薛文艷（副教授）

一、引言

20世紀70年代全球出現(xiàn)的大量財務舞弊案件使許多會計師事務所（簡稱“事務所”）遭遇訴訟與巨額賠償，為解決制度基礎審計方法的弊端，提高審計效率與審計質量，事務所對原有的審計方法、程序進行了重構與創(chuàng)新。美國審計準則委員會（ASB）于1983年發(fā)布的第47號審計準則公告《審計業(yè)務中的審計風險和重要性》（SAS 47）中提出了審計風險模型的思路，即審計風險（AR）等于固有風險（IR）、控制風險（CR）、檢查風險（DR）之乘積。在該模型的運用中，因缺少與IR評估相關的審計準則，審計人員往往會忽視對IR的評估，或者直接將其評估為高風險。在實施控制測試時，又容易流于形式，且與IR的評價結果未形成邏輯關系，從而難以確定適當?shù)腄R水平。因此，在該方法下，審計人員更重視實質性測試，大大影響了審計的效率與效果。

國際審計與鑒證準則理事會（IAASB）于2003年10月發(fā)布了一系列審計風險準則，提出了風險導向審計方法下的審計風險模型，將AR表述為重大錯報風險（RMM）與DR之積。該模型要求在評估被審計單位RMM的基礎上，確定與控制DR。我國2006年2月頒布的《中國注冊會計師執(zhí)業(yè)準則》借鑒了該審計風險模型?，F(xiàn)代風險導向審計是審計方法在系統(tǒng)與戰(zhàn)略管理理論上的重大創(chuàng)新[1]。審計風險評估的結果會直接影響審計成本、時間、策略以及審計質量[2]。審計風險著重考量的是審計效率與效果的權衡[3]。審計風險模型為各風險之間的關系提供了框架[4]，是指導和制訂審計計劃及分配審計資源的重要工具。

在審計執(zhí)業(yè)實踐中，出現(xiàn)了大量RMM評估過程和結果隨意、評估依據(jù)與報表項目認定層次RMM相關性弱的問題。北京證監(jiān)局在2020年4月發(fā)布的關于《新增處罰中審計與評估機構存在的突出問題》的風險提示中指出，事務所存在的首要突出問題是風險評估流于形式[5]。這充分說明了部分事務所的審計人員對風險評估重視不足。究其原因，除與事務所內部質量控制以及外部監(jiān)管有關外，還與現(xiàn)有審計風險模型及其運用滯后于新型財務舞弊案件與審計實務的發(fā)展相關。截至目前，鮮見研究現(xiàn)行審計風險模型缺陷的文獻，本文嘗試從控制風險評估、審計要素完整性入手，對現(xiàn)行審計風險模型提出重構與改進建議。

二、現(xiàn)行審計風險模型存在的缺陷

1.控制風險評估架構存在的缺陷。依據(jù)現(xiàn)行審計風險模型，RMM包括財務報表層次與認定層次兩部分，認定層次的RMM=IR×CR。認定層次CR的評估結果不僅依賴于對內部控制設計是否合理與是否得到執(zhí)行的評價結論，還需要結合內部控制運行有效性的測試結論。如果內部控制運行無效，認定層次的CR仍會處于較高水平。

內部控制設計與執(zhí)行的評價結論是在RMM評估程序中通過對內部控制進行了解后得出的，內部控制運行有效性的評價是在應對RMM的進一步審計程序中通過控制測試得出的。因此，在現(xiàn)行審計風險模型下，認定層次CR的評估結果不僅取決于RMM的評估結果，還取決于針對認定層次RMM實施的進一步審計程序的結果。即不能簡單地通過了解內部控制來確定CR，還需結合控制測試程序確定的控制運行有效性結論，才能綜合評價報表項目某項認定的CR。既然當內部控制設計合理且得到執(zhí)行時必須經(jīng)過控制測試才能確定認定層次的CR水平，那么控制測試就不應作為應對RMM評估的進一步審計程序，而應作為RMM的評估程序。現(xiàn)行審計風險模型下的重大錯報風險與審計程序的對應關系如圖1所示。

圖1 重大錯報風險與審計程序的關系

從圖1可看出，認定層次的控制風險屬于重大錯報風險的一部分，但對內部控制運行風險的評估卻不通過RMM評估程序完成，導致現(xiàn)行審計風險模型中的RMM要素（認定層次的CR）與RMM評估程序不完全對應，通過RMM評估程序評估不出最終、可靠的RMM水平?，F(xiàn)行審計風險模型的缺陷容易使人們對RMM產生認知上的誤區(qū)，認為RMM就是通過風險評估程序識別和評估的，從而忽視了CR要素的內涵及評估的完整性。雖然《中國注冊會計師執(zhí)業(yè)準則》規(guī)定在RMM評估程序中對CR只進行初步評價，實施控制測試與實質性程序之后，如果審計人員獲取了相關控制并未有效運行的新證據(jù)，仍需修正CR初步評價結果，但CR屬于被審計單位財務報表審計前就已存在的RMM，其所包含的風險是確定而清晰的，控制設計、執(zhí)行與運行風險水平的評估均應在RMM評估程序中實施。

2.審計風險要素的完整性存在缺陷。

（1）缺少實施重大錯報風險程序的“評估風險”。依據(jù)現(xiàn)行AR模型，在既定的AR水平下，可接受的DR=既定的AR÷認定層次的RMM?？梢?，可接受DR的確定在既定AR水平下依賴于認定層次RMM的評估結果，而認定層次RMM的評估結果不僅與被審計單位審計前就客觀存在的各類交易、賬戶余額和披露認定層次的RMM本身相關，也與審計人員對RMM評估程序設計的合理性與執(zhí)行的有效性相關。如果審計人員設計了不合理的風險評估程序，或風險評估程序設計合理但執(zhí)行無效，又或某些風險評估程序缺失，都可能識別不出已存在的RMM，或對識別出的認定層次的RMM評估不當。例如，審計人員未運用觀察程序實地察看被審計單位存貨的狀態(tài)，導致未能發(fā)現(xiàn)其存在大量高估風險，從而低估了存貨項目存在認定的RMM水平。這種由審計人員的原因導致的未有效識別與恰當評估RMM的可能性，在此先稱之為RMM的“評估風險”。修正模型下“評估風險”與認定層次重大錯報風險評估結果的關系如圖2所示。

圖2 “評估風險”與認定層次重大錯報風險評估結果的關系

如圖2所示，審計人員對RMM誤識別與不恰當評估的“評估風險”與被審計單位審計前客觀存在的認定層次的RMM決定了審計人員對認定層次RMM的最終評估結果，而RMM的“評估風險”并不歸屬于DR，因為可接受的DR是依據(jù)認定層次的RMM評估結果確定的，可接受的DR在RMM評估之后才能確定，而RMM的“評估風險”在風險評估階段就產生了。因此，AR除了RMM與DR要素，還應增加由于風險評估程序設計不合理和未有效執(zhí)行而導致RMM的誤識別與不恰當評估的“評估風險”。因審計人員的原因導致的RMM的“評估風險”不僅影響RMM的評估結論，還影響可接受DR水平的確定，進而影響審計人員為控制DR而實施的實質性程序。

（2）缺少事務所審前風險要素?，F(xiàn)行的審計風險模型下，終結階段審計項目的真實AR=RMM×真實DR，真實DR水平取決于項目組審計人員通過合理設計并有效執(zhí)行審計程序來發(fā)現(xiàn)重大錯報的可能性。那么，將終結階段最終的真實DR水平控制在計劃階段確定的可接受DR水平之內，就能確保將真實AR控制在既定AR水平之內嗎？

從狹義上來講，項目組的審計人員可通過合理設計并有效執(zhí)行審計程序來降低DR，從而降低該審計項目的AR。然而，除了審計人員在執(zhí)行具體審計業(yè)務時產生的DR會影響AR，還存在兩方面的風險也會影響項目的最終AR。一是事務所在執(zhí)行審計業(yè)務前就存在的“固有風險”。該風險是在不考慮事務所業(yè)務質量控制的前提下，由于受到事務所所處的客觀環(huán)境和內部因素以及特定審計項目下某些審計程序性質的影響，而影響了項目組審計人員發(fā)現(xiàn)被審計單位重大錯報的可能性。影響固有風險的因素主要包括：①事務所的規(guī)模及組織形式；②事務所的品牌及聲譽；③事務所所處的競爭環(huán)境；④項目負責人的誠信水平；⑤簽字注冊會計師的專業(yè)勝任能力；⑥審計項目收費與客戶依賴；⑦審計監(jiān)管政策、概率與監(jiān)管力度；⑧審計法律環(huán)境；⑨事務所利潤分配機制；⑩特定審計項目所運用的審計程序的特殊性質；審計的固有限制；等等。二是審計程序設計不合理或未得到恰當執(zhí)行，但沒有被事務所質量控制及時發(fā)現(xiàn)、防止或糾正的可能性。業(yè)務質量控制的有效性取決于事務所質量控制制度設計的合理性與執(zhí)行的有效性。事務所的質量控制政策和程序并不是針對具體審計項目而定的，其執(zhí)行情況也不會因不同的審計項目而產生較大差異，即事務所的業(yè)務質量控制水平是在審計前就已基本確定了的，“忽然變得有效，忽然變好的可能性極小”。因此，由于業(yè)務質量控制問題而產生的審計風險是事務所在審計前就存在的，在此先稱之為“質量控制風險”。

上述兩類風險并不隨審計項目組成員在某個審計項目中對審計程序的合理設計與有效執(zhí)行而發(fā)生變化，是審計人員執(zhí)行具體審計項目之前就已存在且與事務所相關的風險，在這里暫稱之為“事務所審前風險”。事務所審前風險與真實審計風險之間的關系如圖3所示。

圖3 事務所審前風險與真實審計風險的關系

由圖3可知，在終結階段，審計項目最終的審計風險不僅取決于重大錯報風險、真實的檢查風險，還與事務所的審前風險相關。

三、重構審計風險模型

1.控制風險要素評估的重構。如圖1所示，認定層次CR不僅包括控制設計與執(zhí)行的風險，還包括控制運行有效性的風險。認定層次內部控制設計、執(zhí)行風險需通過RMM評估程序中的“從業(yè)務流程層面了解內部控制程序”進行評估，內部控制運行風險需通過控制測試程序加以評估。因此，認定層次CR的識別與評估程序應包含從業(yè)務流程層面了解內部控制和控制測試兩部分。而在現(xiàn)行的風險導向審計模式下，RMM的評估程序只對認定層次的CR做出初步評價，不包含對被審計單位內部控制運行有效性的評估，該評估（控制測試）是作為RMM的應對程序包含在進一步審計程序中的。由于控制測試服務于認定層次CR的評估，屬于被審計單位財務報表RMM評估的組成部分，因此，控制測試作為RMM的進一步程序并不合理。綜上，認定層次CR的評估程序應包括了解被審計單位內部控制以及控制測試兩部分?？刂骑L險要素評估重構后的審計程序如圖4所示。

圖4 控制風險要素評估重構后的審計程序

2.增加審計風險要素——評估風險。如果風險評估程序設計不合理、沒有得到執(zhí)行或執(zhí)行無效，都可能導致RMM評估結果有誤。然而在現(xiàn)行的審計風險模型中，并未考慮因審計人員導致的對報表RMM進行錯誤識別與不恰當評估的風險。由于審計人員不可能對影響被審計單位財務報表重大錯報的所有因素進行逐項審查，且企業(yè)面臨的各種環(huán)境、政策等經(jīng)營風險不斷變化或處于潛伏期，這些因素都可能導致審計人員對被審計單位的RMM進行不恰當評估，因此這種“評估風險”不可能降低為零。補充“評估風險”后的AR模型為：AR=評估風險×RMM×DR。在該模型中，首先實施風險評估程序，產生評估風險；其次，評估出RMM水平。因此，將評估風險放在RMM的前面，然后才是RMM，最后是實施風險應對程序中產生的DR。

3.增加事務所的固有風險和質量控制風險要素。事務所的固有風險和質量控制風險均屬于“事務所審前風險”，其不隨具體審計項目審計程序設計的合理性與執(zhí)行的有效性發(fā)生變化，是與審計主體相關的審計前就存在的風險，會影響審計項目的最終審計風險。

（1）事務所固有風險。事務所的固有風險除與事務所的規(guī)模、品牌、聲譽、組織形式、競爭環(huán)境等因素有關外，還與審計程序的性質相關。因某些審計程序的特殊性質或某些審計項目所運用的審計程序呈現(xiàn)出的特殊性，使得這些審計程序本身不易發(fā)現(xiàn)財務報表的重大錯報。例如：一是運用監(jiān)盤、觀察、詢問程序所獲取的審計證據(jù)，不具有可驗證性、不易驗證或可驗證性較差。當審計人員的審計程序執(zhí)行不到位、未收集可靠充分的審計證據(jù)而編制了詳細合規(guī)的審計工作底稿時，通過事后對工作底稿以及審計證據(jù)的復核檢查并無法驗證其審計程序執(zhí)行的有效性。審計人員可能會利用這些程序本身的固有缺陷而偷工減料。因此，這些審計程序的特殊性質導致其成為審計人員“放飛機”的重災區(qū)。二是因被審計單位的客觀條件，某些審計程序運用受限而導致審計證據(jù)效力受到影響。如，對于被審計單位的境外經(jīng)濟業(yè)務，審計人員不便于實施現(xiàn)場觀察、實地監(jiān)盤、當面詢問等審計程序來獲取充分可靠的審計證據(jù)，從而加大了審計風險。三是由于被審計單位存貨、無形資產、商譽等報表項目的特殊性，使得某些審計程序即使設計合理且執(zhí)行到位也難以獲取其存在與金額準確性的審計證據(jù)。如，農、林、牧、副、漁、藥類企業(yè)的存貨，包括天上飛的、地上跑的、地下種的、水里游的，因存貨性質的特殊性，審計人員實施監(jiān)盤程序的范圍較大、難度較高，使得存貨數(shù)量難以準確認定。

（2）事務所質量控制風險。事務所的質量控制風險包含兩個層次。一是與事務所整體層面（控制環(huán)境）相關的基礎層次的質量控制風險，包含了因事務所合伙人凌駕于內部控制之上而導致內部控制無效的風險。該層次風險與事務所質量控制政策與程序的制定和落實相關，對事務所承接的所有審計項目都具有重要影響，基礎層次的質量控制有賴于事務所全體員工的共同努力。二是與事務所業(yè)務層面相關的具體項目層次的質量控制風險，其與質量控制部門對具體審計項目的監(jiān)控有效性相關，只對某個審計項目具有重要影響，項目層次的質量控制依賴于質量控制部門及人員對具體審計項目的有效監(jiān)控。

綜上所述，考慮上述兩類事務所審前風險之后，進一步修正的審計風險模型如下：

AR=（評估風險×RMM）×（事務所審前風險×DR）

四、重構后審計風險模型的應用建議

1.控制風險要素的應用。

（1）控制風險的評估。CR的評估通過了解內部控制與控制測試程序進行。在實務中，審計人員通常從整體層面和業(yè)務流程層面了解和評價被審計單位內部控制的設計與執(zhí)行情況，只有當內部控制的評價結果為預期有效時，才進行控制測試。首先運用內部控制測試的結果，評估認定層次的CR，然后結合IR評估結果確定的認定層次RMM，最終評估出報表項目各認定層次的RMM，針對認定層次RMM采取的應對措施是實質性程序。

（2）構建管理層舞弊動機指數(shù)，并作為控制風險系數(shù)。當被審計單位實際控制人聯(lián)合企業(yè)內外部組織和人員實施舞弊時，審計人員即使遵循審計準則進行審計，也很難鑒別“一條龍”的系統(tǒng)性交易舞弊中審計證據(jù)的真實性。即當管理層具有舞弊動機、機會以及不道德的價值觀時，審計人員無法或很難查出管理層逾越內部控制實施的財務舞弊。

具有舞弊動機的管理層并不希望公司的內部控制設計完善且得到執(zhí)行，他們認為，只要內部控制存在缺陷或漏洞，財務舞弊就有實施的機會。財務報表可靠性如果失去了內部控制的保障，管理層甚至不需要逾越內部控制，就可以直接利用其漏洞實施舞弊行為。這意味著，如果舞弊風險較高，管理層對加強內部控制建設的意愿與措施就較弱，內部控制存在設計缺陷的可能性就較大，內部控制風險就較高，即舞弊風險加大了控制風險。企業(yè)在建立健全內部控制之前，就因較高的管理層舞弊風險已然賦予或增加了內部控制設計、執(zhí)行和運行風險。

管理層通過逾越內部控制實施的財務造假手段大都與會計記錄有關，審計人員可以通過執(zhí)行舞弊風險審計程序，如分錄測試、詢問、復核等判斷會計處理的適當性，進而查出重大錯報，然后根據(jù)匯總審計差異，判斷并確定管理層舞弊動機的大小。舞弊動機的大小決定了舞弊風險的高低，進而又決定了公司內部控制被凌駕的風險。舞弊風險會放大內部控制風險，但其影響程度不同。舞弊風險越大，對控制風險的放大效應越大；舞弊風險越小，對控制風險的附加效應越低。那么，到底如何量化舞弊風險？筆者建議通過構建舞弊動機指數(shù)來反映舞弊風險的大小，進而確定對控制風險的影響程度。

首先，計算被審計單位上一年度各報表項目審計差異匯總數(shù)導致收入總額、資產總額、凈利潤及凈資產的虛增數(shù)，然后計算出各項虛增數(shù)分別占收入總額、資產總額、凈利潤及凈資產的比重。依據(jù)各項比重中的最高值確定舞弊動機指數(shù)。最高比重在0～10%之間的，舞弊動機指數(shù)設定為1.1；最高比重在10%～20%之間的，舞弊動機指數(shù)設定為1.2；最高比重在90%～100%的，舞弊動機指數(shù)設定為2；最高比重在100%～200%之間的，舞弊動機指數(shù)設定為3。以此類推。舞弊動機指數(shù)構建與計算方法見表1。

表1 舞弊動機指數(shù)計算表

基于舞弊風險對控制風險的放大效應，將指示舞弊風險大小的舞弊動機指數(shù)確定為控制風險的系數(shù)。依據(jù)乘以舞弊動機指數(shù)后的控制風險，確定各報表項目認定層次的RMM，再除以事務所審前風險，進而確定可接受DR水平。

2.評估風險要素的應用。

（1）評估風險水平的確定。在應用修正后的審計風險模型時，由于評估風險會增加被審計單位RMM被錯誤評估的可能性，因此，評估風險應作為RMM的系數(shù)，可稱之為“評估風險系數(shù)”，其值為1以上（含1），在1～2之間較為適宜。理論上，假設不存在評估風險，則其值為1，表明評估的重大錯報風險精確度較高；如其值在1～2之間，則會放大報表層次與報表項目各認定層次的RMM，使得可接受的DR水平較低。事務所審前風險亦是如此，其值為1以上（含1），在1～2之間。假設不存在事務所審前風險，則其值為1，表明事務所不存在對該審計項目的固有風險與質量控制風險；其值為2時表明事務所審前風險較高，使得可接受的DR水平降低。對于上市公司報表審計而言，由于其利益相關方眾多，項目風險較大，因此應將可接受的評估風險確定在一個較低的水平上。

（2）評估風險的控制。審計人員如何才能將評估風險控制在可接受的低水平？這不僅關乎評估的RMM的高低，更關乎整個項目審計風險的控制。根據(jù)政府監(jiān)管機構以往對審計人員審計的檢查情況，RMM評估程序較易流于形式。因此，應限制審計人員RMM評估的隨意性，縮小RMM評估程序與結果的可操縱空間，建議評估RMM時，考慮以下風險因素：

第一，評估上市公司當期股票價格波動率隱含的固有風險。此處的股票價格波動率并不是在上市公司自身收益變化或股市系統(tǒng)性風險較高的情況下與自身之前股價對比形成的波動率，而是公司收益與股票市場平穩(wěn)情況之下表現(xiàn)出的超預期的兩類波動：一是上市公司股票價格貝塔系數(shù)的波動幅度，二是超過所處板塊內行業(yè)股票指數(shù)波動率一定比率的風險。然后將這二者賦予不同權重，計算股價波動率。如果股價波動率過高，即隱含了上市公司高管通過粉飾財務報表操縱股價的風險。風險的大小可以反映上市公司管理層的誠信水平，如果不考慮市場整體波動，上市公司股價波動率越高，上市公司高管操縱股價的風險越大，財務報表重大錯報的可能性越高，固有風險水平也越高。

第二，評估解禁期后大股東和管理層大量拋售公司股票而隱含的重大錯報風險。在股票解禁期之后，大股東和管理層高價出售公司股票占其所持有股票份額一定比值（比如10%）以上的，表明公司當前的股價可能是管理層在股票解禁期之前為提升股價進行真實盈余管理或應計盈余管理虛增利潤而形成的，當解禁期一過，管理層就可能根據(jù)推高的股價盡快大量拋售所持股票。管理層作為公司高管人員，比社會公眾更加了解企業(yè)內部財務信息，大量拋售股票的原因很可能是其認為公司對外公布的財務報表存在重大錯報，現(xiàn)有股票價值大大高于企業(yè)內在真實價值所致。如果公司財務狀況不良、資產質量不高、盈利預期較差，會影響管理層對本公司的信心，進而拋售股票。在這種情況下，如果公司報表財務數(shù)據(jù)顯示良好，則和管理層拋售股票的行為相矛盾，在一定程度上表明報表存在較高的重大錯報風險。

3.事務所固有風險與質量控制風險的應用。

（1）事務所固有風險評估。對事務所存在的固有風險進行評估，除了要考慮事務所及其環(huán)境、審計程序性質等因素，還應考慮評估審計固有限制導致的固有風險。比如：審計項目收費水平低而導致審計時間壓縮的可能性；被審計單位經(jīng)濟業(yè)務多為現(xiàn)金交易，受限于審計人員無外調權而導致的審計證據(jù)證明力弱的可能性；正處于執(zhí)業(yè)忙季的審計項目，由于審計人力資源不足，導致審計人員超時勞動而減少必要審計程序的可能性。這些影響因素均會增加審計項目在未審計前的不易評估、不易查出重大錯報的可能性。事務所固有風險的評估可以單獨進行，也可以與事務所的質量控制風險合并評估。

（2）事務所質量控制風險評估。由于審計項目實施前與實施中的事務所內部控制環(huán)境、質量控制水平在短期內較難改變，因此就某一審計項目而言，對項目承接事務所的質量控制風險只能評估，不易控制。事務所的質量控制風險評估主要是通過了解事務所內部控制環(huán)境、事務所合伙人誠信、高層基調、公司治理、總分所一體化、職業(yè)道德風險、獨立性風險、業(yè)務的承接與保持、人力資源政策與程序、業(yè)務執(zhí)行（指導、監(jiān)督與復核）、監(jiān)控政策與程序等進行。如果由審計項目負責人在計劃階段自行評估事務所質量控制風險，不可避免地會產生自我評價威脅，比如對事務所質量控制各要素的風險評估過低，會將可接受的檢查風險確定得過高，以降低從實質性程序中獲取的保證程度，從而縮小審計范圍、降低審計成本。

為降低審計項目組對事務所質量控制風險評估的自我評價威脅，應對事務所的質量控制風險水平進行評估。此外，還可以借鑒事務所誠信評級標準[6]，依據(jù)事務所及其審計人員未受到行業(yè)協(xié)會及相關行政、執(zhí)法等部門處罰的連續(xù)年度，以及在注冊會計師協(xié)會組織的事務所分類管理考評中被評定的管理等級[7]來確定事務所的質量控制風險水平。

事務所的質量評估、誠信評級以及分類等級可能會隨著時間推移而發(fā)生變化，如事務所規(guī)模擴大、樹立品牌聲譽、監(jiān)管部門處罰、審計失敗等事項。因此，不同時間的審計項目質量控制風險評估結果并不相同。可能會在同一審計項目推進過程中出現(xiàn)影響質量控制風險評估的新情況，因此質量控制風險評估結果也應隨著項目的實施進行動態(tài)調整，并重新確定可接受的檢查風險水平。