شواهد حسابرسی درباره اجزای محیط کنترلی ممکن است به صورت مستند در دسترس نباشد، به ویژه در واحدهای تجاری کوچکتر که اطلاع‌رسانی بین مدیریت و سایر کارکنان می‌تواند علیرغم غیر رسمی بودن، مؤثر باشد. برای مثال، تعهد مدیریت به حفظ صلاحیت و ارزشهای اخلاقی اغلب به جای آیین رفتار حرفه‌ای مدون ، به‌وسیله رفتار و نگرش ابرازی آنان در اداره امور تجاری واحد مورد رسیدگی پدیدار می‌شود. درنتیجه، نگرش، آگاهی و اقدامات مدیریت، در طراحی محیط کنترلی واحدهای کوچکتر، از اهمیت خاصی برخوردار است. افزون‌بر این، در مواردی که صاحب سرمایه دیگری وجود نداشته باشد، نقش مدیریت اغلب بعهده صاحب سرمایه- مدیر است.

مسئولیتهای کلی مدیریت در اساسنامه و آیین‌نامه‌ها یا به‌موجب سایر مقررات، مشخص می‌شود. یکی از نقشهای هیئت مدیره، متعادل کردن فشارهای وارده بر مدیران اجرایی درارتباط با گزارشگری مالی است. برای مثال، مبنای حقوق و مزایای مدیران اجرایی می‌تواند به دلیل وجود تضاد بین الزامات گزارشگری مطلوب و منافع محسوس حاصل از نتایج عملکرد بهتر، مدیران اجرایی را تحت فشار قرار دهد. حسابرس در کسب شناخت از محیط کنترلی، موضوعاتی چون استقلال هیئت‌ مدیره و توانایی آنان در ارزیابی اقدامات مدیران اجرایی را، مورد توجه قرار می‌دهد. حسابرس همچنین وجود یک کمیته حسابرسی که معاملات تجاری واحد مورد رسیدگی را درک کند و مطلوبیت ارائه صورتهای مالی را از تمام جنبه‌های با اهمیت، طبق استانداردهای حسابداری ارزیابی کند، مورد توجه قرار می‌دهد.
ماهیت محیط کنترلی واحد مورد رسیدگی به‌گونه‌ای است که اثری فراگیر بر ارزیابی خطرهای تحریف با اهمیت دارد. برای مثال، کنترلهای صاحب سرمایه- مدیر ممکن است نارسایی تفکیک وظایف را در یک شرکت کوچک جبران کند یا وجود هیئت مدیره‌ای فعال و مستقل ممکن است نگرش و شیوه عملیاتی مدیریت اجرایی را در واحدهای بزرگتر، تحت تأثیر قرار دهد. ارزیابی حسابرس از طراحی محیط کنترلی واحد مورد رسیدگی شامل توجه به این مراتب است که آیا نقاط قوت اجزای محیط کنترلی درمجموع، زیربنای مناسبی را برای سایر اجزای کنترلهای داخلی تأمین می‌کند یا خیر و آیا نقاط ضعف کنترلهای داخلی، آنها را بی‌اثر نمی‌کند. برای مثال، سیاستها و روش های استخدام منابع انسانی مبنی‌بر استخدام کارکنان کارآمد امور مالی و فناوری اطلاعات، ممکن است گرایش شدید مدیریت را برای بیش‌نمایی سود، کاهش ندهد. تغییرات ایجاد شده در محیط کنترلی می‌تواند بر مربوط بودن اطلاعات کسب شده در حسابرسیهای قبلی اثر گذارد. برای مثال، تصمیم مدیریت درباره تخصیص منابع اضافی برای آموزش فعالیتهای گزارشگری مالی و هشیاری نسبت به آن ممکن است خطر رخ دادن اشتباهات را در پردازش اطلاعات مالی کاهش دهد. از سوی دیگر، قصور مدیریت در تخصیص منابع کافی برای توجه به خطرهای ایمنی ویژه فناوری اطلاعات، ممکن است از طریق امکان انجام تغییرات نادرست در برنامه‌ها یا اطلاعات رایانه‌ای یا از طریق امکان پردازش معاملات غیرمجاز، اثری منفی بر کنترلهای داخلی بگذارد.
در مواردی که حسابرس خطرهای تحریف با اهمیت را برآورد می‌کند، وجود یک محیط کنترلی مناسب می‌تواند عاملی مثبت باشد و همان‌طورکه میدانید، ماهیت، زمانبندی اجرا و میزان روش های حسابرسی را تحت تأثیر قرار ‌دهد. بخصوص، اگرچه محیط کنترلی مناسب، به طور مطلق از تقلب پیشگیری نمی‌کند، اما ممکن است به کاهش خطر تقلب کمک کند. برعکس، ضعفهای موجود در محیط کنترلی ممکن است اثر بخشی کنترلها را از بین ببرد و از این‌رو، در برآورد حسابرس از خطرهای تحریف با اهمیت، بخصوص در ارتباط با تقلب، عواملی منفی محسوب شود.
محیط کنترلی به تنهایی از یک تحریف با اهمیت در گروه معاملات، مانده حسابها و موارد افشا و ادعاهای مربوط، پیشگیری یا آن را کشف و اصلاح نمی‌کند. از این‌رو، حسابرس، هنگام برآورد خطرهای تحریف با اهمیت، معمولاً اثر سایر اجزای کنترلهای داخلی، مانند نظارت بر کنترلها و اجرای فعالیتهای کنترلی خاص را همراه با محیط کنترلی مورد توجه قرار می‌دهد.
۲-۱۴- فرایند ارزبایی خطر توسط واحد مورد رسیدگی
حسابرس باید شناخت مناسبی از فرایند مورد استفاده واحد مورد رسیدگی برای شناسایی خطرهای تجاری مربوط به اهداف گزارشگری مالی و تعیین اقدامات لازم برای مدیریت آن خطرها و نتایج آنها کسب کند. این فرایند به عنوان ” فرایند ارزیابی خطر توسط واحد مورد رسیدگی“ تعریف شده است و مبنای تصمیم‌گیری مدیریت برای شناسایی خطرهایی است که باید مدیریت شود.
حسابرس در ارزیابی طراحی و اجرای فرایند ارزیابی خطر توسط واحد مورد رسیدگی، نحوه عمل مدیریت درباره شناسایی خطرهای تجاری مربوط به گزارشگری مالی، برآورد اهمیت خطرها، ارزیابی احتمال وقوع آن و تصمیم‌گیری درباره مدیریت آن را مشخص می‌کند. چنانچه فرایند ارزیابی خطر توسط واحد مورد رسیدگی برای شرایط موجود مناسب باشد، حسابرس را در شناسایی خطرهای تحریف با اهمیت کمک می‌کند.
حسابرس درباره خطرهای تجاری شناسایی شده توسط مدیریت پرس و جو و احتمال منجر شدن آن به تحریف با اهمیت را ارزیابی می‌کند. حسابرس در جریان حسابرسی ممکن است به خطرهای تحریف با اهمیتی برخورد کند که مدیریت نتوانسته است آنها را شناسایی کند. در چنین مواردی، حسابرس بررسی می‌کند که آیا نوعی خطر تجاری وجود داشته است که باید توسط فرایند ارزیابی خطر توسط واحد مورد رسیدگی شناسایی می‌شد یا خیر و درصورت مثبت بودن پاسخ، حسابرس علت شناسایی نشدن آن توسط فرایند و مناسب بودن آن فرایند برای شرایط موجود را، بررسی می‌کند.
در یک واحد کوچک، ، حسابرس در مورد نحوه شناسایی خطرهای تجاری توسط مدیریت و نحوه برخورد با آنها، با مدیریت مذاکره می‌کند.
۲-۱۵- سیستم اطلاعاتی(شامل فرایندهای تجاری مربوط ، مرتبط با گزارشگری مالی و اطلاع‌رسانی)
سیستم اطلاعاتی مربوط به اهداف گزارشگری مالی، که شامل سیستم حسابداری است، از روشها و مستندات پیش‌بینی شده برای شروع، ثبت، پردازش و گزارش معاملات و سایر رویدادهای واحد مورد رسیدگی و پاسخگویی درباره داراییها، بدهیها و حقوق صاحبان سهام، تشکیل می‌شود.
حسابرس باید از سیستم اطلاعاتی، شامل فرایند‌های تجاری مربوط، مرتبط با گزارشگری مالی، در زمینه‌هایی چون موارد زیر، شناخت حاصل کند :
۱- گروه های معاملات در عملیات واحد مورد رسیدگی که نسبت به صورتهای مالی با اهمیت است.
۲- روش های موجود در هریک از سیستمهای رایانه‌ای و دستی که به‌وسیله آنها معاملات یاد شده در بالا شروع، ثبت، پردازش و در صورتهای مالی گزارش می‌شود.
۳- سوابق حسابداری مربوط، اعم از رایانه‌ای یا دستی، اطلاعات پشتوانه و حسابهای خاص در صورتهای مالی از لحاظ شروع، ثبت، پردازش و گزارشگری معاملات.
۴- چگونه سیستم اطلاعاتی، رویدادهایی غیر از گروه های معاملات را که نسبت به صورتهای مالی با اهمیت است، شناسایی می‌کند.
۵- فرایند گزارشگری مالی مورد استفاده برای تهیه صورتهای مالی واحد مورد رسیدگی، شامل برآوردها ی حسابداری و موارد افشای با اهمیت.
حسـابرس ‌بـرای کسـب این‌شنـاخت، روشـهای مـورد استـفاده بـرای انتقال اطلاعات از سیستمهای پردازش معاملات به دفتـر کل یا سیستمهای گزارشگری مالی را ارزیابی می‌کند. حسابرس همچنین روش های واحد مورد رسیدگی برای کسب اطلاعات مربوط به گزارشگری مالی درباره رویدادهایی غیر از معاملات، مانند استهلاک داراییها و تغییرات در حسابهای دریافتنی لاوصول را شناسایی می‌کند.
سیستم اطلاعاتی یک واحد تجاری معمولاً شامل استفاده از ثبتهای حسابداری استاندارد می‌باشد که بر مبنایی مستمر برای ثبت معاملاتی مانند خرید، فروش و پرداخت وجوه نقد در دفتـر کل الـزامی است، یا بـرای ثبت برآوردهای حسابداری است که بطور دوره‌ای توسط مدیریت انجام می‌شود، مانند تغییرات در برآورد حسابهای دریافتنی لاوصول.
فرایند گزارشگری مالی یک واحد تجاری شامل استفاده از ثبتهای حسابداری غیراستاندارد‌‌ بـرای ثبت معاملات‌ غیرعادی و غیرمستمر یا تعدیلات‌ نیز می‌باشد. نمونه‌هایی از چنین ثبتهایی شامل تعدیلات تلفیقی و ثبتهای مربوط به ترکیب تجاری یا واگذاری یا برآوردهای غیرمستمر مانند کاهش ارزش دارایی است. در سیستمهای ثبت دستی دفتر کل، ثبتهای حسابداری غیراستاندارد ممکن است از طریق وارسی دفاتر کل و روزنامه و مستندات پشتوانه، شناسایی شود. اما، درمواردی که برای نگهداری دفترکل و تهیه صورتهای مالی از روش های خودکار استفاده می‌شود، چنین ثبتهایی تنها می‌تواند به شکل الکترونیکی وجود داشته باشد و ممکن است با بهره گرفتن از تکنیکهای حسابرسی به کمک رایانه به آسانی شناسایی شود.
فرایند تهیه صورتهای مالی شامل روش های طراحی شده به منظور حصول اطمینان از جمع‌ آوری، ثبت، پردازش، تلخیص و گزارش مناسب اطلاعات لازم برای افشا طبق استانداردهای حسابداری در صورتهای مالی است.
حسابـرس برای کسـب شنـاخت، خطـرهای تحریف با اهمیت مرتبط با نادیده‌ گرفتن کنترلهای حاکم‌بر ثبتهای حسابداری استاندارد و کنترلهای مربوط به ثبتهای حسابداری غیراستاندارد را ارزیابی می‌کند. برای مثال، پردازشها و کنترلهای خودکار ممکن است خطر اشتباه را کاهش دهد، اما بر خطر نقض چنین پردازشهای خودکار توسط افراد (برای مثال، از طریق تغییر مبالغی که به طور خودکار وارد دفتر کل یا سیستم گزارشگری مالی می‌شود) ممکن است تأثیر نداشته باشد. افزون بر این، هنگامی که از فناوری اطلاعات برای انتقال خودکار اطلاعات استفاده می‌شود، ممکن است شواهد اندک یا نامشهودی از این مداخله در سیستمهای اطلاعاتی وجود داشته باشد.
حسابرس همچنین از نحوه اصلاح پردازش نادرست معاملات (برای مثال، وجود پرونده اقلام معلق خودکار و نحوه عمل واحد مورد رسیدگی برای اطمینان یافتن از حل و فصل به موقع اقلام معلق) و همچنین چگونگی اصلاح موارد نقض سیستم یا کنترلها، شناخت کسب می‌کند.
حسابرس از سیستم اطلاعاتی مرتبط با گزارشگری مالی واحد مورد رسیدگی متناسب با شرایط آن شناخت حاصل می‌کند. این امر شامل کسب شناخت از نحوه شروع معاملات در فرایندهای تجاری واحد مورد رسیدگی است. فرایندهای تجاری یک واحد مورد رسیدگی، فعالیتهای طراحی شده برای توسعه، خرید، تولید، فروش و توزیع محصولات و خدمات آن، حصول اطمینان از رعایت قوانین و مقررات و ثبت اطلاعات، شامل اطلاعات حسابداری و گزارشگری مالی است.
حسابرس باید از نحوه اطلاع‌رسانی درباره وظایف و مسئولیتهای گزارشگری مالی و موضوعات با اهمیت مرتبط با گزارشگری مالی توسط واحد مورد رسیدگی شناخت کسب کند. اطلاع‌رسانی شامل فراهم نمودن شناختی از وظایف و مسئولیتهای افراد درارتباط با کنترلهای داخلی حاکم بر گزارشگری مالی است و ممکن است به شکل دستورالعمل باشد. این امر شامل میزان شناخت کارکنان از ارتباط فعالیتهای خود در سیستم اطلاعاتی گزارشگری مالی با کار دیگران و شیوه‌های گزارشگری موارد استثنا به رده بالاتر مناسب در داخل واحد مورد رسیدگی است. کانالهای باز اطلاع‌رسانی می‌تواند این اطمینان را فراهم کند که موارد استثنا گزارش و پیگیری شده است. شناخت حسابرس از اطلاع ‌رسانی مربوط به گزارشگری مالی شامل اطلاع‌ رسانیهـای بین مدیران اجرایی و هیئت مدیره، بخصوص کمیته حسابرسی و همچنین اطلاع ‌رسانیهای برون سازمانی، مانند اطلاع ‌رسانی به مقامات قانونی، می‌شود.
۲-۱۶- فعالیتهای کنترلی
حسابرس باید برای ارزیابی خطرهای تحریف با اهمیت در سطح ادعاها و همچنین طراحی روش های حسابرسی لازم در برخورد با خطرهای برآوردی، شناخت کافی از فعالیتهای کنترلی کسب کند. فعالیتهای کنترلی، خط‌مشی‌ها و روشهایی است که از اجرای دستورهای مدیریت، اطمینان می‌دهد، برای مثال، می‌توان به اقدامات انجام شده برای مقابله با خطرهایی که رسیدن به اهداف واحد مورد رسیدگی را تهدید می‌کند، اشاره کرد. فعالیتهای کنترلی، اعم از پیش‌بینی شده در سیستمهای دستی یا رایانه‌ای، اهداف متعددی دارد و در بخشها و سطوح سازمانی مختلف اجرا می‌شود. نمونه‌هایی از فعالیتهای کنترلی، شامل موارد مرتبط با موضوعات زیر است:
تصویب
بررسیهای عملکرد
پردازش اطلاعات
کنترلهای فیزیکی
تفکیک وظایف
توجه اصلی حسابرس در کسب شناخت از فعالیتهای کنترلی به نحوه پیشگیری یا کشف و اصلاح تحریفهای با اهمیت در گروه های معاملات، مانده حسابها یا موارد افشای اطلاعات توسط یک فعالیت کنترلی خاص، به تنهایی یا همراه با سایر فعالیتهای کنترلی، است. فعالیتهای کنترلی مرتبط با حسابرسی، مواردی است که حسابرس آنها را برای کسب شناخت به منظور برآورد خطر تحریف با اهمیت در سطح ادعاها و طراحی و اجرای روش های حسابرسی لازم در برخورد با خطرهای برآوردی، ضروری تشخیص می‌دهد. در حسابرسی، شناخت همه فعالیتهای کنترلی مرتبط با موارد عمده از هرگروه معاملات، مانده حسابها و موارد افشا در صورتهای مالی یا هر ادعای مربوط به آنها ضرورت ندارد. تأکید حسابرس بر شناسایی و کسب شناخت از فعالیتهای کنترلی مربوط به زمینه‌هایی است که به تشخیص حسابرس، احتمال وقوع تحریف با اهمیت در آنها بیشتر است. هنگامی که فعالیتهای کنترلی متعدد به هدف یکسانی می‌رسد، کسب شناخت از هریک از فعالیتهای کنترلی مرتبط با چنین هدفی الزامی نیست.
حسـابرس اطلاعـات کسب شده از شنـاخت سـایر اجـزای کنتـرلهای داخلـی درباره وجود یا نبود فعالیتهای کنترلی را برای تعیین ضرورت کسب شناخت بیشتر از فعالیتهای کنترلی مورد توجه قرار می‌دهد. حسابرس در بررسی نحوه ارتباط فعالیتهای کنترلی با حسابرسی، خطرهای شناسایی شده‌ای را که ممکن است به تحریف با اهمیت بینجامد، مورد توجه قرار می‌دهد.
حسابرس باید از نحوه برخورد واحد مورد رسیدگی با خطرهای ناشی از فناوری اطلاعات، شناخت کسب کند. استفاده از فناوری اطلاعات، نحوه اجرای فعالیتهای کنترلی را تحت تأثیر قرار می‌دهد. حسابرس این موضوع را مورد توجه قرار می‌دهد که آیا واحد مورد رسیدگی با برقراری کنترلهای عمومی و کاربردی فناوری اطلاعات، برخورد مناسبی با خطرهای ناشی از فناوری اطلاعات داشته است. از نظر حسابرس، کنترلهای حاکم بر سیستمهای اطلاعاتی هنگامی مؤثر است که درستی و ایمنی اطلاعات مورد پردازش این سیستمها را حفظ کند.
کنترلهای عمومی فناوری اطلاعات، خط‌مشی‌ها و روشهایی است که به سیستمهای متعددی مربوط می‌شود و از طریق کمک به اطمینان یافتن از اجرای مناسب و مستمر سیستمهای اطلاعاتی، کارکرد مؤثر کنترلهای کاربردی را پشتیبانی می‌کند. کنترلهای عمومی فناوری اطلاعات که درستی و ایمنی اطلاعات را حفظ می‌کند معمولاً شامل کنترلهای مربوط به موارد زیر است:
عملیات مرکز داده‌ها و شبکه.
تحصیل، تغییر و نگهداری نرم‌افزار سیستم عامل.
ایمنی در برابر دسترسی غیر مجاز.
تحصیل، توسعه و نگهداری سیستم کاربردی.
کنترلهای کاربردی، روش های دستی یا خودکاری است که معمولاً در سطح عملیات تجاری اجرا می‌شود. کنترلهای کاربردی می‌تواند ماهیت پیشگیری‌کنندگی یا کشف‌کنندگی داشته باشد و برای حصول اطمینان از درستی سوابق حسابداری طراحی می‌شود. از این‌رو، کنترلهای کاربردی به روش های مورد استفاده در شروع، ثبت، پردازش و گزارش معاملات یا سایر اطلاعات مالی مربوط می‌شود. این کنترلها در کسب اطمینان از این که معاملات رخ داده‌اند، به تصویب رسیده‌اند و به طور کامل و درست ثبت و پردازش شده‌اند، کمک می‌کند. نمونه‌هایی از این کنترلها شامل کنترل داده‌های ورودی و کنترل شماره سریال همراه با پیگیری دستی گزارشهای موارد استثنا یا اصلاح هنگام ورود داده‌هاست.
۲-۱۷- نظارت بر کنترلها
حسابرس باید از انواع فعالیتهای عمده مورد استفاده واحد مورد رسیدگی برای نظارت بر کنترلهای داخلی حاکم بر گزارشگری مالی، شامل موارد مرتبط با فعالیتهای کنترلی مربوط به حسابرسی و نحوه شروع اقدامات اصلاحی واحد مورد رسیدگی درباره کنترلهای آن، شناخت کسب کند.
نظارت بر کنترلها، فرایندی برای ارزیابی اثربخشی اجرای کنترلهای داخلی در طول زمان است. این نظارت شامل ارزیابی طراحی و اجرای به موقع کنترلها و انجام اقدامات اصلاحی ضروری، متناسب با تغییرات در شرایط است. مدیریت، نظارت بر کنترلها را از طریق فعالیتهای مستمر، ارزیابی های جداگانه، یا ترکیبی از هر دو، اعمال می‌کند. فعالیتهای نظارتی مستمر اغلب در فعالیتهای مستمر عادی واحد مورد رسیدگی تعبیه می‌شود و شامل فعالیتهای معمول مدیریتی و سرپرستی می‌باشد.
بسیاری از اطلاعات مورد استفاده در امر نظارت ممکن است به‌وسیله سیستم اطلاعاتی واحد مورد رسیدگی تهیه شود. چنانچه مدیریت‌ فرض‌کند که اطلاعات مورد استفاده برای نظارت، درست است بدون آن که برای این فرض مبنایی داشته باشد، اشتباهاتی ممکن است در آن اطلاعات وجود داشته باشد که بالقوه موجب نتیجه‌گیری نادرست مدیریت از فعالیتهای نظارتی خود شود. حسابرس از منابع اطلاعاتی مربوط به فعالیتهای نظارتی واحد مورد رسیدگی و مبنای مدیریت در ارزیابی کفایت قابلیت اعتماد اطلاعات برای هدف مورد نظر، شناخت کسب می‌کند. هنگامی که حسابرس بخواهد از اطلاعات تهیه شده توسط واحد مورد رسیدگی برای فعالیتهای نظارتی، مانند گزارشهای حسابرسان داخلی، استفاده کند، فراهم نمودن مبنایی قابل اعتماد توسط اطلاعات و کفایت جزئیات آن برای هدف حسابرس را ارزیابی می‌کند.