我國風險導向內部審計模式探析

洪東東

【摘 要】 風險導向內部審計是通過對風險進行全面評價，根據風險高低程度確定審計范圍與重點的，用來控制企業風險的全新審計模式。但是，我國對風險導向內部審計的研究仍在起步階段，我國企業亦未對其產生足夠重視與應用。因此，本文在借鑒國際先進風險導向內部審計經驗的基礎上，探尋我國企業風險導向內部審計存在的問題的解決方法，以使我國企業增強預測、評估、控制風險的能力，最大限度地實現企業發展目標。

【關鍵詞】 中國企業 風險管理 內部審計 風險導向

一、風險導向內部審計相關理論概述

（一）內部審計基本理論概述

內部審計理論隨著生產力的發展，不同權利主體產生和相互牽制，以及受托責任出現而萌芽，其技術和手段隨著復式記賬法在會計核算中的普及而得以發展。隨著經濟的發展和社會的進步，內部審計經歷了四個基本的階段：財務導向內部審計階段、業務導向內部審計階段、管理導向內部審計階段和風險導向內部審計階段。

1、財務導向內部審計階段

財務導向內部審計是在分權思想充分發展的背景下發展起來的，主要是授權具備財務和管理知識與能力的人才，對企業的會計和財務事項按照報表-賬簿-憑證的程序進行獨立性的檢查，以監督受托責任人經營行為的誠實與可靠。

2、業務導向內部審計階段

業務導向內部審計是隨著國際內部審計師協會的成立和泰勒的科學管理理論等管理學理論的發展而形成，主要以揭露業務管理過程低效率的缺陷，使管理人員有效履行職責服務為特征。內部審計人員主要依托實施內部審計程序，評估企業在經營活動過程中是否有效實行了內部控制，并形成報告，將報告結果、審計意見和建議提供給管理層，從而使企業完善運營的各個方面。

3、管理導向內部審計階段

管理導向內部審計因20世紀后期發達國家發生的經濟危機的推動而產生和發展，利用審計委員會制度建立這個保障條件，將內部審計的重點轉向并擴大到對管理決策等的審計，以期幫助管理層增加管理決策的科學性，促進管理者履行受托管理責任[15]。

4、風險導向內部審計階段

風險導向內部審計伴隨人們對公司治理和內部控制等理論重要性的認識加深而發展。它以企業面臨的風險為核心分析目標，綜合評估企業所處環境與風險，根據風險高低限定審計范圍和審計重點，幫助企業識別風險、量化風險，最終把企業的風險控制到期望的范圍內。

2001年1月，國際內部審計師協會修訂《內部審計專業實務標準——專業實務框架》時頒布了內部審計的新定義，首次將治理程序和風險管理納入內部審計范疇，也標志著內部審計邁入了風險導向的新階段。

（二）風險導向內部審計相關理論

1、風險管理理論

風險管理是指在充滿風險的環境中，采取各種方法，根據風險情況采取相應措施，將風險減到最低的過程。在充滿各類風險的市場經濟環境當中，企業必須對風險進行管理，根據業務風險情況采取不同的應對策略。風險導向內部審計便利用了風險管理理論，在內部審計時將企業面臨的風險視為核心的分析目標，充分重視風險在企業運營中的重要作用，根據風險高低確定內部審計的范圍和重點。

2、內部控制理論

內部控制理論主要指企業為實現經營管理目標，提高經營效率，而建立的企業內部的各個部門業務活動的組織、制約、考核、調節等措施。內部審計既是企業內部控制體系的一部分，又是實現企業內部控制目標的關鍵途徑之一；風險評估作為內部控制的重要要素，對企業發展也有至關重要的影響。內部審計發展到現今的風險導向內部審計，將風險評估與內部審計很好的結合了起來，能夠更好的促進企業內部控制的完善和發展。

3、風險導向內部審計的對象及目標

由于企業的發展和擴大，企業內部受托責任關系范圍也不斷擴大的不斷提高，內部審計的對象和目標也隨之擴展。這種擴展可以從IIA內部審計職責說明書（SRIA）中得到了解，如圖2所示：

風險導向內部審計的對象為風險管理、控制以及治理程序，目標為增加組織的價值。可以看出，伴隨著風險的普遍存在，風險管理理念逐漸深入人心，風險導向內部審計不僅與企業目標更加直接地關聯了起來，而且也同時加強了對風險管控的關注程度。

4、風險導向內部審計的特征

傳統的內部審計模型主要依據從控制到風險再到目標的內部審計模式，直接去測試企業內部控制的充分性和有效性，風險僅僅用來表明控制的薄弱和健全與否，對內部審計結果并沒有很大程度上的影響。若這種模式得以長期發展，內部控制的結果會愈發遠離企業的經營管理目標，內部審計也失去其存在的價值和意義。

與傳統意義上的財務導向內部審計、業務導向內部審計和管理導向內部審計的區別在于，風險導向內部審計對風險的關注程度很高，這也成為風險導向內部審計的主要特征所在。

風險導向內部審計將企業經營、管理過程中存在的內、外部風險放于重要位置，反以“目標-風險-控制”為模型，首先明確企業的經營管理目標，然后分析哪些風險會對這些目標產生影響，圖和采取措施防范和控制這些風險，最后實質測試在實際中采取上述控制措施，能否真正地管理這些風險[17]。通過這樣的一種方式，內部審計所提供的服務能夠更好地與企業經營管理目標契合，企業也能夠根據風險導向內部審計的報告結果，采取相對應的控制措施，將風險意識和風管理置于內部審計活動的全過程。

（三）風險導向內部審計的實施條件

1、完善的法人治理結構

完善的公司法人治理結構是風險導向內部審計得以實施的內部前提和保障，主要是指股東會、董事會、監事會等機構各司其職，為良好的內部審計組織環境奠定基礎。

2、健全的風險管理體系

健全的風險管理體系主要是指企業的董事會、經營管理層、風險監管相關部門和各業務部門分擔不同的風險管理職責，形成相應的風險控制防線，使風險管理理念能夠在企業得到正確的執行。

3、完善的內部審計制度

完善的內部審計制度是實施風險導向內部審計的制度保障。只有在一定的內部審計框架和制度下，風險導向內部審計的各種創新和方法才能在相同的模式之下順利施行。

（四）風險導向內部審計的實施程序

風險導向內部審計的實施項目與內容與一般內部審計無異，本文不再加以贅述。但在實施中，各個程序的順序經過了調整，也更加注重對風險的預測和控制。

1、準備階段

（1）確定可供選擇的審計項目；（2）評定審計項目中存在的風險因素，根據風險因素的重要性進行排序，量化各風險因素對審計項目的影響；（3）根據量化后的結果，確定審計項目的先后次序；（4）編制全年的風險導向內部審計計劃；

2、審計實施階段

（1）控制測試；（2）實質性測試；（3）風險的再次評估以及修訂審計計劃[18]。

3、審計報告階段

（1）得到初步審計結論并提出審計建議；（2）溝通傳達審計結果；（3）編制審計報告和報告審計業務[19]。

4、后續審計階段

三、我國企業風險導向內部審計實施概況

（一）我國企業風險導向內部審計實施現狀

雖然我國在新世紀初期陸續發布和更新了《審計署關于內部審計工作的規定》、《中國內部審計準則》等一系列內部審計的法規和制度，內部審計也從無到有地逐漸發展起來，但是，在傳統內部審計的執行方面，我國大部分企業依然有內部審計部門的設置不夠科學、內部審計的業務范圍比較狹窄、內部審計人員素質不高等問題。在國際內部審計師協會新定義下的風險導向內部審計的實施方面，我國企業的方法不夠成熟，仍有許多亟待解決的問題。

1、我國風險導向內部審計實施范圍不廣。

在一位學者的一項調查中顯示，共120家被調查企業中，有92.75%進行過財務導向的財務收支內部審計、73.91%進行過經濟效益的內部審計、60.86%進行過基本建設審計，只有7.25%進行過風險導向內部審計。

這120家被調查公司涵蓋制造業、服務業、銀行金融業、行政事業單位、醫療、建筑、通訊、能源、學校、交通等領域。可見，在被調查企業中，內部審計仍是以財務導向的為主，而這些被調查企業涉及行業的廣泛性使我們不難看出，風險導向內部審計仍非我國企業內部審計機構的主要審計內容，風險導向內部審計還沒能在我國企業中廣泛地實施。

2、我國企業的風險管理體系還不完善。

調查顯示，在被調查的120家企業中，80.49%沒有專門的風險管理部門、68.29%沒有正式的風險管理活動、34.55%只由總裁一人監督風險管理活動、60.66%僅按法律法規的要求訂購一些必須購買的保險行來進行所謂的風險管理，而很少系統地考慮防范風險的具體措施。

這說明，我國企業的風險管理體系還很完善，且企業進行風險管理活動也只是按照法律法規的要求而被動進行，并不是出于進行風險防范的目的而主動進行。同時，企業的風險管理活動也不連續，風險事件發生后再采取風險應對措施的常有的現象，這往往不能實現風險導向內部審計的目標，也遠離了企業的目標。

3、風險管理的審計方法還很落后。

在被調查的120家公司當中，只有6.55%將定量分析的方法運用到風險管理過程中，大多的企業還是運用定性分析的方法進行風險管理，這與國際的風險管理模式相比還是比較落后的。在多數情況下，企業不能適時地預測、識別、評估和控制風險，與落后的風險管理方法有直接的聯系，最終，企業目標的實現程度也會大打折扣[20]。

4、內部審計與風險管理不能很好結合。

在120家被調查的公司當中，有18.29%的內部審計部門在風險管理中是不發揮任何作用的，僅有少數的內部審計部門會將風險管理的重要性提示給公司董事會；在未設立特定風險管理部門的企業中，有40.24%的內部審計部門會提醒董事會特別關注對風險的管理、24.39的內部審計部門會管理或者共同管理風險管理活動、20.73%的內部審計機構組織風險管理人員的培訓、8.54%的內部審計部門會進行風險管理活動的監督。

5、內部審計部門不具有獨立性。

調查顯示，在120家被調查公司中，大部分有單獨設置內部審計部門，且獨立地隸屬于層次較高的部門，但仍有少數被調查公司的內部審計部門是與財務或其他等部門合并設立的，不具有獨立性。還有7.25%的被調查公司沒有設立專門的內部審計機構。內部審計獨立性的不足會影響到內部審計部門在風險管理中的作用。

（二）我國風險導向內部審計存在問題的原因

1、我國企業對風險導向內部審計的理論認知缺乏。

在20世紀末，大多數發達國家企業已實施風險導向的內部審計來推動內部控制的發展，但我國的內部審計還未發展到相應的階段，大部分企業沒有實施新制度的勇氣與力度，不會執行風險導向內部審計；一部分企業與時俱進，企業內部控制部門學習了相關的風險管理理論與風險管理導向的內部審計相關程序，但在實施上沒有相關的經驗借鑒，在執行上也存在一定的困難。

2、我國企業風險導向內部審計模型尚未形成。

我國企業的制度變革通常都是自上而下的，企業內部新制度從宣傳到培訓執行再到真正實施需要時間，風險管理體系的建設與完善，尤其是在借鑒國外發展經驗的基礎上，探索出適合我國企業的風險管理體系，也需要沉淀的過程。

3、我國企業風險管理的方法比較落后。

國際先進的企業在風險管理中多會運用定量分析的方法，如：數理統計模型、金融工程等。而我國企業由于定量分析的理論指導和實施都不成熟，風險管理的方法較為落后。

四、我國企業完善風險導向內部審計的建議

針對我國企業風險導向內部審計實施的現狀和其中存在的問題，借鑒發達國家的實施實踐經驗，可以從以下幾個方面進行改進和完善。

（一）加強風險管理意識

市場經濟的不斷發展使風險成為企業發展無法回避的問題，要順應市場發展，就要正視風險。從內部審計入手，界定風險范圍、量化風險重要性、建立風險防范模型和機制，是我國每個企業和相關內部審計人員的必修課。

（二）完善相關法律法規

國家相關法規制定部門應加大制定內部審計工作的各項規則體系的力度和速度。例如，在2004年，內部審計協會發布《內部審計具體準則第16號——風險管理審計》的征求意見稿；2005年，內部審計協會發布了第三批內部審計具體準則，將風險管理審計納入內部審計準則體系中。這些準則的發布有利于我國企業盡早與國際風險導向內部審計相關準則接軌，也有利于我國企業借鑒國際企業實施風險管理的經驗，更好的完善我國的風險導向內部審計法律法規[21]。

（三）增加復合專業內部審計人才比例，提高內部審計人員的素質。

隨著風險導向內部審計模式的實施，企業需要多種專業的高素質人才，具體來說，企業可以放款審計人員的專業限制，引進管理學、工程技術、統計、計算機、法律等有利于完善企業風險管理和內部審計的人才到風險管理內部審計人員的隊伍當中，適應風險導向內部審計多方面對人才的需求[22]。同時，應提高實施風險導向內部審計人員素質，建立順暢的風險管理和內部審計人員的選拔、任用、培訓、業績評價等制度。