歡迎來到第二部分：認識您的客戶！

你好！歡迎來到 AUD 考試中最重要的部分之一。在審計師決定要檢查多少收據或核對多少銀行帳戶之前，必須先了解業務是如何運作的。想像一下，這就像擔任房屋檢驗員一樣。在檢查管道設備之前，你需要先了解這棟房子是誰蓋的、藍圖是什麼樣子，以及屋主是否妥善維護它。在本章中，我們將學習如何審視公司的「地基」：即控制環境 (Control Environment) 和資訊系統 (Information Systems)。

如果起初覺得這些內容有點過於「企業化」或枯燥，請不用擔心。我們會將其拆解成簡單、符合現實生活且易於理解的部分！

1. 控制環境：所謂的「高層定調」(Tone at the Top)

控制環境是指一套標準、流程與結構，為整個組織實施內部控制提供基礎。簡單來說：它就是公司在誠信與規則方面的「氛圍」或企業文化。

這為什麼重要？如果執行長以「隱瞞事實」或無視規則聞名，員工很可能也會照做。如果地基出現裂縫，整棟房子都將面臨舞弊或錯誤的風險。

控制環境的關鍵要素 (EBOCA 記憶法)

為了記住構成強大控制環境的要素，請使用 EBOCA 記憶法：

E - 道德價值與誠信 (Ethical Values and Integrity)：公司是否有行為準則？他們是否真的遵守？
B - 董事會監督 (Board Oversight)：董事會是否獨立於管理層之外？他們是在監管實際情況，還是僅僅在所有文件上「蓋章核准」？
O - 組織結構 (Organizational Structure)：權責關係是否明確？還是處於混亂狀態，沒人知道誰在負責？
C - 對勝任能力的承諾 (Commitment to Competence)：公司僱用的人員是否具備勝任其職務的能力？
A - 問責制 (Accountability)：相關人員是否需為其行為負責，還是違反規則後能逍遙法外？

審計師的工作

作為審計師，你是在尋找這些要素的證據。你可能會訪談員工、閱讀董事會會議記錄或查看公司的員工手冊。如果控制環境薄弱，審計師通常會認為重大錯報風險 (Risk of Material Misstatement) 很高。

快速複習：控制環境就是地基。如果地基不穩，審計師之後必須進行更多的工作（增加「實質性測試」），因為他們無法依賴公司的內部「氛圍」來預防錯誤。

2. 理解業務流程

業務流程 (Business Process) 其實就是公司為完成某項工作所採取的一系列步驟的「高級說法」。例如：銷售一件襯衫、出貨並收款的過程。

審計師需要了解這些流程，以找出可能出錯的地方（我們稱之為 WCGWs，即「可能出錯之處」）。你應該聚焦於交易是如何進行以下步驟的：
1. 發起 (Initiated)：銷售是如何開始的？
2. 授權 (Authorized)：誰負責對銷售進行「批准」？
3. 記錄 (Recorded)：交易如何進入會計系統？
4. 處理 (Processed)：系統如何計算總額？
5. 報告 (Reported)：這些資料最終如何呈現在財務報表中？

類比：披薩店

想像你在審計一家披薩店。其銷售的業務流程如下：
- 發起：顧客打電話訂購一個臘腸披薩。
- 授權：經理批准給予 10% 的折扣，因為顧客有優惠券。
- 記錄：收銀員將訂單輸入平板電腦。
- 處理：平板電腦自動加上稅金並計算總額。
- 報告：當天營業結束時，平板電腦列印出一份顯示當日總銷售額的報告。

作為審計師，你要確保收銀員不能隨意刪除銷售記錄並將現金中飽私囊（這就是一個控制問題！）。

3. 資訊科技 (IT) 系統

在現代社會中，幾乎每家公司都使用資訊系統來處理數據。這包括硬體（電腦）、軟體（會計程式）、人員以及數據本身。

手動控制與自動控制

手動控制 (Manual Controls)：由人工執行（例如：經理簽署實體支票）。這對於大型或異常交易很有用，但容易出現人為錯誤或因「疲勞」而疏忽。
自動控制 (Automated Controls)：由電腦執行（例如：系統在顧客超出信用額度時拒絕處理銷售）。這些控制是一致的，不會感到疲倦；但如果程式編寫錯誤，它會每秒鐘重複犯同樣的錯誤 1,000 次！

一般控制與應用控制

在 CPA 考試中，區分這兩者非常重要：

1. IT 一般控制 (ITGCs)：這些是應用於整個系統的「大局」控制。可以將其視為建築物的警衛。包括：
- 密碼要求（誰可以進入？）。
- 變更管理（誰可以更改程式碼？）。
- 數據備份（如果伺服器當機怎麼辦？）。

2. IT 應用控制 (Application Controls)：這些針對特定工作或「應用程式」（例如薪資管理軟體）。可以將其視為特定房間內的檢查站。包括：
- 輸入控制：檢查數據輸入是否正確（例如：在應填入「金額」的欄位中，無法輸入「日期」）。
- 處理控制：檢查計算是否正確。
- 輸出控制：檢查報告是否僅發送給正確的相關人員。

關鍵要點：如果一般控制薄弱（例如：大家都知道管理員密碼），即使應用控制看起來完美，你也不能信任它們。

4. 溝通

「資訊與溝通」中的「溝通」部分是指公司如何共享資訊。這不僅僅是關於擁有一個系統；而是要確保每個人都了解自己的職責與責任。

你知道嗎？即使一家公司擁有世界上最昂貴的軟體，但如果員工不知道他們必須向主管報告錯誤，系統就會失敗。審計師會尋找諸如政策手冊、培訓課程和舉報熱線之類的內容。

5. 應避免的常見錯誤

- 錯誤 1：認為審計師只會在 IT 系統是「高科技」時才關注它。修正：即使是使用簡單 Excel 表格的公司，也擁有需要被理解的 IT 系統。
- 錯誤 2：將「控制環境」與「控制活動」混淆。修正：環境是文化/地基；活動是具體行動（例如鎖門或核對銀行帳戶）。
- 錯誤 3：假設強大的 IT 系統意味著審計師不需要做更多工作。修正：強大的系統固然很好，但審計師仍需進行測試，以確保它確實如描述般運作。

快速總結清單

在繼續之前，請確保你能回答以下問題：
- [ ] 我能使用 EBOCA 定義控制環境嗎？
- [ ] 我理解交易的生命週期（從發起到報告）嗎？
- [ ] 我知道 IT 一般控制與應用控制之間的區別嗎？
- [ ] 為什麼「高層定調」對審計師的風險評估如此重要？

最後鼓勵：你做得很好！了解公司運作的「大局」是審計工作的半壁江山。一旦你了解了環境與系統，之後學到的具體審計程序就會更容易理解。繼續加油！