3、风险评估与证据规划：风险导向审计、制定证据收集计划、重要性水平设定
各位同行，咱们接着聊。前面两章我们把审计证据不足的“病根”挖出来了，也讲了怎么从源头上找线索。这一章，咱们要解决一个核心问题：怎么在动手之前，就把证据不足的风险掐死在摇篮里？
说白了，就是做计划。但这不是拍脑袋的计划，是风险导向的计划。我做了十几年审计，见过太多项目组一上来就埋头翻凭证，结果翻到一半发现方向错了，证据全白费。嗯，这种亏，我吃过不止一次。
3.1 风险导向审计：别当“无头苍蝇”
风险导向审计，听起来高大上，其实核心就一句话：把有限的精力，砸在最可能出问题的地方。
你想想看，一个企业几百个科目，几千笔交易，你不可能全查一遍。那怎么办？先评估风险。哪里风险高，我就重点查哪里。哪里风险低，我就少查甚至不查。
核心逻辑：
- 识别风险：哪些地方容易造假？哪些科目波动异常？
- 评估风险：这个风险发生的概率有多大？一旦发生，影响有多大？
- 应对风险：针对高风险领域，设计更严格的审计程序，收集更充分的证据。
我个人习惯，在进场前会先做一轮“风险扫描”。比如，看行业新闻、查监管处罚案例、分析企业近三年的财务趋势。我记得有一次，一家制造业企业的“其他应收款”突然暴增，我立刻警觉了。后来一查，果然是关联方资金占用。如果当时按常规程序走，这笔证据肯定漏了。
我的小技巧：
做一个“风险热力图”。横轴是科目，纵轴是风险等级（高、中、低）。把每个科目的风险点标出来，一目了然。这样你分配人手和时间时，心里就有谱了。
3.2 制定证据收集计划：别“打无准备之仗”
风险评估完了，下一步就是制定证据收集计划。这一步，很多新手容易犯一个毛病：计划写得太笼统。比如“检查销售合同”、“核对银行流水”。这等于没写。
好的计划，要具体到：查什么、怎么查、查多少、谁来查、什么时候查完。
我建议，把计划拆成三个层次：
| 层次 | 内容 | 举例 |
|---|---|---|
| 总体策略 | 明确审计方向、重点领域、资源分配 | “收入确认是高风险，投入30%的工时” |
| 具体程序 | 针对每个科目，设计详细的审计步骤 | “对前10大客户进行函证，对异常回函进行替代测试” |
| 证据清单 | 列出需要获取的具体证据名称和数量 | “获取全年销售合同50份、发货单100份、银行回单200份” |
为什么要这么细？因为只有计划细了，你才知道证据够不够。我曾经带过一个项目，计划里只写了“检查固定资产”，结果到现场才发现，企业把一堆报废的设备还挂在账上。我们花了大量时间去盘点，最后发现证据根本支撑不了结论。这就是计划没做细的教训。
避坑指南：
我曾经犯过一个错：计划里只列了“检查凭证”，但没规定样本量。结果项目组抽了10笔就停了，说“看起来没问题”。后来复核时发现，那10笔全是小额、正常的交易，大额异常的一笔都没抽到。从那以后，我要求所有计划必须明确样本量和抽样方法。
3.3 重要性水平设定：别“眉毛胡子一把抓”
重要性水平，是审计的“指挥棒”。它决定了你查多深、查多细。设定得太高，容易漏掉重大错报；设定得太低，又会导致过度审计，浪费资源。
怎么设？我一般分三步走：
- 选基准：通常用营业收入、总资产、净利润等。不同行业选不同的基准。比如，制造业常用总资产，互联网公司常用营业收入。
- 定比例：比如，净利润的5%，总资产的1%。这个比例不是死的，要根据企业规模和风险调整。
- 做微调：如果企业有特殊事项（如并购、重组），要适当降低重要性水平。
举个例子：一家公司净利润1000万，按5%算，重要性水平是50万。这意味着，如果某个错报超过50万，我就必须调整报表。如果低于50万，我可以忽略。
但这里有个坑：重要性水平不是一成不变的。 随着审计深入，你可能会发现新的风险点，这时候就要重新评估，适当调低重要性水平。
实战经验：
我习惯在审计过程中，每两周重新审视一次重要性水平。如果发现某个科目的实际错报金额接近重要性水平，我会立刻追加程序，收集更多证据。别等到最后出报告了才发现证据不足，那就晚了。
好了，这一章的核心就这些。总结一下：风险导向是方向，证据计划是路线图，重要性水平是标尺。 三者缺一不可。下一章，咱们聊聊具体怎么收集证据，特别是那些“硬骨头”该怎么啃。