为什么是25个样本？.pdfVIP

为什么是25 个样本？ xx 们常常说，内控测试对于每日多次发生的情况，要抽取25 个样本。 但为什么是25 个？为什么不是30 个，为什么有时候还得抽60 个？ 今天总算找出它的数学依据了，不过不是单靠 《审计学》这本书。 先说结论：抽取25 个样本或60 个样本，确实有其概率统计的依据， 简单说是依据二项式分布得出。 首先，审计抽样分为统计抽样和非统计抽样两种。内控测试中的抽样 一般是属于统计抽样，因为后者主观性较强，审计风险也较高。 其次，内控测试中的抽样大多属于属性抽样（Attribute sampling ）， 因为无非是判断有无例外这个属性。抽样过程可以抽象为从 N 个样 本中抽取n 个样本，发现k 个有问题的样本。 按照AICPA 的关于审计抽样的technical notes（还是DTT 的人写的）， 上述抽样过程可以用超几何分布（Hypergeometric）去刻画（悲催， 这真的是统计常识，常识啊，tmd ，让你个猪头没学好），实际上常 用二项式分布去近似描述。 再次，按照此书描述的过程，以及PCAOB 的AU 350 ，做属性抽样 都要定义如下几个值： - 1 - 1. 错误的接受抽样结果从而认为控制有效的概率（incorrect acceptance，也就是常说的不能去伪，type II error ），这个其实也 就是（1-置信度），一般设为5%或10%，也就是置信度一般为95% 或90%，记作beta。 2.对样本总体中有问题样本比例的预期或估计，记作PE。 3.对实际抽样发现的有问题样本比例的容忍度（因为实际发现的数量 总是个随机值，不能简单的认为出现了几个有问题的样本，就一刀切 的否定整个样本总体，得设定一定的变化范围），记作TER，tolerable exception rate 。 4.根据实际发现的问题样本数量，对样本总体中问题样本比例的估计 值的上限值，记作PU。如果PU 超过了TER，那么，就得认为抽样 结果反映出控制无效。 那么，如果设定 beta 为5%，PE 为0%，TER 为 12%-15% （实务 中，这个TER 值已经够宽松了，够tmd 不负责任了），根据书中提 供的引自AICPA Audit Sampling Guide 2008 的样本量表格，如果选 取25 个样本中发现0 个问题样本这个抽样标准，则PU 值为11.3%， 小于TER，正好反映控制有效。如果在25 个样本中发现1 个问题样 本，则PU 值上升为17.6%，大于TER （12%-15%）。算这个不难， excel 里的函数就行。 - 2 - 为什么是选25 个样本，因为它可以满足较大的TER 值要求，不然， 如果TER 值设小点，比如5%，就需要60 个样本中发现0 个问题样 本，才能满足TER 的要求。 所以，选取25 个样本，是设定了beta 为5%，PE 为0%，TER 为 12%-15%这个通常的审计条件；选取60 个样本，是因为风险相对较 高，需要设定beta 为5%，PE 为0%，TER 为5%这个审计条件（貌 似这个防水不那么厉害，但是审计成本高）。 那么，为什么中注协的内部控制审计指引里又提到了什么25 个样本 中如果发现 1 个无效，还要补抽 15 个样本呢？原因是，如果在 40 个样本（25+15 ）里发现了1个无效样本（补抽的样本里不能有问题）， PU 值为11.4%,恰好也满足小于TER （12%-15%）的要求。 此外，technical notes 里还强调，如果使用上述的二项式分布 （Bernoulli），还要求样本总体是抽取样本数量的10 倍以上，这样 效果比较好。巧了，25*10=250，正符合差不多每日多次的要求。 最终，可以看出，抽取 25 个样本或 60 个样本，确实有其概率统计 的依据，但是实务操作中，没几个人会关注，或者说没必要关注。 - 3 -