加快内部审计由内控导向转为风险导向

□ 梁新鸿

当前，企业所处环境复杂多变，需要应对的风险日益增多。2020年以来，受新冠肺炎疫情、中美贸易摩擦、石油价格战等因素叠加影响，市场价格波动加大，加强重大风险管控成为企业管理核心内容。作为风险管理的重要手段，内部审计必然要以风险为导向，检查评价重大风险的管理策略和应对措施是否合理妥当，促进企业安全运营和提质增效目标实现。

内控导向审计存在的问题

内控导向审计在实践中十分常见，该审计方法存在不少问题。

一是不易发现对程序负责、不对结果负责的问题。如招标采购初衷是为了选出性价比最优、全生命周期总成本最低的采购价格，审计人员仅检查招标程序的完整性，大概率不能发现某招标项目不仅招标效率较低，供货速度较慢影响工程项目正常进度，而且中标价比同期总部年度框架协议价高的问题。

二是容易遗漏重大风险。风险分为可控风险和不可控风险，通常情况下可控风险通过内控制度或专业管理制度等手段进行控制，不可控风险可选择风险转移、风险规避、风险接受等策略并制定应对措施。如果仅关注内控执行情况，可能会遗漏某方面的重大风险。

三是制度缺陷导致风险监管失灵。部分审计人员常依据内控制度检查业务是否存在风险，但对非常规业务内控制度通常是盲区，如去年的期货负油价，遭遇移仓制度缺陷等，导致投资人损失惨重。加之不同审计人员职业判断未必一致，特别是没有实务背景人员的检查，更容易出现偏差。

四是难于发现管理层舞弊。受提供虚假信息能够带来利益驱动，如果管理层利用其掌握的内部控制制定权与操作权舞弊，审计人员仅检查内部控制执行情况，往往难以发现管理层刻意隐瞒的舞弊行为。如某石油公司多年被评为先进，直到出事监管部门才知道，该公司多年违规处理溢余油等但没有被内控阻止，造成了巨额国有资产流失后果。

风险导向审计的主要优点

为了克服内控导向审计弊端，风险导向审计应运而生。这种审计方法，首先可检查公司层面风险管控，如管理层对风险管理重视程度、对审计工作具体支持、审计文化建设情况等，判断风险总体受控情况。其次从采购销售、工程建设、资金管理、金融衍生品业务等重要业务或高风险领域检查，判断主要风险控制措施是否存在重大漏洞、风险管控效果如何。但无论如何操作，审计目标是检查被审计单位面临的重大风险是否已全部识别、风险管理策略和应对措施是否具有可操作性和符合成本效益原则、风险敞口是否在可接受范围之内等。

风险导向审计的优势主要体现在以下两方面。

一是体现了“抓主要矛盾、控重大风险”理念。风险导向审计是在收集影响目标任务实现信息的基础上评估是否存在重大风险，针对重大风险提出改进控制建议，减少没有风险的控制，更不会本末倒置为控制而控制。重大风险得到实际控制，也就不会发生管理层舞弊。比如完成KPI指标和重点任务，审计要检查影响KPI指标和重点任务完成各种因素，分析评估重大风险具体是什么，提出可操作管控建议，促进KPI指标和重点任务完成。再如完善公司治理，审计要检查公司治理实际运行、议事规则落实、决策流程设计及执行情况等，分析评估并促进解决决策、执行和监督体制不顺畅问题，保障公司健康持续发展。

二是实现了审计关口前移理念。风险导向审计侧重于检查业务事前控制，讲究风险全面识别、动态评估与管控，克服了内控制度仅覆盖可控风险控制弊端，也解决了非常规业务内控制度盲区问题。比如完成效益目标，审计人员不仅要检查购销价格确定的合理性，防止高买低卖风险；也要检查物资采购、存储和销售业务流程运行是否顺畅，分析评估是否增量增效，讲究前端控制，而不是等到财务环节已成结果再讲效益控制。再如防范供应商违约风险，审计要检查供应商准入和“择优汰劣”实施情况，分析评估是否切实把好供应商入口关，及时淘汰不合格供应商，着眼在防范于未然，而不是等到出现问题后再去向供应商索赔。

如何开展风险导向审计

对于大型企业来说，审计方法应优先考虑风险导向审计。风险导向审计应重点从三个方面入手。

一是强化业务学习，打铁还需自身硬。鉴于风险导向审计涉及业务范围的广泛性和深层性，对审计人员专业素质要求较高，必须加强学习培训和知识积累。审计人员不仅要有丰富的财务审计知识，还要熟悉采购销售、工程投资、企管法律、IT管理等方面业务知识。有了丰富的知识积累，审计时才能较快地了解被审计单位生产经营情况，准确预判国家产业政策变化、新法律法规出台、近期行业发生的重大事件等对被审计单位影响，再加上良好的职业判断，在海量信息中较快地捕捉到重大风险和重要问题。

二是聚焦主责主业，严守风险管理第三道防线。审计人员要坚守职能定位，以监督评价为基本手段，加大风险隐患揭示力度，充分发挥内部审计“防未病”作用，紧盯高风险业务和重大风险清单，检查内审外查发现问题整改情况，结合被审计单位发展战略、目标任务、业务管理薄弱环节，分析评估企业面临的债务风险、资金风险、投资决策风险、供应商管理风险等是否得到管控，检查风险管控责任是否分解和落实，评估风险敞口是否在可接受范围，坚决守住不发生系统性风险、不发生重大损失的底线。

三是扎牢风险篱笆，促进持续优化风险管理体系。在当前疫情形势尚未得到根本改变情况下，审计人员利用自身常年从事风险识别与评价优势，采取“以审促建”的工作方式，远程帮助被审计单位完善风险管理体系，识别生产经营上的重大风险和管理漏洞，提出有针对性的改进建议，促进被审计单位持续优化风险管理体系运行，助力打赢疫情防控和生产经营攻坚战。