1、了解内部控制，其中，评价控制的设计要考虑该控制单独或与其他控制一起是否能够有效地防止、发现和纠正重大错报，控制的实施是指控制的存在和被审核方的使用。注册会计师通常执行以下风险评估程序，以获取有关控制设计和实施的审计证据：

1。询问被审计单位的工作人员；

2。观察特定控制的应用；

3。检查文件和报告；

4。跟踪财务报告信息系统中交易的处理过程（通过测试）。

要理解内部控制，就必须非常清楚被审计单位业务活动的过程，知道在每个环节使用什么样的内部控制来防止、发现和纠正重大错报。例如，要了解被审计单位销售业务的内部控制，就必须明确几个重要环节的内部控制，如：

（1）信贷管理部门是否设在销售部之下。如果信贷管理部门设在营业部之下，营业部往往是为了追求销售业绩，无论是否以巨额坏账损失为代价。这将导致应收账款的估值和分摊存在重大错报的风险。

（2）仓库是否按照赊销批准的销售订单发货。如果仓库收到的销售订单未被批准赊销，则表明内部控制被推翻，导致财务报表层面存在重大错报风险。

（3）发货凭证是否附在销售发票上。发货凭证表示实际流程。如果您开具的销售发票没有发货凭证，注册会计师可以合理地预期您的销售交易是虚构的。

这里不一一描述，但需要明确的是，在理解内部控制时，我们只评价内部控制设计是否合理，是否运行。至于操作的有效性，这是一个控制测试的问题。了解内部控制并不关心这个问题。比如，对赊销审批内控的理解，只取决于设计如何，销售订单上是否有签字授权，谁签字，是否符合审批制度。

了解内部控制后，我们应该对内部控制进行评估，以决定是否进行控制测试。评价结论如下：

（1）内部控制设计合理，正在实施中。在这种情况下，控制操作有望有效，并将进行控制测试。（2）内部控制的设计是合理的，但没有得到实施。在这种情况下，没有对照试验。（3）内部控制本身的设计不合理。这种情况属于内部控制本身设计的缺陷，不需要考虑是否正在实施，不需要做控制测试。例如，信贷管理部门设置在销售部门之下。

有关被审计单位销售和采购交易内部控制的具体理解，请参阅：

II。控制测试是指在识别层面评价内部控制在防止、发现和纠正重大错报方面的有效性的审计程序。在任何情况下都不需要进行控制测试。有下列情形之一的，注册会计师应当实施控制测试：

1。在识别层面评估重大错报风险时，预期控制的操作是有效的；