第十二条 如果风险评估结果预期服务机构的控制运行有效，或仅实施实质性程序不能提供认定层次充分、适当的审计证据，注册会计师应当实施控制测试，以获取控制运行有效性的审计证据。
注册会计师可以通过下列方式获取控制运行有效性的审计证据：
（一）测试被审计单位对服务机构活动的控制；
（二）获取服务机构注册会计师对与审计相关的内部控制运行有效性出具的报告；
（三）实地考察服务机构并实施控制测试。
第三章 服务机构注册会计师的报告
第十三条 在使用服务机构注册会计师的报告时，注册会计师应当考虑报告的性质和内容。
第十四条 注册会计师使用的服务机构注册会计师的报告通常为下列两种类型之一：
（一）内部控制设计与执行的报告；
（二）内部控制设计、执行和运行有效性的报告。
第十五条 内部控制设计与执行的报告，包括由服务机构管理层对服务机构内部控制作出的描述，以及服务机构注册会计师发表的意见。
服务机构注册会计师发表的意见包括：
（一）对内部控制的描述是否准确；
（二）为实现既定目标，内部控制的设计是否合理；
（三）内部控制是否已得到执行。
第十六条 内部控制设计、执行和运行有效性的报告，包括由服务机构管理层对服务机构内部控制作出的描述，以及服务机构注册会计师发表的意见。
服务机构注册会计师发表的意见包括：
（一）对内部控制的描述是否准确；
（二）为实现既定目标，内部控制的设计是否合理；
（三）内部控制是否已得到执行；
（四）根据控制测试结果，内部控制的运行是否有效。
除了对内部控制运行有效性发表意见外，服务机构注册会计师还可能在报告中说明所实施的控制测试及其结果。
第十七条 服务机构注册会计师通常对报告的使用作出限制，报告的使用者通常包括服务机构及其客户，以及被审计单位注册会计师。
被审计单位注册会计师，是指代表所在的会计师事务所为被审计单位提供审计服务的注册会计师。
第十八条 注册会计师应当考虑服务机构注册会计师实施工作的范围，并评价服务机构注册会计师出具报告的有用性和适当性。
