报表层次重大错报风险确定下列总体应对措施：向项目组强调在收集和评价审计证据过程中保持职业怀疑态度的必要性；分派更有经验或具有特殊技能的审计人员，或利用专家的工作；提供更多的督导；在选择进一步审计程序时，应当注意使某些程序不被管理层预见或事先了解；对拟实施审计程序的性质、时间和范围作出总体修改。(3)强调审计程序的不可预见性要求。注册会计师针对评估的财务报表层次重大错报风险确定的总体应对措施中强调增强审计程序的不可预见性，因此，注册会计师在设计拟实施审计程序的性质、时间和范围时，为了避免既定思维对审计方案的限制，避免对审计效果的人为干涉，从而使得针对重大错报风险的进一步审计程序更加有效，注册会计师要考虑使某些程序不被审计单位管理层预见或事先了解。(4)首次提出了两种总体方案和进一步审计程序的概念。两种总体方案分别为实质性方案和综合性方案，实质性方案是指注册会计师实施的进一步审计程序以实质性程序为主；综合性方案是指注册会计师在实施进一步审计程序时，将控制测试与实质性程序结合使用。而所谓的进一步审计程序是相对风险评估程序而言的，是注册会计师针对评估的各类交易、账户余额、列报认定层次重大错报风险实施的审计程序，包括控制测试和实质性程序。(5)重新界定了注册会计师实施控制测试的两种情形，当存在下列情形之一时，注册会计师应当实施控制测试：在评估认定层次重大错报风险时，预期控制的运行时有效的；仅实施实质性程序不足以提供认定层次充分、适当的审计证据。(6)强调了实施控制测试获取审计证据的重要性。即认为仅实施实质性程序获取的审计证据无法将认定层次重大错报风险降至可接受水平，注册会计师应当实施相关的控制测试，以获取控制运行有效性的审计证据。(7)增加了“重新执行”的控制测试取证方法。根据第1301号审计证据准则，注册会计师获取审计证据的具体程序中将六种具体的取证方法修改为八种，即检查记录或文件；检查有形资产；观察；询问；函证；重新计算；重新执行；分析程序。其中增加了“重新执行”控制测试的取证方法。(8)严格限制了注册会计师无限期或过长时间内不实施测试的做法。如果拟信赖的控制自上次测试后未发生变化，且不属于旨在减轻特别风险的控制，注册会计师应当运用职业判断确定是否在本期审计中测试其运行有效性，以及本次测试与上次测试的时间间隔，但两次测试的时间间隔不得超过两年。(9)首次明确区分“控制运行的有效性”与“控制是否得到执行”。注册会计师在了解被审计单位及其环境时需要实施风险评估程序。注册会计师在确定控制是否得到执行而实施的某些风险评估程序可能提供有关控制运行有效性的审计证据。注册会计师可以考虑在评价控制设计和获取其得到执行的审计证据的同时测试控制运行有效性，以提高审计效率。两者的区别如(表1)所示。(10)首次明确期中进行控制测试的考虑。如果注册会计师在期中实施控制测试程序，即使注册会计师已获取有关控制在期中运行有效性的审计证据，仍然需要考虑如何能够将控制在期中运行有效性的审计证据合理延伸至期末，以确保针对期中至期末这段剩余期间获取充分、适当的审计证据。如果已获取有关控制在期中运行有效性的审计证据，并拟利用该证据，注册会计师应当实施下列审计程序：首先，获取这些控制在剩余期间变化情况的审计证据。针对期中已获取过审计证据的情况，如果这些控制在剩余期间没有发生变化，注册会计师可能决定信赖期中获取的审计证据；如果这些控制在剩余期间发生了变化，注册会计师需要了解并测试控制的变化对期中审计证据的影响。其次，确定针对剩余期间还需获取的补充审计证据。针对期中已获取过审计证据的情况，如果这些控制在剩余期间发生了变化，注册会计师应当考虑下列因素：评估的认定层次重大错报风险的重大程度。评估的重大错报风险对财务报表的影响越大，注册会计师需要获取的剩余期间的补充证据越多；在期中测试的特定控制。如对自动化运行的控制，注册会计师更可能测试信息系统一般控制的运行有效性，以获取控制在剩余期间运行有效姓的审计证据；在期中对有关控制运行有效性获取的审计证据的程度。如果注册会计师在期中对有关控制运行有效性获取的审计证据比较充分，可以考虑适当减少需要获取的剩余期间的补充证据；剩余期间的长度。剩余期间越长，注册会计师需要获取的剩余期间的补充证据越多；在信赖控制的基础上拟减少进一步实质性程序的范围。注册会计师对相关控制的信赖程度越高，通常在信赖控制的基础上拟减少进一步实质性程序的范围就越大。在这种情况下，注册会计师需要获取的剩余期间的补充证据越多；控制环境。在注册会计师总体上拟信赖控制的前提下，控制环境越薄弱(或把握程度越低)，注册会计师需要获取的剩余期间的补充证据越多。(11)明确了实质性程序概念和内容。实质性程序是指注册会计师针对评估的重大错报风险实施的直接用以发现认定层次重大错报的审计程序。包括对各类交易、账户余额、列报的细节测试以及实质性分析程序。(12)明确了对于特别风险的专门应对程序。如果认为评估的认定层次重大错报风险是特别风险，注册会计师应当专门针对该风险实施实质性程序；如果针对特别风险仅实施实质性程序，注册会计师应当使用细节测试，或将细节测试和实质性分析程序结合使用，以获取充分、适当的审计证据。(13)首次提出了是否在期中实施实质性程序。注册会计师如果在期中实施了实质性程序，仍然需要消耗进一步的审计资源使期中审计证据能够合理延伸至期末，注册会计师应当考虑是否在期中实施实质性程序。(14)指明了财务报表审计是一个累计和不断修正的过程。随着计划的审计程序的实施，如果获取的信息与风险评估时依据的信息有重大差异，注册会计师应当考虑修正风险评估结果，并据以修改原计划的其他审计程序的性质、时间和范围。(15)明确了注册会计师应当针对评估的风险设计细节测试。如在针对存在或发生认定设计细节测试时，注册会计师应当选择包含在财务报表金额中的项目，并获取相关审计证据；针对完整性认定设计细节测试时，注册会计师应当选择有证据表明应包含在财务报表金额中的项目，并调查这些项目是否确实包括在内。(16)明确了审计工作记录要求。注册会计师应当针对评估的重大错报风险实施的程序进行充分的审计工作记录。包括记录：对评估的财务报表层次重大错报风险采取的总体应对措施；实施进一步审计程序的性质、时间和范围；实施进一步审计程序与评估的认定层次重大错报风险的联系；实施进一步审计程序的结果。

(四)第1301号准则 第1301号准则是在借鉴国际审计与鉴证准则第500号的基础上，对我国原有的《独立审计准则第5号――审计证据》进行修订而形成的。此次重大修订的内容有：(1)拓展了审计证据的内涵。原审计证据准则将审计证据定义为“注册会计师在执行审计业务过程中，为形成审计意见所获取的证据”。原审计证据准则对审计证据的内涵界定比较窄，注册会计师收集

的审计证据更多体现的是与财务报表会计记录相关的信息。修订后审计证据准则将审计证据定义为“注册会计师为了得到审计结论、形成审计意见而使用的所有信息”。新审计证据准则对审计证据的内涵要宽泛得多，不仅包括与财务报表会计记录相关的信息，还包括其他信息。如(图1)所示。

其中，第一类审计证据是“财务报表依据的会计记录中含有的信息”。会计记录中含有的信息是最基本信息。构成了财务报表最主要的内容，一般包括对初始分列的记录和支持性记录，如支票、电子资金转账记录、发票、合同、总账、明细账、记账凭证和未在记账凭证中反映的对财务报表的其他调整，以及支持成本分配、计算、调节和披露的手工计算表和电子数据表。第二类审计证据是“其他信息”。其他信息是用来印证会计记录中含有的信息是否真实、完整，指导注册会计师如何识别、评估财务报表重大错报风险，一般包括：注册会计师从被审计单位内部或外部获取的会计记录以外的信息，如被审计单位会议记录、内部控制手册、函证函的回函、分析师的报告、与竞争者的比较数据等；通过询问、观察和检查等审计程序获取的信息，如通过检查存货获取存货存在性的证据等；自身编制或获取的可以通过合理推断得出结论的信息，如注册会计师编制的各种计算表、分析表等。(2)引进了“认定”的概念。原审计证据准则未将“认定”写进准则，整个审计准则体系对“认定”概念重视不够，新审计证据准则引入“认定”概念，并要求注册会计师详细运用认定指导具体审计目标，根据具体审计目标来设计和确定进一步审计程序。(3)将获取审计证据的程序区分为总体程序和具体程序。原审计证据准则只列了六种具体的取证方法。修订后的审计证据准则将注册会计师获取审计证据的程序区分为总体程序和具体程序，总体程序增加了风险评估程序，即包括风险评估程序、控制测试和实质性程序；具体程序中将六种具体的取证方法修改为八种，具体包括的内容前文已述及。其中，将“监盘”程序进行细分，因为“监盘”是“检查记录或文件”、“检查有形资产”、“观察”等具体审计程序的复合程序；增加“重新执行”具体程序；将原来的“计算”和“分析性复核”分别修改为“重新计算”和“分析程序”。(4)新增风险评估程序。根据风险导向审计准则体系的要求，注册会计师应当通过了解被审计单位及其环境识别重大错报风险，并针对评估的重大错报风险设计和实施进一步的审计程序，因此，在修订后的审计证据准则中增加“风险评估程序”，以此为手段通过了解情况作为评估财务报表层次和认定层次重大错报风险的基础。但风险评估程序并不能识别出所有的重大错报风险，虽然它可作为评估财务报表层次和认定层次重大错报风险的基础，但并不能为发表审计意见提供充分、适当的审计证据。为了获取充分、适当的审计证据，注册会计师还需要实施进一步程序，包括实施控制测试(必要时或决定测试时)和实质性程序。(5)新增“重新执行”的具体审计程序。重新执行是指注册会计师以人工方式或使用计算机辅助审计技术，重新独立执行作为被审计单位内部控制组成部分的程序或控制。如注册会计师利用被审计单位的银行存款日记账和银行对账单，重新编制银行存款余额调节表，并与被审计单位编制的银行存款余额调节表进行比较。

三、审计风险准则对注册会计师的影响

篇3

一、引言

从审计的角度，风险评估是现代风险导向审计的核心理念。无论是在历史财务报表审计还是在网络审计中，现代风险导向审计均要求审计师在执行审计工作过程中应以风险评估为中心，通过对被审计单位及其环境的了解，评估确定被审计单位的高风险领域，从而确定审计的范围和重点，进一步决定如何收集、收集多少和收集何种性质的证据，以便更有效地控制和提高审计效果及审计效率。从企业管理的角度，企业风险管理将风险评估作为其基本的要素之一进行规范，要求企业在识别和评估风险可能对企业产生影响的基础上，采取积极的措施来控制风险，降低风险为企业带来损失的概率或缩小损失程度来达到控制目的。信息安全风险评估作为企业风险管理的一部分，是企业信息安全管理的基础和关键环节。尽管如此，风险评估在网络审计、历史财务报表审计和企业信息安全管理等工作中的运用却不尽相同，本文在分析计算机信息系统环境下所有特定风险和网络审计风险基本要素的基础上，从风险评估中应关注的风险范围、风险评估的目的、内容、程序及实施流程等内容展开，将网络审计与历史财务报表审计和信息安全管理的风险评估进行对比分析，以期深化对网络审计风险评估的理解。

二、网络审计与历史财务报表审计的风险评估比较

(一)审计风险要素根据美国注册会计师协会的第47号审计标准说明中的审计风险模型，审计风险又由固有风险、控制风险和检查风险构成。其中，固有风险是指不考虑被审计单位相关的内部控制政策或程序的情况下，其财务报表某项认定产生重大错报的可能性；控制风险是被审计单位内部控制未能及时防止或发现财务报表上某项错报或漏报的可能性；检查风险是审计人员通过预定的审计程序未能发现被审计单位财务报表上存在重大错报或漏报的可能性。在网络审计中，审计风险仍然包括固有风险、控制风险和检查风险要素，但其具体内容直接受计算机网络环境下信息系统特定风险的影响。计算机及网络技术的应用能提高企业经营活动的效率，为企业的经营管理带来很大的优越性，但同时也为企业带来了一些新的风险。这些新的风险主要表现为：(1)数据与职责过于集中化。由于手工系统中的职责分工、互相牵制等控制措施都被归并到计算机系统自动处理过程中去了，这些集中的数据库技术无疑会增加数据纵和破坏的风险。(2)系统程序易于被非法调用甚至遭到篡改。由于计算机系统有较高的技术要求，非专业人员难以察觉计算机舞弊的线索，这加大了数据被非法使用的可能性。如经过批准的系统使用人员滥用系统，或者说，企业对接近信息缺乏控制使得重要的数据或程序被盗窃等。(3)错误程序的风险，例如程序中的差错反复和差错级联、数据处理不合逻辑、甚至是程序本身存在错误等。(4)信息系统缺乏应用的审计接口，使得审计人员在审计工作中难以有效地采集或获取企业信息系统中的数据，从而无法正常开展审计工作。(5)网络系统在技术和商业上的风险，如计算机信息系统所依赖的硬件设备可能出现一些不可预料的故障，或者信息系统所依赖的物理工作环境可能对整个信息系统的运行效能带来影响等。相对应地，网络审计的固有风险主要是指系统环境风险，即财务电算化系统本身所处的环境引起的风险，它可分为硬件环境风险和软件环境风险。控制风险包括系统控制风险和财务数据风险，其中，系统控制风险是指会计电算化系统的内部控制不严密造成的风险，财务数据风险是指电磁性财务数据被篡改的可能性。检查风险包括审计软件风险和人员操作风险，审计软件风险是指计算机审计软件本身缺陷原因造成的风险，人员操作风险是指计算机审计系统的操作人员、技术人员和开发人员等在工作中由于主观或客观原因造成的风险。

(二)风险评估目的无论在网络审计还是历史财务报表审计中，风险评估只是审计的一项重要程序，贯穿于审计的整个过程。与其他审计程序紧密联系而不是一项独立的活动。尽管如此，两者所关注的风险范围则有所不同。历史财务报表审计的风险评估要求审计人员主要关注的是被审计单位的重大错报风险――财务报表在审计前存在重大错报的可能性。由于网络审计的审计对象包括被审计单位基于网络的财务信息和网络财务信息系统两类，因此审计人员关注的风险应是被审计单位经营过程中与该两类审计对象相关的风险。(1)对于与企业网络财务信息系统相关的风险，审计人员应该从信息系统生命周期的各个阶段和信息系统的各组成部分及运行环境两方面出发进行评估。信息系统生命周期是指该信息系统从产生到完成乃至进入维护的各个阶段及其活动，无论是在早期的线性开发模型中还是在更为复杂的螺旋式等模型中，一个信息系统的生命周期大都包括规划和启动、设计开发或采购、集成实现、运行和维护、废弃等五个基本阶段。由于信息系统在不同阶段的活动内容不同，企业在不同阶段的控制目标和控制行为也会有所不同，因此，审计人员的风险评估应该贯穿于信息系统的整个生命周期。信息系统的组成部分是指构成该信息系统的硬件、软件及数据等，信息系统的运行环境是指信息系统正常运行使用所依托的物理和管理平台。具体可将其分为五个层面：物理层，即信息系统运行所必备的机房、设备、办公场所、系统线路及相关环境；网络层，即信息系统所需的网络架构的安全情况、网络设备的漏洞情况、网络设备配置的缺陷情况等；系统层，即信息系统本身的漏洞情况、配置的缺陷情况；应用层，即信息系统所使用的应用软件的漏洞情况、安全功能缺陷情况；管理层，即被审计单位在该信息系统的运行使用过程中的组织、策略、技术管理等方面的情况。(2)对于与企业基于网络的财务信息相关的风险，审计人员应着重关注财务信息的重大错报风险和信息的安全风险。重大错报风险主要指被审计单位基于网络的相关财务信息存在重大错报的可能性，它是针对企业借助于网络信息系统或网络技术对有关账户、交易或事项进行确认、计量或披露而言。网络审计中关注的重大错报风险与传统审CtT的内涵基本上是一致的，审计人员在审计时应当考虑被审计单位的行业状况、经营性质、法律及监管环境、会计政策和会计方法的选用、财务业绩的衡量和评价等方面的情况对财务信息错报可能的影响。信息安全风险涉及信息的保密性、完整性、可用性及敏感性等方面可能存在的风险，主要针对企业利用信息系统或一定的网络平台来存储、传输、披露相关财务信息而言。在审计过程中，审eta员应当主要关注相关财务信息被盗用、非法攻击或篡改及非法使用的可能性。当然，这两类风险并非完全分离的，评估时审计人员应将两者结合起来考虑。

(三)风险评估内容　广泛意义的风险评估是指考虑潜在事件对目标实现的影响程度。由于网络审计与历史财务报表审计风险评估的目的并不完全相同，因此两者在风险评估的内容上也是存在区别的。总的来说，网络审计的风险评估内容比历史财务报表审计的风险评估内容更广泛和深入。根据《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风

险》，在历史财务报表审计中，审计人员的风险评估应以了解被审计单位及其环境为内容。为识别和评价重大错报风险，审计人员了解的具体内容包括被审计单位所在行业状况、法律环境与监管环境以及其他外部因素、被审计单位的性质、被审计单位对会计政策的选择和运用、被审计单位的目标、战略以及相关经营风险、被审计单位财务业绩的衡量和评价及被审it@位的内部控制等。在网络审计中。为了识别和评估上文所述的两类风险，审计人员除了从以上方面了解被审计单位及其环境外，还应该关注其他相关的潜在事件及其影响，尤其是企业的财务信息系统及基于网络的财务信息可能面l临的威胁或存在的脆弱点。其中，威胁是指对信息系统及财务信息构成潜在破坏的可能性因素或者事件，它可能是一些如工作人员缺乏责任心、专业技能不足或恶意篡改等人为因素，也可能是一些如灰尘、火灾或通讯线路故障等环境因素。脆弱点是指信息系统及基于网络的财务信息所存在的薄弱环节，它是系统或网络财务信息本身固有的，包括物理环境、组织、过程、人员、管理、配置、硬软件及信息等各方面的弱点。一般来说，脆弱点本身不会带来损失或信息错报，威胁却总是要利用网络、系统的弱点来成功地引起破坏。因此，我们认为网络审计申风险评估的内容应包括以下几方面：(1)识别被审计单位财务信息系统及其基于网络的财务信息可能面临的威胁，并分析威胁发生的可能性；(2)识别被审计单位财务信息系统及其基于网络的财务信息可能存在的脆弱点，并分析脆弱点的严重程度；(3)根据威胁发生的可能性和脆弱点发生的严重程度，判断风险发生的可能性；(4)根据风险发生的可能性，评价风险对财务信息系统和基于网络的财务信息可能带来的影响；(5)若被审计单位存在风险防范或化解措施，审计人员在进行风险评估时还应该考虑相应措施的可行性及有效性。

(四)风险评估程序《中国注册会计师审计准则第1211-----了解被审计单位及其环境并评估重大错报风险》中要求，审计人员应当实施询问、分析程序、观察和检查等程序，以获取被审计单位的信息，进而评估被审计单位的重大错报风险。这些程序同样适用于网络审计中的风险评估。但在具体运用时网络审计中更加注重了解和分析被审计单位与信息系统及网络技术使用相关的事项。在实施询问程序时，审计人员的询问对象围绕信息系统和基于网络的财务信息可大致分为管理人员、系统开发和维护人员(或信息编制人员)、系统使用人员(或信息的内部使用人员)、系统或网络技术顾问及其他外部相关人员(如律师)等五类，分别从不同角度了解信息系统和基于网络的财务信息可能存在的威胁和脆弱点。在实施分析程序时，除了研究财务数据及与财务信息相关的非财务数据可能的异常趋势外，审计人员应格外关注对信息系统及网络的特性情况，被审计单位对信息系统的使用情况等内容的分析比较。实施观察和检查时，除执行常规程序外，审计人员应注意观察信息系统的操作使用和检查信息系统文档。除此之外，针对特定系统或网络技术风险的评估，审计人员还需要实施一些特定的程序。技术方面如IOS取样分析、渗透测试、工具扫描、安全策略分析等；管理方面如风险问卷调查、风险顾问访谈、风险策略分析、文档审核等。其中，IDS取样分析是指通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析；渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法；工具扫描是指通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。风险问卷调查与风险顾问访谈要求审计人员分别采用问卷和面谈的方式向有关主体了解被审计单位的风险状况，使用时关键是要明确问卷或访谈的对象情况风险策略分析要求审计人员对企业所设定的风险管理和应对策略的有效性进行分析，进而评价企业相关风险发生的概率以及可能带来的损失；文档审核是一种事前评价方法，属于前置软件测试的一部分，主要包括需求文档测试和设计文档测试。这些特定程序主要是针对被审计单位信息系统和基于网络的财务信息在网络安全风险方面进行评价，审计人员在具体使用时应结合被审计单位的业务性质选择合适的程序。

三、网络审计与信息安全管理的风险评估比较

(一)风险评估的目的信息安全管理中的风险评估(即信息安全风险评估)是指根据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。作为信息安全保障体系建立过程中的重要的评价方法和决策机制，信息安全风险评估是企业管理的组成部分，它具有规划、组织、协调和控制等管理的基本特征，其主要目的在于从企业内部风险管理的角度，在系统分析和评估风险发生的可能性及带来的损失的基础上，提出有针对性的防护和整改措施，将企业面临或遭遇的风险控制在可接受水平，最大限度地保证组织的信息安全。而网络审计是由独立审计人员向企业提供的一项鉴证服务，其风险评估的目的在于识别和评价潜在事件对被审计单位基于网络的财务信息的合法性、公允性以及网络财务信息系统的合规性、可靠性和有效性的影响程度，从而指导进一步审计程序。因此，两者风险评估的目的是不一样。从评估所应关注的风险范围来看，两者具有一致性，即都需要考虑与信息系统和信息相关的风险。但是，具体的关注边界则是不一样的。信息安全风险评估要评估企业资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，它要求评估人员关注与企业整个信息系统和所有的信息相关的风险，包括实体安全风险、数据安全风险、软件安全风险、运行安全风险等。网络审计中，审计人员是对被审计单位的网络财务信息系统和基于网络的财务信息发表意见，因此，风险评估时审计人员主要关注的是与企业财务信息系统和基于网络的财务信息相关的风险，而不是与企业的整个信息系统和所有的信息相关的风险。根据评估实施者的不同，信息安全风险评估形式包括自评估和他评估。自评估是由组织自身对所拥有的信息系统进行的风险评估活动；他评估通常是由组织的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的具有强制意味的检查。自评估和他评估都可以通过风险评估服务机构进行咨询、服务、培训以及风险评估有关工具的提供。因此。对审计人员而言，受托执行的信息安全风险评估应当归属于管理咨询类，即属于非鉴证业务，与网络审计严格区分开来。

(二)风险评估的内容在我国国家质量监督检验检疫总局的《信息安全风险评估指南》(征求意见稿)国家标准中，它将信息安全风险评估的内容分为两部分：基本要素和相关属性，提出信息安全风险评估应围绕其基本要素展开，并充分考虑与这些基本要素相关的其他属性。其中，风险评估的基本要素包括资产、脆弱性、威胁、风险和安全措施；相关属性包括业务战略、资产价值、安全需求、安全事件、残余风险等。在此基础上的风险计算过程是：(1)对信息资产进行识别，并对资产赋值；(2)对威胁进行分析，并对威

篇4

一、财务报表保险制度的主要内容

为了从制度上解决注册会计师独立性受损的问题，美国纽约大学的罗恩教授于2002年率先提出了财务报表保险制度。在该制度下，企业不直接聘请会计师事务所对其财务报表进行审计，而是向保险公司投保财务报表保险，由保险公司根据风险评估结果决定承保的金额和保险费率，聘请会计师事务所并对其进行付费。对因财务报表的不实陈述或漏报给报表使用者造成的损失，由保险公司负责对其进行赔偿。

二、财务报表制度对独立性的影响

在现行财务报表审计制度下，财务报表审计的工作是建立在受托经济责任关系的基础上的。所有者，管理层和会计师事务所三者之间应该形成一种相互制约的三角契约关系，保证注册会计师的独立性是避免审计失败的核心问题。然而在市场经济下，上市公司股权分散，执行审计委托权的往往是公司的董事会，而董事会与管理层高度重叠，这样公司管理层就成了实际的审计委托人。最后形成了管理层一方面充当委托人，向审计师提出委托业务、支付审计费用，另一方面却又要接受注册会计师审计的尴尬局面，这就削弱了审计的独立性。

财务报表制度的最终目的就是要切断管理层和注册会计师的直接联系，从根源上保证审计的独立性。财务报表制度在传统的审计三方关系中引入保险公司作为第四方，首先由上市公司为财务报表的真实性向保险公司投保，再由保险公司聘请会计师事务所对其财务报表进行审计，最后如果保险事故发生，由保险公司对利害关系人进行赔偿。

显然，在这种制度下，消除了管理层和会计师事务所的直接利益关系，统一由保险公司选择会计师事务所。同时，保险公司还能够替代分散的股东行使监督的职能。理论上，保险公司由于直接面临着审计失败风险，所以会以审计质量的高低成为其选择会计师事务所的首要因素。保险公司根据业务量和风险确定审计收费，最终避免目前审计市场竞相压价、审计收费偏低的状况。在财务报表保险制度下认为，保险公司无论与任何一方合谋，一旦败露。保险公司将支付经济赔偿。同时产生信誉危机，使社会公众都不再信任该保险公司，迫使其原有的客户转而寻找新的保险公司来投保，保险公司会因此而失去大量的客户。还有可能会波及到其他传统业务，最终导致破产。因而认为保险不会因为一项业务而有任何作弊的行为，也就是说可以迫使保险公司在这四方关系中也保持独立性。

三、运作程序中的隐患

虽然理论上财务报表保险制度有很多优点，但仔细分析，这种制度本身仍然存在着很多缺陷，在我国不具备可操作性。下面具体论述财务报表制度下的运作程序，并分步骤讨论其存在的风险隐患。

在财务报表保险制度下，运作程序的第一步为保险公司对预投保的公司进行风险评估。在这一程序中，风险评估人的选择直接关系到风险评估结果的公正性、真实性。关于风险评估人选现有三种观点。第一，由对财务报表进行审计的注册会计师进行风险评估。显然这存在着严重的弊端，注册会计师直接受雇于保险公司，同时保险公司取得了对会计师事务所支付审计费用的垄断，这种局面使会计师事务所直接服务于保险公司，由于利益驱使很容易造成会计师事务所要听命于保险公司的后果。第二，由保险公司设立专业部门进行风险评估。首先保险公司未必具备数量众多，责任心强，经验丰富的风险评估人员。其次保险公司直接对投保人进行风险评估，评估结果直接影响保费的高低，保险公司和投保公司又产生了经济依赖关系，保险公司难免为了自身利益会和投保公司进行合谋，从而削弱风险评估的公正性。第三，由独立保险中介人进行风险评估。虽说作为独立第三人，但也存在着评估费由保险公司支付，同时又为保险公司服务的矛盾。同时，保险制度下的四方关系，很容易就演变成了“五方关系”，使审计的中介费用进一步加大。使审计业务中的利益关系更加复杂。

第二步为保险公司根据风险评估结果向投保公司提交投保建议书。内容应包括保额与保险费率的对照表。针对不同风险的公司，不同等级保险金额对选择不同的保险费率。投保公司可以在最高限额下选择任何一档的保险金额及其相应的保险费率。在这一环节如果整个保险行业不能够达成统一的标准，很容易造成行业内部为了争夺保单而过分降低保险费率的情况。

第三步为上市公司管理层向股东大会呈报自己的保险计划。理论上应由股东大会通过对计划书进行讨论分析，最终以投票的方式决定是否投保及投保的保险金额。股东大会的决定应向社会公众公布。首先，在这种形式下，投保计划书是由管理层来制定，并报股东大会批准。和传统制度类似，由于我国特殊的股权结构，决定了事实上保险公司仍然是由管理层来选择，而保费实际上也是由管理层来支付。管理层甚至可以间接影响到会计师事务所的选择。其次，上文中提到财务报表保险制度的一个观点就是认为可以迫使保险公司不与任何一方合谋，但通过以上关于管理层的分析，可以得出结论最终还是由上市公司的管理层来决定到底由哪家保险公司作为自己的投保公司，还是存在典型的买方市场链条关系，这就决定了保险公司的独立性仍然很难得到保证。

第四步为保险公司聘请注册会计师对投保公司进行审计。如果股东大会同意向保险公司投保为其指定的财务报表保险，则由保险公司聘请会计师事务所。理论上，对会计师事务所的选聘应采用公开招投标的方式，根据参与投标的会计师事务所的审计质量和投标额，确定信誉好的会计师事务所为中标人，并对外公布中标的数额和中标的会计师事务所名称。上文中提到财务报表保险制度的还有一个目标是能够避免目前审计市场竞相压价、审计收费偏低的状况。但是在制度操作的过程中，保险公司在选择会计师事务所的过程中也一定会考虑审计费用的问题，会计师事务所由直接向上市公司投标转变为向保险公司投标，低价竞争的情况还是无法从根本上得到遏制。而且和传统制度相比，会计师事务所确实不直接与管理层有利益关系了，但同时又与保险公司具备了更大的利益关系。因为保险公司同时为多家上市公司承保，相当于如果会计师事务所与一家具备财务报表保险承保资质的保险公司建立了合作关系，就意味着可以承接多家公司的审计业务。显然此时如果会计师事务所与保险公司一旦合谋作弊，将会波及多家公司的审计质量，后果更加严重。

第五步为根据注册会计师的审计意见决定是否承保。由中标的会计师事务所委派审计人员对被审计单位的财务报表进行审计并发表意见。如果投保公司的财务报表获得的是标准无保留意见的审计报告，则保险公司同意承保并向上市公司签发保单；如果注册会计师出具的是非标准无保留意见，则由保险公司和投保公司重新商议保单条款，或者直接拒绝承保。

第六步为投保公司向社会披露保险合同的主要内容。在财务报表保险中，保险人是保险公司，上市公司既是投保人又是被保险人，报表使用者为保险受益人。要向社会披露的内容包括保险责任和责任免除、保险费及其支付办法、保险金（下转第230页）（上接第228页）额赔偿或者支付办法、保险期间和保险责任的开始、违约责任等。这是保险合同的重要组成部分，它涉及保险诉讼的重要事项。传统审计模式中，是以审计人员的法律责任为基础。在财务报表保险模式下，是以保险责任为基础。

第七步，如果保险事故发生，保险公司根据保险合同的约定对报表使用者进行赔偿。在现实中，一旦审计失败，投资者遭受损失，投资者能够得到保险公司的全部赔偿吗？这是审计制度中要解决的一个核心问题。如果是由于上市公司会计信息虚假或者上市公司与会计师事务所合谋舞弊，那么赔偿责任应该由注册会计师、上市公司管理层、还是保险公司来承担呢？保险公司又会不会利用合同中的各种“免责条款”来逃避责任呢？现实的情况是按照投保程序，保险公司的保费收入以及出险的理赔金额均是早已事先确定的。而真正出险时，审计失败给财务报表使用者所造成的损失却是不能估量的。所以加入一个保险公司作为第四方，除了能理赔一部分事先约定好的保险金额外，还为管理层和会计师事务所找来了一个可以逃避责任的理由。

从整个审计委托的角度来讲，我们还可以得出一个结论，保险公司的介入，必然会加大各方的交易的成本。会计师事务所为了维持客户关系，就必然会进一步下调审计成本。显然财务报表保险制度要比传统的审计模式更为复杂。复杂的各方关系就意味着各种成本的发生。而其实施所带来的收益未必能弥补它所带来的交易成本的增加。

四、结论

通过以上分析，笔者认为虽然财务报表保险制度具备一定的优点，但是并不能从根本上提高审计独立性，保证审计质量。同时财务报表保险制度本身又存在诸多弊端，在我国不具备可操作性。当下，建立健全我国资本市场运作机制，完善公司法人治理结构，提高审计队伍的职业道德素质才是全面提高审计质量的根本任务。

参考文献：

[1] 陆建桥,后安然时代的会计与审计[J].会计研究,2002.

[2]青松,审计委托模式及其改进[J].会计之友,2O03.

[3]易琮,解决审计独立性矛盾的新设想--财务报表保险制度[J].中国注册会计师,2004.4.

[4]胡晌辉,财务报表保险制度新探[J].财经界,2009.2.