审计模式的演变经历了账项基础审计、制度基础审计、传统风险导向审计、现代风险导向审计等阶段（陈毓圭，2004；蔡春等，2009）。 ¹ 2003年，国际审计与鉴证准则理事会（IAASB）发布四项风险导向审计准则，即《国际审计准则第200号——财务报表审计的目标和一般原则》（ISA 200）、《国际审计准则第315号——通过了解被审计单位及其环境识别和评估重大错报风险》（ISA 315）、《国际审计准则第330号——审计师针对评估的重大错报风险采取的应对措施》（ISA 330）、《国际审计准则第500号——审计证据》（ISA 500）， ² 标志着审计模式进入现代风险导向审计阶段（陈毓圭，2004；唐建华，2009）。但这仅是表象，审计模式的不同只是审计理念和方法在不同历史时期为适应环境变化而呈现出的不同表现形式，其实质都是制度基础审计。在IAASB发布的四项准则中，ISA 200和ISA 500仅就审计理念和证据提出了总体目标和原则性要求，ISA 315和ISA 330则对重大错报风险的识别、评估和应对程序做出了具体规定，明确了审计师运用现代风险导向审计方法的具体要求，因此被称为风险导向审计核心准则。这两项核心准则的源头是美国注册会计师协会（AICPA）的前身——美国会计师协会（AIA）于1947年提出的一般公认审计准则之第五条准则， ³ 该准则正式提出了制度基础审计方法。本文试图通过对第五条准则提出以来风险导向审计核心准则发展演进过程的回顾与思考，探索现代风险导向审计模式的本质。

余文安排如下：第二部分回顾风险导向审计核心准则的变迁过程，并提炼现代风险导向审计准则的主要观点。第三部分对风险导向审计核心准则进行反思。首先基于管控融合理论提出内部控制系统是组织中运行的唯一系统；其次指出审计只有内部控制系统可以评价，控制测试侧重于评价控制过程，而实质性程序侧重于评价控制结果，但过程和结果的评价不可分；最后得出风险导向审计本质上是制度基础审计，实质性程序也是控制测试，控制测试是必选项而不是可选项。第四部分总结全文。

本文可能的贡献在于：基于管控融合理论，指出COSO内部控制框架存在的局限，对现代风险导向审计准则中的主要观点提出质疑，对风险导向审计模式的本质提出新观点，为审计理论和实务界重新审视现代风险导向审计准则提供新视角。

风险导向审计核心准则的变迁交织着审计模式的演进，反映了审计与内部控制研究之间的互动，体现了美国审计准则与国际审计准则的趋同，谱写了审计准则发展史上新的篇章（陈毓圭，2004；方红星，2006；唐建华，2009）。

制度基础审计模式始于英国。19世纪末，在第二次工业革命的推动下，随着1844年《股份公司法》的颁布，英国公司制企业大量涌现，规模不断扩大。面对账目繁多、时间紧张、费用有限的局面，账项基础审计已不能适应时代发展需要。美国著名会计史学家迈克尔·查特菲尔德认为，账项基础审计是对账目进行全面仔细的检查。审计师需要逐笔检查经济业务，核对原始凭证与分录，检查过账的正确性，重新合计总账，并核对试算表与资产负债表，以证明簿记记录的正确性。1890年前，人们对内部控制系统并不关心，也很少采用抽样审计方法，即便采用，也是因为股东拒绝支付全部审计费用而不得不部分地进行检查。1900年后，基于对内部牵制系统的评价，抽样审计已取代详细审计成为英国审计的一般方法。 ⁴ Dicksee（1976）也指出：“审计师应该认识到，内部牵制系统（System of Internal Check）适当，就不必实施详细审计。”这是理论界首次将抽样审计与内部控制评价相结合，表明若被审计单位内部牵制系统有效，审计师可减少详细审计工作，以提高审计效率。因此，在1890年前后，英国逐渐采用制度基础审计方法。

美国随后也采用制度基础审计方法。R·吉恩·布朗指出，1905−1933年这一时期是“详细检验和测试”与初步认识到内部控制重要性并举的时代。 ⁵

AIA（1939）发布的《审计程序公告第1号——审计程序的扩展》（SAP No.1）指出：“审计程序已经随着工业的发展保持并继续保持同步发展。在评价内部牵制和控制系统（System of Internal Check and Control）的充分性和有效性后，在对其信赖的基础上，对会计记录和相关数据进行测试检查已经成为惯例。除极少数例外情况，这一做法被证明足以实现审计目的。”“审计师有责任评价内部牵制和控制系统，以确定对其信赖的程度。若要提高彻底揭露不诚实或欺诈案件的可能性，审计师则必须详细检查所有交易，但这不符合成本效益原则，会给企业带来不适当的负担。”可见，在1939年，为提高审计效率，基于内部控制评价，采用抽样审计代替详细审计已被美国审计职业界广泛认可。

AIA（1947）在《审计准则说明草案：一般公认的意义和范围》中提出一般公认审计准则。在该草案中，AIA重申了SAP No.1中有关抽样审计的观点，并在第五条准则中给出正式表述：“应当对现有内部控制（Internal Control）进行适当的调查（Study）和评价（Evaluation），以此作为对其信赖的基础，并相应确定审计程序的有限测试范围。”自此，基于内部控制评价的抽样审计正式写入审计准则。现代审计也从账项基础的详细审计阶段正式进入制度（内部控制制度，也称为内部控制系统）基础的抽样审计阶段。1961年，著名审计学家莫茨和夏拉夫指出：“内部控制与审计的关系早已为人们所认识。要确定适合于某一特定的审计检查程序的性质和范围，就应考虑内部控制系统的有效性，这已是一项公理。” ⁶

在制度基础审计模式下，审计师要先评价被审计单位的内部控制。理解内部控制的内涵成为重要的研究问题。AIA（1949）发布专题报告《内部控制——一个协调系统的要素及其对管理层和审计师的重要性》，给出内部控制的第一个正式定义：“内部控制包括企业所采用的保护资产、核对会计数据准确性和可靠性、提升经营效率、帮助遵守既定管理政策的组织计划以及所有协调一致的方法和措施。内部控制的定义比人们预想的要宽泛，内部控制系统超出了与会计和财务部门职能直接相关的范畴。该系统包括预算控制、标准成本、定期经营报告、统计分析及其信息发布、员工培训计划、内部审计、工时和动作研究、质量控制等。一个令人满意的内部控制系统包括四类要素：适当职责分离的组织计划，授权体系以及能够对资产、负债、收入和费用提供合理会计控制的记录程序，各部门履行职责应采取的最佳方式，员工素质与职责相称的程度。AIA（1949）引用SAP No.1中有关抽样审计的表述，指出审计师应该对内部控制系统的四类要素进行评价，以确定审计程序的范围。可见，抽样审计的发展直接推动了内部控制理论研究。但该专题报告给出的内部控制定义和构成要素比较宽泛，不仅适用于审计师，还适用于管理层。这导致审计师对内部控制的评价范围过宽、责任过大，诉讼风险较高，不利于保护注册会计师行业的健康发展。因此，如何从内部控制系统中分离出适合审计师评价的内部控制成为值得探讨的问题。

AICPA（1973）将此前发布的《审计程序公告》共54号汇编成册，命名为《审计准则公告第1号——审计准则和程序汇编》（SAS No.1）。SAS No.1引用AIA（1947）第五条准则的表述，并指出审计师调查和评价内部控制的目的在于确定审计测试的性质、时间和范围。同时，SAS No.1还简要回顾了自AIA（1949）发布专题报告以来，AIA和AICPA在《审计程序公告第29号》（1958年）和《审计程序公告第33号》（1963年）中对适合审计师评价的内部会计控制的界定，介绍了两个公告提出的“制度两分法”，即将内部控制分为内部管理控制和内部会计控制两部分，以及要求审计师在调查和评价内部控制时主要考虑内部会计控制等观点。在此基础上，SAS No.1提出区分内部管理控制和内部会计控制的新观点。基本思路是将业务流程分为决策、执行和账务处理三个环节，将决策环节分离出来，称为内部管理控制，并作为内部会计控制的起点，而将业务执行和账务处理环节作为审计师需要评价的内部控制（AICPA，1973）。审计学中由此出现“内部会计控制”“与审计相关的内部控制”“财务报告内部控制”等表述。AICPA做此规定旨在限制审计师的责任范围，使其不至于因为被审计单位管理层决策失误、经营不善而导致审计师受到牵连，从而维护注册会计师行业的利益。但从组织管理角度来看，内部控制系统是一个有机整体，难以将会计控制分离出来，这也使得如何界定内部会计控制成为一个见仁见智的话题。

AICPA（1988）发布的《审计准则公告第55号——财务报表审计中对内部控制结构的考虑》（SAS No.55），不再使用“制度两分法”，而是尝试构建内部控制系统的结构。SAS No.55认为内部控制结构由控制环境、会计系统和控制程序三要素构成，因此将第五条准则修订为：“应当充分了解内部控制结构，以便制定审计计划，并确定拟执行审计测试的性质、时间和范围。”自此，AIA（1947）提出并沿用40余年的第五条准则的正式表述被取代，审计对内部控制的评价开始采用AICPA的三要素观。

AICPA（1995）发布的《审计准则公告第78号——财务报表审计中对内部控制的考虑：对SAS No.55的修订》（SAS No.78），开始采用美国反虚假财务报告委员会的发起组织委员会（COSO）提出的观点。COSO（1992）发布《内部控制——整合框架》，认为内部控制系统由控制环境、风险评估、控制活动、信息与沟通、监督五要素构成。此后，COSO框架逐渐在世界范围内得到广泛认同。SAS No.78也删除了第五条准则中体现“三要素观”的“结构”二字，将其修订为“应当充分了解内部控制，以便制定审计计划，并确定拟执行审计测试的性质、时间和范围。”由此，审计对内部控制的评价开始采用COSO提出的五要素内部控制系统观，并延续至今。1998年，美国经典审计学教材《蒙哥马利审计学》（第十二版）在解释该条准则时指出，审计师需要充分了解被审计单位的内部控制系统，是因为审计人员不仅要考虑审计效果，还要考虑审计效率；同时，该条准则不要求审计师对整个内部控制系统进行测试，甚至也不要求对其中的某一部分进行测试，除非审计师计划信赖内部控制的测试结果以缩小交易和账户余额的实质性测试范围。 ⁷ 这一解释表明，审计师是为了提高审计效率而实施控制测试，若控制测试不能缩小交易和账户余额的实质性测试范围，则审计师不必实施控制测试。

AICPA（2001）发布的《审计准则公告第95号—一般公认审计准则》（SAS No.95），指出：“一般公认审计准则提供了衡量审计质量和审计目标是否达成的标准。审计程序不同于一般公认审计准则。审计程序是审计师在审计过程中为遵守一般公认审计准则而采取的行为。”SAS No.95沿用了SAS No.78对第五条准则的表述，没有做出新的修订。

可见，制度基础审计模式的提出直接推动了内部控制理论研究。内部控制理论研究取得的进展又促成相关审计准则的修订（方红星，2006），但这一进程自1992年COSO提出内部控制整合框架，并使AICPA于1995年对SAS No.78做出相应修订之后便终止了。COSO在内部控制研究领域的权威地位由此确立，但这只是彰显了COSO之功，却远非内部控制和审计理论研究之幸。在IAASB提出现代风险导向审计模式后，COSO内部控制理论的局限性暴露无遗，现代风险导向审计的核心准则出现认识误区。

2003年10月，IAASB同时发布四项国际审计准则（ISA 200、ISA 315、ISA 330、ISA 500，2006年6月15日生效）。 ⁸ 四项审计准则的发布标志着现代审计由传统风险导向审计阶段进入现代风险导向审计阶段， ⁹ 充分体现了IAASB在审计准则制定上的主导地位，也极大提升了国际审计准则的影响力。此后，审计准则的国际趋同成为趋势。2006年，AICPA同时发布经修订的八项审计准则公告（SAS No.104−111），这些准则与审计中的风险评估和应对相关，体现了现代风险导向审计的要求（AICPA，2006）。这其中包括对SAS No.95的修订，修订后的编号为SAS No.105。SAS No.105对第五条准则的最新表述是“审计师应当充分了解被审计单位及其环境，包括内部控制，以评估因错误或舞弊导致的财务报表重大错报风险，并设计进一步审计程序的性质、时间和范围。”在准则修订过程中，AICPA与IAASB进行了友好合作。AICPA认为，该项目体现了准则制定者为推进国际审计准则趋同和认可所做的努力（Fogarty 等， 2006）。SAS No.105对第五条准则的表述正是采用了IAASB的观点。在IAASB发布的四项风险导向审计准则中，与SAS No.105的第五条准则直接相关的是ISA 315和ISA 330（IAASB，2018）。ISA 315指出：“审计师的目标是通过了解被审计单位及其环境，包括内部控制，识别和评估由于舞弊或错误导致的财务报表层次和认定层次的重大错报风险，并为设计和实施应对措施提供基础。”可见，现代风险导向审计与传统风险导向审计的根本区别在于，要求审计师不局限于了解和评估内部控制，而是要全面了解影响被审计单位的内外部风险因素，以评估重大错报风险，并采取应对措施。ISA 330还指出：“当审计师在认定层次的重大错报风险评估中，预期控制运行有效时，或仅实施实质性程序不能提供认定层次充分适当的审计证据时，审计师应当设计和实施控制测试，以获取充分适当的审计证据。”这说明ISA 330认为审计师对内部控制的测试是有条件的，只在两种情形下必须实施控制测试。由于IAASB和AICPA都没有解释了解被审计单位及其环境与了解内部控制之间的关系，人们以为二者是并列关系。而COSO框架是导致这一认识误区的根本原因。COSO提出的五要素内部控制系统看似与组织管理系统不同而自成体系，使得审计中对内部控制的评价似乎有了明确的对象。人们以为，审计师评价内部控制就是评价COSO五要素内部控制系统，而评价后，抽样审计的对象不再是内部控制。于是，了解和评价内部控制与了解和评价其他因素彼此割裂、不实施控制测试的情形在审计实务中产生。因此，不扬弃COSO框架，就难以走出认识误区。

2002年，美国公众公司会计监督委员会（PCAOB）成立，接管了AICPA的公众公司审计准则制定权。2010年，PCAOB同时发布八项审计准则（第8−15号），这些准则采用新的审计风险模型，运用现代风险导向审计方法，在理念上与国际审计准则保持一致。 ¹⁰ 其中与第五条准则直接相关的是《审计准则第2110号——识别和评估重大错报风险》（AS 2110）和《审计准则第2301号——审计师对重大错报风险的应对》（AS 2301）（PCAOB，2017）。AS 2110认为：“审计师应当了解公司及其环境，以了解可能合理预期会对重大错报风险产生重大影响的事件、条件和公司活动。”“审计师应当充分了解财务报告内部控制的各个组成部分，以便确定潜在错报的类型、评估影响重大错报风险的因素、设计进一步审计程序。”而AS 2301认为：“若审计师拟信赖内部控制，计划将控制风险评估为低于最高水平，并基于较低水平的风险评估，计划拟执行的实质性程序的性质、时间和范围，则必须获取内部控制在拟信赖期间设计合理和运行有效的证据。此外，在针对财务报表每一相关认定的审计中，仅通过实质性程序不能提供充分适当的审计证据时，以及在执行其他审计程序中，有必要支持审计师信赖使用的财务信息的准确性和完整性时，必须实施控制测试。”PCAOB将了解和评估公司及其环境与了解和评估内部控制分开做出规定，这更容易让人觉得二者是并列关系。PCAOB也认为控制测试非必选项，在评价内部控制时，推荐使用的标准也主要是COSO框架（PCAOB，2017）。PCAOB的这两个准则从标题到内容均与ISA 315、ISA 330相似，虽然PCAOB并没有直接表明寻求国际趋同的立场，但实质上体现了审计准则国际趋同的要求。

据2018年IFAC的调查，有63个国家和地区在法定审计中采用了国际审计准则（IFAC，2018）。可见，国际审计准则所确立的现代风险导向审计理念，在世界范围内得到广泛认可。

通过分析源于第五条准则（AIA，1947）的现代风险导向审计核心准则的发展演进过程，本文做如下总结：（1）现代风险导向审计不同于制度基础审计。在现代风险导向审计模式下，需要了解和评价被审计单位及其环境，并评估重大错报风险，而不仅仅是了解和评价内部控制。了解和评价内部控制与了解和评价被审计单位及其环境是并列关系。了解和评价内部控制时，要依据COSO的五要素内部控制系统。（2）实质性程序不同于控制测试。控制测试侧重于提高审计效率，实质性程序侧重于保证审计效果，这是自制度基础审计模式提出以来一直被采信的观点。而在现代风险导向审计模式下，进一步明确了必须进行控制测试的两种情形：一是当审计师通过风险评估，预期控制运行有效时；二是仅实施实质性程序不能提供认定层次充分适当的审计证据时。除此之外，审计师可视对内部控制的了解和评价决定是否进行控制测试。这些观点看似逻辑清晰，实则有待商榷。

自1892年Dicksee的《审计学——审计人员的实务手册》出版以来，理论界就认识到审计工作离不开内部控制评价，但却始终没有认识到审计工作只有内部控制系统可以评价，风险导向审计就是制度基础审计，其根源在于理论界对内部控制存在认识误区，而COSO框架提出后，体现尤甚。

1992年，COSO提出五要素内部控制系统，并被奉为圭臬。COSO五要素看似自成系统，使得审计师以为存在一个可供审计开展内部控制评价、由五要素构成的内部控制系统，该系统与组织管理系统不同。为了提高审计效率，审计师可先了解和评价五要素内部控制系统，再考虑评价组织管理中的其他系统。现代审计理论与实务由此走上歧途。

事实上，COSO内部控制系统只是一套方法，而不是真正的内部控制系统。从COSO对五要素运行方式的解释中可以找到答案。COSO（1992）指出：“控制环境是员工开展控制活动和履行控制责任的氛围，是其他构成要素的基础。管理层搜集信息并在组织内沟通，以评估实现特定目标的风险，并实施控制活动。这些控制活动是为了确保管理层应对风险的指令得以贯彻执行，并对整个过程进行监控。”COSO（1992）还指出：“内部控制不是一个要素仅影响下一个要素的线性过程，而是各要素之间相互影响的整体过程。”这两段表述让人们误以为COSO构建了一个内部控制系统，这个系统由五个要素构成，是一个有机整体（白华，2015）。

但COSO只是给出了一个实施控制活动和监督活动的方法。这一方法的运行过程如下：在“控制环境”的基础上，通过“信息与沟通”搜集影响组织目标实现的各类风险因素，进行“风险评估”，并实施应对风险的“控制活动”和“监督活动”。这一方法只能作为一个整体共同作用于管理对象之上，运行的结果是提出针对管理对象所采取的控制活动和监督活动。监督活动本质上就是控制活动，是对控制活动进行再控制。而控制环境其实也是控制活动，只不过因为此类控制活动能为其他控制活动发挥作用、建立基础和提供环境，才称之为控制环境。COSO也认为控制环境和监督活动均为控制活动。COSO（1992）指出：“在内部控制系统中，尽管每一个要素中的控制仅能发挥有限的作用，但互为补充的控制，能共同达成满意的效果。”COSO（1992）在“附录E 术语”中对“控制”的解释是“政策和程序”。COSO（1992）对控制活动的定义是“确保管理层的指令得以有效实施的政策和程序”。这说明COSO（1992）认为，内部控制系统中的每一个要素都是控制活动，具体体现为政策和程序。ISA 315采用了COSO（1992）的观点，指出：“控制活动是政策和程序”“控制一词是指一个或多个内部控制要素的任何方面。”这也从侧面说明COSO认为五要素都是控制活动。COSO（2013）也在“附录A 术语”中对“控制”和“控制活动”做出解释：“控制——（1）名词（例如存在一项控制），属于内部控制的一项政策和程序。控制存在于五要素的每一个要素之中。（2）动词（例如控制某一对象），建立或实施一项对原则产生影响的政策和程序。”“控制活动——通过政策和程序而采取的行动，旨在确保管理层为降低实现目标的风险而发出的指令得以有效实施。”这就说明COSO自1992年发布《内部控制——整合框架》以来，一直认为五要素都是控制活动。只不过COSO认为可按照五要素构建内部控制系统，而本文认为五要素只能作为一个整体运行，五要素的运行只能被视为一套方法。

如果这样，COSO内部控制五要素系统就变为三要素系统：信息与沟通、风险评估和控制活动（含控制环境、监督活动），这也就更加清晰地表明COSO框架只是一套方法。这套方法发挥作用的方式是通过“信息与沟通”与“风险评估”的相互作用，不断识别和评估影响组织目标实现的风险因素，并实施“控制活动”（白华，2018）。

如果五要素只能作为一个整体共同作用于控制对象之上，而作用的结果是实施控制活动，那么在管理工作中最终能看见的只有控制活动。这表明管理与控制是融为一体的，管控合一。只有将控制活动（含控制环境、监督活动）有序排列才能构建内部控制系统。该系统在不同情形下可被赋予不同名称，如组织管理系统、组织治理系统、风险管理系统等。如果强调控制活动的实施在组织管理中的重要性，那么组织管理系统也可称为内部控制系统。

因此，内部控制系统是组织中运行的唯一系统，除此之外，不再有其他系统，而COSO框架只不过是一套方法，据此构建内部控制系统是不可能的（白华和胡礼燕，2020）。

如果组织管理系统就是内部控制系统，那么无论采取何种审计模式，审计师都只能评价被审计单位的内部控制系统。陈毓圭（2004）也指出：“风险导向审计不是制度基础审计之外的一种方法，而是制度基础审计的发展，目前它仍然处于发展完善中。”但是，陈毓圭（2004）仅提出这一观点，而没有将其作为重点展开论述；强调风险导向审计之新，而未着力论证风险导向审计之实。风险导向审计模式要进一步发展完善，有必要从管控融合的视角揭示其本质与不足。

内部控制系统的运行分为过程和结果两个方面。控制测试侧重于评价控制过程，但控制测试时，也要考虑控制结果。实质性程序侧重评价控制结果，但在评价控制结果时，也要结合对控制过程的评价。因此，ISA 330规定：“在评价相关控制运行的有效性时，审计师应当评价通过实施实质性程序发现的错报是否表明控制未得到有效运行。但通过实质性程序未发现错报，并不能证明与所测试认定相关的控制是有效的。”不仅如此，ISA 330在“应用和其他解释性材料——A23”中还做出如下规定：“虽然控制测试和细节测试的目的不同，审计师可以考虑针对同一交易同时实施控制测试和细节测试，以实现双重目的，这也被称为双重目的测试。例如，审计师可以通过检查某笔交易的发票，以确定交易是否经过授权，并获取该交易的实质性审计证据。双重目的测试是通过分别考虑每个测试的目的而设计和评价的。”可见，现行准则已经认识到对审计过程和审计结果的评价不可分离。因此，审计测试是对控制过程和控制结果评价的统一。

实质性程序是对控制结果的评价，是内部控制评价的一个重要方面。称其为实质性程序只是人们沿用的惯例，便于将其与控制测试区分开来。

在账项基础审计模式下，审计师评价的是内部控制运行的结果，即评价体现在财务报表及其附注中的认定。

在制度基础审计模式下，审计师需要先评价内部控制的运行过程，再采取抽样的方法对内部控制的运行结果进行评价，审计师要兼顾对控制过程和结果的评价

在传统风险导向审计模式下，审计程序的设计与实施看似围绕审计风险展开，但事实上审计师评价的仍是内部控制。AICPA（1983）提出审计风险模型：审计风险=固有风险×控制风险×检查风险，标志着传统风险导向审计模式正式确立。传统风险导向审计要求审计师在既定审计风险水平下，基于对固有风险和控制风险的评价，确定可接受的检查风险水平，并以此确定实质性程序的性质、时间和范围。审计风险是一个既定常数，固有风险难以准确评价，且固有风险与控制风险之间的边界也难以厘清，固有风险往往定为100%，要将检查风险的水平降到可接受的程度，只能依靠控制测试（若有必要）和实质性程序。固有风险评价的形同虚设以及报表层次（或整体层面）重大错报风险评价的忽视，使得审计师在传统风险导向审计模式下执行的程序与制度基础审计大体相同，都是针对各类交易、账户余额和列报，先在认定层次（或业务流程层面）了解和评价控制风险，再视情况实施控制测试和实质性程序（陈毓圭，2004；方红星，2006；唐建华，2009）。因此，谢荣和吴建友（2004）、许莉（2005）、方红星（2006）认为，尽管审计模式的名称不同，但传统风险导向审计事实上仍是制度基础审计。 ¹¹

在现代风险导向审计模式下，审计师需要进一步从战略层面，自上而下地了解和评估影响被审计单位目标实现的各种内外部风险因素是否被内部控制系统有效防范，据此识别、评估重大错报风险，并制定和实施总体应对措施与进一步的审计程序（含控制测试和实质性程序）。即便如此，审计师评价的对象依然是内部控制系统的运行过程和结果，只不过更加强调审计师要结合被审计单位的战略目标，从整体层面到业务流程层面，自上而下地识别和评估重大错报风险，而不能仅仅局限于考虑业务流程层面的固有风险和控制风险（陈毓圭，2004）。但是，无论是整体层面控制，还是业务流程层面控制，都属于内部控制系统。在现代风险导向审计模式下，无论如何强调重大错报风险评估的战略导向性，最终都要落实到评价被审计单位的内部控制系统。因此，审计模式不同只是表现在对内部控制评价的侧重点和方式不同，而其本质都是内部控制评价。

COSO五要素内部控制系统的存在，使得准则制定者以为在组织管理系统中有一个内部控制系统可以评价，在了解、评估或测试内部控制系统后，实施实质性程序所测试的交易、账户余额和披露等相关认定并非内部控制。

受COSO影响，国际审计准则也出现认识误区。ISA 315是IAASB推行现代风险导向审计方法的核心准则之一。ISA 315明确提出：“审计师的目标是通过了解被审计单位及其环境，包括内部控制、识别和评估由于舞弊或错误导致的财务报表层次和认定层次的重大错报风险，并为设计和实施应对措施提供基础。”但该准则没有强调了解和评估内部控制的重要性，而将了解内部控制与了解被审计单位及其环境并列，由此造成误解。ISA 315规定，审计师“应该了解被审计单位及其环境，包括了解内部控制”，具体从五个方面了解被审计单位及其环境：（1）行业、监管和其他外部因素，包括适用的财务报告框架；（2）被审计单位的性质；（3）会计政策的选择和运用；（4）目标和战略以及可能导致财务报表重大错报的相关经营风险；（5）被审计单位财务业绩的衡量和评价。ISA 315对内部控制的规定正是采用了COSO的观点。ISA 315指出内部控制由五个要素构成：控制环境、风险评估过程、信息系统（含相关业务流程、相关财务报告和沟通）、与审计相关的控制活动、对控制的监督。这是新版ISA 315中的表述（IAASB，2018），相比于2003年版有所进步。其中的主要变化如下：原准则将了解内部控制作为了解被审计单位及其环境的五个方面之一，新准则将了解内部控制独立出来，这显然借鉴了PCAOB（2017）发布的AS 2110中的观点。但五要素内部控制系统看似自成系统，仍然容易让人以为应当分别了解被审计单位及其环境和内部控制，以识别和评估财务报表中是否存在由于错误和舞弊导致的重大错报风险。

方红星（2006）认为，在风险评估程序中，对内部控制的了解是了解被审计单位及其环境的重要内容之一。中国注册会计师协会组织编写的注册会计师全国统一考试辅导教材《审计》更是直接将“被审计单位的内部控制”作为注册会计师应当了解被审计单位及其环境的六个方面之一， ¹² 而没有采用ISA 315的做法将了解内部控制独立出来。但审计中了解被审计单位及其环境是服从并服务于对内部控制的了解与评估的。审计师希望通过全面了解影响被审计单位经营风险的内外各种因素，如行业发展状况、相关法律和监管政策、性质、目标、战略、会计政策、业绩评价等，来分析其内部控制是否识别这些风险，并采取有针对性的控制活动和监督活动。如果被审计单位的内部控制设计合理且预期运行有效，那么重大错报风险相对较低。审计师在制定进一步审计程序时可以考虑采用综合性方案，即对控制的运行过程（控制测试）和运行结果（实质性程序）进行综合测试。如果预期内部控制无效，那么重大错报风险相对较高，审计师主要采用实质性方案，即主要对控制的运行结果进行测试。

可见，审计评价的对象就是内部控制系统。审计中虽然要了解和评估影响被审计单位目标实现的内外诸多风险因素，但其目的在于评价内部控制系统设计的合理性，以及运行过程和运行结果的有效性。因此，除内部控制系统外，审计再也没有其他可评价的对象。审计也并非为了提高效率才评价内部控制，而是因为只有内部控制系统可以评价。因此，现代风险导向审计实质上仍是制度基础审计。

自1890年以来，基于内部控制评价的抽样审计已有130余年历史，其间几易其名（制度基础审计、传统风险导向审计或现代风险导向审计）。在IAASB于2003年提出现代风险导向审计模式后，新模式之新被放大，而之实被忽视，风险导向审计不同于制度基础审计成为定论，审计模式的本质被掩盖。问题的根源在于理论界虽然认识到审计工作离不开内部控制评价，但没有认识到审计工作只有内部控制系统可以评价。COSO（1992）构建的五要素内部控制框架似乎为内部控制评价提供了明确对象，从而为这一认识误区提供了充足理由。但COSO框架只是看起来像系统，而并非真正的内部控制系统，只能被视为一套方法。这导致审计师在执行控制测试时，评价了一个并不存在的内部控制系统，也使得人们以为在内部控制系统之外还有其他系统可用于实施实质性程序，审计准则的制定和实施由此走上歧途。不仅如此，受COSO影响，理论界在是否存在一个独立运行的内部控制系统、是否需要按照五要素构建内部控制系统等方面，陷入无休止的争论（白华和胡礼燕，2020），导致内部控制建设“叠床架屋”、流于形式。事实上，管理就是控制，组织管理系统就是内部控制系统，只有将COSO框架作为一套方法运行后实施的控制活动排列组合起来，才能构建内部控制系统。内部控制系统是组织中存在的唯一系统，审计师只有内部控制系统可以评价。审计测试就是控制测试，实质性程序也是控制测试。审计模式虽名称各异，但实质上都是制度基础审计在特定环境下的不同表现形式。风险导向审计本质上就是制度基础审计。