注册会计师在测试控制设计的有效性时，应当综合运用询问适当人员、观察经营活动和检查相关文件等程序。注册会计师执行穿行测试通常足以评价控制设计的有效性。
注册会计师在测试控制运行的有效性时，应当综合运用询问适当人员、观察经营活动、检查相关文件以及重新执行等程序。
（十）控制测试的涵盖期间
对控制有效性的测试涵盖的期间越长，提供的控制有效性的审计证据越多。
单就内部控制审计业务而言，注册会计师应当获取内部控制在基准日之前一段足够长的期间内有效运行的审计证据。在整合审计中，控制测试所涵盖的期间应当尽量与财务报表审计中拟信赖内部控制的期间保持一致。
注册会计师执行内部控制审计业务旨在对基准日内部控制有效性出具报告。如果已获取有关控制在期中运行有效性的审计证据，注册会计师应当确定还需要获取哪些补充审计证据，以证实剩余期间控制的运行情况。在将期中测试结果更新至基准日时，注册会计师应当考虑下列因素以确定需要获取的补充审计证据：
（1）基准日之前测试的特定控制，包括与控制相关的风险、控制的性质和测试的结果；
（2）期中获取的有关审计证据的充分性和适当性；
（3）剩余期间的长短；
（4）期中测试之后，内部控制发生重大变化的可能性。
针对所有重要账户和列报的每个相关认定，注册会计师应当获取控制有效性的审计证据。《
中国注册会计师审计准则第1231号--针对评估的重大错报风险采取的应对措施》第
十四条提及的“三年轮换测试”不适用（本意见第四部分提及的与基准相比较的策略除外）。
（十一）控制测试的时间安排
对控制有效性测试的实施时间越接近基准日，提供的控制有效性的审计证据越有力。为了获取充分、适当的审计证据，注册会计师应当在下列两个因素之间作出平衡，以确定测试的时间：
（1）尽量在接近基准日实施测试；
（2）实施的测试需要涵盖足够长的期间。
整改后的内部控制需要在基准日之前运行足够长的时间，注册会计师才能得出整改后的内部控制是否有效的结论。因此，在接受或保持内部控制审计业务时，注册会计师应当尽早与被审计单位沟通这一情况，并合理安排控制测试的时间，留出提前量。例如，注册会计师在基准日前3个月完成期中测试工作。此外，由于对企业层面控制的评价结果将影响注册会计师测试其他控制的性质、时间安排和范围，注册会计师可以考虑在执行业务的早期阶段对企业层面控制进行测试。
（十二）控制测试的范围
注册会计师在测试控制的运行有效性时，应当在考虑与控制相关的风险的基础上，确定测试的范围（样本规模）。
注册会计师确定的测试范围，应当足以使其获取充分、适当的审计证据，为基准日内部控制是否不存在重大缺陷提供合理保证。
1．测试人工控制的最小样本规模
在测试人工控制时，如果采用检查或重新执行程序，注册会计师测试的最小样本量区间参见表1。
表1：测试人工控制的最小样本量区间
控制运行
频率
| 控制运行总次数
| 测试的最小样本量区间
|
每年1次
| 1
| 1
|
每季1次
| 4
| 2
|
每月1次
| 12
| 2-5
|
每周1次
| 52
| 5-15
|
每天1次
| 250
| 20-40
|
每天多次
| 大于250次
| 25-60
|
在运用表1时，注册会计师应当注意下列事项：
（1）测试的最小样本量是指所需测试的控制运行次数；
（2）注册会计师应当根据与控制相关的风险，基于最小样本量区间确定具体的样本规模；
（3）表1假设控制的运行偏差率预期为零。如果预期偏差率不为零，注册会计师应当扩大样本规模；
（4）如果注册会计师不能确定控制运行频率，但是知道控制运行总次数，仍可根据“控制运行总次数”一列确定测试的最小样本规模。
2. 测试自动化应用控制的最小样本规模
信息技术处理具有内在一贯性。在信息技术一般控制有效的前提下，除非系统发生变动，注册会计师只要对自动化应用控制的运行测试一次，即可得出所测试自动化应用控制是否运行有效的结论。
3．发现偏差时的处理
如果发现控制偏差，注册会计师应当确定其对下列事项的影响：
（1）与所测试控制相关的风险的评估；
（2）需要获取的审计证据；
（3）控制运行有效性的结论。
评价控制偏差的影响需要注册会计师运用职业判断，并受到控制的性质和所发现偏差数量的影响。如果发现的控制偏差是系统性偏差或人为有意造成的偏差，注册会计师应当考虑舞弊的可能迹象以及对审计方案的影响。
