一、了解内部控制

了解内部控制，包括评价控制的设计，并确定其是否得到执行，不包括对控制是否得到一贯执行的测试。其中，评价控制的设计，涉及考虑该控制单独或连同其他控制是否能够有效防止或发现并纠正重大错报，而控制得到执行是指某项控制存在且被审计单位正在使用。

注册会计师通常实施下列风险评估程序，以获取有关控制设计和执行的审计证据：

1、询问被审计单位人员;

2、观察特定控制的运用;

3、检查文件和报告;

4、追踪交易在财务报告信息系统中的处理过程(穿行测试)。

了解内部控制，必须对被审计单位的业务活动的流程非常清晰，并且知道每个环节都有哪些内部控制用于能够防止或发现并纠正重大错报。

比如了解被审计单位销售交易的内部控制，必须明确几大重要环节的内部控制，例如：

(1)信用管理部门是否设立在销售部门下。如果信用管理部门设立在销售部门下，销售部门往往为了追求销售业绩，不管是否以巨额坏账损失为代价。这会导致应收账款的计价和分摊认定存在重大错报风险。

(2)仓库是否根据经过赊销审批的销售单发货。如果仓库收到的销售单并没有经过赊销审批，表明内部控制被凌驾，从而导致财务报表层次存在重大错报风险。

(3)销售发票后是否附有发运凭证。发运凭证代表实物流转，如果连发运凭证都没有就开销售发票，注册会计师可以合理预期你的销售交易是虚构的。

在此并不一一叙述，但需要明确的一点是：在了解内部控制时，只是评价内部控制设计的是否合理，并且是否在运行，至于运行的有效性是控制测试的事情，了解内部控制并不关心这个问题。比如了解赊销审批的内部控制，只是看设计的如何，以及销售单上是否有签字授权，至于是谁签的字以及是否符合审批制度是控制测试的事情。

了解内部控制之后要对内部控制进行评价，以决定是否执行控制测试。评价的结论：

(1)内部控制设计合理，且正在执行。这种情况预期控制运行有效，拟做控制测试。

(2)内部控制本身设计合理，但并没有执行。这种情况不做控制测试。

(3)内部控制本身设计不合理。这种情况属于内部控制本身设计存在缺陷，不需考虑是否正在执行，不需要做控制测试。比如信用管理部门设立在销售部门下就属于该种情况。

关于具体了解被审计单位的销售交易和采购交易的内部控制，请参考：

二、控制测试

控制测试是指用于评价内部控制在防止或发现并纠正认定层次重大错报方面的运行有效性的审计程序。

控制测试并非在任何情况下都需要实施。当存在下列情形之一时，注册会计师应当实施控制测试：

1、在评估认定层次重大错报风险时，预期控制的运行是有效的;

2、仅实施实质性程序并不能够提供认定层次充分、适当的审计证据。