基层央行开展内审风险评估工作的实践与思考

洪 杰 中国人民银行西安分行内审处

一、风险评估的现状

人民银行内审部门风险评估是指内审部门在风险识别的基础上，运用规范的定性定量方法，对人民银行履职过程中的风险事项进行评级和计算，并将评估结果运用于风险导向审计和风险管理过程。随着信息技术的发展，计算机技术对人民银行业务中各个环节的影响也越来越大，业务的发展越来越快，要求也越来越高。为了能够更好发挥审计的作用，人民银行总行在2018年制定了《中国人民银行内审部门风险评估工作管理办法》，用以指导人民银行风险评估工作，规范评估标准，为进一步提高评估质量奠定了基础。

(一)风险识别及评估

在基层行的风险评估实践中，人民银行内审部门根据各业务的特点建立了17个业务单元，将各业务单元所面临的风险分为固有风险和控制风险。固有风险是指不考虑内部控制的前提下，影响业务目标实现的内务部负面事件。控制风险是指影响业务目标实现的内部管理和控制缺陷。控制风险影响内部控制的效果，控制风险与内部控制有效性成反比。有效的内部控制可以很大程度的降低固有风险的发生可能性或影响程度。对一个单位的风险评估应综合考虑各类风险的发生可能性和影响程度。无论固有风险事项还是控制风险事项都应按不同的业务分别识别。风险识别遵循重要性和全面性原则。

(二)剩余风险模型及运用

在基层行的风险评估实践中，各业务单元的固有风险值取该业务单元所有固有风险事项风险级别中的最大值。控制风险取该业务单元所有控制风险事项风险级别的算术平均值。各业务单元的内部控制有效性通过控制风险控制风险值进行衡量。各业务单元的剩余风险等于各业务单元的固有风险值减去内部控制有效性，剩余风险的平均值反映的是一个单位所包含业务的剩余风险平均水平，通过剩余风险这个指标，引导审计方向，提高各项业务的管理水平。

二、风险评估存在的问题

(一)传统审计思想犹在，风险评估关注不高

目前基层央行各单位对于风险评估的重要性有着不同程度的认识错误，认为内审工作仅仅只是起到监督的作用，没有认识到内审工作可以有效推进各部门风险防控，这也造成了各部门风险概念缺失、风险管理不到位的问题。而人民银行内部审计当前仍以合规性审计为主，“只关注结果，忽视内部控制和风险管理过程”的传统审计理念在内审人员的心中仍然根深蒂固。现阶段内审工作仍然基本依赖于传统的翻阅凭证、账册等手段，合规性审计的工作量也使内审人员没有足够的时间去探索和开展新模式的审计项目。

(二)人员素质有待提升，人才结构更需合理

随着内部审计职能的不断演化，对内审人员的业务素质与能力要求也越来越高，为了确保内审工作的客观性，实现内部审计工作目标，需要配备具有较强专业胜任能力和较高综合素质的专职内审人员。但是目前，“人员老化，掌握传统审计方法人员多、熟悉现代风险导向审计人才少”几乎是所有基层央行面临的共同问题，而风险评估的涉及面十分广泛，专业性强，内审人员又缺乏系统的理论培训和实务指导，发现、分析和准确定性风险能力不足，使得评估结果不够准确、客观，难以实现风险评估的价值。

(三)风险认识仍不到位，制度建设有待完善

一方面是由于当前人民银行风险管理未提升为全行性工作，主要通过内审部门风险评估来进行风险管理，缺乏总体上的组织和协调。业务部门对风险评估工作的了解程度也不够，想当然的认为这只是内审部门的事情，对风险评估工作的配合程度不够。导致在实际开展风险评估工作时，出现了个别单位的风险评估交由新人去做，将业务部门的自评结果直接当作风险评估结果”等情况，严重影响了风险评估的客观性和有效性。另一方面，开展风险评估是建立在对被评估单位或部门了解的前提下，做出对内部管理和业务操作风险情况的整体评价，在客观公正的基础上，判断发生重大风险的业务领域。但是到目前为止，人民银行还没有制定出统一完整、全面科学的风险管理制度，很难对审计风险进行合理恰当的评估预测。

(四)数据资料共享不足，评估手段仍显落后

风险评估需要丰富的信息资料和历史数据来作为分析的基础支撑，人民银行虽然已经建立了许多信息管理和业务操作系统，但由于各系统在设计开发过程中存在一定的限制和缺陷，并没有为内部审计提供系统接口，导致风险评估工作所必需的业务部门数据难以共享，无法为内审部门的风险评估提供依据。而基础信息数据不准确也使得风险判断标准难以把握。其次在收集风险评估数据资料的过程中，一些业务部门对于上级行或自身部门的业务检查结果，担心将检查问题交给内审部门后会影响自身考核，不愿意向内审部门提供，或者未全部向内审部门提供，这也导致各级行内审部门在开展风险评估时数据依据可能存在较大差异，影响风险评估结果。

(五)评估结果运用不足，风险隐患仍然存在

部分单位对评估结果的运用形式单一，并未将风险评估结果的运用提升到全行风险防控的层面，而内审部门在也未及时将风险评估结果共享给其他业务部门，导致业务部门风险控制并未有效实施，风险隐患仍然存在，风险评估的指导性作用没有得到较好的体现。而且由于管理层对内审工作支持力度不大，从而影响了高质量风险评估报告的产生，而风险评估工作对改进内部控制和防控风险的价值不高，就难以引起管理层的足够重视，一定程度上导致了恶性循环的产生。在实际工作中，受全球宏观环境、国家经济金融政策、人民银行业务处理等各方面的影响，风险评估中的风险点是随着新情况、新工作的出现不断变化着的。在审计过程中风险点的甄别与选取都是由内审人员着手，同级业务部门普遍处于一种“被动参与”的状态。目前风险评估工作仅靠内审部门收集数据并实施，风险评估的相关制度也只适用于内审部门，其他业务部门对此项基本不了解，认为风险评估是内审部门的工作，对风险评估缺乏主动性，部门之间协调配合难度较大。

三、风险评估工作改进的对策

(一)确立风险评估工作重要性

要提高和改善目前人民银行省级行的风险评估工作，首先是要突出风险评估在内部管理中的重要性，将风险评估的结果当作是制定审计计划、评价一个单位的管理水平的重要参考。一是成立风险评估工作委员会，由单位“一把手”担任组长协调单位风险评估工作，确立内审部门在风险评估中的主导作用。同时调动各业务部门的主动性，与内审部门相互配合，深入开展风险评估并将评估结果合理有效的运用。二是建立风险评估长效机制，持续动态开展风险识别。根据基层人民银行履职环境和业务变化，全面梳理本机构风险事件清单，加强与业务管理部门及内审同行的交流磋商，沟通各级检查中发现的问题，共同分析存在的风险和控制薄弱的环节，使内审部门走出信息“孤岛”。

(二)加强评估方法创新

一是进一步优化当前评估的方式方法，在确定风险等级时，要科学的制定标准，确保评估结果具有可比性。同时要加强对评估人员的培训，做到一把尺子量到底。二是实现科学评估与经验评估的有机结合。当前，在基层行内审部门风险评估工作中，主观判断和经验评估仍占较大比重，易导致评估结果出现偏差，应加强科学评估，提高风险评估工作信息化程度。

(三)加强风险评估成果转化

要注重评估结果运用渠道，扩大评估结果运用范围。既要保证风险评估面上的全覆盖，又要确保对重点风险实施连续性跟踪。要将每年的内审工作要点和风险评估结果统筹考虑，体现“风险引导审计，审计关注风险”的理念。要在审计项目的安排上考虑风险评估结果，结合领导关注的内容和当年的工作重点，优先安排对高风险业务单元、业务职能和机构开展审计，重点关注高风险事项的控制有效性、高风险问题的整改情况，充分发挥审计在风险防范和综合治理方面的导向作用。

(四)建立风险评估人才库

从各业务部门选派经验丰富的管理人员参与风险评估，建立风险评估人才库，提高评估队伍的综合能力。一是多视角提出意见建议。围绕高风险的业务单元、职能和机构加强数据分析，重点识别和评估影响履职目标的高风险事项，开展专题分析，着重反映内部控制的缺陷和薄弱环节，从不同的视角提出改进意见建议，在考虑各方意见的基础上，综合确定评估对象的风险级别，避免“关门评估”、“单人评估”和“拿来主义”完善组织治理。二是多层次评估业务风险，结合人民银行新业务和面临的新形势进行数据分析，从不同的业务层面，深入揭示苗头性、趋势性现象，坚持数据分析与具体业务相结合的分析原则，避免就数据分析数据。为实施有效业务控制提供基础。■