試述風險導向內部審計在業務工作中的應用

摘要:風險導向內部審計是指內審人員在審計過程以企業風險分析評估為導向，根據量化的分析水平的結果，排定審計項目優先次序，并且依據風險的量化水平和重要程度確定審計的重點領域，經過實施專業的審計程序后對企業的風險管理、內部控制和治理程序進行評價，進而提出建設性意見和建議，協助企業管理風險，實現企業價值增值的獨立、客觀的簽證和咨詢活動。

關鍵詞:奉獻導向內部審計應用

0 引言

風險導向在內部審計業務層面中也具有較強的應用意義，論述如下:

1 明確業務目標

如同每一個企業都有自己的經營目標一樣，每一個業務領域也同樣有自己的目標。經營目標是運營管理人員和他們的員工要實現的目的。例如，在對采購系統進行審計時，企業通常設定采購系統的目標為“在規定的時間內，用適當的價格為企業采購來經營所需數量的貨物和服務，運送到指定的地點，并且符合企業指定的質量標準”。這些目標都要通過經營程序或技巧來實現，內部審計人員可以根據不同的業務目標，來識別和評價影響其目標實現的風險。

2 設定業務層面風險可接受水平

在對企業業務層面進行風險管理評價時，同樣要設定風險可接受水平。通常情況下，業務層面風險可接受水平要比企業層面風險可接受水平低。同時，根據重要性的不同，不同的業務領域也有不同的風險可接受水平。例如，在會計系統中，現金管理的風險可接受水平通常比應收賬款管理的風險可接受水平低。

3 識別風險

內部審計人員在列示和識別業務層面的風險時，常用的方法也采取編制風險清單，但業務層面的風險清單要比戰略層面的風險清單復雜。在風險清單上，每一個被審計的業務程序被分為單獨的子程序、功能或活動，尤其單獨的目標和風險，審計人員根據風險的兩要素分別對每個風險進行打分和排序，以選定審計范圍。

4 選擇審計領域

審計人員可以通過打分的方式來識別影響業務目標實現的高風險領域，將審計重點集中在固有風險高的領域上。審計人員應制定審計計劃，合理分配審計資源，優先審計那些高風險領域，同時確保審計范圍涵蓋業務的所有固有風險超過可接受風險水平的業務領域。

5 評價風險控制

在充分鑒別風險的基礎上，內部審計人員要測試被審計單位現有內部控制(或風險管理政策和程序)的健全性和有效性，以確定影響業務目標實現的重要風險是否被控制在可接受水平下。目前企業使用的風險管理評價的方法有很多，如問卷調查、座談會、流程圖法、矩陣分析、COSO列舉法等。以下介紹比較常用的三種:

5.1 風險管理自評 風險管理自評的方法就是要求審計人員與被審計部門管理人員組成一個小組，管理人員在內部審計人員的幫助下，對本部門風險管理的恰當性和有效性進行評估，然后根據評估提出審計建議，由管理者實施。

風險管理自評具有如下優點:對企業而言，風險管理自評提供了一個管理控制風險的工具，保證內部審計人員和管理人員共同對風險進行控制。這是綜合地控制企業的各方面，包括相關的社會效益，使企業對風險管理有一個更全面的了解。不僅要考慮發現的問題，如何改進，促進各部門更有效的履行責任，管理人員參與風險管理評價使其對控制措施有更深理解，便于改進措施的落實，提供對控制及風險的持續評估與改進。

對管理部門而言，風險管理自評可以反映當前管理控制中存在的問題，也向高層管理部門表明他們對現存風險管理的態度，明確了管理責任，保證企業內部有良好的人員分工，使其更好的履行職責。

對內部審計而言，風險管理自評最重要的一點是讓管理部門了解到對風險管理的責任，同時還可以提高審計的效率和效果，減少審計人員的工作量，節省了審計時間，降低了審計成本。

風險管理自評方法的缺點是得到管理層支持，主動識別并進行風險評價。同時雙方對于風險理解上的不同也往往難以統一。

5.2 風險管理矩陣 風險管理矩陣法是審計人員根據企業經營目標、風險與控制之間的聯系，為確保審計建議能針對重要的風險而建立的一張工作表。該表通常包括以下內容:明確企業的經營目標，審計人員對被審計事項的初步了解，根據初步了解的情況識別風險因素，該業務的固有風險，適當的控制措施，控制措施是否會影響其它目標的實現，業務的剩余風險，審計人員的評價和結論。

風險管理矩陣是把控制風險結合起來的一種工具，它確保每種風險都有相應的控制。內部審計人員通常在測試的最后階段來做這個矩陣，其優點是可以全面直觀地反映出該業務每一個目標的測試和評價，有助于識別和關注重要風險。

5.3 數據庫法 收集風險數據是企業常用的風險評估法。內部審計人員通過收集業務相關數據，建立數據庫，利用一定的指標來評估風險。數據庫應包括企業的外部信息和內部信息，對于外部信息，內部審計人員可以利用社會上公開的信息資源，如利用有關行業協會的統計資料，了解和掌握本行業的發展情況，或通過信息網絡了解國家政策、本行業或相關行業市場變化情況。對于內部信息的收集可以通過調查問卷、閱讀企業的文件及合同、計劃、財務報告、投資可行性分析報告等有關資料獲得。內部審計人員通過設定相應的預警指標和臨界點，對于收集來的信息進行監控，對于出現異常的業務領域及時作出反應，在風險事件真正發生之前，即對風險的成因進行控制，阻止風險事件的發生或使發生后的損失降到最低。

數據庫法的優點是把企業面臨的風險進行量化，發揮預警的作用，以便及早發現企業存在的問題，及時進行處理。內部審計人員通過訪問數據庫，了解哪里存在風險，風險的嚴重程度，并將風險按照重要程度進行排序。例如，審計人員以應收賬款的回收期作為一個風險因素，通過訪問數據庫就可以查出所有存在應收賬款超期的部門，并按照超過的期限和金額的大小進行排序。數據庫法使得審計人員能夠及早發現經營中存在的問題，并采取有效的控制措施。

6 報告審計評價

在對一個業務模塊的風險管理評價結束后，內部審計部門應出具專項評價報告，報告應當包括審計范圍，設定的風險可接受水平，業務的固有風險水平，對該業務模塊風險管理政策和程序有效性的評價，發現的問題、可能產生的影響、解決的過程、解決的結果、剩余風險，審計建議等。在審計報告中，審計人員應當對剩余風險超過設定的可接受風險水平的領域提出改進措施的建議，采用的方法有:避免風險、損失控制、分離風險單位、非保險方式的轉移風險(包括轉移風險源、簽訂免除責任協議、利用合同中的轉移責任條款)、保險等。

在出具審計報告之前，審計人員應當就報告所包含的內容充分與被審計單位溝通，以提高審計工作的效果。審計報告應送達該業務模塊所涉及的部門和風險管理部門并在審計部門留底備案，報告的周期根據業務模塊評價時間確定。

7 后續審計

由于種種原因，被審計單位有可能表面上認可審計結果，卻沒有采取任何實質性的改進措施，這不僅無法進行有效的風險管理，也會動搖內部審計在企業中的威信和存在價值。所以，后續審計就成了內部審計工作中的關鍵程序。

后續審計是指在審計報告發出后，內審人員仍然要為報告中所涉及的審計結果和審計建議進行跟蹤，以審查和監督被審計單位是否采取了風險防范和控制措施。后續審計應該跟蹤到:對于重大的審計發現，相關部門和環節是否予以糾正;若不予糾正，責任和原因到底在哪兒。為了便于企業高層理解審計部門的工作，保證審計建議有效落實，后續審計也必須有具體、詳細的跟蹤記錄。跟蹤記錄應反映:審計結果和建議、責任人、截至到目前采取的糾正措施、未糾正的原因、計劃采取的措施等。

后續審計仍然必須堅持風險導向和成本效益原則。如果風險較大或是潛在性的，不僅高層管理層要重視后續審計，內部審計人員也要投入時間、精力，拓展后續審計項目的深度和廣度。反之，后續審計可僅限于詢問和簡短的討論，以節約審計成本。