一、風險導向?qū)徲嬙趦?nèi)部審計中的定位
?。ㄒ唬╆P(guān)于風險導向?qū)徲嫸ㄎ坏睦Щ蟆Ｖ袊鴥?nèi)部審計協(xié)會自2006年開始正式提出“內(nèi)部審計轉(zhuǎn)型”這一倡議以后，全國不少企事業(yè)單位和政府機關(guān)的內(nèi)部審計機構(gòu)，都不同程度地開始實施內(nèi)部審計的轉(zhuǎn)型工作。這帶來的問題是，原來一直開展的財務審計、經(jīng)濟責任審計工作，是不是都要轉(zhuǎn)型，就成為一個令人困惑的事情。因為，可能存在以下三種不同的理解：第一，建立一個以風險評估為主要工作內(nèi)容的內(nèi)部審計模式；第二，在原來內(nèi)部審計工作體系中，增加風險導向?qū)徲嫷拈T類，財務審計等原有的審計形式繼續(xù)保留；將原來的財務審計等審計形式進行改造，添加風險導向的額外的審計程序。在這三種理解中，事實上，只有第一種理解才是準確的。
（二）應當建立“適度”轉(zhuǎn)型的觀念。在建立以風險評估為主要工作內(nèi)容的內(nèi)部審計模式以后，在內(nèi)部審計運行中，風險導向?qū)徲嬇c原來的有關(guān)審計形式仍然是并存的。從時間上看，風險導向?qū)徲嬎嫉谋壤?，隨著時間的推后，會越來越多。有一種可能，風險導向?qū)徲嬁赡艹蔀閮?nèi)部審計的唯一內(nèi)容。在西方國家列入世界500強的企業(yè)中，風險導向?qū)徲嬕堰_到了空前絕后的繁榮程度。而這種繁榮帶來的一個顯著問題是，西方國家的許多企業(yè)，在將財務審計外包之后，上市公司的各種財務舞弊事件層出不窮?！鞍踩皇录焙?，在美國華爾街所發(fā)生的一系列財務造假事件，再一次告誡人們：外部審計并不能解決財務造假的全部問題，而實際上，內(nèi)部控制更為重要。這就促成了美國國會在2002年頒布了《薩班斯・奧克斯利法案》，其中，最具有代表性的是，404條款為美國改革企業(yè)制度提出了更高的要求，即：企業(yè)要建立健全內(nèi)部控制制度，并且由企業(yè)的管理層進行評估以及由注冊會計師進行審計。盡管在該法案中并沒有對內(nèi)部審計應當審查財務報表提出要求，但是，強化審計委員會的財務控制職能，也體現(xiàn)了對財務審計的某種要求。這意味著，過度的風險導向?qū)徲嬁赡軙摺盎仡^路”。在近幾年，被媒體曝光的或者被追究責任的一些國外的造假公司，其財務總監(jiān)幾乎都在抱怨他們沒有對財務資料進行審計的權(quán)利。這種情況應當引人深思。即：在我國，實現(xiàn)完全轉(zhuǎn)型的風險導向?qū)徲嫞赡芊艞壺攧諏徲嫽蛘呓?jīng)濟責任審計等傳統(tǒng)的審計形式，這是不考慮國情以及內(nèi)部審計行業(yè)情況的做法，其后果是不堪設想的。顯然，在我國國家審計的審計覆蓋面還比較小的情況下，一味推行全面的轉(zhuǎn)型，是不切實際的，是違背客觀規(guī)律的。同樣，如果完全都不實施轉(zhuǎn)型，我國內(nèi)部審計的整體水平將無法提高，也無法在國際化的背景下與國外同行進行交流，將產(chǎn)生發(fā)展嚴重滯后的局面。因此，至少在目前，我國企業(yè)在實現(xiàn)內(nèi)部審計的轉(zhuǎn)型時，應當建立“適度轉(zhuǎn)型”的觀念。
?。ㄈ﹥?nèi)部審計轉(zhuǎn)型在個體上的差別化應當是一個趨勢。有一種認識是，所有企業(yè)都應當快速實現(xiàn)內(nèi)部審計的轉(zhuǎn)型，實際上這是一種錯誤的認識。企業(yè)的規(guī)模、性質(zhì)、業(yè)務特點以及管理基礎等方面千差萬別，實施“一刀切”式的內(nèi)部審計轉(zhuǎn)型，是一種盲目的、不計后果的做法。正確的做法是，考慮企業(yè)的實際情況，適時分步驟實施風險導向?qū)徲?。高風險企業(yè)（如：金融企業(yè)，房地產(chǎn)企業(yè)等）應當盡快實現(xiàn)內(nèi)部審計的轉(zhuǎn)型；大型企業(yè)應當在下屬企業(yè)試點獲得經(jīng)驗后推行風險導向?qū)徲?；對于中小型企業(yè)，則應當結(jié)合企業(yè)的實際，在適當?shù)臅r點上，針對重要業(yè)務或者高風險業(yè)務，開展局部的風險導向?qū)徲嫛?
二、風險導向?qū)徲嬒碌膬?nèi)部控制的自我評價
在傳統(tǒng)的觀念中，內(nèi)部審計是企業(yè)內(nèi)部控制的一個重要環(huán)節(jié)。在美國COSO委員會1992年所發(fā)布的報告《內(nèi)部控制――整體框架》中，也能夠比較清晰地反映這種關(guān)系。在COSO委員會2004年所發(fā)布的《企業(yè)風險管理――整體框架》中，內(nèi)部審計又增加了多個風險評估的內(nèi)容。那么，在風險導向?qū)徲嫷哪Ｊ较?，?nèi)部審計如何處理與內(nèi)部控制、風險評估的關(guān)系呢？
?。ㄒ唬﹥?nèi)部審計屬于內(nèi)部控制而又高于內(nèi)部控制。在《內(nèi)部控制――整體框架》中，內(nèi)部控制的“五要素”就包含了“監(jiān)控”這一要素，其中，也有內(nèi)部審計的成分。從工作屬性角度看，內(nèi)部審計也的確解決企業(yè)的“控制”問題，能夠?qū)崿F(xiàn)內(nèi)部控制的目標。在傳統(tǒng)的理解上，人們也通常將內(nèi)部審計作為內(nèi)部控制的一部分來看待。而另一方面是，內(nèi)部審計擁有評價企業(yè)內(nèi)部控制的授權(quán)，并將評價內(nèi)部控制作為一項重要的工作。我國的內(nèi)部審計準則中，也有多個具體準則涉及到這個內(nèi)容。如，《第5號：內(nèi)部控制審計》，《第21號：內(nèi)部審計的控制自我評估法》。內(nèi)部審計既屬于內(nèi)部控制，又評價內(nèi)部控制，實際上這并不矛盾。如，會計工作即包括會計核算，又包括會計監(jiān)督，由會計的一部分去監(jiān)督另外一部分，這并不奇怪。因為，它表明了內(nèi)部控制通過內(nèi)部審計實現(xiàn)了自我免疫。從這個意義上看，內(nèi)部審計即屬于內(nèi)部控制又高于內(nèi)部控制，至少超越了控制系統(tǒng)中的其他部分。問題是，在內(nèi)部審計處于這樣一個特殊地位的情況下，它對內(nèi)部控制的評價有沒有“獨立性”？如果沒有獨立性，這可能意味著這個“評價”是沒有意義的?；趦?nèi)部審計在企業(yè)中并沒有經(jīng)濟資源支配權(quán)的情況，斷定內(nèi)部審計具有相對的“獨立性”應當是沒有問題的。
（二）內(nèi)部審計應當從風險管理走向?qū)︼L險管理的審計。在傳統(tǒng)意義上，內(nèi)部審計是以財務審計作為主要內(nèi)容的。后來，股份公司大量出現(xiàn)，產(chǎn)生了對信息公開的要求，這時，在內(nèi)部審計對外缺乏應有公信力的情況下，才出現(xiàn)了聘請注冊會計師實施公司財務審計的現(xiàn)象。顯然，一旦審計外包，內(nèi)部審計的財務審計功能將可能蛻化。問題是，如果沒有財務公開的要求，內(nèi)部審計從事財務審計工作并沒有什么不妥。目前，由于相當一部分企業(yè)按照有關(guān)要求聘請注冊會計師實施了審計，因此，內(nèi)部審計的轉(zhuǎn)型――實施風險導向?qū)徲?，才成為需要解決的問題。在內(nèi)部審計需要進行風險管理審計的情況下，如果企業(yè)沒有風險管理專門機構(gòu)，或者沒有其他的機構(gòu)進行企業(yè)風險管理的統(tǒng)一組織與協(xié)調(diào)，這時，內(nèi)部審計機構(gòu)將考慮承擔此項任務。這意味著，內(nèi)部審計機構(gòu)應當一肩兩任，既要從事風險管理的組織與領導工作，又要對風險管理進行評價。顯然，第一項工作并不應當屬于內(nèi)部審計的工作。在《企業(yè)風險管理――整體框架》中，建議采用的組織構(gòu)架是：企業(yè)由首席執(zhí)行官作為風險管理的第一責任人；設立獨立的風險管理部門；內(nèi)部審計機構(gòu)對風險管理進行評價。在企業(yè)風險管理的體系中，內(nèi)部審計整體上處于從屬地位。
?。ㄈ﹥?nèi)部審計應當實現(xiàn)從內(nèi)部控制審計到風險管理審計的跨越。在實施風險導向?qū)徲嫷臈l件下，對內(nèi)部控制的審計，不能僅僅局限在傳統(tǒng)意義上。過去對內(nèi)部控制評價，主要是為審計實施實質(zhì)性測試提供手段，而這種評價本身只是一種手段，而不是目的。在實施風險導向?qū)徲嬕院?，風險管理的體系已經(jīng)融合了過去的內(nèi)部控制的內(nèi)容。在《企業(yè)風險管理――整體框架》中，核心內(nèi)容仍然是內(nèi)部控制的內(nèi)容，而且其保留了《內(nèi)部控制――整體框架》60%以上的內(nèi)容。其中的“四大目標”有三個是內(nèi)部控制目標，“八大要素”有五個是內(nèi)部控制要素。從這個意義上講，無論怎樣理解風險管理，都不能脫離內(nèi)部控制這條主線。同樣，內(nèi)部審計的轉(zhuǎn)型，從傳統(tǒng)的財務審計為主，到風險導向?qū)徲?，?nèi)部控制的概念可能弱化了，是以風險管理的視角來考慮過去的內(nèi)部控制問題，由于將控制對象的所有不利后果理解為“風險”，將有利后果理解為“機會”，既要預防“風險”，又要把握“機會”，比以往的內(nèi)部控制僅僅控制不利后果的“風險”，而不去考慮“機會”，無疑前進了一大步。
三、企業(yè)風險導向?qū)徲嬆Ｊ降臉?gòu)架設計
一旦實施風險導向?qū)徲嫞@將意味著內(nèi)部審計工作內(nèi)容的拓展。傳統(tǒng)的內(nèi)部審計流程，在實施風險導向?qū)徲嫼笥性S多方面顯得不太適應。以會計流程為依托的財務審計流程，它的資料獲取比較簡單，而風險導向?qū)徲媱t面臨業(yè)務范圍不清、部門分工不明、流程規(guī)范缺失以及組織體系零散等問題。設計風險導向?qū)徲嬆Ｊ降臉?gòu)架應當做好以下工作：
?。ㄒ唬┮灾贫葹橄葘АＴ谄髽I(yè)實施風險導向?qū)徲嬆Ｊ绞且粓龈锩?，這場革命可能引起原有組織結(jié)構(gòu)、權(quán)利格局和人員崗位及其職責的改變，如果沒有必要的制度進行規(guī)范，將可能使風險導向?qū)徲嬏幱跓o序狀態(tài)。這里的制度應當是一個體系，最高層次是以單位名義制定的風險管理制度，其次是以部門（如內(nèi)部審計機構(gòu)）制定的專業(yè)性的規(guī)章，再次是依據(jù)前述規(guī)章制定的有關(guān)作業(yè)規(guī)程。在這個制度體系中，應當明確內(nèi)部審計機構(gòu)的組織地位，特別是授權(quán)在尚未設立風險管理部門的條件下，由內(nèi)部審計機構(gòu)負責進行有關(guān)事項的組織與協(xié)調(diào)。
（二）以機構(gòu)為依托。在可能的情況下，應當建立風險管理機構(gòu)，這是一個比較規(guī)范的組織形態(tài)。我國和大多數(shù)國家的金融機構(gòu)，基本上都設立了風險管理專門機構(gòu)，這對于加強風險管理無疑具有積極的意義。在這種狀態(tài)下，內(nèi)部審計機構(gòu)可以以評估風險管理作為重要工作，而不必考慮更多的風險管理的組織與協(xié)調(diào)問題。在設立專門機構(gòu)以后，對各個部門的風險管理崗位設置也應當提出要求，配備風險管理專員是一個可行的辦法。從機構(gòu)到人員，將形成一個網(wǎng)絡狀的風險管理組織體系。
?。ㄈ┮粤鞒虨橹改稀τ趦?nèi)部審計機構(gòu)而言，在風險管理評估方面，應當設計具有一定可行性的流程，這個流程應當嵌入到風險管理的相關(guān)業(yè)務之中。該流程應當依據(jù)業(yè)務的類型設計，應當是一個立體的三維結(jié)構(gòu)：第一維是風險管理的“四大目標”，第二維應當是風險管理的“八大要素”，第三維應當是三級組織構(gòu)架（企業(yè)整體層級，部門層級和崗位層級）。在三維的立體結(jié)構(gòu)下，風險導向?qū)徲嬎度氲母鱾€具體業(yè)務，都應當分階段分業(yè)務環(huán)節(jié)進入這個系統(tǒng)，并且實現(xiàn)對風險管理過程的評價。其中，最重要的是，對業(yè)務各個環(huán)節(jié)的風險進行識別、評估和提出應對措施。
?。ㄋ模┮匀藛T為主體。在風險導向?qū)徲媽嵤┑倪^程中，內(nèi)部審計人員是主體。風險導向?qū)徲媽嵤┑男Ч诤艽蟪潭壬先Q于內(nèi)部審計人員的勝任能力。而這里的“勝任能力”，主要可以通過以下方面體現(xiàn)：具有實施風險導向?qū)徲嫷幕局R與技能；具有對相關(guān)業(yè)務的清晰認識和理解；具有對風險事件敏銳的洞察能力和分析能力；具有對企業(yè)內(nèi)部各個有關(guān)方面的協(xié)調(diào)能力等等。為了獲得相關(guān)能力，內(nèi)部審計人員可以參加行業(yè)內(nèi)的交流、業(yè)務培訓和參與相關(guān)業(yè)務活動，這些都不失是一個好辦法。
