Tóm tắt Chương 3: Process of Assurance: Planning and Risk Assessment — AS

Overall audit strategy đặt scope, timing, direction của cuộc kiểm toán; audit plan chi tiết hơn, nêu nature, timing, extent của từng thủ tục, kể cả thủ tục đánh giá rủi ro.
Bốn bước: kiểm tra yêu cầu đạo đức; nắm điều khoản hợp đồng; lập strategy; lập audit plan. Audit plan và thay đổi đáng kể phải lưu hồ sơ.
Strategy thường có: hiểu doanh nghiệp, hệ thống kế toán và kiểm soát, rủi ro và materiality, nguồn lực, điều phối và giám sát, các vấn đề khác như going concern.
Hiểu doanh nghiệp theo ISA (UK) 315: ngành và yếu tố bên ngoài, bản chất doanh nghiệp và chính sách kế toán, mục tiêu, chiến lược và business risk, cách đo lường kết quả, kiểm soát nội bộ.
Cách tìm hiểu: phỏng vấn, analytical procedures, quan sát và kiểm tra tài liệu, hiểu biết năm trước, thảo luận nhóm (bắt buộc).

Phân tích quan hệ hợp lý giữa dữ liệu tài chính và phi tài chính, kèm điều tra các biến động bất thường.
So với năm trước, ngân sách, kỳ vọng của kiểm toán viên, số liệu ngành; xét quan hệ như gross profit với doanh thu, lương với số nhân viên.
Ở bước lập kế hoạch, dùng làm thủ tục đánh giá rủi ro (ISA (UK) 315); ISA (UK) 520 yêu cầu dùng trong soát xét tổng thể cuối cuộc kiểm toán.
Gross margin lệch kỳ vọng thì xét doanh thu và giá vốn cùng nhau.

Trọng yếu nếu bỏ sót hoặc sai lệch có thể ảnh hưởng quyết định kinh tế của người sử dụng (xét theo nhóm).
Mức tham khảo: lợi nhuận trước thuế 5–10%, doanh thu 0.5–1%, tổng tài sản 1–2%; có thể lấy bình quân. Materiality còn có mặt định tính (giao dịch với giám đốc).
Performance materiality thấp hơn materiality tổng thể; rủi ro càng cao thì đặt càng thấp, tạo biên an toàn cho sai sót chưa phát hiện.
Materiality phải xem lại khi báo cáo nháp thay đổi hoặc đánh giá rủi ro thay đổi.
IFRS S1: materiality theo góc nhìn tài chính; CSRD: double materiality gồm financial materiality và impact materiality.

Audit risk = risk of material misstatement (inherent risk, control risk) × detection risk.
Kiểm toán viên chỉ điều chỉnh được detection risk; RoMM cao thì detection risk phải thấp, nghĩa là làm nhiều tests of details hơn.
Rủi ro cấp báo cáo tài chính có tính lan tỏa (ví dụ going concern); rủi ro cấp assertion đánh giá riêng inherent risk và control risk.
Significant risk: gần đầu cao của spectrum of inherent risk; yếu tố: complexity, subjectivity, change, uncertainty, management bias hoặc gian lận; giao dịch bất thường, bên liên quan.
Business risk không tự động là rủi ro có sai sót trọng yếu; phải chỉ ra số liệu và assertion bị ảnh hưởng.
Control risk thấp vẫn cần substantive procedures cho khoản mục trọng yếu.

Fraud có chủ ý, error không có chủ ý; hai loại fraud: fraudulent financial reporting và misappropriation of assets.
Ban giám đốc và ban quản trị chịu trách nhiệm chính về ngăn chặn và phát hiện; kiểm toán viên đạt sự đảm bảo hợp lý rằng báo cáo không sai trọng yếu.
Gian lận khó phát hiện hơn vì che giấu tinh vi, thông đồng, management override of controls.
Nhóm kiểm toán phải thảo luận báo cáo có thể bị gian lận ở đâu và bằng cách nào; giữ professional scepticism suốt cuộc kiểm toán.