风险导向的内部审计的实践研究——以中国网通公司为例

刘璐

（北京工商大学，北京 100048）

1 风险导向下的内部审计

风险导向下的内部审计，是在2014年正式实施的《第1101号——内部审计基本准则》中正式提出的：内部审计机构和内部审计人员应当全面关注组织风险，以风险为基础组织实施内部审计业务[1]。

在风险导向的内部审计观念流行之前，企业主要运用的是以业务和管理为主导的内部审计。然而，这种指导下的内部审计难以识别和评价导致风险的各个环节和因素（如内部管理者），也无法为有效降低审计风险提供帮助。除此之外，针对发现的问题，审计师往往会提出增加控制点或加强内部控制的其他建议，这将使审计责任中心的控制点日益增多，使管理系统的效能呈递减趋势[2]。而风险导向下的内部审计其主要功能和目的则是对企业的整体风险进行评估和控制，以利于企业的持续发展和经营，推动企业的战略实施，而企业的风险管理、内部控制以及治理程序是这种导向下企业进行内部审计的核心。

2 中国网通公司的内部审计体系

当前，我国企业（尤其是企业集团）所建立的内审体系大部分都是风险导向下的内部审计体系。中国网络通信集团公司（以下简称中国网通）是我国率先建立起风险导向下的内部审计体系的国有企业之一。

中国网通公司在集团公司、上市公司均设立了独立的内部审计机构——审计部，并全面实行了审计派驻制管理，其分公司级别的审计部门在业务和行政上分别受上级审计部和本级公司两套系统管理。而为了使内部审计工作更加符合决策层和管理层需要，集团审计部以风险为导向开展审计工作，重点关注国有企业监事会、上市公司董事会（审核委员会）、外部审计师及公司管理层关心的流程和控制点，加速了其向风险导向下的内部审计的转变。

企业集团首先要对内部审计的整体计划进行风险评估，其目的是使得审计计划能科学有效地指导具体内审工作的开展。企业集团建立了自己独特的风险评估模型，对高管、相关负责人和内审组进行访谈，从多个角度对企业状况和项目本身进行风险评估。之后，中国网通结合企业实际情况和成本效益原则，以评估结果为根据，确定审计项目和审计重点，从而制定出切实可行的审计计划，做到企业的内部审计为发展战略服务。其中对高管等人的访谈内容主要包含：集团公司之后的工作重心、相关业务流程的风险点、内部控制薄弱环节、管理层要求和希望提供的增值服务等。评估时的主要对象则是项目地流程和地点。首先，要进行流程评估，这是指对企业整体的业务流程进行评估，然后根据评估结果选择审计计划，其中要包含业务流程。之后，再进行地点评估，指根据选定的业务流程，对全国地三十一个省一级和海外分支进行风险评分，最后确定进行内部审计的地点。

除此之外，中国网通的内部审计体系还增强了风险识别能力、提升增值服务水平，将其审计重点转向了高风险部门和高风险业务，这一转变不仅提高了内部审计的效率，还有助于管理层进行理性决策。首先，在制定审计计划时，要注意实现对多个层次的兼顾，同时还应当充分咨询并听取专业部门的意见和建议，以求能够准确地把握各项目的控制点。在之后的审计准备阶段，要深入分析审计数据和企业的基本情况、识别风险因素、明确审计重点范围。到具体实施工作时，规定应先实施符合性及穿行测试，之后再进行深入的风险评估，识别关键风险点，以此为基础，才能做好审计重点与业务和经营风险的匹配。

3 战略引领下的问题与风险导向内部审计

随着企业组织形式、外部环境的急剧变化以及财务管理理论和战略管理理论的进一步发展，传统的风险导向型内部审计模式已经不能完全适用于当前企业需求。有学者提出，企业的内部审计工作应以服务公司战略为引领，以问题和风险为导向，以确立企业内部审计的工作范围、工作目标和审计程序等。

首先，战略引领下的内部审计是指以企业整体发展战略为核心，对战略管理的各个环节受托责任的履行进行管理控制，对薄弱环节提出改进建议，为实现企业战略目标和保值增值而服务的内部审计思想。当前社会和宏观经济都处于变革过程中，企业的战略是否符合外部宏观经济和内部资源条件，成为对企业内部审计的新要求。因此，企业的内部审计应从事后审计转向事前、事中审计，提前做好预防和保障工作，发挥内部审计的治理功能、免疫功能与监督功能。

而以战略为引领、以问题和风险为导向下的内部审计体系，是一种三位一体的内部审计体系，是以企业的战略制定与实施过程为主线，通过分析其中存在的风险及其影响程度，发现企业战略发展过程中存在的诸多问题，以此为重点、进行针对性的内部审计，实现有重点、有步骤、有深度的内部审计全覆盖[3]。而战略引领下的内部审计要从企业的战略管理以及对企业的战略控制与评价入手。其中，企业的战略管理又分为战略分析、战略选择和战略实施三大步骤[4]。

分析偏差是战略分析阶段的最主要问题，它通常是由于企业对外部环境和内部环境的认知偏差导致的。对该问题进行内部审计则需要从企业的内外部环境入手，对企业的宏观环境、产业环境、竞争环境等外部环境分析结果与企业资源与能力、企业价值链和业务组合等内部环境分析结果进行内部审计。而决策失误则是战略选择阶段所存在的最主要问题。企业的战略选择包括总体战略即公司层面的战略选择、业务单位战略选择以及职能层战略选择，每一个层次的决策错误都会对企业的未来发展造成重大影响。对这一阶段制定的战略选择方案、评估程序与结果和最终需要落实的战略政策和计划进行内部审计，才能有效地控制和防范该阶段的决策错误问题。

在这两个阶段中，会引起管理层和治理层出现决策失误的主要风险是外部风险和战略风险。对战略风险进行内部审计有利于提高审计前工作的针对性、明确内部审计的工作重心，推动组织实现保值增值的目标，发挥内部审计的治理功能和免疫功能。

战略实施阶段是制定关键决策，保证战略落实的过程，是为实现企业战略目标而对前期战略分析和选择的实施与执行，在这一过程中需要对其进行连续监督与反馈，从而有效地实施这一闭环系统。对该阶段进行内部审计能确保企业依据真实有效的信息、按照既定的制度制定战略以及实施战略，保证战略制定与实施的客观公正，以维护企业的利益、保证企业的长远发展。在这一阶段，最突出的问题就是已制定和选择的战略无法真正落实到位。以导致这些问题的风险为导向对企业的战略实施阶段进行内部审计，有助于发挥内部审计的治理和监督功能。

为了保证企业战略的实施效率与效果，还应该在整个过程中穿插进行战略控制与评价，这是企业内部控制的重要组成部分，即内控问题是这一环节的焦点。对此环节内控的有效性进行重点审计，可以有效防范和避免内部控制问题的发生，确保战略控制与评价发挥其应有的功能与价值。从内部控制的五大构成要素入手，分析引发企业集团或具体项目内部控制风险的因素，再根据企业的内控风险对战略控制与评价阶段进行内部审计，以充分发挥内部审计的治理、免疫和监督三大功能。

新的经济背景要求企业应该建立更加符合企业长远利益的内控体系，战略引领下问题与风险导向的内部审计，有助于企业结合自身实际情况，加强和改进审计工作。以服务公司战略为引领，以问题和风险为导向，以强管理、控风险、促发展为目标，不断加强审计组织领导和队伍建设，完善审计工作体制机制，积极推进审计监督全覆盖，才能实现企业内部审计的进一步发展。