تغییرات غیرمجاز در سیستمها یا برنامه‌ها.
قصور در اعمال تغییرات لازم در سیستمها یا برنامه‌ها.
دخالتهای دستی نابجا.
احتمال بالقوه از دست رفتن اطلاعات یا ناتوانی در دسترسی به اطلاعات مورد نیاز. درشرایطی نظـیر موارد زیر که مستـلزم قضاوت و آزادی عمـل است، جنبه‌های دستی سیستمها ممکن است مناسبتر باشد:
معاملات بزرگ، غیرعادی یا غیرمکرر.
شرایطی که تشخیص یا پیش‌بینی اشتباهات دشوار است.
شرایط متغیری که به یک واکنش کنترلی، خارج از حدود یک کنترل خودکار موجود، نیاز است.
نظارت بر اثربخشی کنترلهای خودکار.
کنترلهای دستی توسط افراد انجام می‌شود و از این‌رو، کنترلهای داخلی واحد مورد رسیدگی را در معرض خطرهای بخصوصی قرار می‌دهد. کنترلهای دستی ممکن است کمتر از کنترلهای خودکار قابل اعتماد باشد، زیرا به‌آسانی می‌تواند دور زده شود، نادیده گرفته شود یا زیر پا گذارده شود و همچنین، بیشتر در معرض رخداد اشتباهات و خطاهای ساده قرار دارد. از این رو، نمی‌توان فرض کرد که اجزای کنترلهای دستی به طور یکنواخت اعمال می‌شود. سیستمهای دستی ممکن است در موارد زیر چندان مناسب نباشد:
معاملات متعدد یا مستمر، یا در شرایطی که اشتباهات مورد انتظار یا قابل پیش‌بینی می‌تواند به‌وسیله پارامترهای کنترلی خودکار، پیشگیری یا کشف شود.
فعالیتهای کنترلی، در مواردی که راهکارهای خاص برای اجرای یک کنترل را بتوان به‌نحو مناسبی طراحی و خودکار نمود.

میزان و ماهیت خطرهای کنترلهای داخلی به ماهیت و ویژگیهای سیستم اطلاعاتی واحد مورد رسیدگی بستگی دارد. از این‌رو، حسـابرس در شنـاخت کنتـرلهای داخلی، مناسب بودن واکنـش واحد مـورد رسیدگی را در برابر خطـرهای ناشی از استـفاده از سیستمهای فناوری اطلاعات یا دستی از طریق برقراری کنترلهای مؤثر، مورد توجه قرار می‌دهد.
۲-۱۲- محدودیتهای کنترلهای داخلی
کنترلهای داخلی، صرف نظر از نحوه طراحی و اجرای آن، تنها می‌تواند اطمینانی معقول از دستیابی به اهداف گزارشگری مالی را برای واحد مورد رسیدگی تأمین کند. احتمال دستیابی به این اهداف، تحت تأثیر محدودیتهای ذاتی کنترلهای داخلی است. این محدودیتها،شامل این واقعیت است که قضاوت انسان در تصمیم‌گیری می‌تواند اشتباه‌آمیز باشد و به‌دلیل خطاهای انسانی، چون اشتباهات ساده، کنترلهای داخلی می‌تواند مختل شود. برای مثال، چنانچه کارکنان سیستم اطلاعاتی واحد مورد رسیدگی چگونگی ‌پردازش معاملات فروش توسط سیستم ثبت سفارش را بطور کامل درک نکنند، ممکن است تغییراتی را به اشتباه در سیستم طراحی کنند که سیستم، فروش های یک خط تولید جدید را پردازش کند. از سوی دیگر، این تغییرات ممکن است به درستی طراحی شود، اما به ‌وسیله افرادی که طرح را به برنامه تبدیل می‌کنند، اشتباه درک شود. اشتباهات ممکن است در  اثر استفاده از اطلاعات تهیه شده توسط فناوری اطلاعات نیز رخ دهد. برای مثال، کنترلهای خودکار ممکن است به منظورگزارش معاملات بیش از یک مبلغ معین طراحی شود تا مورد بررسی مدیریت قرارگیرد، اما افراد مسئول بررسی ممکن است هدف از این گزارشها را درک نکنند واز این رو،آنها را بررسی نکنند یا اقلام غیرعادی را پی‌جویی ننمایند. افزون بر این، کنترلها می‌تواند به‌وسیله تبانی دویا چند نفری از یرپا  گذاری نابجای مدیریت، بی‌اثرشود. برای مثال، مدیریت ممکن است به توافق هایی جنبی با مشتریان برسد که مفاد و شرایط استانداردقراردادهای فروش واحد مورد رسیدگی را تغییر ‌دهد و بدینسان، به شناخت درآمد نادرست بینجامد. همچنین، کنترلهای ویرایشی تعبیه شده در برنامه‌ها که برای شناسایی و گزارش معاملات افزون برسقف اعتباری مشخصی طراحی شده، ممکن است نادیده گرفته شود یابه عمد،از کارانداخته شود.واحدهای کوچکتر اغلب کارکنان اندکی دارند که ممکن است میزان تفکیک وظایف را محدود کند. اما در مورد زمینه‌های اصلی، حتی در یک واحد مورد رسیدگی خیلی کوچک،برقراری حدودی از تفکیک وظایف یا سایر اشکال کنترلهای ساده،ولی مؤثر،عملی است. احتمال زیرپا گذاری کنترلها توسط صاحب سرمایه- مدیر به میزان زیادی به محیط کنترلی و به ویژه، به نگرش صاحب سرمایه- مدیرنسبت به اهمیت کنترلهای داخلی،بستگی دارد.
۲-۱۳- محیط کنترلی
حسابرس باید از محیط کنترلی شناخت کسب کند. محیط کنترلی، وظایف راهبری و مدیریتی و نگرش، آگاهی و اقدامات مدیریت نسبت به کنترلهای داخلی و اهمیت آن در واحد مورد رسیدگی را در بر می‌گیرد. محیط کنترلی با تنظیم جو واحد تجاری، برهشیاری کنترلی کارکنان اثر می‌گذارد. محیط کنترلی، اساس کنترلهای داخلی اثربخش است و نظم و ساختار را به وجود می‌آورد.
مسئولیت اصلی پیشگیری و کشف تقلب و اشتباه با مدیریت واحد مورد رسیدگی است. حسابرس در ارزیابی طراحی محیط کنترلی و نحوه اعمال آن، از چگونگی ایجاد و حفظ فرهنگ درستکاری و ارزشهای اخلاقی و برقراری کنترلهای مناسب برای پیشگیری و کشف تقلب و اشتباه در داخل واحد مورد رسیدگی توسط مدیریت، شناخت حاصل می‌کند.
حسابرس در ارزیابی طراحی محیط کنترلی واحد مورد رسیدگی، عناصر زیر و چگونگی اعمال آن در واحد مورد رسیدگی را مورد توجه قرار می‌دهد:
۱-  اشاعه و تقویت درستکاری و ارزشهای اخلاقی ـ عناصر زیربنایی مؤثر بر اثربخشی طراحی، اجرا و نظارت بر کنترلها.
۲-    پایبندی به صلاحیت- توجه مدیریت به سطوح صلاحیت لازم برای مشاغل خاص و چگونگی تبدیل آن به تجربه و دانش مورد نیاز.
۳ -   مشارکت هیئت مدیره ـ استقلال هیئت مدیره از مدیران اجرایی، تجربه و شأن آنان، میزان مشارکت و فعالیتهای بازبینی آنان، اطلاعات دریافتی آنان، میزانی که مسایل دشوار با آنان طرح و پیگیری می‌شود و تعامل هیئت مدیره با حسابرسان داخلی و مستقل.
۴-    نگرش و شیوه اجرایی مدیریت- رویکرد مدیریت نسبت به پذیرش و مدیریت خطرهای تجاری و نگرش و اقدامات مدیریت نسبت به گزارشگری مالی، پردازش اطلاعات و وظایف و کارکنان حسابداری.
۵-    ساختار سازمانی- چارچوب لازم‌ برای برنامه‌ریزی، اجرا، کنترل و بررسی فعالیتهای واحد مورد رسیدگی برای دستیابی به اهداف آن.
۶-    تعیین اختیار و مسئولیت- چگونگی تعیین اختیار و مسئولیت فعالیتهای عملیاتی و نحوه برقراری روابط گزارشگری و سلسله مراتب اختیارات.
۷-    سیاستها و روش های منابع انسانی- استخدام، آشناسازی، آموزش، ارزیابی، مشاوره، ارتقا، حقوق و مزایا و اقدامات اصلاحی.
حسابرس در شناخت اجزای محیط کنترلی، اعمال شدن یا نشدن آنها را نیز مورد توجه قرار می‌دهد. معمولاً، حسابرس شواهد حسابرسی مربوط را از طریق ترکیبی از پرس و جو و سایر روش های برآورد خطر، مانند تأیید پرس و جوها از طریق مشاهده یا وارسی مدارک، کسب می‌کند. برای مثال، حسابرس می‌تواند با پرس و جو از مدیریت و کارکنان، از نحوه ابلاغ نظرات مدیریت به کارکنان درباره فعالیتهای تجاری و ارزشهای اخلاقی، شناخت کسـب کنـد. حسابـرس اعمـال شدن یا نشدن کنتـرلهـا را، مثلاً ازطـریق وجـود آیین رفتارحرفه‌ای مدون و اقدامات مدیریت برای پشتیبانی از آیین رفتار حرفه‌ای یا نادیده‌ گرفتن موارد تخطی از آن، یا تجویز استثناهایی برآن، تعیین می‌کند.
شواهد حسابرسی درباره اجزای محیط کنترلی ممکن است به صورت مستند در دسترس نباشد، به ویژه در واحدهای تجاری کوچکتر که اطلاع‌رسانی بین مدیریت و سایر کارکنان می‌تواند علیرغم غیر رسمی بودن، مؤثر باشد. برای مثال، تعهد مدیریت به حفظ صلاحیت و ارزشهای اخلاقی اغلب به جای آیین رفتار حرفه‌ای مدون ، به‌وسیله رفتار و نگرش ابرازی آنان در اداره امور تجاری واحد مورد رسیدگی پدیدار می‌شود. درنتیجه، نگرش، آگاهی و اقدامات مدیریت، در طراحی محیط کنترلی واحدهای کوچکتر، از اهمیت خاصی برخوردار است. افزون‌بر این، در مواردی که صاحب سرمایه دیگری وجود نداشته باشد، نقش مدیریت اغلب بعهده صاحب سرمایه- مدیر است.
مسئولیتهای کلی مدیریت در اساسنامه و آیین‌نامه‌ها یا به‌موجب سایر مقررات، مشخص می‌شود. یکی از نقشهای هیئت مدیره، متعادل کردن فشارهای وارده بر مدیران اجرایی درارتباط با گزارشگری مالی است. برای مثال، مبنای حقوق و مزایای مدیران اجرایی می‌تواند به دلیل وجود تضاد بین الزامات گزارشگری مطلوب و منافع محسوس حاصل از نتایج عملکرد بهتر، مدیران اجرایی را تحت فشار قرار دهد. حسابرس در کسب شناخت از محیط کنترلی، موضوعاتی چون استقلال هیئت‌ مدیره و توانایی آنان در ارزیابی اقدامات مدیران اجرایی را، مورد توجه قرار می‌دهد. حسابرس همچنین وجود یک کمیته حسابرسی که معاملات تجاری واحد مورد رسیدگی را درک کند و مطلوبیت ارائه صورتهای مالی را از تمام جنبه‌های با اهمیت، طبق استانداردهای حسابداری ارزیابی کند، مورد توجه قرار می‌دهد.
ماهیت محیط کنترلی واحد مورد رسیدگی به‌گونه‌ای است که اثری فراگیر بر ارزیابی خطرهای تحریف با اهمیت دارد. برای مثال، کنترلهای صاحب سرمایه- مدیر ممکن است نارسایی تفکیک وظایف را در یک شرکت کوچک جبران کند یا وجود هیئت مدیره‌ای فعال و مستقل ممکن است نگرش و شیوه عملیاتی مدیریت اجرایی را در واحدهای بزرگتر، تحت تأثیر قرار دهد. ارزیابی حسابرس از طراحی محیط کنترلی واحد مورد رسیدگی شامل توجه به این مراتب است که آیا نقاط قوت اجزای محیط کنترلی درمجموع، زیربنای مناسبی را برای سایر اجزای کنترلهای داخلی تأمین می‌کند یا خیر و آیا نقاط ضعف کنترلهای داخلی، آنها را بی‌اثر نمی‌کند. برای مثال، سیاستها و روش های استخدام منابع انسانی مبنی‌بر استخدام کارکنان کارآمد امور مالی و فناوری اطلاعات، ممکن است گرایش شدید مدیریت را برای بیش‌نمایی سود، کاهش ندهد. تغییرات ایجاد شده در محیط کنترلی می‌تواند بر مربوط بودن اطلاعات کسب شده در حسابرسیهای قبلی اثر گذارد. برای مثال، تصمیم مدیریت درباره تخصیص منابع اضافی برای آموزش فعالیتهای گزارشگری مالی و هشیاری نسبت به آن ممکن است خطر رخ دادن اشتباهات را در پردازش اطلاعات مالی کاهش دهد. از سوی دیگر، قصور مدیریت در تخصیص منابع کافی برای توجه به خطرهای ایمنی ویژه فناوری اطلاعات، ممکن است از طریق امکان انجام تغییرات نادرست در برنامه‌ها یا اطلاعات رایانه‌ای یا از طریق امکان پردازش معاملات غیرمجاز، اثری منفی بر کنترلهای داخلی بگذارد.
در مواردی که حسابرس خطرهای تحریف با اهمیت را برآورد می‌کند، وجود یک محیط کنترلی مناسب می‌تواند عاملی مثبت باشد و همان‌طورکه میدانید، ماهیت، زمانبندی اجرا و میزان روش های حسابرسی را تحت تأثیر قرار ‌دهد. بخصوص، اگرچه محیط کنترلی مناسب، به طور مطلق از تقلب پیشگیری نمی‌کند، اما ممکن است به کاهش خطر تقلب کمک کند. برعکس، ضعفهای موجود در محیط کنترلی ممکن است اثر بخشی کنترلها را از بین ببرد و از این‌رو، در برآورد حسابرس از خطرهای تحریف با اهمیت، بخصوص در ارتباط با تقلب، عواملی منفی محسوب شود.
محیط کنترلی به تنهایی از یک تحریف با اهمیت در گروه معاملات، مانده حسابها و موارد افشا و ادعاهای مربوط، پیشگیری یا آن را کشف و اصلاح نمی‌کند. از این‌رو، حسابرس، هنگام برآورد خطرهای تحریف با اهمیت، معمولاً اثر سایر اجزای کنترلهای داخلی، مانند نظارت بر کنترلها و اجرای فعالیتهای کنترلی خاص را همراه با محیط کنترلی مورد توجه قرار می‌دهد.
۲-۱۴- فرایند ارزبایی خطر توسط واحد مورد رسیدگی
حسابرس باید شناخت مناسبی از فرایند مورد استفاده واحد مورد رسیدگی برای شناسایی خطرهای تجاری مربوط به اهداف گزارشگری مالی و تعیین اقدامات لازم برای مدیریت آن خطرها و نتایج آنها کسب کند. این فرایند به عنوان ” فرایند ارزیابی خطر توسط واحد مورد رسیدگی“ تعریف شده است و مبنای تصمیم‌گیری مدیریت برای شناسایی خطرهایی است که باید مدیریت شود.
حسابرس در ارزیابی طراحی و اجرای فرایند ارزیابی خطر توسط واحد مورد رسیدگی، نحوه عمل مدیریت درباره شناسایی خطرهای تجاری مربوط به گزارشگری مالی، برآورد اهمیت خطرها، ارزیابی احتمال وقوع آن و تصمیم‌گیری درباره مدیریت آن را مشخص می‌کند. چنانچه فرایند ارزیابی خطر توسط واحد مورد رسیدگی برای شرایط موجود مناسب باشد، حسابرس را در شناسایی خطرهای تحریف با اهمیت کمک می‌کند.
حسابرس درباره خطرهای تجاری شناسایی شده توسط مدیریت پرس و جو و احتمال منجر شدن آن به تحریف با اهمیت را ارزیابی می‌کند. حسابرس در جریان حسابرسی ممکن است به خطرهای تحریف با اهمیتی برخورد کند که مدیریت نتوانسته است آنها را شناسایی کند. در چنین مواردی، حسابرس بررسی می‌کند که آیا نوعی خطر تجاری وجود داشته است که باید توسط فرایند ارزیابی خطر توسط واحد مورد رسیدگی شناسایی می‌شد یا خیر و درصورت مثبت بودن پاسخ، حسابرس علت شناسایی نشدن آن توسط فرایند و مناسب بودن آن فرایند برای شرایط موجود را، بررسی می‌کند.
در یک واحد کوچک، ، حسابرس در مورد نحوه شناسایی خطرهای تجاری توسط مدیریت و نحوه برخورد با آنها، با مدیریت مذاکره می‌کند.
۲-۱۵- سیستم اطلاعاتی(شامل فرایندهای تجاری مربوط ، مرتبط با گزارشگری مالی و اطلاع‌رسانی)
سیستم اطلاعاتی مربوط به اهداف گزارشگری مالی، که شامل سیستم حسابداری است، از روشها و مستندات پیش‌بینی شده برای شروع، ثبت، پردازش و گزارش معاملات و سایر رویدادهای واحد مورد رسیدگی و پاسخگویی درباره داراییها، بدهیها و حقوق صاحبان سهام، تشکیل می‌شود.
حسابرس باید از سیستم اطلاعاتی، شامل فرایند‌های تجاری مربوط، مرتبط با گزارشگری مالی، در زمینه‌هایی چون موارد زیر، شناخت حاصل کند :
۱- گروه های معاملات در عملیات واحد مورد رسیدگی که نسبت به صورتهای مالی با اهمیت است.
۲- روش های موجود در هریک از سیستمهای رایانه‌ای و دستی که به‌وسیله آنها معاملات یاد شده در بالا شروع، ثبت، پردازش و در صورتهای مالی گزارش می‌شود.
۳- سوابق حسابداری مربوط، اعم از رایانه‌ای یا دستی، اطلاعات پشتوانه و حسابهای خاص در صورتهای مالی از لحاظ شروع، ثبت، پردازش و گزارشگری معاملات.
۴- چگونه سیستم اطلاعاتی، رویدادهایی غیر از گروه های معاملات را که نسبت به صورتهای مالی با اهمیت است، شناسایی می‌کند.
۵- فرایند گزارشگری مالی مورد استفاده برای تهیه صورتهای مالی واحد مورد رسیدگی، شامل برآوردها ی حسابداری و موارد افشای با اهمیت.
حسـابرس ‌بـرای کسـب این‌شنـاخت، روشـهای مـورد استـفاده بـرای انتقال اطلاعات از سیستمهای پردازش معاملات به دفتـر کل یا سیستمهای گزارشگری مالی را ارزیابی می‌کند. حسابرس همچنین روش های واحد مورد رسیدگی برای کسب اطلاعات مربوط به گزارشگری مالی درباره رویدادهایی غیر از معاملات، مانند استهلاک داراییها و تغییرات در حسابهای دریافتنی لاوصول را شناسایی می‌کند.
سیستم اطلاعاتی یک واحد تجاری معمولاً شامل استفاده از ثبتهای حسابداری استاندارد می‌باشد که بر مبنایی مستمر برای ثبت معاملاتی مانند خرید، فروش و پرداخت وجوه نقد در دفتـر کل الـزامی است، یا بـرای ثبت برآوردهای حسابداری است که بطور دوره‌ای توسط مدیریت انجام می‌شود، مانند تغییرات در برآورد حسابهای دریافتنی لاوصول.
فرایند گزارشگری مالی یک واحد تجاری شامل استفاده از ثبتهای حسابداری غیراستاندارد‌‌ بـرای ثبت معاملات‌ غیرعادی و غیرمستمر یا تعدیلات‌ نیز می‌باشد. نمونه‌هایی از چنین ثبتهایی شامل تعدیلات تلفیقی و ثبتهای مربوط به ترکیب تجاری یا واگذاری یا برآوردهای غیرمستمر مانند کاهش ارزش دارایی است. در سیستمهای ثبت دستی دفتر کل، ثبتهای حسابداری غیراستاندارد ممکن است از طریق وارسی دفاتر کل و روزنامه و مستندات پشتوانه، شناسایی شود. اما، درمواردی که برای نگهداری دفترکل و تهیه صورتهای مالی از روش های خودکار استفاده می‌شود، چنین ثبتهایی تنها می‌تواند به شکل الکترونیکی وجود داشته باشد و ممکن است با بهره گرفتن از تکنیکهای حسابرسی به کمک رایانه به آسانی شناسایی شود.
فرایند تهیه صورتهای مالی شامل روش های طراحی شده به منظور حصول اطمینان از جمع‌ آوری، ثبت، پردازش، تلخیص و گزارش مناسب اطلاعات لازم برای افشا طبق استانداردهای حسابداری در صورتهای مالی است.
حسابـرس برای کسـب شنـاخت، خطـرهای تحریف با اهمیت مرتبط با نادیده‌ گرفتن کنترلهای حاکم‌بر ثبتهای حسابداری استاندارد و کنترلهای مربوط به ثبتهای حسابداری غیراستاندارد را ارزیابی می‌کند. برای مثال، پردازشها و کنترلهای خودکار ممکن است خطر اشتباه را کاهش دهد، اما بر خطر نقض چنین پردازشهای خودکار توسط افراد (برای مثال، از طریق تغییر مبالغی که به طور خودکار وارد دفتر کل یا سیستم گزارشگری مالی می‌شود) ممکن است تأثیر نداشته باشد. افزون بر این، هنگامی که از فناوری اطلاعات برای انتقال خودکار اطلاعات استفاده می‌شود، ممکن است شواهد اندک یا نامشهودی از این مداخله در سیستمهای اطلاعاتی وجود داشته باشد.
حسابرس همچنین از نحوه اصلاح پردازش نادرست معاملات (برای مثال، وجود پرونده اقلام معلق خودکار و نحوه عمل واحد مورد رسیدگی برای اطمینان یافتن از حل و فصل به موقع اقلام معلق) و همچنین چگونگی اصلاح موارد نقض سیستم یا کنترلها، شناخت کسب می‌کند.
حسابرس از سیستم اطلاعاتی مرتبط با گزارشگری مالی واحد مورد رسیدگی متناسب با شرایط آن شناخت حاصل می‌کند. این امر شامل کسب شناخت از نحوه شروع معاملات در فرایندهای تجاری واحد مورد رسیدگی است. فرایندهای تجاری یک واحد مورد رسیدگی، فعالیتهای طراحی شده برای توسعه، خرید، تولید، فروش و توزیع محصولات و خدمات آن، حصول اطمینان از رعایت قوانین و مقررات و ثبت اطلاعات، شامل اطلاعات حسابداری و گزارشگری مالی است.
حسابرس باید از نحوه اطلاع‌رسانی درباره وظایف و مسئولیتهای گزارشگری مالی و موضوعات با اهمیت مرتبط با گزارشگری مالی توسط واحد مورد رسیدگی شناخت کسب کند. اطلاع‌رسانی شامل فراهم نمودن شناختی از وظایف و مسئولیتهای افراد درارتباط با کنترلهای داخلی حاکم بر گزارشگری مالی است و ممکن است به شکل دستورالعمل باشد. این امر شامل میزان شناخت کارکنان از ارتباط فعالیتهای خود در سیستم اطلاعاتی گزارشگری مالی با کار دیگران و شیوه‌های گزارشگری موارد استثنا به رده بالاتر مناسب در داخل واحد مورد رسیدگی است. کانالهای باز اطلاع‌رسانی می‌تواند این اطمینان را فراهم کند که موارد استثنا گزارش و پیگیری شده است. شناخت حسابرس از اطلاع ‌رسانی مربوط به گزارشگری مالی شامل اطلاع‌ رسانیهـای بین مدیران اجرایی و هیئت مدیره، بخصوص کمیته حسابرسی و همچنین اطلاع ‌رسانیهای برون سازمانی، مانند اطلاع ‌رسانی به مقامات قانونی، می‌شود.
۲-۱۶- فعالیتهای کنترلی