對信息條件下我國商業銀行風險導向內部審計立項問題研究

［摘 要］ 隨著計算機技術的廣泛應用，信息化處理滲透于商業銀行的日常經營、重大決策、控制監督等方方面面。面對經營和賬務處理產生的大量信息，如何進行加工整理，發現和選擇商業銀行經營風險大的業務并進行年度審計立項，是商業銀行內部審計部門價值的集中體現，是其必須重視的問題。基于此，本文以風險為導向對商業銀行內部審計立項的方法進行了研究。

［關鍵詞］ 信息；商業銀行；風險導向；審計立項

doi:10.3969/j.issn.1673-0194.2009.10.0２1

［中圖分類號］F239.45；F830.33［文獻標識碼］A［文章編號］1673-0194（2009）10-0060-04

一、引言

我國于2006年12月已全面放開金融市場，這使國內商業銀行面臨的經營風險進一步加大。而其作為國家經濟命脈，是否能夠持續健康地發展對宏觀經濟和社會穩定起著至關重要的作用。如何防范經營風險是我國商業銀行理論界和實務界必須研究的一個重要課題。從國外先進銀行的成功管理經驗來看，商業銀行內部審計部門作為風險管理平臺的重要組成部分，關注的重點就是商業銀行的經營風險，找出經營風險大的審計對象進行審計。而從目前國內商業銀行內部審計的現實情況來看，大多數商業銀行仍采用“拍腦袋”的方式進行內審立項，即以決策者的要求或是下級行提出的審計需求為主要依據。這種“拍腦袋”式的審計立項，實質是一種主觀判斷，不能量化審計對象的經營風險，難以突出商業銀行風險導向內審的特點，有可能將經營風險較大的審計對象漏掉。所以進行商業銀行內部審計的科學立項，充分利用信息處理平臺和數據接口，建立一種以評價審計對象經營風險為目的的審計項目選擇體系，對于提高內審工作效率、突顯其價值和降低經營風險有著重要意義。

二、商業銀行內部審計立項方法的思路

首先需要說明的是本文中所談的商業銀行內審立項的風險導向原則，并不是審計學中一般意義上的風險導向審計。因為大多數審計學教材中所指的風險導向審計是立足于民間審計，針對注冊會計師在財務報表審計中，通過使用審計風險模型并積極采用分析程序，規避審計風險，實質是一種強調自我保護的審計策略。而本文中提及的商業銀行內部審計立項的風險導向，是指以商業銀行所經營的業務或所屬分行的經營風險大小為依據來確立審計項目，其核心思想就是參照新巴塞爾資本協議{1}，對商業銀行審計對象進行分類，按照新協議中有關經營風險的計量方法將風險量化并分配到重新劃分的審計對象中，使每個審計對象之間可以比較，為商業銀行的內部審計年度立項提供依據。

(一)商業銀行審計對象的分類——確立審計單元

按照新巴塞爾資本協議，商業銀行面臨的風險主要包括信用風險（α1風險）、市場風險（α2風險）和操作風險（α3風險）。其中信用風險是指由于借款人或市場交易對手違約而導致的損失的可能性，包括交易對手的違約風險和其信用狀況和履約能力上的變化，可能導致債權人資產價值發生損失的風險。市場風險是指因市場價格變動而使商業銀行表內外業務發生損失的風險，根據基準市場價格的不同，市場風險可分為利率風險、股票價格風險、匯率風險和商品風險。操作風險是指由于人員和系統的不完備或失效，或由于外部事件，造成損失的風險。而由審計對象內部控制（內部控制是指企業為了保證業務活動的有效進行，保護資產的安全和完整，防止、發現、糾正錯誤與舞弊，保證會計資料的真實、合法、完整而制定的政策與程序）不健全而引發的風險，稱為β風險，其大小可以按照內部控制的評價結果來代替。審計對象的分類是商業銀行內部審計立項的基礎。首先將商業銀行的產品按照涉及的經營風險因素不同分成兩大類集，其中：甲類產品主要涉及商業銀行的資產與負債業務，涉及了α1風險、α2風險、α3風險和β風險。乙類產品是提供后臺支持或管理服務的，主要涉及β風險，本文假設商業銀行已建立了內部控制評價體系，可以定期進行內部控制狀況的評價，得出量化的評價結果，對其進行風險測試可以直接利用內部控制的評價結果。其次將以上兩類集列入二維坐標軸的橫向，而坐標軸的縱向是按照商業銀行授權設立的不同級別的營業機構，如第一層為總行本級、第二層為分行本級及其經營網點等。最后橫向與縱向的交點即是審計單元，審計單元的劃分情況參照如下二維矩陣表（見表1）。

（二）建立甲類產品經營風險測算模型

如果簡單使用新巴塞爾資本協議的風險計量技術，存在甲類產品的經營風險測算結果對最新內部控制的變化不敏感的情況，所以需要建立相關數學模型對甲類產品的經營風險測算結果進行修正。具體做法是：在得出甲類產品的α風險測算結果后，先將上期的β風險（數據用上期的內控評價結果代替）進行剝離，然后再將當期的內控評價數據添加進去，這樣可以更好地反映出甲類產品的經營風險狀況。

在測算甲類產品的經營風險時，為了將當期的內控評價數據置換進來，經過數學推導（過程略），建立如下用來測算經營風險測算當期值的計算公式:

R甲=（α1+α2++α3）×β1×{7/［（α1 +α2+α3） + β0-1］}/3。

式中，R甲為甲類產品經營風險測算當期值，β1為當期內部控制測試值，β0為上期內部控制測試值。

三、審計單元經營風險測算過程

（一）審計單元風險評估的數據準備

在評估期內，有關各種業務信息可以通過數據倉庫的數據接口取得，一般應包括如下主要數據：

（1）審計對象評估期間的試算平衡表或總賬二級科目余額明細；

（2）審計對象評估期間的５級分類口徑信貸資產歸屬二級科目的余額數據；

（3）審計對象評估期間的非信貸不良資產歸屬二級科目的余額數據；

（4）審計對象評估期間的甲類產品的市場占比情況；

（5）基于COSO{2}的內控評價模型對機構內部控制情況進行測試的評分結果（當期的和上期的）；

（6）被評估審計對象審計單元的資產規?！艫，其中∑A為全部審計單元涉及資產科目當年１０日均余額之和。

（二）對審計單元經營風險的測算

由于審計單元性質不同，涉及的經營風險分項也不相同。例如：在甲類產品中，資產類產品的經營風險主要包括α1風險、α2風險和α3風險；負債類產品的經營風險主要包括α2風險和α3風險兩部分。而在乙類產品中僅涉及β風險。

1. 對甲類產品經營風險的測算

測算的過程主要包括：對審計單元的信用風險進行測算、對審計單元的操作風險進行測算、對審計單元的市場風險進行測算、合成及對甲類產品內控評價數據的置換。

（1）對審計單元的α1風險進行的測算。

α1風險主要針對各項業務（資金業務除外）涉及的資產而言。

α1風險=（各資產科目正常類資產年末余額×正常類資產預計損失系數+各資產科目關注類資產年末余額×關注類資產預計損失系數+各資產科目次級類資產年末余額×次級類資產預計損失系數+各資產科目可疑類資產年末余額×可疑類資產預計損失系數+各資產科目損失類資產年末余額(損失類資產預計損失系數）/∑A。

其中正常類、關注類、次級類、可疑類和損失類的分類標準可以借鑒人民銀行關于商業銀行貸款５級分類的標準，具體標準見表2。

其中各系數標準可以參照我國有關金融監管部門的有關規定，也可以根據上期經營風險測算的結果并結合專家判斷，對各系數標準進行調整。

（2）對審計單元的α2風險進行的測算。

由于我國的利率市場化程度不高，在本文中商業銀行審計單元α2風險暫不按照巴塞爾協議中的要求進行計算，而是采用較為簡單的缺口分析（Gap Analysis）法進行評估。審計單元α2風險計算公式：α2風險=|利率敏感性資產-利率敏感性負債|=|短期貸款-公司類活期存款| /∑A。

（3）對審計單元的α3風險進行的測算。

審計單元的α3風險是按照當期所實現收入的可能損失的金額的一定比例計算。資產類產品α3風險計算公式為：α3風險=|年內各審計單元對應收入額－各審計單元對應資產當年５日均余額×上存資金利率|×18%{3}/∑A；負債類產品的α3風險計算公式為：α3風險=|（審計單元對應負債日均或５日均余額×上存資金利率－審計單元對應負債業務支出額|×18%/∑A。

（4）審計單元經營風險測算結果的合成。

第一步，合成α風險。根據上文中的計算結果，將α風險進行匯總，其中α風險=α1風險+α2風險+α3風險；

第二步，置換β值。依據上期和當期的COSO內部控制審計評價結果，分別取得各審計單元的內部控制的上期和當期百分制評分S（i，j），審計單元的β值（i，j）=[100-S（i，j）]/100。利用公式: R甲=（α1+α2++α3）×β1×{7/［（α1+α2+α３） + β０-1］}/3，計算出甲類審計單元的經營風險當期測算值。

2. 對乙類審計單元經營風險的測算

根據前文所述，由于乙類審計單元僅涉及控制風險，所以根據COSO內控評價的結果直接測算乙類單元的經營風險，公式為R乙＝| β1 -β0 |×100％。其中，R乙為乙類審計單元的控制風險；β1為當期內部控制測試值；β0為上期內部控制測試值。

（三）充分利用商業銀行的數據倉庫

經營風險測算過程可用函數關系式來表示：Ｙ= f{A， f1(O，A，X)， f2 (O，A，X)}。其中，Y為風險測算結果數據集；O為來源于經營部門的業務數據集，主要包括會計賬務數據、信貸資產質量數據、非信貸資產質量數據等；A為來源于內審部門的數據集，包括依據COSO內控評價體系得到的審計單元內控評分、風險評估參數等；X為內審人員根據有關信息確定的重大調整事項對應的數據集。

以上對商業銀行審計單元劃分、數學處理模型以及審計單元經營風險測算等過程可以編寫計算機程序，形成處理操作友好界面，通過建立與業務系統的數據接口，進行信息的自動化處理，提高工作效率，下文對商業銀行的數據倉庫及數據測算的過程作簡單介紹。

1.數據倉庫的結構

數據倉庫是指在銀行經營管理中面向主題的、集成的、與時間相關的、不可修改的數據集合。對商業銀行來講，一般的數據倉庫由如下構成：

（1）數據源。通常包括銀行內部信息和外部信息。內部信息包括存放于RDBMS中的各種業務處理數據和各類文檔數據。外部信息包括各類法律法規、市場信息和同業的信息等。

（2）數據的存儲與管理。它是整個數據倉庫系統的核心。按照數據的覆蓋范圍可以分為總行級數據倉庫和部門級數據倉庫，即為了特定的應用目的或應用范圍，而從數據倉庫中獨立出來的一部分數據，在數據倉庫的實施過程中往往可以從一個部門的數據集市著手，再用幾個數據集市組成一個完整的數據倉庫。

（3）OLAP服務器。對分析需要的數據進行有效集成，按多維模型予以組織，以便進行多角度、多層次的分析。

（4）前端工具。主要包括各種報表工具、查詢工具、數據分析工具、數據挖掘工具等各種基于數據倉庫或數據集市的應用開發工具。其中數據分析工具主要針對OLAP服務器，報表工具、數據挖掘工具主要針對數據倉庫。數據倉庫的結構關系如圖1所示。

2.利用數據倉庫進行測算的過程

利用數據倉庫進行測算的過程如圖2所示。

首先是設定相關任務數據，其次通過數據倉庫進行數據挖掘，再次是將挖掘結果輸入經營風險評估模型中進行計算，通過對計算結果進行復核性分析，最后將差異較大的結果與數據系統進行再交換處理，實現數據的二次計算，得出修正后的結果。

（四）后續處理

1. 確定內部審計計劃

商業銀行首席審計官在綜合年度工作目標、風險評估報告、備選審計項目、審計資源情況的基礎上，確定年度審計計劃。

2. 確定審計單元下次檢查時間

（1）通過制作“審計單元審計時間表”，在表中標注每個業務單元的上次審計時間。

（2）按立項年度審計單元經營風險測算值重新確定每個審計單元的審計周期并依此調整“審計單元審計時間表”中審計單元的下次應審時間。

（3）在“審計單元審計時間表”中，把下次審計時間與立項年份數相同的審計單元選出來，同時還要識別監管當局和決策層關注的重點業務，得出“審計單元當期審計時間表”，作為立項選擇的依據。

3. 對審計單元風險測算結果進行披露

按照全面風險管理框架（Enterprise Risk Management）的有關原則，商業銀行內部審計部門應該把風險測算結果以及據此形成的風險評估報告進行內部披露，實現風險狀況信息的共享，并可以督促評估結果較低的審計對象改善風險管理情況。

四、結語

商業銀行是專門經營貨幣的特殊企業，具有高負債性和高外部性的特點，其不僅追逐效益性，也更加關注安全性和流動性。我國的商業銀行法中特別明確商業銀行要以安全性、流動性、效益性為經營原則，將安全性放于“三性原則”的首位，可見其應是經營管理中首要關注的問題。作為以風險評估為核心，充分發揮商業銀行數據倉庫作用的內部審計項目選擇方法，在功能上很好地實現了商業銀行這種安全性的要求，使商業銀行內部審計項目選擇更理性、可度量，并使內審的事后監督職能前移，進一步體現內審的價值，同時也是對商業銀行內部審計理論和實務的進一步完善。

主要參考文獻

［1］ 章彰.商業銀行信用風險管理——兼論巴塞爾新資本協議［Ｍ］.北京：中國人民大學出版社，200２.

［2］ 屈延文，等.銀行行為控制——銀行信息化與安全［Ｍ］.北京：電子工業出版社，2006.

［3］ 管勁松，等.審計風險管理［Ｍ］.北京：對外經濟貿易大學出版社，2005.

［4］ 胡春元，風險基礎審計［M］.大連：東北財經大學出版社，2006.

［5］ 邱銀河，等.計算機審計實務操作［Ｍ］.北京：人民郵電出版社，2006.

注：本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文