论开展以风险管理为导向的价值型内部控制审计的意义

任娟

摘要：国家五部委及其他监管机构对内部控制工作的重视程度在不断提升和强化，各企业特别是上市企业对内控控制的需求也越来越强烈，因此内部控制审计的重要性日益凸显。但因受企业内部控制体系建设时间短、专业人才缺乏、管理层重视程度相对偏低等诸多因素的影响，我国的内部控制审计发展尚不成熟，开展的形式各异，质量水平也参差不齐，总体来说仍处于初级阶段，未能有效发挥作用。本文通过分析目前内部控制审计所处的背景、现状及问题，提出现阶段开展以风险管理为导向的价值型内部控制审计的意义，并就具体开展方法及内容进行了阐述。

关键词：内部控制;内控审计;价值链;风险导向

为了更好的推动《企业内部控制基本规范》的落地与执行，财政部、审计署、证监会、保监会和银监会在2010年下发了《企业内部控制配套指引》，其中包括18项内控应用指引、1项审计指引和1项内控评价指引。同时要求于2012年起，沪交所、深交所主板上市的公司必须执行。从此开展内部控制审计工作成为企业的一项强制监管要求。对于企业自身发展及管理需求，内控控制审计可以通过评估企业内部控制体系的设计和执行有效性，来识别内控风险和审计问题

并提出相应的整改意見和建议，督促企业认真实施内部控制、加强管理，规避和控制经营风险，保证资产的安全完整，提高企业的经营效率和效果。

一、对内部控制审计的客观认识

内部控制审计主要是确认及评价企业内部控制是否有效和有效性程度的一种方法。它不仅是一种确认和评价企业内部控制设计和内部控制执行缺陷等级的方法，也可以通过内部控制审计来分析缺陷的形成原因，并提出相应的改进建议。与一般的审计方法相比，内部控制审计更加现代化和科学化，它是在对被审计单位内控体系的测试和分析评估的基础上进行客观评价，确定其可信程度，从而做出内部控制是否有效的结论。

二、企业内部控制审计的普遍现状及问题

内部控制审计作为一种新型审计模式，是伴随着企业内部控制体系的建立而不断开展起来的，是对内部控制的再控制。但由于执行时间较短，同时受各种因素的限制，其发展尚不成熟，在实际执行中突出存在以下三方面问题。

（一）内部控制审计与内部控制未能有效衔接

作为评价内部控制设计和运行有效性的一种审计模式，内部控制审计的切入点应该是企业内部控制框架，出具的评价结果应该是在适量样本和一定标准上对某类或某项业务的有效性及潜在风险予以客观的认定和识别，体现事前的预防和控制理念。而目前大部分企业开展的内部控制审计与以往的常规性内部审计并无本质上的区别，更多的是对某类或某项业务单个事件的核查，选取的样本不具有普遍代表性，缺陷认定程度主观性较强，出具的结果并不能代表整体，具有一定的片面性。提出的审计建议也仅仅是针对单个事件的处理意见，并不能从内部控制的角度出发提出系统性的整改建议，使问题得到根本性解决。以上问题整体说明现有内部控制审计和内部控制未能有效衔接。

（二）内部控制审计目标方向及内容不清晰

由于企业内部控制范围极其广泛，涉及经营管理的方方面面，内部控制流程数量也有上百项之多，在执行企业日常及专项内部控制审计时，因人力成本和时间原因，不可能覆盖全部内容，只能选择部分业务进行测试。但由于缺乏指导性原则，人为主观性大，导致审计内容范围、目标方向等不明确，不清晰，不能有效涵盖企业经营业务的重点方面及重大风险领域，在一定程度上与企业的经营目标相偏离，出具的审计成果对业务的指导意义不大，无法达到管理层的预期目标。

（三）内部控制审计经济效益不突出

内部控制审计的目标一方面是促进企业建立健全内部控制制度和经营管理制度，改善企业的内部管理。另一方面通过对缺陷的认定，识别潜在风险及现有的控制缺陷，并进一步提出预警及控制措施做到事前预防。可以说内部控制审计是一个提前预防的免疫系统，间接为企业创造经济效益，无法直接体现出价值效益。其发挥的效用是一个循序渐进的过程，无法进行直观的体现。这就使得部分业务单位甚至企业管理层对内部控制审计的重视度和认可度偏低，不利于长远发展。

三、开展以风险管理为导向的价值型内部控制审计的必要性

以风险管理为导向的价值型内部控制审计是基于目前内部控制审计的现状和存在的问题而逐步形成的一种审计模式。开展以风险管理为导向的价值型内部控制审计，明确鉴定了内部控制审计的目标方向，紧紧围绕以风险管理为导向开展审计作业。即内部控制审计在有限的人员、时间、费用等资源情况下重点关注的范围应该是企业重大风险领域的经营业务和可能存在重大风险的业务环节。

同时开展以风险管理为导向的价值型内部控制审计是以内部控制框架为基础和切入点，评价现有内部控制措施的有效性及在现有控制措施下剩余风险是否处于企业可接受的范围，判定是控制冗余还是控制不足，认定的问题是个性的执行缺陷还是系统性的设计缺陷。这就使内部控制审计与内部控制进行了有效的衔接，达到以评促建的作用。

此外，以风险管理为导向的价值型内部控制审计在确定业务范围时重点覆盖企业内控框架中属于价值链层级的业务模块及与价值链层级紧密相关的业务模块，便于内部控制审计涵盖企业的核心业务，突出其价值效益。

综上通过开展以风险管理为导向的价值型内部控制审计可以更有效地解决内部控制审计存在的突出性问题，与企业经营管理紧密结合，更好的服务于企业管理，规避潜在的经营风险，从而为企业创造价值。

四、如何开展以风险管理为导向的价值型内部控制审计

（一）通过价值链分层和风险评估结果制定年度审计计划

以风险管理为导向的价值型内部控制审计可以将内部控制流程框架以风险管理为导向和端到端的价值链分析为基础划分为公司决策层、价值链层和管理支持层三个层级，并根据分层情况和年度风险评估结果制定全年的内部控制审计计划。划入价值链层面的业务和事项是以风险管理为导向的价值型内部控制审计需重点审计的范围，同时根据企业年度风险评估结果确定重点中的重点，以及虽非价值链层面业务但风险值相对偏高，一旦发生将给企业造成重大影响的领域。价值链分层模型见下图：

以风险管理为导向的价值型内部控制审计年度计划制定完成后，既可以根据具体业务事项安排内部控制专项审计，专项业务审计的内容可按照所属业务的具体事项开展，但在开展前需进行具体业务事项的内部风险评估，以便确定审计重点。

（二）运用业务风险测试系统开展相应的内部控制专项审计

在实际开展以风险管理为导向的价值型内部控制专项审计时，主要的目的就是测评经营业务在目前的内部控制状态下是否运行有效，潜在风险是否控制在合理范围，现有的控制措施是不足还是控制过度，进而查找出该项业务存在哪些控制缺陷，审计人员可针对控制缺陷给出具体的整改建议或解决措施。以上测试过程可通过使用业务风险测试系统进行开展，具体设计模型见下图：

（三）利用风险控制矩阵工具对内部控制进行过程测试

在开展以风险管理为导向的价值型内部控制审计时，内控业务流程测试仍然是一个必不可少的测试环节，主要目的是识别出业务流程中存在的内控缺陷。测试的工具可运用风险控制矩阵，将内控流程中业务关键控制点作为切入点，列示出业务流程各执行环节中的主要控制目标，对应查找出在实现主要目标时存在的潜在风险，填列出目前已有的控制措施，然后根据样本的测试结果输出存在的内控缺陷。

（四）量化内控缺陷整改成果，彰显内部控制审计价值效益

开展以风险管理为导向的价值型内部控制审计还需建立缺陷的整改追踪机制，确保查找出的缺陷能够及时予以整改。同时尽可能量化内控缺陷整改的成果，以便彰显内部控制审计的价值效益。量化的途径可以是为企业挽回损失的现金增值额核算，也可以是一定期限内节约额度的测算。

（五）开展以风险管理为导向的价值型内部控制审计的提示

开展以风险管理为导向的价值型内部控制审计是一个全面监控的系统性工作，做好该项工作还应落实如下事宜：第一，参与企业年度风险评估工作，了解掌握企业风险动向及高风险领域，为风险导向提供决策依据;第二，将内部审计业务与内控评价业务进行结合，對日常审计的监督结果与内控审计结果进行整合，以便有足够的样本证据对整个业务的运行情况进行准确的评价，从根本上对问题存在的原因进行挖掘;第三，依据企业自身情况，建立一套适合本企业的内控缺陷分类标准及和内控缺陷程度认定标准。

五、以风险管理为导向的价值型内部控制审计未来的发展方向

目前部分企业开展的以风险管理为导向的价值型内部控制审计工作中，把风险导向中的“风险”主要定义为影响企业经营目标实现的各种不确定性因素。其实随着各类技术的发展和大数据的应用，可以把企业内部控制审计的重点从关注现有风险转移到关注未来风险，即关注影响企业长期发展和目标实现的经营风险和管理风险。基于企业目标，内部控制审计可以通过评价现有的控制措施和管理活动是否可以有效降低风险至可接受水平，进而将风险评估的结果运用到内部控制评价中，依据风险发生的概率、影响程度、性质及可接受水平来评价内部控制的有效性。最终根据企业风险管理的需要确定需采取的控制措施或制定可降低风险的方法，并在内部管理和风险控制的基础上提出相应的建议，将内控控制审计结果和企业的风险管理及经营目标的实现有机结合在一起，为企业增加更多的价值。

参考文献：

[1] 赵立新，程绪兰.上市公司内部控制评价事务[M].电子工业出版社， 2012;

[2] 雷英，吴建友.内部控制审计风险模型研究[J].审计研究， 2011.

[3] 刘玉廷.全面提升企业经营管理水平的重要举措——《企业内部控制配套指引》解读[J].会计研究， 2010;