基于風險導向的人民銀行內部控制審計

畢 翼

2006年人民銀行總行制定了《人民銀行分支機構內部控制指引》（以下簡稱“指引”），全面引入內部控制框架與體系。2008年起，人民銀行各級內審部門逐步開展內部控制審計，經過幾年的研究和探索，基本構建了內部控制審計的內容框架和方法體系。2011年，人民銀行提出內部審計全面轉型，審計關注逐步延伸至有關組織治理、風險管理和控制方面。在轉型過程中，對內部控制審計進一步發展的研究略顯不足。同時，審計人員在實踐過程中，確實遇到了一些瓶頸。通過對當前內部控制審計一些現狀的描述，借鑒內部控制及審計的主流理論，形成若干觀點，結合風險導向的理念，對如何不斷深化內部控制審計，提出建設性建議。

一、現狀描述：內部控制審計中的一些問題

（一）審計理念。一是狹義風險觀造成控制有效性的確認盲區。目前內部控制審計主要從狹義的視角關注風險，容易造成審計無法根據不同程度的風險和不同的風險應對措施確定適當的控制，過于追求充分、完整的控制，忽視了對控制過度的確認。二是對控制與風險管理的評價滯后。當前內部控制審計對控制測試所遵循的邏輯順序是“控制-風險-評價控制目的是否實現”，這是一種事后的反饋，只能亡羊補牢，而不能未雨綢繆，造成審計提供的信息存在時滯。

（二）項目定位與安排。一是有的做成了各業務審計的簡單加總。進點后直接對各業務的內部控制情況進行測試，很少有對內部控制機制整體情況開展必要的描述、識別、分析和評價，成了對各業務開展審計的匯總，提出的審計建議鮮有涉及被審計對象治理層的有關活動。二是將內部控制審計與履職審計等同視之。將內部控制審計與領導干部履職審計視為性質相同的大型綜合審計項目，在排定審計計劃時兩者可以相互替代。

（三）審計內容。一是有的審計內容不夠完整。比如，風險評估中沒有對及時性提出審計要求，沒有涉及風險應對措施制定后的剩余風險評估情況等；二是個別內容相對模糊或存爭議，尚未有指導性意見。比如，在控制活動中提出，確認活動是指“對于需要確認的事項，是否按規定及時確認”，該定義比較模糊，對于人民銀行何種業務活動屬于確認控制并無指導性意見，實踐中，很難界定一些審計發現。三是評價控制效率的內容不夠明確。IIA在定義內部審計時，將關注管理效率作為主要目標之一?，F有內部控制審計中，還沒有明確的提出有關控制效率的審計要求。四是對于各要素的相互作用，沒有明確的審計內容。內部控制五要素之間是彼此聯系的，通過相互作用，實現整體控制有效。但是審計內容中，對于要素之間、要素與整體控制框架之間作用的情況，還沒有很好的審計抓手，內容上不夠明確。

（四）審計程序、技術手段。一是要求較為籠統。比如，流程測試是實施階段控制測試的一個環節，但對如何運用流程測試卻未明確，包括流程測試在控制測試中哪個節點進行、結果如何運用等，實務中審計人員運用流程測試時稍顯盲目。二是在程序上沒有明確專項和全面內部控制審計的區別。三是先進審計技術運用較少或有待完善。比如，很多審計人員只熟悉準確度較低的經驗抽樣技術，很少使用系統性抽樣，更加鮮有人運用再抽樣技術；再如，對于控制測試的審計風險，主要以主觀判斷為主，缺少定量控制。

二、理論借鑒：當前內部控制及審計的主流理論

了解和熟悉目前學界的主要研究成果，對就人民銀行內部控制審計的現狀進行深入思考、有所規劃是很有啟發的。主要包括管理科學方面的內部控制理論和有關內部控制審計類型的主流理論。

內部控制理論。內部控制概念在控制內容、范圍等方面逐步演變，目前最主要的兩個階段分別是：（1）內部控制整體框架階段。1992年，美國COSO委員會發布了著名的《內部控制整合框架》（以下簡稱“IC-CF框架”）,提出內部控制是一個為下列各類目標之達成提供合理保證的過程：營運之效果及效率；財務報告之可靠性；相關法令之遵循。內部控制整體架構包括控制環境、風險評估、控制活動、監督、信息與溝通等5個要素；（2）企業風險管理框架階段。90年代后期，國際上關于風險管理的研究日漸成熟，COSO委員會在2003年發布了《企業風險管理框架》（以下簡稱“ERM框架”），該框架在戰略決策以及整個組織中貫穿實施，用于識別組織的潛在風險，將風險控制在組織風險偏好的范圍內，并為組織目標的實現提供合理保證。主要包括內部環境、目標設定、事件識別、風險評估、風險回應、控制活動、監督及信息與溝通等8個基本要素。

內部控制審計。目前主流的兩個內部控制審計階段包括：（1）傳統內部控制審計。隨著IC-CF框架的發布，內部控制審計逐步以此框架為基礎開展，也稱之為傳統內部控制審計。其最主要特點，是緊密圍繞組織的內部控制情況，通過對滲透到管理活動中的內部控制的測試和評價（包括描述、分析、評價內部控制及擴大性測試等），把握各種管理的效率和效果，作出評價；（2）風險導向內部審計。伴隨ERM框架發布，基于該框架的審計不斷完善，內部控制的概念已經逐步被風險管理所取代，因此稱謂上也冠之風險導向內部審計，其實質是內部控制審計發展的高級階段，也有學者稱之為現代內部控制審計。從本質上看，風險導向內部審計基于廣義的風險觀，遵循“目標-風險-控制”的邏輯順序，即首先確認組織目標，然后分析對這些目標產生影響的風險以及能夠管理這些風險的控制，最后測試實際的控制考慮其能否切實管理這些風險。核心是依托ERM框架，關注組織風險管理的各方面，范圍逐步擴展到組織的戰略管理領域，不僅發揮確認的作用，即評估風險管理的有效性，同時還充分發揮咨詢作用，幫助組織建立、實施并完善ERM框架。

三、深度審視：內部控制審計的幾個基本觀點

在總結了內部控制審計所處現狀，并了解學界主流研究成果之后，本文對當前人民銀行內部控制審計的定位、性質、導向和特點等方面，進行分析與思考，形成了一些觀點，有利于明晰有關概念、解決部分困難。

定位——內部控制審計是基于內控整體框架的審計項目?！盎趦瓤卣w框架”是內部控制審計定位的核心要義，指從組織治理的宏觀視角出發，采取普遍聯系的方法，關注和考慮組織整體的控制情況，對內控五要素進行全面審查。這體現了內部控制審計與其他審計的本質區別。以業務專項審計為例，專項審計關注的是業務自身管理情況，包括控制、績效等，但是在內部控制審計中，不管是全面還是專項內部控制審計，都需要聯系組織的整體內控框架，分析宏觀層面的控制環境、風險管理、信息與溝通等的影響，有利于發現具體控制缺陷下的深層次誘因。

性質——行政事業單位傳統內部控制審計下的改良型審計。主要體現了三層意思：一是行政事業單位。人民銀行各分支機構作為行政事業單位，其面臨的一些強約束和管理特點，比如職責法定、預算管理、低風險忍受度和社會效益等，對于組織在控制和風險管理方面的影響。二是傳統內部控制審計。由于《指引》基于IC-CF框架設計，內部控制審計以內部控制五要素為審計主線，所以，目前內部控制審計主體上屬于傳統內部控制審計。三是改良型審計。人民銀行內審轉型過程中，積極倡導在內部控制審計中樹立風險導向理念，鼓勵審計人員借鑒和探索科學、有效的審計流程，實踐先進的審計技術，主動在傳統內部控制審計基礎上進行改良，向更加先進的審計階段邁進。

導向——由管理導向向風險導向的逐步轉型。應該說目前人民銀行內部控制審計主要基于管理導向，但有些問題已經突現，束縛了審計的發展。比如，對于一些風險管理較為先進的單位，審計導向已經滯后，審計與其風險管理體系不夠契合，導致審計結論與被審計對象風險管理的目標不一致甚至相悖，降低了審計的質量。因此，現階段在以管理導向為主的同時，應針對已經暴露出的突出問題，以風險導向的理念和方式方法來解決，并有意識的逐步擴大風險導向的影響。

特點——系統論在審計中的合理應用。系統論強調整體與局部、局部與局部、整體與外部環境之間的有機聯系，核心思想是系統的整體觀念，強調系統的整體功能是各要素在孤立狀態下所沒有的性質。內部控制五要素與內部控制整體框架、五要素之間的關系以及外部環境對整體的影響等，無處不體現了系統觀。基于內部控制整體框架開展的內部控制審計，必然要以系統的視角看待五要素的審計內容。不能將每個要素孤立，人為將五要素分離，容易走入只關注表象控制活動的誤區，忽視了控制環境、風險評估等要素的影響，也很容易同化為業務專項審計。審計應更加關注五要素之間的相互作用，以及反饋至內部控制整體框架的影響，這一特點要體現在審計內容、流程和報告的設計中。

四、深化方向：基于風險導向的內部控制審計

人民銀行內部控制審計要想更加充分的體現其核心要義、突顯其存在的必要性和有效性、實現增值目的的途徑，逐步向風險導向內部審計轉變并最終實現，是一種趨勢，也是合理的選擇。人民銀行各級內審部門在這方面做了很多的探索，以下是幾點建議：

（1）以內部控制五要素為基礎，逐步拓展風險評估要素的審計內容。風險評估作為內部控制五要素之一，是內部控制審計的一部分，但審計內容設置相對比較簡單。從控制體系的發展看，IC-CF框架到ERM框架，最主要的變化就是ERM框架更加突顯了風險管理的重要性，將風險評估要素上升到更高的層次，在內容上表現的更加具體和細化，分化成了目標設定、事件識別、風險評估和風險回應等要素，風險導向內部審計也同樣強調對組織風險管理情況的關注。因此，拓展風險評估要素的審計內容是很必要的。一是要準確理解ERM框架中所指目標、識別、評估與回應的具體含義；二是要結合人民銀行特點，根據現行內部控制的定位、性質、導向和特點等實際情況，設定合理的審計內容。比如，由于國家行政機關的性質，權責法定，在目標設定方面治理層很難有自主權，應主要從管理目標入手；再如，風險的識別、評估與回應，可以設定比較具體和體現一定要求的內容，以風險識別工作來說，審計內容上要關注是否識別了能夠影響目標實現的風險事件，是否對風險事件的發生可能性和可能產生的影響進行分析，還應要求審計人員對評估的合理性進行評價。通過逐步拓展審計內容，可以有力促進被審計對象重視和不斷完善風險管理工作，同時也有助于內部審計在組織風險管理中發揮更大作用。

（2）借鑒《行政事業單位內部控制規范》，重新整理審計內容。2012年底，財政部發布了《行政事業單位內部控制規范》，在內容設置方面體現了以下特點：一是調理比較清晰。從總則、風險評估和控制辦法，到單位和業務層面內部控制，邏輯遞推關系比較合理；二是符合實際。在內容設計上，總體是基于IC-CF框架的內部控制五要素，但又重點突出了風險評估的內容，符合目前行政事業單位內部控制體系向ERM框架逐步轉變的情況；三是有獨特的設計思路。該規范沒有照搬IC-CF或者ERM框架，有所借鑒，又有自身特點。并沒有按照五要素分類的方法歸集內容，而是從組織治理的角度，從一般方法到兩個具體層面的有關控制內容進行了闡述，言簡意賅又不失全面。應該說，該規范對重新調整內部控制審計很有借鑒意義。筆者認為，可以從兩個方面入手：一是有關控制活動的審計內容，先從一般方法歸納，然后分單位和業務層面進行細化，解決內容模糊的問題；二是區分管理活動，可從治理活動、經濟活動和業務活動進行分類，有關經濟活動的控制內容可參考規范中的要求。

（3）設計科學、合理的內部控制審計實施流程。審計流程是內部控制審計向風險導向深化的必要保證。審計技術的運用是循序漸進的過程，但審計流程則需要提出規范性的要求，應先從流程做起，要求審計人員完成必要的評估、測試過程，以確保風險導向的落實?，F行內部控制審計的實施流程包括：①計劃階段，制定審計計劃，確定被審計對象；②開展審前調查，編制審計方案；③審計實施階段，包括：描述和分析內部控制、開展內部控制測試、認定內部控制缺陷；④形成審計報告階段；⑤后續跟蹤調查或者審計。以風險為導向，需要更加重視審計計劃和審前調查，實現審計的前饋效果。比如，在審計計劃階段，如果是專項內部控制審計，首先應關注被審計對象的管理目標，然后增加分析環節，一方面分析目標變化情況和對組織的重要性，確定不同層次目標的主要關注內容；另一方面識別內容中可能會發生的事件或影響目標實現的關鍵績效指標（KPI）。再后，利用風險評估模型，對事項發生的影響和可能性進行評估，確定高風險的業務領域，據此確定審計對象。如果是全面內部控制審計，則需要首先征求治理層意見、收集外部證據，然后對被審計對象控制自我評估的結果進行再評估，若被審計對象沒有進行過控制自我評估，則應由審計人員實施風險評估。再后，根據評估或再評估的結果確定被審計對象。在審計調查階段，首先對被審計對象的業務流程進行分析，了解被審計對象業務的內容、特點和操作程序；然后，對業務的控制情況進行調查，了解控制的類型、設置情況，準確理解組織現行的主要控制設計；接著對控制設計的有效性和可能存在的風險進行分析；同時，審計人員還需要通過頭腦風暴、調查問卷、談話等形式，了解管理層對不同業務的風險管理策略和風險容忍程度。最后做出業務風險管理偏差評估，包括評估細節業務風險實際水平與管理層風險容忍偏差，以及對組織整體風險的有效性做出的評估，據此得出重點審計的業務領域。

（4）進一步探索具有一定先進性和操作性的審計技術。審計技術的合理運用確保風險導向理念有效作用于內部控制審計。在內控審計中運用的審計技術可以歸為兩類，一類是實現確認職能的有關審計評估、測試技術，另一類是有利于發揮咨詢職能的審計技術。在審計評估、測試技術方面，包括在風險識別與分析方面的專家意見法、頭腦風暴法、SWOT分析、失效模式和影響分析法、工作任務分析法等；在風險評估方面的風險因素分析法、層次分析法、模糊綜合評價法、概率風險評價法、定性風險評價法等；在獲取審計證據中的分析性復核、預警分析法、綜專業判斷方法等。發揮咨詢職能的審計技術，主要指控制自我評估，其在對溝通的有效性、管理理念、信息質量、管理層的道德與誠信等“軟”因素方面通常具有優勢。審計人員可以通過復核CSA結果確定高風險和異常項目。在實際操作中，如果被審計對象沒有實施CSA，審計人員可積極協助組織完成CSA，有利于改進型內部審計的開展，也為組織完善風險管理方面打下良好基礎。這些先進的審計技術，是需要鼓勵審計人員進一步研究與實踐的，只有在使用中才能檢驗哪些技術方法是適合的，哪些是需要不斷改進以適應人民銀行實際的，才能了解、熟悉和真正掌握這些技術，真正推動內部控制審計的深化。

五、結 語

現狀下暴露出的一些問題是人民銀行內部控制審計必須經歷和解決的，只有通過不斷試錯，才能探索出一條適合人民銀行開展的內部控制審計?？偛吭趯嵺`的基礎上，對內部控制審計的基礎性理論和概念進行了一些思考，提出了深化的方向和方法論，有些觀點可能還值得商榷，方法論方面的意見尚停留在研究和思考的層面，下一步，作者將從審計中汲取更多的實務經驗，不斷修正和完善對內部控制審計的研究。

［1］王光遠.消極防弊積極興利價值增值（二）-20世紀內部審計的回顧與思考：1960-1970年 [J].財會月刊[J].2003,(3).

［2］鄭小榮.風險導向內部審計若干理論問題探討.審計與經濟研究[J].2006,(11).

［3］嚴暉.風險導向內部審計:背景分析與框架構建.財會通訊[J].2005,(4).

［4］中國內部審計協會.中國內部審計準則匯編[S].北京:中國內部審計協會,2013

［5］IIA.the Professional Practice Framework[S].Altamonte Spring,FL:IIA,2001