風險導向下保險業內部審計模型的有效應用

劉小書 沈璜

[摘要]有效的內部審計活動框架體系應當是藝術和科學的有機體，涵蓋內部審計目標、內部審計活動應遵循的基本原則、內部審計活動實施的核心要素等。內部審計部門履行著內部控制的監督職能，同時內部審計質量本身也是內部控制有效性的組成部分。

[關鍵詞]內部審計 風險導向 內部控制 框架體系

一、風險導向內部審計模型有效運行的前提條件

（一）組織風險管理成熟度

Philna Coetzee and Dave Lubbe（2014）指出，以風險為基礎的內部審計模型其中的一個假設為：組織是風險成熟的、在戰略和運營層面都有一個全面的風險管理過程;風險偏好和風險容忍度級別由高級管理層和董事會確定，或者在適用的情況下，由業務活動管理條線確定。也就是說，以風險為導向的內部審計實施的前提之一是，組織的風險管理環境和風險管理活動是相對成熟的。

安永《2017年至2018年度亞太地區保險業首席風險官調查》指出，風險文化在亞太區首席風險官的議程上占據首要位置。普華永道《2018年保險公司全面風險管理與資產負債管理調查報告》指出，受訪機構中超過九成保險公司已經初步建立風險管理框架，下一步工作面臨風險管理實施和落地的挑戰;“風險管理目標與工具”是風險管理中最薄弱的部分。從上述行業調研報告中可以看出，我國保險業的整體風險管理體系建設還處于初級階段。

2017年發布的《中國保險行業內部審計發展報告》顯示，有111家公司反饋為“風險導向審計”。雖然絕大多數保險公司內部審計工作模式自稱為“風險導向”，但是從當前行業的整體風險管理成熟度來講，組織實施的風險管理環境以及風險管理策略還不夠成熟，不足以使內部審計依賴風險管理過程的結果，而風險管理過程是風險導向內部審計模型發揮最佳功能的先決條件。因此，在實際操作層面甚少有保險公司能夠具備踐行“風險導向”內部審計的前提條件。

（二）內部審計成熟度

1.內部審計業務類型。從內部審計的目標來看，內部審計活動可以分為遵循性審計、舞弊審計、管理審計、內控審計、責任審計、效益審計等。每一類審計的目標是不一致的，因而思考邏輯和運用的方法論也就不一樣。通常情況下，遵循性審計是通過抽樣或者其他方式檢查是否存在違反法律法規的情況，不需要進行風險評估。同時，風險導向的內部審計模型，需要在審計計劃階段運用風險管理流程來進行整體性風險評估，制訂年度內部審計計劃。而實施這一流程的前提是，內部審計部門已對組織的風險管理過程進行了審計，并且認為該過程的結果可以信賴。這對于當前絕大多數以遵循性（含合規）審計為主的內部審計部門來說，尚缺少對相關風險管理過程審計的準備和經驗。

2.內部審計實施過程與“風險導向”的關聯度。雖然大多數公司使用了“風險導向審計”一詞，但是甚少看到公司完整的風險描述，包括對風險的定義、風險的分類及相關術語的描述等。在內部審計計劃階段，也明顯缺乏任何形式的風險評估（即便開展所謂的風險評估，也是非常的片面和零散，缺少關聯性，只鱗片爪、東拼西湊、顧此失彼）或基于風險的審計規劃。同時，風險導向內部審計通過發現問題線索，對觸發因素和原因進行分析，提出改善組織運營的管理建議。而這一過程中需要兼顧效率和效益，選擇恰當的風險處置方式，并與公司的風險偏好保持一致。這對于當前絕大多數以遵循性（含合規）審計為主的內部審計部門來說，缺乏具備執行上述活動所需能力的綜合型人才，這也成為當前實施風險導向內部審計的最大障礙之一。當前我國保險行業整體尚不具備實施“風險導向”內部審計的條件和基礎，除了內部審計自身發展因素外，還在很大程度上受到來自于行業、公司內部整體風險管理水平的制約。這一革新演變的過程需要各相關方的努力和協調，可以借鑒現代內部審計的理念和思路，尋求和識別提高內部審計效率的方法。

二、基于保險行業的現代內部審計框架

雖然不同的組織受其內部環境及自身發展水平不同的影響，內部審計部門在實際運作上有所差異，但內部審計部門在構建其自身運行時通用的理念和思考邏輯是一致的。筆者結合多年審計實踐，從內部審計的本質出發，進行系統性的理論探索，認為有效的內部審計活動是藝術和科學的有機體，其框架體系如圖1所示。

該框架體系提出了內部審計活動的目標是幫助組織實現其戰略目標，內部審計活動遵循的基本原則是成本效益原則，內部審計活動的核心是內部審計人員的職業判斷。內部審計過程是在公司總體戰略目標框架下，對組織治理、風險管理、內部控制的有效性進行評估，在風險分析、原因分析以及提出改善措施的整個過程中與相關方緊密相連，是一個有效合作和溝通的過程。內部審計組織通過促進利益相關方及時采取恰當的糾正行為，從而實現改善組織運營的目標，確保組織戰略目標的實現。

三、內部審計的目的是改善組織運營

（一）防止“小錯誤”變成“大風險”

正如《2019年全球風險報告》所述，我們必須以無指責的過程面對事實，不僅僅是確定具體的問題，而且需要著眼于更廣泛的組織和系統性的原因。只有這樣做，才能識別到早期的預警信號，保持懷疑，使用結構化決策工具，更好地管理危機——防止“未能預見的錯誤”。通常業務部門更了解問題所在，以及如何更有效地去改善。然而，問責往往使得個人更為小心謹慎，在事實面前以各種理由為自己辯護;同時，也會使得不同層級的人員扮演起“啞巴”的角色，導致重要的問題迷失在組織層級的底層。因此，內部審計部門需要從組織的整體利益出發，思考自身的角色定位，以便更好地履行自身的職能，并且能夠在審計委員會和高級管理層面前體現出自身的價值。

（二）提升組織效益

內部審計成果如何更為有效地為組織帶來增值，這已遠遠超過了“監督”這一職能。從某種程度上講，內部審計的目標與內控控制、風險管理是一致的，即促進組織的發展和提高效益，具體而言，是以更具有經濟性、效率性、效果性、及時性的方式來管理風險，并符合法律法規的監管要求。因而，內部審計所展現的不僅僅是一個風險清單（對組織內的所有風險進行盤點），而是為有效的管理風險提供見解并推動相關方去改善。在當前大多數組織整體風險管理成熟度較低的背景下，發展較為成熟的內部審計部門還可以提供系列改善組織風險所需的工具和支持，比如風險管理教育和培訓;歷年來內部審計所揭示的風險和薄弱環節，也可以為進一步完善組織的風險管理工具提供參考。

（三）遵循法律法規

在監管日益嚴峻的環境下，監管風險已成為組織面臨的主要風險之一。對于在國外設有機構的保險公司來說，還面臨著日益增加的地緣政治風險。對監管政策的正確理解和解讀是確保組織遵循法律法規的前提條件，因而內部審計部門有必要對監管政策及其變化進行充分分析，對組織的治理、風險管理、內部控制能否有效促進組織實現對監管的遵循性方面進行評估，并提出改善建議，幫助組織降低監管風險。

基于改善組織運營的這一根本目標，內部審計部門必須推動各方主動參與到內部審計活動中。然而，從人的本性來看，是厭惡、排斥被檢查的，因而內部審計部門需要搭建一個框架，提升內部審計部門與組織各方的協同性，加強與組織各層級的密切合作。內部審計人員有必要改變其“強勢的姿態”，賦予同理心，站在對方的角度去思考。如何在審計過程中提升各方參與的積極性，在發生意見分歧時如何提出有說服力的論點，何時需要一定的“妥協”，怎樣進行協商和談判;在不影響風險本質的情況下，如何對風險進行描述，使各方更容易接受，得出更恰當的結論，并在正確的時間將其傳達給正確的人，這些都是內部審計部門需要考慮和思考的。當前一個主流觀點是，審計報告中要體現出各方在審計過程中所做出的努力，包括被審計單位在這一過程中對風險的識別，已經實施的改善措施以及取得的效果等。

四、內部審計的核心是內部審計人員的職業判斷

（一）內部審計人員職業化發展現狀

1.內部審計學科基礎知識體系薄弱。職業判斷是來自多學科知識的結合，內部審計人員不僅需要具備所在領域的專業知識和技能，還要掌握一定的心理學、社會學、行為學、哲學、統計學等更廣泛領域的基礎知識，從而提升其職業判斷能力和對事物的見解。內部審計學是一門綜合的知識體系，有著其獨特的思考邏輯和方法論。正如Ann Butern（2016）所述，當正確理解了有效內部審計的本質、掌握審計過程中每一階段的方法論、具備了五個層次的審計能力時，內部審計人員才可以有效運行其掌握的方法論獲取所從事領域應具備的知識，即使這些領域是其之前不太熟悉的領域。然而，令人遺憾的是，內部審計學在高校并沒有納入主流學科，甚至很多院校沒有將其作為主流學科下的一個分支。目前從事內部審計工作的人員甚少有接受過系統性的內部審計方法論的培訓和學習，基礎理論知識的薄弱限制了內部審計人員的成長。這需要集行業的力量，推動內部審計領域通用知識體系的建設，通過行業組織對內部審計人員基礎學科知識進行持續教育和培訓，以推動內部審計職業專業化發展。

2.人才欠缺是制約內部審計發展的最大障礙。在很多組織中，內部審計部門并不是組織中“受歡迎”的部門，這某種程度上是因內部審計自身的角色定位與利益相關者的需求不一致所導致，并由此產生內部審計部門資源受限，直接關系到內部審計人員的薪酬和職業發展。對于優秀人才來說，他們通過觀察組織所呈現出的職業發展平臺和上升路徑，選擇最有利于自己發展的部門和崗位。大多數組織的內部審計部門往往缺乏吸引力，吸引和留住優秀人才成為其最大的困難。因此，內部審計責任人有必要想辦法打破這種僵局，建議審計委員會和高級管理層，在高級管理人員的晉升通道中為內部審計人員留下一席之位，這也是國際上一些領先機構的最佳實踐。

（二）提升內部審計人員職業判斷的關鍵要素

1.內部審計基礎方法論是職業判斷的基本原理。組織的運營需要兼顧成本和效益，新技術的發展給運營流程帶來了優化的機會，同時也帶來了新的風險。以史為鑒的檢查方法雖然在某種程度上可以發現組織表現出來的一些問題，但問題的改善需要內部審計部門與時俱進，從內部控制和風險管理的效果和能力方面尋找切實可行的改善方案，從根本上防范和降低風險。“目標—風險—控制”這一基本思考邏輯框架作為內部審計的基礎方法理論和思考邏輯框架，對其的正確理解和熟練運用是內部審計人員應掌握的基礎知識。

（1）內部審計關注的是風險。眾所周知，風險是客觀存在的，風險管理是效益和風險的平衡。因而，內部審計不是一個檢查表，而是通過運用一套系統性的方法和原則，對組織所面臨的固有風險、剩余風險的有效識別，對公司治理、內部控制、風險管理效果的有效評估，找到改善組織運營的機會，并促進管理層快速、有效地去改善，內部審計關注的是風險。可以把風險定義為一個不確定的事件或條件，如果發生，可能會影響組織目標的實現。風險可能是來自內部，也可能是來自外部;風險可能是由人、系統、環境等某一因素帶來的，也可能是多因素交集造成的;有主觀故意的，也有客觀存在的。而差錯是由員工在執行具體的崗位工作時因工作技能、工作經驗、工作責任心等因素所造成的。組織可以通過良好的內部控制來降低差錯發生的概率和損失程度，如通過員工持續教育、系統自動效驗和糾錯、關鍵事項的多級復核等，將差錯控制在組織所能接受的范圍內。因而，內部審計人員在執行審計項目的過程中，所扮演的不僅僅是“復核”或者“審核”的角色，而是通過有效運用長期以來積累的工作經驗和審計方法，在發現差錯及其他行為風險等的基礎上，對內部控制和風險管理的有效性進行評估。

（2）審計抽樣與風險判斷的相關性。通常，審計抽樣方法分為隨機抽樣、任意抽樣、判斷抽樣、統計抽樣與非統計抽樣等。不同的抽樣方法可能會對風險形成不同的判斷，因而需要根據特定的審計目標和審計程序，運用相應的審計抽樣方法，或者多種抽樣方法相結合。比如，內部審計部門對“運營承保檔案的完整性、正確性、及時性”進行評估，該程序需要通過一定量樣本的隨機抽樣，并將樣本的結果與公司的考核指標（公司可接受的風險）進行對比，從而判斷該流程控制的有效性;而如果審計人員通過經驗進行判斷抽樣，就會發現更多的差錯，得出的結論可能會有所偏離。然而，審計部門對“運營承保檔案真實性”的評估，可能就需要審計人員結合經驗進行判斷抽樣，在有限的樣本中找到可疑線索，進行進一步的檢查。因而，內部審計部門需要建立一套完善的審計抽樣體系，涵蓋抽樣的原則、方法論等，為審計人員尤其是新入職的員工在審計項目開展中提供參考，從而提升內部審計人員職業判斷的適當性。

（3）風險成因分析是提出改善意見的依據。正如保險理賠是以近因原則來判斷是否符合履行合同支付標準的依據一樣，風險管理是以對風險成因的判斷為前提對改善措施進行思考。對風險成因的判斷不一致，風險改善的措施也就不一定相同，風險管理的效果也就有所差異。因而，風險成因的有效識別對于審計人員作出正確的職業判斷以及提出恰當的審計建議至關重要。

如前所述，在內部審計過程中，需要重點關注的是通過控制活動和風險管理能夠緩和、規避、轉移的風險。以銷售誤導為例，基于人自我利益的考慮，銷售誤導是客觀存在的固有風險，其本身是不能夠完全杜絕的。組織可以通過有效的內部控制和風險管理，規避系統性、群體性銷售誤導行為的發生，及時發現個體銷售誤導行為并采取措施進行控制，以降低可能造成的影響，從而使風險控制在組織所能接受的范圍內。因而，在內部審計過程中，關注的是銷售誤導這一控制流程的健全性和有效性，如是否存在某一控制點的缺失，或者某一控制點未發揮相應的作用，可能就需要關注預防性控制措施（合規文化、員工培訓以及合規教育等）、監督措施（員工不良行為監測的方法、監督的及時性和全面性、風險處置方式等）、懲戒性措施（處理處罰、辭退等）等。而在具體原因分析方面，就需要結合能獲取到的所有信息包括一些歷史信息，對該行為進行判斷，是人的方面，還是產品方面;是主觀惡意的行為，客觀的技能欠缺，還是歷史遺留問題等。成因不同，改善的方案就會有所差異。

2.審計信息是正確職業判斷的基礎。在保險業快速發展和變革的過程中，隨著組織規模的擴張、數據的劇增、運營方式的改變，以往的內部控制不一定適合當前組織的發展。內部審計人員的知識儲備，對于現代內部審計運行的有效性至關重要。而這一知識儲備很大程度上體現在信息的儲備量，這些信息不僅包括組織內部的信息，如公司的發展戰略、管理舉措、實施效果、面臨的困境等，還包括外部的信息，如行業的最佳實踐、行業通用知識信息、行業整體環境等。充分、及時的信息是內部審計人員做出恰當職業判斷的關鍵所在。風險評估、審計計劃、項目實施、審計建議……無論哪個階段，完整、準確、及時的信息都非常重要。以某中支機構虛假提升13個月繼續率為例，如果單看這一問題，可能會被定性為“個人或組織通過繼續率弄虛作假獲利”;而有時則會得到“諸如指標考核越來越高”這樣的反饋，對于反饋信息的判斷需要獲取上級機構“指標追蹤記錄和指標要求”等相關資料，而對于該指標合理性的判斷可能就需要掌握行業的通用定義（如精算假設），通過對比進行評估。而在此過程中，涉及多層級的信息，同時也逐步形成對原因的判斷，如是個人的惡意獲利，還是考核指標的不合理，還是其他的因素。與傳統內部審計所要求的具備所檢查領域所應具備的業務知識能力相比，現代內部審計對于內部審計人員的“軟技能”提出了相當高的要求。如何與來自組織各個層級的其他人以及組織外的相關方保持良好的聯系，如何獲取信息并對信息進行判斷，已成為綜合能力的體現。

3.審計技術是有效職業判斷的保證。每個實體都面臨著無數的風險，這些風險可能影響到組織的許多部分。有時，風險可能起源于實體的一個部分，但影響到另一個部分。由于組織所面臨風險的復雜性，內部審計需要在整個實體內識別和管理風險。在當前保險行業積極擁抱技術革新的浪潮下，更多的自動化和數據分析工具給內部審計工作效率的提升帶來了前所未有的機遇，使得某些風險可以進行全樣本的風險識別和分析，某些審計程序使得同時對所有分支機構進行檢查成為可能。傳統上，保險公司覆蓋多家分支機構，內部審計部門對每家分支機構進行年度審計，這在一定程度上帶來了數據的割裂，風險識別和分析的碎片化，因而很難形成對風險的整體判斷或者需要更高的成本。而技術的發展已使得內部審計部門可以從整體上對某些風險進行識別，從而對整個控制流程進行評估，做到全面分析、精確制導。自動化的工具更有助于進行實時監測，從根本上突破傳統定期審計模式下監督職能的滯后。同時，隨著保險行業監管的日益嚴峻，越來越多的監管制度要求內部審計履行相應的職責，內部審計部門更應在自身建設中以成本效益為核心，充分利用審計技術，滿足監管要求。擁抱技術、利用技術提升內部審計效率是現代內部審計的必然趨勢。

五、內部審計是組織內部控制、風險管理的有機組成部分之一

1.內部審計質量內部評估。內部審計質量內部評估包括整體質量評估和審計作業評估兩個部分。在整體質量評估中，遵循成本效益這一基本原則，對內部審計這一監督職能的效果性、效率性、及時性、全面性等進行評估，防止審計部門績效低下或者過度審計。內部評估包括審計覆蓋面、審計能力（審計方法、審計技術、審計系統、審計流程等）、審計人員技能（綜合能力、持續教育和培訓）、審計質量管理、相關利益方滿意度等的評估，以提升審計項目的效率和效果，更有效地履行監督的職能，促進整個內控體系的優化和完善。在審計作業評估中，主要是具體審計項目質量的評估，是內部審計部門作業質量管理的一個環節。在大型公司的內部審計部門有必要建立一個質量保證小組（或相應職能），促進內部審計職能的不斷優化和改善。

2.內部審計質量外部評估。內部評估可能會受限于審計部門自身過往的經驗，從而忽視了一些已暴露的風險，或者對于新風險的敏銳度較低等，因而有必要根據內部審計準則的要求，定期開展內部審計質量外部評估，形成對整個組織全流程的治理、審計環境、風險管理、內控控制有效性的評價和改善。

綜上所述，從內部審計目標的角度來講，在整個內部審計過程中不是簡單的“對”與“錯”的裁定，需要內部審計人員賦予同理心以及具備一定的專業能力和有效的溝通能力，營銷審計建議，促進組織運營的改善，這是技術和藝術的有機結合;從內部審計人員的角度來講，內部審計人員不僅要遵循內部審計準則和職業道德，保持客觀性和專業能力，還要加強與相關方的聯系和溝通，及時獲取相關信息，恰當地平衡這種關系本身也是技術和藝術的有機結合;從內部審計成果來講，防止“小問題”變成“大問題”是組織的目標所在，如何發現對組織發展有著決定性因素的“小問題”是一門技術，而通過“小問題”體現內部審計部門的價值更是一門藝術。內部審計是藝術和科學的有機體，這賦予了內部審計更高的使命和價值。

（作者單位：泰康保險集團稽核中心成都特派辦

太平保險集團稽核中心，郵政編碼：610000，電子郵箱：151688210@qq.com）

主要參考文獻

Ann Butera. Mastering the Five Tiers of Audit Competency： The Essence of Effective Auditing[M].Productivity Press， 2016

Robert R.Moeller.Brink's Modern Internal Auditing ：A Common Body of Knowledge[M].John Wiley & Sons ， 2015