風險導向內部審計在商業銀行風險管理應用探討

一、商業銀行實施以風險導向內部審計的必要性

(一)傳統內部審計與現代風險導向內部審計的區別

傳統內部審計通常考慮內部控制是否充分有效，而風險的大小僅用于表明控制的薄弱或健全環節，從而實現防弊或興利的目標。這種模式使內部審計被埋葬于反映過去的細節之中，結果是不斷加強、補充、完善控制，在一層控制基礎上再疊上一層控制，長期下來會拖累企業前進的步伐。盡管有著防弊與興利的審計目標，但是無法與企業目標相關聯，導致內部審計無法證明其價值所在。

現代風險導向審計的內涵與實質風險導向審計是在賬項基礎審計、制度基礎審計的基礎上產生的，現代風險導向審計產生的主要標志是:2003年10月國際審計與鑒證準則理事會((IAASB)對審計風險準則進行了修訂，并執行新的風險導向模型，即審計風險=重大錯報風險×檢查風險，中國注冊會計師協會也及時修訂了我國審計風險準則并出臺了四個征求意見稿。至此，現代風險導向審計作為一種新方法、更作為一種新理念成為倍受審計職業界關注的熱點。

現代風險導向審計實質是以被審單位的重大錯報風險為導向，對被審單位可能引起重大錯報的內外部風險因素進行評估，以確定審計的重點和范圍，將有限的審計資源集中在高風險領域，合理配置審計資源，以提高審計效率和效果的一種審計方法。它不僅僅是審計技術方法、審計程序上的一大變革，更重要也最根本的是審計理念的更新，是一種基于戰略系統觀的審計新理念。

(二)風險導向內部審計的優勢

現代風險導向審計與傳統風險導向審計相比，它將被審單位的風險評估的范圍從微觀拓展到了宏觀，審計理念有了質的飛躍，風險導向審計與賬項基礎審計、制度基礎審計相比，它突出了對被審單位的風險評估，審計重心向風險評估轉移，具體說來凸現以下特點:一是由固有風險、控制風險兩種因素的風險評估轉向重大錯報風險的綜合性分析評估。二是對風險的評估由賬戶、報表的微觀層次轉向行業背景、戰略決策等宏觀層面分析，將被審計單位置于宏觀層面分析與其重大錯報風險相關的內外部環境及其它風險因素。三是以注重審計實質性測試為中心轉向以重大錯報風險的評估為中心，注重分析性程序的運用。四是擴大了審計證據的內涵。

(三)風險導向內部審計的思路

風險導向內部審計采取思路是:首先確認企業目標或某項交易的目標，然后分析對這些目標產生影響的風險以及能夠管理這些風險的控制，最后測試實際的控制能否切實管理這些風險。內部審計人員關注的并非控制的充分性和遵循性，而是風險是否得到適當管理和控制。這樣，內部審計人員通過風險與企業目標的實現直接聯系起來，其服務對公司治理層及管理層而言非常有價值。

(四)銀行實施現代風險導向內部審計的意義

銀行是經營貨幣的特殊企業，它的不穩定性、高風險性和負外部性決定了銀行業的發展必須依賴于良好的內部控制與外部監管。內部審計是銀行內部控制的重要組成部分，內部審計又對內部控制的健全性和有效性實施再監督，銀行的內部審計是非常重要且必不可少的。

然而，但現實中，商業銀行內部審計資源卻不同程度地存在著短缺問題。商業銀行資產負債多、中間業務量大、資金往來頻繁、會計資料及相關信息繁雜，在此情況下，若商業銀行內部審計在計算機輔助情況下仍用傳統的方法審計，從方法上講是可行的，但是不經濟，效率較低，而且，最關鍵的是不能突出審計重點，以強化銀行的風險管理。所以如何解決銀行內部審計資源與審計需求的矛盾，使有限的審計資源得以合理配置，同時適應銀行風險管理的內部審計要求，成為現實問題。筆者以為，現代風險導向審計作為一種審計新方法、新理念，值得銀行內部審計借鑒。

傳統商業銀行的內部審計工作主要是圍繞著企業財務和具體項目進行的、以交易為基礎的合規檢查、業績檢查，其工作目標主要是滿足合規和真實性方面的要求，最顯著的缺陷在于對審計結果利用不足，內部審計資源的投向缺乏針對性，降低了內部審計工作的整體效率。雖然在重要性原則和謹慎性原則的指導下，傳統的內部審計工作會側重于對高風險領域的檢查，但是并沒有系統規范地確認高風險領域的方法，更多的機構則依靠內部審計人員的經驗判斷。同時，商業銀行實施風險導向內部審計是形勢所迫。1995年巴林銀行倒閉，2002年美國安然公司破產、2008年美國雷曼兄弟公司破產引發的世界經濟危機，使我們更加關注企業內部風險管理和控制;與此同時，企業內部審計的職能被定義為一種旨在增加組織價值和改善組織營運的獨立、客觀的確認和咨詢活動。在這種形勢下，傳統的內部審計工作方式己經不能全面評價和反映企業的風險水平，其組織方式也難以適現代審計工作的管理需要。以查錯防弊為重點的內部審計容易導致內審部門重視細枝末節，忽略主要風險。隨著商業銀行內部控制的日益加強和會計信息質量的不斷提高，賬面資料的錯誤弊端會越來越少。在全面實現內部審計職能和風險導向的要求下，內部審計的工作重點必須從傳統的“查錯防弊”轉向為公司內部的管理、決策及效益服務，其作業范圍也應擴展到銀行經營管理的各個方面。

近幾年發生的中國銀行黑龍江分行的上億元存款不翼而飛的“高山”事件，以及銀企內外勾結的廣東“南海公司”騙貸案、北京中行7.5億元虛假按揭案等無不顯示:銀行業必須健全內部控制制度，必須強化內部控制的有效性，必須加強內部控制與外部金融監管及審計監督協調。而且，隨著內部審計的監督職能向服務管理職能的轉變，銀行更加迫切地需要科學、高效的審計方法。因此，在銀行實施現代風險導向審計有著非常重要的現實意義。

二、銀行現代風險導向內部審計的可行性分析

(一)技術層面的可行性分析

商業銀行有著良好的計算機信息技術平臺。實施現代風險導向審計方法的難點之一是如何建立審計對象的信息數據庫問題，因為，現代風險導向審計要從宏觀、微觀不同層面對被審單位進行風險評估，其先決條件是審計人員必須充分了解被審單位情況，從經濟學的角度講，信息不對稱或信息不完全極易產生道德風險、逆向選擇。商業銀行信息技術起步較早、發展較快，有著良好的計算機信息技術平臺，2004年以來，人民銀行又更新了商業銀行賬戶管理系統、支付結算系統、電子驗印系統、客戶身份識別系統等軟硬件系統，與之相關聯的商業銀行支付清算系統也相應地配套更新，其較完善的信息化系統與程序為數據采集奠定了基礎，為商業銀行內部審計人員充分了解本行的資產質量、負債狀況、結算業務操作及其內部控制等提供技術支持。

(二)管理模式層面可行性分析

商業銀行有著較為科學規范的風險管理模式和較成熟的風險管理經驗。早在1996年，中國銀行業即開始嘗試授信管理，后來又引進了客戶信用評級體系和貸款風險分類制度，2001年新巴塞爾委員會又對銀行風險管理進行了改進，其風險的識別、評估與認定為風險導向審計提供了借鑒，使現代風險導向審計在商業銀行運用成為可能。

(三)運用效果層面的可行性分析

國際一些知名的會計師事務所在銀行運用風險導向審計已取得成功經驗。如畢馬威會計事務所早在1976年就實施了審計領域研究項目，20世紀90年代初期，已認識到發展新的審計方法的必要性，1997年畢馬威研究小組提出了以戰略分析、經營環境分析、風險評估、業績計量和持續提高等五大原則分析企業的經營風險，在對很多商業銀行的審計中，運用風險導向審計方法，取得良好效果。德勤國際會計公司在對商業銀行審計時注重運用分析性復核，在全球統一采用風險基礎審計理論，按照業務循環劃分銀行活動，制定專門的審計程序，充分考慮銀行特點及在復雜的市場環境和產業環境下的經營情況，全面關注銀行風險，以確定關鍵經營風險如何影響其財務結果。

三、銀行風險導向審針的實施

(一)銀行運用風險導向審計的目標定位

國際審計和鑒證準則委員會(IAASB)將審計風險=固有風險×控制風險×檢查風險的風險模型修改為:審計風險=重大錯報風險×檢查風險，至此，對重大錯報風險的評估成為審計重點。CPA將重點放在可能引起會計報表錯報、漏報的一切因素的分析，其目標是:正確、準確并高效地鑒證會計報表，而內部審計不僅具有經濟監督的職能，還兼有管理、服務、咨詢等職能。因此，內部審計人員關注的焦點不應僅僅是會計報表重大錯報、漏報的若干風險因素，應進一步延伸拓展到商業銀行業務經營中的若干風險，其目標定位是:借鑒現代風險導向審計方法，加強銀行的風險管理。將現代風險導向審計與銀行的風險管理結合起來，從宏觀到微觀，至上而下地全面分析商業銀行業務與經營中的若干風險因素，對銀行的外部環境、內部控制、商業銀行經營及業務操作流程等進行全面分析與評價，以實現內部審計參與管理、差錯糾正、防范風險、增加價值的目標。

(二)現代風險導向審計方法在銀行運用的具體程序

1.分析評價商業銀行外部環境。金融與經濟及整個社會政治環境緊密相聯，巴塞爾銀行監管委員會也將金融風險劃分為:信用風險、投資風險、利率風險、匯率風險、市場價格風險、資金過度集中風險、國家風險、銀行內部管理風險和操作風險等。因此，商業銀行外部環境是個涉及面很廣的宏觀概念。審計人員在實施商業銀行內部審計時，應重點分析以下外部影響因素:政治、法律環境，國內、國外經濟金融形勢，貨幣政策目標，社會信用體系的構建及金融監管的有效性等。

2.評價商業銀行內部經營環境。傳統的風險導向審計主要是評價內部控制，但若銀行管理層舞弊或操作者串通舞弊，則再好的不相容崗位的分離也將失去效應。因此，現代風險導向審計注重對重大錯報風險的全方位評價，將審計視角擴展到內部控制以外，在評價商業銀行內部經營環境時，除相應的會計控制、程序控制、風險控制等內部控制外，還應關注:商業銀行的經營目標與理念、組織結構、風險管理戰略、管理者素質、偏好、政策與過程等。

3.關注銀行業務及經營中的重要風險點及風險域。橫向上看，應關注的商業銀行資產、負債、中間業務、聯行業務、財務等業務經營領域、表外業務等業務事項，并抓住每一環節的重要風險點。縱向上看，應關注政策制度變更及金融業務創新可能帶來的重大風險。最后，在對業務經營風險進行宏觀、中觀和微觀的分析評估基礎上，還應對其風險嚴重程度作出判斷與分類，可引用《巴塞爾協議》風險評級的方法，確定不同的風險系數從0-100%，只有準確地判斷了重大風險點和重大風險域，才能合理有效地分配審計資源，實現資源配置合理使用。

4.實施控制測試和實質性測試。現代風險導向審計不能忽視微觀層面的操作風險。因此，應實施內部控制測試，并分析重點，實施實質性測試。實質性測試主要是對賬簿、報表所反映的經濟業務和事項進行審計，防止在市場經濟條件下，講究效率優先的同時，產生審計風險甚至審計失敗。因此，應結合重大風險各因素的綜合分析與判斷，借鑒巴塞爾銀行監管委員會的風險權重，將審計資源向重點風險領域傾斜，以實現“全面審計、突出重點”，在提高審計效率與效果的同時，強化銀行風險管理。

(作者單位:大連銀行稽核審計部)