風險導向的內部審計的實踐研究
——以中國網通公司為例

劉璐

（北京工商大學，北京 100048）

1 風險導向下的內部審計

風險導向下的內部審計，是在2014年正式實施的《第1101號——內部審計基本準則》中正式提出的：內部審計機構和內部審計人員應當全面關注組織風險，以風險為基礎組織實施內部審計業務[1]。

在風險導向的內部審計觀念流行之前，企業主要運用的是以業務和管理為主導的內部審計。然而，這種指導下的內部審計難以識別和評價導致風險的各個環節和因素（如內部管理者），也無法為有效降低審計風險提供幫助。除此之外，針對發現的問題，審計師往往會提出增加控制點或加強內部控制的其他建議，這將使審計責任中心的控制點日益增多，使管理系統的效能呈遞減趨勢[2]。而風險導向下的內部審計其主要功能和目的則是對企業的整體風險進行評估和控制，以利于企業的持續發展和經營，推動企業的戰略實施，而企業的風險管理、內部控制以及治理程序是這種導向下企業進行內部審計的核心。

2 中國網通公司的內部審計體系

當前，我國企業（尤其是企業集團）所建立的內審體系大部分都是風險導向下的內部審計體系。中國網絡通信集團公司（以下簡稱中國網通）是我國率先建立起風險導向下的內部審計體系的國有企業之一。

中國網通公司在集團公司、上市公司均設立了獨立的內部審計機構——審計部，并全面實行了審計派駐制管理，其分公司級別的審計部門在業務和行政上分別受上級審計部和本級公司兩套系統管理。而為了使內部審計工作更加符合決策層和管理層需要，集團審計部以風險為導向開展審計工作，重點關注國有企業監事會、上市公司董事會（審核委員會）、外部審計師及公司管理層關心的流程和控制點，加速了其向風險導向下的內部審計的轉變。

企業集團首先要對內部審計的整體計劃進行風險評估，其目的是使得審計計劃能科學有效地指導具體內審工作的開展。企業集團建立了自己獨特的風險評估模型，對高管、相關負責人和內審組進行訪談，從多個角度對企業狀況和項目本身進行風險評估。之后，中國網通結合企業實際情況和成本效益原則，以評估結果為根據，確定審計項目和審計重點，從而制定出切實可行的審計計劃，做到企業的內部審計為發展戰略服務。其中對高管等人的訪談內容主要包含：集團公司之后的工作重心、相關業務流程的風險點、內部控制薄弱環節、管理層要求和希望提供的增值服務等。評估時的主要對象則是項目地流程和地點。首先，要進行流程評估，這是指對企業整體的業務流程進行評估，然后根據評估結果選擇審計計劃，其中要包含業務流程。之后，再進行地點評估，指根據選定的業務流程，對全國地三十一個省一級和海外分支進行風險評分，最后確定進行內部審計的地點。

除此之外，中國網通的內部審計體系還增強了風險識別能力、提升增值服務水平，將其審計重點轉向了高風險部門和高風險業務，這一轉變不僅提高了內部審計的效率，還有助于管理層進行理性決策。首先，在制定審計計劃時，要注意實現對多個層次的兼顧，同時還應當充分咨詢并聽取專業部門的意見和建議，以求能夠準確地把握各項目的控制點。在之后的審計準備階段，要深入分析審計數據和企業的基本情況、識別風險因素、明確審計重點范圍。到具體實施工作時，規定應先實施符合性及穿行測試，之后再進行深入的風險評估，識別關鍵風險點，以此為基礎，才能做好審計重點與業務和經營風險的匹配。

3 戰略引領下的問題與風險導向內部審計

隨著企業組織形式、外部環境的急劇變化以及財務管理理論和戰略管理理論的進一步發展，傳統的風險導向型內部審計模式已經不能完全適用于當前企業需求。有學者提出，企業的內部審計工作應以服務公司戰略為引領，以問題和風險為導向，以確立企業內部審計的工作范圍、工作目標和審計程序等。

首先，戰略引領下的內部審計是指以企業整體發展戰略為核心，對戰略管理的各個環節受托責任的履行進行管理控制，對薄弱環節提出改進建議，為實現企業戰略目標和保值增值而服務的內部審計思想。當前社會和宏觀經濟都處于變革過程中，企業的戰略是否符合外部宏觀經濟和內部資源條件，成為對企業內部審計的新要求。因此，企業的內部審計應從事后審計轉向事前、事中審計，提前做好預防和保障工作，發揮內部審計的治理功能、免疫功能與監督功能。

而以戰略為引領、以問題和風險為導向下的內部審計體系，是一種三位一體的內部審計體系，是以企業的戰略制定與實施過程為主線，通過分析其中存在的風險及其影響程度，發現企業戰略發展過程中存在的諸多問題，以此為重點、進行針對性的內部審計，實現有重點、有步驟、有深度的內部審計全覆蓋[3]。而戰略引領下的內部審計要從企業的戰略管理以及對企業的戰略控制與評價入手。其中，企業的戰略管理又分為戰略分析、戰略選擇和戰略實施三大步驟[4]。

分析偏差是戰略分析階段的最主要問題，它通常是由于企業對外部環境和內部環境的認知偏差導致的。對該問題進行內部審計則需要從企業的內外部環境入手，對企業的宏觀環境、產業環境、競爭環境等外部環境分析結果與企業資源與能力、企業價值鏈和業務組合等內部環境分析結果進行內部審計。而決策失誤則是戰略選擇階段所存在的最主要問題。企業的戰略選擇包括總體戰略即公司層面的戰略選擇、業務單位戰略選擇以及職能層戰略選擇，每一個層次的決策錯誤都會對企業的未來發展造成重大影響。對這一階段制定的戰略選擇方案、評估程序與結果和最終需要落實的戰略政策和計劃進行內部審計，才能有效地控制和防范該階段的決策錯誤問題。

在這兩個階段中，會引起管理層和治理層出現決策失誤的主要風險是外部風險和戰略風險。對戰略風險進行內部審計有利于提高審計前工作的針對性、明確內部審計的工作重心，推動組織實現保值增值的目標，發揮內部審計的治理功能和免疫功能。

戰略實施階段是制定關鍵決策，保證戰略落實的過程，是為實現企業戰略目標而對前期戰略分析和選擇的實施與執行，在這一過程中需要對其進行連續監督與反饋，從而有效地實施這一閉環系統。對該階段進行內部審計能確保企業依據真實有效的信息、按照既定的制度制定戰略以及實施戰略，保證戰略制定與實施的客觀公正，以維護企業的利益、保證企業的長遠發展。在這一階段，最突出的問題就是已制定和選擇的戰略無法真正落實到位。以導致這些問題的風險為導向對企業的戰略實施階段進行內部審計，有助于發揮內部審計的治理和監督功能。

為了保證企業戰略的實施效率與效果，還應該在整個過程中穿插進行戰略控制與評價，這是企業內部控制的重要組成部分，即內控問題是這一環節的焦點。對此環節內控的有效性進行重點審計，可以有效防范和避免內部控制問題的發生，確保戰略控制與評價發揮其應有的功能與價值。從內部控制的五大構成要素入手，分析引發企業集團或具體項目內部控制風險的因素，再根據企業的內控風險對戰略控制與評價階段進行內部審計，以充分發揮內部審計的治理、免疫和監督三大功能。

新的經濟背景要求企業應該建立更加符合企業長遠利益的內控體系，戰略引領下問題與風險導向的內部審計，有助于企業結合自身實際情況，加強和改進審計工作。以服務公司戰略為引領，以問題和風險為導向，以強管理、控風險、促發展為目標，不斷加強審計組織領導和隊伍建設，完善審計工作體制機制，積極推進審計監督全覆蓋，才能實現企業內部審計的進一步發展。