试析内部审计在内控体系中的作用

郭益雷

试析内部审计在内控体系中的作用

Internal Audit’s Role in the Internal Control System

郭益雷

在当前复杂的经济形势下，完善的内控体系对于商业银行安全经营与发展有着极其重要的意义。本文试从商业银行角度，探讨内部审计在完善内控体系中的作用与不足，提出了改进措施。

一、在内控体系中的作用

要理解内部审计在商业银行内控体系中的作用，就必须理清内部审计与内部控制体系之间的关系。可以从以下三个层面来理解：

1.内部审计是内控体系的一部分。只有和其他部门紧密配合，各司其职，才能发挥在内控体系中应有的作用。内部控制需要组织所有部门参与，缺一不可。各部门在内控体系中紧密协作，没有主次之分，只有分工不同。

2.内部审计具有促进组织内控体系修复与完善的作用。内控体系建设是动态的过程，可以分解为建立、执行、监督反馈、维护完善四个环节。通过周而复始，不断自我完善，达到帮助组织防范、控制风险的目的。国际内部审计师协会对于内部审计的定义是：由内部审计师对组织内不同的运营和控制，实施系统客观的评价。工作内容集中在执行情况的监督与反馈，即监督内控制度的执行情况，评估其有效性，并将相关信息反馈给高管层。促使相关部门对存在缺陷的内控体系进行完善与维护。

3.内部审计在内控体系中不可替代。内部审计着眼于商业银行经营管理全局，对各项内控制度的执行过程进行全面、系统的监督与评估，是其他业务部门不可替代的。

二、存在的不足

内部审计在理论上对于组织内控体系的重要作用，并不等于现实中的充分发挥。当前，在促进内控体系完善方面还存在着以下不足：

1.对内控体系的监督与评估缺乏针对性与时效性。目前主要通过审计项目和内控评价项目，对内控体系的有效性进行监督与评估。审计项目中40%左右的内容属经济责任审计，并非由内审部门自主决定，由高管层确定，人力资源部门安排。经济责任审计侧重于审查管理人员的履职情况，而非内部控制的有效性。内审部门具有自主项目选择权的是专项审计。但受审计资源限制，专项审计一般只占商业银行审计工作量的30%左右，其中又有经济效益审计、合规性审计、风险导向审计等不同类型，对于内控体系的关注度不足。现行的审计项目缺乏针对性。

内审工作与监督、评估内控体系职能相关的是内控评价项目。工作量大，涉及范围广：工行某二级分行每年的内控评价工作涉及近二十多个支行，每个支行要进行六十多条指标的评价。由于银行业务发展较快，各类金融产品和创新层出不穷，国际国内经济形势瞬息万变，而评价工作一般又固定于每年第四季度展开，在时效上跟不上经营管理的需要。2008年初我国实施的还是紧缩性贷币政策，下半年已是宽松的贷币政策，原有的内控措施必须及时调整，才能适应新经济形势和业务发展的需要。调整的依据除了部分来自专业部门，主要还依赖于内审部门内控评价工作的结果。而一年一次且固定时段开展的内控评价，既使发现了部分内控措施存在问题，也会因为时效的滞后，使组织错失了控制风险的最佳时机。

2.审计工作方法、方式亟待创新。经过多年的发展，商业银行内审工作方法已形成了固定的模式。如对信贷业务的内部控制措施进行评估，需要抽取一定样本量的客户贷款资料进行审计，查看经注册会计师事务所签发的企业财务报表等资料，判断该客户是否符合银行贷款条件，经营是否正常。通过对业务处理情况与内控制度的相符性以及业务风险程度的判断，得出内控措施是否被执行、是否有效的结论。由于这些方法是有效的，因而就可能出现另一种情况：忽视了对工作方法的创新。一旦经济形势发生重大变化，某些原本可以信赖的审计依据，往往会因为巨大的利益驱动及人为因素而失去可靠性。

2008年金融危机后，不少出口型企业的经营出现了严重问题。少数企业铤而走险，通过中途调包账表、收买注册会计师或者以人为调账、相关交易等欺诈手段，制造账面经营正常的假象，瞒骗银行工作人员。而此时内审人员仍然墨守成规，依据原来的工作方法审计业务，结果被表面情况所蒙蔽，未能发现问题，错失了及时调整内控措施、减少风险损失的机会。因此，内审工作的方法和方式必须与时俱进，才能满足对组织内控体系监督评估工作的需要。

3.信息反馈工作被忽视。内审人员监督评估成果没有发挥最大价值，只是形成审计报告，一发了之。报告虽然最终到达高管层，由于高管事务繁忙，各部门提交的报告繁多，审计报告篇幅冗长，一些重要内容会被高管层所错过。

如某银行2006年爆发的基层管理人员贪污挪用客户存款大案，早在2005年内审部门审计报告中就已指出了该基层部门银企对账存在漏洞，高管层在审阅报告时错过了这一重要内容，内审部门也因为上级未作批示，未对该问题进一步跟踪处理。结果使得原本可以避免的案件最终爆发。

三、强化的措施

必须采取有效措施，充分发挥内审工作在内控体系中的作用，确保银行各项业务的稳健发展。

1.增强针对性与时效性。一是增加常规审计项目中有关内控体系评估的内容。在经济责任审计中，可考虑将被审计对象是否对本单位内控有效管理，促使其有效运作，作为衡量当事人履职能力的内容，加大经济责任审计对于内控体系的关注度，全面地反映被审计对象的工作业绩。在专项审计中设计评估某业务内控制度执行情况的项目，针对当前银行客户经理、反洗钱业务中发案率较高进行专项审计，充分利用审计针对性，找出内部控制中存在的不足。二是实施内控评价日常化。尝试将定期进行的年度内控评价延伸为全年动态跟踪评价，对内控评价指标实行逐项分解，落实到各部门、各网点的日常管理考核中，充分利用外部机构、上级行、专业部门各项检查中涉及内部控制的内容、信息，使评价结果年度内不断实时更新，动态反映内控状况，从而提高时效性。三是充分利用外部审计（以下简称“外审”）对上市银行内部控制的评估结果。外审部门对银行的内控评估更多地关注于业务的流程控制方面。内控与外审两者间评估角度的不同，使得评估结果各有所长，相得益彰。内审部门要积极借鉴和利用外部审计的工作成果，进一步提高自身工作水平。四是开展关于内控体系的审计调查、调研活动。了解、熟悉、掌握新产品和新业务领域的内部控制需要，为开展审计工作确定目标。

2.创新内审工作方法。在技术层面上，一是运用计算机网络和业务数据库，根据审计目的，远程收集相关业务数据，通过专业的审计软件对业务数据进行分析、判断，从中排查出可疑交易，进一步地核实查证。二是将问题业务监督预警系统嵌入业务系统，定期导入，分析数据。一旦发现风险指标，系统预警自动显示，即进行分析核查。

技术创新应集中在：一是提高非现场审计工作的业务覆盖面。加强非现场审计项目的开发，尽可能将所有业务纳入非现场审计。二是提高监督预警系统的实时性。选择少数高风险等级指标，直接嵌入业务数据库进行实时监督预警，其余指标则通过后台定期导入业务数据完成监督预警。在工作时效和技术支持两者间达到平衡。三是利用非现场审计中取得的经验，完善前台业务处理程序中的内部控制。某银行出于防范内部舞弊的考虑，将当日同一柜员发生冲正业务达到一定数量作为排查对象，要求主管复核授权方能完成操作。取得了良好的效果。

3.加强审计结果的信息反馈。一是要“深加工”。审计报告、审计结论要归纳问题，寻找问题产生的原因。如某行抽查发现某网点对规定额度的汇款业务，未按反洗钱制度预留客户身份证复印件。追查问题根源，分析发现内部控制的三个问题：1.总行个金部门与反洗钱牵头部门的信息交流存在制度的不衔接；2.上下级业务部门间的信息沟通渠道不畅；3.基层柜员无法及时、逐级向上反映，致使问题推迟发现。

二是“细化市场”。根据不同部门对于审计报告需求，分别提供相应的内容。以情况简报、风险提示、要情抄告单等不同的公文形式，直接送至同级对应的专业管理部门。避免报告冗长，引起相关部门重视。避免报告辗转传阅，促使问题尽快解决。

三是做好“审后服务”。内审部门提交报告后，继续跟踪审计建议与意见的采纳与落实。一旦发现有未被落实情况，就必须搞清原因，采取对策，是自身工作质量的原因，要重新对审计项目进行返工完善；是专业部门有保留意见，要进一步沟通、交流，共同解决分歧；是在执行上存在客观困难的，应当帮助寻找解决困难的途径，促使整改措施顺利实施。