作为一名在注会行业摸爬滚打多年的“老兵”，每当看到“风险评估程序”这几个字，我的内心总是涌起一种复杂的情绪，对于刚入行的审计助理来说，这可能是底稿中最枯燥、最像“填空题”的部分；但对于真正想通过审计去洞察企业商业逻辑的同行来说，风险评估程序（Risk Assessment Procedures）才是审计工作的灵魂，它是我们在茫茫数据海洋中开启航行的指南针，更是我们心中那台时刻保持警觉的“雷达”。
我想抛开教科书上那些冷冰冰的定义，用更自然、更人性化的方式，和大家聊聊风险评估程序在实战中的样子，我想告诉你，它不仅仅是为了应付准则要求,它实际上是一种极其高级的商业侦探技能。
理解风险评估：从“看门大爷”到“私家侦探”
在审计准则（CSA 1141）里，风险评估程序是为了了解被审计单位及其环境，识别和评估财务报表层次和认定层次的重大错报风险,听起来很绕口对吧？
打个比方，如果你是一个小区的“看门大爷”，你的工作可能只是盯着进出的人有没有门禁卡，但审计师不是看门大爷，审计师更像是受雇于业主委员会的“私家侦探”，在真正开始翻箱倒柜查账（执行实质性程序）之前，我们得先搞清楚这个小区（企业）到底住着什么人？物业经理（管理层）人品咋样？小区里有没有违章建筑（内控缺陷）？最近有没有陌生人频繁出入（异常交易）？
这就是风险评估程序的本质：知己知彼，百战不殆。
我个人一直认为，一个优秀的审计师，在风险评估阶段结束时，应该已经对企业的经营状况了如指掌，甚至比企业的财务经理更清楚业务流程中的痛点在哪里，如果你跳过这一步直接去抽凭、去函证，那你就像一个盲人摸象，摸到什么就是什么,永远无法拼凑出企业真实的全貌。
询问的艺术：像老朋友聊天，也像律师盘问
风险评估程序的第一大法宝是“询问”，很多人觉得，询问不就是开会吗？不就是发个问卷让客户填吗？大错特错。
生活实例： 记得有一年，我带队去审计一家制造企业，按照惯例，我们找了财务总监开会，PPT做得漂亮，数据列得整齐，一切看起来都很完美，如果只是例行公事，我可能就签字走人了，但我运用风险评估的思维,多问了几句。
我私下约了生产车间的一位主任吃饭，酒过三巡，我随口问：“最近厂里忙不忙？” 主任叹了口气：“别提了，为了赶年底的订单，机器24小时连轴转，维修都来不及。” 我心里咯噔一下，回到财务数据上，我发现“固定资产-机器设备”的维修费竟然比去年还下降了,而且存货的周转天数也没有因为加班加点而显著改善。
你看，这就是询问的力量，财务总监展示的是“修饰后”的数据，而车间主任透露的是“原生态”的生活。
个人观点： 在询问环节，我的经验是：不要只听财务的人说，要去业务前线听炮火声。 我们要问管理层，也要问治理层，更要问内部审计人员，甚至要是问核心的非财务人员，询问不仅仅是获取信息，更是在观察，观察对方回答时是否眼神闪躲？是否在用专业术语搪塞？当你问“为什么毛利率大幅上升”时，如果对方给出的理由含糊其辞，或者全怪罪于“市场行情好”，这本身就是一种重大的风险信号，这时候,你心中的雷达就应该开始滴滴作响了。
分析程序：数据会说话，但有时候也会撒谎
风险评估程序的第二大支柱是“分析程序”，这可不是简单的加减乘除，而是要寻找数据之间的逻辑关系，也就是我们常说的“勾稽关系”，但比勾稽关系更高级的,是商业逻辑。
生活实例： 想象一下，你去审计一家连锁餐饮店。 报表显示，今年的营业收入增长了20%，这很好，你发现“水费”和“电费”的支出几乎没有增长。 这就好比你告诉我，你今年跑马拉松的公里数比去年多了一倍，但你鞋子的磨损程度却和去年一样,这在物理上是不可能的。
在实战中，我遇到过更离谱的例子，一家科技公司，研发费用高得吓人，声称在开发下一代芯片，通过分析程序我们发现，这家公司的“专利申请费”和“研发人员加班费”并没有同步增长，反而固定资产里的“高端实验设备”还在折旧老化，数据告诉我们，他们在撒谎,或者至少在夸大其词。
个人观点： 很多年轻审计师不喜欢做分析程序，觉得算比率太麻烦，不如抽凭证来得实在，但我必须强调：分析程序是性价比最高的审计工具。 在风险评估阶段，我们要做的不是精确计算，而是“寻找异常”，一旦发现预期值与记录值之间存在无法解释的差异，那就是重大错报风险的藏身之地，这种“不合常理”的感觉，往往比查出一两笔分录错误要致命得多，它可能预示着舞弊，也可能预示着经营失败，作为审计师，我们要做的，就是顺着这些不合常理的线索,挖出地雷。
观察与检查：走出办公室，去看看“真东西”
第三个程序是“观察”和“检查”，在信息化时代，很多审计师习惯了坐在电脑前看ERP系统，看电子账套，却忘了审计是一门需要“脚底板”的学问。
生活实例： 我曾经审计过一家做农产品贸易的公司，账面上，存货价值连城，仓库里堆满了名贵的中药材。 底稿做得完美无缺，盘点表也签字画押，我不放心，风险评估阶段，我坚持要去那个位于深山的仓库看一看。 到了现场，我掀开最上面的一层药材，下面竟然全是发霉的稻草；我又去看了看他们的冷链车，所谓的“GPS全程监控”设备竟然是用胶带粘在挡风玻璃上的,根本没通电。
那一刻，所有的风险评估底稿都变成了现实，如果不做这个观察，我可能会出具一份无保留意见的审计报告，最终不仅害了自己,也害了报表使用者。
个人观点： “眼见为实”在风险评估中至关重要，你要去车间看机器是不是在转，去门店看顾客是不是在排队，去工地看材料是不是真的堆在那。 观察和检查，是为了验证管理层“口头故事”的真实性，如果管理层说业务火爆，你看到的却是员工在办公室里集体打游戏，那这种反差就是最直接的风险评估结果，我常说，审计师的鞋子必须沾点泥土，那才是我们最安全的护身符。
项目组讨论：一场头脑风暴的盛宴
风险评估不仅仅是项目经理一个人的事，准则要求我们必须举行“项目组讨论会”，这绝不是形式主义的过场,而是一场真正的头脑风暴。
生活实例： 在某上市公司的年审项目启动会上，我作为合伙人，要求所有成员放下手机，敞开思路。 我说：“这家公司今年面临巨大的对赌协议压力，如果利润不达标，大股东要赔得倾家荡产，大家想一想，如果你是老板，你会怎么干账？” 有人立刻反应：“可能会提前确认收入，把明年的单子挪到今年。” 有人补充：“可能会压低减值准备，比如把坏账准备计提比例调低。” 还有人指出：“可能会削减员工培训费这种可自由裁量的开支。”
通过这次讨论，我们识别出了“收入确认”和“资产减值”这两个高风险领域，在接下来的审计计划中，我们把80%的兵力都集中到了这两个领域，结果证明，我们的判断是正确的,确实发现了跨期确认收入的问题。
个人观点： 项目组讨论是风险评估中最具“人情味”的环节，它利用了集体的经验和智慧。 我特别反感那种“一言堂”式的讨论，在风险评估中，最年轻助理的一个直觉，有时候可能比资深经理的经验更准，因为助理往往关注细节，而经理容易陷入惯性思维。鼓励质疑，鼓励分享“不好的预感”，这才是项目组讨论的价值所在。
常见的误区：别把风险评估当成“填表游戏”
写了这么多，我必须指出当前行业内一个令人担忧的现象：程序形式化。
很多事务所为了赶进度，为了符合底稿模板的要求，把风险评估程序变成了“Ctrl+C”和“Ctrl+V”的游戏。 去年的风险评估描述是“公司面临原材料价格波动风险”，今年直接复制粘贴，连标点符号都不改。 去年的“了解被审计单位环境”里写的是“行业竞争激烈”,今年还是这一句。
个人观点： 这种做法是极其危险的，甚至可以说是职业道德的滑坡。 世界是瞬息万变的，去年还在赚钱的行业，今年可能因为政策突变而进入寒冬（比如教培行业）；去年现金流充裕的公司，今年可能因为盲目扩张而资金链断裂。 如果我们不根据最新的情况去更新风险评估，我们的审计计划就是盲目的，我们的审计程序就是无的放矢。 我常说：底稿是写给别人看的，但风险评估是做给自己安心的。 如果你连自己都骗,那离出事就不远了。
风险评估是审计的“灵魂”
回顾整篇文章，我们从询问、分析、观察、检查到项目组讨论,每一个环节都是为了构建一幅完整的企业画像。
风险评估程序不是审计工作的前奏曲，它是贯穿审计始终的一条主线，当我们发现新的证据，当我们遇到新的异常，我们需要随时回过头来修正我们的风险评估,进而调整我们的审计策略。
在这个充满不确定性的商业世界里，企业面临的风险千变万化：战略风险、经营风险、财务风险、舞弊风险……作为注册会计师，我们就是企业的“守夜人”。
我们必须保持职业怀疑态度（Professional Skepticism），不要轻信，不要假设，不要想当然。 当客户告诉你“这笔钱是借给老板亲戚的”时，你要多问一句“有没有借条？利息公允吗？” 当客户告诉你“存货跌价准备不需要提，因为市场价涨了”时，你要多去核实一下“最近的销售订单是不是真的涨价了？”
风险评估程序，就是那把帮助我们剥开层层迷雾、还原商业真相的手术刀。 它需要我们用严谨的逻辑去思考，用敏锐的眼光去观察,更需要我们用一颗负责任的心去感受。
我想对所有的同行，尤其是年轻的朋友们说：请珍视风险评估程序，不要把它当成应付检查的累赘，当你真正学会了如何去评估风险，你就不仅仅是一个“查账的”，你将真正成为一名懂商业、懂管理、懂人性的“注册会计师”，这不仅是职业的要求,更是我们这个行业安身立命的根本。
还没有评论，来说两句吧...