論風險導向內部審計與企業風險管理

薛 珊

（1.蚌埠市國家稅務局，安徽 蚌埠 233000；2.安徽財經大學，安徽 蚌埠 233000）

論風險導向內部審計與企業風險管理

薛 珊1，2

（1.蚌埠市國家稅務局，安徽 蚌埠 233000；2.安徽財經大學，安徽 蚌埠 233000）

文章以內部審計定義的變遷為出發點，指出風險導向內部審計是當代企業的必然選擇，剖析了風險導向內部審計與企業風險管理之間的聯系，認為風險導向內部審計與企業風險管理的結合主要體現在治理層面與具體業務層面，并從內部審計部門模式、控制自我評估（CAS）、風險導向的勝任力、內部審計流程等四個方面來探究如何完善風險導向內部審計。

風險導向；內部審計；風險管理

一、內部審計概念的變化

國際內部審計師協會（IIA）自1941年成立至今共發表了7個內部審計定義，這些定義的修改和發展，反映了內部審計為了適應社會經濟環境的變化而不斷發展的過程。從不斷變化的內部審計概念，我們發現，人們對內部審計的作用和地位的認識和期望，已經發生了深刻的變化，內部審計的職能己大大拓展。內部審計已經由原來的審查會計工作轉變為一個獨立的職業、一個改進風險管理、控制和治理的過程、一個為組織實現目標的增值活動。內部審計具體概念變化如下表所示：

表一：內部審計概念演變表

階段 時間 定義 具體說明1990、《內部審計職責說明書》內部審計工作是在一個組織內部建立的一種獨立評價職能，目的是作為對該組織的一種服務工作，對其活動進行審查和評價。把內部審計定義為“建立在一個組織內部的”服務工作，以此與外部審計相區別。1993、《內部審計職責說明書》內部審計工作是在一個組織內部建立的一種獨立評價職能，其目的是協助該組織的管理成員有效地履行他們的職責首次解決了為組織服務的具體含義。風險導向審計階段1999、 專業實務框架(PPF)內部審計是一種獨立、客觀的確認和咨詢活動，旨在增加價值和改善組織的運營。內部審計的發展進入了一個新的更高層次和階段，使內部審計的作用更具有前瞻性、咨詢性。

自二十世紀四十年代以來，現代內部審計的目標不斷隨著時代的變遷而變化。根據國際內部審計師協會（IIA）關于內部審計職責說明書和內部審計職業標準的要求，內部審計目標從為管理者服務（IIA，1947）、為管理當局服務（IIA，1957）、協助組織成員有效履行其職責（IIA，1978）、協助本組織成員有效地履行其職責并以合理的費用促進有效的控制系統（IIA，1990）、到增加組織價值以及改善組織經營（IIA，1999），其中“價值增值(value-added)”目標是 IIA 在1999年修訂內部審計定義時首次提出的。隨著這一目標的確立，內部審計的職能、業務內容及范圍、審計技術與方法也隨之突破了傳統的范疇，出現了新的變化和發展。

二、風險導向內部審計是必然選擇

（一）風險導向內部審計適應了現代公司治理的要求

從契約的角度看，企業是一系列契約的結合體(張五常,1983)。受托經濟責任關系因契約的確立而存在，并隨著企業內、外環境的變化使得契約關系越來越復雜。公司治理就是現代企業制度下企業及其利益相關者之間在契約關系基礎上的一種制度安排。在過去的10年，始于上市公司進而擴大到所有企業，希望提高其治理效果的要求越來越高（IIA,2003）。完善公司治理的原因一方面是企業利益相關者希望企業通過提高治理水平來降低風險、降低資本成本來實現價值增值；另一方面來自于法律監管方面的壓力，如著名的美國薩班斯法案、英國的公司治理聯合法案 (the Combined Code on Corporate Governance)等。很多國內學者探討了公司治理背景下如何發揮內部審計獨特的作用王光遠（2003）[1]、宋常（2003）[2]等學者認為，內部審計是現代公司治理的一部分；楊有紅（2004）[3]、程新生（2004）[4]認為內部審計、內部控制與公司治理存在互動關系。

COSO委員會2004年頒布了《企業風險管理綜合框架》（Enterprise Risk Management－Integrated Framework），該框架指出，風險管理必須與內部控制框架相協調，把控制目標的建立嵌入到某種形式的風險管理當中去。風險管理作為這統一的核心內容有效的整合和公司治理與內部審計。它們之間的關系如下圖1所示：(其中，CG：公司治理；IC：內部控制；RM：風險管理；IA：內部審計)

圖1 內部審計、風險管理、公司治理關系圖

由上圖可知，企業風險管理框架是對于內部控制概念的擴展，為審計人員評價戰略風險和經營風險提供了良好的框架。在這樣的背景下，內部審計部門為了更好地給組織增加價值，風險導向審計是其必然選擇。

（二）風險導向內部審計彌補了控制基礎審計的缺陷

在制度基礎審計階段，內部控制模型已經成為提高內部審計績效、管理組織風險的有力工具。經培訓的內部審計人員對內部控制系統進行詳細的檢查，提出改善內部控制的符合成本效益原則的建議。他們的審計計劃、審計測試和審計報告全部都圍繞內部控制而展開。因此，大多數內部審計人員自然傾向于從被審計單位的內部控制而不是從內部審計目標開始審計業務。

基于內控的審計模式也存在不少問題。首先，對內部控制進行評價而不是對企業的目的及其風險進行測試將無法得出相應的結果；其次，內部審計人員如何知道內部控制系統中哪些最重要呢？哪些與風險不相稱呢？還缺少什么呢?正是在這樣的背景下，COSO，COCO等認為必須對制度基礎審計模式進行改進，同時他們還認為風險導向審計能解決控制基礎審計未能解決的一些重要難題。已轉而運用風險導向審計的內部審計人員發現他們的審計結果能夠更容易被管理層接受，而且他們能集中力量對風險管理中的其他治理要素展開工作。因此，風險導向內部審計更能夠“增加組織價值”，是內部審計發展的方向[5]。

三、風險導向內部審計與企業風險管理

近年來的舞弊案件和審計失敗，使人們清楚地意識到僅僅從財務會計角度出發來實施內部控制已無法適應現代企業風險管理的需要。因此，從內部控制走向整體風險管理是必然趨勢。這種整體風險管理理念與現代風險導向審計的基本精神正不謀而合。現代風險導向審計一個基本精神就是將審計重心前移，審計范圍拓寬。

企業風險管理框架對于內部控制概念的擴展，為審計人員評價戰略風險和經營風險提供了良好的框架。風險導向內部審計不僅關注企業戰略層面的風險管理，而且為企業的全面風險管理提供了條件。本文認為，風險導向內部審計與企業風險管理的結合主要體現在兩個層面，一是治理層面，二是具體業務層面。

（一）治理層面

國際內部審計師協會（IIA，1999）內部審計定義為一種價值創造活動,它的最終目的就是幫助實現組織目標——為股東和其他利益相關者創造價值。而實現這個目標的方式是對組織的風險管理、內部控制、治理過程的有效性進行績效評估，以便為組織提出好的建議幫助組織實現目標，從而實現價值創造過程。這樣，就把內部審計提升到風險管理與公司治理的高度。在這個層次上，風險導向的內部審計有兩個方面的工作，一是評價組織的風險管理與公司治理；二是把評價的結果向股東匯報。因此，內部審計工作最終體現為一種價值創造活動。所以,現在內部審計師的主要作用是“保證和建議(咨詢)”,而不再是以往的“監督和復核”。[6]

（二）具體業務層面

在具體層面下，風險導向內部審計的價值創造過程表現在對具體業務的內部控制有效性的評價工作，并且向企業管理者匯報。在現代企業制度下，內部控制與風險管理的融合日趨緊密。內部控制的好壞不僅反映了企業的經營管理水平，還反映了企業的風險管理水平。企業的業務層面的風險管理主要是短期的、局部的風險管理,主要包括市場營銷、財務管理、人力資源、企業文化、生產制造等。

四、完善風險導向內部審計的幾點思考

（一）內部審計部門模式上的考慮

對于內部審計的模式一直是理論討論的熱點問題，具體模式主要包括隸屬于經理班子、在董事會或者董事會下設的審計委員會領導下、在CEO和董事會的雙重領導下等模式。本文認為，基于風險導向審計的基本要求和“價值創造”過程的保證要求，內部審計部門設在公司審計委員會下是一個最優的選擇。安然事件后，學界對審計委員會的重視達到了前所未有的程度，根據2002年《薩班斯－奧克斯利法案》，審計委員會的職能從關注外部審計的獨立性拓展到對公司整體財務呈報體系（包括財務、會計、內部審計）的全面治理，并涉及公司經營風險、管理當局對法律法規的遵循情況、道德問題、利益沖突問題及對違法舞弊行為的調查等多個方面。由此可見，在風險管理框架下，要實現真正的風險導向內部審計，審計委員會領導下的內部審計模式應該是必然選擇，同時IIA也極力倡導這種模式。基于審計委員會領導下的內部審計模式見圖2：

圖2 審計委員會領導下的內部審計模式

在上圖的模式下，內部審計所施行的風險導向審計方法才能更好的實現“價值增值”。一方面，內部審計部門把治理層次的風險管理有效性的評價結果直接向審計委員會匯報，解決了經理領導下內部審計的尷尬局面。另一方面，內部審計部門把業務經營層面的風險管理有效性評價結果向公司經理層報告，便于經理層開展日常經營工作。

（二）開展控制自我評估（CAS）

內部控制自我評估（Control self－assessment，CSA）是被用來評價企業關鍵經營目標、圍繞該目標實現的風險和為管理該風險而設計的內部控制等的一套新興的審計技術方法體系。它是企業監督和評估內部控制系統的主要工具,它將運行和維持內部控制的主要責任賦予企業的管理層，同時使員工和內部審計與管理層一道承擔對內部控制評估的責任。

這使以往由內部審計對控制的適當性及有效性進行獨立驗證發展到全新的階段，即通過設計、規劃和運行內部控制自我評估程序，由企業整體對管理控制和治理負責,這有利于培養整個企業的控制意識，激發企業上下執行控制的熱情。同時，CSA又是一個不斷學習、自我改進的循環過程，能夠實現企業對風險的積極適應和充分利用。通過實施控制自我評估所得到的審計結果由于吸收了大量內控實施人員的知識、經驗和想法，獲取了豐富的關于控制狀況和有效性方面的證據和數據，因此與傳統審計方法相比，其審計結果更能真實反映內部控制系統的現狀及產生問題的本質原因，所提出的改進建議也更具創新性和可行性，而這正是內部審計的核心價值所在。

（三）提升內部審計人員風險導向的勝任力

風險管理的引入對于內部審計人員的素質提出了更高的要求，因此，提升內部審計人員風險導向的勝任力是實現內部審計“價值增值”目標的基本保證。首先，制訂內部審計人員任職資格標準。對內部審計人員實行統一注冊考試制度，做到持證上崗，嚴格準入制度，優化內部審計機構的專業人員配置；其次，重視和加強內審人員知識的培訓與更新，促使其在業務水平和技能上滿足現代企業對內部審計的要求，加強職業道德教育，提高內部審計人員職業道德水平；最后，內部審計應充分利用計算機技術，推行審計信息化。在企業內部建立一個與企業管理控制系統集成的、高效的審計信息化系統和審計操作平臺以實現對企業財務的實時監控。改變定期審計、事后審計為實時審計，提高審計時效和效率，為股東等利益相關者、董事會、監事會、經理及時提供信息。

（四）完善風險導向內部審計流程

風險導向審計是一種新型的審計模式，它通過識別和評估影響組織目標實現的各種系統性風險和非系統性風險,對內部控制的設計是否健全,關鍵控制點和執行是否有效,控制薄弱的環節、治理改進措施的可行性等提出認定[7]。根據IIA《內部審計實務標準》要求，主要流程包括：

1.制定科學的審計計劃

企業風險導向審計計劃是對內部審計師的一種指引，也是一種便于審計監督的內部約定，其中說明了將要采取的審計步驟，這些審計步驟旨在收集審計證據和幫助內部審計師對被檢查業務中存在的風險、效率、經濟性和有效性表達意見。按照《內部審計實務標準》要求，內部審計部門的計劃應該反映機構的風險戰略。

2.審計測試與審計發現

在風險導向內部審計中，審計測試中通過運用抽樣、觀察、提問、分析、證實、調查與評估等方法獲取有關風險的審計證據，并且揭示出它們的內在品質或特征，目的是確認企業主要風險管理目標是否實現，進而為內部審計師形成審計意見提供基礎。

審計發現是指，在審計工作中內部審計師要確定哪些情況需要采取糾正行動，那些與規范或可接受的標準之間的偏離。審計發現通常包括特定要素：背景、標準、情況、原因、影響、結論和建議。

3.審計結果與業務通報

審計結果資料是內部審計報告的主要基礎。《內部審計實務標準》第2400款指出內部審計師應及時通報業務結果，通報的內容包括業務標準、范圍及業務結論、建議和行動計劃。內部審計師在審計通報和工作底稿中包括與違法違規行為和其他法律問題有關的審計結果，并就此發表意見時應非常謹慎,在處理這些事項時與有關方面(法律顧問、稽核官員)建立緊密聯系。

4.后續審計

風險是決定后續審計本質和范圍的重要因素。風險越大，后續審計的范圍就可能越廣。后續審計應該將注意力集中于最嚴重的或潛在的問題上，對一般事項的后續審計可僅限于詢問和簡短的討論。后續審計應該跟蹤到：對于重大的審計發現，相關部門和環節是否予以糾正；若不予糾正，責任和原因到底在那兒。

［1］王光遠.消極防弊積極興利價值增值(一)——20世紀內部審計的回顧與思考:1900～1960 年[J].財會月刊，2003，(3)：3-5.

［2］宋 常.完善與發展我國企業內部審計的思索[J].審計研究，2003，（6）： 25-30.

［3］楊有紅,胡 燕.試論公司治理與內部控制的對接[J].會計研究，2004，（10)：14-18.

［4］程新生.公司治理、內部控制、組織結構互動關系研究[J].會計研究，2004,(4):15-19.

［5］黎 瑛.現代企業內部審計的新態勢[J].財經科學，2005，(4)：59-65.

［6］王光遠.現代內部審計十大理念[J].審計研究,2007,(2)：24-30.

［7］王曉霞，孫坤,張宜霞.論風險導向的內部審計理論與實務[J].審計研究，2004，(2):86－88.

F239.45

A

1672-0547（2010）05-0047-03

2010-08-23

薛 珊（1980-），女，安徽蚌埠人，安徽財經大學財政學碩士研究生，蚌埠市國家稅務局國際稅務管理科科員，研究方向：財政學。