（二）熟悉控制环境和会计系统，判断管理人员对内部控制的态度和重视程度，识别业务处理程序和控制类型，确定抽样审计范围；
（三）调查抽样审计范围内应当存在的控制程序，分析其中未存在的控制程序对会计账目的影响，初步评估控制风险程度，明确对被审计企业内部控制的依赖程度，并确定是否继续进行内部控制调查以及调查范围。
第三十三条 内部控制测试，是指审计人员在对被审计企业实施内部控制调查的基础上，选用恰当的方法对内部控制的执行记录、实物控制设施、制约职能分工、操作状况和控制执行效果进行的符合性测试。
审计人员对被审计企业的内部控制进行符合性测试时，可以根据需要采用详查法或者抽样
审计法；必要时，还可以选择若干具有代表性的交易事项，采取顺查或者逆查的方法，检查在这些交易事项的业务处理过程中，各控制环节的处理手续是否按规定办理，内部控制是否按规定发挥了作用。
第三十四条 审计人员应当按照下列参考因素评价被审计企业内部控制的健全程度：
（一）控制程序存在与否；
（二）存在的控制程序执行与否；
（三）失控环节；
（四）失控的性质和原因；
（五）失控对会计帐目的影响；
（六）审计方案对内部控制的依赖程度；
（七）内部审计的工作状况；
（八）内部控制局限性。
第三十五条 审计人员评价被审计企业内部控制的局限性时，应当重点关注可能存在的控制程序因管理部门无视其存在而失效；控制程序因执行人员粗心大意、精力分散、判断失误及误解规定而失效；控制程序因执行人员互相勾结、内外串通作弊而失效；控制程序因经营环境和业务性质的改变而不适应等构成内部控制局限性的主要因素。
第三十六条 审计人员对被审计企业内部控制状况实施调查与测试后，应当对被审计企业内部控制的健全程度以及会计系统存在的固有风险和控制风险作出评价，确定对被审计企业审计对象总体或者审计对象次级总体的审计重点。
第三十七条 审计组应当根据审计人员对被审计企业内部控制调查和测试的结果，在评价内部控制，判断被审计企业会计系统固有风险和控制风险存在的可能性，进一步确定审计重点和审计范围的基础上，选择审计方法，检查、验证审计方案，必要时可以按照规定程序修改审计方案。
审计组对被审计企业内部控制测评的内容、过程和结果以及对审计方案的修改情况，应当记录于审计工作底稿。
第三十八条 审计组对被审计企业内部控制的测评不能代替对被审计企业资产、负债、损益情况的审计。无论被审计企业的控制风险大小，审计组都应当选择恰当的审计方法对被审计企业审计对象总体进行实质性测试。
第三十九条 审计组及其审计人员在审计过程中可以运用判断抽样和统计抽样的抽样审计方法，对审计对象总体或者审计对象次级总体中选取的样本进行审查，并以样本审查的结果推断审计对象的总体特征。
第四十条 审计组及其审计人员实施审计时，在下列情况下，可以凭借其对被审计企业内部控制情况的了解程度和审计经验，判断确定审计对象总体或者审计对象次级总体中的审计重点，并抽取一定数量的样本进行实质性测试，根据测试结果推断审计对象的总体特征：
（一）前次审计工作比较深入并且间隔期不长，情况比较清楚的；
