浅析风险导向内部审计与内部控制评审的有机结合

李琰

摘要 内部审计经过长期发展，已逐渐从传统的财务审计进入风险导向内部审计阶段，与公司治理和内部控制之间的关系也日趋紧密。本文通过分析风险导向内部审计和内部控制评审的内涵、特征，阐述了风险导向内部审计与内部控制评审的关系、结合方式；并以案例阐述了风险导向内部审计和内部控制评审相结合的理念在公司内部审计实践中的应用。

关键词 风险导向 内部控制审计 内部控制评审

一、风险导向内部审计的内涵及其特点

（一）风险导向内部审计的内涵

风险导向内部审计是指内部审计人员在审计全过程中始终关注风险，并根据风险程度合理选择项目，以降低风险为导向，进行内部控制制度的符合性测试和实质性测试，并进行监督和评价，提出建设性意见和建议，从而有效降低企业的风险，增加企业价值的一种方法。

现阶段风险导向内部审计包含了两层含义：一是将审计计划与企业的风险相联系。即内部审计计划应该反映企业的风险战略。在制定内部审计计划时，应该在对可能影响企业风险进行评估的基础上，确定审计计划的范围和项目，并根据情况的变化对审计范围适时更新，以风险因素来确定审计业务工作重点。二是发挥内部审计在风险管理过程中的作用。国际内部审计师协会在《内部审计实务标准》中指出，内部审计人员应该通过检查、评价、报告风险管理过程的充分性和有效性并提出改进建议来协助管理人员和审计委员会的工作。

（二）风险导向内部审计的特点

1.以内部控制评审为基础

内部审计要对公司的风险管理加以评估与改善，首先必须通过内部控制评审，查找并发现内部控制中存在的风险点。内部控制评审是风险导向内部审计进入公司治理和风险管理、评估改善组织风险的基础。

2.以对风险的评估与改善为首要目标

内部审计无论是对内部控制进行评估与改善，还是对公司治理程序进行评估与改善，都是以风险评估与改善作为首要目标，其一切活动都要以风险管控作为出发点和落脚点。风险导向内部审计不是在简单的内部控制领域消极地查错防弊，而必须以企业的整体风险评估作为自己的首要工作目的。

3.善于发现并重点关注企业的风险

风险导向内部审计更加注重企业内外部显现与潜在的影响企业当前和未来发展的问题，从根本上改变了传统制度导向审计模式主要根据對过去的业务与内部控制情况进行评价而做出审计结论、提出审计建议的做法。风险导向内部审计强调关注公司治理框架中的风险发现与风险管理，关注管理者及其经营风险。

二、内部控制评审的内涵及特征

（一）内部控制评审的内涵

内部控制是为实现公司经营管理目标而建立起来的既相互联系、又相互制约的具有控制职能的一系列规范、程序和方法，内部控制是一个严密而完整的体系，是公司健康运行的保证。

（二）内部控制评审的特点

其主要特点表现在：一是为公司管理层提供了一个管理和控制风险的工具，使公司对内部控制有一个更全面真实的了解，保证内部审计人员和管理人员共同对风险进行控制。二是反映出当前管理控制中存在的问题，让管理部门了解到各自对内部控制的责任，促使各管理部门更好地履行职责，促进企业内部管理行为的规范化。三是有利于提高内部控制制度的控制功能和控制效果，促进企业科学治理，促进企业整体效益的提升。

三、风险导向内部审计与内部控制评审相结合的实践应用

（一）建立内部控制体系的风险架构，形成风险数据库

以M省电网公司为例，将其内部控制体系从上至下分为领域风险、业务风险、环节风险以及事项风险四个层级。在横向维度上全面覆盖了公司战略管理风险、运营业务风险及支持业务风险三大领域风险。根据内部控制体系管控的风险范围和风险层次，共识别出一级领域风险3项、二级业务风险14项、三级环节风险89项、四级事项风险267项，并形成了公司整体风险架构。风险架构包括内部控制环节的全部风险，这些风险正是风险导向内部审计的对象。

（二）以内部控制体系风险框架为基础，开展内部控制评审

结合M省电网公司内控专栏发布的“内控评价问题解答”，采取线上线下结合方式，组成联合评价小组执行，在省、市、县三级单位开展，涵盖人力资源管理、财务管理、物资（服务）采购管理、工程管理、电力交易管理、合同管理等6大业务。依托内部控制体系风险框架和风险数据库，有序开展内部控制评审工作，针对内控制度风险防范的符合性和有效性测试，评价内部控制是否有效，是否满足了风险防范的要求，是否存在控制缺陷。通过内部控制评审，将揭示的风险点及时反馈公司管理层及各业务部门，强化业务风险的日常管控，促进业务管理的优化提升。

四、结语

目前，企业面临的风险日益增多，因此内部审计必须转变观念，重点关注风险，逐步由传统方式向风险导向内部审计转变，并与内部控制评审紧密结合，通过内部控制评审管理和控制风险，由事后监督评价转向事前的预警防范，真正做到审计关口前移，提高内部审计工作的时效性，为企业持续提供价值增值服务。endprint