淺析績效審計在企業風險管理中的應用

●張承業

一、引言

經濟新時代的到來，企業既面臨著機遇，也面臨著挑戰。隨著隨著供給側改革、振興實業經濟的深入貫徹，各行業當務之急是加快轉型升級，企業經營環境復雜多變，面臨的風險也在不斷變化。企業之間的競爭已經不再僅僅是外部競爭，更多的是企業內部控制和管理，做好風險防控是提高企業競爭力、有效規避風險的重要措施。績效審計作為現代企業風險管理的手段之一，風險導向下的績效審計能站在企業長遠發展角度更好地開展審計工作，充分發揮績效審計的作用。然而績效審計在我國開展時間較短，與國際發展水平仍存在很大差距，在企業風險管理中依舊存在很多問題亟須解決。基于此，本文研究績效審計在企業風險管理中的應用現狀，找出主要影響因素和存在的問題，并提出對策性建議，為績效審計充分發揮其職能，給企業創造最大價值，促進企業持久健康發展提供理論借鑒。

二、績效審計與企業風險管理現狀

（一）績效審計在企業風險管理中的應用現狀

績效審計是通過采用系統、規范的方法來評估和提高風險管理，控制和治理流程的有效性，從而幫助組織實現其目標。事實上，這種既定的績效審計代表了一種功能，可以顯著提高企業的價值，同時也可以保證企業風險管理過程的有效性。

績效審計提出已有多年，在企業風險管理中的應用涉及到多方面。在高校績效審計研究中，姚遠（2015）指出高校廉政風險防控與高校績效審計工作息息相關，績效審計的監督職能在高校風險控制中起到預警和制約作用。在政府績效審計中，張巧巧（2015）指出績效審計在政府企業能優化內部控制，有效發揮審計效果。風險導向下的績效審計具有“上下結合”的特點，自上而下是根據企業內外部環境、經營方向和戰略風險，做出財務預估報表，根據實際發生的情況分配不同的審計資源去面臨可能發生的各類風險；自下而上是根據企業已經發生的經濟活動找出具體原因和問題所在，然后評價企業風險，充分發揮績效審計的職能，實現效益最大化。

（二）風險導向下績效審計對企業風險管理的作用分析

1、促進企業目標的真正實現。企業作為關系到各方利益體的組織，不同利益體的目標不一致會造成企業內部控制管理失控，而績效審計基于真實、合法、合理原則，能站在企業長久發展角度，對企業的經營活動現狀和經濟性、效益性進行有效評價。績效審計不僅可以幫助企業的業務決策提供信息，企業還可以利用其作為戰略資源進行管理。白建俊（2014）指出績效審計可以推動成果轉化，加強風險管理，增加審計效果，提升企業價值。基于企業已有業績和資產狀況，績效審計由傳統的事后審計轉變為跟蹤審計，做出更符合企業長遠發展的審計報告，協調不同主體的利益關系，促進企業目標的真正實現。

2、有效規避風險。隨著企業面臨風險的多樣化和復雜化，企業內部控制管理流于形式，阻礙了企業風險識別和評估。績效審計結合了傳統審計的優點，又可以充分利用現代技術開展審計工作，通過對被審計單位多方位審查，結合企業實際發生情況找出企業面臨的各類風險，做出可以降低潛在風險甚至規避風險的有價值的審計報告。

3、完善審計職能。傳統的財務審計職能單一，雖然績效審計已經開展一段時間，但是很少和企業的風險管理結合起來，只是對企業經濟性和效率性進行分析，無法充分發揮績效審計職能。而風險導向下的績效審計從審計風險的分析和評價出發，收集企業數據信息進行分析處理，從市場環境、政策環境、企業內部環境等多角度開展審計工作，使績效審計結果更加符合企業實際發展需求和戰略目標。

三、績效審計在企業風險管理應用中的影響因素

（一）市場經濟活動

在經濟環境方面，績效審計是經濟責任學說的產物，在經濟發展的不同時期績效審計發展程度不同。隨著社會組織比如高校、政府和企業的規模的不斷擴大，外部經濟復雜多變，傳統的經濟制度已經無法適應快速發展的經濟活動，帶來了很多真空地帶和漏洞，給不法分子創造機會，加大了企業績效審計難度，審計質量難以保障。

（二）科技發展水平

現代審計對象趨于多樣化和復雜化，科學技術的發展是決定審計難度和效率的重要因素之一，績效審計對信息技術的依賴導致企業風險管理對技術手段的高要求。在現今大數據時代下，企業管理中可獲得的數據量和范圍越來越龐大，績效審計作為風險管理的有效手段，需要利用新技術和新系統進行綜合分析和應用，得出高質量的審計結果，因此先進的科學技術和高效的審計工具對加快績效審計進程有推動作用。

（三）法律法規建設

在社會環境方面，績效審計相關法律體系的建設是開展績效審計的依據，企業風險管理中也需要遵循相關行為規范和工作標準。法律賦予績效審計權限，為企業風險管理提供支撐。法律法規建設是企業風險管理的最低要求，在實施風險控制和防范中，不能以犧牲國家利益、破壞社會和諧為代價，必須嚴格遵循法規條例。尤其是在如今各行業高速擴張之時，開展績效審計難免產生監管真空，那么法律體系的完整性對審計效果至關重要。

（四）企業內部結構

企業內部結構主要包括制度和組織結構。在制度方面，企業設立的制度和規范是開展風險管理工作的基礎，績效審計則更應該遵循企業內部制度。目前很多企業會根據自身發展要求編制企業風險管理規章，重視企業的內部控制，努力提升審計質量。在組織結構方面，企業整體的組織架構是為了企業目標設置的管理機構，績效審計部門作為組織成員之一，在開展審計工作時，會受到企業其他組織的影響，包括協調工作和信息收集工作等。因此組織架構對績效審計有著重要影響。

四、績效審計在企業風險管理中存在的問題

（一）企業風險評估機制不完善

作為戰略規劃流程和業務日常管理的一部分，企業領導者需要識別可能影響公司目標實現的內部和外部事件。一般而言，風險管理職能人員通過他們的專業知識、商業智能和趨勢分析來幫助識別和評估這些風險。績效審計是一項獨立的、客觀的保證和咨詢活動，其在企業風險管理方面的核心作用是為董事會提供風險管理有效性的客觀保證。實際上，研究表明，董事會成員和內部審計師一致認為，績效審計為組織提供價值的兩個最重要方式是提供客觀保證，即適當管理主要業務風險，并確保風險管理和內部控制框架運作有效。但是目前很多企業在開展績效審計時，對風險評估不全面，未將企業過去、現在、未來的發展有效結合，全方位考慮其存在的隱形風險，企業尚未形成有效的風險評估機制，導致審計效果具有片面性。

（二）審計人員負擔較大

由于風險管理下的績效審計對企業的經營狀況、市場行情、企業所處的整體風險都要有所了解，因此對審計人員的專業性要求更高。審計標準的不同造成績效審計目標可能存在很大差異，具體目標包括對計劃有效性、經濟性和效率性的評估，以及內部控制合規性和前瞻性的分析等，這些總體目標不會相互排斥，反而相輔相成，因此績效審計可能有不止一個總體目標。例如，具有計劃有效性初始目標的績效審計也可能涉及評估內部控制的基本目標，以確定計劃缺乏有效性的原因或如何提高效率；監控風險管理系統的建立和實施方式，確定風險管理系統的可靠性和清晰性，以及是否符合企業的需求。審計人員兼顧風險管理體系的建立和風險評估的同時還要提出方法措施，不僅給審計人員帶來極大的負擔，本職的審計工作也不能做到獨立客觀，極大降低審計效率和結果的公正性，也打擊了審計人員工作的積極性，不利于開展績效審計。

（三）相關審計技術不熟練

隨著組織的業務環境變得越來越復雜，人們開始利用業務分析技術來優化對風險識別的手段并獲得對組織更深入的洞察力。相比傳統審計提供事后審計報告，領先的內部審計部門正在試圖進入持續審計、可持續分析、探索性和預測性方法的應用以及復雜的數據可視化技術等領域。利用分析功能，績效審計部門可以提供更深入的見解和結論，幫助決策者快速采取行動，做出更有效及時的決策。績效審計處于十字路口，并將在未來幾年內改革其傳統方法、工具和技術，以滿足公司治理和新風險管理標準的新要求。這些新要求旨在更好地保證組織的管理風險能力，這需要績效審計實踐的重大變革以及管理層對該職能的支持。但我國企業目前的審計人員一方面對高科技技術運用不熟練，另一方面也缺少相關的培訓，對績效審計新技術工具和操作系統尚處于摸索階段，沒有經過系統培訓和不斷演練，缺少實際經驗，嚴重制約了審計技術的應用與發展。

（四）管理層風險管理意識不夠

為了實現主要經營目標，為股東創造最大價值，企業在與環境不斷互動的過程中開展各項經濟活動。鑒于環境的復雜性，企業經常面臨不確定性，即風險。如果將風險視為為企業及其股東獲得更大價值的機會，或者作為可能導致價值降低的威脅，那么風險可能同時具有正面和負面兩個方面。因此，系統和風險管理機制的設計是成功的企業風險管理和實現其目標的必要條件。但現在企業內尤其是管理層風險意識淡薄，沒有將戰略和員工關鍵績效指標納入企業風險管理實施，也沒有選擇符合現有風險管理框架的正確技術，在基本的層面上對組織戰略風險的準確識別和評估都有所缺失。管理層對風險管理的監督是開展經濟活動的基石，在這種情況下，管理層至少應每年從審計師和財務總監那里獲得有關公司風險管理和內部控制系統是否充分有效運作的直接數據和資料。此外，審計師在企業風險管理上的培訓不足，缺乏風險管理的基本概念和理論認識，導致企業內部員工意識薄弱，

五、加強績效審計在企業風險管理中應用的對策

（一）加強對企業風險的評估

首先，審計師可以從客戶的企業風險管理計劃中檢索信息，以更好地評估企業風險，提高計劃審計工作的效率，并最終收取較低的審計費用溢價。其次，在資源有限的情況下，引入企業風險管理并將資源投入公司治理的公司可能無法為外部審計分配更多資源。例如，大公司更有可能擁有足夠的資源來建立更好的公司治理，建立更強大的內部控制系統，聘請審計師。因此，企業風險管理與審計費用或審計報告滯后之間的關聯可能由企業風險管理本身以外的其他因素驅動，為了加強風險評估，企業應該合理分配資金和有限審計資源。此外，確定風險管理流程是否有效是審計師評估的結果，包括組織目標支持并與組織的使命保持一致；確定并評估重大風險；選擇適當的風險應對措施，使風險與組織的風險偏好相一致；在整個組織內及時捕獲和傳達相關風險信息，使員工、管理層和董事會能夠履行其職責。

（二）加強內部審計與外部審計之間的溝通

長期以來，內部和外部審計之間的協調和合作一直被視為重要且有益于審計為組織實體和外部利益相關者的利益而運作的方式。這種協調和合作的例子包括聯合規劃和信息，意見和報告的交流，以促進更好的質量審計，并防止不必要的重復工作。因此有必要在共享信息和協調活動方面進行這種協調，建立相應的標準。這些標準要求在各自的審計方之間建立專業的工作關系，這種關系有助于內部審計師實現其目標并為公司提供更好的服務，而從外部審計師的角度來看，內部審計師提供的信息是在外部審計師能夠在一定程度上依賴內部審計師的工作的情況下，可能有助于提供更高質量的審計意見，并可能提供更有效的資源。

有效溝通的存在可以實現良好的合作，溝通是有效控制環境的絕對重要組成部分，如果外部和內部審計師的溝通之間存在障礙，則無法實現審計效率。有效的溝通減少了績效審計冗余，但需要聯合規劃和開放的溝通渠道。在確定內部審計師的工作是否滿足績效審計目的時，外部審計師應進行事先評估，并建立控制活動以確保在整個組織內有效和一致地執行風險應對。其次，在公司政策中正式確定能夠應對風險的明確、有效的政策，為確保在整個組織內始終如一地遵循該政策，企業風險管理職能部門可以制定適用于全球所有業務部門的政策，頒布指南或最低標準。

（三）提高審計人員的各方面能力

為了企業的發展和風險管理，審計人員要掌握的知識包括：所在行業的知識、風險管理的專業知識、良好的溝通技巧、全面的績效審計知識和除財務以外的專業領域的專業知識，還要了解財務流程、風險控制等方面知識。審計師有責任積極主動地擴展自己的技能，通過增加新的和不同的技能和經驗來完善自己，尤其是應擴大風險管理技能。更重要的是提高審計人員對風險管理重要性的認識，通過組織各種研討會和活動，以加強企業風險管理和控制。員工能力是績效審計活動有效性的關鍵。國際內部審計專業實務標準（ISPPIA）強調了績效審計團隊的重要性，他們擁有履行職責所需的知識、技能和其他能力。實際上，內部審計師必須集體擁有必要的教育、專業資格、經驗和培訓才能增加價值并改善組織的運作，要主動與被審計單位的人員溝通，讓被審計單位提供更全面真實的信息。

（四）加強管理層的風險教育

審計師比大多數員工更了解風險管理概念和價值主張。第一，首席審計執行官應該更加積極主動地對審計委員會和管理層進行有效風險管理的價值教育，以及了解審計師可以發揮的作用，以幫助提升這一價值。風險管理是審計委員會議程中的一個關鍵和新興話題，因此，他們可能會對當前風險管理活動的有效性提出更多問題。第二，首席審計師需要將風險管理視為核心競爭力，并確保審計師接受有關風險和風險管理實踐的適當培訓。第三，審查業務計劃，以確定審計師是否評估其戰略中包含的風險、是否具有風險監控功能、是否與其他風險和控制業務職能建立更牢固的關系，以推動增強的流程，并識別新出現的風險。第四，擴展績效審計風險評估流程，包括對組織核心業務戰略或組織主要業務戰略中所包含風險的評估。

此外，還應該注重以下幾方面：審查年度報告以確定風險是否得到適當處理；持續監控和評估利益相關者對風險和風險管理的期望，以及協助這些利益相關者的教育。審計需要充分了解組織業務戰略的范圍以及這些戰略中包含的相關風險，以確保組織的審計計劃能夠充分應對這些風險，確保組織的審計委員會、董事會或其他董事會成員會適當關注組織的戰略風險以及相關的風險管理活動；考慮如何最好地覆蓋組織審計領域的各種元素，包括各種外界元素和內部環境元素等。■