（一）自上而下的方法

　　審計指引第十條規定，注冊會計師應當按照自上而下的方法實施審計工作。自上而下的方法是注冊會計師識別風險、選擇擬測試控制的基本思路。

　　自上而下的方法按照下列思路展開：

　　1.從財務報表層次初步了解內部控制整體風險；

　　2.識別企業層面控制；

　　3.識別重要賬戶、列報及其相關認定；

　　4.了解錯報的可能來源；

　　5.選擇擬測試的控制。

　　在財務報告內控審計中，自上而下的方法始于財務報表層次，以注冊會計師對財務報告內部控制整體風險的了解開始。然后，注冊會計師將關注重點放在企業層面的控制上，并將工作逐漸下移至重大賬戶、列報及相關的認定。這種方法引導注冊會計師將注意力放在顯示有可能導致財務報表及相關列報發生重大錯報的賬戶、列報及認定上。之后，注冊會計師驗證其了解到的業務流程中存在的風險，并就已評估的每個相關認定的錯報風險，選擇足以應對這些風險的業務層面控制進行測試。在非財務報告內控審計中，自上而下的方法始于企業層面控制，并將審計測試工作逐步下移到業務層面控制。

　　自上而下的方法描述了注冊會計師在識別風險以及擬測試的控制時的連續思維過程，但并不一定是注冊會計師執行審計程序的順序。

　　（二）識別企業層面控制

　　從財務報表層次初步了解財務報告內部控制整體風險是自上而下方法的第一步。通過了解企業與財務報告相關的整體風險，注冊會計師首先可以識別出為保持有效的財務報告內部控制而必需的企業層面內部控制。此外，由于對企業層面內部控制的評價結果將影響注冊會計師測試其他控制的性質、時間安排和范圍，因此，注冊會計師可以考慮在執行業務的早期階段對企業層面內部控制進行評價。

　　1.評價企業層面控制的精確度。不同的企業層面控制在性質和精確度上存在著差異，這些差異可能對其他控制及其測試產生影響。

　　（1）某些企業層面控制，如企業經營理念、管理層的管理風格等與控制環境相關的控制，對及時防止或發現并糾正相關認定的錯報的可能性有重要影響。雖然這種影響是間接的，但這些控制仍然可能影響注冊會計師擬測試的其他控制，以及測試程序的性質、時間安排和范圍。

　　（2）某些企業層面控制旨在識別其他控制可能出現的失效情況，能夠監督其他控制的有效性，但還不足以精確到及時防止或發現并糾正相關認定的錯報。當這些控制運行有效時，注冊會計師可以減少對其他控制的測試。

　　（3）某些企業層面控制本身能夠精確到足以及時防止或發現并糾正相關認定的錯報。如果一項企業層面控制足以應對已評估的錯報風險，注冊會計師就不必測試與該風險相關的其他控制。

　　2.企業層面控制的內容

　　（1）與內部環境相關的控制。內部環境，即控制環境，包括治理職能和管理職能，以及治理層和管理層對內部控制及其重要性的態度、認識和措施。良好的控制環境是實施有效內部控制的基礎。

　　（2）針對管理層（董事會、經理層）凌駕于控制之上的風險而設計的控制。該控制對所有企業保持有效的內部控制都有重要影響。注冊會計師可以根據對企業舞弊風險的評估作出判斷，選擇相關的企業層面控制進行測試，并評價這些控制能否有效應對管理層凌駕于控制之上的風險。

　　（3）企業的風險評估過程。風險評估過程包括識別與財務報告相關的經營風險和其他經營管理風險，以及針對這些風險采取的措施。一方面，企業的內部控制能夠充分識別企業外部環境（如在經濟、政治、法律法規、競爭者行為、債權人需求、技術變革等方面）存在的風險；另一方面，充分且適當的風險評估過程需要包括對重大風險的估計、對風險發生可能性的評估以及確定應對風險的方法。注冊會計師可以先了解企業及其內部環境的其他方面信息，以初步了解企業的風險評估過程。

　　（4）對內部信息傳遞和財務報告流程的控制。財務報告流程的控制可以確保管理層按照適當的會計準則編制合理、可靠的財務報告并對外報告。

　　（5）對控制有效性的內部監督和自我評價。企業對控制有效性的內部監督和自我評價可以在企業層面上實施，也可以在業務流程層面上實施，包括：對運行報告的復核和核對、與外部人士的溝通、對其他未參與控制執行人員的監控活動，以及將信息系統記錄數據與實物資產進行核對等。

　　此外，企業層面控制還包括：集中化的處理和控制，包括共享的服務環境；監控經營成果的控制；針對重大經營控制以及風險管理實務而采取的政策。

　　（三）測試控制設計和運行的有效性審計指引第十四條規定，注冊會計師應當測試內部控制設計與運行的有效性。如果某項控制由擁有必要授權和專業勝任能力的人員按照規定的程序與要求執行，能夠實現控制目標，表明該項控制的設計是有效的。如果某項控制正在按照設計運行，執行人員擁有必要授權和專業勝任能力，能夠實現控制目標，表明該項控制的運行是有效的。

　　設計不當的控制可能表明控制存在缺陷甚至重大缺陷，注冊會計師在測試控制運行的有效性時，首先要考慮控制的設計。注冊會計師在測試控制設計與運行的有效性時，應當綜合運用詢問適當人員、觀察經營活動、檢查相關文件、穿行測試和重新執行等方法。注冊會計師測試控制有效性實施的程序，按提供證據的效力，由弱到強排序為：詢問、觀察、檢查和重新執行。其中詢問本身并不能為得出控制是否有效的結論提供充分、適當的證據。執行穿行測試通常足以評價控制設計的有效性。

　　（四）與控制相關的風險與擬獲取證據的關系在測試所選定控制的有效性時，注冊會計師需要根據與控制相關的風險，確定所需獲取的證據。與控制相關的風險包括控制可能無效的風險和因控制無效而導致重大缺陷的風險。與控制相關的風險越高，注冊會計師需要獲取的證據就越多。

　　與某項控制相關的風險受下列因素的影響：

　　（1）該項控制擬防止或發現并糾正的錯報的性質和重要程度；

　　（2）相關賬戶、列報及其認定的固有風險；

　　（3）相關賬戶或列報是否曾經出現錯報；

　　（4）交易的數量和性質是否發生變化，進而可能對該項控制設計或運行的有效性產生不利影響；

　　（5）企業層面控制（特別是對控制有效性的內部監督和自我評價）的有效性；

　　（6）該項控制的性質及其執行頻率；

　　（7）該項控制對其他控制（如內部環境或信息技術一般控制）有效性的依賴程度；

　　（8）該項控制的執行或監督人員的專業勝任能力，以及其中的關鍵人員是否發生變化；

　　（9）該項控制是人工控制還是自動化控制；

　　（10）該項控制的復雜程度，以及在運行過程中依賴判斷的程度。

　　針對每一相關認定，注冊會計師都需要獲取控制有效性的證據，以便對內部控制整體的有效性單獨發表意見，但注冊會計師沒有責任對單項控制的有效性發表意見。

　　對于控制運行偏離設計的情況（即控制偏差），注冊會計師需要考慮該偏差對相關風險評估、需要獲取的證據以及控制運行有效性結論的影響。

　　注冊會計師通過測試控制有效性獲取的證據，取決于實施程序的性質、時間安排和范圍的組合。就單項控制而言，注冊會計師應當根據與該項控制相關的風險，適當確定實施程序的性質、時間安排和范圍，以獲取充分、適當的證據。

　　測試控制有效性實施的程序，其性質在很大程度上取決于擬測試控制的性質。某些控制可能存在文件記錄，反映其運行的有效性，而另外一些控制，如管理理念和經營風格，可能沒有書面的運行證據。對缺乏正式運行證據的企業或企業的某個業務單元，注冊會計師可以通過詢問并結合運用觀察活動、檢查非正式的書面記錄和重新執行某些控制等程序，獲取有關控制有效性的充分、適當的證據。

　　對控制有效性的測試涵蓋的期間越長，提供的控制有效性的證據越多。注冊會計師需要獲取內部控制在企業內部控制自我評價基準日前足夠長的期間內有效運行的證據。對控制有效性的測試實施的時間安排越接近企業內部控制自我評價基準日，提供的控制有效性的證據越有力。因此，審計指引第十七條規定，注冊會計師在確定測試的時間安排時，應當在下列兩個因素之間作出平衡，以獲取充分、適當的證據：

　　（1）盡量在接近企業內部控制自我評價基準日實施測試；

　　（2）實施的測試需要涵蓋足夠長的期間。

　　在企業內部控制自我評價基準日之前，管理層可能為提高控制效率、效果或彌補控制缺陷而改變企業的控制。如果新控制實現了相關控制目標，運行足夠長的時間，且注冊會計師能夠測試并評價該項控制設計和運行的有效性，則無需測試被取代的控制。如果被取代控制設計和運行的有效性對控制風險的評估有重大影響，注冊會計師則需要測試該項控制的有效性。

　　注冊會計師執行內部控制審計業務通常旨在對企業內部控制自我評價基準日（通常為年末）內部控制的有效性發表意見。如果已獲取有關控制在期中運行有效性的證據，注冊會計師應當確定還需要獲取哪些補充證據，以證實在剩余期間控制的運行情況。在將期中測試的結果更新至年末時，注冊會計師需要考慮下列因素，以確定需獲取的補充證據：

　　（1）期中測試的特定控制的有關情況，包括與控制相關的風險、控制的性質和測試的結果；

　　（2）期中獲取的有關證據的充分性、適當性；

　　（3）剩余期間的長短；

　　（4）期中測試之后，內部控制發生重大變化的可能性及其變化情況。

　　（五）連續審計時的特殊考慮在連續審計中，注冊會計師在確定測試的性質、時間安排和范圍時，還需要 考慮以前年度執行內部控制審計時了解的情況。

　　影響連續審計中與某項控制相關的風險的因素除第（四）部分“風險與擬獲取證據的關系”中所列的10項因素外，還包括：

　　（1）以前年度審計中所實施程序的性質、時間安排和范圍；

　　（2）以前年度對控制的測試結果；

　　（3）上次審計之后，控制或其運行流程是否發生變化，尤其是考慮IT環境的變化。

　　在考慮上述所列的風險因素以及連續審計中可獲取的進一步信息之后，只有當認為與控制相關的風險水平比以前年度有所下降時，注冊會計師在本年度審計中才可以減少測試。

　　為保證控制測試的有效性，使測試具有不可預見性，并能應對環境的變化，注冊會計師需要每年改變控制測試的性質、時間安排和范圍。每年在期中不同的時段測試控制，并增加或減少所執行測試的數量和種類，或者改變所使用測試程序的組合等。