易被混淆的兩個內部審計概念

陳迎春

隨著內部審計事業的發展，“風險”這個名詞越來越受到內審人員的關注，但無論是風險導向審計還是風險管理審計，對于內審人員來說都是比較新的理念和方法，所以正確的區分理解這兩個概念對于內審人員較好地利用風險導向審計方法以及履行風險管理審計職能是十分有利的，本文就主要針對這兩個概念的內涵與應用進行簡要的辨析。

一風險導向審計是一種審計方法

風險導向審計是在實施內部審計活動時，審計人員將對審計風險的識別、分析和評估作為確定審計重點和范圍著手點的一種審計方法。它主要是相對“賬項導向”審計與“制度導向”審計而言的，他的出現反映了審計方法的進步。

(一)審計方法的演變過程

20世紀30年代以前，經濟業務比較簡單，賬項導向審計盛行，20世紀30年代中期，隨著企業規模的擴大、經濟業務量的不斷上升，制度導向審計取而代之；進入20世紀90年代，社會公眾對信息的需求不斷擴大，風險導向審計就應運而生。

(二)風險導向審計的基本思想與核心技術

風險導向審計的基本思想是內部審計人員通過綜合分析各風險因素之后訂立所能接受的風險水平，然后以此確定內部審計測試的性質、時間和范圍。他的核心技術方法是內部審計風險模型的建立與運用。

內部審計準則指出內部審計風險模型的構成方式為：

內部審計風險=重大差異或缺陷風險×檢查風險

(三)風險導向審計模型的應用

1確定內部審計人員對既定被審計對象可以接受的審計風險水平

可接受審計風險的典型評價可以是高、中或低，而將可接受的審計風險評價為較低就意味著被審計對象的風險很高，需要更加廣泛的證據，委派更加有經驗的人員以及對工作底稿更加廣泛的復核。同時在內部審計進行的過程中，隨著獲取有關被審計對象的信息越多，內部審計人員對可接受審計風險的評價也要隨之進行修訂。

2評估重大差異或缺陷風險

內部審計人員通過考慮對重大差異或缺陷風險產生影響的各方面事項實現對該風險的評估，為此實施的具體審計程序包括：詢問被審計單位的相關人員及組織的相關管理層，查閱被審計單位的經營業務手冊、內部控制手冊等資料，查閱被審計單位經營活動及內部控制的執行情況。

3根據內部審計風險模型計算檢查風險并據以確定進一步的審計測試程序

內部審計人員適當地確定了其可接受的審計風險，并對客觀存在的重大差異或缺陷風險進行了評估，至此在內部審計風險模型中，審計風險和重大差異或缺陷風險都成為已知的風險，據此內部審計風險模型就可以變為以下形式：

檢查風險=審計風險／重大差異或缺陷風險

內部審計人員的檢查風險與以下因素有關：抽樣審計方法的應用；內部審計人員的專業勝任能力及職業道德水準，內部審計人員所用審計方法的適當性及有效性。

由此可見，檢查風險是直接與內部審計人員的檢查相關的風險，包括檢查的方法，時間和范圍等，所以據此確定適當的內部審計程序，以及實施的時間和范圍。

二風險管理審計是一種審計職能

風險管理審計是內部審計部門對組織內各級管理部門在企業風險管理過程中職責的履行情況進行的審查和評價，目的在于揭示企業的各種風險因素，降低和防范各種風險，協助企業決策者和管理層達到預期的經營目標。它主要是相對監督、評價職能而言。

(一)審計職能的演變過程

在內部審計產生和發展早期，以查錯防弊為主的監督職能是其主要職能，隨著市場競爭的日益激烈，加強內部控制、改善經營管理、提高經濟效益成為企業生存發展的必需，內部審計的評價職能就變得突出起來一21世紀以來，風險成為企業經營活動中不可忽視的因素，風險管理審計成為企業全面風險管理工作中關鍵的一道防線。

(二)中央企業全面風險管理簡要介紹

2006年6月6日國資委正式印發《中央企業全面風險管理指引》，其中明確要求中央企業要重視和開展全面風險管理、明確什么是全面風險管理和企業如何開展全面風險管理工作。

《指引》指出內部審計部門、風險管理專職部門與企業其他職能部門構成企業全面風險管理的三道防線，而內部審計部門職責是負責研究提出全面風險管理監督評價體系，制定監督評價相關制度，開展監督與評價，出具監督評價審計報告。

(三)風險管理審計的程序和方法

1對風險識別過程的審查與評價

內部審計人員應當實施必要的審計程序，對風險識別過程進行審查與評價。例如可以向管理層及相關人員詢問該管理層所面臨的風險狀況，審查管理層在識別和評價風險時所形成的書面文件，評價管理層針對風險所采取的管理措施是否有效等。

2對風險評估過程的審查與評價

內部審計人員應當實施必要的審計程序，對風險評估過程進行審查與評價，在采用定性與定量的方法評價風險評估方法的適當性和有效性時，應當遵循以下原則：定性方法的采用需要充分考慮相關部門或人員的意見，以提高評估的客觀性；在風險難以量化、定量評價所需數據難以獲取時，一般應采用定性方法。

3對風險應對措施的審查與評價

內部審計人員應當實施適當的審計程序，對風險應對措施進行審查。在評價風險應對措施的適當性和有效性時，應當考慮以下因素：采取風險應對措施之后的剩余風險水平是否在組織可以接受的范圍之內；采取的風險應對措施是否適合本組織的經營、管理特點，③效益的考核與衡量，風險應對措施達到最佳效果并不是最好的措施，能夠達到滿意效果且成本又最低的措施才是最好的措施。

4風險管理審計報告

在對管理部門采用的風險識別、評估過程和應對措施進行審查和評價之后，內部審計人員應該向組織的適當管理層報告審查和評價風險管理過程的結果，并提出改進建議。

綜上可見，風險導向審計與風險管理審計的性質不同。前者是一種審計方法，后者是一種審計職能，兩者的共同之處在于對風險的識別、分析和評價都是重要的工作內容，但兩者對風險的關注目的和重點是完全不同的。在風險導向審計中，對風險的考慮是為了借此確定進一步審計的重點、范圍和方法，而在風險管理審計中，對風險的考慮是為了評價管理部門風險管理責任的履行情況。