論風險導向審計在風險管理框架中的應用

戚閩粵

摘 要：從風險導向審計的前提和過程，探討在風險管理框架中的應用。

關鍵詞：內部審計；風險管理框架；應用

中圖分類號：F239 文獻標識碼：A 文章編號：1672-3198（2009）03-0237-02

1 引言

2004年美國反虛假財務報告委員會（COSO）頒布了《企業風險管理——總體框架》中，企業風險管理的定義是，由董事會和管理層在制定戰略及在整個企業中實施的、用于識別可能影響組織的潛在事件并根據風險偏好管理風險，為組織實現目標提供合理保證的過程。它強調企業風險管理和內部控制體系整合，使二者共同成為公司治理的強大工具。內部控制體系中核心環節之一的內部審計承擔了監督、評價、檢查、報告和改進等任務，是企業風險管理不可或缺的組成部分。

2004年國際內部審計師協會（IIA）內部審計的定義將風險管理和內部控制、公司治理列為內部審計的工作對象，明確要求內部審計參與風險管理和公司治理過程， IIA《標準》確定了風險審計的方向。

2 風險管理框架下風險導向審計的應用前提

在風險管理框架下，要發揮風險導向審計的作用，必須以風險管理為基礎，改變審計思路，改進審計流程和方法。

2.1 以風險管理框架為理論框架

COSO提出的ERM框架首先增加了戰略目標，將企業風險的關注點引向戰略問題；其次，在內部控制五要素（內控環境、風險評估、內控活動、信息與溝通、監督）的基礎上增加了目標設定、事件識別和風險評估三個要素，與原來的風險評估要素構成了一個完整的風險管理過程；最后，還強調風險管理覆蓋所有層次，包括業務單元、子公司、分支機構和公司的整體層次等內部控制的全部領域。可見，ERM是一個整合公司治理和內部控制的框架，它關注包括公司治理領域和內部控制環節的一切風險。

IIA通過修改內部審計定義加速了它的發展并使其成為現代內部審計發展的趨勢。它是傳統審計的發展，賦予為企業的風險管理提供保證的重要任務，因此，應該讓內部審計和風險管理框架直接聯系，實現協同效應。IIA《標準》對風險審計的規范和指導，極力倡導內部審計在企業風險管理框架中發揮不可替代的重要作用，即內部審計要在風險環境分析、風險事件識別、風險評估、風險反應和控制、風險信息溝通和管理系統監控環節中發揮重要作用。

2.2 以風險管理目標為審計過程的行動指引

全球化、技術更新、資本重組、變化的市場、競爭和管制等因素使企業經營面臨著很多不確定性，現代企業管理的戰略目標是增加企業價值，同時承受相應的風險。不確定性是對價值的破壞或增進，風險與機會并存，管理層把機會反饋到戰略或目標制訂過程中，以便把握住適合的機會。

COSO對企業風險管理定下四大目標：戰略目標——高層次目標，與使命相關聯并支撐其使命；經營目標——有效和高效率地利用其資源；報告目標——報告的可靠性；合規目標——符合適用的法律和法規。在這些目標指引下，風險管理過程就是要合理保證管理層及時了解企業實現目標的程度。依據IIA對內部審計的定義，風險導向審計的總目標是對企業所面臨的風險進行管理，對內部控制和治理過程進行評估，將評估的結果反饋給管理層，從而幫助企業實現目標。其目標基本一致。

COSO風險管理框架擴展了風險管理的廣度和深度，提高了企業管理層控制風險的地位，也提高了風險評估在企業經營中的地位，企業目標分為經營效果和效率、財務報告可靠性和法律法規的遵守程度，內部控制目標提升到企業戰略的層次。風險導向審計對企業風險的監控是指對風險管理要素的內容和運行及一段時期內執行質量的評估，要求在企業風險控制監督過程中取得實效，廣泛收集有關經營決策和風險狀況的信息，評估各個待審計項目的風險，進而確定審計風險控制策略。風險導向審計的焦點體現在分析、確認和解釋關鍵性的經營風險，使審計和企業風險管理策略緊密聯系。

2.3 采用新型的審計思路

傳統的內部審計沿襲“自下而上”、“由點到面”的審計思路，風險導向審計則要求審計人員對企業的戰略管理進行分析，對企業風險做出合理的專業判斷，運用“自上而下”的思路，確定審計的范圍、重點、審計目標和相關審計程序，通過實質性測試的結果，結合重要性判斷來判斷整個企業的風險并最終形成審計意見。

2.4 以企業戰略為審計起點

企業經營戰略指導企業未來的發展方向，內部審計要把握好企業戰略和長遠規劃，才能充分發揮其服務職能，從戰略分析入手，按照“戰略分析——經營環節分析——剩余風險分析”的思路展開風險分析， 確定實質性審計程序的性質、時間和范圍。它使得審計人員從戰略系統觀角度對企業保持和加強風險管理體系的競爭優勢進行分析評價，指導審計重點、范圍、目標和程序，從系統上改進了審計方法，以適應新經濟環境的要求。

2.5 以風險識別為審計主線

風險導向審計以風險識別為起點，通過事前分析評估，提出應對風險的方案并輔之事后總結，完善風險管理制度，并檢查風險控制的有效性，及時揭示和報告潛在風險，提出防范措施和改進建議。

所謂風險識別是指在風險發生前，運用各種方法系統地、連續地發現風險的過程，了解企業存在的各種風險因素及其可能帶來的后果，將風險識別運用到審計中，審計人員可以針對不同的風險程度采取不同的實質性測試程序和相應的風險控制措施。風險識別方法有很多，如環境分析法、財務報表法、流程圖法、情景分析法、決策分析法、動態分析法、頭腦風暴法等，多種方法可在風險識別過程中結合運用。

2.6 以風險評估為控制手段

在風險管理框架下，內部審計的一個重要職能是協助建立和完善企業風險管理制度，對執行情況的有效性進行檢查，及時揭示和報告潛在風險，提出防范措施和改進意見，因此風險評估是風險導向審計的重要手段。它有利于幫我們確定合理的審計程序，揭示被審計單位財務、經營等方面風險，并重點考慮形成這些財務數據的業務經營及其他影響因素等方面，搜集充分、適當的審計證據。非財務因素如企業的戰略優勢在哪里，未來發展前景如何，管理方式與經營理念是否合理，主要競爭對手是誰，重要客戶是誰，人力資源素質怎么樣，面臨的法律監管環境如何及內部控制制度等。

風險評估的核心是分析性復核的運用。所謂分析性復核，就是以財務資料與非財務資料之間的表面關系或可預測的關系，評估財務信息的合理性，分析被審計單位的重要比率，包括這些比率異動及與預期數的差異，目的是評價業務的總體合理性。在多元因素評估過程中，還要將現代管理方法運用到分析性程序中去，使風險因素不再獨立，常用的分析方法有：戰略分析、績效分析、財務分析、會計分析及前景分析等。

3 風險管理框架下內部風險導向審計的應用過程

風險管理是一個動態過程，風險管理框架下的內部審計也是一個動態過程，且貫穿于企業管理全過程。

3.1 理解風險管理是一個動態過程

COSO對風險管理的定義是“風險管理是一個過程，它由一個主體的董事會、管理當局和其他人員實施，應用于戰略制訂并貫穿于企業之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內，并為主體目標的實現提供合理保證” 。從定義可以看出，風險管理滲透于企業經營活動全過程且反復相互影響，風險管理機制的運作是一個動態管理的過程，與經營管理活動交互存在。我們看到，風險和機會有時會互換，也是動態過程，如果把握不好，機會將變為風險，如果控制及時，風險也會轉化為機會。風險管理就是幫助管理層有效處理不確定性，規避風險、把握機會，提高企業創造價值的能力，這也決定了風險管理是個動態過程。

風險管理要素由內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通以及監控等八個相互關聯的要素構成。這些要素來源于企業經營方式，各個要素之間相互影響、互相作用。例如，風險評估促進風險應對，并影響控制活動，突出信息和溝通的重要性。因此，風險管理是多方向且反復的過程，不同要素之間相互影響。

3.2 風險導向審計貫穿于企業管理全過程

風險導向審計最終目的是為了完善公司治理，協助管理層應對風險、把握機遇，提升企業價值。它以風險為出發點，由傳統的事后評價變為全過程的動態反應，為管理層提供及時有用的信息，為公司治理相關措施的有用性給予反饋，并提出建議。所以，風險導向審計是將各項管理經營活動整合成一個完整、相互約束和自我改善的體系。它運用立體觀察的理論來判斷影響企業經營風險的各種因素，從企業所處的行業狀況、監管環境、經營目標、戰略規劃到經營方式、業務流程等內外部各個方面來評估企業的風險水平，把經營風險植入到本身的風險評價中去，并貫穿于內部審計的全過程。

我國學者黃園園提出，企業管理活動可以劃分為戰略管理、管理控制和作業活動三個層面，風險導向審計貫穿于企業管理的全過程，內部審計通過作業活動層面的風險導向審計和自我控制評價了解企業風險狀況和管理薄弱環節，進而向戰略管理層或管理控制層提出管理建議，在戰略層做出決策后向管理控制層或作業活動層提供管理咨詢，并在獲得授權的情況下協調作業活動層的改進工作。

3.3 風險導向審計在不同風險管理水平的作用過程

風險導向內部審計與傳統內部審計的區別在于其遵循的邏輯順序是“目標→風險→控制”，同時根據企業風險評估調整審計戰略，確定審計重點，緊密關注高風險的領域，以提供更相關、更符合管理層和董事會需求的確證信息。

在不同風險管理水平下，風險導向審計所發揮的作用不同（如表1）。在風險暴露階段，內部審計建立在審計風險評估的基礎上，采用風險管理方法；在風險察覺階段，內部審計建立在審計風險評估基礎上，協助建立企業范圍的風險管理方法；在風險確認階段，內部審計使用管理層的風險評估結果，促進風險管理的戰略和政策的實施；在風險管理階段，內部審計建立在管理層的風險評估基礎上，對風險管理過程進行審計；在風險管理融合階段，內部審計建立在管理層的風險評估基礎上，對風險管理過程進行審計。

當然，在不同風險階段，企業風險管理水平是不斷發展和變化的，在這種邏輯思路下，風險導向審計模式應根據不同的風險水平不斷調整審計目標和重點，發揮不同的職能作用。

4 結論與建議

4.1 結論

在風險管理框架下風險導向審計的功能得到有效拓展，在促進風險管理、內部控制和公司治理方面都發揮了重要作用，成為企業風險管理體系的重要組成部分。因此，風險導向審計貫穿于企業管理全過程，必須突破傳統觀念，以企業風險管理框架為理論依據，改進審計流程和方法，與風險管理機制相融合，其審計模式在不同風險管理水平下應隨之相應調整。

4.2 建議

我國內部審計起步較晚，無論在理論研究還是實際應用，與西方內部審計存在較大差距。隨著我國市場經濟體制逐步完善和世界經濟一體化，我國企業與西方企業面臨著同樣經營環境和風險，內部審計作為企業風險管理體系的重要環節，必將面臨嚴峻的挑戰。我們可以從以下三方面著手準備，為全面推廣風險導向審計提供基礎。

首先，努力改善內部審計的環境，兼顧內部審計的獨立性和客觀性。其次，強化對內部審計人員的職業素質訓練。風險導向審計的范圍不斷擴展，審計人員關注的范圍不斷延伸，對專業水平和職業道德的要求也不斷提升。從長遠看，內部審計職業化、社會化是發展趨勢，所以現階段企業應加強對內審人員的培訓，使其具有國際執業水平。 第三，加強公司治理結構。現代風險導向審計的起點是企業經營風險，重點關注重大錯報風險，因此公司治理的優劣與否直接決定重大錯報風險的程度，從而影響到審計效果。如果公司治理存在缺陷，管理層就可能損害內部審計的獨立性，影響審計人員所出具報告的客觀性，也可能造成監督和控制這兩個環節失效。所以，合理科學的公司治理結構對內部審計的有效性至關重要。

總之，我們應該行動起來，積極探討風險導向審計的基本原理、方法及適合我國實情的操作實務，以提高審計人員執業水平。