以風險為基礎的內部審計探討

劉小書 沈璜

[摘要]本文通過對以風險為基礎制訂內部審計計劃、基于風險的系統審計方法、內部審計評估標準、控制有效性評估維度等方面進行探討，提出相關建議，為更好地開展以風險為基礎的內部審計提供思路。

[關鍵詞]內部審計 ? ?風險 ? ?基礎 ? ?標準

在內部審計職能不斷發展演變的過程中，內部審計服務類型也在不斷發展，如通過內部檢查程序，實現對會計交易的雙重核查;通過連續的測試程序發現錯誤或欺詐;通過統計抽樣，降低測試水平;通過抽查，以審計威懾（被審計的可能性）減少違規風險;通過風險分析，重點審計高風險領域;通過基于系統的審計，針對控制進行測試;通過經營審計，將經濟、效率和效力的概念納入評估模型;通過管理審計，解決管理活動產生的控制問題;通過以風險為基礎的審計，促進組織科學發展。可見，以風險為基礎伴隨內部審計職能定位而產生，賦予內部審計新的使命——通過提供基于風險的客觀確認、深刻見解及建議，不僅將內部審計與組織防范風險和增加價值的目標聯系得更為緊密，并且使內部審計可以在公司治理方面發揮更大作用。

一、以風險為基礎開展內部審計業務的相關要素

（一）以風險為基礎制訂內部審計計劃

1.審計計劃模型。風險評估是制訂計劃的前提，主要基于審計人員的判斷，而這種判斷來自對組織戰略、目標、業務、風險、運營、程序、系統和控制的認知、理解及熟悉程度。Philna Coetzee，Dave Lubbe（2014）通過實證研究提出以風險為基礎的審計計劃模型：具有較高固有風險、在實施控制后風險水平較低的領域，應包括在內部審計業務計劃中;具有較高固有風險、在實施控制后仍處于高風險水平的領域不應列入內部審計業務計劃，但應向管理部門報告;具有較低固有風險領域的控制，不在內部審計業務計劃中。

2.風險研討會。以風險為基礎的內部審計計劃中，風險是指影響組織目標實現的風險，而并非僅是審計人員認為的風險。因而，從某種程度上，還包括審計人員和董事會、高級管理層就共同的目標對風險進行的討論。根據《國際內部審計專業實務標準》工作標準2010，為制訂以風險為基礎的計劃，首席審計執行官需征詢高級管理層和董事會的意見，了解組織的戰略、關鍵經營目標、相關風險和風險管理程序。內部審計部門可以通過與管理層開展研討會、小組座談等方式，考慮高級管理層最為擔憂的事項，從而討論確定董事會的前十大風險和優先事項。

3.審計業務計劃。業務計劃旨在實現每項審計業務目標，包括業務目標、范圍、時間安排以及資源分配等，這是建立在有記錄的風險評估基礎上的。根據《國際內部審計專業實務標準》工作標準2201，在制訂業務計劃時，內部審計人員必須考慮到以下方面：被檢查活動的戰略、目標及控制其實施的方式;被檢查活動的目標、資源和運營等方面存在的重大風險以及將風險的潛在影響控制在可接受水平的方式;與相關框架或模式相比，被檢查活動的治理、風險管理和控制過程的適當性和有效性;對被檢查活動的治理、風險管理和控制過程做出重大改進的可能性。

（二）基于風險的系統審計方法

根據《國際內部審計專業實務標準》工作標準2100，內部審計活動必須應用系統、規范、基于風險的方法，評估并協助改善組織的治理、風險管理和控制過程。

在以風險為基礎的系統審計流程中，一旦確定了作業計劃，下一階段就是確定阻礙目標實現的風險，并確保風險能被理解、分類和確定優先級。在確定關鍵風險之后，就應權衡和評估構成風險管理策略主要方面的具體控制并評估控制是否充分。如果判斷控制設計是有效的，應進一步通過遵循性測試判斷是否正確運行;即使控制已經到位并開始運行，也需要進行少量的實質性測試，以確保系統目標實現。如果控制薄弱，意味著存在不可接受的剩余風險并應直接報告;也可以通過測試這些薄弱點，找出實際的錯誤、濫用、失敗和其他風險，證明控制不充分的影響。對于剩余風險的結果進行分析，如果剩余風險狀態在風險容忍度以內，可得出有效的保證。同時，需提出改進以減輕剩余風險的建議。

（三）內部審計評估標準

根據《國際內部審計專業實務標準》工作標準2210，評估治理、風險管理和控制需要依據適當的標準。內部審計必須確認管理層和/或董事會制訂適當標準的程度，以確定目標或目的是否實現。如果標準適當，內部審計必須使用該標準進行評估。如果不適當，則必須與管理層和/或董事會進行討論，并確認適當的評估標準。大多數合規性審計引入的是外部標準和內部標準，重點關注控制活動中對規定和要求的遵循性，標準清晰、簡單并且容易獲取。相比之下，基于風險的系統審計方法所使用的標準遠遠超過了合規性審計。運用內部審計評估標準時需要注意以下幾個方面：一是遵循外部監管要求，這是每一個組織能夠有效運行的最低要求。二是內部標準建立在滿足外部監管要求的基礎上，以更為經濟和有效的方式實現組織目標。三是內部標準并不完全等同于內部制度，制度文件、系統程序、流程圖是內部控制活動不同方式的書面表現，如制度采用文字敘述方式、流程圖采用圖表方式。四是關于領先的實務標準，由于內部審計在宗旨、規模、復雜程度和組織架構各異的組織內部開展，其涉及的法律和文化環境豐富多樣，有將COSO內部控制整合框架、COSO企業風險管理框架、ISO90001質量管理體系等列入行業和職業指引，也有將以客戶為中心、全面質量管理、可持續發展等作為業務成功的標準，還有一些行業所認可的最佳實踐。但是以行業最佳實踐作為評估標準時，首先要判斷該實踐是否符合本組織的整體發展戰略方向以及本組織的運營模式和方向是否具備經濟、有效實現該最佳實踐的基礎。五是在基于風險的系統審計方法中，更多來自主觀性的職業判斷。在整個審計過程中，內部審計必須以公正、不偏不倚的態度，避免任何利益沖突，確保客觀性。因而，必須遵守組織的內部審計章程及職業指引，并將其作為自身質量管理的評價準則。

（四）控制有效性評估維度

控制有效性分為控制設計的有效性和控制執行的有效性。對控制設計的有效性進行評估，更多是主觀性的職業判斷，需要內部審計人員具備并熟練掌握COSO內部控制整合框架、COSO企業風險管理框架等專業知識，具有較強宏觀環境分析能力和橫向思維能力，熟悉全面業務并具有豐富的經驗，以前瞻性角度對控制設計本身的有效性進行評估。評估時需要注意以下幾個方面：一是不論是控制活動還是內部審計活動，都在企業特有的文化中進行，所有的活動都必須與企業文化保持一致，因而不同企業文化背景下同類型的控制可能會選擇不同的實施方式，最終在各個子目標間取得最佳平衡。內部審計和經營管理層在控制目標和策略理解上的一致性，對于控制評估尤為關鍵。二是在評估過程中，需要理解和掌握控制預期實現的目標，設計的邏輯、前提假設以及相關原則，以及哪些是當前環境下不能解決的風險。三是只有在控制設計有效的情況下，才會對控制執行的有效性進行評估，這一過程是遵循性測試和有限的實質性檢查，如通過穿行測試、抽樣復核等方法進行評估。四是控制重點為硬控制、軟控制、新控制、應急計劃等，COSO內部控制五要素為內部審計活動評估提供了一個整體框架，如控制環境——對企業在傳遞道德價值，對是非對錯提供明確指引等方面的效果進行評估;風險評估——在外部環境變化、管理層變化（管理哲學和經營風格）等情況下，控制策略是否仍適用等;信息和溝通——信息化管理下系統所支持的信息是否能及時、有效地為監測提供支持。五是由于整個控制體系的建立需要考慮成本效益原則，因此組織尋求建立適當的控制，以經濟高效的方式實現組織的目標，所以在控制設計時，要在五項要素中取得平衡，尤其要關注那些對控制目標實現有重要影響的要素。六是在控制有效性測試時，若發現存在重大差錯、舞弊、違規和其他風險，也可以參考COSO內部控制五要素的相關因素，作為問題產生原因的思考指引，提出更有建設性和針對性的建議。

二、以風險為基礎開展內部審計的相關建議

一是轉變思維。在以風險為基礎的內部審計理念中，檢查只是手段，而非目的。要從對過去的審查，轉為關注現在和未來將會面臨的風險，從“監督型審計”向“服務型審計”轉變。與傳統的“監督型審計”相比，“服務型審計”在立場、思維邏輯、溝通方式等都有所不同，所以這個轉變將是一個持續、漫長的過程。因此，對于內部審計部門和內部審計人員來說，開放的心態、打破常規和固有的思維局限至關重要。

二是優化配置。傳統“監督型審計”資源主要投入到對于機構和人員行為的監督檢查中，審計項目主要集中于分支機構層面，通常為“自下而上”審計業務模式的實施。以風險為基礎的內部審計業務，更傾向于“自上而下”審計業務模式的實施，因而需要相適應的組織架構、人員結構與之匹配。

三是完善標準。需要對標準的適當性進行確認，這與傳統“監督型審計”既定的標準是不同的。因而，需要建立對于標準適當性進行確認的一般原則、規則和方法，為內部審計人員在內部審計業務實施時提供指引。

四是規范流程。遵循性審計強調基于事務的測試，審計方案（測試指南）在初步調查階段制訂;通常在內外部制度更新后，才對審計方案進行修正，審計方案較為固定。而對于系統審計來說，詳細的測試計劃只有在系統評估后才能確定，因而系統審計的工作方案更傾向于確保審計業務目標的完成，推動以風險為基礎的內部審計業務的開展。

五是致力創新。內部審計人員除了掌握對標分析、流程圖、調查問卷、檢查清單等基本方法外，還需具有創造力，在內部審計實踐方面不斷提出改進建議，持續提升自我，放眼未來。索耶曾指出，內部審計的創造力是“拒絕接受現有的實踐是最終的，總是在尋找更好的東西”“結合信息將不同的概念轉換成新的更好的概念”。內部審計人員要創新關鍵業務流程，抓住關鍵因素，從而有效發揮作用，增加組織價值。

（作者單位：泰康保險集團稽核中心成都特派辦 太平保險集團稽核中心，郵政編碼：610000，電子郵箱：151688210@qq.com）