風險導向內部審計的研究與實踐

張 敏

內部審計的發展從萌芽期到業務導向的內部審計，然后是管理導向的內部審計，最后是風險導向的內部審計。內部審計部門目前在公司中所占的位置越來越關鍵，從最初可有可無的部門，到現在掌管公司風險導向的機構，目前已是一個成功公司不可或缺的組成部分。風險導向內部審計作為現代審計方法，目前我國只是提出了風險導向內部審計概念，并未對此進行深入研究，也沒有關于風險導向內部審計的系統性理論研究成果。因此，研究風險導向內部審計在我國的應用，對我國的內部審計發展具有較重要的理論與現實意義。

隨著經濟全球化發展，企業生存和發展在面臨機遇和挑戰的同時，企業經營環境越來越難以預測，其面臨的經營風險也不斷增大。經營的不確定性導致盈利能力、償債能力和持續經營能力等狀況的不確定性，風險成為影響企業目標實現的重要因素，管理與控制風險變得更加重要。傳統的內部審計都只是片面地關注企業經營過程中的某一個方面，都沒有與企業目標發生直接的聯系，沒有關注企業經營過程中面臨的風險，以至于達不到企業提高經營管理水平、加強管理控制的要求。因此，為了彌補傳統內部審計的不足，風險導向內部審計應運而生。

一、風險導向內部審計的含義

所謂風險導向內部審計是指內審人員在審計過程自始至終都以企業風險分析評估為導向，根據量化的分析水平排定審計項目優先次序，依據風險確定審計范圍與重點，對企業的風險管理、內部控制和治理程序進行評價，進而提出建設性意見和建議，協助企業管理風險，實現企業價值增值的獨立、客觀的簽證和咨詢活動。這里的風險應該是我們通常說的廣義的風險既包括正面的風險，即機會；也包括負面風險，即狹義風險。

內部審計委員會于2001年在其發布的《內部審計實務標準》中對內部審計做出定義，“內部審計是一種獨立、客觀的確認和咨詢活動，旨在增加價值和改善組織的運營。它通過應用系統的、規范的方法，評價并改善風險管理、控制和治理過程的效果，幫助組織實現其目標”。這實際上就是風險導向內部審計的體現。根據該定義，推行風險導向內部審計就是要求內部審計以內部控制作為生存與發展的基礎，以公司治理作為參與風險管理的前提條件，以對組織風險的評估與改善作為基本目標。

二、風險導向內部審計與傳統內部審計的比較

（一）產生的背景不同

內部審計是隨著經濟發展的需要而產生的。傳統內部審計的產生可以追溯到100多年前，至今已經經歷了萌芽階段、財務導向階段、業務導向階段、管理導向階段，以及風險導向階段的內部審計。

萌芽階段的內部審計只是為了監督受托責任履行的合法性。隨著股份制公司形式的出現，內部審計轉為主要是對會計、財務和其他業務的獨立性進行評價，以便向管理部門提供防護性和建設性服務，即財務導向內部審計。隨著科學管理思想的提出，內部審計的對象逐漸轉變為對具體的業務活動和管理活動的控制，即進入了業務導向階段。二十世紀60年代后，日益復雜的外部環境對企業提出了更高的要求，內部決策正確與否關系到企業生死存亡，內部審計日益與公司決策、目標管理和公司治理聯系起來，內部審計至此進入管理導向階段。進入十二世紀90年代，隨著經濟全球化和金融國際化的推進，企業經營所處的環境越來越復雜，企業所面臨的風險不斷增大，戰略管理成為管理的核心，而對風險的預測和應對是企業戰略的重要組成部分，內部審計進入風險導向階段。

（二）審計的重點和范圍不同

傳統內部審計的工作重點是檢查歷史業務記錄和內部控制系統的健全性、合理性和歷史運用情況，提出意見和建議。也就是說，傳統審計是通過對現存的內部控制制度的有效性進行測試并做出評價，進而提出增減控制環節和改善控制手段，從而健全現存的內部控制機制。內部審計風險大小的衡量僅僅用于反映內部控制環節的健全與否，隨著企業內部控制環節的增加，會導致審計業務越來越繁瑣，甚至會阻礙企業業務的正常運行。

風險導向內部審計首先要確定企業的目標，然后在保證企業目標實現的前提下，分析影響企業實現目標的風險因素，根據量化的分析來確定風險水平和審計項目的順序，依據風險大小確定審計重點和審計范圍，工作重點是組織指導企業未來的發展前途，促使企業在以后的發展中規避和控制風險，從而更加健康發展和壯大。

（三）審計的程序不同

內部審計通常包括審計前準備工作、審計實施工作、審計報告工作、后續審計工作和審計成果運用工作五個階段。實踐工作中，傳統內部審計通常把大量的時間和審計人員被安排在審計實施和審計報告過程中，審計前的準備工作、后續審計工作和審計成果運用工作往往被忽略，內部審計的效果大打折扣。

風險導向內部審計強調審計計劃的制定，要求審計人員在制定審計計劃前必須深入了解企業組織及其所處環境，了解組織的組織結構、戰略目標、業務流程等基本情況，掌握被審計單位年度內經濟工作的中心問題；單位重大政策措施落實情況及存在的問題；經營管理中存在的突出問題和難點問題；群眾普遍關注或反映強烈的熱點問題；以往審計發現的比較突出、影響較大的問題等，并根據被審計單位的具體條件確定相應的審計程序和審計方法。風險導向內部審計要求審計方法應與特定的審計環境相適應，針對不同的風險領域、不同的審計對象、不同的業務環節以及特定的審計目標，實施個性化的審計測試程序。內部審計人員關注的焦點是企業風險是否得到適當管理和控制，審計建議直接針對企業在實現目標過程中面臨的主要問題和風險，并將事后評價反饋延伸到事前和事中。麥克寧寧（McNamee）在“內部審計新舊范式路線圖”對此有很好的圖示:

傳統內部審計表現為審計路線由“控制→風險→目標”，風險導向內部審計的路線為“風險→控制→目標”。

三、推進風險導向內部審計在我國的應用

（一）轉變觀念，充分發揮內部審計在風險管理中的作用

獨立性和客觀性是實施風險導向內部審計的必要條件之一。但長期以來，我國的審計實務中有種錯誤認識，認為對獨立性的強調會導致內部審計人員與企業管理層之間出現溝通障礙，從而無法實現平等交流。IIA于2001年頒發的內部審計定義中明確提出“獨立、客觀”，要求內部審計機構應該是獨立的，內部審計人員應該是客觀的。機構的獨立性要求內部審計機構在報告結果時必須獨立，在確定審計范圍、實施審計程序、報告審計結果時不受干擾。個人的客觀性要求內部審計人員必須持公正的態度，不偏不倚，避免利益沖突。現代企業中，內部審計機構應直接受單位最高管理層（董事會）的領導，為內部審計機構實施審計程序提供權利上的保證。

同時，我國內部審計機構也應當盡快更新觀念、轉換角色，加強與企業各部門的配合和溝通，為內部審計積極參與風險管理奠定良好基礎。

（二）建立健全法律體系，為風險導向內部審計創造良好環境

審計署《關于內部審計工作的規定》已于2003年3月4日發布，自2003年5月1日起施行。根據規定，中國內部審計協會制定了《內部審計基本準則》、《內部審計人員職業道德規范》、《內部審計實務指南》，以及《內部審計具體準則》，一些省市也制定了地方內部審計條例和內部審計辦法。《內部審計基本準則》于2003年4月12日發布并自2003年6月1日起施行。至今，中國內部審計協會已經頒布了5個內部審計實務指南、29個內部審計具體準則。這些法規、規章對內部審計的發展起到了一定的作用，但與內部審計的發展要求還相差甚遠。因此，進一步完善我國內部審計法制環境是推行風險導向審計的必要前提。

（三）提高內部審計人員素質，適應風險導向內部審計發展需要

由于審計重心轉移，審計結果主要依賴的不是審計測試，而是風險評估，風險導向的內部審計要求多元化的審計人員，除了會計、審計專業人才之外，還需要法律、統計、金融，以及包括內部控制專家、風險管理專家、公司治理專家和信息系統專家組成的內部審計項目組。逐步改善內部審計隊伍的專業結構，使內部審計人員的專業結構趨向合理，以適應現代內部審計發展的要求。

主席約翰遜（Howard Johnson）（1990—2000年）認為，在風險導向內部審計中，審計人員必須具備以下品質:第一，具有廣博的知識。善于了解組織、行業與競爭情況，以及特定職能、流程與整個組織的關系，善用科技手段分析有關資料；第二，化被動為主動，主動確認、分析風險，尋找問題所在，尋找服務機會；第三，年度審計計劃應關注現在及未來，具有前瞻性和彈性；第四，表達意見必須做到公平性；第五，具有強烈的求知欲，培養多元化專業技能，做到訓練有素；第六，與組織內部各單位及各階層管理者應建立良好的合作關系；第七，必須保持良好的工作心態，包括積極進取、追求卓越、有緊迫感、換位思考、相信并鼓勵他人、更具活力、積極表達意見并與管理當局討論重要問題、決心做出非凡成就等。因此，作為內部審計人員首先是一個優秀的管理者，其次才是一個好的審計師，必須注重知識的更新和知識面的擴展，通過各種形式的后續教育，努力提高專業勝任能力，通過審計實踐，提高對審計風險的洞察能力、判斷能力和組織協調能力，尋求規避和控制的途徑；要增強內部審計人員的責任感和使命感，不斷提高人際溝通能力和協作能力。

當然，必須保證內部審計人員在應有的獨立和客觀的基礎上與被審計人發展良好的、融洽的協作關系，可以使內部審計人員更好的洞悉問題，并出具恰當的審計報告，為企業提供有價值的服務。