推荐阅读：摘 要 2010年4月，结束上市公司10年财务年报审计之后，感慨万千！随即开始酝酿着一篇有关自己从业两年来的总结。随着不断的分析和理解后发现，有些总结不仅和自己从事的项目有关，而且折射了整个审计行业的诸多现象。于是，带着总结和反省的精神、抱着大胆改
摘 要
2010年4月，结束上市公司10年财务年报审计之后，感慨万千！随即开始酝酿着一篇有关自己从业两年来的总结。随着不断的分析和理解后发现，有些总结不仅和自己从事的项目有关，而且折射了整个审计行业的诸多现象。于是，带着总结和反省的精神、抱着大胆改革的思路，从行业发展、事务所质量控制导向、风险评估程序应用等多个知识面出发。结合理论和实际工作，发现其中的不合理之处及获取的经验成于此文。特别是其中对国内所发展的建议、薪酬导向审计，笔者认为都是有一定的借鉴意义。
由于时间仓促，本文未论大家之所论，内容相对新颖。但对于未涉及之处及内容的过于宽泛和疏漏还忘阅者见谅。
目 录
一、国内所行业发展的现状和前景及建议
1、 国内事务所的发展前景
2、 笔者对制约国内事务所做大做强因素的考虑和应对
3、 对国内所做大做强的一些建议
二、我看事务所质量控制
1、业务控制理念对业务质量的影响
2、人才竞争理念——薪酬导向审计
3、抽样风险对业务质量控制的影响
4、重视erp对审计风险的影响
三、关于风险导向审计在实际工作中应用的一些困难及应对措施
1、风险的性质
2、评估风险
3、风险评估过程记录
4、如何进行实质和愉快的沟通
从业不久，有些幼稚的体会和憧憬，自然渲染于黑白之间，之中多少的可笑之处和拙见不周还忘见谅。
一、 对国内事务所行业发展的前景及建议
“事务所的做大做强”最快捷的方式莫过于合并。但是，同样的方法，不同的事务所却做出了不同的效果，此文主要针对具备证券资格的国内事务所。
1、 从国家安全机密和资本市场扩容看国内事务所的发展前景
首先，从国家安全机密看事务所发展。在这里，笔者不论事务所整体行业成长，而只谈有关国内事务所的发展，所以自然对立面肯定是国际四大会计师事务所。要谈本土所的做大做强，必然是要向国际四大所挑战的，若非然则无所谓该话题。从中国注册会计师协会的统计数据来看，07-09年全国百强会计师事务所业务中四大会计师事务所占有率分别为53.00%、54.78%、52.81%。暂且粗略的假设收入与数量成一定比例关系，这意味着，国内有近一半的上市公司由国际四大会计师事务所负责。从另一宏观经济数据分析，10年a股市场近1600家上市公司占我国10年gdp 37.67%，结合两者信息和国际四大所业务质量控制的底稿符合要求，意味着我国近18.84%的gdp信息流向是透明状态。目前风险导向审计理念贯彻的是了解企业的全方位立体化信息，其中包括企业内部控制、供应商和客户环境、技术和研究开发能力、企业发展战略及战术、核心竞争力等等，这些信息也象征着企业的过去、现在和未来。
简言之，我国目前大量成熟的机械制造业、民生行业、金融房地产业、高新技术企业、钢铁业、甚至军工业的财务和企业环境信息基本属于信息无监管化。从2010年7月爆发的力拓间谍门事件来看，我们暂且不考虑其中的政治和集团利益因素，而只需考虑这项间谍门事件的操作流程不难发现其中的商业机密为何物。笔者不知道大部分审计人员的数据分析能力和职业操守素质如何，但相关数据分析的结果就是国家机密。
所以，从国家机密安全考虑出发，笔者认为国内事务所的做大做强是趋势和必然。可是这也并非拔苗助长似的成长，而是要让本土事务所本身科学、合理、健康的发展，提高自身核心竞争力优势。俗话说，有多大锅下多少米，我国国内事务所目前的这口“锅”尺寸确实不大，无法扛大梁，眼下国内事务所的行业发展已是配合我国经济建设中不可缺失的分支力量。
其次，从资本市场扩容来看。2010年9月，据商务部人士声称在2010年适当时候支持符合条件的境外公司通过发行股票或存托凭证形式，在中国证券交易所上市，即a股市场计划即将推出国际板。这给国内事务所开展国际业务又注入了新的概念和活力。然而，为此而产生的事务所人才储备、风险控制、业务技能等等问题也即将摆在国内所的面前。面对这些诱人的机遇和挑战，国内所如果战略性实质合并和发展及储备人才，决定了未来本土所的未来生存空间。
2、笔者对制约国内事务所做大做强因素的考虑和应对
首先，是目前国内事务所做大做强的核心竞争力存在问题。我国国内事务所目前发展依靠的社会资源。在其力所能及的范围内，社会资源丰富决定了业务的广泛程度。然而，所谓中石油、中石化、建设银行、工商银行、农业银行、中国移动等他们力所不能及的范围，这时就显出了他们核心竞争力的匮乏。这也是严重制约着有健康核心竞争力的事务所的发展。有人把这种问题归根为制度导致的腐败问题、也有人归根为中国人的传统作风习惯和急功近利问题、更有人归根为行业本身收费性质问题。其实，这一系列的问题，也不是在这里三两句能够说的清楚的。故而暂且把这种问题归结为审计风险意识问题。
即国内事务所缺乏经营风险意识问题，所谓些个合伙人毫无审计风险而言，他们认为任何问题都能够解决。而实在一些风险解决不了的时候，他们就说没那个业务能力，实则没那个社会资源。也正因如此而导致的行业恶性竞争，多少对审计行业有着雄心壮志的义士不得不暗淡的退出这个舞台。
其次，国内事务所的可持续经营能力也是不容忽视的问题。大部分事务所的首席主任会计师一旦离职，对于事务所而言绝对是灭顶之灾。从原天健集团的分解及目前各大型会计师事务所的组织结构和业务结构、我们不难看出但凡事务所做至多大或做至多强，事务所发展的不可延续性问题已经严重制约着本行业的发展。
制定一个公开、透明且有竞争力的业务承接模式、组建一个能分散风险的整体结构和按照集体参议进行决策的制度是增强国内所可持续经营能力的出路。
最后，貌合神离的合并和行同虚设的做大做强无法将各方的利益综合考虑。国内所的合并目前只是财务报表层次的合并，还无法形成真真意义上的合并。笔者在这要强烈指出的是，合并是必然的趋势，这也是做大做强最快的捷径。理由为：
第一：从业务模块上讲，国内所和国际四大所最大的差距在于强大的后台服务，所谓后台服务包括对erp的系统审计人才和系统的开发、审计系统的开发和应用、资产评估、模型计算、特殊存货的鉴定等的综合利用。而这种强大的后台技术服务为有效的业务风险评估和控制起到的作用是不言而喻的。可是，难道合并就能生成这种强大的后台服务吗？答案是肯定的，因为目前国内所虽然都没有像国际四大般强大的后台技术服务，但是诸多国内所也花费了相当的人力物力去投资组建这些模块。但是，实力的相差悬殊造就了后台服务的相形见拙。可如果国内所可以将一系列的的后台服务投资拧成一团共同打造一个能够为彼此服务而以对抗国际四大的后台技术服务，我想这是完全可以做到的。
第二：合并本身不能增加国内所审计业务的增加，但是却能提高国内所承接大型国资委项、大型红、蓝筹的ipo项目、h股项目及国际审计业务的竞争力。目前，有些蛋糕即使给我们，本土所也未必能吃的起。这就是目前我国国内所发展的尴尬局面。但是通过合并，暂且不管我们是否具备这个能力，但至少有资格去参与。
第三：通过合并可以相对减少同业竞争。当然，这种减少同业竞争是建立在有着一个良好的可持续经营能力的基础之上的，依靠集体决策和综合考虑各方的利益的结果。
“同一个目标、同一个梦想”，我想国内所的发展完全可以借鉴这种长远的发展模式。也就是说，从远了看国内所要么合并别人要么被别人给合并（具笔者了解某国内四大所就险些被国际四大吞并）。事务所的合并一定要有长远发展观和大局观，利益是不可能绝对平衡的，不公平才是绝对的。持有本位主义思想的事务所在短期内也许还能的有部分可观的利益，但从长期来看最终将被淘汰或则退出证券领域。
3、对国内所做大做强的一些建议这个主题是笔者最不敢发言，并且也是最想发言的。有些太多的奢望和激情还望见纳。
第一、改革和统一合理的员工薪酬制度、完善并规划股东利益分配制度。在这里，统一并非大锅饭，而是制度统一。
第二、对国内所审计业务进行多层次管理。目前，国内所只对小所进行限制，只有具备了证券资格的事务所才能承接上市公司审计和ipo等大型项目。但是，却没有规范一些证券资格的大所也参与一些小型事务所进行业务竞争。企业的生存和利益的诱惑使一些小型事务所开始挂靠国内大所进行恶性竞争证券审计业务，使这种限制明存而实亡。尽管如此，笔者完全同意对国内小型事务所不得从事证券行业的这一单向限制，所不同的是，笔者还认为应该对一些国内大所业务进行分层限制，对行业进行多层次的管理可以相对有效的遏制目前的这种行业恶性竞争。给小型事务所一个生存和发展壮大的权利，也是给国内大所的发展营造好一个健康的审计环境，更是可以相对的让审计这个词更加干净一点。
第三、加大监管力度，完善监管的内容、不能留于形式，要提高违规成本。从某种程度上讲，行业的恶性竞争与监管是有着很大的关系。国内大所如果严格按照行业标准执行审计业务，那么势必造成其审计费用和员工薪酬缺乏竞争力。在成本效益原则的驱使下，这就使得一些国内所为了增强其竞争力而不得不降低执业标准。所以，行业的走向与监管层的监管工作是息息相关的。民族大所的做大做强是需要的，但是拔苗助长和姑息养**是走不远的，也是走不向国际的。
最后、从审计概念中剖析审计并建议改革。众所周知，审计业务属于鉴证业务，而但凡一个鉴证业务都是存在鉴证五要素的，包括三方关系、鉴证对象、标准、证据、鉴证报告。其中，三方关系又报告注册会计师、责任方、预期使用者。在此笔者认为，鉴证五要素中的三方关系应该进行改革加入一个第四方，而变为四方关系。这个加入的第四方关系，她的职能应该包括从原责任方处获取选择会计师事务所的权利，并且向责任方处每年按照行业标准收取费用，同时按照行业的评级标准、分层管理的规模、业务质量进行招投标。这个第四方不应该是由盈利为目的的法人组建，而是应该由政府引导的专业团队组建。且要接受监管层的严格监督。这种改革的优势很明显，经济利益的不独立将是影响审计行业发展的重大阻力，而这种改革能够有效的摆脱现有的这种尴尬局面。同样，这种改革将会引发另一个问题，即第四方的腐败问题，如何监管第四方又成为一个难题。而且，我国外部审计从审计署剥离出来本身讲就是一次成功的改革，如果引入第四方的政府引导作用，是否会导致原始问题的回归。这一系列问题也不是笔者能够解决的，出台对应的配套措施应该能够完善这种改革的设想。笔者只能从思路上大胆的猜想。
二、 事务所业务质量控制
1、业务控制理念对业务质量的影响
强化业务质量是未来事务所发展的核心竞争力，而质量控制是业务质量的核心动力。目前国内所在这方面落后于四大是有相当的距离。笔者了解到很大部分国内所在质量控制的留于形式、新审计准则要求下的执行情况、薪酬机制导致的人才流失等情况是相对于国际四大而言是严重的（尽管目前四大在某些方面也开始出现不足）。
业务质量的强化，从某一角度上说就是将审计细节化。但是，任何事务的细节化，最终会招来大部分员工的反感和厌恶情绪。所以对应的领导推动就显的格外的重要，而领导的推动必然要考虑成本收益的基础，利益上的得此失彼最后将落在领导的决心上。为此，笔者从业务控制质量的理念出发，进行了相对分析。
业务质量理念分为业务控制理念和人才竞争理念。业务控制理念和人才竞争理念的是一个事务的两面，前者是向外，后者是向内。
所谓业务控制理念即严格控制风险的文化、有效的业务流程、强有力的领导推动机制等。一个好的业务流程决定了业务质量的层次，积极贯彻新审计准则的业务要求已是必然的趋势。而对新的审计系统进行相关的培训和执行及后续强化和讨论，必然会影响部分老员工的反感和部分领导的利益分配。审计本身从实质上来讲既是一个带着思想而进行程序化的过程。暂且剥离思想的参与，单是程序化的过程缺陷就有可能导致致命的法律责任风险。而新审计准则的风险导向审计充分调动了整个项目组在整个审计始末进行着思考。对于控制风险和规避法律责任都有着积极的作用，对于新一代审计人员和会计师事务所充满着机遇和挑战。无论是国内所和国际所，我想，在中国，大家在同一起跑线。所以，在业务控制理念的落后，必将是毁灭性的结束！
2、人才竞争理念——薪酬导向审计
在人才竞争理念方面，事务所必须营造完善有效的竞争体制，这一点对于事务所的长远发展积蓄着人才储备。事务所的竞争力无非来自业务层和领导层。领导层，我们决定不了。但是，这两者绝对是相互作用和制约着。事务所建立的竞争理念必须剥离个人情感，以客观实质为基础。审计风险主要集中在事务所和签字会计师，而业务执行人员的风险在一定程度上可以忽略不计。所以在业务执行阶段，我们不光要执行执业准则的要求进行风险导向审计，还有一个值得重视的是“薪酬导向审计”。“薪酬导向审计”在国内尚无定义，纯属我个人概括，如有不妥，还忘见凉。
“薪酬导向审计”主要存在于国内一些依据收费而进行业务提成的事务所，但是这些事务所又不是真真意义上的“薪酬导向审计”，他们只是完成审计工作后，根据收入的比例或者个人的情感而进行的薪酬分配。这样的结果，可能导致的风险将是非常重大的。
以笔者从也几年的经历为例进行说明。在不少初进事务所初中级员工和一些有经验的审计人员。在业务执行阶段，即使发现了错报，他们也进行隐瞒，进而进行合理化的修饰和掩盖。原因很简单，在最短的时间做最多的项目，那最多的提成，而忽略了大量的可能隐藏的风险。这大大增加了事务所执业风险，这种风险不是控制不了的，而是被刻意的隐瞒。出现这种情况的原因很简单，人才竞争理念的落后！
而“薪酬导向审计”却能大大的克服这种风险。在这，我只谈“薪酬导向审计”框架结构，具体的细化单凭我个人无法完善。“薪酬导向审计”必须建立完善的评审制度，即做为考核的一项关键指标。为之而适应的是必须建立一个“薪酬导向审计系数表”。
这个风险系数表构成与发现的错报大小、科目底稿的难易程度、底稿的完成标准程度、集团组织结构的复杂程度等等指定一个系数表。最后根据风险系数表的权重乘数参与薪酬的分配，同时这些工作都是要在计划审计工作阶段完成。
表1 该表为笔者设计的初始化表格（未成熟化）
风险类别 风险明细 基本风险系数 检查程序错报系数 应对错报系数 分析程序错报系数 应对错报系数 系数合计
科目风险 货币资金 10 2 2 2 2 18
科目风险 应收帐款 10 2 2 2 2 18
科目风险 存货 20 5 5 5 5 40
科目风险 应付帐款 10 2 2 2 2 18
科目风险 应交税费 15 2 2 2 2 23
科目风险 收入 20 5 5 5 5 40
科目风险 费用 5 2 2 2 2 13
特别风险 关联方交易合并 30 -- -- -- -- 30
特别风险 长期股权投资合并 50 -- -- -- -- 50
特别风险 特殊项目审计 50 2 2 2 2 58
复核风险 一级复核 30 -- -- -- -- 30
复核风险 二级复核 30 -- -- -- -- 30
复核风险 三级复核 30 -- -- -- -- 30
*1 复核风险中对应的发现错报系数按照相应制度扣减相关科目的基本系数
*2 薪酬计算：提成=项目提成金额*成员所负责系数之和/系数总和
这样的优势在于，一可以一定程度上的控制“被人为隐藏或忽略”的审计风险。另一个可以相对有效的提高业务人员的执业能力，使其主动的发现和解决问题，并在这个过程中不断的完善自己。只有真真领悟和学习能力好、发现能力强、细心和负责的员工才能获得高的薪酬，而恰恰这些人才是真真事务所需要的人才，同时也是事务所的核心竞争力所必须具备的储备人才。这也才是真真意义上的“风险”导向审计。
也许“薪酬导向审计”折射了我们这个行业的尴尬和无奈。但，只有垄断行业才不需要利益的竞争。而我们的竞争是需要导向的，任何市场竞争经济学理论都是可以解释的！
3、抽样风险对业务质量控制的影响
关于事务所业务质量控制控制风险而言，笔者认为，全国的事务所都应该加强的一项控制是关于抽样风险。笔者深有感触的是，中国注册会计师协会组织举行的注册会计师考试——审计课程中对于审计抽样的考试是非常之多、细及逻辑性之强，而执业过程中对于该知识点的运用则为捉襟见肘。而恰恰抽样风险的控制又决定了审计风险的大小，这种理论和实际的严重脱钩让人不得不强化其使用！
审计抽样使用的必要性，笔者就用不了多说，其实也是说不了太多。只能通过和一些朋友的探讨和发现的对于该模块的运用困难之处做些分析和自己对其的应对。
对于抽凭持有反对意见的人认为：1、抽凭有用吗？抽多少、怎么抽、企业的舞弊会体现在你所能看见的凭证上吗，幸许你会发现错报，但最多也只是企业因疏忽和错误引起的错报？2、抽样的轨迹如何留下，如何判断我是随机抽样或则随意抽样，又如何判断样本量是否正确？这些问题，确实让目前这一模块的运用到了卡壳无奈地。
笔者认为两个问题的解决方式都可以用计算机审计系统解决。首先，我们要肯定抽凭是审计执业准则要求我们必须做的一些检查程序。有用没用我们暂且不管，这是程序，审计是面是看最基本就是一个程序化的过程。所以，站在准则的角度、规避法律风险及应对行业监管而言是绝对有用的，但是，这种有用又仅仅局限于形式。真真的实质作用其实是取决于有效的抽凭。审计工作如果一切按照审计准则来执行程序，笔者认为审计人员基本属于活不下的状态，审计工作只能是在刀尖上行走。一家大点的公司涉及大大小小20多个科目，而每一个科目至少也有4个认定，算上控制测试的控制点，估计至少也要计算200多个样本量。靠人工，不可能，只能依靠计算机，所以优秀的计算机审计系统的开发和完善的后台服务也是涵待解决的问题。
其次，至于企业是否会将舞弊的线索留在对应的文件当中或则说是否被我们所抽查。这个问题，我想可能是针对科目的完整性认定而言的。在此，笔者一万个强调分析程序的使用，并且留下分析程序中使用的所有财务信息和非财务信息及最终得出的结论。抽样依然要抽，因为我们是在执行准则，纵然我们就是有一万个尴尬。要想这碗饭吃的安心，就多抽一张凭证吧！
再有，笔者认为实际工作当中的抽样方法应该采用系统抽样方法，倒不是因为这个方法有其先进科学之处，只是因为从统计学角度上，这也是一种适用于统计抽样原理的方法，其留下的轨迹能够反复进行演算，并且使用简单。
4、重视erp对审计风险的影响
目前国内一些大型集团公司使用的erp软件主要包括oracle、sap、mas，这些erp涉及将企业的人力资源、信息储存、销售、采购、生产和仓储管理、财务处理等联合为一体，综合高度自动化处理。而这些应用所引发的审计风险都是仅靠实质性程序无法应对的风险。而国内所对于这一风险的应对基本属于零。笔者对于这块尚无造诣，但深知其对审计风险的影响颇深。然而，加强这一控制只能寄希望于各大所进行实质性合并之后的后台服务能力的提高。
三、关于风险导向审计在实际应用中的一些困难及对应看法笔者审计从业不久，由于对于新审计准则的体会也只是停留于表面，而旧审计准则的理解就更加有限。所以，在此本文决非要判一个新旧审计准则之区别及对错，我无此资质，也无此才。故而笔者仅就在目前的审计实际工作中碰到的了一些重要的问题，及笔者对这些问题的看法和应对的方法做一个简单的描述，此外也只限于从业初期的中、高级员工学习和讨论。
笔者起笔此文时，正就职于某业务质量相对高的国内大所。其他国内所情况也略知一二。所以，笔者暂且将所描述的情况定格于该国内所。同时也自信的认为，这种情况应该也会适用于其他国内大所。
1、 风险的性质
在撰写风险评估控制文件时，最重要的是定位风险的性质，区分风险是财务报表层次或认定层次、是否仅凭实质性程序无法应对的风险，在不考虑内部控制对风险的抵消作用时，它决定了我们所要实施的某些程序或者所有程序的性质、时间和范围。
区分风险的性质在实际工作当中的困难主要体现在我们如何从了解到的被审计单位的环境及其相关信息中识别风险并将其恰当定位，从而采取正确的应对措施。
1） 如何区分财务报表层次和认定层次的错报风险。
区分该问题时，我们首先主要两个基础。1、不能一概而论，因为不同的公司所能承受的风险是不同的。所以，我们暂且在不考虑重要性的基础上探讨这个问题2、我们暂且不考虑内部控制，因为内部控制对于风险是有抵消作用的，我们在风险评估中的评估风险阶段再考虑内部控制。所以此时，我们暂且认为内部控制属于“裸奔状态”。
审计准则对财务报表层次风险的定义为“该风险与财务报表整体广泛相关，可能影响多项认定……”，对于认定层次的错报风险的定义为“对各个交易或事项、期末余额、列报的具体认定产生影响的风险”。而我们经常出现的一个问题是大部分风险都会影响多项认定，而影响多少认定才能判断为财务报表层次中所谓的“广泛”？笔者的判断是“不知道！”。即无法判断他会影响多少项认定，只要你能算出来风险“可能会影响”的具体认定，那么该风险就是认定层次，当然如果把整个报表都算进去了，就是该认定为财务报表层次风险的时候了。我的这种判断或许是有些无奈，但在一定程度上是见效的。当然，最后的“评估风险阶段”判断我们要考虑两项目因素——重要性水平和内部控制抵消作用！
2）仅凭实质性程序无法应对的风险
在实际工作中，我们所面对的仅凭实质性程序无法应对的风险是绝对存在的。最简单的莫过于一般的kid和用友财务软件、复杂的erp系统、超市和卖场使用的自动化进销存控制程序，此外还涉及一些金融行业的特殊交易软件和电力系统的处理软件等等。但凡这些基本都属于实质性程序无法应对的特别风险。而如何去在考虑内部控制的基础上评估这些风，并且指定有效的进一步审计程序是当前国内所的空白，解决问题的方式是如何建立一个多元化的人才储备，而这又取决于事务所的后台服务实力。综合来看，与其说是将仅凭实质性程序无法应对的风险控制在可接受的低水平，到不如说整合事务所的人力资源。因为在某种程序上讲，这已经与我们业务层面没有实质上的关系。自动化控制产生的风险，在业务层面所能解决的问题也只是在假设该控制是“正确”的情况下，其是否得到执行。
2、 评估风险
如何评估风险是在实际工作中最难的，而这一点也是最能体现项目经理价值的工作。
如何将其了解的被审计单位环境信息最终汇总归纳为能指导我们进一步审计程序的工作开展是关键。笔者认为这一个过程是由两个紧密联系的过程所组建。分别是*1、我们初步识别的风险的评估。*2、在了解内部控制本身是，我们所评估的内部控制缺陷所可能产生的风险。
在实际工作中，当我们结合企业的内部信息、行业信息及整体经济环境撰写完所了解的被审计单位的信息后，我们已经评估了出了一些初步风险。但是，这些风险不一定就会发生在企业。因为企业有自己的免疫系统——内部控制。而我们在进行最终的风险评估时，我们要考虑和判断企业自身设计的免疫系统是否能抵抗初步评估的风险。这个时候常遇见的困难是如何识别控制和自信的判断其控制是否设计合理并得到执行。这种工作如果没有一定的从业经验是绝对完成不了的。为此，笔者结合实际工作碰到的一些困难和经验，总结了一些可以借鉴的措施。
首先：如何识别能够对我们初步评估的风险有抵消作用的控制。笔者认为，1、可以逆向思考。即假设这个风险一旦发生，那么是哪个环节、哪个部门、哪个控制、哪个人会在第一时间发现，因为大部分不合理的操作最终是会被发现的。那么这个发现错报人的控制即为可以识别的控制，他的对应工作即是我们认为可以抵消风险发生的工作。从理论上讲，这种控制也叫检查控制。2、从源头上考虑，进行发散性的思考。这种方法我个人是最通常的方法，但也是比较难的方法。因为这要求我们在判断的时候，必须站在企业的角度上，如何设计控制预防该类风险。然后再从企业实际存在的内部控制中寻找对应匹配的预防性控制。而这种方法没有一定的管理经验是很难完成的。
其次：在了解内部控制本身时，我们如何评估内部控制缺陷所可能产生的风险。一般来说，这会在我们针对企业重要的交易类别可能发生错报的环节进行了解。比如，我们通常都把销售与收款循环和生产与仓储循环作为比较重要的，而且是容易发生错报的环节进行了解和测试。那么在这些环节当中，我们就应该按照业务流程，针对各个认定层次可能发身的错报进行逐个挖掘对应的内部控制。这种方法也可以称为逐个认证。
对于该环节的工作，实际操作上困难重重，要具备相当的审计工作经验不说，还得具备经营管理、战略风险、资本市场规则的理解及基本应用、宏观经济的把握和敏感能力等。对于项目经理的要求之高可想而知。而真真具备了这些能力的人，却未必会留在工资体系太过不合理的审计行业。所以，这也是笔者为何提出“薪酬导向审计”的缘故之一。
3、风险评估过程记录
风险评估程序属于计划阶段的审计工作，而好的计划审计工作必须留下一个清晰的思路。在实际工作中，大部分风险评估程序的文件都是只有最后的审定版。笔者认为这样的缺陷是三级复核人员无法综合考虑前期数据的合理性，所以风险评估文件有必要保留其原始数据版本。原因如下：
首先：从初级数据版到一级复核版再至二级复核版最后至三级复核版。风险评估程序文件的撰写和判断与个人的知识面有着很广泛的联系，并不是每个项目经理都能够准确的判断是非。故而笔者认为应该将所有的版本都归集起来，三级复核的判断意见可以参考前面的基础数据和前面复核的判断，这种考虑才是相对全面的考虑。
其次：有人可能会质疑如果这样操作，难度太大，要打开过多的文档。不然，笔者认为完全可以把所有版本的信息记录填写在一个excel文件中的同一个工作表里的不同列。这样就相对一目了然。
最后：在应对监管层检查时的处理很简单，我们可以只需要打印和上缴最后的审定版即可以。因为，我们这样做的目的只是为了，在风险评估的时候让复核人员能够综合考虑。
所以，保留任何需要和不需要的记录，因为风险评估是计划审计工作的一部分。风险评估文件无所谓作废。
4、如何进行实质性的愉快沟通
如何让企业管理层和员工清晰的知道我们所需要表达的意思并且欢快的进行沟通，决定了我们的工作进一步的开展，而且体现我们个人魅力的展现和社会资源的积累。
首先：对于大部分从事审计行业的人员而言，基本可以算专业人士，平时的谈吐和工作内容决定了我们的思维方式过于“专业化，严谨化”，所以在与企业沟通时，难免会出现障碍，因为我们工作对象并非都是财务人员，其中大部分可能会是非财务人员沟通。所以如何让企业的人员能够清晰明白我们所要表达的思路，如何让企业明白我们要获取的信息，对于我们的工作而言所占比重绝对事半功倍。
如：我们在执行风险评估程序中了解内部控制中的销售与收款循环时候。如果问对方：“你们有无销售方面的内部控制？你们是如何做好销售截止的？你们的业务是如何发生的？你们每个月是否都会对帐？客户的信用情况你们都了解吗？如何做计价控制的？什么时候方便，我们可否做穿行测试？”，一些初级的销售人员可能就云里雾里了，然后谨慎的人就说不知道，不谨慎的人就胡乱说些内容搪塞我们，而测试的时候则前后不一致。其实，这些问题很多财务人员明白我们的意思，可并非所有人都具备财务知识。在面对这些沟通问题时，笔者认为，审计人员应该站在对方的经营角度，从我们所理解的日常经济业务程序中询问。上面问题的一些专业术语完全可以简化为：“内部控制即工作手册，销售截止即相关销售记录如何及时送交财务，计价控制即销售价格如何制定，穿行测试即我们想进一步的体验公司的业务处理实际流程等等”，一些类似的话完全可以达到我们所要的目的。
其次，就是愉快的沟通。我们的工作现场和资料置于企业、衣食父母来源于企业，而我们的工作内容却是要以质疑的精神去面对企业，这多少会存在很尴尬之处。笔者的观点是，尊重自己的工作才能让客户尊重你，认真对待自己的工作才能让客户明白你工作的价值，专业、严谨的处理问题才最终会让客户认识你的价值，甚至再次聘用你。当然，我所说的必须是建立在一个维护一个和谐的客户关系和工作环境的基础上。坚持自己的原则要有个程度的体现，而且这个原则是“铁底”的道德和法律底线，这样才能让客户尊重和欣赏，那些以牺牲审计风险为代价换取的“和谐”工作氛围，只会在背后让客户所鄙夷，让同行所遗弃。工作如此，为人亦如此。
第一、让彼此的工作能够顺利有效的进行。企业必竟是以生产经营为主，所以工作效率是首要的，而我们审计人员需要的资料是非常繁杂的。而笔者认为，我们审计人员应该利用我们扎实的专业知识和娴熟的办公软件运用能力，将企业所能提供的初始数据加工成能减轻企业财务人员的工作压力，并能促进彼此工作的有效进行的数据。
第二、在坚持审计人员的职业道德规范和法律底线的基础上，赢的企业的尊重。不卑不亢的对待自己的职业，才能赢得企业的尊重。只有深刻明白本职业的价值，才能让企业明白审计的意义。
第三、在不违反执业准则的基础上，增强为企业提供增值服务的意识和执业能力。这也是目前国内所在与国际四大竞争时，唯一存在的“体外”优势。对于企业而言，审计报告是其购买的，会计师事务生产的“产品”。而这一广泛意义上的“产品”附加功能越多，增值服务越多，其竞争力也势必越强。自然，沟通也将会是愉快进行的。
