风险导向内部审计实务探索

风险导向内部审计实务探索中国石化审计局北京分局课题组课题组成员：王永波 连杰兴 康月东 周建华 戚家勇胡肖丽 常 红 程启贤 王淑琴 王书炜【内容摘要】本文从辨析风险导向审计与风险管理审计、内部控制、其他审计项目类型之间的关系入手，阐述了风险导向审计在审计实务中应用的一般思路和程序，指出现阶段开展风险导向审计存在全面风险管理体系、风险评估方法和技术等4个方面的难点，并提出5个方面的应对策略和具体措施。

【关键字】风险导向审计 实务 难点 对策作为一种审计理念和方法论，风险导向审计已经在众多企业内部审计中开始探索和应用。

如中国石化在2008年提出“以风险为导向，以内控为主线，以治理为目标、抓重点”的审计指导思想，并以此开展内部审计工作，取得了良好成效。

但风险导向审计有其核心要素、机制和专有的方法和技术，与审计实务相结合，当前还存在诸多难点和问题。

本课题报告首先在理论上作一个简单的讨论，澄清与审计实务有密切关系的几个问题，然后主要探讨风险导向审计在企业内部审计实务中的应用、遇到的问题和难点，并提出应对措施。

如无特别指明，本报告所称审计为企业内部审计，主要以中国石化为蓝本；风险管理指企业全面风险管理；风险导向审计指现代风险导向审计。

一、几点理论辨析近年来，审计理论探讨如火如荼，新旧概念频繁更迭，专业术语层出不穷。

如内部控制审计、制度基础审计、风险导向审计、风险管理审计等，让人目不暇接，甚至无所适从。

在这些理论探讨中，还存在概念混淆不清、偏颇观念频出、与审计实务难以有机融合等问题。

如有的把风险导向审计与风险管理审计混为一谈；有的唯“新”为大，新的就是好的，新的就是先进的，认为制度基础审计已不合时宜，风险导向审计需另起炉灶；等等。

理论和认识不清，可能会影响风险导向审计的开展和深入应用。

（一）风险导向审计与风险管理审计的比较。

风险导向审计与风险管理审计的内涵截然不同。

风险导向审计是继账项基础审计、制度基础审计之后的一种新的审计模式。

它通过综合分析、评审影响企业经济活动的外部的和内部的各种因素，识别、分析和评价企业风险，并根据量化的风险水平确定审计计划以及实施审计的范围、重点和程序，把审计资源主要投向高风险领域和环节，确保审计风险控制在可接受水平。

这里的风险主要是指审计风险，以对企业风险的识别、分析与评价为起点，归结到对审计风险的管控。

风险导向审计的服务对象主要是审计部门和审计人员。

风险管理审计的含义是“对企业的风险管理进行审计”，企业的风险管理包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统等，是审计的客体和对象。

风险管理审计要对这些方面作出独立审核和评价，以提高企业全面风险管理的充分性、适当性和有效性。

风险管理审计服务的对象是企业，是内部审计部门作为企业全面风险管理“第三道防线”发挥职能的一种重要方法和途径。

再直白一点讲：风险管理审计与经济责任审计、财务收支审计等一样，是一种具体的审计项目类型，有特指的审计客体；风险导向审计不是一种具体的审计项目类型，而是一种审计理念、一种审计模式、一种审计方法论，它需要与经济责任审计、财务收支审计等具体审计项目类型结合起来，以提高具体审计项目类型的审计质量、效率和效果。

“风险管理审计也要以风险为导向”，这句话比较突出地体现了二之间的区别。

风险导向审计与风险管理审计又有诸多相似之处和密切的联系。

首先，二者的起点相同，都是从了解企业经营环境和经营活动入手，以企业战略分析为逻辑出发点，界定企业风险范围、评估风险。

其次，二者最终的目的相同，都是为企业实现既定目标服务，为企业增加价值服务。

第三，二者采用的评估风险的具体方法和技术相同。

（二）内部控制审计与风险导向审计、风险管理审计的关系。

内部控制是制度基础审计的基础和核心，是企业风险管理的重要机制之一，在风险导向审计中仍然起着不可替代的重要作用。

要弄清内部控制审计与风险导向审计、风险管理审计的关系，首先要弄清内部控制与风险管理的关系。

按照管理学理论，控制是管理的职能。

企业全面风险管理是在企业管理中引入风险的概念和风险评估的技术方法形成的。

因此，内部控制应是风险管理的一个职能，是风险管理的一个重要机制和子系统。

国资委《中央企业全面风险管理指引》，明确指出全面风险管理体系包括内部控制系统。

对比COSO发布的《企业内部控制—整体框架》和《全面风险管理—整合框架》两个研究报告，也可以看出，内部控制是风险管理的一部分。

风险管理和内部控制都以企业的经营管理活动为载体，但风险管理的重心在战略管理和决策层面，主要关注企业目标实现过程中的不确定性；而内部控制的重心在管理和执行层面，主要关注不相容岗位是否分离。

内部控制的设计和执行应满足风险管理的要求，而风险管理在很大程度上依赖于内部控制的设计和执行。

当出现高管层舞弊和合谋舞弊的情况时，内部控制会失效，需要用风险管理的方法来弥补。

二者在发展过程中不断趋于融合。

实务中，内部控制审计有两种方式：一是作为一种独立的审计项目类型，由企业内审部门负责组织和实施，对企业内部控制的健全性和有效性进行独立的监督检查和评价，一般称为内部控制独立审计评价。

二是作为一种审计技术和方法应用于各类审计项目，用以选择审计重点、评估审计风险、确定实质性测试的方向、范围、时间和强度，可称为内部控制测试，包括健全性测试和符合性测试（穿行测试）。

通过以上分析，我们可以得出如下结论：内部控制独立审计评价是一种具体的审计项目类型，其计划和实施要以风险为导向，评价企业内部控制现状，揭示控制风险；风险管理审计是内部控制独立审计评价的发展和延伸；内部控制测试是其他审计项目类型应用的一种重要方法和技术，风险导向审计是对内部控制测试的升华。

风险管理审计和风险导向审计保留了内部控制审计的全部合理内核，对内部控制的了解和评价的要求是加强了，而不是削弱了，但对内部控制的了解和评估服从于评估风险模型中的控制风险的需要。

（三）风险导向审计与其他审计项目类型的关系。

风险导向审计是一种理念，一种方法论。

认同了这一点，则风险导向审计与财务收支审计、经济责任审计、管理和效益审计等其他审计项目类型的关系就非常明了了：二者是纲与目的关系，风险导向审计是“纲”，其他审计项目类型是“目”，纲举而目张；是指导思想、原则、思路与具体行动的关系，其他审计项目类型都要以风险为导向，识别风险，分析和评价风险，管理和控制风险；是方法、技术和手段与目标的关系，即采用风险管理的方法、技术和手段实现其他审计项目类型的具体审计目标。

由此，风险导向下的其他审计项目类型分别可以称为“风险导向经济责任审计”、“风险导向财务收支审计”、“风险导向管理效益审计”，等等。

二、风险导向审计在审计实务中的应用风险导向审计应用于审计实务，就是与企业的审计监督和管理工作相结合，将风险导向的原则、思路、方法和技术贯彻到具体的审计项目类型。

风险导向，是审计全过程的风险导向，即在审计项目的计划编制、审前准备、审计实施、审计报告各个阶段都要评估风险，合理分配审计资源，采取适当的审计程序控制风险。

本报告结合中国石化的特点和审计业务流程，讨论风险导向审计在审计实务中应用的一般思路和程序。

（一）审计计划阶段。

审计计划包括年度审计项目计划和具体审计项目计划。

具体审计项目计划的主要体现和载体是审计项目实施方案，因此，我们将其视为审前准备工作，放在审前准备阶段叙述。

以风险为导向编制年度审计项目计划，主要任务是选择被审计者，包括被审计单位、被审计人、被审计的经济活动事项和业务流程，并确定适当的审计项目类型。

主要步骤是：其中的关键步骤是制定选择被审计者的策略和按风险水平对潜在被审计者进行排序。

选择被审计者的策略实际就是编制年度审计项目计划的依据，有三个来源：企业发展战略和年度生产经营计划；对企业整体风险的识别与评估；历史的、经验的判断。

要求计划编制者熟悉企业基本情况，充分理解企业发展战略，掌握企业主要生产经营业务的特点、热点和难点及其风险所在，关注决策层关心的重大问题，掌握内审部门和企业风险管理部门此前开展的活动所揭示出的系统性、倾向性、普遍性问题，从企业整体上识别风险事件，通过定性的和定量的风险分析方法，对企业整体风险进行评估。

根据以上策略初步选出潜在被审计者后，应继续按照识别风险事件、分析和评价风险的基本思路对被审计者各自的风险水平进行排序，确定被审计者。

这里所说的风险是每个被审计者的整体风险。

假设潜在被审计者为10个下属企业，则要将每个下属企业的风险进行识别、分析和评价，给出各自的风险综合评分，依分数的大小排序，结合审计资源状况，确定被审计者。

对中国石化这样的特大型企业来说，下属单位类型各异、数量众多，经济活动事项和业务流程复杂，因此，在这个步骤，也要从被审计者的整体层面进行风险评估，暂时无需过于深入。

另外，应按照事业部板块分别比较、排序。

在现阶段，风险导向审计模式下的审计计划，对确定专项审计项目更为适宜。

近几年来，中国石化开展了节能降耗、改制分流、外采成品油、加油站建设投资等多个专项审计项目，基本遵循了以上思路。

以加油站建设投资专项审计为例，按照因果树方法进行定性分析：按照中国石化发展战略，持续增加收入和利润是一个重要的战略目标；影响该目标的因素有很多，从内部影响因素来看，成品油销售企业是一个关键因素；销售企业要增加收入和利润，一靠销量，二靠价格，比较而言，增加销量的主动权主要在企业手中；增加销量的途径有成品油直销批发和零售两方面，其中零售是主要途径；影响零售量的诸多因素中，加油站建设是占领市场、确立竞争优势的“生命工程”。

由此，加油站建设是影响中国石化战略目标实现的关键因素，加油站建设及其投资效益的不确定性即成为高风险因素。

抽丝剥茧，最终确定了加油站建设投资专项审计项目。

（二）审前准备阶段。

审前准备阶段的主要任务是组建审计组，选择配备审计组长和主审，进行审前调查，制订审计实施方案。

其中，集中体现风险导向的是审前调查，采取的主要方法是分析性复核和内部控制测试。

主要步骤是：分析性复核，是指审计人员分析被审计者有关的重要经营管理指标和财务指标的比率和趋势，包括调查这些比率或趋势的异常变动及其与预期数额和相关信息（如标杆信息）的差异。

初步判定相关事项的重要性，作为识别和评估风险的基础。

分析性复核实际是一种比较分析方法，从各种数据的比较之中发现重大差异和变化，分析产生差异和变化的影响因素，确定异常因素。

内部控制测试包括三个步骤，首先应对被审计者内部控制环境进行了解；其次，进行健全性测试，即检查被审计者的内部控制体系是否齐全完整，是否符合内部控制要求，是否适应本单位的特点和管理需要，能否起到应有的控制作用；第三，进行符合性测试，即抽取适量样本进行穿行测试。