风险导向内部审计研究

耿明淑

风险导向内部审计研究

耿明淑

风险导向内部审计的基础是风险识别，最终达到评价风险、控制风险、防范风险的目的。这也要求企业内部审计人员在审计的过程中，要密切关注企业面临的各类风险，以此做到有效的识别与评估，并根据风险评估的结果判断风险大小来作为开展审计活动的根据。

风险；内部；审计

上世纪九十年代起，风险导向内部审计形成了系统的研究，并受到内部审计理论界的广泛关注，同时内部审计实务界对这一新型的审计模式极大关注。现代企业都开始陆续对风险导向内部审计进行探索与应用。科学技术的进步与公司经营业务的日益复杂，由此导致企业竞争激烈化加剧并增加了企业的经营风险。在这样的背景下，企业逐渐开始重视自己的风险管理，也更加重视对在经营过程中遇到的各种风险的评估与监控。以风险为导向的内部审计学说要求内部审计在审计的过程中全程关注风险。这也是企业在经营过程中需要关注的问题，因此内部审计对企业的重要性更加明显。随着企业开始接受并实行内部审计，内部审计对企业管理的作用也更加明显。

为了适应新的经营环境内部审计协会对内部审计的定义做了一定的修改，强调了从企业整体性出发的重要性。要根据企业经营管理的方向与风险管理的需求，采用符合科学的方法，协助企业实现其战略目标。企业存在的目的很简单，在风险最小化的前提下实现最大的利润，企业的管理者应从实际出发，可以发现现实中导致企业目标不能实现的原因很多都是因为对风险的不够重视。例如郑百文公司的巨额亏空与造假事件、绿大地财务造假事件、万福生科经营失败都是由于对风险较高的项目不够重视所导致的。在国内外环境迅速变化的今天，企业面对了瞬息万变的经营环境，在不断发展自己的同时，面对的风险也在增加。在这样的背景之下，企业也越来越关注风险导向内部审计。为了提高企业内部审计的效果与效率，企业需要全面的、持续的对风险进行监督、评估、管控。风险导向审计是内部审计的未来发展方向，对促进内部审计的发展有重要作用，是现代内部审计发展的必然趋势，我国已经有企业陆续尝试这一审计模式。

风险导向内部审计的基础是风险识别，最终达到评价风险、控制风险、防范风险的目的。这也要求企业内部审计人员在审计的过程中，要密切关注企业面临的各类风险，以此做到有效的识别与评估，并根据风险评估的结果判断风险大小来作为开展审计活动的根据。将企业风险管理、内控与公司治理相结合，识别、评价、控制企业风险最终达到企业价值增值的目的。风险导向内部审计正逐步发展成为现代企业管控风险的主要手段之一。风险管理基础上的风险导向内部审计模式，让审计的计划和公司集团的发展方案相一致。应用这一类审计方法改变了审计人员的工作重心，不再是单纯的检查过去的业务记录。过去单纯依靠系统的以前的运营情况变为注意到了企业经营过程中的风险与企业有可能面临的风险，致力于使的风险最小化的一项企业活动。但是以前固态的，重复的，管理体系只能看出企业过去的情况，参考价值较小。特别是在目前快速发展的现代，管理者更加需要了解经营过程中可能发生的风险，在观察业务进行的过程中，识别相应的风险，提出可行的控制方案，为企业增值做出贡献。

在以风险为导向的内部审计流程中，风险是内部审计的出发点也是内部审计关键的因素，如何有效地将风险识别、评估、控制贯穿整个内部审计的流程，是内部审计工作能否圆满完成的关键。为了有效的开展风险导向的内部审计工作，以下步骤是我们作好审计工作的重中之重。

首先，应站在风险导向角度编制内审规划。这是开展风险导向内部审计的基础，也是不可或缺的重要步骤。这要求企业的管理者站在宏观的角度对企业内部审计的业务与范围进行梳理，按着企业之前既定的内部审计的战略目标，以风险导向为基础确定实现目标的关键步骤，重新分析影响企业战略目标的内部外部风险因素并重新整合确定企业业务的关键流程等，以此为基础确定内部审计工作应包含的范围。在如何识别风险方面，可以不必要的将每一个面临的风险找出来，但是得将那些危险的，影响重大的找出来。谈到怎样具体风险识别的操作流程，则可以从两个不一样的角度即业务层面以及公司层面来对风险进行划分，以不一样的类别来开展。以公司为出发点的风险内涵是目标规划上的风险，从业务方面出发的风险当中有经营风险、规范性风险以及财务风险等诸多方面。

其次，遵循风险思路编制一年的审计计划书。首先，我们要确定审计项目的先后次序，即通过一套比较可靠系统的风险评估，将所要评的项目进行一次风险从高到低的排序。作者通过参阅大量文献，在可操作性方面目前有两种思路较可行，一是通过风险因素来评估备选项目的风险系数，然后根据这个风险系数来确定审计对象，如中石油旗下的大庆油田公司就是采用这种方法；二是，由于每个备选项目都有其具体的风险，根据这个具体的风险来确定审计对象，中国人民银行上海分行就是采用这种方法。这两种方法各有各的好处和坏处，第一种方法可操作性较强，但是通过风险系数，这种方法判断不是太完整，太片面，较粗略；第二种方法根据项目的具体风险内容，这样的话比较详实，可以把风险的各个具体点详加分析和研究，但是一旦执行起来难度也不小，主要需要大量的劳动力配合，工作量多，作者认为企业应该根据自身的实际情况来选择其中一种思路。

最后，遵循风险思路进行审计项目。遵循风险理念进行项目审计时，在下面的几个步骤中会得到体现。

1.审前准备阶段

在遵循以风险为思路进行审计项目时，首先要对审计工作的实施方案进行详尽耐心编制，同时还要重视审前的准备工作。审前准备工作主要对项目的风险信息进行一些提前的摸底，也可以说是对前面提到的对审计实施方案的补充和细化，所以深刻理解其思路。另外，在调查出企业的风险和目标后，可针对与风险点相对应的控制进行内控测试，根据测试结果判断风险大小。在编制审计实施方案时，要重视审计前的准备工作，在实施方案中应详细列示每一个审计要点对应的企业目标、风险、控制措施，同时应对编制内控测试模板那样细化审计步骤，详细列示需要访谈哪些人员、抽取哪些样本等。

2.实施阶段

在审计项目实施过程中，如果突然又获取到对风险评估结果造成影响的信息时，应调整风险评估结果，合理改善审计步骤，这样可以弥补或者说补救因为没有全面及时获得信息而作出的一些偏差判断和估计。

3.报告阶段

风险导向内部审计模式下的审计报告应该传达对风险管理效果的评价结论和建议。因此报告的主要内容应包括以下几个要素：审计目标（主要是为了审查针对哪些企业目标的风险管理的有效性）、审计范围、审计步骤、样本总量、抽样比例、审计结论（针对上述企业目标的风险管理是否有效？存在哪些问题？这些问题产生的原因是什么？如何改进？）等。

4.后续审计阶段

对于在审计过程中，被审计的企业审计出的问题要进行风险评估，并指出整改内容。对于审计出现的问题项目，根据风险大小来确定审计范围。风险越小，审计范围就越窄，反之风险越大，审计范围就越大。而且，注意力要主要集中在问题项目风险大的方面。后续还要有跟踪；对于审计问题不大或者说没有的，后续审计可以简短询问或者回访；而对于提出整改意见的项目，不但要整改项目，还要对负责项目的人员进行追究，追究责任和原因在哪儿。

（作者单位：普莱柯生物工程股份有限公司）