风险导向内部审计的发展与应用

黄小毛 毛雨露

引言

随着经济的快速发展，行业竞争加剧，企业面临的风险越来越多样化，为了减少风险带来的损失，企业需加强风险管控能力，而内部审计作为企业监督部门，在风险管控方面有着不可替代的作用。20世纪80年代，我国开始出现内部审计，最早出现的是账项基础审计，后来逐渐发展为制度基础审计，但随着内审范围扩大、技术手段更新等，审计模式不再局限于基础的报表数据，内审部门开始考虑企业风险的分析与判断，因此，风险管控结合内部审计演变成了风险导向审计。目前，风险导向审计已成为国内外内部审计研究发展的主流方向，但是由于我国风险导向审计发展较晚，受相关规范准则和审计资源的限制，企业在风险导向应用方面处于摸索阶段，且大多数企业遵循的仍是传统审计方法，所以全面运用新型审计存在一定困难。因此，在这种情况下，促进企业风险导向内部审计的发展，创建符合企业实际情况的风险导向审计模式显得十分重要。

一、风险导向内部审计产生发展

风险导向审计从20世纪中期开始出现，将其引入内部审计领域不过十几年。国外第一次提出审计程序与风险源自1957年的《蒙哥马利审计学》，书中主要对审计风险控制措施的开展和审计方法做详细介绍。到20世纪90年代，审计风险控制模型则运用到了审计实务中，不久之后风险导向审计模式也逐渐在内审领域得到认可与推广。1999年，IIA发布了最新的内部审计职业准则框架，其中不仅强调了内部审计与风险管理紧密联系，还体现了内审的重要性，并进一步说明企业要想把内部控制与公司治理很好地结合起来，就必须在方法和理论架构上做到更加完善。IIA的出现对风险导向内部审计的发展提供了明确方向。

在国内，风险导向审计发展初始，有专家学者认为风险导向审计要摒弃扁平的分析方式，采用更加立体的方法和更加全面的理论去判断企业运营过程中出现的风险和影响因素，方法不同审计的有效性程度也不同。之后国家审计署在国际出台一系列准则的基础上，于2002年发布了国内首部《内部审计实务标准》，制定了一套具有参考价值的内部审计体系。在内审准则逐渐完善的背景下，这套标准开始运用于国内企业内审部门，提高了内审工作效率，确定了风险导向审计的思路和方向。

二、风险导向内部审计实施模式

国外学者Konrath指出，风险导向内部审计在运用过程中主要经过三个阶段：审计计划阶段、审计实施阶段以及审计报告阶段，而且为了保证风险因素分析与判断的有效性，必须对每个实施阶段进行全面分析，以便出现问题时可以及时做出反应，制定应对措施。

风险导向内部审计作为企业内部审计的新模式，在实施路线上与传统审计模式存在不同，传统审计模式首先考虑的是内部控制，在内控充分和有效的前提下进一步后续审计，走的是“控制——风险——目标”路线，到了发展中后期，风险导向内部审计在流程上发生了很大改变，过去的信息不再是关注的重点，审计人员应更多地关注现在和将来，把目标作为流程的第一步，遵循“目标——风险——控制”的实施路线，内部审计人员要先明确组织目标，分析实现目标存在的风险因素，对其进行专业评估以及合理控制，最后通过控制测试方式将审计风险降低在可接受范围，以达到可进行有效管理程度。该模式的产生引导了国外学者对风险导向内部审计的深入研究。

与国外研究学者不同，国内风险导向审计流程成型较晚，针对风险导向审计的流程与框架划分，我国学者也有不同的见解。有学者提出，在审计过程中可以先制定审计计划、明确审计范围，发现问题后进而提出解决办法，最后编制审计报告进行后续审计。也有学者认为可以从风险导向内部审计框架入手，遵循确定工作目标、指导具体工作开展、保障审计工作有效进行、确定审计重点和保障抽样具有代表性及有效性这一流程，各阶段相互配合，使工作更具高效。

三、开展风险导向内部审计的必要性

（一）旧的审计模式存在缺陷

从审计模式来看，我国大部分企业主要采用账项基础和制度基础审计两种模式。账项基础审计模式下，审计人员通常只针对企业内部相关记录和凭证进行审查，往往会忽略生成财务报表的过程是否合理以及原因有哪些，只适用组织结构简单的小规模企业，对业务繁杂的大规模企业则不适用；制度基础审计模式下，内审人员的重点在于内控的审查，弊端是该模式只依据内控制度而忽视企业目标，可能会出现审计结果与企业目标不一致的情况；而且制度基础审计对象是过去和现在的经济活动，审计效果具有滞后性，缺乏准确度。由此可见，这两种审计模式都有各自的缺陷，容易导致内部审计效率低、结果失真、与企业融合度低等问题，新旧更换是社会发展的必然趋势，新兴的审计模式逐渐进入社会视野指日可待。

（二）对风险控制要求提高

从经济发展看，经济环境的灵活多变使企业经营趋于多元化，决策权也更大程度分散到中下层，这在一定程度上增加了企业管理人员舞弊的概率。美国忠诚与保证公司的调查显示：70%的公司破产是由于内控不到位导致的。为了保证企业安全且持续发展，企业对内审部门风险披露提出了更高的要求，内审人员要及时发现显现和潜在的风险，并提出防范和控制建议。在企业的高要求下，风险导向内部审计的出现开启了内审的新征程，传统的内部审计无法有效地为组织增加价值，而风险导向内部审计却更高效，随着内部审计发展，传统的控制导向审计逐渐被新的审计模式取代，实现了由被动到主动的跨越。

四、风险导向内部审计在企业中应用分析

风险导向内部审计在企业运营过程中重点关注的是风险发生的可能性，但并不是所有企业都能使它发挥出良好的作用。对于小型企业来说，一方面，企业缺乏健全的内控制度和独立的内审机构。与大型企业相比，小型企业的审计资源比较匮乏，对内部控制的监管、规章制度的遵循存在不足，整体导致了内部控制度环境质量低下，影响审计工作质量与结果的真实性，且企业在进行内审工作时几乎都是从财务角度预测和防范风险，具有一定的片面性。此外，很多小型企业甚至没有设置内部审计部门，更不存在独立性。另一方面，企业治理结构存在缺陷，很多小型企业产权关系很模糊，企业所有者与经营者之间互相约束，很容易出现权力大于制度的现象，导致规章制度的失效，内控机制缺乏有效性，从而增加企业风险；有时还存在独资企业，利润本身就缺乏真实性。

与小型企业相比，大型企业内部资源丰富，且拥有相对完善的风险管理机制和内部控制机制，在内审工作实施过程中更能体现高效率、低成本的特点，且大型企业从公司治理层角度出发考虑企业目的，将模式与审计方法连接起来，排序、筛选审计对象，尽可能合理有效地分配审计资源，帮助企业防范与规避风险，同时也弥补了账项导向审计的不足。显然，在不同规模企业中，风险导向内部审计的实施，更适合在大规模企业中展开。

五、实施风险导向内部审计存在问题

（一）企业风险意识淡薄

我国风险管理观念出现较晚，作为风险导向内部审计实施的基础，风险管理对内审工作的开展有很大帮助。但是，由于发展过程较短，企业各层领导以及内审部门对风险管理缺乏足够的认识与重视，对企业的长远发展起不到决定作用。目前许多企业尚未建立完善的风险管控体系，有些内审部门仍然把审计工作主要放在财务数据分析上，对管理和经营环境缺少关注，风险管控的作用没有完全发挥。部分企业尤其是中小型企业，风险管控意识淡薄，对风险认识不充足，有的企业甚至都没有风险防范意识，只会被动地应对风险。

（二）内部审计机构缺乏独立性

内部审计缺乏独立对内审工作的开展带来许多不利影响，企业要做好内部审计工作，必须保证审计工作环境的独立，避免影响实践过程中内审方法和报告的正确性。但是我国大部分企业并没有做到这一点，企业内部审计受各级管理层约束，错综复杂的关系无法保证内审部门审核结果公平公正，大部分企业内审部门由企业高层负责，也存在小部门企业为了节约经费将内审部门与其他部门合并办公。显然，无论是哪种方式，都极大地影响了内审机构的独立性和权威性，当内审人员受到限制，审计范围将会变得狭小，审计结果的正确性也就很难令人信服，同时也妨碍了审计人员对企业风险的了解与检测。

（三）内审人员结构单一

据调查显示，企业内部从事内部审计工作人员大部分来自财会院校。有三分之二以上的内部审计人员来自财务专业和审计专业，而其他专业的比例只有14%，然而，一些偏理工的专业像机械、建筑工程则只有4%。内审人员结构过于单一对审核业务带来的影响并不积极，财会专业的人员善于解决有关会计核算的审计风险，但内审人员涉及的问题种类却很多样化，因此，在对非财务风险进行测试时则需要有关专业人员来分析判断。显然，单一的人员配备结构会使审计人员存在判断偏差，审计工作效率低下，从而影响内审的后续处理。

六、结论与启示

风险导向型审计作为新型审计方式引领内部审计未来发展方向，比传统审计模式更有优越性，不仅降低了审计成本，还提高了审计效率。一方面，早期内部审计发展不平衡且制度不完善，企业内审工作存在缺陷，风险导向审计的产生为企业提供了一套明确的模式：目标——风险——控制，使企业有了规范的判断标准；另一方面，风险导向内部审计可以提高企业防范风险的效率，发现的问题更具有代表性，分析风险的综合能力也得到大大提升，有利于审计人员及时制定应对措施，确保企业健康长远发展。由此可以看出，风险导向审计的出现，为企业内部审计带来了许多便利。

目前，风险导向内部审计主要运用于大型企业，对于小型企业来说，因为公司规模、审计资源、内审结构等因素的限制，导致这一审计模式运用起来比较困难。而且，由于风险导向审计实施时间较短，企业运用中仍然存在不足，如企业风险意识淡薄、内部审计机构缺乏独立性、内审人员结构单一等都是风险导向内部审计发展的阻碍，使审计质量难以得到提升。怎样改善企业内审环境，解决运用中存在的难题，成为完善风险导向内部审计的必经之路。我们可以从以下几方面入手：创建良好的内部审计环境，完善内部审计人员结构，提高胜任能力等。然而，针对小型企业来说，风险导向内部审计要想在企业中发挥作用，首先要着手于企业内部基础建设，比如强化公司治理结构，改善控制环境；完善风险检测系统，加强风险管控；建立内部监督机制等，在此基础上针对整体性问题提出相关对策与建议。总之，企业只有紧跟时代步伐，不断完善内部审计，风险导向内部审计才能体现出最大价值，保证企业长久健康持续发展。