風險導向型內部審計實施機制探討

莊琳

[摘 要] 風險導向內部審計的本質是確保受托責任有效履行的能動的管理控制機制，“增加價值”是風險導向內部審計的指導方向，是內部審計活動的宗旨和目的。ROIA作為一種新興的內部審計模式，要協調好程序理性與結果理性之間的沖突，必須建立在合乎邏輯的委托代理理論和風險管理理論基礎上。風險導向型內部審計實施機制是實施的程序和過程，主要是制定風險導向型內部審計章程、風險導向內部審計機構設置和規范ROIA實施程序。

[關鍵詞] 風險導向;內部審計;實施機制

[中圖分類號] F239.4[文獻標識碼] B

一、引言

隨著日益加劇的商業競爭和企業經營管控的復雜化，投資者、管理者、董事會以及社會公眾等對企業內部審計監督職能期望越來越高。除了對企業財務收支活動的真實、合法性審計之外，內部審計機構還應盡可能發現公司存在的舞弊行為，并對企業面臨的戰略風險、業務經營風險、管理風險進行識別、評估和采取進一步應對措施。特別是《企業內部控制基本規范》及其配套指引的實施，對上市公司內部審計從制度遵循性審計向風險導向內部審計模式的轉變確立了法理基礎。對風險導向內部審計的內涵、實施過程、關注重點等內容的分析，對企業在風險管理框架下實施ROIA提供了操作借鑒。

二、文獻述評

麥克寧（McNamee）[1]提出了內部審計的新范式—ROIA，反映了ROIA目標與企業目標的契合，首先確認企業目標或某項交易的目標，然后分析對這些目標產生影響的風險以及能夠管理這些風險的控制，最后測試實際的控制考慮其能否切實管理這些風險。2001年，COSO委員會（Committee of Sponsoring Organization of the Tread way Commission）開始著手對企業整體風險管理框架（Enterprise Risk Management Framework，簡稱ERM）進行研究，2003年7月發布了ERM框架征求意見稿。2002年7月25日，美國國會通過了《薩班斯—奧克斯利（SOX）法案》（即《公眾公司會計改革和投資者保護法案》，以下簡稱《法案》）。《法案》要求所有在美國上市的公司都必須設立審計委員會，內部審計的作用與職責得到充分肯定。2004年COSO委員會推出了《企業風險管理——整體框架》，體現了企業內控與風險管理在為利益相關者創造價值中的重要性。

國內關于ROIA大都還局限于金融、保險等高風險行業的研究。如王軍法，關旭（2010）分析了ROIA在商業銀行風險管理中的重要作用[2]。在內部審計項目過程中，黃海，張晨（2008）認為風險導向內部審計研究主要集中于如何在年度審計計劃編制過程中運用ROIA[3]。但是國內關于具體審計項目中貫徹ROIA理念的實踐性研究并不多見。如何按照《企業內部控制基本規范》的強制要求實施風險導向內部審計，成為擺在我國上市公司治理層面亟待解決的問題。

三、風險導向內部審計基本理論分析

（一）風險導向內部審計的內涵

IIA在《組織治理—內部審計人員指南》中明確表示：“內部審計是通過對組織的風險管理、控制和治理程序進行確認，才成為有效治理重要基石之一的”?？梢?，ROIA是以對整個組織的風險進行全面評估與改善，以達到防弊、興利、增值目的的一種審計理念。其目的在于為組織增加價值和提高組織的運作效率。它通過系統化和規范化的方法，評價和改善風險管理、控制和治理過程的效果，幫助組織實現其目標。

1.風險導向內部審計的本質。在風險管理框架下，受托責任關系以及管理控制發生了一系列變化：首先在于委托人的廣泛性所帶來的外部受托責任多樣化，與強調股東利益的狹義委托受托關系相比，現階段更加強調各種利益相關者的利益，包括顧客、員工甚至社會等。其次，由于股權的分散，企業規模的擴大，企業內部管理層次的增多，導致內部受托責任的多層性。企業必須將更廣泛的外部受托責任關系分解到多層次的風險管理之中，因此ROIA的本質是確保受托責任有效履行的能動的管理控制機制[4]。

2.風險導向內部審計的對象。內部審計對象是內部審計的客體，與內部審計本質有密切關系。這種綜合審計相比管理導向內部審計階段而言，更強調關注公司治理框架中風險發現與風險管理，關注管理者及其經營管理行為可能出現的風險，關注組織在整個治理過程中的決策風險與經營風險。

3.風險導向內部審計的目標。ROIA目標及職能審計主體通過內部審計活動所期望達到的目標或者說是一種境界，體現的是主觀的要求?！霸黾觾r值”一詞是風險導向內部審計的指導方向，是內部審計活動的宗旨和目的，內部審計雖然不參加生產和銷售活動，但它可以通過保護組織資產、減少組織風險、降低自身審計成本、提出有價值的建議、增加阻止獲利機會等活動來為組織增加價值，為組織帶來巨大的利益。

（二）ROIA的理論基礎

ROIA作為一種新興的內部審計模式，要協調好程序理性與結果理性之間的沖突，必須建立在合乎邏輯的以下理論基礎之上：

1.委托代理理論。最初則是于1976年由Jensen & Meckling提出來的，這一理論后來發展成為契約成本理論（張春霖，1994）。內部審計服務主要面向公司管理當局和公司董事會。內部審計是因為所有權和經營權問題而產生，其目的在于降低企業代理成本、最大化企業價值。委托人和代理人往往都有各自不同的利益訴求，利益沖突難以避免。內部審計服務正是增強委托人和代理人信任，化解雙方利益沖突的一種制度安排。

2.風險管理理論。早先的風險管理理論把風險管理的對象局限在純粹風險，且重點放在風險控制上。但從目前的理論研究看，開始轉向以企業風險為管理對象的全部風險說法轉變。班尼斯特和鮑卡特（1998）在《Practical Risk Management》中認為：“風險管理應對威脅企業資產和收益的風險進行識別、測定和經濟控制”。威廉斯和漢斯（2004）指出：風險管理是通過對風險的識別、衡量和控制而以最小的成本使風險所致損失達到最低程度的管理方法。如今，風險管理已成為一門新興管理學科。ROIA對企業風險識別、衡量以及應對就是風險管理理論在內部審計領域的運用。

（三）風險導向內部審計的特征

索耶將內部審計定義為：對組織中各類業務和控制進行獨立評價，以確定是否遵循公認的方針和程序，是否符合規定和標準，是否有效和經濟的使用了資源。而ROIA是一種獨立、客觀的保證和咨詢活動。其目的在于為組織增加價值和提高組織的運作效率。與傳統內部審計比較，ROIA的特征主要表現在：一是審計的起點從公司的全面風險識別與評估開始，從企業內部控制環境出發，識別與評價財務報告層次的重大錯報風險，包括企業戰略與商業模式規劃、經營業務執行層面的風險源;二是審計的方法方面，更加注重分析程序的運用，比如業務收入，成本等的趨勢、結構以及比較分析等;三是審計的目標側重在識別與應對風險基礎上，為公司價值增值提供確認與咨詢服務。

四、風險導向型內部審計實施機制

實施機制是實施的程序和過程，是指制度內部各要素之間彼此依存，有機結合和自動調節所形成的內在關聯和運行方式。ROIA實施機制主要指ROIA章程的制定，部門的建立和ROIA的具體實施過程。

（一）制定風險導向型內部審計章程

內部審計是組織內部保障和支持組織目標實現的一種獨立的管理活動。其活動范圍涉及各個不同的職能部門、不同的管理層級以及各種信息資源。因此，在內部審計章程中對內部審計活動目標、權利和職責進行清晰明確的界定是開展內部審計的基本條件和重要保障。內部審計章程一般由內部審計機構起草，起草的章程要與組織目標和內部審計準則相一致，然后報給高級管理層、董事會、審計委員會或其他治理機構批準或通過。章程一經批準便形成管理當局與內部審計機構雙方的協議。內部審計章程的內容主要包括：內部審計工作的目的;ROIA在組織中的地位，即獨立性;ROIA有權接觸和執行與審計工作有關的資料、人員和財務;ROIA活動范圍，包括在風險管理中的責任和對后續審計的授權;有關開展保證服務和咨詢服務的規定和原則。

（二）風險導向內部審計機構設置

內部審計機構是在公司從事審計監督和風險識別與評估工作的獨立部門，是公司內部治理體系的重要組成部分。為提高審計監督效率和效果，公司應按照相對獨立性原則、功能性與效率性統一原則、權威性原則設置風險導向型內部審計機構。此外，正如Yung-MingShiu（2008）所言，風險管理和以風險為本的監管是否有效，很大程度上決定于內部控制制度的執行情況以及內部審計人員的能力。因此，公司應隨審計環境變遷，不斷提高內部審計人員的專業勝任能力和服務水平。具體包括：內審人員與被審計部門一起證實他們工作的共同組織目標;內審人員應告知被審計部門在審計過程中的全部審計發現;內審人員應該保持對風險管理、公司治理、財務法規以及審計技術等方面的持續學習。

（三）規范ROIA實施程序

一般而言，內部審計程序包括審計計劃、審計實施、審計報告、后續審計等主要階段。ROIA實施程序則更加突出對風險管理過程的測試與評價。在審計計劃之前要結合對公司各部門基本情況的了解，初步評估被審單位的重大錯報風險，制定審計工作計劃。在審計實施階段，首先確認組織所要達到的目標，其次要采用風險評估程序，分析達成目標的潛在風險水平和審計重點，再次通過控制測試程序和實質性程序，分別驗證被審組織的風險管控措施的有效性和經營業務過程及結果的合規性、公允性等。在審計報告階段，內部審計人員應該就風險審計過程中發現的問題與管理層、董事會進行充分討論，最終確定可接受的風險水平，出具審計報告，為防控風險、提高管理效率發揮內部審計的咨詢及服務職能。在后續審計階段，一是要檢查審計建議和糾正措施的實施情況，二是對風險的再評估，確保組織的風險水平得到有效管理和控制。

建立內部控制機制對內部審計提出了新要求。傳統制度遵循性的企業內部審計應適應新形式的需要，確立以風險管理為審計導向，管理流程為審計路徑，以強化內控為審計核心，以價值增值為審計目標的風險導向內部審計模式，以確保內控新機制的有效實施。然而，風險導向型內部審計這一前沿問題在我國仍處于初步探索階段，無論是在理論層面還是在實踐操作上都缺乏系統化和結構化的思考。本文一方面通過對風險導向內部審計的內涵、實施過程、關注重點等內容的全面分析，為企業在風險管理框架下實施ROIA提供了理論支撐;另一方面，通過對ROIA的實施過程描述以及案例企業的應用分析，為企業實施ROIA提供了操作借鑒。

[參 考 文 獻]

[1]David Me. Namee. Risk-basedauditing [J]. The Internal Auditor，1997（8）：22-27

[2]王軍法，關旭.風險導向內部審計在商業銀行中的管理與應用[J].財會研究，2010（12）：70-80

[3]黃海，張晨.風險導向模式在內部審計項目實施中的運用分析[J].會計之友，2008（9）：11-13

[4]孫強.風險導向內部審計基本理論及程序構建[J].經濟研究導刊，2011（6）：96-98

[5]Yung-Ming Shiu. Risk Based Internal Auditingin Taiwanese Banking Industry[D]. National Cheng Kung University，2008（5）：17-21

[6]衛建國，張林富等.廣州地鐵風險導向內部審計實施步驟[J].中國內部審計，2011（2）：60-63

[責任編輯：王鳳娟]