以風險為導向的內部審計模式研究

高巖芳

我國企業內部審計起步較晚，與西方現代內部審計相比存在著不小的差距，但隨著我國市場經濟體制的建立和世界經濟的一體化，我國企業與西方企業都面臨著經營環境日趨復雜化以及風險的多樣化。內部審計作為保證企業有效管理的重要環節，必將面臨嚴峻的挑戰。我們的理論界、實務界應該積極行動起來，探討以風險為導向的內部審計的基本原理、方法及適合我國企業實情的操作實務，以提高企業抗風險能力。

一、以風險為導向的內部審計模式的意義

按照國際內部審計師協會（The Institute of Internal Auditors，簡稱IIA）的建議，2002年1月開始實施新的“內部審計實務標準”，該標準的第2010條規定：審計主管應制定“以風險導向為依據的審計計劃，以決定審計活動的先后順序，并與企業目標相一致。在整個審計項目的實施階段面對審計風險應充分運用風險導向審計，采取分析性、應對性對策。”這一標準將內部審計工作引向風險導向內部審計。2003年IIA對標準進行了修訂，新標準于2004年1月1日開始生效，新標準將內部審計定義為：內部審計是一種獨立、客觀的確認和咨詢活動，旨在增加價值和改善組織的運營，通過應用系統的、規范的方法，評價并改善風險管理、控制和治理過程的效果，幫助組織實現其目標。這一新定義對內部審計的對象、目標、職能進行了重新定位，明確了內部審計作為控制系統的組成部分，其天然使命是承擔風險管理的角色，有效發揮風險控制的作用。中國內部審計協會于2005年頒布的《中國內部審計準則》，也強調內審部門在安排審計計劃時，要綜合考慮組織風險、管理需求和有效利用審計資源等基本因素，并要求在風險評估的基礎上，考慮管理資源和審計資源的配置，明確了對風險導向型審計理念和方法的借鑒應用。2009年1月國際內部審計師協會理事會通過了國際內部審計實務框架（the International Professional Practices Framework，即IPPF），但關于內部審計的定義以及內部審計計劃的制定等問題依然遵循了2002、2003版的標準。因此，內部審計借鑒應用風險導向審計，是遵循國際內部審計實務標準、中國內部審計準則以及順應內部審計發展趨勢的客觀要求。

根據上述文件規范的要求，我們可以把風險導向內部審計界定為：是內部審計機構和內部審計人員，根據企業風險管理方針和政策，采用系統化、規范化的方法，測試組織風險管理系統、各業務循環及相關部門在風險識別、分析、評估、管理及處理等方面的活動內容，對組織的風險管理、控制及監督過進行評判、保證和預警，進而提高過程的效率，幫助組織實現目標。由此定義可以看出：風險導向內部審計模式是一種以影響企業經營目標實現的經營風險為依據確定審計項目，以企業進行的所有降低風險的活動為測試重點，評價風險降低的充分性和有效性，并提出恰當的降低風險的建議的方式、方法。這種審計模式通過綜合分析被審計單位經營活動風險及其所處的宏觀、微觀環境和可能引發風險的內外部因素來確定審計的范圍和重點，可以做到有的放矢、節約內審資源，是一種既能保證審計效果又能提高審計效率的全新思路。

二、以風險為導向的內部審計模式的特點

1.以風險為導向的內部審計以增值企業價值或改進企業運行效率為目標

以風險為導向的內部審計的目標與企業經營管理目標具有一致性，都旨在幫助管理當局改善公司經營管理，為增進企業價值增值服務。其具體目標可細化為對風險管理政策設計的適當性；執行的有效性；風險損失處理的合理性發表意見，該意見盡量避免集中在遵循要求上，而是實質地評估企業的風險偏好以及期望差距，提出縮短差距的具體措施和意見，以求把企業的風險控制在可接受的范圍內，為實現企業增值和改進企業運行效率的終極目標服務。風險導向內部審計以風險分析為工作重心，依賴于對企業治理層、管理層、操作層提供差異分析結論以及風險管理策略選擇建議，促使企業風險管理成為一個上下貫通、持續改進的企業增值機制之一，幫助企業治理層、管理層不斷提升企業價值。

2.以風險為導向的內部審計關注廣義上的風險

風險有狹義和廣義兩種不同的理解。狹義的風險觀認為，風險是消極的，是不能為企業增加價值和做出貢獻的，必須采取措施盡可能地減少風險。企業傾向于通過內部控制來增強企業內部的穩定和有序，而忽視了環境的細微變動，往往直到環境發生劇烈變動時才進行反應，這種風險觀是無法適應快速變化的21世紀的。廣義的風險觀認為，風險既包括正面的風險，即機會，也包括負面風險，即狹義風險。如IIA將風險定義為：可能對目標的實現產生影響的事件發生的不確定性，并指出風險的衡量標準是后果與可能性。麥克寧（McNamee）認為機會與負面風險雖然代表著兩種不同的結果，但是二者是相關聯的：首先，機會和負面風險是廣義風險這個連續變量的一部分，二者所產生的結果都是無法事先確定的；其次，機會和負面風險是隨著時間而變化的。從短期來看，由于錯誤、忽略、拖延或者舞弊等的作用，風險的負面因素會產生較大影響。但隨著時間的延長，風險的正面因素將逐漸累積并產生效應，機會的數量和價值將逐漸增大（嚴暉，2004）。風險導向內部審計所關注的風險就是廣義的風險，如戰略性風險、經營性風險和財務性風險等。

3.以風險為導向的內部審計的服務范圍更趨廣泛

以風險為導向的內部審計擴大了服務范圍，不僅涉及經營活動及內部控制而且還關注風險管理、道德氛圍等公司治理所關注的內容。內部審計師在組織中扮演的角色不再是獨立的評估者，更是風險管理與公司治理的整合者，以風險為核心和出發點，提供更為相關的確證和咨詢服務，從而促進企業價值最大化目標的實現。德國的內部審計是風險導向審計的典型代表。由于其內部的范圍涵蓋了企業生產經營的各個環節，為了保證有限的審計資源得以有效利用，內部審計是根據企業各領域發生風險的概率大小來確定審計對象、內容和時間。而且內審機構還要對審計項目的風險水平與審計投入產出進行分析，力求在確保控制企業主要風險的前提下，實現內部審計的經濟效益性。同時，德國的內部審計執行的是一種集事前、事中、事后審計為一體的全過程審計。在審計前，內部審計師通過對各領域進行風險分析確定重點審計對象，然后對擬審計領域實施具體審計，找出存在問題的薄弱環節，根據審計結果提出改進意見，并將審計報告提交給董事長和被審部門。提交審計報告后，內部審計師還對被審部門執行審計意見的情況進行后續跟蹤和調查，以確保審計建議得到落實。在審計手段方面，計算機技術得到了廣泛的應用，許多企業根據自身需要，開發了不同的審計軟件。如奔馳公司特別開發了一個軟件系統，建立了與執行內部審計相關的資料庫，以方便內部審計師制定新的審計計劃。

4.風險導向內部審計實施過程中的關鍵環節是了解、完善和改進企業的風險模型

風險模型的作用是根據性質把風險分類，它為一大串看起來異質的風險制定了結構，這個結構可以使人們更容易地理解風險。每個風險都必須被放在“它能對戰略產生怎樣地影響”的環境中進行討論，找到風險與企業戰略和企業經營目標的關聯。如果一個風險不能夠與戰略目標、經營目標、財務目標或價值觀聯系起來的話，就說明這個風險沒有被恰當地定義，或者甚至與公司不相關。風險與戰略的鏈接過程具有反復性，剛開始時人們會發現風險與多個目標相關，但經過深入分析后可能會排除一些較弱的相關性，以修改或增加、刪除一些風險。然而，通過深入理解這些風險的特征和相互關系，人們將在每個風險的評估過程中更加突出與戰略強相關的重點風險。

三、以風險為導向的內部審計實施的程序

由于風險管理包括三個階段：風險識別階段、風險評估階段和風險應對階段，因此以風險為導向的內部審計也是以關注風險管理的具體實施來開展審計工作。

1.內部審計對風險識別階段的關注

風險識別的任務是識別出風險之所在和引起風險的主要因素，并對其后果作出定性估計。風險識別需要回答如下問題：企業經營過程中有哪些潛在的風險因素？這些風險因素會引起什么風險？這些風險所引起后果的嚴重程度如何？

為了審查企業的風險管理機制是否健全，審計人員需要獨立地對被審計單位可能面臨的風險因素進行識別，并與各職能部門的工作相比照，從而審查各職能部門是否對可能的風險進行了有效的識別。在風險事件識別活動中，內部審計人員需要運用某些風險識別方法，創造性進行分析，判斷管理層是否完全識別企業的所有的風險，若有遺漏的風險要提醒管理層加以考慮。該階段內部審計人員的主要工作是運用各種風險分析工具，分析出企業當前正在面臨以及可能面臨的風險。

（1）風險領域

在內部審計實務中，風險是一個運用極為廣泛且得到逐步發展的術語。對一個營利組織來說，風險往往與營利的目標相聯系，并潛伏在與經營相關的各個領域中。熟悉和把握一般風險的存在領域及其相關活動，有助于內部審計人員對常見的風險領域保持特殊的警覺，以便在執行審計任務時，能夠及時準確地揭示風險和存在的問題、判斷隨時可能或已經造成的各種損失。對制造企業來說，其常見的風險領域中，如采購風險區包括接受采購要求、選擇供應、訂貨、訂貨跟蹤和貨到驗收等活動；生產風險區包括生產設計、生產布局、生產計劃和生產控制等；銷售風險區包括獲取客戶、需求分析、信息技術、簽訂合同和滿足客戶需求等；售后服務風險區包括售后產品跟蹤、售后技術服務、質量信息反饋和產品檢修等。上述的每一個風險領域的風險活動都可以進一步細分為一些技術上和經濟效果上相互分離的活動，然后審計人員可以對這些活動進行風險因素的分析。

（2）風險因素

風險因素是內部審計人員用來確定可供審計的單位或項目是否存在風險的標準事項。對一個組織具有影響的事項很多，而且同一事項對不同性質的組織所具有的影響程度也差別很大，內部審計人員可以根據可能造成不利影響事項的重要性來確定風險因素。

（3）風險類型

總體看，企業風險可以按多種不同的方式分類。根據業務類型的不同，風險可以分為以下四類：

①戰略性風險。戰略性風險是影響整個公司的發展方向、公司文化、信息和生存能力或公司業績的因素。主要包括國內外宏觀經濟政策以及經濟運行情況、本行業狀況、國家產業政策；企業發展戰略和規劃；企業戰略合作伙伴的關系等。

②經營性風險。經營性風險是指由于在操作程序、人員和系統上的不足、失誤或由于外部事件而引致直接或間接損失的風險。主要包括企業組織效能、管理現狀；中高層的知識結構、專業經驗；質量、安全、環保、信息安全等管理；自然災害以及其他純粹風險；未來市場價格（利率、匯率、股票價格和商品價格）的不確定性對企業實現其既定目標的影響；對現有業務流程運行情況的監管、運行評價及持續改進能力等。

③財務性風險。企業財務性風險是指企業在各項財務活動過程中，因種種難以預料或無法控制的因素給財務狀況造成的不確定性，進而使財務產生蒙受損失的可能性。主要包括企業負債、或有負債、負債率、償債能力；現金流、應收賬款及其占銷售收入的比重、資金周轉率；產品存貨及其占銷售成本的比重、應付賬款及其占購貨額的比重以及企業的盈利能力等。

④法律性風險。企業法律風險是指企業在設立和運行過程中，因享受權利或者履行義務不當而產生的消極的、非預期的損失。主要包括國內外與本企業相關的政治、法律環境；企業簽訂的重大協議和有關貿易合同；企業發生重大法律糾紛案件的情況；本企業和競爭對手的知識產權情況等。

2.內部審計對風險評估階段的關注

風險評估結果直接影響風險的應對策略，進而影響企業資源的使用效率和效果。通常情況，基于成本效益的考慮，企業對所面臨的不同風險將采取不同的對策。判斷應該采取何種對策，就取決于對各種已識別的風險的可能性和預計后果進行的分析。內部審計人員由于特有的獨立地位，可以從客觀的角度分析風險的假設條件，并采用適當的方法來評價風險，以此為管理層提供專業意見。此階段內部審計人員的主要工作是運用定性、定量工具估量風險、把風險排序、繪制風險坐標圖等。

定量分析可以從兩個角度進行：風險出現的概率和風險影響的程度。風險概率是指風險發生的可能性，通常依靠主觀經驗確定。風險的影響程度是指一旦風險發生可能對企業造成的影響大小，即風險發生的損失額。風險值的測算如下：

風險值=風險概率×風險影響

對于處于第一象限內的風險，毫無疑問不論是審計人員還是管理層都是應該予以關注的，而處于第二、第三象限之內的風險，由于其或是因為對公司的影響較大或是因為發生的可能性較大，公司的管理層一般需要采取檢查或糾錯的事后風險管理措施，由于這些風險管理措施在效果上一般不如預防性措施，很容易產生剩余風險，因此對于這兩個象限內的風險也需要關注。而對于位于第四象限內的風險，由于其重要程度及發生的可能性都較小，因此可以不予關注。

3.內部審計對風險應對階段的關注

應對風險所采取的策略和方法應由各職能部門提出，內部審計人員要對有關部門針對風險所采取的應對措施進行檢查，檢查其是否充分、得當。對于風險缺乏充分的控制措施的情況，內部審計人員應提出改進建議，以強化企業的風險管理，降低風險損失。此階段內部審計人員的主要工作是運用專業判斷選擇、實施風險管理方案，評價風險管理的效率和效果。

一般而言，風險應對的策略主要有風險規避、風險保留、風險轉移、風險抑制與控制和風險利用五種。風險規避就是不作為，即選擇以放棄、停止或拒絕等方式，回避損失發生影響；風險保留也稱風險接受，當某種風險不能避免，或因敢冒風險可獲厚利時，由自己保留承擔的風險；風險轉移是企業通過契約、合同、經濟、金融工具等形式將損失的財務負擔和法律責任轉嫁給他人，達到降低風險發生頻率、縮小損失幅度的目的；風險抑制與控制是指企業對不愿放棄也不愿轉移的風險，通過查找風險事故形成損失的源頭，降低損失發生的可能性、頻率，縮小損失程度，達到風險控制目的的系統控制措施與方法；風險利用則是把風險當作機遇，利用運營中的困難通過風險戰略，開拓市場，達到更大的戰略目的。在風險應對活動中，企業要根據不同的風險類型決定要采取的策略，是避免風險、接受風險、還是降低風險就取決于風險的性質和風險評估的結果。比如，對有相對的風險回報的風險，組織可以考慮接受，但要采取控制措施，才能將風險降到可以接受的水平，獲得希望的回報。對于此風險控制措施，審計人員的主要工作在于分析、評價風險回報的合理性，以及風險措施實施的有效性。如果組織不能承受該風險，則這種風險控制的措施將是無效的。