風險導向內部審計實務探究

趙廣宇

[摘要]全球化經濟、信息技術革命及其全新的企業(yè)組織形式，使得企業(yè)面臨的風險日益增多，傳統(tǒng)的內部審計模式已不能滿足企業(yè)管理者的要求，順應風險管理要求的風險導向內部審計應運而生，為企業(yè)提供更多的“增值”服務，并且成為內部審計的發(fā)展方向。文章從風險導向內部審計的意義出發(fā)，介紹了風險導向內部審計模式的實施程序，提出了風險導向內部審計在實施過程中存在的主要問題，并針對這些問題提出了解決的對策。

[關鍵詞]風險導向內部審計；風險管理；內部控制

[DOI]10.13939/j.cnki.zgsc.2016.29.103

風險是對目標的實現(xiàn)產生影響的可能性。當今世界越來越復雜的經濟環(huán)境與激烈競爭，使企業(yè)面臨的風險比以往任何時期都大，企業(yè)發(fā)展與風險的如影隨形、相生相伴，使風險管理在現(xiàn)代企業(yè)管理中發(fā)揮越來重要的作用。內部審計作為一種獨立客觀的咨詢活動，是對風險管理的評價和改善。目前我國大多數(shù)企業(yè)采用的傳統(tǒng)內部審計模式屬于被動型風險控制，審計目標和范圍缺乏針對性，無法準確反映企業(yè)的經營風險和問題，不能有效地為組織增加價值、減少損失。風險導向內部審計是一種主動的風險管理的審計模式，它要求內部審計人員在內部審計的全過程中自始至終都要關注風險，并根據(jù)風險度選擇項目，以降低風險為導向，進行內部控制的符合性測試、實質性測試，并進行監(jiān)督檢查和評價，提出建設性意見和建議。這樣得出的審計報告可以作為揭示企業(yè)風險、防范風險以及信息交流的預警信號，為企業(yè)風險管理提供可靠的信息，并作為企業(yè)進行風險判斷的重要依據(jù)，我國現(xiàn)代企業(yè)管理需要引入風險導向內部審計模式。

1 風險導向內部審計的意義

1.1 參與風險管理

企業(yè)風險管理要求全面識別風險，同時熟悉本單位的經營戰(zhàn)略、工作程序、組織結構等，內部審計人員的獨特地位與專業(yè)知識滿足了以上要求。具體實施審計時，風險導向內部審計可以直接針對企業(yè)實現(xiàn)目標過程中面臨的主要問題和風險，并將事后評價反饋延伸到事前和事中，使內部審計成為企業(yè)價值鏈中的必要環(huán)節(jié)。因此，以風險為導向的內部審計捕捉風險信息的能力比企業(yè)內部其他部門和外部審計都強，對于企業(yè)風險管理能夠做出其獨有的貢獻。

1.2 完善內部控制

內部審計作為內部控制的一個重要環(huán)節(jié)，是對內部控制的再控制。風險導向內部審計強調從風險角度對內部控制的科學性進行評審，強調從風險角度對內部控制進行評價，不僅強調內部控制的嚴格執(zhí)行，而且要求在成本與收益、風險與機會之間尋找平衡，保證企業(yè)在可接受風險程度下獲得最大利益，為企業(yè)風險管理提供更客觀、更科學的控制評價。有利于優(yōu)化內部控制結構、簡化內部控制流程、健全內部控制制度，進一步完善企業(yè)內部控制。同時，改進對內部控制的監(jiān)控和完善方式。

1.3 促進公司治理

公司治理的基本目標是在充分考慮利益相關者利益相對滿足和大體均衡情況下，增加企業(yè)價值，從而使股東長遠價值最大化。而風險導向內部審計的本質是確保受托責任有效履行的管理控制，它更注重與企業(yè)目標的直接關聯(lián)?？梢姡局卫砼c風險導向內部審計目標是一致的。內部審計既是公司治理的一部分，同時又參與到治理有效性的審計之中。內部審計在公司治理中的作用包括監(jiān)督、評價和分析組織的風險和各項控制；復核并證實信息是否可靠并符合相關政策、程序與法律，協(xié)助管理者向董事會、審計委員會以及執(zhí)行管理機構提供風險防范以及治理有效的保證。

1.4 提升內部審計職業(yè)地位

風險導向內部審計對象為公司治理領域和包括內部控制環(huán)節(jié)風險在內的一切風險，提升了內部審計在公司治理中的作用包括監(jiān)督、評價和分析組織的風險及控制，復核并證實信息可靠并符合相關政策、程序與法律，協(xié)助管理層向董事會和執(zhí)行管理機構提供防范風險以及有效治理的保證。

1.5 提高審計資源利用效率

風險導向內部審計不僅重視會計信息，而且重視經濟信息，產業(yè)信息和財務信息等，其審計模式路線是“目標 風險 控制”，對于有證據(jù)表明風險較低的領域，應依賴內部控制或分析性復核；對于被認為風險較高的領域，分配更多的審計資源，可實施大量的實質性測試和余額細節(jié)測試。這樣恰當、有效地分配內部審計資源，使得更多與風險管理相關的控制和活動得到關注，把審計手段與審計目標更好地結合在一起，可以提高審計的科學性、針對性和績效性。所以風險導向內部審計提供了一種既能保持審計效果，又能提高審計效率的工作思路。

2 風險導向內部審計的實施過程

2.1 構建風險數(shù)據(jù)庫

風險導向內部審計需要事先構建企業(yè)風險數(shù)據(jù)庫，并依據(jù)風險數(shù)據(jù)庫進行全面的識別和評估風險，根據(jù)風險評估結果確定審計項目、審計重點。首先，風險數(shù)據(jù)庫應包含風險的類別、規(guī)模、可能性及其影響程度。其次，應確定風險的可控程序，對風險控制的恰當性進行評價。最后，通過企業(yè)應對風險及其發(fā)展變化情況所采取的措施進行檢查，對應對措施充分得當和有效性進行評估。

2.2 制定審計計劃

風險導向內部審計的審計計劃與風險相聯(lián)系，要求審計計劃應該反映企業(yè)的風險戰(zhàn)略、風險管理，并與內部審計程序協(xié)調一致。內審部門應在企業(yè)風險數(shù)據(jù)庫中所識別和評估風險的基礎上編制審計計劃，根據(jù)風險來確定審計項目的先后次序，合理分配內部審計資源，目的是將內部審計有限的資源集中于高風險的領域，更好地服務于企業(yè)的總體目標，有助于內部審計效率和效果的提高。

2.3 編制審計實施方案

風險導向內部審計需要審計人員在評估風險優(yōu)先次序的基礎上，編制審計實施方案，包括確定審計范圍、審計重點及審計步驟等。編制審計實施方案：首先，應在考慮并反映企業(yè)戰(zhàn)略性計劃目標和方針的前提下確定審計范圍；其次，通過對企業(yè)風險因素分析，確定審計的重點領域、重點業(yè)務流程、重點環(huán)節(jié)和內容；最后，針對評估確定的重大錯報風險發(fā)生的可能性及相關業(yè)務特點和重要程度，設計個性化的審計具體程序。

2.4 分析和測試方法的運用

風險導向內部審計應注重分析程序測試方法的運用，依靠內審人員根據(jù)掌握的各種資料和信息，運用專業(yè)判斷能力和科學的分析方法，對被審計單位的風險進行識別和評估分析；根據(jù)風險的識別和評估結果，確定實施測試的方式和風險點，在實際工作中還可以借助剩余風險因素的評估結果，確定實質性測試的時間、性質和范圍。

2.5 廣泛獲取審計證據(jù)

風險導向內部審計模式下，支持審計結論所依據(jù)的審計證據(jù)在內涵上有了明顯的擴展，既包括實施控制測試和實質性測試獲取證據(jù)，也包括通過了解企業(yè)基本情況及其環(huán)境獲取的證據(jù)，以風險評估決定審計證據(jù)的數(shù)量及質量，風險越高，所需證據(jù)的數(shù)量就越多、證明力要強。

2.6 充分溝通與交流

溝通是貫穿內部審計工作全過程中不可或缺的重要工作，也是審計人員的重要技能之一。風險導向內部審計更加注重審計溝通，要與企業(yè)各層級（特別是決策層、重要管理層和關鍵業(yè)務操作層）的相關人員進行廣泛溝通、交流、充分了解和掌握相關信息，并憑借良好的職業(yè)勝任能力，為企業(yè)決策者和各管理層提供服務。

2.7 出具審計報告

風險導向內部審計模式下，審計人員以風險評估和檢查為基礎提出審計發(fā)現(xiàn)和審計建議，并出具內部審計報告，報告應給能保證對審計結果進行應有考慮的人員，這些人員可能是審計委員會的負責人以及內審部門負責人；董事會、管理層和被審計部門。此外，管理層對于有些風險，因為各方面原因，可能采取接受的態(tài)度，一般稱為剩余風險。在內審部門負責人認為管理層所接受的剩余風險水平對于企業(yè)來說是無法接受的，內審部門負責人應與管理層進一步討論，仍無法解決，應報告董事會加以解決。

2.8 審計處理決定、整改反饋

為落實內部審計報告整改意見，內審部門應及時向被審單位或部門下達審計（檢查）整改通知書，整改通知書應以公司董事長或總經理的名義進行簽發(fā)，規(guī)定整改的時限和效果。被審計部門在規(guī)定的時間內進行整改反饋。

2.9 抽查整改效果

審計（檢查）整改通知書簽發(fā)后，內部審計人員仍要對整改進程及效果情況進行抽查，監(jiān)督企業(yè)是否已經采取了有效防范和控制措施，對未糾正的事項分析原因，協(xié)助企業(yè)制定整改措施，實現(xiàn)閉環(huán)管理。

3 風險導向內部審計實踐的主要問題

3.1 內部審計工作機制不健全

部分單位對內部審計認識上不到位、定位不準，直接影響了內部審計的獨立性，出現(xiàn)內部審計與紀檢、監(jiān)察部門甚至財務部門合署辦公的現(xiàn)象，沒有作為一個獨立與企業(yè)管理系統(tǒng)的監(jiān)控系統(tǒng)存在，造成了內部審計權威性不強，機制不健全，職責和作用不能充分發(fā)揮。內部審計工作受到其他工作的牽制，不能客觀、真實、深入地開展，做出的審計報告也因管理體制上的制約而得不到有效地執(zhí)行和落實。更為嚴重的是，還有很多大型企業(yè)沒有設置內部審計機構。

3.2 風險管理體系不完善

企業(yè)大多尚未建立起完善的風險管理體系，風險管理活動往往是按照法律法規(guī)的要求被動進行，并非出于企業(yè)自身需要主動進行，而且風險管理活動往往是瞬時或間斷性的，多是在事件發(fā)生之后采取的“亡羊補牢”式風險應對措施；與大量運用數(shù)理統(tǒng)計模型、金融工具等先進方法相比，風險管理方法較為落后，從而導致企業(yè)不能恰當?shù)仡A測風險、識別風險、評估風險，進而嚴重影響風險導向內部審計的“風險導向性”。

3.3 內部審計在風險管理中未能充分發(fā)揮作用

審計人員對風險管理還不甚了解，未能在風險管理中發(fā)揮應有的作用；目前，內部審計部門主要開展的審計內容仍以財務收支審計、經濟效益審計和經濟責任審計為主，風險導向審計尚處于起步階段，并非為主要審計內容。

3.4 內審人員知識結構單一

目前，許多企業(yè)內部審計機構人員配備單薄、結構單一。從業(yè)人員大部分是從會計及其他相關職業(yè)專行過來的，審計人才少、經營管理人才少、經濟和法律人才少、高層次的復合人才少。單一的專業(yè)知識結構很大程度制約了內部審計走出單純的查錯糾弊范疇，難以實現(xiàn)對企業(yè)風險管理、控制和治理過程的全面綜合評價。

3.5 缺乏強有力的質量控制機制

內部審計作為一種社會公認的職業(yè)，內部審計人員除了具備專業(yè)知識外，還應該遵循職業(yè)道德規(guī)范和內部審計準則；同時內部審計工作質量的高低也影響到為企業(yè)增加價值作用的發(fā)揮。因此，對內部審計質量的措施還不到位，同時缺乏一套機制對內部審計質量進行評估，嚴重影響和制約內部審計職業(yè)化建設。

4 風險導向內部審計的對策

4.1 構建內部審計組織體系

在現(xiàn)代公司治理結構中，較先進的內部審計組織模式是在董事會下設立專門負責行使或幫助董事會行使內部會計事務積極權力和外部會計事務消極權力的審計委員會，這種制度安排對風險導向內部審計作用發(fā)揮至關重要。改進和完善內部審計組織模式，重構內部審計體系當務之急。一是在董事會下設審計委員會，由審計委員會組織領導內部審計工作；二是建立具有獨立性、權威性的內部審計部門，改變內部審計部門平等或低于各職能部門狀況；三是嚴格內部審計人員的資格認證，提高內部審計人員的綜合素質。

4.2 正確定位內部審計目標和職能

明確風險管理、內部審計與內部控制三者的職能關系，風險管理是內部控制職能的拓展和延伸，而內部審計在風險管理中承擔評估和建議職能。內部審計人員首先要從思想上轉變對內部審計職能的認識，樹立服務的理念，以風險為出發(fā)點。在及時識別并幫助企業(yè)防范和控制風險的同時，準確把握不可避免風險可能產生的商機，及時為企業(yè)決策者和管理層提供有價值的信息，努力尋求內部審計價值最大化。

4.3 完善審計風險數(shù)據(jù)庫

結合企業(yè)自身特點和需要建立風險數(shù)據(jù)庫，從涉及的門類、領域、信息量等方面，對現(xiàn)有信息庫進行大規(guī)模擴充，以滿足內審人員了解法規(guī)制度、行業(yè)特點、經營環(huán)境以及經營和發(fā)展戰(zhàn)略、業(yè)務流程、風險評估、業(yè)績評價等方面的需要。還應建立企業(yè)信息系統(tǒng)的資源共享機制，使內審人員能夠及時準確地獲得相關信息，從而更方便地實施風險評估程序，進而為風險導向內部審計工作做鋪墊。

4.4 整合審計資源和審計能力

必須使有限的審計資源在一定范圍上達到最優(yōu)的組合和整合，最大限度發(fā)揮審計資源的效率，使得審計資源和審計能力與利益相關者和企業(yè)價值期望保持一致。審計能力主要體現(xiàn)為審計人員的專業(yè)勝任能力，要求內部審計人員熟悉企業(yè)戰(zhàn)略、目標和計劃，了解企業(yè)經營管理各項職能。可以通過以下渠道不斷提升審計人員的專業(yè)勝任能力：一是掛職鍛煉和輪崗鍛煉；二是強化業(yè)務技能培訓；三是優(yōu)化人員結構；四是必要時可臨時外聘專業(yè)技術人員；五是加強職業(yè)道德教育；六是鼓勵和支持內部審計人員加強自學和磨煉。

4.5 健全企業(yè)內部控制機制

風險導向內部審計是以內部控制為基礎、同時考慮公司治理結構和治理機制在內的、以企業(yè)全部風險作為審計重點的審計模式。因此，企業(yè)應在優(yōu)化公司治理結構過程中，從內部控制的設計、運行、評價和改進等環(huán)節(jié)，建立與完善企業(yè)內部控制機制，明確企業(yè)各層面的控制與管理責任。

4.6 完善經營管理和風險評價體系

盡快建立能夠體現(xiàn)本企業(yè)經營特點及至行業(yè)特色的經營管理體系和風險評價體系，為風險導向內部審計在企業(yè)內部成功開展奠定基礎，并通過對整個企業(yè)及其經營活動進行分析評價，查找高風險領域與環(huán)節(jié)，從而有效地防范、轉移、經營風險，力求風險損失最小化。同時，內部審計部門應盡可能地量化審計風險，減輕審計責任，提高審計效率和質量。

參考文獻：

[1]王光遠.內部審計思想[M].北京：中國時代經濟出版社，2006.

[2]李三喜，徐榮才.3C框架——全面風險管理標準[M].北京：中國市場出版社，2007.

[3]王曉霞.企業(yè)風險審計[M].北京：中國時代經濟出版社，2007.

[4]董大宏.現(xiàn)代風險導向審計及其應用[N].中國審計報，2008-01-09.

[5]劉曉輝.風險導向內部審計的應用分析[J].中國內部審計，2008（4）：48-50.

[6]吳容.風險導向整合型內部審計模式探究[J].中國內部審計，2009（9）.

[7]陳震晗.基于COSO-ERM的企業(yè)風險導向審計模型[J].中國內部審計，2009（10）.

[8]王學龍，郝斯佳.論風險導向型內部審計在企業(yè)風險管理中的作用[J].中國內部審計，2010（2）.

[9]呂誠倫.淺析國有混合型企業(yè)集團的內部審計與風險管理[J].中國市場，2015（50）.