浅议内审工作中风险导向审计与内部控制评审的结合

浅议内审工作中风险导向审计与内部控制评审的结合南京市疾病预防控制中心 薛昌保【摘要】 由于风险识别和审计目的侧重点不同，内审人员在评审内控制度时，可以采用内部控制评审法或风险导向审计进法行内审。从实际审计业务开展情况来看，部分内审人员不能合理运用内部控制评审与风险导向审计两种方法，无法达到审计目的，造成审计资源的极大浪费。本文探讨形成这种情况的原因，以及怎样运用内部控制评审与风险导向审计这两种方法更好地开展内审工作，充分发挥内审机构的职能。【关键词】：内部审计 风险导向审计 内部控制评审 结合近年来，内部审计的发展进入了一个新的更高层次的阶段，即实现了两个转变，一个是内部审计正由管理审计向风险评估转变，一个是由被动查出问题向主动提出解决问题的建议转变，这两个转变使内部审计的作用更具有前瞻性、咨询性。这里，我们经常会用到两种常见的审计方法：内部控制评审与风险导向审计。一、风险导向审计和内部控制评审的概念与基本特征风险导向审计是指以被审计单位的风险评估为基础，综合分析影响被审计单位经济活动的各种风险因素，并根据量化的风险水平确定实施审计的范围、重点，进而进行实质性审查的一种审计方法。内部控制评审是指审计人员通过调查了解被审计公司内部控制的建立和实施情况并进行相关的测试，来对其健全性和有效性做出评价，据以确定实质性测试的范围、重点和规模，进而进行实质性审查的一种审计方法。这两种审计方法最大的区别在于审计假定不同：内部控制评审是“无错推定”假设，而风险导向审计是“有错推定”假设；由于假设不同导致前期工作也有所不同：内部控制评审对被审计部门的内控制度的建立和实施情况并进行相关的测试，来对其健全性和有效性做出评价，据以确定实质性测试的范围、重点和规模；而风险导向审计是先对被审计部门的内控制度进行风险评估，综合分析影响被审计单位经济活动的各种风险因素，并根据量化的风险水平确定实施审计的范围、重点。中后期的工作又基本相同：对确定下来实施审计的范围、重点进行实质性测试，给出审计建议，并跟踪落实情况。二、风险导向审计和内部控制评审在内审工作中的运用情况在内审工作中，对于不同的审计项目，往往因为不同的内审人员根据不同的情况下采用不同的审计方式：有部分内审人员对风险导向审计不了解，不熟悉，平常的内审工作，他们一如既往地会运用内部控制评审进行审计，对公司的内部控制进行测试、评价，导致工作繁琐，效率低下；有部分内审人员欣赏风险导向审计方式，了解并熟悉它，工作中凡是有审计项目都运用风险导向审计进行审计，不但会完成不了正常年度审计计划，占用大量内审资源，而且还因内审人员个人能力素质的参差不齐而形成了一种不可避免的检查风险；还有部分内审人员对不同的审计项目运用了不适当的审计方式，不但无法达到审计目的，而且造成审计资源的极大浪费，内审部门的价值无法体现。三、两种方法不适当运用的原因 1.有些公司内部控制比较薄弱公司内部控制薄弱，内控制度的有效性存在风险，一般有如下四种情况：.一些公司对于内部控制的重要性认识不足，没有建立和维护全面的内控系统；.一些公司的内控制度和流程在设计上存在问题；.一些公司的内控制度和流程在执行上存在问题；.因工作业绩不理想的巨大压力而人为削弱内控，以进行舞弊或欺诈。在这样的情况下，公司的内控制度到处是审计高风险点，无论采用内部控制评审还是风险导向审计，在这种情况下出具内部控制审计报告，就会存在很大的困难，进行操作时也会遇到重重阻力。同时，我国对于内部控制的完整性、合理性及有效性缺乏一个公认的标准体系，由于没有一个具有较强可操作性的判别标准，不同的内审人员对公司内部控制发表的意见结论很难具有可比性。 2.缺乏综合素质高的内审人员。现从事内部审计工作的人员，大部分是原从事财务工作的。而现代内部审计要求审计人员对单位的业务、市场状况，甚至单位所处行业整体的经营状况和市场状况等因素都要有比较清楚的了解。因此，在具体内审工作中，不仅要求内审人员要有丰富的执业经验，还要有广博的行业知识，对各行各业的总体情况了如指掌，才能对被审计公司的行业风险和经营风险情况做出正确的评价。要求内审人员通过了解测试，形成对被审计公司战略风险、运营风险、市场风险、财务风险和法律风险的整体评价，在此基础上，确认发生高风险可能的领域与方向，评估预期的审计风险水平，要做到这样，必须做到内部控制评审与风险导向审计的灵活应用。另外，现代审计对职业怀疑态度提出了更高的要求。在风险导向审计模式下, 内审人员的职业怀疑态度显得尤为重要，内审人员只有在整个审计过程中,坚持以职业怀疑态度并实施审计工作,才有可能发现可能发生的重大错报,而且职业怀疑意识和能力越强,发现重大错报风险的概率也就越大。 四、合理运用两种方法所需解决的问题 1.建立健全有效的内控制度内控制度不健全，说明对此开展内部审计的基础没做好，审计工作难度就会很大，效率就会很低。我们通过内部审计是对内控制度进行评价，但不能代替相关部门制定内控制度。我们可以通过内部审计，指出被审计部门内部控制的薄弱环节，提出改进措施，健全和完善被审计部门内控制度，从而帮助公司完善内控制度体系,提高公司管理水平，同时，今后的内审工作也有了基础性资料。.建立内控制度：现代社会，新生事物不断出现，内控制度在还没有建立的情况下，由于内审人员长期立足于本公司的具体岗位，比较熟悉本公司的业务并能够随时深入到生产经营的全过程中去了解掌握具体情况，我们可以充分发挥内审人员的优势，提请管理层及时建立相关内控制度，同时提出建立相关现代内控制度框架的相关建议（主要内控制度的岗位责任和内控制度之间的相互牵制、相互协调）。但内审人员不能参与具体的内控制度中去，因为内审人员的独立性。.健全内控制度：部分内控制度不健全，如果是重要的内控制度，我们采用风险导向审计，如果是不重要的部分，我们可以采用内部控制评审，提出完善内控制度的相关建议。.内控制度的有效性：内部控制一般是针对经常而重复发生的业务设置的，而且一旦设置就具有相对的稳定性，因此如果出现不经常发生的或未预计到的经济业务，从比较大的范围来说，就是广义上的风险，原有的控制就可能不适用。根据内部审计对内部控制的测试所遵循的逻辑顺序，内部控制的变化不能及时向内部审计反馈，从而造成内部审计提供的信息存在时滞，失去对内部控制的作用。我们可以采用风险导向审计，通过风险识别，来开展内部审计工作，防范有可能的舞弊或欺诈。保持一个健全有效的内控体系。我们对内控制度进行测试并评价，评价内部控制时要考虑是否符合相互牵制原则、岗位责任原则、相互协调原则、系统网络原则。在测试内控制度的有效性和健全性时，我们整体上采用内部控制评审方式，但在关键部位，或者说是审计高风险点上进行评价时，可以采用风险导向审计，来防范有可能的舞弊或欺诈。2.内审人员加强业务学习交流、学会分析和总结，提高识别风险的能力一是利用内部控制评审中得到的线索发现风险点，整理分析，为将来跟踪审计或其它审计项目做好前期资料收集，也为以后独立开展风险导向审计选择审计方向；二是参加上级主管部门召开的相关例会，获取相关领域的控制关键点和风险因素；三是尽量参与相关的决策过程，比如重大的投资决策，及时获知风险；四是积极利用公司管理部门征集的年度合理化建议的信息，建议中必有可靠的控制弱点和失控环节；五是认真听取各级上级部门对本公司检查的讲评，仔细搜罗管理中的风险信息；六是通过新闻媒体关注公司的政策风险和行业风险。 3.加强风险管理工作，进一步做好风险识别与评估。风险导向审计其实就是内部控制评审中加入了风险审计的元素，增加了风险识别程序，对审计高风险点进行详细审计，对审计低风险点采用抽样审计。风险的识别与评估工作是一个持续和反复的过程，通常需要关注风险的来源：人为错误：内部控制效果与实施控制的人员素质和工作质量密切相关。人是容易犯错误的，既使大多数人都具有良好的动机和意图，也有少数别有用心的人弄虚作假或素质低下造成工作失误，如果人员安排失当，内部控制就起不到应有的作用。串通舞弊：内部控制将不相容职责适当分离，可以避免单独一人舞弊。但是，两个或更多的人串通舞弊就有可能避开此类控制。超越制度：如果企业主要管理者故意弄虚作假，跳过管理程序，内部控制就会失效。环境变化：随着企业外部经营环境的不断发展以及内部治理结构的不断深化，今日有效的控制制度，也许明天就会失效。所以内部控制不是一劳永逸的，需要不断更新、完善。成本效益原则：成本效益原则在内部控制中的广泛运用，从客观上使内部控制存在薄弱环节。由于内审机构是公司的一个职能部门，与本公司建立的内部控制处于同一环境之中，内部审计人员执行的审计项目具有时间上的充分性和信息上的全面性。我们要充分内审机构的优势，不仅可以充分发挥自己对本企业内部控制情况了解得比较全面和详细的优势，而且可以对内部控制风险有针对性地、经常地、连续地跟踪审计监督，从而能对企业的内部控制风险做出准确可靠的评价，可以更好地选择适当的内部控制评审或风险导向审计，更好地开展内审工作服务。五、具体一些结合方法无论是风险导向审计还是内部控制评审，它们都是审计手段，不是审计目的，为了较好地达到审计目的，我们可以审计过程中，灵活运用这两种方法。1.两种方法各有所长，可根据不同情况，运用于不同的内审项目我们可以直接运用风险管理中风险识别与评估工作成果，如果被审计部门本身的内控制度很健全，且执行有力，属审计低风险点，我们可以采用内部控制评审；如果被审计部门内控制度有明显漏洞或内控制度执行不力，且容易发生舞弊或欺诈事件，属审计高风险点，我们可经采用风险导向审计。对于同样的审计项目，由于公司所处的地区、行业、规模、内部控制体系建立程度等因素，可能会采取截然不同的两种方法，我们要根据被审计部门实际情况灵活运用。2.两种方法可以在一个大型审计项目结合应用。一个大型审计目，不一定只使用风险导向审计或内部控制评审，也可能两种方法结合使用。有可能总体上采用内部控制评审，但在局部采用风险导向审计。也有可能总体上采用风险导向审计，但在局部采用内部控制评审。3.可以根据工作需要，在两种审计方法之间切换审计过程中，也有可能由于内审人员对风险的喜好不同，具体到某一个审计项目，随着审计工作的开展，难免会对风险的识别和评估出现偏差。这时，我们可以发挥内审人员对本公司人和事都的优势，及时对风险再识别，再选择恰当的审计方法。如在原定的审计高风险上，由于风险识别会出现偏差，审计时发现被审计部门内控健全、执行有力，那原定的风险导向审计法可以改为内部控制评审法；相反，在一些原以为是审计低风险点，随着审计工作的推进，发现新的审计高风险点，那我们应该针对该部分审计内容采用风险导向审计法。4.如果从事前、事中和事后审计的角度来说，风险导向审计一般适用于事中、事前审计，内部控制评审一般适用于事后审计；风险导向审计是在经济、管理活动决策前或正在实施的时候进行的，通过风险导向审计，可以纠错防弊，改善管理，有助于实现