风险导向内部审计在农行二级分行中的应用

蒋玉英

随着农业银行审计体制的改革，农行二级分行的审计职能由二级分行的内控合规部门来承担，而农行二级分行在国际金融危机的持续影响下，面临着严峻的外部经营环境，同时自身经营管理中也存在一定的风险，内外因素的结合加大了农行二级分行的经营风险，为此经营者必须树立风险防范意识，把减少农行面临的风险作为实现目标的关键。为了保证经营安全和持续发展，通过风险导向内部审计及时揭露潜在的风险，并提出防范和控制建议显得必要。

一、风险导向内部审计的定义和应用现状

风险导向内部审计的定义为：内审人员在整个审计过程中，自始至终都关注企业风险(不是审计风险)，依据风险确定审计范围与重点，以降低风险为导向，对企业的风险管理、内部控制和公司治理程序进行评价，协助企业管理风险，实现企业价值增值的确证和咨询活动。

农行二级分行的风险管理迫切需要内部审计的参与，但由于一方面二级分行本身在风险管理活动中往往采取的是“亡羊补牢”式的风险应对措施，另一方面内审人员对风险管理不了解，缺乏风险管理意识，尚未认识到风险管理的重要性，内部审计范围过窄，审计效率低下，难以对银行风险的管理、控制和治理过程进行全面综合的评价，因此内部审计在二级分行的风险管理中未能充分发挥作用。

二、风险导向内部审计应用于农行二级分行首先要解决的问题

农行二级分行对于外部的经营环境所形成的风险难以控制和施加影响，但可以通过控制内部风险来降低综合风险。要想较好地实施风险导向内部审计来控制内部风险，农行二级分行首先要解决以下几个问题：

1.根据总行分支机构内部控制评价办法，完善评价模式

2009年农总行在认真总结多年来内控评价实践的基础上，制订了新的分支机构内部控制评价办法。该办法确定了分支机构评价原则，第一条就是风险导向原则，在评价体系和内容上，根据风险发生的可能性和对控制目标造成的影响程度，来确定需要评价的重点业务、重要的业务领域或环节，评价方法采取非现场评价、现场评价，基本上是一年一次，个别一级分行利用内控管理系统进行了动态评价，但由于收集的资料单一，不能全面反映一个二级分行的内部控制情况。风险导向内部审计更加关心的问题是控制风险是否到位，有否剩余风险，这些剩余风险是否影响二级分行的安全性和持续发展，是否影响管理者的决策等。

2.进一步完善内部审计目标

内部审计目标是审计主体通过内部审计活动所期望达到的境地。农行二级分行内部审计的目标经历了防弊、低层次兴利，目前向高层次兴利发展，但是与企业目标关联不够。二级分行实施风险导向审计，必须进一步完善审计目标。内部审计就要更注重与企业目标的直接联系。农行二级分行内部审计的目标应该是“增加企业价值”。一是内部审计要确立银行没有有效发展是最大的风险的观念，因此对组织成员是否有效履行完成目标责任制的责任进行监督和评价，是帮助实现组织目标的重要方面。二是通过内部控制评价，及时发现内部控制中存在的重大漏洞和风险，并提出相應的改进措施，提交二级分行管理者，及早采取防控措施避免损失，从而达到增加价值的目的。三是改善内审人员的构成。

三、农行二级分行风险导向内部审计具体应用的探讨

根据风险导向内部审计框架体系及其在风险管理中所承担的角色，从以下几个方面探讨风险导向内部审计在农行二级分行的具体应用。

1.围绕二级分行经营目标全面鉴别风险

农总行制定了“35IO”战略规划，农行各二级分行围绕总行的战略规划，均制定了各自的经营目标。在复杂多变的经济网络中，企业的经营活动面临着诸多不确定性。从经营风险对审计的影响的角度，按风险来源不同，农行二级分行所面临的经营风险，可分为战略风险和经营流程风险。

对二级分行经营成败产生影响的潜在战略风险来自宏观环境和当地的行业内部。客观环境因素主要包括政治、技术、社会和经济因素。行业内部因素主要包括顾客、现有的竞争对手、潜在的竞争对手等。为了应对战略风险，管理层应设置经营流程。它是企业用来经营活动的方式和体系的总称，是二级分行为实现其经营目标和应对战略风险所作的努力，包括战略管理流程、资源管理流程等。每个流程都是为了应对战略风险，但同时本身也有对其目标的实现产生威胁的因素，来自企业内部各经营流程的风险就是经营流程风险。为了应对经营流程风险，管理层应设置内部控制，由于其固有的局限性，内部控制无法消除所有的风险，形成控制风险。

对于农行二级分行来说，在全面鉴别风险时，目前重点关注以下几点：

(1)根据经营目标的实施情况，对宏观环境以及行业内部因素进行分析，鉴别潜在的战略风险。风险导向内部审计把风险作为核心理念，一个二级分行如果不能按计划实现经营目标，实际上是最大的风险，为此内审部门应根据二级分行各阶段经营目标的实施情况，突出对这一风险的评估，提出风险管理的对策。从目前看：一是分析宏观经济政策对二级分行实现经营目标带来的影响，鉴别潜在的风险，比如，国家的财政货币政策、信贷政策、利率政策、分配政策等，这些都将对存贷款目标、利润目标带来影响。二是分析现有竞争对手对二级分行实现经营目标带来的影响，鉴别潜在的风险。

(2)根据经营目标的实施情况，对信贷资产进行分析，鉴别风险。二级分行的经营目标中利润目标无疑是十分重要的部份，在目前商业银行尚未混业经营的情况下，贷款利息收入是二级分行业务经营收入的主要方面，贷款利息收入额的大小取决于二个因素：利率水平、贷款规模。拨备的多少主要依据信贷资产的质量。因此，内审部门根据经营目标中经营收入的实现情况，通过贷款利息收入、信贷资产质量的分析，来鉴别风险。一是贷款规模以及贷款品种结构的分析，鉴别信贷规模发放与贷款品种结构给贷款利息收入带来的影响以及给实现经营目标带来的风险。二是贷款利率水平的执行以及贷款利率定价的分析，鉴别其给实现经营目标带来的风险。三是贷款质量的分析，以及拨备变化的分析，一方面鉴别信贷资产的风险，另一方面鉴别信贷质量变化给实现经营目标带来的风险。

(3)根据经营目标的实施情况，对组织各层次的履职情况，以及组织的绩效考核、报酬政策进行分析，鉴别其对实现经营目标带来的风险。一是认真分析二级分行各层次的履职情况，一方面内审部门起到监督和及时反馈作用，另一方面通过这样的分析，鉴别是否存在人力资源风险或员工正直风险。二是绩效考核、报酬政策的分析，一方面了解人力资源成本对实现经营目标的影响，另一方面了解留住人才的作用。

2.定期开展内部控制评价，确认现有控制，判断剩余风险

剩余风险是指在现有控制框架下，那些未能被企业控制的风险。2008年6月，财政部、证监会、审计署、银监会、保监会发布了《企业内部控制基本规范》，该规范提出内部控制由内部环境、风险评估、控制活动、信息与沟通和内部

监督等五项内控要素构成。这五项内部控制要素相互关联，贯穿于企业管理过程始终。风险评估既是风险管理的基础，也是内部控制的关键点，它包含四个方面：目标设定、风险识别、风险评价、风险应对。

(1)评估每一个已识别风险的固有水平。通过内控评价内部审计已识别各种经营风险。在识别这些风险时，内审人员并没有考虑其重要性大小，因此在识别评估剩余风险时，内审人员应对已识别风险的固有水平高低进行评估，主要是从二个方面评估，即某个风险导致不利结果的可能性以及不利结果的大小。

(2)考虑控制及业绩指标的含义。内部控制是二级分行管理层对风险反应的结果，经营业绩指标则反映了控制的效果，内审人员应当考虑二级分行的管理层对已识别的风险采取了哪些控制。这些控制是否与所识别的风险相关，控制的效果如何，并对经营的关键业绩指标进行分析。

(3)最终评估每个风险。在管理层采取应对措施以后，有些已识别的风险可能得到了有效的控制，降低到可以接受的水平，有些风险可能得到一定程度的控制，有些风险可能没有得到控制，还处于风险的固有水平上。

(4)确认重大的剩余风险，重大的剩余风险是内审部门关注的重点，对重大的剩余风险，内审部门应当采取进一步的审计程序。

3.设置业绩指标，实施经营计量与分析程序的整合

业绩指标是管理者建立的衡量经营活动的效率和效果的工具。业绩评价是指为了评价企业经营活动的业绩。管理层将经营的实际业绩与一系列评价标准进行比较，其效果的好坏取决于在风险或发生重大变化时，这些业绩指标能否及时提供预警信号以及管理者是否能够对这些业绩指标进行监控。

经营计量是指为了反映经营业绩，评估经营风险和便于经营决策，企业运用量化的指标对其经营活动的效率、效果及其面临的风险所进行的度量。二级分行的经营计量是多种多样的，最常见的是财务报表、信贷资产报表等等。在审计中，内审人员非常重视经营计量，这不仅是因为内审部门必须对财务报表这种经营计量的真实性发表意见，而且因为经营计量是审计证据的重要来源。

分析程序是指內审人员通过研究不同的财务数据之间以及财务数据与非财务数据之间的内在关系，对财务信息作出评价，它还包括调查与其他相关信息不一致或与预期数据严重偏离的波动和关系，分析程序是一种基本的审计程序。

风险导向内部审计在二级分行具体应用时，内审部门要根据二级分行的经营目标设置业绩指标，如新产品设计和开发方面，可以设置以下业绩指标：新产品上市的时间、新产品宣传的成功率、顾客对新产品的满意度、新产品的直接效益，以及开发成本、回收期等等。

剩余风险的存在与经营计量之间存在着高度的相关性，虽然剩余风险的存在并不一定导致财务报表的重大错报，因为剩余风险往往与客观因素有关，但剩余风险与产生错误的主观因素结合就可能导致财务报表重大错报，比如舞弊，为此内审部门必须实施分析程序与经营计量的整合来进一步了解剩余风险。

经营计量与分析程序整合由以下七步构成，一是确认需要计量的特征，二是收集相关资料，三是确认适当的业绩计量指标，四是计算，五是形成分析框架，六是分析，七是结论。在实施经营计量与分析程序整合中，为了便于分析，提高审计效益，内审部门可以运用平衡计分卡将有关财务数据和非财务数据整合起来。

4.及时沟通信息，确保风险处置时效

在实施风险导向审计过程中，内审部门对审计发现的风险，特别是重大的剩余风险，要提出化解风险或风险管理对策的建议。在一般情况下，这些建议是通过审计报告，或者是审计建议等书面报告形成出现的。但笔者认为，由于银行是一个高风险行业，在市场经济条件下，农行二级分行面临的经营环境相当复杂，往往内审部门实施一个审计项目需要一定的周期，为此内审部门对重大剩余风险，必须及时地向二级分行管理层沟通信息，确保管理层及时采取措施化解风险，及时沟通信息，可以采取两种方式，一是面对面的沟通，二是形成书面的风险预警、风险提示等。

5.重视后续审计

后续审计是指出具了审计报告，内审部门仍然要为报告中所涉及的审计发现事项和建议进行跟踪，以确认管理层是否采取了风险防范和控制措施。风险导向内部审计在农行二级分行具体应用中的后续审计，要二个方面去考虑，一是后续审计应跟踪重大审计发现事项，相关部门和环节是否予以纠正，若未纠正，责任和原因在哪里，后续审计工作安排要坚持风险导向和成本效益原则，要以所涉及的风险及纠正措施的困难程度和时间安排的重要性为依据，要充分利用非现场方法，以节约审计成本，二是要通过后续审计，加强风险管理。风险导向内部审计所发现的问题是剩余风险，所提出的审计建议是围绕处置这些剩余风险提出的建议。