風險導向內部審計若干理論題目探討
[摘 要]本文從IIA對內部審計的定義出發，提出了風險導向內部審計的概念；其產生的現實背景以及與傳統的控制導向內部審計相比較所具備的基本特點；與風險治理框架的聯系以及與風險導向外部審計的區別；指出風險導向內部審計理念對內部審計實踐的現實啟示。 風險導向內部審計是以對整個組織的風險進行評估與改善為終極目的的一種審計理念。IIA（內部審計委員會）于2001年在其發布的《內部審計實務標準》中對內部審計的定義，就是風險導向內部審計的體現。根據該定義，推行風險導向內部審計就是要求內部審計以內部控制作為生存與的基礎，以公司治理作為參與風險治理的條件條件，以對組織風險的評估與改善作為基本目標[1]. 一、風險導向內部審計產生的現實背景 風險導向內部審計是環境的產物，它的產生有其現實背景，其中，企業面臨的高風險經營環境引起企業對內部審計的需求的變化是風險導向內部審計產生的內部背景，而審計外部化趨勢腐蝕內部審計生存的職業空間是風險導向內部審計產生的外部背景。 （一）現代企業面臨的高風險經營環境引起企業對內部審計的需求的變化 由于技術的快速創新以及由此導致的制度創新，現代企業所面臨的貿易環境和市場競爭不確定性越來越大，一方面變化周期縮短，貿易環境和市場競爭的變化速度超過了以往任何；另一方面貿易環境和市場競爭變化越來越徹底，企業明天的生存與發展環境可能與今天的幾乎沒有任何必然的聯系，現代企業處于高風險的經營環境之中。 在這樣的環境中，企業生存與發展的關鍵，更多地取決于對未來環境變化的適應和把握。企業必須在戰略目標、重大投資決策、日常經營活動和績效評估等各個方面高度關注風險因素[2].因此，企業要求職能部分在進行各自活動的時候高度重視風險，并將其納進到企業的整體風險治理范圍當中，組織各個治理或治理層次、各個職能部分為實現企業的基本目標而進行全面的風險治理。風險治理成為高風險環境下企業活動的中心任務。國際上很多著名的企業甚至成立了專業的風險治理部分進行整合的風險治理，很多小型的公司則指定專門的職員負責實施全面的風險治理。這些專業的風險治理，使用一整套包括風險識別、風險評估、風險控制以及風險融資、危機和索賠治理在內的、相對完整的風險治理程序和，把以前分別由安全健康部分通過保險市場進行治理的實質性風險和由財務部分通過資本市場進行治理的財務性風險整合起來，由專門的風險治理部分通過更為高級的風險治理市場加以治理[3]. 內部審計作為企業內置的一個職能部分，必然應當成為企業風險治理的有效組成部分，從組織目標的角度來評估與改善風險，為專業的風險治理部分或專職的風險治理職員提供咨詢與保證服務，從而推行風險導向內部審計。 （二）企業內部審計外部化趨勢腐蝕內部審計生存的職業空間 內部審計外部化，是指企業將內部審計的部分或全部職能交由外部的師事務所等中介機構來完成，企業同時給這些機構支付相應的用度的現象。企業在激烈的市場競爭中，可以根據自身的比較上風，積極發揮核心競爭力，專注于自己擅長的項目，把自己不擅長的項目外包出往。以下因素促進了內部審計外部化的日益發展：首先，內部審計作為一個企業的內部職能活動，在時間上具有重復性的特點，基本符合外包項目的初步條件；其次，外部審計出于控制審計風險的需要，在報表審計的過程中十分重視對企業內部的審查與評價，在長期報表審計實踐中對企業內部控制評價逐漸形成了專業上的相對上風，這使得外部審計參與內部審計外部化成為可能；再者，近年來外部審計的審計業務面臨日益嚴重的訴訟危機、同業低價競爭危機，由審計業務收費帶來的收進持續降低，非審計服務的收費甚至成為各大會計師事務所收進的主要來源，外部審計***將業務轉向內部審計外包和治理咨詢等非審計服務；最后，治理者或出于本錢效益原則的考慮，或為了報表審計的意見類型，或為了誘使外部審計降低審計收費，越來越傾向于內部審計外包。內部審計外部化在客觀上使得內部審計和外部審計在治理者眼前展開激烈的業務競爭，動搖內部審計在組織中的地位，威脅內部審計的職業生存。在這種危機眼前，內部審計為整個組織提供風險方面的咨詢與保證服務，積極推行風險導向審計，將進步其在組織中的不可替換性，減弱外部化帶來的不利影響，從而保持與擴展其職業生存空間。 二、風險導向內部審計的基本特點 （一）內部控制是風險導向內部審計的基礎 對于內部審計，內部控制極端重要。首先，從上講，內部審計是內部控制的一個重要環節，是對其它內部控制環節的再控制，沒有內部控制就沒有內部審計；其次，自從走上獨立的職業化道路以后，內部審計把內部控制作為其基本業務這一事實始終未變。《內部審計實務標準框架》固然將內部審計的業務范圍拓展到風險治理和治理程序，但是依然將控制的評估和改善作為其三大之一；再次，內部控制還是內部審計其它兩個業務活動的基礎。內部審計工作要得到董事會和審計委員會的認可與采信，最重要的是由于內部審計師作為內部控制方面的專家，而不是風險治理方面的專家。內部審計要對公司的風險治理加以評估與改善，也首先得從內部控制領域中的風險做起。可見，內部控制是內部審計的安身立命之本，是風險導向內部審計進進公司治理、評估改善組織風險的基礎。 （二）對風險的評估與改善是風險導向內部審計的首要目標 不論內部審計對內部控制進行評估與改善，還是對公司治理程序進行評估與改善，都應該是以風險評估與改善作為首要目標。假如說公司治理是企業董事會對風險治理的戰略反應、內部控制是企業對風險的戰術反應，那么內部審計就是對組織全部風險的一般反應，其一切活動都要以風險作為出發點和落腳點。首先，內部審計充分利用在內部控制領域的專家地位，聯系組織的目標評估與分析內部控制中的風險，直接報告給治理者，在需要時通過審計委員會報告給董事會；其次，內部審計幫助董事會在進行戰略決策、重大人事的任免和重大的投資和財務計劃的制訂方面識別和評估風險，以確保組織重大決策的正確實施；最后，內部審計要利用自己對組織內部的全面了解和對風險的直觀熟悉，為專業的風險治理部分提供咨詢與保證活動，參與企業的整合風險治理。總之，風險導向內部審計不是在簡單的內部控制領域消極地查錯防弊，而必須以組織的整體風險評估作為自己的首要工作目的。 三、企業風險治理框架與風險導向內部審計的聯系 在IIA通過修改內部審計定義倡導風險導向內部審計以后，COSO（反欺詐性財務報告委員會）在2004年正式提出《企業風險治理框架》（簡稱ERM），重新修改了內部控制的定義。新定義將原來的內部控制進行了多方面的修改與補充，更突出了對企業風險的高度關注，這與IIA以整個組織風險的評估與改善為中心任務的風險導向審計理念不謀而合。因而，探討風險導向內部審計與企業風險治理框架之間的聯系，就成為探討風險導向內部審計無法回避的理論之一。 （一）風險導向內部審計的對象就是風險治理框架 盡管1992年COSO的整體架構在進步人們對內部控制的熟悉程度、加強內部控制在公司治理中的作用方面發揮了重要的作用，但是沒有將確定目標、戰略規劃、風險治理和糾錯行動包括在內。自從其發布以來，遭受了持續的批評甚至否定。內部控制整體架構被普遍以為是用來減少外部審計職業風險，而非服務于治理者的、以企業財務控制為中心的財務報告質量控制框架，CoCo控制指南、MBNQA評價標準、IIA內部控制指南紛紛出臺并在企業風險日益威脅企業生存的環境中得到越來越廣泛的。COSO整體架構面臨嚴重的挑戰，企業風險治理框架就是COSO應對這種挑戰的產物[4]. ERM是一個包含四個目標、八個要素和四個層次的整合框架，四個目標、八個要素和四個層次相互交叉，和原來的ICIF相比，完全體現了治理者以企業風險治理為己任的理念。首先，ERM在目標方面增加了戰略目標，將對企業的風險關注重點引向了重大的、根本性的戰略；其次，在ICIF五要素的基礎上增加了目標設定、事件識別和風險評估三個要素，與原來的風險評估要素一起構成了一個完整的風險治理的基本過程；最后，ERM夸大將企業風險治理覆蓋所有層次，包括業務單元、子公司、分支機構和公司的整體層次，而業務單元、子公司、分支機構和公司的整體層次正是公司治理和內部控制涉及的全部領域。可見，ERM是一個整合公司治理和內部控制的企業風險治理框架，它關注包括公司治理領域和內部控制環節的風險在內的一切風險，而公司治理領域和包括內部控制環節的風險在內的所有風險正是風險導向內部審計的對象。所以，企業風險治理框架就可以被視為風險導向內部審計的對象。 （二）企業風險治理框架為實踐風險導向內部審計提供了現實指導 風險導向內部審計為企業在高風險環境中的內部審計提供了一種新的理念，但是這種新的理念并沒有為內部審計職員實踐風險導向內部審計提供一個可以據以操縱的具體思路。內部審計想要實踐風險導向內部審計，就必須根據一般的風險治理模式開發與維護內部審計的風險治理審計程序。這就產生了以下題目：第一，開發與維護內部審計的風險治理審計程序需消耗額外的內部審計資源；其次，內部審計開發出來的風險治理審計程序可能和企業內部既有的風險治理程序發生沖突，在缺少權威性的專業指導時得不到重視。ERM的出臺為風險導向內部審計提供了權威的工作依據。根據ERM，風險導向內部審計的工作就可以有條不紊地分解為：針對組織特定目標（戰略目標、報告目標、經營目標與正當性目標）、特定的治理層次（組織整體層面、分部、經營單元、子公司）實施各自的風險審計程序（內部環境、目標制定、事項識別、風險評估、風險反應、控制活動、信息和溝通），內部審計無須在目標制定環節之外另外尋求其它的目標分類標準，無須為確定審計范圍進行太多的思考，更無須為風險導向審計程序本身的設計投進更多的資源。 四、風險導向內部審計與風險導向外部審計的差異 在IIA倡導風險導向內部審計以前，外部審計就在實施風險導向外部審計。風險導向外部審計是指外部審計為了適應審計業務量巨大的增長，降低審計本錢，高效利用審計資源的同時有效降低審計風險而開發的一種審計風險模式，它是對制度基礎審計的高度深化與全面，正日益受到審計界的推崇和實務界的青睞。因此，探討風險導向內部審計與風險導向外部審計兩者的差異就成為風險導向內部審計的又一個基本的題目。 固然風險導向內部審計與風險導向外部審計都高度重視對審計客體的風險評估，但是“風險導向”的內涵、目標和范圍在內部審計和外部審計中是完全不一樣的。 （一）兩者的內涵不同。風險導向內部審計是以內部審計的主體組織的內部控制為基礎、同時考慮公司治理在內的、以組織整體風險作為審計重點的一種審計。這里的風險突出的是審計對象的含義；而風險導向外部審計是指審計主體在進行審計程序時，首先評估企業的風險，然后依據風險評估的結果來確定審計的重點，從而決定審計資源的分配，進而確定余額測試和交易測試的。這里的風險導向實質是一種審計謀略。 （二）兩者的目標不同。風險導向內部審計的目標在于通過對風險評估來提出風險治理的對策，有效降低所在組織的風險，從而增加企業的價值，充分發揮內部審計的作用。而風險導向外部審計的目標則在于審計主體的利益最大化。這個目標通過以下方式實現：第一，進步審計效率。企業進行財務造假或進行虛假陳述，往往是在企業無法完成既定目標的領域、也就是企業的高風險領域發生的。而在低風險領域，企業沒有相應的動機。因此外部審計可以首先識別出企業的高風險領域，進而集中審計資源進行重點、具體的審計，從而進步審計的效率。第二，降低審計風險。在不存在責任的情況下，審計風險并不會給審計主體帶來利益上的傷害，但是現代資本市場中投資者和其它第三方經常以侵權或違約來對外部審計提起訴訟，使其承擔巨額的損害賠償責任，從而現實地到審計主體的利益。而風險導向審計的宗旨就是使審計風險處于嚴密的控制之下，有效地減少外部審計的法律責任，因而風險導向外部審計的目標就是通過進步審計效率、降低審計風險來服務于審計主體，以維護審計主體自身的利益。 （三）風險范圍不同。作為審計的內容，風險導向內部審計中的風險是針對組織所有目標、所有治理層次的各種性質的全部風險，它可以理解為ERM中的關注全部風險，其中包括戰略風險、報告風險、遵循風險和經營風險。而作為審計的策略，風險導向外部審計中的風險只是與企業報告的編制流程相關的、影響企業報表公允性的內部控制失效風險，它基本上等同于1992年ICIF關注的風險和ERM關注的部分風險———報告風險中的財務報告風險。 五、結論與現實啟示 風險導向內部審計是內部審計在高風險產生的、為了應對職業危機而推出的一種全新的審計理念。IIA通過修改內部審計定義加速了它的發展并使其成為現代內部審計發展的一種必然趨勢。我們還留意到，風險導向內部審計與傳統的控制導向內部審計相比有其獨特的業務范圍、服務對象和審計內容；同時，IIA風險導向內部審計與COSO的企業風險治理框架之間存在著內在的聯系，但卻與風險導向外部審計存在著本質的區別。在國際范圍內推行風險導向內部審計，就是要在傳統內部審計的基礎上積極拓展業務范圍，提升服務的層次，變革審計內容，有效鑒戒企業風險治理框架提供的思路，并嚴格將其與風險導向外部審計區別開來。 與國際內部審計的實踐相比，我國的內部審計實踐尚處于較低級的階段，這表現在我國現行的內部審計準則沒有要求內部審計涉足公司治理領域，從而對組織的風險治理活動進行評估與改善，而只要求對內部控制進行評價和監視。但是，我國在內部審計發展過程中，風險導向內部審計產生與發展的現實背景同樣存在。因此，我國也應該逐步推行風險導向內部審計。在我國推行風險導向內部審計，可以考慮從控制領域開始，以識別和評估組織風險作為內部控制評價與監視的目標，而把內部控制評價和監視作為風險治理的手段。只有這樣，我國內部審計才能為組織提供更多的增值服務，從而進步在組織中的地位，未雨綢繆，消除潛伏的職業危機。 [] [1]王光遠。治理審計理論[M].北京：人民大學出版社，1996. [2]中國內部審計協會。中國內部審計規定與中國內部審計準則[S].北京：中國石化出版社，2004. [3]托馬斯L巴頓，威廉G申克等。企業風險治理[M].王劍鋒，寇國龍，譯。北京：中國人民大學出版社，2004. [4]史蒂文魯特。超越COSO：強化公司治理的內部控制[M]劉霄侖，譯。北京：中信出版社，2004.【風險導向內部審計若干理論題目探討】相關文章：
現代風險導向審計探討02-28
淺析內部審計新模式-風險導向內部審計01-13
風險導向內部審計基本理論及程序構建03-24
風險導向審計有關題目探析03-21
以風險為導向的內部審計應用解析03-07
關于內部審計與風險治理題目03-20
試論風險導向審計理論在我國的運用03-24
風險導向企業內部審計研究03-28
風險導向內部審計與內部控制結合初探（下）03-22