[摘 要]風險審計不同于審計風險，是隨著企業(yè)內(nèi)、外環(huán)境的變化，競爭的日趨激烈及審計學科自身發(fā)展的需要而應運而生的。風險審計的定義、目標、意義、策略是風險審計研究的主要內(nèi)容。

[關鍵詞]企業(yè) 風險審計 研究 策略

面對變化莫測的市場，企業(yè)面臨著多種多樣的不確定因素，重視風險、管理風險已經(jīng)成為現(xiàn)代企業(yè)經(jīng)營管理的迫切要求。實施風險審計，不僅有助于提高企業(yè)抗風險的能力，而且還能幫助企業(yè)更好的應付由于市場環(huán)境以及企業(yè)內(nèi)部環(huán)境帶來的各種不確定性，有助于提高審計在企業(yè)管理結構中的重要性。

一、 企業(yè)風險審計的內(nèi)涵

風險審計是一種職業(yè)工作，它是企業(yè)內(nèi)部審計師通過測試風險管理的有關方面，對風險程度及管理情況做出鑒別、評價，以實現(xiàn)企業(yè)運營目標。風險審計肩負著為戰(zhàn)略決策及戰(zhàn)略目標的實現(xiàn)提供信息保證的重任，所以要求審計人按照審計準則、職業(yè)道德進行執(zhí)業(yè)，注意控制審計質(zhì)量，降低審計風險。

二、企業(yè)風險審計的目標

審計目標的確定受幾個因素的影響，按照劉明輝教授的觀點：“需求是影響審計目標的根本因素”；“審計能力是影響審計目標確定的決定性制約因素”；“環(huán)境的制約使審計目標成為現(xiàn)實的目標縱¨。企業(yè)首席審計執(zhí)行官（CAE）及有關審計師在確定風險審計目標時，應該結合組織需要的重要程度、迫切程度，從企業(yè)實際環(huán)境條件出發(fā)，參考企業(yè)自身的能力和資源，合理安排。

（1）企業(yè)風險審計的總目標

總目標是指審計主體通過審計活動所期望達到的境地或最終結果。企業(yè)風險審計的總目標是審計部門和審計師按照組織風險管理方針和策略的部署，以風險管理目標為標準，審核被審計部門在風險識別、評價、管理等方面的合理性和有效性，于損失發(fā)生之前能作出最有效安排，使損失發(fā)生后所需要的資源，與保持有效經(jīng)營必要的資源，能達成適度平衡，幫助組織實現(xiàn)目標。

（2）企業(yè)風險審計的具體目標

審計具體目標是總目標的具體化，并受到總目標的制約。審計具體目標包括一般審計目標和項目審計目標。一般審計目標是進行所有項目審計均必須達到的目標；項目目標是按每個風險管理項目分別確定的目標。一般審計目標適用于所有項目的審計，項目審計目標則只適用于某一特定項目的審計。

（3）企業(yè)風險審計的一般審計目標

1.風險范圍確定的合理性：包括戰(zhàn)略范圍、組織范圍、業(yè)務范圍、風險范圍；2.風險評價標準與指標體系的科學性：評價基礎、評價方法、評價內(nèi)容、指標計算；3.風險識別、評價的科學性：主要審核如下方面：按照審計確定的風險范圍，核實風險識別是否全面；風險各級分類的合理性；可控風險、不可控風險確定的科學性；4.風險管理措施、方法與程序的合理性；5.風險實際處理的合理性。

三、 企業(yè)風險審計的意義

關于風險審計的意義，人們進行了有益的探索?！镀髽I(yè)風險審計》指出：一項研究對內(nèi)部審計人員提供的910份調(diào)查報告進行了分析，結果發(fā)現(xiàn)，63%的報告都把以下四點作為最常見的風險因素：（1）沒有對經(jīng)營的業(yè)績進行定期的、獨立的審查；（2）內(nèi)部控制方法不當；（3）授權與分工的方法不恰當；（4）對資產(chǎn)、記錄、計算機程序及數(shù)據(jù)文件等的接觸缺乏權限控制。

由于這些風險因素的存在，定期監(jiān)督審核是必要的。對風險和控制有效性的持續(xù)審核應是適當?shù)?，由于?jīng)營及人員都會發(fā)生變動，風險以至隨之的后果和可能性也要變動，最為有效的控制能隨時間的變動而改變。對于變動最多、風險最大的地方要對風險管理全過程施行嚴密、頻繁的監(jiān)測和評價。IIA《內(nèi)部審計實務標準》新近增加了內(nèi)部審計對風險管理的風險識別、分析評價、措施與方法等信息提供“保證”的功能。

內(nèi)部審計是風險管理的一種方法、一種手段，而風險管理則是內(nèi)部審計的一項新的內(nèi)容、一個新的領域。從發(fā)展趨勢來看，內(nèi)部審計不僅越來越關注風險，同時，也是風險管理的重要組織部分。內(nèi)部審計更強調(diào)確認經(jīng)營風險是否得到有效管理，由對交易事項和政策的遵循的評價，轉變?yōu)閷δ繕?、?zhàn)略和風險管理程序的關注；內(nèi)部審計的建議更加強調(diào)風險的規(guī)避、風險轉移和風險控制，通過有效的風險管理提高組織整體管理的效果和效率。對于現(xiàn)代企業(yè)來說，風險無處不在。內(nèi)部審計的責任就是找出組織的主要風險。內(nèi)部審計介入風險管理的主要原因：（1）內(nèi)部審計機構有獨特的位置；（2）內(nèi)部審計師更了解組織的高風險領域；（3）內(nèi)部審計師對于組織目標的實現(xiàn)有更強的責任感。

IIA將“評價和改進風險管理、控制和治理過程的效果”作為內(nèi)部審計的重要職責，視風險管理為內(nèi)部審計的推動力，是國際內(nèi)部審計幾十年苦苦探索的經(jīng)驗總結，更為內(nèi)部審計未來發(fā)展指明了方向。

四、操作企業(yè)風險審計策略研究

操作風險的審計有其自己的特點，因為任何一家企業(yè)在開展新業(yè)務或新系統(tǒng)剛上線時，由于規(guī)章制度不完善、員工操作經(jīng)驗不足、管理上的漏洞等因素，都會使得出現(xiàn)操作風險的概率較高。如果這些問題逐步解決，就會使操作風險的頻率降低。不過，當已有的系統(tǒng)開始老化和現(xiàn)有的市場經(jīng)濟環(huán)境發(fā)生變化后，原有的規(guī)章制度與系統(tǒng)已經(jīng)不適用已經(jīng)發(fā)生新變化的運營環(huán)境，此時的操作風險又可能重新上升。

（1）能夠客觀地、全面地管理風險

風險在企業(yè)內(nèi)部有一定的復雜性與綜合性特征，即一個部門造成的風險或疏于風險管理所帶來的后果往往不是由其直接承擔，而是傳遞到其他部門，最終可能使整個企業(yè)陷人困境。因此，有些部門可能會出現(xiàn)過度道德風險。如采購部門為降低采購成本，就會忽視對材料品質(zhì)、使用效果等方面的檢查，或者有意購買殘次品。這種隱蔽的風險最后會在產(chǎn)品生產(chǎn)或消費過程中反映出來，最終給企業(yè)造成巨大損失，因此對風險的防范、控制需要從整個系統(tǒng)進行綜合考慮。但各部門受專業(yè)的局限較難做到，而內(nèi)部審計部門不從事具體業(yè)務活動，可以從全局出發(fā)，從客觀的角度對風險進行識別，及時預警管理部門采取措施規(guī)避風險。

（2）控制、指導企業(yè)的風險策略

由于內(nèi)部審計部門處于企業(yè)的董事會、管理層和各職能部門之間，能夠充當企業(yè)長期風險策略和各種決策的協(xié)調(diào)人，通過參與計劃編制與實施過程的監(jiān)督，可以調(diào)控、指導企業(yè)的風險管理策略。內(nèi)部審計通過將風險管理評價作為審計工作的重點，以檢查、評價風險管理過程的充分性和有效性。

評價風險管理主要目標的完成情況。主要表現(xiàn)在評價公司以及同行業(yè)的發(fā)展情況和趨勢，確定是否可能存在影響企業(yè)發(fā)展的風險；檢查公司的經(jīng)營戰(zhàn)略，了解公司能夠接受的風險水平；與相關管理層討論部門的目標、存在的風險以及對降低風險和加強控制的活動評價及有效性；評價風險監(jiān)控報告制度是否恰當；評價風險管理結果的充分性和及時性；評價管理層對風險的分析是否全面等。

評價管理層選擇的風險管理方式的適當性。每個公司應根據(jù)自身活動來設計風險管理過程。內(nèi)部審計人員的職責是評價公司風險管理方式與公司活動的性質(zhì)是否適當。

（3）樹立風險管理理念

對企業(yè)操作風險進行審計要樹立正確的操作風險管理理念。風險管理理念就是以什么樣的思想來指導操作風險管理，因此，對操作風險有怎樣的認識，就會有怎樣的操作風險管理理念。對操作風險片面、錯誤的認識只能造成企業(yè)在進行審計時偏離正確的方向，弱化審計在操作風險管理中的作用。

企業(yè)高級管理層要對操作風險審計認識到位。企業(yè)業(yè)在操作風險管理上存在一個錯誤理念，即重視對基層操作人員的管理，輕視對高級管理人員的管理。在他們看來，只有基層操作人員才有發(fā)生操作風險的可能，因此，企業(yè)內(nèi)部審計部門的主要精力放在了基層操作人員身上，而對高層管理人員僅有離任審計，沒有日常的稽核監(jiān)督。但從企業(yè)業(yè)的現(xiàn)實來看，高層管理人員引發(fā)的操作風險要遠遠大于基層操作人員引發(fā)的操作風險。企業(yè)高級管理人員要擺正業(yè)務拓展與執(zhí)行制度之間的關系，拓展業(yè)務要以依法合規(guī)經(jīng)營為前提。

企業(yè)的高級管理人員要遵守法律和各種規(guī)章制度，擺正權力與制度的關系，權力不能凌駕于制度之上。企業(yè)高級管理人員在經(jīng)營管理過程中要對照制度對自己的決策進行自查，及時修正，不斷檢查自己的行為。在此基礎上，企業(yè)高級管理人員要加強對企業(yè)員工的教育，定期組織企業(yè)員工學習崗位操作規(guī)程和各項規(guī)章制度，讓企業(yè)員工掌握各項制度，理解操作規(guī)程和規(guī)章制度的內(nèi)涵，增強執(zhí)行制度的自覺性和必要性，使每個企業(yè)員工都對操作風險有正確的認識，盡量從人的因素方面減少企業(yè)操作風險發(fā)生的可能性。

企業(yè)要強化內(nèi)部審計，充分發(fā)揮內(nèi)審部門的作用。內(nèi)審部門針對企業(yè)操作風險的特點，確定審計目標，通過自律監(jiān)管審計和內(nèi)部控制審計，采用排查法，開展重點審計。內(nèi)審部門要運用常掌握的信息和非現(xiàn)場審計發(fā)現(xiàn)的疑點，對企業(yè)具體操作崗位和企業(yè)員工進行定期排查，及時掌握具體業(yè)務部門的動態(tài)，對可疑崗位和人員進行重點審計，發(fā)現(xiàn)問題及時采取措施，防范操作風險。

企業(yè)的內(nèi)審部門在實行日常審計監(jiān)督的基礎上，還要開展突擊審計。內(nèi)部審計部門要有效利用電腦審計軟件，利用計算機定期對企業(yè)的業(yè)務部門進行非現(xiàn)場審計。對Et常開展的審計項目分單位建立審計檔案，實行El常審計監(jiān)督后，綜合分析可能存在操作風險的具體業(yè)務部門和員工，開展突擊審計，以解決操作風險防范隱蔽性、預警性差的問題。此外，企業(yè)內(nèi)部審計部門還要建立舉報制度，適時開展審計。由于操作違規(guī)事件具有偶然性、隱蔽性的特點，因此，要把實行舉報制度作為企業(yè)正常內(nèi)部審計的補充形式。建立舉報制度就是要公開舉報電話，設立舉報箱，實行舉報保密制度，對敢于舉報違規(guī)行為的舉報人在進行保護的同時，給予表彰獎勵。審計部門要充分運用這一手段，及時查處和發(fā)現(xiàn)可能給企業(yè)帶來的操作風險?？傊?，企業(yè)的內(nèi)部審計部門要建立起與企業(yè)面臨的操作風險相適應的內(nèi)部審計的具體程序和規(guī)則，及時發(fā)現(xiàn)和防范企業(yè)操作風險。

五、 結語

目前，我國對風險管理、企業(yè)風險審計的實施還處于初級階段，很多企業(yè)并未真正實施風險管理審計，但風險審計對企業(yè)的作用卻日益突出，把風險審計納入審計工作范圍中，這就需要我們內(nèi)部審計積極投入到這一領域的探索與實踐之中！

參考文獻：

[1] 楊玉華. 內(nèi)部審計的新發(fā)展——風險審計[J]. 商業(yè)會計. 2006（03）

[2] 曾偉. 論企業(yè)經(jīng)營管理活動中的風險審計[J]. 當代經(jīng)濟. 2006（06）

[3] 劉慧芬. 新審計準則中現(xiàn)代風險審計的優(yōu)勢體現(xiàn)[J]. 當代經(jīng)濟. 2006（12）

[4] 郭偉昌，劉金鳳. 企業(yè)風險審計模型研究與應用[J]. 審計研究. 2008（06）

[5] 王志強. 企業(yè)內(nèi)部控制風險審計[J]. 科技資訊. 2008（13）

[6] 盛喆. 企業(yè)內(nèi)控風險審計創(chuàng)新模式探討——頂崗審計模式[J]. 當代經(jīng)理人. 2005（05）

[7] 曾繁榮，鄭毅. 論風險審計[J]. 求索. 2004（10）

[8] 黃佳春. 風險審計程序之我見[J]. 審計月刊. 2004（05）