國外審計機構風險評估工作做法及啟示

盧獨景

摘 要：本文通過對國外審計機構風險評估做法，包括：評估標準、評估流程、評估方法的梳理，總結國外各審計機構風險評估工作體現出的強調風險容忍度、動態評估、后續審查等特點，為進一步完善人民銀行風險評估工作提供啟示，以促進內部審計工作的開展。

關鍵詞：風險評估；評估標準；動態管理；風險應對

中圖分類號：F239.65 文獻標識碼：B 文章編號：1674-0017-2018（7）-0087-05

一、國外審計機構風險評估主要做法

（一）評估標準。國外審計機構所開展的風險評估工作均依據于明確的評估標準。由于多數組織將風險評估工作作為風險管理框架中的環節開展，因此國際或國內的風險管理框架標準成為了風險評估工作的主要依據。如：國際會計師聯合會、澳大利亞審計署將AS/NZS ISO 31000（2009）風險管理標準作為組織的風險評估標準，國際內部審計師協會主要依據COSO（2002）制定的風險管理框架標準進行風險評估。此外，美國審計署則將聯邦政府制定的《聯邦政府內部控制準則綠皮書》作為開展風險評估的標準，歐洲審計院也針對績效審計制定了專門的風險評估標準。明確的評估標準成為國外各審計組織開展風險評估工作的基礎。

（二）評估流程。國外各審計機構的風險評估流程大體上相似，主要涵蓋控制目標設定、分類定義風險、分析評估風險、決定應對策略等四個方面（詳見圖1）。

1.設定控制目標，確保目標可衡量。設定控制目標即通過收集高質量的相關數據對組織業務領域進行整體理解，結合風險因素和應有的控制措施，設定組織風險控制目標。國外審計機構在設定風險控制目標時，注重對目標進行明確的、可量化或可定性的描述，從而便于審計人員評估目標是否實現。例如，美國審計署強調用可衡量的專業術語來定義目標，內容包括：目標是什么，誰來實現，怎樣實現及實現的時限。

2.分類定義風險，注重識別風險來源及影響。分類定義風險，即根據風險控制目標列出所有可能的風險，并按照一定標準對其進行分類或定義，從而識別出主要風險。國外審計機構在識別風險事件時，注重從風險來源及影響的角度對未考慮已存在控制措施的固有風險事件進行分類或定義，從而更加清晰地把握風險事件的本質。例如，多數組織根據風險來源及影響的不同，將風險事件分類為外部環境、財務、運營、人員、聲譽等類型風險（見表1）。歐洲審計院則要求以“原因+問題+影響”的方式對風險事件進行描述。

3.分析評估風險，注重考慮風險影響的復雜性。多數機構從影響程度和發生可能性兩個維度來分析和評估風險事件嚴重性，通過風險矩陣（見圖2）來確定風險事件的等級，再通過各風險事件對應的控制措施形成剩余風險。國外審計機構在分析評估風險時，注重綜合考慮風險影響的復雜性。例如，國際內部審計師協會在評估風險事件時提出要考慮到同一事件的風險影響可能帶來不同量級的損失。而美國審計署則指明在評估風險影響程度時，除了規模及持續時間外，還要將風險影響的時效性作為評估的要素，即考慮到風險會立刻產生影響還是持續一段時間后產生影響，以及特定風險對組織產生的影響是立即發生的、中期的還是長期的。

4.決定應對策略，關注風險動態變化趨勢。完成對風險事件的分析評估后，各機構按照各項風險事件的等級，以接受、降低、轉移、控制作為風險應對原則擬定措施。例如，歐洲審計院提出了核心風險的理念，通過給定的核心風險確定標準（見表2）對風險事件進行判斷，來考慮是否納入審計范圍或采取應對措施，并在風險評估結果中予以呈現（見表3）。國外審計機構在制定風險應對策略時，強調關注風險動態變化趨勢。例如，澳洲審計署提出了動態風險應對措施，對于不斷增加的風險采取監測和降低的措施；對于平穩的風險采取監測和接受；對于降低的風險采取接受的措施。

（三）評估方法。各機構采取了多樣化的風險評估方法及工具開展評估工作。眾多風險評估工作主要用于控制目標的確定、風險事件的識別和風險事件的分析三個過程。控制目標的確定和風險事件的識別這兩個環節，所使用的評估方法具有一定的互通性。“程序邏輯模型圖”“流程圖和相關性分析”“情景構建法”“問卷和清單”“研討會和頭腦風暴”“檢查和審計”“HAZOP分析法和FMEA分析法”“SWOT分析法和PESTLE分析法”均可以單獨或組合運用，來確定風險事件。也可以考慮使用“神經網絡法”，通過利用對不同數據模式的探索認識來識別可能存在的風險。

針對風險分析環節，當下衡量風險的主流做法是通過對風險事件的影響程度和發生可能性進行二維的判斷，結合風險矩陣確定風險高低，這種在單一維度內假定事件發生可能性為固定值的做法，對于離散的風險事件較為有效，但不適用于連續的風險事件。因此，風險的“概率密度函數”、“損失的預期值”也適用于不同情況下的風險度量。還可以通過“建立在風險控制自我評估之上的記分卡”“比較分析”等方法來對風險事件進行分析和衡量（見表4）。

二、國外審計機構風險評估主要特點

（一）考慮組織的風險偏好和容忍度。各審計機構在其風險評估框架中均強調了機構對風險偏好和容忍度，通過將組織風險偏好及容忍度的體現嵌合到風險評估流程中來優化風險應對策略。美國審計署、澳洲審計署在評估前期反映機構的風險偏好和容忍度，澳大利亞審計署還特別列出了5大類18項風險類別的風險容忍水平（見表5）。通過與確定控制目標這一評估流程相結合，可以有效避免風險等級較小的風險事件對風險評估及審計的干擾，將有限的審計資源更為合理分配到控制組織重要風險上，但也存在著由于主觀判斷錯誤，對重要風險容忍度過高導致風險控制不到位的情況。國際內部審計師協會、國際會計師聯合會及歐洲審計院則在評估后期體現對具體風險的容忍度，通過將組織的風險偏好和容忍度與風險應對流程相結合，既可以全面考慮組織各類風險，也可以在應對風險時快速定位，但在評估過程中需要投入更多的資源。

（二）強調對風險的動態評估管理。多數審計機構在風險評估過程中采取了動態應對風險的做法，通過對內外部環境的持續關注和監測來確認風險未來的變化情況，由此對風險事件及風險控制措施進行調整。美國審計署以審計報告、研究報告、戰略規劃、財務報告、績效報告、國會報告等為支撐對聯邦政府高風險領域進行動態評估，每兩年調整一次高風險領域清單，并對高風險領域進行持續密切跟蹤，對于一些取消高風險認定的領域也仍然保持關注。澳洲審計署指出需要評估與風險相關的條件是否發生了變化，以及這些變化是否已經影響了風險發生可能性和后果，同時，通過業務變化趨勢、運營是否成功來確定新產生的風險。國際內部審計師協會指出，應對內部控制風險進行周期性的監測，以固定的頻率驗證控制的有效性。

（三）充分體現固有風險與控制有效性的差異。多數國外審計機構在風險定義階段主要是針對未采取控制措施的風險進行識別和歸類，而在分析評估剩余風險時才考慮已有控制措施有效性和遵循性對風險的影響，并不將控制措施遵循不到位的情況列示為風險事件。例如：在根據風險分類和風險源頭確定固有風險事件后，歐洲審計院在風險分析階段，根據已有的核心風險標準和控制措施對固有風險事件的等級進行調整。而國際內部審計師協會則在確定風險應對策略階段，通過分析程序和測試細節來測試已存在或擬采取的控制活動有效性，從而得到考慮風險應對后的剩余風險。

（四）良好的風險信息交流機制。各審計機構均要求將風險評估情況在組織各層級進行傳達，同時各利益相關方也要對風險評估情況進行及時的信息反饋，以建立動態管理風險的基礎。國際內部審計師協會建議風險信息必須像財務和其他信息，以特定的頻率和形式進行溝通，以使工作人員、管理人員、董事履行各自的職責。可以使用風險評估的信息系統定期產生實時的風險狀況信息，針對不同群體出具風險評估和風險管理報告，以便于日常和長期決策。國際會計師聯合會構建了從業務部門到風險管理委員會/披露委員會，再到審計委員會/董事會的自下而上的報告機制（見圖3），以及反向運行的風險監測機制，來體現對風險信息的交流。澳洲審計署則要求任何評估為“高”及以上的審計，都要在每個季度的報告中向審計委員會和執行董事會報告風險狀態的更新情況。

（五）健全的風險評估后續審查。在這方面，美國審計署所開展的工作較為領先和完備，其披露了大量對聯邦政府各部門及各項目開展風險評估情況的后續審查實務。依照聯邦政府各部門采用的風險評估標準，對各部門及各項目是否如實、有效開展風險評估工作進行評判。2014年其披露了對9家聯邦機構（機構間安全委員會成員）設施風險評估的審查情況，發現“6家機構開展評估的方法與標準不一致，使得機構不完全了解面臨的風險而帶來安全資源配置的無效”。2017年披露由美國衛生與公共服務部（HHS）和美國農業部（USDA）聯合管理的“聯邦管制藥劑項目”審查結果，得出了“未評估當前組織結構所帶來的風險，也未評估減少機構利益沖突機制的有效性。如果不對風險進行評估并采取必要的行動，可能無法有效地減輕對該項目獨立性的損害”的審計結論。類似的披露還包括：2014年對能源部不當付款風險評估的審查；2017年對國土安全部風險三要素——威脅、漏洞、后果進行評估的審查等。

三、對人民銀行風險評估工作的啟示

（一）考慮組織風險偏好，適當削弱對低風險的關注。為更好地反映組織對風險的偏好和容忍度，風險評估系統可以借鑒歐洲審計院的做法，在全面評估各業務領域的風險事件的基礎上，在評估結果中添加是否納入審計范圍的選項。根據審計項目側重點不同調整審計涉及的風險事件內容，系統輸出的評估結果可以直接作為檢查對照表使用，避免了不同審計項目輸出相同的風險事件列表，體現審計項目的特點，更有效地分配審計資源。

（二）動態披露審計監督情況，提供管理決策參考。美國審計署對高風險領域持續跟蹤，甚至對從清單中刪除的領域仍然保持關注，兩年一次的的定期披露促進了政府以更有效率和更有效果的方式運行。人民銀行也可借鑒美國審計署做法，對高風險領域進行持續跟蹤，定期公布風險管理報告，以特定評斷標準分析高風險領域的管理情況，針對央行的業務變化情況動態調整高風險領域清單內容，為黨委和各級風險管理部門提供參考建議。

（三）強化對中、長期產生影響的風險的評估。在各業務領域的風險事件中不僅僅考慮即刻產生影響的風險，也應進一步考慮中、長期產生影響的風險事件，充分考慮某項業務的辦理流程是否會在未來產生某種不良的影響。一是可以使得風險評估更具有前瞻性，更為有效地防范新業務、新要求帶來的可能產生影響的風險。二是可以與組織的風險容忍度相結合，在擬定審計計劃時對產生影響時效性不同的風險區別對待，可以有效制定中、長期的審計計劃，以覆蓋不同影響時效的風險。

（四）精簡固有風險事件，關注控制措施有效性。適當區分業務領域的固有風險事件和遵循已有控制措施后的剩余風險事件，固化同一層級固有風險事件，使得評估工作可以聚焦于對已有控制措施有效性的評價。這樣在關注了控制措施的執行是否到位這種操作層面的風險，也更多的思考針對業務構建的控制機制是否合理。一是可以更好的從體制、機制的角度提出審計發現，促使組織構建更完備的控制框架。二是審計開展的角度更為深入，能夠更好地發揮咨詢作用，提高內部審計的認可度。

（五）構建后續審查機制，提升風險評估效果。美國審計署通過對政府部門開展風險評估情況的后續審查，來確定各部門風險評估工作是否得到執行并行之有效。目前，人民銀行可考慮建立對下級分支機構風險評估情況抽查的后續審查機制，通過對評估的驗證來評價被審查機構風險評估的真實性、準確性，以促進分支機構風險評估工作持續有效的開展。

參考文獻

[1]戴小鳳，朱衛東.基于網絡分析法的審計風險評估模型[J].會計之友，2012，（1）：105-112。

[2]顧加寬，基層央行風險評估現狀分析和框架構建——人行鹽城市中心支行風險評估現狀調查與思考[J]，金融縱橫，2010，

（6）：66-69。

[3]顧曉安.基于業務循環的審計風險評估專家系統研究[J].會計研究，2006，（4）：23-29。

[4]顧曉安，李毅.灰色關聯分析法在重大錯報風險評估中的應用研究[J].南京審計學院學報，2014，（9）：105-112。

[5]張萍，王瑩.基于模糊綜合評判的虛擬企業審計風險評估[J].審計與經濟研究，2010，（7）：44-50。

The Risk Assessment Practice of Foreign Audit Institutions and Enlightenment

LU Dujing

（Zhenjiang Municipal Sub-branch PBC， Zhenjiang Jiangsu 212000）

Abstract：By reviewing the practices of risk assessment of foreign audit institutions including assessment criteria， assessment processes， and assessment methods and so on， the paper summarizes characteristics reflected from risk assessment of foreign audit institutions such as emphasizing risk tolerance， dynamic assessment and follow-up review etc. And then， the paper provides the enlightenment for PBC to further improve the risk assessment in order to promote the development of the internal audit of PBC.

Keywords： risk assessment； assessment criteria； dynamic management； risk response

責任編輯、校對：謝華軍