第二节 审计抽样在控制测试中的应用
本节主要介绍审计抽样在控制测试中的应用。在控制测试中应用审计抽样有两种方法。
一种是发现抽样。这种方法在注册会计师预计控制高度有效时可以使用，以证实控制的有效性。在发现抽样中，注册会计师使用的预计总体偏差率是0。在检查样本时，一旦发现一个偏差就立即停止抽样。如果在样本中没有发现偏差，则可以得出总体偏差率可以接受的结论。
另一种是属性估计抽样，用以估计被测试控制的偏差发生率，或控制未有效运行的频率。本节以第二种方法为主。
在控制测试中使用审计抽样可以分为样本设计、选取样本和评价样本结果三个阶段，通常需要考虑下列问题：
（1）测试目标和相关认定是什么？
（2）如何定义偏差？
（3）如何定义总体？总体是否完整？从中选取样本的总体与根据样本结果推断特征的总体是否相同？
（4）如何从总体中抽样?包括确定抽样计划、抽样单元和抽样方法。
（5）样本规模是多少？
（6）如何评价并解释抽样结果？
一、样本设计阶段
（一）确定测试目标
注册会计师实施控制测试的目标是提供关于控制运行有效性的审计证据，以支持计划的重大错报风险评估水平。因此，控制测试主要关注：
（1）控制在所审计期间的相关时点是如何运行的；
（2）控制是否得到一贯执行；
（3）控制由谁或以何种方式执行。
注册会计师应当首先针对某项认定详细了解控制目标和内部控制政策与程序之后，方可确定从哪些方面获取关于控制是否有效运行的审计证据。
（二）定义总体
总体，是指注册会计师从中选取样本并期望据此得出结论的整个数据集合。注册会计师在界定总体时，应当确保总体的适当性和完整性。
1. 适当性。总体应适合于特定的审计目标，包括适合于测试的方向。例如，要测试用以保证所有发运商品都已开单的控制是否有效运行，注册会计师从已开单的项目中抽取样本不能发现误差，因为该总体不包含那些已发运但未开单的项目。为发现这种误差，将所有已发运的项目作为总体通常比较适当。又如，要测试现金支付授权控制是否有效运行，如果从已得到授权的项目中抽取样本，注册会计师不能发现控制偏差，因为该总体不包含那些已支付但未得到授权的项目。
2. 完整性。注册会计师应当从总体项目内容和涉及时间等方面确定总体的完整性。
例如，如果注册会计师从档案中选取付款证明，除非确信所有的付款证明都已归档，否则注册会计师不能对该期间的所有付款证明得出结论。又如，如果注册会计师对某一控制活动在财务报告期间是否有效运行得出结论，总体应包括来自整个报告期间的所有相关项目。
在控制测试中，注册会计师还必须考虑总体的同质性。同质性是指总体中的所有项目应该具有同样的特征。例如，如果被审计单位的出口和内销业务的处理方式不同，注册会计师应分别评价两种不同的控制情况，因而出现两个独立的总体。又如，虽然被审计单位的所有分支机构的经营可能都相同但每个分支机构是由不同的人运行。如果注册会计师对每个分支机构的内部控制和员工感兴趣，可以将每个分支机构作为一个独立的总体对待。另外，如果注册会计师关心的不是单个分支机构而是被审计单位整体的经营，且各分支机构的控制具有足够的相同之处就可以将被审计单位视为一个单独的总体。
需要注意的是，被审计单位在被审计期间可能改变某个特定控制。如果某控制（旧控制）被用于实现相同控制目标的另一控制（新控制）所取代，注册会计师需要确定是否测试这两个控制的运行有效性，或只测试新控制例如，如果注册会计师需要就与销售交易相关的控制的运行有效性获取证据，以支持重大错报风险的评估水平，且预期新、旧控制都是有效的，注册会计师可以将被审计期间的所有销售交易作为一个总体。在新控制与旧控制差异很大时，也可以分别进行测试，因而出现两个独立的总体。不过，如果注册会计师对重大错报风险的评估主要取决于控制在被审计期间的后期或截至某个特定时点的有效运行，也可能主要测试新控制，而对旧控制不进行测试或仅进行少量测试，此时，新控制针对的销售交易是一个独立的总体。
（三）定义抽样单元
注册会计师定义的抽样单元应与审计测试目标相适应。抽样单元通常是能够提供控制运行证据的一份文件资料、一个记录或其中一行，每个抽样单元构成了总体中的一个项目。在控制测试中，注册会计师应根据被测试的控制定义抽样单元。例如，如果测试目标是确定付款是否得到授权，且设定的控制要求付款之前授权人在付款单据上签字，抽样单元可能被定义为每一张付款单据。如果一张付款单据包含了对几张发票的付款，且设定的控制要求每张发票分别得到授权，那么付款单据上与发票对应的一行就可能被定义为抽样单元。
对抽样单元的定义过于宽泛可能导致缺乏效率。例如，如果注册会计师将发票作为抽样单元，就必须对发票上的所有项目进行测试。如果注册会计师将发票上的每一行作为抽样单元，则只需对被选取的行所代表的项目进行测试。如果定义抽样单元的两种方法都适合于测试目标，将每一行的项目作为抽样单元可能效率更高。
（四）定义偏差构成条件
注册会计师应根据对内部控制的了解，确定哪些特征能够显示被测试控制的运行情况，然后据此定义偏差构成条件。在控制测试中，偏差是指偏离对设定控制的预期执行。
在评估控制运行的有效性时，注册会计师应当考虑其认为必要的所有环节。例如，设定的控制要求每笔支付都应附有发票、收据、验收报告和订购单等证明文件，且均盖上“已付”戳记。注册会计师认为盖上“已付”戳记的发票和验收报告足以显示控制的适当运行。在这种情况下，偏差可能被定义为缺乏盖有“已付”戳记的发票和验收报告等证明文件的款项支付。
（五）定义测试期间
注册会计师通常在期中实施控制测试。由于期中测试获取的证据只与控制截至期中测试时点的运行有关，注册会计师需要确定如何获取关于剩余期间的证据。注册会计师可以有两种做法：
（1）将测试扩展至在剩余期间发生的交易，以获取额外的证据。
（2）不将测试扩展至在剩余期间发生的交易。
1. 将测试扩展至在剩余期间发生的交易，以获取额外的证据。在这种情况下，总体由整个被审计期间的所有交易组成。
（1）初始测试。注册会计师可能将总体定义为包括整个被审计期间的交易，但在期中实施初始测试。在这种情况下，注册会计师可能估计总体中剩余期间将发生的交易的数量，并在期末审计时对所有发生在期中测试之后的被选取交易进行检查。例如，如果被审计单位在当年的前10个月开具了号1~10 000的发票，注册会计师可能估计，根据企业的经营周期，剩下两个月中将开具250张发票；因此注册会计师在选取所需的样本时用1~12 500作为编号。所选取的发票中，编号小于或等于10 000的样本项目在期中审计时进行检查，剩余的样本项目将在期末审计时进行检查。
（2）估计总体的特征。在估计总体规模时，注册会计师可能考虑上年同期的实际情况、变化趋势以及经营性质等因素。在实务中，一方面，注册会计师可能高估剩余项目的数量。年底时如果部分被选取的编号对应的交易没有发生（由于实际发生的交易数量低于预计数量），可以用其他交易代替。考虑到这种可能性，注册会计师可能希望比最低样本规模稍多选取一些项目，对多余的项目只在需要作为替代项目时才进行检查。
另一方面，注册会计师也可能低估剩余项目的数量。如果剩余项目的数量被低估些交易将没有被选取的机会，因此，样本不能代表注册会计师所定义的总体。在这种情况下，注册会计师可以重新定义总体，将样本中未包含的项目排除在新的总体之外。对未包含在重新定义总体中的项目，注册会计师可以实施替代程序，例如，将这些项目作为一个独立的样本进行测试，或对其进行百分之百的检查，或询问剩余期间的情况。注册会计师应判断各种替代程序的效率和效果，并据此选择适合于具体情况的方法。
在许多情况下，注册会计师可能不需等到被审计期间结束，就能得出关于控制的运行有效性是否支持其计划评估的重大错报风险水平的结论。在对选取的交易进行期中测试时，注册会计师发现的误差可能足以使其得出结论：即使在发生于期中测试以后的交易中未发现任何误差，控制也不能支持计划评估的重大错报风险水平。在这种情况下，注册会计师可能决定不将样本扩展至期中测试以后发生的交易，而是相应地修正计划的重大错报风险评估水平和实质性程序。
2. 不将测试扩展至在剩余期间发生的交易。在这种情况下，总体只包括从年初到期中测试日为止的交易，测试结果也只能针对这个期间进行推断，注册会计师可以使用替代方法测试剩余期间的控制有效性。
在确定是否需要针对剩余期间获取额外证据以及获取哪些证据时，注册会计师通常考虑下列因素：
（1）评估的认定层次重大错报风险的重要程度；
（2）在期中测试的特定控制和测试结果，以及自期中测试后控制发生的重大变动；
（3）在期中对有关控制运行有效性获取的审计证据的程度；
（4）剩余期间的长度；
（5）在信赖控制的基础上拟缩小实质性程序的范围；
（6）控制环境。
注册会计师应当获取与控制在剩余期间发生的所有重大变化的性质和程度有关的证据，包括其人员的变化。如果发生了重大变化，注册会计师应修正其对内部控制的了解，并考虑对变化后的控制进行测试。或者，注册会计师也可以考虑对剩余期间实施实质性分析程序或细节测试。
二、选取样本阶段
（一）确定抽样方法
选取样本时，只有从抽样总体中选出具有代表性的样本项目，注册会计师才能根据样本的测试结果推断有关总体的结论。因此，不管使用统计抽样还是非统计抽样，在选取样本项目时，注册会计师应当使总体中的每个抽样单元都有被选取的机会。在统计抽样中，注册会计师有必要使用适当的随机选样方法，如简单随机选样或系统随机选样。
在非统计抽样中，注册会计师通常使用近似于随机选样的方法，如随意选样。计算机辅助审计技术（CAAT）可以提高选样的效率。选取样本的基本方法包括简单随机选样、系统选样、随意选样和整群选样。
1. 简单随机选样。使用这种方法，相同数量的抽样单元组成的每种组合被选取的概率都相等。注册会计师可以使用计算机或随机数表获得所需的随机数，选取匹配的随机样本。
简单随机选样在统计抽样和非统计抽样中均适用。
2. 系统选样。使用这种方法，注册会计师需要确定选样间隔，即用总体中抽样单元的总数量除以样本规模，得到样本间隔，然后在第一个间隔中确定一个随机起点，从这个随机起点开始，按照选样间隔，从总体中顺序选取样本。例如，如果销售发票的总体范围是652~3 151，设定的样本量是125，那么选样间距为20[（3 152-652）÷125]注册会计师必须从第一个间隔（652~671）中随机选取一个样本项目，作为抽样起点。如果随机起点是661，那么其余的124个项目是681（61+20），701（681+20）…依此类推，直至第3 141号。
使用系统选样方法，总体中的每一个抽样单元被选取的机会都相等，当从总体中人工选取样本时，这种方法尤为方便。但是，使用系统选样方法要求总体必须是随机排列的，如果抽样单元在总体内的分布具有某种规律性，则样本的代表性就可能较差，容易发生较大的偏差。例如，某建筑公司的员工工资清单按照项目组分类，每个项目组的工资均按照1个项目负责人和9个项目组成员的顺序排列，如果将员工工资清单作为总体，选样间隔为10，随着随机起点的不同，选择的样本要么包括所有的项目负责人，要么一个项目负责人都不包括。样本无法同时包括项目负责人和项目组成员，自然不具代表性。
为克服系统选样法的这一缺点，可采用两种办法：
- 一是增加随机起点的个数；
- 二是在确定选样方法之前对总体特征的分布进行观察。
如发现总体特征的分布呈随机分布，则采用系统选样法；否则，可考虑使用其他选样方法。
系统选样可以在非统计抽样中使用，在总体随机分布时也可适用于统计抽样。
3. 随意选样。使用这种方法并不意味着注册会计师可以漫不经心地选择样本，注册会计师要避免任何有意识的偏向或可预见性（如回避难以找到的项目，或总是选择或回避每页的第一个或最后一个项目），从而保证总体中的所有项目都有被选中的机会，使选择的样本具有代表性。
随意选样仅适用于非统计抽样。在使用统计抽样时，运用随意选样是不恰当的，因为注册会计师无法量化选取样本的概率。
4. 整群选样。使用这种方法，注册会计师从总体中选取一群（或多群）连续的项目。
例如，总体为20×1年的所有付款单据，从中选取2月3日、5月17日和7月19日这三天的所有付款单据作为样本。整群选样通常不能在审计抽样中使用，因为大部分总体的结构都使连续的项目之间可能具有相同的特征，但与总体中其他项目的特征不同。虽然在有些情况下注册会计师检查一群项目可能是适当的审计程序，但当注册会计师希望根据样本作出有关整个总体的有效推断时，极少将整群选样作为适当的选样方法。
（二）确定样本规模
样本规模是指从总体中选取样本项目的数量。在审计抽样中，如果样本规模过小，就不能反映出审计对象总体的特征，注册会计师就无法获取充分的审计证据，其审计结论的可靠性就会大打折扣，甚至可能得出错误的审计结论。因此，注册会计师应当确定足够的样本规模，以将抽样风险降至可接受的低水平。相反，如果样本规模过大，则会增加审计工作量，造成不必要的时间和人力上的浪费，加大审计成本，降低审计效率，就会失去审计抽样的意义。
1. 影响样本规模的因素。在控制测试中影响样本规模的因素如下：
（1）可接受的信赖过度风险。控制测试中的抽样风险包括信赖过度风险和信赖不足风险，信赖过度风险与审计效果有关，信赖不足风险则与审计效率有关，信赖过度风险更容易导致注册会计师发表不恰当的审计意见，因此在实施控制测试时，注册会计师主要关注信赖过度风险。
影响注册会计师可以接受的信赖过度风险的因素包括：
①该控制所针对的风险的重要性；
②控制环境的评估结果；
③针对风险的控制程序的重要性；
④证明该控制能够防止、发现和改正认定层次重大错报的审计证据的相关性和可靠性；
⑤在与某认定有关的其他控制的测试中获取的证据的范围；
⑥控制的叠加程度；
⑦对控制的观察和询问所获得的答复可能不能准确反映该控制得以持续适当运行的风险。
可接受的信赖过度风险与样本规模反向变动。注册会计师愿意接受的信赖过度风险越低，样本规模通常越大。反之，注册会计师愿意接受的信赖过度风险越高，样本规模越小。由于控制测试是控制是否有效运行的主要证据来源，因此，可接受的信赖过度风险应确定在相对较低的水平上。通常，相对较低的水平在数量上是指5%~10%的信赖过度风险。注册会计师一般将信赖过度风险确定为10%，特别重要的测试则可以将信赖过度风险确定为5%。在实务中，注册会计师通常对所有控制测试确定一个统一的可接受信赖过度风险水平，然后对每一测试根据计划的重大错报风险评估水平和控制有效性分别确定其可容忍偏差率。
（2）可容忍偏差率。在控制测试中，可容忍偏差率是指注册会计师设定的偏离规定的内部控制的比率，注册会计师试图对总体中的实际偏差率不超过该比率获取适当水平的保证。换言之，可容忍偏差率是注册会计师能够接受的最大偏差数量，如果偏差超过一数量则减少或取消对内部控制的信赖。
可容忍偏差率与样本规模反向变动。在确定可容忍偏差率时，注册会计师应考虑计划评估的控制有效性。计划评估的控制有效性越低注册会计师确定的可容忍偏差率通常越高，所需的样本规模就越小。一个很高的可容忍偏差率通常意味着，控制的运行不会大大降低相关实质性程序的程度。在这种情况下，由于注册会计师预期控制运行的有效性很低，特定的控制测试可能不需进行。反之，如果注册会计师在评估认定层次重大错报风险时预期控制的运行是有效的，注册会计师必须实施控制测试换言之，注册会计师在风险评估时越依赖控制运行的有效性，确定的可容忍偏差率越低，进行控制测试的范围越大，因而样本规模增加。
偏离规定的内部控制将增加重大错报风险，但不是所有的偏离都一定导致财务报表出现重大错报。因此，与细节测试中设定的可容忍错报相比，注册会计师通常为控制测试设定相对较高的可容忍偏差率。在实务中，注册会计师通常认为，当偏差率为3%~7%时，控制有效性的估计水平较高；可容忍偏差率最高为0%，偏差率超过20%时，由于估计控制运行无效，注册会计师不需进行控制测试。当估计控制运行有效时，如果注册会计师确定的可容忍偏差率较高就被认为不恰当。表4-1列示了可容忍偏差率与计划评估的控制有效性之间的关系。
表4-1 可容忍偏差率和计划评估的控制有效性之间的关系
| 计划评估的控制有效性 | 可容忍偏差率（近似值，%） |
|---|---|
| 高 | 3~7 |
| 中 | 6~12 |
| 低 | 11~20 |
| 最低 | 不进行控制测试 |
（3）预计总体偏差率。对于控制测试，注册会计师在考虑总体特征时，需要根据对相关控制的了解或对总体中少量项目的检查来评估预期偏差率。注册会计师可以根据上年测试结果、内部控制的设计和控制环境等因素对预计总体偏差率进行评估。在考虑上年测试结果时，应考虑被审计单位内部控制和人员的变化。在实务中，如果以前年度的审计结果无法取得或认为不可靠，注册会计师可以在抽样总体中选取一个较小的初始样本，以初始样本的偏差率作为预计总体偏差率的估计值。
预计总体偏差率与样本规模同向变动。在既定的可容忍偏差率下，预计总体偏差率越大，所需的样本规模越大。预计总体偏差率不应超过可容忍偏差率，如果预期总体偏差率高得无法接受，意味着控制有效性很低，注册会计师通常决定不实施控制测试，而实施更多的实质性程序。
（4）总体规模。除非总体非常小，一般而言，总体规模对样本规模的影响几乎为零。
注册会计师通常将抽样单元超过2 000个的总体视为大规模总体。对大规模总体而言，总体的实际容量对样本规模几乎没有影响。对小规模总体而言，审计抽样比其他选择测试项目的方法的效率低。
（5）其他因素。控制运行的相关期间越长（或季度），需要测试的样本越多，因为注册会计师需要对整个拟信赖期间控制的有效性获取证据。控制程序越复杂，测试的样本越多。样本规模还取决于所测试的控制的类型，通常对人工控制实施的测试要多过自动化控制，因为人工控制更容易发生错误和偶然的失败，而针对计算机系统的信息技术一般控制只要有效发挥作用，曾经测试过的自动化控制一般都能保持可靠运行。在确定被审计单位自动控制的测试范围时，如果支持其运行的信息技术一般控制有效，注册会计师测试一次应用程序控制便可能足以获得对控制有效运行的较高的保证水平。如果所测试的控制包含人工监督和参与（如：偏差报告分析、评估、数据输入、信息匹配等），则通常比自动控制需要测试更多的样本。
表4-2列示了控制测试中影响样本规模的主要因素，并分别说明了这些影响因素在控制测试中的表现形式。
表4-2 控制测试中影响样本规模的因素
| 影响因素 | 与样本规模的关系 |
|---|---|
| 可接受的信赖过度风险 | 反向变动 |
| 可容忍偏差率 | 反向变动 |
| 预计总体偏差率 | 同向变动 |
| 总体规模 | 影响很小 |
2. 针对运行频率较低的内部控制的考虑。某些重要的内部控制并不经常运行，例如，银行存款余额调节表的编制可能是按月执行，针对年末结账流程的内部控制则是一年执行一次。注册会计师可以根据表4-3确定所需的样本规模。一般情况下，样本规模接近表4-3中样本数量区间的下限是适当的。如果控制发生变化，或曾经发现控制缺陷，样本规模更可能接近甚至超过表4-3中样本数量区间的上限。如果拟测试的控制是针对相关认定的唯一控制，注册会计师往往可能需要测试比表中所列更多的样本。
表4-3 测试运行频率较低的内部控制的有效性
| 控制运行频率和总体的规模 | 测试的样本数量 |
|---|---|
| 1次/季度（4） | 2 |
| 1次/月度（12） | 2~5 |
| 1次/半月（24） | 3~8 |
| 1次/周（52） | 5~15 |
3. 确定样本量。实施控制测试时，注册会计师可能使用统计抽样，也可能使用非统计抽样。在非统计抽样中，注册会计师可以只对影响样本规模的因素进行定性的估计，并运用职业判断确定样本规模。使用统计抽样方法时，注册会计师必须对影响样本规模的因素进行量化，并利用根据统计公式开发的专门的计算机程序或专门的样本量表来确定样本规模。
表4-4提供了在控制测试中确定的可接受信赖过度风险为10%时所使用的样本量。
如果注册会计师需要其他信赖过度风险水平的抽样规模，必须使用统计抽样参考资料中的其他表格或计算机程序。
注册会计师根据可接受的信赖过度风险选择相应的抽样规模表，然后读取预计总体偏差率栏找到适当的比率。接下来注册会计师确定与可容忍偏差率对应的列。可容忍偏差率所在列与预计总体偏差率所在行的交点就是所需的样本规模。例如，注册会计师确定的可接受信赖过度风险为10%，可容忍偏差率为5%，预计总体偏差率为0，根据表4-4，确定的样本规模为45。
表4-4 控制测试统计抽样
（三）选取样本并对其实施审计程序
使用统计抽样或非统计抽样时，注册会计师可以根据具体情况，从简单随机选样、系统选样或随意选样中挑选适当的选样方法选取样本。注册会计师应当针对选取的样本项目，实施适当的审计程序，以发现并记录样本中存在的控制偏差。
在对选取的样本项目实施审计程序时可能出现以下几种情况：
1. 无效单据。注册会计师选取的样本中可能包含无效的项目。例如，在测试与被审计单位的收据（发票）有关的控制时，注册会计师可能将随机数与总体中收据的编号对应。但是，某一随机数对应的收据可能是无效的（比如空白收据）。如果注册会计师能够合理确信该收据的无效是正常的且不构成对设定控制的偏差，就要用另外的收据替代。
而且，如果使用了随机选样，注册会计师要用一个替代的随机数与新的收据样本对应。
2. 未使用或不适用的单据。注册会计师对未使用或不适用单据的考虑与无效单据类似。例如，一组可能使用的收据号码中可能包含未使用的号码或有意遗漏的号码。如果注册会计师选择了一个未使用号码，就应合理确信该收据号码实际上代表一张未使用收据且不构成控制偏差。然后注册会计师用一个额外的收据号码替换该未使用的收据号码。
有时选取的项目不适用于事先定义的偏差例如，如果偏差被定义为没有验收报告支持的交易，选取的样本中包含的电话费可能没有相应的验收报告。如果合理确信该交易不适用且不构成控制偏差，注册会计师要用另一笔交易替代该项目，以测试相关的控制。
3. 对总体的估计出现错误。如果注册会计师使用随机数选样方法选取样本项目，在控制运行之前可能需要预估总体规模和编号范围。当注册会计师将总体定义为整个被审计期间的交易但计划在期中实施部分抽样程序时，这种情况最常发生。如果注册会计师高估了总体规模和编号范围，选取的样本中超出实际编号的所有数字都被视为未使用单据。在这种情况下，注册会计师要用额外的随机数代替这些数字，以确定对应的适当单据。
4. 在结束之前停止测试。有时注册会计师可能在对样本的第一部分进行测试时发现大量偏差。其结果是，注册会计师可能认为，即使在剩余样本中没有发现更多的偏差，样本的结果也不支持计划的重大错报风险评估水平。在这种情况下，注册会计师要重估重大错报风险并考虑是否有必要继续进行测试。
5. 无法对选取的项目实施检查。注册会计师应当针对选取的每个项目，实施适合于具体审计目标的审计程序。有时，被测试的控制只在部分样本单据上留下了运行证据。如果找不到该单据，或由于其他原因注册会计师无法对选取的项目实施检查，注册会计师可能无法
使用替代程序测试控制是否适当运行。如果注册会计师无法对选取的项目实施计划的审计程序或适当的替代程序，就要考虑在评价样本时将该样本项目视为控制偏差。另外，注册会计师要考虑造成该限制的原因，以及该限制可能对其了解内部控制和评估重大错报风险产生的影响。
三、评价样本结果阶段
在完成对样本的测试并汇总控制偏差之后，注册会计师应当评价样本结果，对总体得出结论，即样本结果是否支持计划评估的控制有效性，从而支持计划的重大错报风险评估水平。在此过程中，无论使用统计抽样还是非统计抽样方法，注册会计师都需要运用职业判断。
（一）计算偏差率
将样本中发现的偏差数量除以样本规模，就可以计算出样本偏差率。样本偏差率就是注册会计师对总体偏差率的最佳估计，因而在控制测试中无须另外推断总体偏差率，但注册会计师还必须考虑抽样风险。
实务中，多数样本可能不会出现控制偏差。因为注册会计师实施控制测试，通常意味着准备信赖内部控制，预期控制有效运行。如果在样本中发现偏差，注册会计师需要根据偏差率和偏差发生的原因，考虑控制偏差对审计工作的影响。
（二）考虑抽样风险
如本章第一节所述，抽样风险是指注册会计师根据样本得出的结论，可能不同于如果对整个总体实施与样本相同的审计程序得出的结论的风险。在控制测试中评价样本结果时，注册会计师应当考虑抽样风险。也就是说，如果总体偏差率（即样本偏差率）低于可容忍偏差率，注册会计师还要考虑实际的总体偏差率仍有可能大于可容忍偏差率的风险。
1. 使用统计抽样方法。注册会计师在统计抽样中通常使用公式、表格或计算机程序直接计算在确定的信赖过度风险水平下可能发生的偏差率上限。
（1）使用统计公式评价样本结果。
表4-5列示了在控制测试中常用的风险系数。
表4-5 控制测试中常用的风险系数
（2）使用样本结果评价表。注册会计师也可以使用样本结果评价表评价统计抽样的结果。表4-6列示了可接受的信赖过度风险为10%时的总体偏差率上限。
表4-6 控制测试中统计抽样结果评价—信赖过度风险10%时的偏差率上限
计算出估计的总体偏差率上限后，注册会计师通常可以对总体进行如下判断：
如果总体偏差率上限低于可容忍偏差率，则总体可以接受。这时注册会计师对总体得出结论，样本结果支持计划评估的控制有效性，从而支持计划的重大错报风险评估水平。
如果总体偏差率上限大于或等于可容忍偏差率，则总体不能接受。这时注册会计师对总体得出结论，样本结果不支持计划评估的控制有效性，从而不支持计划的重大错报风险评估水平。此时注册会计师应当修正重大错报风险评估水平，并增加实质性程序的数量。注册会计师也可以对影响重大错报风险评估水平的其他控制进行测试，以支持计划的重大错报风险评估水平。
如果总体偏差率上限低于但接近可容忍偏差率，注册会计师应当结合其他审计程序的结果，考虑是否接受总体，并考虑是否需要扩大测试范围，以进一步证实计划评估的控制有效性和重大错报风险水平。
2. 使用非统计抽样方法。在非统计抽样中，抽样风险无法直接计量。注册会计师通常将估计的总体偏差率（即样本偏差率）与可容忍偏差率相比较，运用职业判断确定总体是否可以接受。
如果总体偏差率大于可容忍偏差率，则总体不能接受。
如果总体偏差率大大低于可容忍偏差率，注册会计师通常认为总体可以接受。
如果总体偏差率虽然低于可容忍偏差率，但两者很接近，注册会计师通常认为实际的总体偏差率高于可容忍偏差率的抽样风险很高，因而总体不可接受。
如果总体偏差率与可容忍偏差率之间的差额不是很大也不是很小，以至于不能认定总体是否可以接受时，注册会计师则要考虑扩大样本规模或实施其他测试，以进一步收集证据。
（三）考虑偏差的性质和原因
除了关注偏差率和抽样风险之外，注册会计师还应当调查识别出的所有偏差的性质和原因，并评价其对审计程序的目的和审计的其他方面可能产生的影响。无论是统计抽样还是非统计抽样，对样本结果的定性评估和定量评估一样重要。即使样本的评价结果在可接受的范围内，注册会计师也应对样本中的所有控制偏差进行定性分析。
注册会计师对偏差的性质和原因的分析包括：是有意的还是无意的？是误解了规定还是粗心大意？是经常发生还是偶然发生是系统的还是随机的？如果注册会计师发现许多偏差具有相同的特征，如交易类型、地点生产线或时期等，则应考虑该特征是不是引起偏差的原因，是否存在其他尚未发现的具有相同特征的偏差。此时，注册会计师应将具有该共同特征的全部项目划分为一层，并对层中的所有项目实施审计程序，以发现潜在的系统偏差。
如果对偏差的分析表明是故意违背了既定的内部控制政策或程序，注册会计师应考虑存在重大舞弊的可能性。与错误相比，舞弊通常要求对其可能产生的影响进行更为广泛的考虑。在这种情况下，注册会计师应当确定实施的控制测试能否提供适当的审计证据，是否需要增加控制测试，或是否需要使用实质性程序应对潜在的重大错报风险。
一般情况下，如果在样本中发现了控制偏差，注册会计师有两种处理办法：
一是扩大样本规模，以进一步收集证据。
二是认为控制没有有效运行，样本结果不支持计划的控制运行有效性和重大错报风险的评估水平，因而提高重大错报风险评估水平，增加对相关账户的实质性程序。例如，初始样本量为45个，如果发现了1个偏差，可以扩大样本量，再测试45个样本项目，如果在追加测试的样本项目中没有再发现偏差，可以得出结论，样本结果支持计划评估的控制有效性，从而支持计划的重大错报风险评估水平。
不过将追加测试的样本量确定为至少与初始样本量相同，这种做法只是简单的“经验法则”。使用统计抽样方法时，注册会计师可以对需要追加的样本量进行更为精确的计算。
如果在预期不存在偏差的初始样本中发现两个或更多偏差，追加测试的样本量通常会大大超过初始样本量。此时，注册会计师也可能认为采取第二种处理方法更有效，即不采取大量追加测试样本量，而是选择不再信赖内部控制。但是，如果确定控制偏差是系统偏差或舞弊导致，扩大样本规模通常无效，注册会计师需要直接采用第二种处理办法。
分析偏差的性质和原因时，注册会计师还要考虑已识别的偏差对财务报表的直接影响。控制偏差虽然增加了金额错报的风险，但并不一定导致财务报表中的金额错报。如果某项控制偏差更容易导致金额错报，该项控制偏差就更加重要。例如，与被审计单位没有定期对信用限额进行检查相比，如果被审计单位的销售发票出现错误，则注册会计师对后者的容忍度较低。这是因为，被审计单位即使没有对客户的信用限额进行定期检查，其销售收入和应收账款的账面金额也不一定发生错报。但如果销售发票出现错误，通常会导致被审计单位确认的销售收入和其他相关账户金额出现错报。
（四）得出总体结论
在计算偏差率，考虑抽样风险，分析偏差的性质和原因之后，注册会计师需要运用职业判断得出总体结论。如果样本结果及其他相关审计证据支持计划评估的控制有效性从而支持计划的重大错报风险评估水平，注册会计师可能不需要修改计划的实质性程序。
如果样本结果不支持计划的控制运行有效性和重大错报风险的评估水平，注册会计师通常有两种选择：
（1）进一步测试其他控制（补偿性控制），以支持计划的控制运行有效性和重大错报风险的评估水平；
（2）提高重大错报风险评估水平，并相应修改计划的实质性程序的性质、时间安排和范围。
（五）统计抽样示例
假设注册会计师准备使用统计抽样方法，测试现金支付授权控制运行的有效性。注册会计师作出下列判断：
（1）为发现未得到授权的现金支付，注册会计师将所有已支付现金的项目作为总体；
（2）定义的抽样单元为现金支付单据上的每一行；
（3）偏差被定义为没有授权人签字的发票和验收报告等证明文件的现金支付；
（4）可接受信赖过度风险为10%；
（5）可容忍偏差率为7%；
（6）根据上年测试结果和对控制的初步了解，预计总体的偏差率为1.75%；
（7）由于现金支付业务数量很大，总体规模对样本规模的影响可以忽略。
在表4-4中，信赖过度风险为10%时，7%可容忍偏差率与1.75%预计总体偏差率的交叉处为55，即所需的样本规模为55。注册会计师使用简单随机选样法选择了55个样本项目，并对其实施了既定的审计程序。
（1）假设在这55个项目中未发现偏差，注册会计师利用统计公式，在表4-5中查得风险系数为2.3，并据此计算出总体最大偏差率为4.18%（也可以选择表4-6，估计出总体的偏差率上限为4.1%，与利用公式计算的结果接近）。这意味着，如果样本量为55且无一例偏差，总体实际偏差率超过4.18%的风险为10%，即有90%的把握保证总体实际偏差率不超过4.18%。由于注册会计师确定的可容忍偏差率为7%，因此可以得出结论，总体的实际偏差率超过可容忍偏差率的风险很小，总体可以接受。也就是说，样本结果证实注册会计师对控制运行有效性的估计和评估的重大错报风险水平是适当的。
（2）假设在这55个样本中发现两个偏差，注册会计师利用统计公式，计算出总体最大偏差率为9.64%（也可以选择样本结果评价表，估计出总体的偏差率上限为9.4%，与利用公式计算的结果接近）。这意味着，如果样本量为55且有两个偏差，总体实际偏差率超过9.64%的风险为10%。在可容忍偏差率为7%的情况下，注册会计师可以得出结论，总体的实际偏差率超过可容忍偏差率的风险很大，因而不能接受总体。
四、记录抽样程序
注册会计师应当记录所实施的审计程序，以形成审计工作底稿。在控制测试中使用审计抽样时，注册会计师通常记录下列内容：
（1）对所测试的设定控制的描述；
（2）与抽样相关的控制目标，包括相关认定；
（3）对总体和抽样单元的定义，包括注册会计师如何考虑总体的完整性；
（4）对偏差的构成条件的定义；
（5）可接受的信赖过度风险，可容忍偏差率，以及在抽样中使用的预计总体偏差率；
（6）确定样本规模的方法；
（7）选样方法；
（8）选取的样本项目；
（9）对如何实施抽样程序的描述；
（10）对样本的评价及总体结论摘要。
对样本的评价和总体结论摘要通常包含样本中发现的偏差数量、推断的偏差率、对注册会计师如何考虑抽样风险的解释，以及关于样本结果是否支持计划的重大错报风险评估水平的结论。工作底稿中还可能记录偏差的性质、注册会计师对偏差的定性分析以及样本评价结果对其他审计程序的影响。