第十九条 如果其他注册会计师负责审计企业的一个或多个分部、分支机构、子公司等组成部分的财务报表和内部控制，注册会计师应当按照《中国注册会计师审计准则第1401号——利用其他注册会计师的工作》的规定，确定自己能否担任主审注册会计师，以及是否利用其他注册会计师的工作。
第六节 确定重要性水平
第二十条 在计划内部控制审计工作时，注册会计师应当使用与财务报表审计相同的重要性水平。
第七节 对企业使用服务机构的考虑
第二十一条 在内部控制审计中，如果服务机构执行企业的交易，并履行受托责任，该服务机构的服务可能影响企业的内部控制。在这种情况下，注册会计师应当按照《中国注册会计师审计准则第1212号——对被审计单位使用服务机构的考虑》的规定办理。
第四章 实施审计工作
第一节 总体要求
第二十二条 管理层实施的内部控制评价应当以控制环境（也称内部环境）为基础，以生产经营活动为重点，并兼顾控制手段。相应地，在内部控制审计中，注册会计师应当以风险评估为基础，运用自上而下的方法，选择拟测试的控制。
第二十三条 自上而下的方法按照下列思路展开：
（一）从财务报表层次初步了解内部控制整体风险；
（二）识别企业层面控制；
（三）识别重要账户、列报及其相关认定；
（四）了解错报的可能来源；
（五）选择拟测试的控制。
自上而下的方法是注册会计师识别风险、选择拟测试的控制的思路，但并不一定是实施审计工作的顺序。
第二节 识别企业层面控制
第二十四条 注册会计师应当测试对评价内部控制有效性有重要影响的企业层面控制。对企业层面控制的评价，可能增加或减少本应对其他控制进行的测试。
第二十五条 企业层面控制包括：
（一）与控制环境相关的控制；
（二）针对管理层凌驾于控制之上的风险而设计的控制；
（三）企业的风险评估过程；
（四）集中化的处理和控制，包括共享的服务环境；
（五）监控经营成果的控制；
（六）监督其他控制的控制，包括内部审计职能、审计委员会的活动及内部控制自我评价；
（七）对期末财务报告流程的控制；
（八）针对重大经营控制及风险管理实务而采取的政策。
第二十六条 控制环境对保持有效的内部控制有重要影响，注册会计师应当评价企业的控制环境。
第二十七条 期末财务报告流程对内部控制审计和财务报表审计有重要影响，注册会计师应当评价期末财务报告流程。
期末财务报告流程包括：
（一）将交易总额登入总分类账的程序；
（二）与会计政策的选择和运用相关的程序；
（三）总分类账中会计分录的编制、批准等处理程序；
（四）对财务报表进行调整的程序；
（五）编制财务报表的程序。
由于期末财务报告流程通常发生在管理层评价日之后，注册会计师一般只能在该日之后测试相关控制。
第三节 识别重要账户、列报及其相关认定
第二十八条 注册会计师应当识别重要账户、列报及其相关认定。
如果某账户或列报可能包含了一个错报，该错报单独或连同其他错报将对财务报表产生重大影响（需要同时考虑多报和少报的风险），则该账户或列报为重要账户或列报。判断某账户或列报是否为重要账户或列报，应当依据其固有风险，而不应考虑相关控制的影响。
如果某财务报表认定可能包含了一个或多个错报，这个或这些错报将导致财务报表重大错报，则该认定为相关认定。判断某认定是否为相关认定，应当依据其固有风险，而不应考虑相关控制的影响。
第二十九条 为识别重要账户、列报及其相关认定，注册会计师应当从下列方面评价财务报表项目及附注的错报风险因素：
（一）账户的规模和构成；
（二）易于发生错报的程度；
（三）账户或列报中反映的交易的业务量、复杂性及同质性；
（四）账户或列报的性质；
（五）与账户或列报相关的会计处理及报告的复杂程度；
（六）账户发生损失的风险；
（七）账户或列报中反映的活动引起重大或有负债的可能性；
（八）账户记录中是否涉及关联方交易；
（九）账户或列报的特征与前期相比发生的变化。
第三十条 在识别重要账户、列报及其相关认定时，注册会计师还应当确定对财务报表产生重大影响的潜在错报的可能来源。注册会计师可通过考虑在特定的重要账户或列报中错报可能发生的领域和原因，确定潜在错报的可能来源。
第三十一条 在内部控制审计中，注册会计师在识别重要账户、列报及其相关认定时应当评价的风险因素,与财务报表审计中考虑的因素相同。因此，在这两种审计中识别的重要账户、列报及其相关认定应当相同。
在财务报表审计中，注册会计师可能针对非重要账户、列报及其相关认定实施实质性程序。
第三十二条 如果某潜在重要账户或列报的各组成部分存在的风险差异较大，企业可能采用不同的控制以应对这些风险，注册会计师应当分别处理。
第四节 了解错报的可能来源
第三十三条 注册会计师应当执行下列工作，了解潜在错报的可能来源，以选择拟测试的控制：
（一）了解与相关认定有关的交易的处理流程，包括这些交易如何生成、批准、处理及记录；