会计实务：基于风险管理的企业集团内部审计体系研究

基于风险管理的企业集团内部审计体系研究关于风险管理和其影响下的内部审计的研究，国内外学术界都给予了普遍的关注。2004年9月，美国科索委员会(COSO)正式出台了著名的ERM框架，该框架的公布掀起了全面风险管理的热潮，同时也引起了国际内部审计协会的高度重视，国际内部审计协会(IIA)就此框架发表了题为《全面风险管理的内部审计角色》的职位说明书。根据国际内部审计师协会的导向，我国内部审计协会也于2005年发布实施了《内部审计具体准则第16号——风险管理审计》，通过发布准则的方式引导国内企业内部审计进入风险管理导向审计阶段。与此相对应，内部审计体系应在风险管理对内部审计的影响的基础上，及时做出调整，来保障和推进风险导向内部审计的开展。但是内部审计体系建设是一项综合性、专业性比较强、需要循序渐进的工程，不能一蹴而就。因此，对于大型企业集团可首先以集团整体为出发点，在明确企业战略发展重心、内部审计定位、职能，充分掌握其新的特征的基础上，合理制定中长期建设规划，再循序渐进推进建设工作。在此过程中，与风险管理和内部审计相关的企业文化、知识技能、审计模式和组织架构、资源分配、审计规范等问题将逐步改善，随着这些问题的逐步改善，企业内部审计体系建设也将进入一个良性的循环，进一步向其他业务领域推广也必将事半功倍、水到渠成。

随着企业面临风险的多样化，要想使企业内部审计充分发挥其作用，就需要在企业内部尤其是集团企业内部建立起完善高效的内部审计体系。一般来说，一个完整的内部审计体系包括审计模式、机构设置、审计规范、资源配置、流程和方法、绩效考核等六个方面。

选择与企业内部管控模式相匹配的审计模式

按照目前的母子公司管控理论研究，集团管控模式一般分为三种类型，即财务管控型、运营管控型和战略管控型。在不同的管控模式下，因为企业的管控目标和手段不同，因此与其相匹配的内部审计的审计目的、审计方法和审计内容也都不尽相同。具体内容如右下表1所示。

企业应当在确定适合自身情况的管控模式后，选择并确定相应的审计模式。

机构设置

目前国内企业集团内部审计机构的设置，主要有以下几种模式：

(1)审计部由财务负责人分管。在该种模式下，内部审计人员根据单位财务负责人要求开展工作，审计机构的独立性较弱，组织层级较低，职责范围一般为财务收支审计，很难实现内部审计的目标。

(2)审计机构由总经理分管。在这种模式下，审计工作容易得到行政支持，便于审计工作开展，但同时容易缺乏权威性和独立性，无法监督管理层经济决策及经济行为。

(3)审计机构由监事会分管。在这种模式下，审计机构根据监事会要求履行相关监察职能，审计机构独立性较强，组织层级较高，但在实践中往往不容易得到行政支持，不容易实现审计目的。

(4)审计机构由董事会分管。在这种模式下，审计机构由董事会分管，并接受审计委员会的监督，组织层级较高，权威性和独立性较强，有利于审计人员开展工作。

审计规范

内部审计规范应当是为实现内部审计目标而建立的，由实践中形成，同时又指引着实践行动。一般来说，作为根据目标而事前制定的行为依据，内部审计规范规定了哪些内部审计行为可行、应如何进行等各种问题，从而可以让内部审计行为能够规范进行，确保各类审计目标的实现。

中国内部审计师协会颁布的《内部审计人员职业道德规范》将从事内部审计工作的专业人员职业道德规范明确定义为：“是内部审计人员职业素质、品德、专业胜任能力以及职业责任的总称”。

资源配置

资源配置主要包括人力资源配置和信息技术配置。

(1)人力资源配置。现代内部审计对内部审计人员的要求越来越高，呈现出新的特点。首先，内部审计部门负责人必须能够获得董事会和经理层的绝对支持，满足内部审计工作利益相关者的不同预期，在有限的预算范围内改善企业业绩，为企业增加价值，为企业提供较高价值的咨询服务，并有良好的职业操守。其次，内部审计人员必须有丰富的行业知识背景、良好的沟通能力、项目管理经验、团队精神、信息技术能力、识别并评估风险的能力和良好的职业操守。

(2)信息技术配置。目前ERP已经在大多数企业集团被广泛应用，在此基础上，要能够高效开展内部审计工作，就要给内部审计人员提供充分的软硬件方面的信息技术保障，开发符合企业运营实际的计算机辅助审计工具、审计业务管理系统，并且实现同企业现有的ERP和风险管理软件无缝对接。

审计内容和流程

现代内部审计在风险导向下增加了风险管理审计这一重要内容。

基于这一导向，内部审计的一般流程为：

(1)在审计计划阶段，内部审计应从企业的战略分析入手，在对业务流程进行分析的基础上进行风险识别和风险分析，在充分考虑企业内部审计资源后，确定审计重点和审计频率，制定企业内部审计计划。

(2)在制定审计计划后，内部审计机构应根据董事会和管理层关注的审计范围、监管部门的有关要求、经营环境的变化、流程或运营体系的改变等因素重新进行风险评估，对审计计划进行适度调整。

(3)在审计实施阶段，内部审计机构应根据审计计划阶段初步确定的审计计划，按照规定的程序开展审计项目的现场审计和审计报告的撰写功过。在实际操作中主要从事评价实际产生的风险以及应对风险的效果，即对风险控制设计的合理性和执行有效性进行评价。

(4)按规范的程序出具审计报告并向主管领导或组织进行汇报，并抓好审计报告和审计意见的贯彻落实工作，根据工作需要开展后续审计工作。

审计方法

随着审计实务中计算机技术和概率知识的广泛应用，审计抽样和仿真模型逐渐成为内部审计中非常实用的重要方法。

(1)审计抽样。随着理论研究的不断深入，现代内部审计实务中已经开始大量采用审计抽样技术。所谓审计抽样就是从被审计总体数据库中抽取一定数量有代表性的样本进行测试，以样本审查结果推断审计总体特征并得出对应结论的一个过程或方法。在目前国际上研究的审计抽样模型中，美国著名的跨国公司——杜邦所采用的“沸腾壶”(BoilingPot)模型是被诸多企业所采用。

(2)仿真模型。仿真模型是指用计算机来表示一个具有随机变量的问题，其主要优点是仿真模型在必须做出决策之前能够预测各种管理决策的结果。和决策树及某些其他工具不同，仿真模型只是根据某个专项问题，产生了用数据表示的输出结果，模型本身并不能给出最优的策略。管理者应分析所有可能的策略选择，然后利用仿真模型分析每种策略和每个选择。

绩效考核

设计完善的绩效考核办法不但能够积极促进内部审计机构完成工作任务，而且能够有效激发内部审计人员的工作积极性。一般来说，内部审计绩效考核办法应包括以下几个方面的内容：

(1)考核的原则和标准。内部审计工作考核应实行定性和定量相结合、业绩考核和工作考核相结合、内部自评和外部考评相结合考核的总体原则。

内部审计考核的标准分为以下几类：首先，审计署和内部审计协会颁布的《内部审计暂行规定》、《内部审计实务准则》等规定、准则和道德规范是衡量企业内部审计工作的主要标准。其次，内部审计章程和工作手册等内部审计规范是衡量企业内部审计工作的关键性文件，它明确规定了企业内部审计工作的宗旨、目标、职责范围、拥有的权限，以及审计工作的独立性。

(2)考核的方法和过程。考核评价的主要方法和过程为：内部审计人员进行自我评价，然后由负责考核的部门向董事会或管理层及被审计单位发放调查表，进行审后调查，由高层和被审计单位对审计工作进行评价。此外，也应当利用外部审计机构的审计报告或审计意见等，对内部审计机构工作采取量化计分或指标比较法。

(3)考核的内容。内部审计的工作业绩主要包括企业风险的降低、运营效率的提高、价值创造和职业道德的遵守。结合不同时期企业的发展情况，考核评价内容还应