二、审计计划制定：风险评估方法、重要性水平确定、审计策略选择
审计计划，说白了就是打仗前的沙盘推演。我做了十几年审计，见过太多团队一上来就埋头做底稿，结果做到一半发现方向偏了，回头返工。嗯，计划阶段花的时间，后面十倍百倍地省回来。
这一章，我重点讲三个核心环节：风险评估、重要性水平、审计策略。这三件事做好了，你的审计工作就有了骨架。
2.1 风险评估：别凭感觉，要讲方法
风险评估不是拍脑袋。我见过一些年轻审计员，上来就说「这个客户风险高」，问他为什么，答不上来。这不行。
我个人习惯用「三维评估法」：
- 外部环境维度：行业政策、市场波动、监管动态。比如教培行业，2021年政策一变，整个行业风险等级直接拉满。
- 内部控制维度：控制环境、控制活动、信息与沟通。我在项目中遇到过一家公司，财务系统权限管理一团糟，出纳能改会计凭证——这种内控，风险能不高吗？
- 财务数据维度：异常波动、趋势背离、指标突变。比如收入增长30%但现金流没动，你想想看，这合理吗？
核心工具：风险矩阵
把每个风险点按「发生可能性」和「影响程度」打分，落在高-高区域的，就是重点审计领域。
我的小技巧：风险评估不是一次性的。项目进行中，如果发现新线索，随时调整。我曾经在中期发现客户突然换了银行账户，一查，背后是关联方资金占用——这就是动态评估的价值。
2.2 重要性水平：定低了累死，定高了漏雷
重要性水平，是审计的「容忍度」。定得太低，芝麻大的差异都要调，团队累死；定得太高，重大错报可能漏掉。
怎么定？我一般分三步走：
- 选基准：常用的是税前利润、总收入、总资产。上市公司一般用税前利润的5%-10%。
- 调因素：如果客户有大量关联交易，或者刚上市，我会把比例调低一点，更保守。
- 定实际执行重要性：通常是整体重要性的50%-75%。为什么？留点安全边际。
| 基准类型 | 常用比例 | 适用场景 |
|---|---|---|
| 税前利润 | 5%-10% | 盈利稳定的企业 |
| 总收入 | 0.5%-1% | 利润波动大或亏损企业 |
| 总资产 | 1%-2% | 金融机构、重资产企业 |
避坑指南：我曾经遇到一个客户，利润刚好过盈亏线，用税前利润算重要性只有几万块。后来我改用总收入做基准，才定出合理水平。记住：利润被操纵的空间最大，别死盯着它。
2.3 审计策略：选对打法，事半功倍
审计策略，说白了就是「怎么查」。是侧重控制测试，还是直接做实质性程序？这取决于你对客户内控的信任度。
我一般分三种策略：
- 信赖策略：内控有效，做控制测试，减少实质性程序。适合大型、规范的企业。
- 混合策略：部分信赖，部分直接查。这是最常用的，比如收入循环做控制测试，费用循环直接做细节测试。
- 实质性策略：内控不可靠，直接做实质性程序。适合小企业、高风险项目。
举个例子。我去年做一家制造业客户，采购流程的内控做得很好，我就只抽了几个关键控制点测试。但销售端，我发现销售合同审批经常后补，那就不客气了，直接做收入截止测试和函证。
策略选择的核心逻辑：
控制测试的成本 vs 实质性程序的成本。如果控制测试省下来的时间，还不够你测试的功夫，那就别做。
嗯，这里要注意：策略不是一成不变的。项目进行中，如果发现控制失效，及时切换。我曾经在中期发现客户仓库盘点流程形同虚设，立刻把存货审计策略从「信赖」调整为「实质性」，避免了后续的被动。
2.4 三者联动：计划不是孤立的
风险评估、重要性水平、审计策略，这三件事是联动的。风险评估高了，重要性水平就要调低，策略就要更保守。反过来也一样。
我习惯在计划阶段画一张「三角联动图」：
- 风险高 → 重要性低 → 实质性策略
- 风险低 → 重要性高 → 信赖策略
- 风险中 → 重要性适中 → 混合策略
你想想看，如果风险很高，你还用低重要性、做控制测试，那不是自己给自己挖坑吗？
我的经验：计划阶段多花一小时，执行阶段省十小时。别急着出外勤，先把这三件事想清楚。我见过太多团队，计划草草了事，结果现场发现方向错了，回头改计划，时间全浪费了。
好了，这一章的内容就这些。记住：审计计划不是填表，是思考。风险评估、重要性水平、审计策略，这三件事做好了，你的审计工作就有了灵魂。