國際四大會計師事務所審計風險評估模式比較研究

　　本文系王澤霞教授主持的國家自然科學基金項目“管理舞弊審計控制理論及應用研究”（項目批準號70372067）的后續研究成果，同獲中國博士后科學基金會資助（項目編號：2005037136）
　　
　　【摘要】隨著國際四大會計師事務所相繼卷入會計丑聞當中，如何正確認識經營風險導向審計再次成為國內理論界和實務界爭論的焦點。本文通過對“四大”審計風險評估模式進行比較，試圖對“四大”之間審計風險評估模式的異同作一初步探討，并對差異產生的原因進行分析，從而正確、客觀地認識經營風險導向審計。
　　
　　一、引言
　　
　　近年來，國內外頻繁爆發了一系列極具震撼力的重大財務舞弊案。從我國內地的瓊民源、銀廣廈，再到美國的安然、施樂、世界通訊，這些舞弊案件在嚴重危及資本市場健康發展的同時，也使得審計職業面臨信用甚至生存危機。國際五大會計公司之一的安達信因審計失敗而倒閉，畢馬威也因施樂事件而卷入到會計丑聞之中，“五大”中的另一家德勤更是因為“科龍門”事件遭遇集體訴訟。人們不禁對以安達信為代表的“五大”國際會計公司目前所推崇采用的，各自均認為是完美的經營風險導向審計（Business Risk-Oriented Auditing）提出了質疑。如何正確認識BRA再次成為國內理論界和實務界爭論的焦點。
　　有關BRA的爭論，源于審計理論界和實務界所站的角度不同，從而兩者對BRA的認識也存在很大差異。BRA是以審計風險評價為中心的審計方法，是國際五大會計公司在面臨大量申訴威脅的情況下開發的，目前已經在國際四大會計師事務所中得到全面推廣。但遺憾的是有關“四大”在實踐中究竟如何將審計風險具體落實到審計實務中從而來開展審計工作的，他們各自既未作系統介紹，也未曾公開。鑒于BRA以風險評估為中心，筆者從風險評估目標、風險評估范圍、審計計劃階段風險評估程序、風險評估方法以及風險評估證據來源五要素入手，對“四大”審計風險評估模式進行比較，分析它們之間的異同之處，從而正確、客觀地認識BRA。
　　
　　二、風險評估目標
　　
　　BRA 產生的一個重要背景是因傳統風險導向審計風險評估不到位，不能有效地發現財務報表中存在的重大錯報風險，審計期望差越來越大。更深層次的原因是實務中很多客戶在審計之后面臨著很高的經營風險甚至經營失敗風險而引發審計失敗。盡管經營失敗并不必然帶來審計失敗，但當被審計單位在審計完成以后發生經營失敗導致審計失敗，公眾往往會有擴大注冊會計師責任的傾向，因此會給注冊會計師帶來極高的訴訟風險。為有效降低注冊會計師以及會計師事務所卷入訴訟的幾率，以“四大”為首的大型會計師事務所開發了新的審計方法用以應對并控制訴訟風險，因此“四大”風險評估采用BRA的出發點是一致的，其總體目標也基本一致，即首先通過風險評估識別被審計單位的重大經營風險，特別是經營失敗風險，并進而確定重大錯報高風險(尤其是管理舞弊風險)環節，再根據風險的性質和高低確定審計的范圍和重點，進一步決定如何收集、收集多少以及收集何種性質的證據，以便更有效地控制和提高審計效率及效果，從而將審計訴訟風險控制在可接受的風險水平之內。
　　
　　三、風險評估的范圍
　　
　　BRA所持有的廣義審計風險概念，使“四大”在風險評估時除了要考慮能夠引起會計報表重大錯報風險的具體風險之外，還要重點評估由于被審計單位經營失敗而導致事務所本身遭受損失或不利的可能性，即對接受審計委托的業務關系風險進行評估。會計報表重大錯報風險總體可分為兩類：錯誤風險和舞弊風險。能夠引起這兩類風險，特別是舞弊風險的具體風險包括被審計單位的內外環境風險、管理風險、經營風險和財務風險等。這四類具體風險并不是獨立的，而是相互影響相互作用，特別是其它三類風險都有可能引起經營風險，因此在進行風險評估時要注意它們之間的相互轉化。除此之外，能夠引起業務關系風險只有被審計單位的經營風險。由于經營風險既能夠引起會計報表重大錯報風險，又能夠引起業務關系風險，因此BRA風險評估的重心是被審計單位的經營風險。“四大”的審計方法均將經營風險的評估作為風險評估的核心，風險評估范圍總體上基本一致，但對風險評估具體范圍的認識卻存在差異。如 KPMG和E&Y在開始審計時都要對被審計單位的經營目標、經營戰略和關鍵經營流程進行分析，從而來評估被審計單位的重大經營風險；但 PwC 嘗試了解所有用來管理企業的外部和內部的信息，并對被審計單位所有的經營風險進行識別和評估，利用其經營分析框架(Business Analysis Framework)從四個維度(客戶經營所在市場環境、客戶經營目標戰略、客戶最關鍵的價值創造活動、管理當局經營業績的財務計量方法)來對被審計單位的總體經營情況進行了解并對其經營風險進行評估。DTT則是全面了解影響被審計單位生產經營的內部因素(所有權結構、經營目標、會計政策等)和外部因素(所在行業情況、經營環境、法律法規要求等)，從而評估經營風險對會計報表整體和特定會計賬戶的影響。可見 “四大”風險評估的核心是經營風險，具體范圍的認識及對引起該風險的各風險因素的重視程度稍有差異，相比 DTT，PwC、KPMG 和 E&Y 在評估經營風險時更加重視對被審計單位經營戰略以及經營流程的分析，更注重從粗獷的層面來對風險進行評估。
　　
　　四、審計計劃階段風險評估程序
　　
　　審計計劃階段就是一系列的風險評估過程，自始自終貫穿了風險評估程序。與制度基礎審計相比，BRA審計方法非常強調審計計劃的重要性，在一個完整的審計過程中審計人員要花大量的時間用于制定較詳細的審計計劃。而在審計計劃的制定過程中審計人員就需要運用大量的風險評估程序對各種風險進行評估，從而來計劃進一步審計程序的性質、時間以及范圍。在審計計劃階段“四大”的風險評估程序總體思路基本上是一致的 ，但在具體風險評估程序上還存在一定的差異。
　　
　　（一）經營風險評估
　　在審計開始時，“四大”都需通過一定的方式對影響被審計單位經營狀況的內外部因素進行充分的了解，以收集充分、適當的風險評估證據。具體風險評估程序，PwC、E&Y和KPMG：戰略分析→戰略經營風險評估→戰略相關控制了解及評價[戰略控制和管理控制了解及評價]→剩余戰略經營風險評估→流程分析→流程經營風險評估→流程相關控制了解及評價[流程控制和管理控制了解及評價]→剩余流程經營風險評估→剩余經營風險評估→財務報表整體層次重大錯報風險評估[財務報表整體層次(FST)重大缺陷風險(RMW)、重大錯報風險(RMM)評估]；DTT：影響生產經營的內部因素了解→影響生產經營的外部因素了解→經營風險評估→被審計單位整體層次內部控制了解及評價→剩余經營風險評估→財務報表整體層次重大錯報風險評估。“四大”各自風險評估程序的異同。
　　1. 共同點：一是“四大”關注的內外部因素相互之間基本相似，如行業狀況、企業的目標、戰略、企業財務業績計量方法等，特別關注被審計單位的持續經營狀況和舞弊可能性；二是“四大”都對被審計單位整體層次的內部控制整體框架進行了解。企業整體層次的控制是企業內部控制的組成部分，它們遍布整個企業，不僅僅只和某些特定的交易業務類別和賬戶余額或者其它具體認定事項相關。“四大” 通過分別了解內部控制的五個組成要素(控制環境、風險評估、控制活動、信息與溝通以及監督) 來實現對被審計單位整體層次內部控制整體框架的了解，繼而重點評價內部控制對經營風險，特別是舞弊風險預防和偵查的有效性(如考慮是否存在管理層逾越內部控制的可能性等)，進而對剩余經營風險(即沒有被整體層次內部控制防止或檢查出的經營風險，包括舞弊風險)進行評估。
　　
　　2. 差異：一是對被審計單位經營狀況了解時關注的重點稍有差異。具體在了解被審計單位經營狀況的方式上，PwC、KPMG和E&Y 三者都是通過戰略分析和流程分析兩個程序來了解的，將最主要的精力花在對被審計單位經營目標和戰略以及關鍵的價值創造流程的分析上，從而來評估經營風險；DTT是通過了解影響被審計單位生產經營的內外部因素來了解被審計單位經營狀況的，并沒有表現出對上述因素特別的關注，而是通過綜合分析影響被審計單位生產經營的內外部因素，從而評估經營風險。由于上述了解方式差異的存在導致了前三者在對被審計單位經營狀況了解時關注的重點和DTT稍有差異。二是 DTT 和 PwC 、KPMG、E&Y 在風險評估程序上也體現出了較大的差異。在了解企業整體層次內部控制和評估經營風險時，后三者是通過對戰略、流程相關的控制分別進行分析了解以及對相關的經營風險分別進行評估來完成的。而相比KPMG將風險評估的層次明確劃分為三個，即財務報表整體層次(FST)、重大交易業務類別和賬戶余額層次(CAB)以及內在認定層次(ASR)，并引入“重大缺陷風險”(Risk of Material Weakn