簡析風險控制測試對于企業管理的指導意義

高鵬

改革開放四十余載，我國打開國門，開拓視野，兼容并包。在經濟的發展過程中的對各類新思維、新的視角不斷理解和吸收，再加以總結和創新，形成了與中國特色社會主義初級階段的國情相適應的經濟理論體系。2008年7月，我國頒布了《企業內部控制基本規范》。2010年4月26日，財政部等5部委聯合發布《企業內部控制配套指引》，這標志著適應我國企業內部控制規范體系基本建成。近年來，國內企業，特別是大中型國有企業為了落實對風險控制的積極評價和有效管理，在聘請會計事務所對企業財務報告進行審計的同時，也進行了內部控制審計。內控審計中，進行的相關風控測試的結果會在內控審計報告中加以披露。但我們大多數企業對于風險控制測試的結果不重視或者無從下手，不是無法對癥下藥就是基本無視，究其原因，還是企業對于控制測試的原理和測試結果對于企業管理的重要作用和積極意義不甚了了。筆者認為，正確認識內控測試的原理和結果，能夠揭示企業運營中對各項資源的掌控和使用效率，從而描繪運營流程的風險分布突出重大風險點和管理障礙，對于加強企業的有效管理意義重大。

內部控制審計的測試分為控制測試和穿行測試，控制測試是指用于評價內部控制在防止或發現并糾正認定層次重大錯報方面的運行有效性的審計程序。穿行測試是指追蹤業務在財務報告信息系統中的處理過程。控制測試目的是證明過程中控制點的執行有效，而穿行測試測試目的是了解整個過程識別控制點。這些測試的最終揭示的是企業內部控制設計和執行兩個方面有效性的內容。

控制測試的流程包括1、詢問，注冊會計師可以向被審計單位適當員工詢問，獲取內部控制運行情況的相關信息;2、觀察，觀察是測試不留下書面記錄的控制運行情況的有效方法;3、檢查和閱讀，對運行情況留下書面記錄的控制，我們主要執行檢查程序;4、重新執行，只有在上述方法不足以獲得必要和充分的審計證據時，才使用重新執行程序。

穿行測試是追蹤業務在財務報告信息系統中的處理過程。1、先將公司規范某項核心經濟業務行為的制度按業務流程的方式描述出來;2、抽取某幾筆業務樣本;3、要求受監察的單位提供所有所抽取業務樣本的運行記錄;4、按照流程環節，描述樣本業務的實際運行情況;5、對照流程環節與要求，比較并記錄沒有做到位的地方。我們要考慮之前對相關控制的了解是否正確和完整，并確定相關控制是否得到執行，這就是穿行測試。

上述測試的結果注冊會計師會在審計報告中加以披露，其結論主要是從內部控制設計和運行的有效性加以闡述，并對風險點進行相關描述。

那么如何理解這些測試的結果，能不能更深層次地挖掘，最大限度地利用解析的結果加以利用呢。控制測試的結果反映的是預防重大錯報層面控制的有效，就是說我們的控制是存在的，根據披露的風險點，我們還有不完善的風險障礙，沒有在管理中很好地體現制衡原則，當然，我們還要知道更深層次的原因。首先從企業整體戰略的角度，看我們的風險控制是不是貫徹了當前經營戰略的指導思想，是不是能夠切實保障企業的中長期戰略落地施行。時移世易變化宜以，隨著企業環境的不斷變遷和每個階段企業戰略的方向性調整，風險控制關注的要點和控制方式也是不斷轉換的。沒有這種轉換的觀念就談不上與時俱進，固化的管理思維是不能順應企業發展的形勢的需要的。其次，這些披露的風險障礙也映了企業資源調配管控的不合理，風險控制的目的是保證對人力、物力等各項企業資源管理的優化，風險障礙就意味著你設計的不合理，執行的不到位，關注的不是地方。所以在完善風控設計的同時，全面衡量控制執行的深度和力度，合理選取需要關注的風控節點就是測試結果帶給我們的第二層啟示。穿行測試是從業務流程的角度對風險控制的設計和存在加以印證。其測試結果在審計報告中同樣會加以披露。雖然選取的樣本并不多，但穿行測試反映了我們的每項核心業務流程是否執行了風險控制，每個參與業務的職能部門在執行中是秉承了怎樣的管理意識和工作態度。更能夠體現人的因素在風險控制管理中起到的作用。風險控制是需要全員參與的企業活動，其意識和素養也是需要長期地培育和訓練過程中得到提煉和升華，進而發展成企業文化的重要組成部分。

穿行測試的結果給我們有哪些有意義的啟示呢？首先必須明確，風險控制也是需要消耗企業資源的管理行為，對每個核心業務流程初始設計的長度和管理幅度，我們需要關注風險的力度和廣度，都需要消耗企業有限的管理資源。為了保證風控有效的同時更好地體現企業成本和效益原則，就需要我們合理地布局企業管理資源，在風控管理的從申報到執行的各個環節盡可能地簡化手續，對于非核心的冗余管理節點，可以替代或者簡化。其次，審計報告中披露的管理有效也要辯證地加以考慮，由于注冊會計師在抽取樣本的數量和廣度上存在的局限性，注冊會計師所說的管理有效并不能理解為管理完備。對于惡意串通、弄虛作假、內外勾結為出發點的惡意工作流，是不是能夠依然控制有效是無法得到切實論證的。

其實無論對于控制測試還是穿行測試的結果，對于惡意工作流能否控制有效都很難進行論證。這就需要對測試結果進行進一步的引申，由于惡意的工作流基本可以肯定一定會造成企業的損失進而形成重大錯報，企業更應對此加以關注。那么如何解決這個問題呢？筆者一家之言，思慮有限，也僅能提供一些思路請讀者加以考慮，在正常的業務工作流之外，惡意工作流往往是不可控的，你不知道它什么時候會出現，會以怎樣的形式出現，涉及問題的控制節點究竟有哪些，所以說是不可控的。既然都是要面對和解決的管理問題，我們可以把思維開拓一點，把管理位置前移，從事后管理向事前管理轉化。既然不可控，我們就可以結合工作的實際流程和社會公知的重大管理事件，定期地、不同層面和寬度地編制惡意工作流，在參與管理人員不可預知的情況下，組織管理層對惡意工作流的執行過程進行全面記錄和關注，找出風險點和控制障礙，不斷加以改進。最好的控制管理永遠是從實踐中淬煉出來的，矛盾，最厲害的矛才能練出最好的盾！

最后總結一下，風險控制測試對于企業管理所有的指導意義，都離不開企業管理者對于風險控制的全員參與、動態管理的意識和認知。離開這一點，所有意義都是無本之木無水之源。而運用企業有限的管理資源對風險控制測試的結果加以論證和引申，其目的就是在實踐中淬煉出最符合企業實際情況的最經濟和優化的風控模式。最貴的不一定是最好的，但最合適你的一定就是最好的！