欢迎来到“利用他人的工作成果”章节！

在高级审计与鉴证（AAA）的世界里，审计师不可能在每一个学科领域都是专家，审计团队也无需从头重新执行每项常规流程。客户可能设有成熟的内部审计部门、拥有需要进行外部估值的复杂专门资产，或者设有外包薪酬职能。

在课程大纲第 D(4) 部分下，我们探讨三个截然不同的外部工作来源：内部审计师（ISA 610（经修订））、审计师专家（ISA 620），以及外包职能／服务机构（ISA 402）。让我们一步一步拆解每个范畴！

1. 利用内部审计师的工作（ISA 610（经修订））

实体的内部审计（IA）部门是其内部控制系统的一部分。ISA 610（经修订）提供了一个框架，用于确定外部审计师是否可以、在何种程度上以及在哪些范畴利用内部审计师的工作。

A. 评估内部审计职能（三大支柱）

在利用内部审计工作或获取直接协助之前，外部审计师必须评估：

1. 客观性： 内部审计的组织地位是否支持其公正性？当内部审计直接向治理层（例如审计委员会）而非管理层（例如财务总监）汇报，且内部审计师不存在营运上的利益冲突时，其客观性最强。
2. 胜任能力： 内部审计师是否具备适当的专业资格、技术培训和经验？
3. 系统性和规范化的方法： 该职能是否应用经记录的审计计划、标准化工作程序、监督、复核和质量控制流程？

B. 利用内部审计的两种方式

1. 利用已执行过的工作： 外部审计师依赖内部审计已经执行的报告和程序（例如内部控制测试或实体存货盘点）。外部审计师必须复核内部审计的工作底稿，并重新执行抽样程序以确认其充分性。
2. 直接协助： 内部审计师在外部审计师的直接指导、监督和复核下执行特定程序。注意：在某些国家/地区直接协助是被禁止的，并且必须就保密性和工作指示取得来自实体及内部审计师双方的书面协议。

C. 禁止情况与危险信号

在以下情况，外部审计师不得利用内部审计职能：

• 该职能缺乏足够的客观性、胜任能力或系统性和规范化的方法。
• 计划执行的工作涉及重大专业判断（例如持续经营评估、复杂会计估计的估值）。
• 评估的重大错报风险较高。
• 就直接协助而言：内部审计师曾参与被审计的营运工作，或存在个人利益冲突。

全部责任原则：
外部审计师对所发表的审计意见承担全部责任。该责任绝不会因利用内部审计师的工作而减轻。

2. 利用审计师专家的工作（ISA 620）

当需要会计或审计以外领域的专业知识以获取充分、适当的审计证据时，审计师会考虑聘请审计师专家（例如物业估价师、精算师、法律专家或环境工程师）。

注意：由客户管理层聘请的专家属于管理层专家（根据 ISA 500 / ISA 540（经修订）进行评估），而非 ISA 620 下的审计师专家。

A. 评估专家（C-C-O 框架）

外部审计师必须评估：

1. 胜任能力（Competence）： 专业资格认证、相关专业机构的会员资格以及行业声誉。
2. 能力（Capability）： 执行该工作所需的时间、技术资源和人员是否具备。
3. 客观性（Objectivity）： 是否摆脱了与客户实体的财务利益、个人关系或业务关联。

B. 与专家达成协议

审计师必须以书面形式就聘用条款达成协议，内容涵盖：

• 专家工作的性质、范围和目标。
• 审计师与专家各自的角色和责任。
• 沟通与报告的性质、时间安排和范围。
• 保密要求。

C. 评估专家工作的适当性

审计师不能盲目接受专家的报告。审计师必须评估：

• 所使用的假设和方法的合理性，包括其与以往期间和会计准则的一致性。
• 提供给专家的原始数据的相关性、完整性和准确性。
• 专家的发现与所获取的其他审计证据的一致性。

3. 外包职能与服务机构（ISA 402）

许多实体将薪酬处理、云端托管 IT 系统、资产管理或应收账款催收等职能外包给第三方服务机构。由于外包职能构成实体信息系统和内部控制的一部分，审计师必须根据 ISA 402 了解其影响。

A. 了解外包服务

审计师评估外包服务对客户财务报告的性质和重要性，包括：

• 服务机构处理的交易的重大性。
• 客户内部控制与服务机构控制之间的互动程度。
• 客户是否对外包数据维持有效的用户控制（例如授权薪酬变更、将薪酬报告与总账余额进行核对）。

B. 服务机构审计师报告：第 1 类 vs. 第 2 类

当单凭客户控制无法提供充分证据时，审计师通常会复核由服务机构审计师根据 ISAE 3402 出具的第三方鉴证报告：

- 第 1 类报告（控制描述和设计报告）： 描述服务机构的系统，并确认控制在特定日期的设计是否适当时实现指定的控制目标。它不测试营运有效性，因此不能支持低控制风险的评估。
- 第 2 类报告（控制描述、设计和营运有效性报告）： 除了设计之外，它还包含控制在指定期间内的营运有效性测试。外部审计师可以将此报告用作内部控制有效运行的审计证据。

C. 无法取得报告时的程序

如果既没有足够的客户层面控制，也没有第 2 类报告可用，审计师必须：

• 透过客户联络服务机构，要求提供具体信息或访问权限。
• 要求服务机构审计师执行程序或控制测试。
• 直接访问服务机构以执行控制测试和实质性程序。
• 如果无法获取充分证据，评估是否存在审计范围受限的情况，并考虑根据 ISA 705（经修订）修订审计师报告。

4. 比较：三类“他人”

内部审计师（ISA 610（经修订））： 测试内部控制和营运的内部员工或外包团队；根据客观性、胜任能力和系统性方法进行评估。
审计师专家（ISA 620）： 非会计／审计领域的独立专家；根据胜任能力、能力和客观性（C-C-O）进行评估。
服务机构（ISA 402）： 执行营运或财务流程（例如薪酬）的外部供应商；透过用户控制以及第 1 类／第 2 类服务机构审计师报告进行评估。

5. 记忆技巧与考试助忆码

要记住评估内部审计师时需检查的重点，请记住 "O-C-S"：

• Objectivity（客观性——是否向审计委员会汇报？）
• Competence（胜任能力——专业资格与经验？）
• Systematic Approach（系统性方法——记录在案的计划和质量流程？）

要记住审计师专家的评估准则，请记住 "C-C-O"：

• Competence（胜任能力——专业资质认证）
• Capability（能力——资源与承担能力）
• Objectivity（客观性——独立于客户）

要区分 ISA 402 下的服务机构报告：

• 第 1 类： 仅限特定时点的设计描述（未测试营运有效性）。
• 第 2 类： 设计加上在一段期间内测试的营运有效性。

6. 学生应避免的常见错误

1. 共同责任谬误： 认为在无保留意见的审计师报告中提及专家或内部审计师可以免除审计师的责任。纠正：外部审计师承担全部责任，除非法律法规另有要求，否则不得在无保留意见的报告中提及专家。
2. 混淆管理层专家与审计师专家： 将客户聘请的专家（例如为管理层财务报表计算退休金负债的精算师）视为 ISA 620 下的审计师专家。纠正：那是管理层专家，受 ISA 500 / ISA 540（经修订）规范。
3. 依赖第 1 类报告评估营运有效性： 认为第 1 类报告允许审计师减少实质性测试。纠正：只有第 2 类报告才会测试一段时间内的营运有效性。
4. 在涉及高度判断的范畴利用内部审计： 允许内部审计师审计高风险的会计估计。纠正：重大判断不能授权给内部审计执行。

总结要点

- ISA 610（经修订）： 只有当内部审计具备客观性、胜任能力和系统性时，方可利用其工作或获取直接协助，且绝不能用于高风险或主观领域。
- ISA 620： 审计师专家提供非会计领域的专业知识；审计师必须评估 C-C-O，并批判性地评估数据、方法和假设。
- ISA 402： 外包职能（例如薪酬）需要了解用户控制，并利用第 1 类／第 2 类服务机构审计师报告。
- 责任： 无论工作由谁执行，外部审计师都对审计意见承担 100% 的责任。