3.审计的理论
3.1 审计的逻辑
3.1.1 审计工作的开始：了解企业的经营情况
3.1.2 在外部审计师的眼里，内控系统是摄像机
3.1.3 审计师要检查内控系统是否设计合理和运转正常
3.1.4 审计师可以怎么问问题
乱枪打鸟，有可能有意想不到的收获
3.1.5 审计师怎样检查内控系统是否设计合理和运转正常
3.1.6 内控测试工作最重要的是逻辑要完备——要做到两个凡是
凡是经营上有动作，财务上一定要有反映；
凡是财务上有反映的，经营上一定要有过动作。
3.1.7 审计师仍要检查每个科目的金额
3.1.8 做实质性测试时，审计逻辑链条要严密
3.2 审计的思考方法
3.2.1 公众对审计的期望
审计师要保证每一个科目的：完整性、存在性、准确性、估值、权属、表达与披露（CEAVOP）
● 资产别高估 ● 负债别低估 ● 收入别记少了 ● 费用别记多了
3.2.2 审计思考的关键——预期
了解客户业务与数字的关系，然后带着预期检查数字。
3.2.3 审计师要独立思考，要比客户想得深远
了解客户具体业务，各种业务的会计处理方式，比客户更了解客户，才不算失职。
3.2.4 审计师要考虑任何事情的合理性
审计师要做好审计，很多时候应用的不单是会计知识和审计理论，还要从业务发生的环境场，来看业务的合理性。
3.2.5 审计中的实质重于形式
一、是审计师需要有包容的心、开放的态度，去充分理解客户的业务实质。
二、是审计师要能够透过现象看本质。一项交易的经济实质，与合同体现形式并非总是相一致的。
3.2.6 审计师总是在“抓大放小”吗
当某个数字正处在临界点，将要出现“量变引起质变”的时候，再小的数字也不能放过了。关键就是这个“质”变。也就是说，审计师真正关注的，是这个“质”是否受到了影响。
3.2.7 审计师的“七种武器”
1、内控进行测试(系统测试)：实时实地观察、询问、交叉互证式询问、查看历史记录、重新执行等方法。2、实质性测试:2.1 分析性复核：合理性测试、比率分析、时间趋势分析。2.2 详细测试：发确认书、现场盘点、询问、查看并核对原始记录等。
3.2.8 对会计分录的筛查
（1）标准会计分录。
（2）非标准会计分录。
（3）其他调整。
筛选
（1）尾数是“000”或“999”的分录
（2）在周末或晚上10点之后录入的分录
（3）财务总监亲自录入的分录
3.2.9 审计师怎么看附注披露得够不够好
与客户有意见不一致时，可以将审计师的意见加入《个性化的审计报告》
3.2.10 审计也是一个系统工程
3.3 对企业内控的关注
3.3.1 什么是COSO
COSO：美国反虚假财务报告委员会下属的发起人委员会（The Committee of Sponsoring Organizations of the Treadway Commission）的英文缩写。 1985年，由美国注册会计师协会、美国会计协会、财务经理人协会、内部审计师协会、管理会计师协会联合创建了反虚假财务报告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。
COSO框架组成五要素：包括控制环境、风险评估、控制活动、信息与沟通，以及监督活动
COSO报告认为内部控制有如下目标：经营的效率和效果（基本经济目标，包括绩效、利润目标和资源、安全），财务报告的可靠性（与对外公布的财务报表编制相关的，包括中期报告、合并财务报表中选取的数据的可靠性）和符合相应的法律法规。
3.3.2 内控测试的注意事项
控制，一般分为企业层面控制和流程层面控制。
3.3.3 所有企业都要做内控审计吗
审计师对一个企业既做财务报表审计，又做内控审计，一般称为“整合审计”（integrated audit）。
如果一个企业不是上市公司，那么，审计师对它的审计，很可能就只是财务报表审计，而不包含专门的内控审计。
一个企业内控的有效性，与其财务报表的准确性存在一定的联系，但又不是必然的关系。
3.3.4 什么是“常规交易”“非常规交易”和“会计估计”
“常规交易”对应的是可以机械处理的会计事项，这些会计处理由基层工作人员就可完成。如果设计好了记账规则，这些基层工作人员在不懂什么是“借”“贷”的情况下，就可以将明细账目处理好，只需要最后由一个总账会计或会计经理来做试算平衡表和做报表就可以。
非常规交易”仍是企业实际发生的交易，但它发生的次数不多，或者/而且性质特殊，最好由资深人员来直接进行“借”“贷”的会计处理。
“会计估计”（accounting estimate）。这是一个会计事项，而不是企业的实际业务交易。这指的就是提取坏账准备、资产减值准备、或有负债等。在企业里，这是一定要由会计经理及其以上级别来直接处理的。
3.3.5 风险导向审计比制度基础审计多了什么
“风险导向审计”的理论认为，任何一个“会计估计”都必然与一个“经营风险”相关联。例如，坏账准备与企业的客户信用风险相关联。
3.3.6 经营控制与财务报表控制
所谓经营控制，是企业管理层用来理顺企业经营的一些控制点。
财务报表控制呢，也是由管理层设立的、用来保证财务报表正确的控制点。
3.4 工作底稿
3.4.1 写工作底稿也有理论吗
3.4.2 写内控测试的工作底稿要注意的问题
内控测试（也称系统测试）的工作底稿主要分为两类：一是对企业内控的描述，二是我们做的测试。
● 尽量使用客户的名词来指称客户的表格、制度等。
● 少用被动语态。一定要写出来是什么人、什么部门在执行这一项工作，而不要仅仅描述工作是如何进行的。
● 要先了解一项业务的全貌，并将这种了解写成一个背景介绍，然后再描述内控。
3.4.3 实质性测试的工作底稿分几类
● 主表（lead schedule），一般每个一级科目对应一个主表。
● 辅表（sub-schedules）。一个主表可以下辖几个辅表，辅表下面还可以再有辅表。
● 专门记录所做的某项测试的工作底稿（audit test work paper）。
3.4.4 准备工作底稿的目的是什么
● 对上，为了让经理及合伙人审阅。
● 对同级，一旦别人继续跟进，或明年再做这个项目，可以从工作底稿里找到足够的可以借鉴的资料，如和销售部某人的谈话，等等。
● 对外，作为一个证据的记录
3.4.5 工作底稿索引是一个树状结构
3.4.6 写工作底稿时要学会自顶而下的思考方式
英文里面另有一个词是bigpicture（中文直译作“大画面”），表达的也是相近的意思，就是说你只有先有了大局感，再往里补细节，才能做好工作，而不能“只管低头拉车，不管抬头看路”。
3.4.7 审计符号、注释和工作底稿相互索引
3.4.8 在工作底稿里写什么样的注释和怎么写
● 要写一些背景介绍，方便阅读者理解；
● 要写热点问题
● 写注释时要先推想一般人对这个科目的预期。
● 要从CEAVOP（见3.2.1公众对审计的期望）各个角度谈我们的思考和所做的工作，不要仅仅简单地想起什么写什么。
3.4.9 用表格来说明问题是一种有条理的思考方法的体现
3.4.10 工作底稿的归档要求
首先，要做到全面归档。在会计师事务所组织的内部质量检查，或是监管部门组织的检查中，审计师最经常遇到的一种情形，就是工作底稿缺失。
其次，要做到及时归档。不同国家的审计准则，对审计底稿的归档有不同的时间要求。现阶段，美国上市公司的审计底稿，一般要求在出具审计意见的45天内存档；而中国的审计准则，则要求在60天内归档。
最后，审计师要确保在审计准则规定的时间内，完成所有工作底稿的归档工作。
3.5 审计项目的风险控制
3.5.1 做审计好像找对象
在一开始接触，就要尽可能避免重大风险。
3.5.2 审计师做审计时要怀疑一切吗
心态1：假设客户是诚实的，然后去找证明客户确实诚实的证据。
心态2：怀疑客户在欺骗你，然后去找客户不诚实的证据。找不到，就证明客户没有欺骗你，是诚实的。
3.5.3 舞弊审计与传统审计
要想很好地发现欺诈舞弊行为，要对现在的审计方法做什么改良呢？
一、是更深入地分析管理层可能进行欺诈舞弊行为的动机和方向
二、是熟悉各种欺诈舞弊行为的手法，从而设计有针对性的测试手段。
三、是执行