风险导向内部审计应用性框架构建探析
——以A集团为例
黄林泉 广东省出版集团有限公司
摘要： 面对日益复杂的国内外经济环境，企业能否有效应对来自内外部的各种风险甚至决定着一个企业的生死存亡。内部审计理应在企业风险管理中发挥更大作用。本文通过分析企业内部审计工作的现状及不足、介绍风险导向内部审计的主要思想，结合我国企业实际，探索构建了风险导向内部审计的应用性框架，旨在为风险导向内部审计在我国企业的应用和落地提供可操作性的实施框架。
关键词： 风险导向；内部审计；应用性框架
一、A集团内部审计工作现状与不足
(一)企业对内部审计目标、职能及审计对象定位的认识过于狭隘，在审计实施阶段也局限于主要对企业财务会计方面的审查。正如A集团年度审计计划中提到的，A集团对内部审计的目标基本定位为查错纠弊。而非具有风险管理意识的现代风险导向内部审计目标“改善企业风险管理、内部控制和公司治理过程的效果，从而改善企业的运营、增加企业价值，帮助企业实现其目标”。A集团对内部审计的审计对象的定位也局限于少量的内控检查和主要的财务检查，而非风险导向内部审计下的审计对象“对企业的风险管理、内部控制和公司治理过程进行审计”。这样一种对内部审计工作的定位及认识的局限势必会影响企业内部审计工作效果的发挥。A集团内部审计人员在审计实施阶段对内部审计项目的审计仍然较多停留在账务的审查上，很少接触到经营管理的其他领域，尤其是对企业的风险管理、公司治理方面关注较少。
(二)获取审计证据的审计程序过于单一，内部审计的技术、方法相对落后，内部审计工作底稿的编制随意性大，难以保证审计质量。A集团内审人员在审计实施过程中主要实施的是细节测试，较少实施控制测试和分析性程序。A集团内审项目组成员的工作底稿无可供参考的格式或模板，完全由内审人员随意编制，且这些工作底稿并不要求必须上交给A集团内审部门存档。内审人员只需提交一份内审报告给公司领导就可以了。这样导致内部审计工作的质量完全依赖于内审人员的个人素质以及工作的积极性、自觉性。
(三)内部审计报告描述性内容多，风险评价方面内容少，难以发挥帮助企业风险管理的作用。如对A集团某子公司的内部审计报告，其内容大部分为对该子公司企业基本情况介绍、企业的资产负债表、利润表内容的复述，描述性的内容多；而关于被审单位企业整体层面内部控制方面、具体业务层面内部控制方面、企业风险管理方面存在的问题及风险管理的建议方面的评价性内容则很少。
从各部件的应力图及其表1中的数据看出，对于推力杆头和销轴在受力一端处相较于约束一端应力值较大，而对于橡胶套来说则相反，其最大的应力出现在约束一端处，橡胶套的最大应力相对于其他部件小了两个数量级，不易造成失效。推力杆头的最大应力值是360 MPa，销轴的最大应力为225 MPa，大于推杆的材质45号钢的许用应力180 MPa，使用过程中可能最先发生失效，这一分析结果与实际故障位置是吻合的。
二、风险导向内部审计方法概述
随着经济社会的不断发展，产业分工越来越细，市场主体间的经济联系和协作关系越来越紧密。企业不仅会遇到来自内部的战略、运营、投资、财务等内部风险，也会面临来自外部的各种风险；不仅会受到国内宏观经济政策、行业竞争状况的影响，也会受到国际经济形势、国家间竞争形势、地区局势的影响。能否有效应对各种风险，甚至决定着一个企业的生死存亡。内部审计在企业风险管理中理应发挥更大作用。随着管理重心不断前移，内部审计也从以往的局限于账务审计、侧重于事后评价的财务审计逐步发展到关注未来风险、侧重于事前风险防范和事中控制的风险导向内部审计。
风险导向内部审计主要是指企业内审人员在内部审计的全过程都应关注企业风险，以识别、评估企业风险、提出风险管理建议为导向，根据风险高低水平排定项目的审计优先次序，依据风险确定审计范围与重点，并以此为基础制定符合被审计单位具体情况的审计计划。对企业的风险管理、内部控制和公司治理进行评价，进而提出建设性意见和建议，协助企业管理风险、实现企业价值增值。风险导向内部审计是降低审计风险和经营风险，进行风险管理的一种有效工具。
然而，目前对于风险导向内部审计的应用无论从理论上还是实务中都尚未形成具有可操作性、可以落地的、符合我国企业实际的“标准”应用框架指引。
三、风险导向内部审计应用性框架构建
(一)风险导向审计方法在A集团年度审计计划中的应用
风险导向审计方法下，A集团内部审计经理在编制年度审计计划时，应该以企业整体风险为基础，制定审计计划，确定内部审计活动的优先次序。包括以下三个步骤：
具体业务层面内部控制测试和评价大致分为如下七个步骤：①调查业务循环内部控制的基本情况；②绘制业务循环的流程图；③执行穿行测试；④绘制风险控制矩阵；⑤执行控制测试；⑥执行实质性测试；⑦对审计发现进行风险分析，提出风险管理的初步建议。
提出问题：基于上述情境，学生提出检索问题。如紫杉醇的成药历史、主要功效是什么？紫杉醇的提取方法有哪些，各有什么优缺点？如何提高紫杉醇的提取效率？合成紫杉醇的方法有哪些，各有什么优缺点？如何提高紫杉醇的合成收率？除了天然提取和化学合成，是否还有别的获取紫杉醇的途径，各种途径都有哪些优缺点?教师需要在一旁做引导，促使学生提出合适问题，同时避免学生偏离主题。
2)系统进行了弹体打击速度为1 100 ～4 200 m·s-1的30CrMnSiNi2A合金长杆钢弹侵彻花岗岩实验，测得了表面成坑参数和地冲击参数，验证了理论计算公式的准确性。
2.识别与评估影响企业目标实现的企业整体风险。风险识别的方法有很多，如“头脑风暴”法、情景分析法、专家调查法、分解法等；目前，学术界对于风险的评估方法主要有蒙特卡罗模拟算法、专家打分法、决策树法、机网络图法和影响图法等，其中专家打分法在实务操作中更胜一筹。
②汉江中下游部分地区灌溉条件大为改善。大坝加高并对灌区实行续建配套后，引丹灌区由抽水灌溉变为自流灌溉，襄阳市北部253万亩（15亩=1 hm2）农田基本避免旱灾，同时为沿引丹灌区的老河口市和襄阳市襄州区30多个乡镇提供了清洁水源。
3.根据风险高低确定重点审计单位，安排被审计单位优先次序，分配审计资源，制定年度审计计划。
(二)风险导向审计方法在A集团内部审计项目中的应用
1.项目审计计划阶段的应用
图7(a)是结合高速摄影仪和数字图像相关技术获得的冲击速度历史曲线。考虑到冲击速度低于某一临界值时，泡沫铝试件的压溃阵面可能不再局限在一个胞元的尺度上，冲击波模型不再适用，因此冲击速度低于该临界值的实验数据不用来参与拟合式(10)，本文临界速度取为Vc = 52m/s[14]。通过图7(b)、(c)和(d)可见，在实验考查的三种相对密度下，式(10)的拟合效果很好。拟合获得的参数b和c见表2。由式(11)和式(6)，可以进一步获得动态初始压溃应力和动态应变硬化参数D，见表2。
冲突检测与调整算法是一个多阶段的交互过程，每一个交互过程均通过识别冲突、调整冲突两个步骤来降低群体的冲突水平。
(1)了解被审计单位基本情况及其外部环境；
(2)列出影响被审计单位企业目标实现的备选风险要素；
(3)评估项目具体风险备选要素，确定关键风险要素；
(4)以项目具体风险和总体审计计划为基础制定项目审计计划，确定审计范围、审计重点。
2.审计实施阶段的应用
①以风险评估为基础提出审计意见和风险管理建议，出具审计报告；
通常，一个完整的内部控制框架(风险管理框架)应当包括企业整体层面的内部控制和具体业务层面的内部控制。因此，内部控制审计的内容可以分为企业整体层面的内部控制制度设计的合理健全性及运行的有效性，以及具体业务层面的内部控制制度设计的合理健全性及运行的有效性。
在COSO发布的内部控制整合框架与风险管理框架的基础上，基本可以将内部控制的五要素中的控制环境、风险评估、信息与沟通、监控等四个要素作为整体层面内部控制测试和评价的主要内容，而将与具体业务层面控制联系比较紧密的控制活动要素划归到具体业务层面内部控制测试和评价中。虽然，严格说来，五个要素之间是相互渗透、相互作用，共同对企业产生影响的。但是考虑到内部审计人员在实际审计工作中的可操作性，我们做出以上划分。
所以，风险导向内部审计方法下，审计实施阶段进行如下两个步骤：
隆化县农村金融服务主体较少，机构网点分布密度较低，数量不足。“政银企户保”模式下农村信用社发放小额贷款的比重较大，但农信社网点少，业务人员不足，ATM 机、POS机等设备数量稀少，金融服务落后。滞后的金融服务和金融覆盖空白区使金融精准扶贫的能力受到制约。并且隆化县农户信用体系建设滞后，农村金融在信贷资金、农业保险等领域的创新非常有限，现有金融产品与企业贷款需求不匹配，影响扶贫的精准性。随着保险在“政银企户保”模式中的地位凸显，相关的农业、产业保险对于保障贫困户利益起到重要的兜底作用，但农业产业的险种不健全、创新性不强，客观上阻碍了保险保障作用的进一步发挥。
(1)审计企业整体层面内部控制
3.审计报告阶段与后续审计工作
(2)审计具体业务层面内部控制
风险导向审计方法下，具体审计项目的审计计划应该以项目具体风险和总体审计计划为基础编制，确定审计范围、审计重点。包括如下几个步骤：
②征求被审计单位意见；
1.识别企业战略与目标。内部审计人员可以通过对企业外部环境、企业内部资源和能力的分析，对企业进行评估，确定企业的战略目标，从而进一步判断企业现行的企业目标是否科学、合理。其中的宏观环境分析我们可以使用PEST分析方法；行业环境的分析，则可以通过行业生命周期的分析、波特的五力模型进行分析；SWOT分析方法也是对企业进行评估的一种简单、实用的方法等。
在COSO发布的《内部控制——整体框架》的基础上，对企业整体层面内部控制的审计主要包括对以下四个方面的测试和评价：对控制环境的测试和评价、对风险评估的测试和评价、对信息与沟通的测试和评价及对监控的测试和评价。
(1)审计报告阶段的应用
风险导向审计方法下，内部审计人员要以对企业风险进行识别、评估为基础提出相应审计意见，提出风险管理的建议，出具审计报告，下达审计决定并通知被审计单位贯彻执行。可分为下列几个步骤：
由于学术界关于公司治理、风险管理、内部控制三者之间的关系仍存在争议，但大部分学者是认为三者虽各有所侧重，但三者间是密不可分，甚至可以视为完全相同的。本文作者赞同三者基本一致的观点。风险导向内部审计下对风险管理、内部控制和公司治理三个对象的审计不用分别进行审计，只需完整地对其中一个进行审计即可，只是审计过程中要体现风险导向的思想及方法。
目前，垦区已建成全国最大的绿色食品产业集群，北大荒品牌已成为中国农业第一品牌。2010年垦区有效绿色食品标志产品数量已达到257个，全国绿色食品标准化原料生产基地60个。同时，垦区可依托北大荒米业、北大荒丰缘麦业、九三粮油工业集团、完达山乳业、北大荒肉业和北大荒薯业等10大重点龙头企业，加快绿色食品生产基地建设，保证农产品生产与消费的安全。垦区通过现有的绿色产业体系可以在产业链下游对农业生产形成一定的约束，形成低碳农业与低碳产业的相互制约与联动机制，从而促进垦区农业向低碳化、可持续性的现代大农业的发展方向发展。
风险导向审计方法下，对业务活动层面的内部控制的测试和评价，主要是按业务循环组织实施审计的，主要包括：对采购与付款循环内部控制的测试和评价、对生产与仓储循环内部控制的测试和评价、对销售与收款循环内部控制的测试和评价等。
③下达审计决定并要求被审计单位贯彻执行。
(2)后续审计工作
后续审计是督促和保证被审计单位真正落实审计决定的重要环节，是切实发挥内部审计帮助防范和降低企业风险的“最后一公里”。后续审计工作主要包括下列几个过程：
①要求被审计单位定期上报审计整改报告，并核实风险管理建议落实情况；
在整合资料中发现，译者对日期表达翻译有错误。英语中表达“日”的时候应当使用的是序数词，简写的形式是基数词加上序数词最后两个单词，而不是只是写基数词。但大部分译文中都出现了此类错误。比如“1938年10月21日”译为“On October21,1938”，日期“21”后面没有加“st”。译者的失误可能让译文接受者产生理解上的偏差。
②剩余风险再评估；
高校创新创业教育课程建设质量监测与评价体系应反映出新时代高等院校的教育规律与创新创业教育课程体系建设和课程教学的客观规律。课程监测与评价指标体系的评价方式方法要具备科学性和可行性，要充分考虑到学生评价、教师自评、同行评价和第三方评估等因素，并在所构建的监测与评价体系的基础上对开展的课程质量做出全面而科学的评价。
③分析未整改的原因；
这不，课间操过后，蓬蓬发现猫猫有点儿撑不住了。按照猫猫的习惯，每个课间都要加点儿什么零食来安慰自己的肚子，课间操后，更是加餐的最佳时机。猫猫是决定了不吃零食的，不过，他的大脑虽然决定了，可他的身体并没有答应。所以，上音乐课的时候，猫猫在座位上扭屁股吊腰。
④撰写并提交后续审计报告；
⑤内部审计文件归档；
⑥对内审人员工作进行考核。
通过构建风险导向内部审计应用性框架，使得现代风险导向内部审计方法真正运用于企业，有利于改善A集团目前的内审工作，切实发挥内部审计防范和管控风险、助力实现企业目标的作用，也给我国其他企业具体实施风险导向内部审计提供参考和借鉴。
参考文献：
[1]张庆龙.中国内部审计发展中的几个现实问题思考[J].会计之友,2014(3).
[2]李俊林.企业实施风险导向内部审计的必要性与对策[J].会计之友,2010(5).
[3]闵爱诚,刘冬荣.风险导向内部审计在企业风险管理中的应用[J].中国内部审计,2009(3).
中图分类号： F239.5
文献识别码： A
文章编号： 1001-828X(2019)018-0176-02
标签：风险导向论文; 内部审计论文; 应用性框架论文; 广东省出版集团有限公司论文;