我国风险导向内部审计模式探析

洪东东

【摘 要】 风险导向内部审计是通过对风险进行全面评价，根据风险高低程度确定审计范围与重点的，用来控制企业风险的全新审计模式。但是，我国对风险导向内部审计的研究仍在起步阶段，我国企业亦未对其产生足够重视与应用。因此，本文在借鉴国际先进风险导向内部审计经验的基础上，探寻我国企业风险导向内部审计存在的问题的解决方法，以使我国企业增强预测、评估、控制风险的能力，最大限度地实现企业发展目标。

【关键词】 中国企业 风险管理 内部审计 风险导向

一、风险导向内部审计相关理论概述

（一）内部审计基本理论概述

内部审计理论随着生产力的发展，不同权利主体产生和相互牵制，以及受托责任出现而萌芽，其技术和手段随着复式记账法在会计核算中的普及而得以发展。随着经济的发展和社会的进步，内部审计经历了四个基本的阶段：财务导向内部审计阶段、业务导向内部审计阶段、管理导向内部审计阶段和风险导向内部审计阶段。

1、财务导向内部审计阶段

财务导向内部审计是在分权思想充分发展的背景下发展起来的，主要是授权具备财务和管理知识与能力的人才，对企業的会计和财务事项按照报表-账簿-凭证的程序进行独立性的检查，以监督受托责任人经营行为的诚实与可靠。

2、业务导向内部审计阶段

业务导向内部审计是随着国际内部审计师协会的成立和泰勒的科学管理理论等管理学理论的发展而形成，主要以揭露业务管理过程低效率的缺陷，使管理人员有效履行职责服务为特征。内部审计人员主要依托实施内部审计程序，评估企业在经营活动过程中是否有效实行了内部控制，并形成报告，将报告结果、审计意见和建议提供给管理层，从而使企业完善运营的各个方面。

3、管理导向内部审计阶段

管理导向内部审计因20世纪后期发达国家发生的经济危机的推动而产生和发展，利用审计委员会制度建立这个保障条件，将内部审计的重点转向并扩大到对管理决策等的审计，以期帮助管理层增加管理决策的科学性，促进管理者履行受托管理责任[15]。

4、风险导向内部审计阶段

风险导向内部审计伴随人们对公司治理和内部控制等理论重要性的认识加深而发展。它以企业面临的风险为核心分析目标，综合评估企业所处环境与风险，根据风险高低限定审计范围和审计重点，帮助企业识别风险、量化风险，最终把企业的风险控制到期望的范围内。

2001年1月，国际内部审计师协会修订《内部审计专业实务标准——专业实务框架》时颁布了内部审计的新定义，首次将治理程序和风险管理纳入内部审计范畴，也标志着内部审计迈入了风险导向的新阶段。

（二）风险导向内部审计相关理论

1、风险管理理论

风险管理是指在充满风险的环境中，采取各种方法，根据风险情况采取相应措施，将风险减到最低的过程。在充满各类风险的市场经济环境当中，企业必须对风险进行管理，根据业务风险情况采取不同的应对策略。风险导向内部审计便利用了风险管理理论，在内部审计时将企业面临的风险视为核心的分析目标，充分重视风险在企业运营中的重要作用，根据风险高低确定内部审计的范围和重点。

2、内部控制理论

内部控制理论主要指企业为实现经营管理目标，提高经营效率，而建立的企业内部的各个部门业务活动的组织、制约、考核、调节等措施。内部审计既是企业内部控制体系的一部分，又是实现企业内部控制目标的关键途径之一；风险评估作为内部控制的重要要素，对企业发展也有至关重要的影响。内部审计发展到现今的风险导向内部审计，将风险评估与内部审计很好的结合了起来，能够更好的促进企业内部控制的完善和发展。

3、风险导向内部审计的对象及目标

由于企业的发展和扩大，企业内部受托责任关系范围也不断扩大的不断提高，内部审计的对象和目标也随之扩展。这种扩展可以从IIA内部审计职责说明书（SRIA）中得到了解，如图2所示：

风险导向内部审计的对象为风险管理、控制以及治理程序，目标为增加组织的价值。可以看出，伴随着风险的普遍存在，风险管理理念逐渐深入人心，风险导向内部审计不仅与企业目标更加直接地关联了起来，而且也同时加强了对风险管控的关注程度。

4、风险导向内部审计的特征

传统的内部审计模型主要依据从控制到风险再到目标的内部审计模式，直接去测试企业内部控制的充分性和有效性，风险仅仅用来表明控制的薄弱和健全与否，对内部审计结果并没有很大程度上的影响。若这种模式得以长期发展，内部控制的结果会愈发远离企业的经营管理目标，内部审计也失去其存在的价值和意义。

与传统意义上的财务导向内部审计、业务导向内部审计和管理导向内部审计的区别在于，风险导向内部审计对风险的关注程度很高，这也成为风险导向内部审计的主要特征所在。

风险导向内部审计将企业经营、管理过程中存在的内、外部风险放于重要位置，反以“目标-风险-控制”为模型，首先明确企业的经营管理目标，然后分析哪些风险会对这些目标产生影响，图和采取措施防范和控制这些风险，最后实质测试在实际中采取上述控制措施，能否真正地管理这些风险[17]。通过这样的一种方式，内部审计所提供的服务能够更好地与企业经营管理目标契合，企业也能够根据风险导向内部审计的报告结果，采取相对应的控制措施，将风险意识和风管理置于内部审计活动的全过程。

（三）风险导向内部审计的实施条件

1、完善的法人治理结构

完善的公司法人治理结构是风险导向内部审计得以实施的内部前提和保障，主要是指股东会、董事会、监事会等机构各司其职，为良好的内部审计组织环境奠定基础。

2、健全的风险管理体系

健全的风险管理体系主要是指企业的董事会、经营管理层、风险监管相关部门和各业务部门分担不同的风险管理职责，形成相应的风险控制防线，使风险管理理念能够在企业得到正确的执行。

3、完善的内部审计制度

完善的内部审计制度是实施风险导向内部审计的制度保障。只有在一定的内部审计框架和制度下，风险导向内部审计的各种创新和方法才能在相同的模式之下顺利施行。

（四）风险导向内部审计的实施程序

风险导向内部审计的实施项目与内容与一般内部审计无异，本文不再加以赘述。但在实施中，各个程序的顺序经过了调整，也更加注重对风险的预测和控制。

1、准备阶段

（1）确定可供选择的审计项目；（2）评定审计项目中存在的风险因素，根据风险因素的重要性进行排序，量化各风险因素对审计项目的影响；（3）根据量化后的结果，确定审计项目的先后次序；（4）编制全年的风险导向内部审计计划；

2、审计实施阶段

（1）控制测试；（2）实质性测试；（3）风险的再次评估以及修订审计计划[18]。

3、审计报告阶段

（1）得到初步审计结论并提出审计建议；（2）沟通传达审计结果；（3）编制审计报告和报告审计业务[19]。

4、后续审计阶段

三、我国企业风险导向内部审计实施概况

（一）我国企业风险导向内部审计实施现状

虽然我国在新世纪初期陆续发布和更新了《审计署关于内部审计工作的规定》、《中国内部审计准则》等一系列内部审计的法规和制度，内部审计也从无到有地逐渐发展起来，但是，在传统内部审计的执行方面，我国大部分企业依然有内部审计部门的设置不够科学、内部审计的业务范围比较狭窄、内部审计人员素质不高等问题。在国际内部审计师协会新定义下的风险导向内部审计的实施方面，我国企业的方法不够成熟，仍有许多亟待解决的问题。

1、我国风险导向内部审计实施范围不广。

在一位学者的一项调查中显示，共120家被调查企业中，有92.75%进行过财务导向的财务收支内部审计、73.91%进行过经济效益的内部审计、60.86%进行过基本建设审计，只有7.25%进行过风险导向内部审计。

这120家被调查公司涵盖制造业、服务业、银行金融业、行政事业单位、医疗、建筑、通讯、能源、学校、交通等领域。可见，在被调查企业中，内部审计仍是以财务导向的为主，而这些被调查企业涉及行业的广泛性使我们不难看出，风险导向内部审计仍非我国企业内部审计机构的主要审计内容，风险导向内部审计还没能在我国企业中广泛地实施。

2、我国企业的风险管理体系还不完善。

调查显示，在被调查的120家企业中，80.49%没有专门的风险管理部门、68.29%没有正式的风险管理活动、34.55%只由总裁一人监督风险管理活动、60.66%仅按法律法规的要求订购一些必须购买的保险行来进行所谓的风险管理，而很少系统地考虑防范风险的具体措施。

这说明，我国企业的风险管理体系还很完善，且企业进行风险管理活动也只是按照法律法规的要求而被动进行，并不是出于进行风险防范的目的而主动进行。同时，企业的风险管理活动也不连续，风险事件发生后再采取风险应对措施的常有的现象，这往往不能实现风险导向内部审计的目标，也远离了企业的目标。

3、风险管理的审计方法还很落后。

在被调查的120家公司当中，只有6.55%将定量分析的方法运用到风险管理过程中，大多的企业还是运用定性分析的方法进行风险管理，这与国际的风险管理模式相比还是比较落后的。在多数情况下，企业不能适时地预测、识别、评估和控制风险，与落后的风险管理方法有直接的联系，最终，企业目标的实现程度也会大打折扣[20]。

4、内部审计与风险管理不能很好结合。

在120家被调查的公司当中，有18.29%的内部审计部门在风险管理中是不发挥任何作用的，仅有少数的内部审计部门会将风险管理的重要性提示给公司董事会；在未设立特定风险管理部门的企业中，有40.24%的内部审计部门会提醒董事会特别关注对风险的管理、24.39的内部审计部门会管理或者共同管理风险管理活动、20.73%的内部审计机构组织风险管理人员的培训、8.54%的内部审计部门会进行风险管理活动的监督。

5、内部审计部门不具有独立性。

调查显示，在120家被调查公司中，大部分有单独设置内部审计部门，且独立地隶属于层次较高的部门，但仍有少数被调查公司的内部审计部门是与财务或其他等部门合并设立的，不具有独立性。还有7.25%的被调查公司没有设立专门的内部审计机构。内部审计独立性的不足会影响到内部审计部门在风险管理中的作用。

（二）我国风险导向内部审计存在问题的原因

1、我国企业对风险导向内部审计的理论认知缺乏。

在20世纪末，大多数发达国家企业已实施风险导向的内部审计来推动内部控制的发展，但我国的内部审计还未发展到相应的阶段，大部分企业没有实施新制度的勇气与力度，不会执行风险导向内部审计；一部分企业与时俱进，企业内部控制部门学习了相关的风险管理理论与风险管理导向的内部审计相关程序，但在实施上没有相关的经验借鉴，在执行上也存在一定的困难。

2、我国企业风险导向内部审计模型尚未形成。

我国企业的制度变革通常都是自上而下的，企业内部新制度从宣传到培训执行再到真正实施需要时间，风险管理体系的建设与完善，尤其是在借鉴国外发展经验的基础上，探索出适合我国企业的风险管理体系，也需要沉淀的过程。

3、我国企业风险管理的方法比较落后。

国际先进的企业在风险管理中多会运用定量分析的方法，如：数理统计模型、金融工程等。而我国企业由于定量分析的理论指导和实施都不成熟，风险管理的方法较为落后。

四、我国企业完善风险导向内部审计的建议

针对我国企业风险导向内部审计实施的现状和其中存在的问题，借鉴发达国家的实施实践经验，可以从以下几个方面进行改进和完善。

（一）加强风险管理意识

市场经济的不断发展使风险成为企业发展无法回避的问题，要顺应市场发展，就要正视风险。从内部审计入手，界定风险范围、量化风险重要性、建立风险防范模型和機制，是我国每个企业和相关内部审计人员的必修课。

（二）完善相关法律法规

国家相关法规制定部门应加大制定内部审计工作的各项规则体系的力度和速度。例如，在2004年，内部审计协会发布《内部审计具体准则第16号——风险管理审计》的征求意见稿；2005年，内部审计协会发布了第三批内部审计具体准则，将风险管理审计纳入内部审计准则体系中。这些准则的发布有利于我国企业尽早与国际风险导向内部审计相关准则接轨，也有利于我国企业借鉴国际企业实施风险管理的经验，更好的完善我国的风险导向内部审计法律法规[21]。

（三）增加复合专业内部审计人才比例，提高内部审计人员的素质。

随着风险导向内部审计模式的实施，企业需要多种专业的高素质人才，具体来说，企业可以放款审计人员的专业限制，引进管理学、工程技术、统计、计算机、法律等有利于完善企业风险管理和内部审计的人才到风险管理内部审计人员的队伍当中，适应风险导向内部审计多方面对人才的需求[22]。同时，应提高实施风险导向内部审计人员素质，建立顺畅的风险管理和内部审计人员的选拔、任用、培训、业绩评价等制度。