风险导向审计与内部控制评审结合研究.pdf

1风险导向审计与内部控制评审结合研究 风险导向审计与内部控制评审结合研究 国机集团中国机床总公司 柳江、易新星 摘要：摘要：.对风险导向审计而言，内部控制仍是基础。风险导向审计离不开内部控制评审的支撑，二者的结合有助于提高审计的质量，从而产生协同增效作用。本文探析企业风险导向审计和内部控制评审结合的思路和模式，并提出相应的对策。关键词：关键词：风险导向审计；内部控制评审；审计判断；风险管理 近年来日益增多的经营风险，使得企业内部审计关注核心从帐项、内部控制转向风险控制，风险导向审计模式应运而生。审计人员开始更多关心组织所面临的风险，通过衡量组织风险、管理风险控制实现内部审计增值的目标。这种以风险管理为核心、以组织未来持续健康发展为目标、以环境和战略作为主要考量因素的审计模式，促使审计关口前移，避免了制度导向审计模式下事后审计存在的缺陷，越来越多受到业内人士的关注。但对企业而言，如果仅仅关注风险导向审计，而忽视对内部控制的了解和测试，则必然会扭曲审计的本质、偏离审计的目标。因此，探讨风险导向审计与内部控制评审的结合，对于审计人员进行精确的审计判断、提高审计的质量和效果，都具有积极的意义。一、从审计模式的发展看风险导向审计与内部控制评审的结合 一、从审计模式的发展看风险导向审计与内部控制评审的结合 审计模式涉及到审计的目的、范围和方法，其发展演进与组织本身的规模、治理结构以及组织面临的外部环境息息相关。一般认为，审计模式经历了帐项基础审计、制度导向审计和风险导向审计等三种模式。帐项基础审计模式出现于审计发展的早期，由于企业组织结构简单、业务性质单一，注册会计师对企业的审计主要是应企业所有者的要求，对企业的会计核算进行独立检查，以识别和规避经营者（受托人）的违规行为。由于审计的内容主要是对会计凭证和帐薄的检查，因此被称为帐项审计方法。在这种模式下，注册会计师审计的重心是资产负债表，目的是发现和防止舞弊行为，为所有者的资产保值增值服务。制度导向审计模式是与组织规模扩大而广泛采用股权投资方式有关，由于企业规模不断扩大、经营活动和交易事项日益复杂，使得详细审计难以实施，于是代之以抽样审计。然而抽样审计本身有其固有的随意性和局限性，因此，注册会计师将审计的视角转向企业的管理制度，希冀通过评估企业的内部控制来探析企业控制的薄弱环节，在内部控制较薄弱的环节收集相对较多的证据，然后根据对内部控制的评审结果，确定实质 2性测试的时间、范围和重点。由于制度导向审计模式缺乏一种可接受的量化方法，经常采用主观判断的方法来确定内部控制的内容、方向和范围，这就使得使审计资源不能恰当地分配到高风险领域，难以有效降低或规避风险的发生。风险导向审计模式的出现源自于经营者越来越多关注快速变化的环境以及由环境变化所导致的更多外部风险的产生，而制度导向审计模式所采用的内部控制测试与抽样审计相结合的审计模式很难将审计风险降至可接受的水平。在此情况下，注册会计师职业界开发出了风险导向审计模型，即“审计风险=固有风险控制风险检查风险”。之后，又开发出了现代风险导向审计模型，即“审计风险=重大错报风险检查风险”。风险导向审计模式改变了制度导向审计事后评价的缺点，以风险为核心，对产生风险的各个环节进行评价，将事后反馈延伸到事前以及事中。在这种方法下，审计过程就成为一个将组织环境与组织未来发展战略与目标联系在一起的、能够真正不断克服和降低审计风险的过程。从审计模式的演进可以看出，三种审计模式之间并非完全割裂或者不相容，只是在不同的环境状况下，审计的侧重点有所差异。风险导向审计称为作为一种新的审计方法，更加注重从宏观上把握审计面临的风险，对风险的分析从零散化走向结构化。然而对风险的关注和把握并非表明企业对内部控制评审的摒弃，事实上，只有二者结合起来，企业的审计工作才能有序推进，才能有更准确的审计判断。二、风险导向审计：内部控制仍是基础 二、风险导向审计：内部控制仍是基础 实际上，不论采取帐项基础审计、制度导向审计还是风险导向审计，了解和掌握内部控制的状况都必不可少。现代风险导向审计是通过了解和掌握企业内部控制制度、运营状况及经营环境，以企业经营风险评估为导向，将重大报错风险和经营风险联系起来，从源头分析和规避风险的一种审计模式。对风险导向审计而言，内部控制仍是基础。虽然人们对内部控制评审有多种称谓，对其定义也各有侧重，但就本质而言并没有多大差别，特别是涉及到的内容、方法和程序基本上是一致的。本文认为，所谓的内部控制评审实质上是对内部控制进行评价与审计的动态的过程，包括调查、测试、审查、评价等。作为内部控制体系的一个重要组成部分，内部控制评审的目的是在了解、测试与会计报表相关的内部控制的基础上评估其控制风险，再根据控制风险评估结果修订审计计划和确定实质性测试的性质、时间和范围，进而对会计报表发表意见。这在制度基础审计中是必要的，在风险导向审计中也是不可或缺的组成部分。无论如何，内部控制评审作为内部控制体系一个重要组成部分，在现代风险导向 3审计中仍是基础。现代风险导向审计下的内部控制，是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵循，由治理当局、管理当局和其他人员设计和执行的政策和程序。现代风险导向审计不仅关注了被审计单位的风险评估过程，还将对控制的监督作为重要的内容，认为内部控制包括控制环境、风险评估过程、信息系统与沟通、控制活动和对控制的监督等五要素。由此可见，风险导向审计仍然离不开内部控制评审的支撑，二者的协调与配合使得企业可以从宏微观层面、从内外部着手，避免审计风险，提高审计的质量和效率，从而产生协同增效的作用。三、风险导向审计与内部控制评审结合的思路和模式探析 三、风险导向审计与内部控制评审结合的思路和模式探析 推动风险导向审计和内部控制评审的结合实质上是从内外层面或者说宏微观层面探讨规避风险的路径和方法，以确保企业稳序发展。为此，首先应当明确推动二者结合的思路和模式。1、风险导向审计与内部控制评审结合的思路 1、风险导向审计与内部控制评审结合的思路 以风险评估为基础的风险导向审计使审计人员开始关心组织所面临的风险，而风险导向审计与内部控制评审的结合要求审计人员必须根据风险评估的思路开展对内部控制的评估，使审计能够将控制与策略计划和风险评估连接起来。具体说来，风险导向审计与内部控制评审结合可以遵循如下思路：一是打通内外审计的联系途径。实际上，对外部风险的评估和测定离不开对内部相关状况的了解和掌握。只有对企业的运营状况、战略构想、运作模式、治理机制等情况进行深入的了解和掌握，也才能够真正清楚企业可能面临哪些风险，哪些风险是主要的，哪些是最可能发生错报风险的领域或环节。二是把握主要的内部控制点。内部控制的范围应当涉及到企业的运营模式、战略态势、组织结构、治理机制、组织文化等方面，还涉及到重大的投融资决策、业务拓展的领域、区域扩张的范围等领域，还涉及到与组织有关的技术管理、财务管理、生产库存管理、客户管理等环节，哪些应当是控制的主要内容，哪些方面对风险会产生更多的影响，哪些应当是主要的信息观测点和评估对象，企业和相关审计人员必须对此有清醒的认识。对主要控制点的把握有助于保证审计质量，将有限的审计资源在高风险和低风险领域内合理配置，有效利用审计资源。三是及时掌握相关的动态信息。当今时代，环境的变化往往是瞬息万变的，对企业面临的风险及内部控制也应当持有动态的观念。了解动态环境的变化以及由此而产生的 4风险的变化，掌握组织自身因素的变化以及面临的风险的变化，这些方面都有助于识别真正风险的所在及其影响程度及范围，从而为风险导向审计与内部控制评审结合提供及时的信息支撑。四是建立可靠的审计查核程序。可靠有效的查核程序建立在对审计程序的深刻理解和企业运营模式和运作机制全面掌握的基础上。这一过程实际上是对相关风险的初步判断，是对企业相关活动的重新审视。查核程序应当包括相关的监控程序的建立、控制程序的设计、控制方法的筛选以及控制分工的界定等方面，可靠有效的查核程序有助于减少或规避重大审计错误发生的可能性，能够在风险导向审计和内部控制评审之间建立起沟通联系的桥梁，从而实现二者的有效结合。2、风险导向审计与内部控制评审结合的模式 2、风险导向审计与内部控制评审结合的模式 根据风险导向审计与内部控制评审结合过程中的主导因素或者出发点，实际上可以认为有三种模式选择：由外及内模式、由内及外模式和内外并举模式。（1）由外及内模式。由外及内模式的出发点是从关注外部风险开始，其主要特点是首先分析企业外部环境状况对组织产生的影响，包括经济态势的变动、宏观政策的调整、技术的发展变迁方向、行业竞争结构的变化、新消费方式的出现等，然后将这些变化与组织可能的反应模式、学习特性、文化惯性等进行对比，再探析组织可能的战略反应及应对策略可能会存在哪些问题，最后再通过组织的具体行为分析或具体业务表现来判断内部的运行状况和外部需要的战略或行为反应存在哪些差异，并判断差异的程度、可能造成的风险及对企业的影响程度。这种模式要求相关审计人员对企业的战略环境有清晰的认识和准确的把握，对环境适应性有准确的认识，同时对组织可能面临的风险有全面深刻的掌握。（2）由内及外模式。由内及外模式的出发点是组织的运营状况，其主要特点是相关审计人员能够通过对组织战略发展方向、运营模式、组织文化、管理机制、运作流程以及价值链活动等的剖析来洞悉组织的运营状态及其水平。在此基础上，将组织的运营状况及其态势置于行业或整体经济发展的大环境中进行比较分析，看这些方面是否与经济、技术、社会、文化等环境的发展变化方向相契合，是否与行业未来的发展方向相一致，是否会与其它竞争对手战略趋同而难以形成差异化优势或整体竞争优势。分析它们之间的契合或差异程度，能够为辩识和规避组织面临的风险特别是重大风险提供方向性指导，有助于帮助组织形成一种适时审视自己的行为是否与外部环境一致的反应模式，有助于规避相关不必要的战略性或策略性错误行为的产生。5（3）内外并举模式。内外并举模式可以被认为是从宏微观层面并行推进风险导向审计与内部控制评审工作，企业高层管理者和审计人员一方面关注宏观环境因素状况可能对组织造成的风险类型、风险大小，并分析风险发生的概率及其分布领域，另一方面不断审视组织内部的运营状况及其可能存在的问题，判断其中存在的不协调因素，包括战略行为与战略思想的矛盾、发展态势并非是机会和优势资源的最佳组合、管理创新与组织文化的背离等。通过两个层面的并行审计推进，可以使组织不断从两个角度审视组织存在的问题与风险所在，从而为规避风险提供双向路径。三种模式都能够有助于推动风险导向审计与内部控制评审的结合，不同模式的选择与企业领导者和相关审计人员的固有思维模式、企业的治理机制模式、企业的反应性特征、企业所处的具体环境状况等有必然的联系。四、推动风险导向审计与内部控制评审结合的策略探讨 四、推动风险导向审计与内部控制评审结合的策略探讨 推动风险导向审计与内部控制评审的结合，首先需要在审计观念或理念上有所改变，清楚认识二者之间的密切联系、相互依存的关系，应当认识到风险导向审计也应当以内部控制为基础，而内部控制应当更好地为风险评估服务。除此之外，还必须做好如下三个方面：1、推动评审程序的相互融合 1、推动评审程序的相互融合 风险导向审计与内部控制评审虽然是两种不同的审计模式，但二者又并非截然不同、毫无联系。事实上，应当在实际工作中推动两种审计、评审模式的融合，即在风险导向审计中融入内部控制评审的思想和内容，使得审计人员能够基于对内部状况的清楚了解从而更加准确地辩识风险所在，提高对风险判定的准确性和及时性；同时，在内部控制评审的过程中增加关注风险评估的意识，使得对内部控制不仅仅是设计到效率问题，还要更多涉及到效果问题，提高组织活动的正确性和效益性。这就需要对风险导向审计与内部控制评审的程序、内容等进行重新设计，以更好推进风险导向审计与内部控制评审的结合。2、建立信息资源的共享机制 2、建立信息资源的共享机制 对外部风险的判断和对组织内部运营状况的判定都离不开相关信息资源的支撑，为了更好地为企业高层管理者和相关审计人员提供充分、完整的信息，以便能够更为准确地进行风险识别，包括风险所处的领域、风险的大小、风险发生的概率等，需要构建包容宏观环境、行业环境和企业自身运行状况的全面完整的信息系统数据库。同时，还要实现信息资源的广泛共享，使相关的组织内外信息能够在企业中高层管理人员和审计人 6员及时传递、适时交流，为准确的风险识别或判断得以实现提供技术支撑。3、提升审计人员的综合能力 3、提升审计人员的综合能力 审计人员的综合素质和能力在确保风险导向审计与内部控制评审结合过程中同样非常重要。因为很多审计人员往往只具有相关的财务会计知识和审计知识，涉及到管理、战略、法律、金融、技术等方面的知识判断时，他们往往难以胜任，这就必然会影响到相关专业风险的识别和判断。为此，可以在审计人员中增加非会计专业人员，以便组成具有综合能力的审计项目组，但更为主要的是必须通过轮岗实习、在职学习等方式对审计人员进行培训，以便使他们熟悉更多的业务内容，胜任复杂性风险评估的相关审计工作。参考文献：参考文献：1贾云洁.从战略角度谈内部审计价值增值策略J.审计与经济研究，2009，24（2）：45-49.2曾智媛.风险导向内部审计的目标选择与实现J.经济师，2009，2：197-198.3王敏 黄瑛.基于风险导向的内部审计原理及其应用J.财经理论与实践，2006.9：76-79.4刘蓉 白剑.风险导向审计模式下内部审计的变化分析J.山西青年管理干部学院学报，2006.11：55-57.5严晖.风险导向内部审计整合框架研究M.北京：中国财政经济出版社，2004：47-57.