风险导向内部审计含义解析

　　风险导向内部审计的理论分歧

　　内部审计下的风险导向审计目前尚无统一的定义。第一种观点认为，把社会审计中的风险导向审计运用于内部审计就是风险导向内部审计，即内部审计人员立足于对审计风险的分析和评价，并以此为出发点，制定审计计划，实施审计行为的一种审计方法。

　　第二种观点认为，风险导向内部审计是指内审人员在审计过程自始至终都关注企业风险（不是审计风险）,依据风险选择项目，识别风险，测试管理者降低风险的方法，并以企业风险为中心做审计报告，协助企业管理风险。

　　上述两种观点是不一致的。不一致的含义会影响风险导向内部审计的推行和实施，那到底什么是风险导向内部审计呢？笔者认为，要全面认识风险导向内部审计的定义，应从审计风险和风险管理的区别谈起。

　　审计风险和风险管理

　　审计风险

　　什么是审计风险？学术界对此并没有统一的定义。《国际审计准则第25号——重要性和审计风险》将审计风险定义为，“审计人员对实质上误报的财务资料可能提供不适当意见的风险。”美国《审计准则说明第47号》认为：“审计风险是审计人员无意地对含有重要错报的财务报表没有适当修正审计意见的风险。”我国《独立审计具体准则第9号——内部控制与审计风险》认为：“审计风险，是指会计报表存在重大错报或漏报，而注册会计师审计后发表不恰当审计意见的可能性。”而《内部审计具体准则第17号——重要性与审计风险》则认为，“本准则所称的审计风险，是指内部审计人员未能发现被审计单位经营活动及内部控制中存在的重大差异或缺陷而做出不恰当结论的可能性。”

　　风险管理

　　克里斯蒂认为风险管理是企业或组织为控制偶然损失的风险，以保全所得能力和资产所做的一切努力。美国学者威廉斯和理查德？汉斯认为，风险管理是通过对风险的鉴定、衡量和控制，以最低的成本使风险所造成的损失控制在最低程度的管理方法。内部审计师协会认为风险管理是对影响组织以及财务目标的所有风险进行评估和响应的一种严格的、协调的方法。

　　风险管理和审计风险的区别

　　主体不同。企业风险管理的主体是企业，是企业的董事会、管理层或普通员工。审计风险的主体是审计机构和审计人员。

　　目的不同。风险管理的目标是控制和减少损失，提高有关单位或个人的经济利益或社会效果，风险管理是从企业的角度来管理和控制风险。审计风险是从审计机构和审计人员的角度，在实施审计项目过程中控制审计风险的目的是避免审计失败。

　　风险性质不同。审计风险由固有风险、控制风险和检查风险三个要素组成，虽然前两者与被审计单位的环境、业务复杂性、相关内部控制等有关，但是仅包括从审计角度出发与其有关的风险。风险管理关注的核心是企业风险，与审计风险中的“风险”相比，风险管理中“风险”的范围更加宽泛，涉及可能对企业战略和目标的实现产生影响的事件、行为和环境等等因素。

　　风险导向内部审计的内涵

　　有关审计风险的定义中，特别是内部审计具体准则的定义中，我们可以看出来，“审计风险”中的“风险”是指审计机构或人员承担的，与审计过程有关的各种风险事项。由此看来，风险导向内部审计中的“风险”也应指的是审计风险。

　　而从第二种观点的描述上看，所谓的“风险”不是单纯意义的“审计风险”，在更大意义上是指企业在生产经营过程中面临的各种企业风险，即那些可能对企业战略和目标的实现产生影响的事件、行为和环境，包括信贷风险、市场风险、技术风险、人事风险、经营风险等。由此可见，此时的内部审计已经成为结合内部审计和风险管理的一种有效工具，审计计划与公司最高层的风险战略连接在一起，内部审计人员通过对当前的风险分析确保其审计计划与经营计划相一致，将风险管理原则贯穿于审计的全过程。风险管理成为组织中的关键流程，内部审计重点不再是测试控制，而是确认风险及测试管理风险。换句话说，内部审计在继续发挥对内部控制的效率和效果的评价作用，促进控制的改善，帮助组织保持有效的控制的同时，更要参与风险管理，帮助组织发现并评价重要的风险因素，促进组织改进风险管理体系，它既可以作为公司管理者的指南，也可用作通报企业风险，进而满足控制、风险管理、信息交流、监督等多方面的要求。用这种观点来界定风险导向内部审计，会与内部审计具体准则对审计风险的定义相背。

　　笔者认为，在现有准则下，以第一种观点作为风险导向内部审计比较恰当，而第二种观点与其说是风险导向内部审计，还不如说是企业风险管理中的内部审计作用。