浅谈风险导向内部审计实务应用及其意义

浅谈风险导向内部审计实务应用及其意义内部审计人员可根据对各项业务活动的流程梳理结果，明确关键控制点，并将组织的内外部环境与组织目标及各项业务活动的具体目标连接起来进行风险识别。以下是小编分享的内容，欢迎参考借鉴与借鉴。近几年来世界经济环境和形势跌宕起伏，贸易战、股市暴跌、油价大起大落、人民币贬值等，导致企业经营管理过程中面临的风险也层出不穷。在这种情况下，基于持续发展的需求，企业必须从自身出发，结合外部风险的不同状态，抓住重要的业务管控环节及可能存在的重大风险，围绕总体战略和经营目标，推行全面的企业风险管理。同时，伴随着内部审计机构逐步在企业组织机构中成立，企业对其介入全面风险管理、加强内部控制以及完善治理结构等方面的需求也愈发迫切。而内部审计机构的工作目标也逐渐从过去的查错纠弊演变为主动为组织创造价值，并在越来越多的业务领域发挥着积极的咨询、评价和提升管理的作用。此时，风险导向内部审计概念的提出满足了现代企业对内部审计在风险管理、内部控制和公司治理方面的更高要求。一、风险导向内部审计的特征根据国际内部审计师协会（以下简称“IIA”）对内部审计的最新定义以及COSO的《内部控制框架》、《企业风险管理-整合框架》（xx年）、《企业风险管理框架》（xx年），风险导向内部审计具备以下显著特征：第一，可以促进提升组织运营效率，帮助企业实现战略目标。纵观内部审计发展的不同阶段历程，无论是财务导向还是管理导向，其目标均较为片面，无法与现代企业的总体目标及价值最大化完全匹配。但风险导向内部审计的目标则可与现代企业的目标保持一致，因为此时内部审计机构在组织中的角色已不再是为“找茬”而存在，而是通过协助其他部门最大限度的规避或降低风险，以共同实现组织目标。第二，从组织的目标出发，分析事项发生并影响战略和商业目标实现的可能性（即风险），并对已有风险管理措施进行补充完善，再评价实际开展的措施是否能够有效的管理这些风险。此时，风险导向内部审计的重点已从以往的以稽查审查为中心转移到以风险识别、评估为核心。在审计实务中，从组织的目标出发，识别可能影响目标达成的风险事项并进行评估，根据风险严重程度确定所需投入的审计资源，最终提出可行性的审计建议。二、风险导向内部审计的实施建议根据风险导向内部审计的定义及特征，参考IIA最新的《国际内部审计专业实务框架》、COSO的《内部控制框架》、《企业风险管理-整合框架》（xx年）、《企业风险管理框架》（xx年）以及我国财政部发布的《企业内部控制基本规范》、《企业内部控制规范配套指引》，并结合国内外风险导向内部审计实务经验，提出实施风险导向内部审计的建议如下：01.剖析组织及具体业务活动目标内部审计人员应首先剖析了解组织的目标，通常可通过阅读公司章程、战略规划、商业计划、年度预算以及与高级管理层沟通等方式进行。同时，组织目标的实现又可以分解为各项具体业务活动目标的实现，根据《企业内部控制规范》相关要求，企业各项业务活动的内部控制目标应是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略，企业在建立与实施内部控制时应遵循全面性、重要性、制衡性、适应性、成本效益等5个原则。内部审计人员则需对组织内部各项业务活动的流程进行分析与梳理，并结合上述目标及原则对各项业务活动所要求达到的内部控制预期结果进行评价，如发现其中有一项业务活动的控制结果没有实现或违背了上述目标及原则之一，则可能意味着这项业务活动没有得到有效的控制。02.识别及评估风险并建立风险库内部审计人员可根据对各项业务活动的流程梳理结果，明确关键控制点，并将组织的内外部环境与组织目标及各项业务活动的具体目标连接起来进行风险识别。识别风险可从以下两个方向进行：第一个方向是从上至下，即从组织的总体目标出发，考虑内外部环境中各项对实现组织目标产生影响的因素，然后将该因素落实到具体的业务活动及其具体目标中。第二个方向是从下至上，即从某项具体业务活动的具体目标出发，直接查找影响该业务活动具体目标实现的因素。由于风险无处不在，审计人员在识别风险时必须将风险落实到具体业务活动上来，使风险具象化，通常可采用调查问卷法、SWOT分析法、PEST分析法、波特五力分析模型、矩阵分析模型等方法进行风险识别，同时识别过程应与相关业务部门或人员进行有效沟通，提高风险识别的准确性及适用性。在风险评估阶段，内部审计人员需重点考虑两个方面：一是发生风险对组织目标造成影响的可能性，二是风险对组织目标的影响程度。一般可采取定量和定性相结合的方法进行评估，比如蒙特卡罗法、关键风险指标管理法、压力测试法、风险坐标法等。最后还需根据评估结果，对每项业务活动的风险进行排列，以确定重要风险及所在业务领域。在完成风险识别和评估后，内部审计人员需根据评估结果建立覆盖组织所有业务活动的风险库，以作为确定后续审计项目及审计重点的参考，同时还需在审计过程中持续补充完善风险库。其中，建立的风险库应包含涉及的具体业务活动、风险的类型、风险发生的可能性及其影响程度等信息，同时还应协助组织制定风险的具体应对措施，并在审计实务中对企业实施应对措施的有效性进行评估，以及提出相应的改善建议。03.制定审计计划和实施方案首先，内部审计人员可根据已识别和评估的风险点及其所在业务领域编制审计计划，并根据风险发生的可能性及影响程度确定审计项目的先后次序，对现有审计资源进行合理分配，以实现将有限的内部审计资源集中于高风险的业务领域，更好地为实现组织目标提供服务。其次，内部审计人员可在评估风险优先次序的基础上编制审计实施方案，方案内容应当包括确定的审计范围、审计重点及审计步骤等，为后续审计实施提供指导。04.开展现场测试及评估程序内部审计人员可结合已梳理出的风险点，开展评价工作，具体应包含以下四个步骤：一是对组织已制定的控制措施设计的合理性进行评价。当组织已采取的控制措施（包括制度流程）覆盖了各项业务活动的关键控制点，使对应的风险能够得到有效控制，则评价针对这些业务活动的控制措施设计可能是合理的，相反则意味着组织的控制措施在设计方面是存在缺陷的，下一步就需要对相应的控制措施，如制度流程进行修订完善。二是对组织已采取的控制措施是否得到有效执行展开评价。通常情况下，内部审计人员可采取询问、检查、监盘、函证和分析性复核等方式，评价组织所采取的控制措施是否得到有效、一贯的执行，如实际业务活动未严格按照控制措施进行，则认定该业务活动的控制措施执行是存在缺陷的，需对相关缺陷进行纠正整改。另一方面，如果在上述步骤一阶段测试表明针对该业务活动的控制措施在设计上是存在不合理的，那么即使该控制措施得到执行，也不能认为其运行是有效的。三是确定组织剩余风险。内部审计人员应判断组织在执行所有控制措施或风险管理手段后，还有哪些风险没有得到控制和管理，这些风险即为剩余风险。通常情况下，组织对风险的管理和控制越有效，剩余风险就越少，相反则越大。四是对控制缺陷或剩余风险给组织已造成的影响和损失进行确认。内部审计人员通过对组织已采取的控制措施的设计与执行情况进行评价后，确定了相关的控制缺陷，需进一步评估确认这些缺陷是否已对组织造成影响。而对于剩余风险，内部审计人员也应开展相应的评估并对已造成的影响和损失进行确认。05.充分沟通及出具审计报告沟通作为审计人员必备的技能之一，自始至终贯穿于内部审计工作的全过程之中，是一项极为重要的步骤。而风险导向内部审计更加注重审计沟通的运用，内部审计人员除了要与组织的决策层、重要管理层开展沟通外，还需与关键业务活动的操作层相关人员进行广泛交流，并在充分沟通的基础上就审计发现的控制缺陷及剩余风险所造成的影响进行确认，提出相应的审计建议，最终出具审计报告并发送给使用报告的相关人员。06.跟进审计整改及后续审计审计整改虽处于审计工作流程闭环管理中的末梢，但却是一个非常重要的环节。针对审计发现的风险及缺陷，内部审计机构应及时向被审计单位或部门下达审计整改通知书，规定整改的时限，督促被审计单位或部门在规定时间内反馈整改结果。同时，内部审计人员还需对整改进度及效果进行抽查复核，并视具体情况决定是否就上次审计的结果进行单独的后续审计。三、风险导向内部审计的意义01.促进组织风险管理及完善内部控制风险导向内部审计可以通过科学的手段对企业实现目标过程中面临的主要风险进行识别和汇总，并将事后评价反馈延伸到事前和事中，使内部审计成为企业价值链中的必要环节。同时，内部审计人员独特的地位和专业素养，使其对组织的经营战略、业务流程、组织架构等方面能有较为全面的了解，具备了企业风险管理中全面识别风险的条件。因此，以风险为导向的内部审计能够在企业风险管理过程中持续发挥其特有的贡献和作用。另一方面，内部审计作为组织内部控制的一个重要环节，可以视为是对内部控制的再控制。风险导向内部审计强调从风险角度对内部控制进行评价，不仅强调内部控制的合理设计和有效执行，而且还在成本与收益、风险与机会之间寻找平衡，使企业在可接受的风险水平下实现利益最大化，并为企业风险管理提供更客观、更科学的建议，对于优化组织内部控制结构、简化内部控制流程、健全内部控制体系具有举足轻重的意义。02.提高审计资源的利用效率有别于传统内部审计采用的“控制-风险-目标”工作模式，风险导向内部审计采取的“目标-风险-控制”模式，使内部审计人员能够将审计目标和组织战略经营目标有机结合，促进了对风险是否得到及时有效管控的评价，更好地稳固了内部审计在企业风险管理和企业价值链中的地位，并通过恰当、有效地分配内部审计资源，使得更多与风险管理相关的控制活动得到了关注。通过把审计手段与审计目标更好地结合在一起，可以进一步提高审计的科学性、针对性和绩效性。故风险导向内部审计提供了一种既能保持审计效果，又能提高审计效率的工作思路。