作者：冯雪
中国内部审计 2008年12期
央行推进内部审计工作向风险导向的管理审计转型，实现审计理念、审计职能、审计目标、审计内容、审计方式、审计手段“六个转变”，需要新的审计流程与之相配套。根据风险导向审计的特点和审计模型的要求，对内部审计业务流程再造成为必然。一般来讲，业务流程再造主要包括三个环节：业务流程的分析与诊断、业务流程的再设计、业务流程再造的实施。
一、风险导向审计概述
央行推进内部审计工作向风险导向的管理审计转型，对内部审计业务流程进行再造，是基于风险导向的再造，所以，对风险导向审计要有一个基本了解。风险导向审计是一种基于战略观和系统观思想，从企业的战略分析入手，将会计报表错报风险与企业战略风险紧密联系起来的一种审计方法。风险导向审计与制度基础审计比较，主要有以下几点不同：
1、审计思路不同。制度基础审计采用的是“自下而上”的审计思路，从具体类别的经济业务或账户记录及余额出发，层层向上追溯，查找管理上存在的问题；风险导向审计是“自上而下”与“自下而上”相结合的审计思路，首先运用“自上而下”的思路，从战略管理分析入手，通过对战略风险和经营风险的逻辑推理，一步一步地推导和落实审计的范围和重点，确定相关的审计目标和审计程序，然后通过实施审计程序及取证的结果，结合重要性的判断，“自下而上”地归纳和判断整个财务报表的风险，并形成最终的审计意见。
2、审计目标不同。制度基础审计的目标是验证簿记并发现员工的偷窃行为；风险导向审计的目标是发现并揭露管理层舞弊行为。
3、审计重点不同。制度基础审计的重点为审计测试；风险导向审计的重点在于风险评估。
4、审计程序不同。制度基础审计的程序一般是不变的；风险导向审计的程序针对不同的被审计对象、不同的审计领域，采用不同的审计程序。
二、央行内部审计业务流程分析与诊断
央行现有内部审计业务流程是建立在账项审计和制度审计基础上，主要包括审计准备、审计实施、审计处理和审计跟踪（如图1）。主要有以下几点不足：
1、审前调查不充分。从图1可见，现有内部审计业务流程中，审前调查主要是资料准备环节。收集的资料一般包括规章制度、以往检查、考核资料等，资料准备不全面、不充分，有些基层行甚至忽略这些资料的收集，由此可见，对审前调查的重视程度不够。
2、审计方案缺乏针对性。央行总行下发过规范的审计方案，基层央行实施审计时多直接照搬照抄总行下发的审计方案，而未能根据本行所处环境、业务特点、人员结构等“量体裁衣”制定审计方案，使审计方案缺乏针对性。
3、缺少审计计划环节。从图1可见，现有内部审计业务流程缺少审计计划环节。
4、忽视后续审计。后续审计不但可以督促被审计对象整改，同时也可以掌握被审计对象现有的风险状况，从而为下一次审计确定大致时间和范围。从图1可见，现有内部审计业务流程有后续审计环节，但在实施审计过程中往往被忽视，许多审计项目都缺少后续审计环节。
三、央行内部审计业务流程再设计
央行基于风险导向的内部审计应将风险管理的思想贯穿于审计整个过程中，因此，内部审计业务流程再设计包含风险识别、风险评估、风险报告（见图2）。新的内部审计业务流程增加了风险识别、风险评估和审计计划三个环节，强化了审前调查和后续审计两个环节，设计了审计测试对风险评估和后续审计对风险识别的反馈过程。新的内部审计业务流程的重点环节设计分析如下。
1、风险识别环节。(1)审前调查。审前调查是开展审计项目的基础，为制定审计方案做准备，并初步识别被审计对象风险。应充分重视审前调查，查找潜在风险点，初步确定被审计对象的重大错报风险和重要交易类别，为制定审计方案做准备，合理地分配审计资源。审前调查的内容主要包括以下几个方面：一是法律环境、监管环境以及其他外部因素。二是被审计对象的考核和评价结果。三是被审计对象的业务情况。四是被审计对象的内部控制状况。此外，由于被审计对象的制度、人员、业务、系统等因素变化，可能引起原有风险点、风险程度等发生变化，因此，在审前调查中，发现有以下几种变化时，应给予足够的关注：新的法律法规和规章制度出台、业务发生重大变化、主要业务岗位变动、操作系统变化等。(2)制定审计方案。根据审前调查对风险的初步识别所确定的容易产生风险的部门和业务，制定有针对性的审计方案，合理分配审计资源。
图1 央行内部审计操作流程
图2 基于风险导向的内部审计业务操作流程
2、风险评估环节。(1)风险评估。风险评估环节是风险导向审计的核心，通过执行风险评估程序，评价被审计对象风险发生的可能性以及影响程度，以确定执行测试程序的性质、时间和范围。风险评估主要是在审前调查的基础上，对重大错报风险和重要交易类别进行分析，找出其中的关键环节。对每个关键环节实施调查问卷法、敏感性分析法、压力测试法等风险评估程序，分析关键环节的目标、构成关键环节的业务活动、与关键环节相关的信息流（包括相关的信息系统）、关键环节的风险、防范关键环节风险的控制措施、与特定风险相关的业绩计量等，从而找出未被控制或潜在的剩余风险。(2)制定审计计划。根据对剩余风险的评估，制定详细的审计计划，确定需要进行控制性测试以及实质性测试的对象、范围和时间。需要说明的是，风险导向审计下的控制性测试，并不是必须执行的审计程序。只有在测试内部控制有效性或仅靠实质性测试并不能为某项认定提供充分适当的审计证据时，才需要进行控制性测试。(3)审计实施。审计实施与制度基础审计区别不大，但由于存在未预期事项、条件变化以及审计证据增加等变化因素，对风险的评估也将发生变化，因此，在审计实施过程需要再次对风险进行评估，并对审计计划和审计程序作相应的修改。
3、风险报告环节。(1)审计报告。内部审计人员以有效降低央行履行职责风险为目的，充分揭示被审计对象的重大错报风险和重要交易类别，深入分析问题产生的原因，综合判断问题的性质，并提出切实可行的风险管理建议和对策，形成审计报告。(2)后续审计。审计项目结束后，根据发现问题的严重程度、问题的多少、问题发生的频率等安排后续审计时间，跟踪发现问题的整改情况，确保审计效果。
四、央行内部审计业务流程再造的实施
1、建立新型审计组织，为内部审计业务流程再造的实施做好组织保障。新的内部审计业务流程需要新型的审计组织与之配套，因此，在实施内部审计业务流程再造的同时，还应考虑审计组织的重建。建立以审计智能化、操作网络化、流程一体化为目标的流程型组织，根据业务活动的各个关键环节来配置相应的审计人员，并将岗位职责按再造后的流程进行重新分配。同时，新的内部审计业务流程和新型审计组织结构，对内部审计人员的综合素质和专业知识机构有全新的要求，不但要加强对内部审计人员的业务培训，不断提高内部审计人员运用风险导向审计模型的能力，还要建立具备管理、审计、会计、法律、计算机等专业知识结构的人才队伍，做好人员储备。
2、建立审计数据库，为内部审计业务流程再造的实施打好基础。风险导向审计的核心是深入了解被审计对象，所以，翔实丰富的信息资料是做好风险导向审计的基础。央行内部审计的对象比较固定，因此，可以通过建立审计数据库，将被审计对象的审前调查、风险识别、风险评估、审计报告、后续审计情况等收集整理，录入审计数据库，并随时对内容进行更新调整，为今后确定审计项目、开展审前调查、明确审计内容、掌握审计重点提供前期资料，提高审计工作效率和质量。
作者介绍：冯雪 中国人民银行大连市中心支行
作者：冯雪
中国内部审计 2008年12期
央行推进内部审计工作向风险导向的管理审计转型，实现审计理念、审计职能、审计目标、审计内容、审计方式、审计手段“六个转变”，需要新的审计流程与之相配套。根据风险导向审计的特点和审计模型的要求，对内部审计业务流程再造成为必然。一般来讲，业务流程再造主要包括三个环节：业务流程的分析与诊断、业务流程的再设计、业务流程再造的实施。
一、风险导向审计概述
央行推进内部审计工作向风险导向的管理审计转型，对内部审计业务流程进行再造，是基于风险导向的再造，所以，对风险导向审计要有一个基本了解。风险导向审计是一种基于战略观和系统观思想，从企业的战略分析入手，将会计报表错报风险与企业战略风险紧密联系起来的一种审计方法。风险导向审计与制度基础审计比较，主要有以下几点不同：
1、审计思路不同。制度基础审计采用的是“自下而上”的审计思路，从具体类别的经济业务或账户记录及余额出发，层层向上追溯，查找管理上存在的问题；风险导向审计是“自上而下”与“自下而上”相结合的审计思路，首先运用“自上而下”的思路，从战略管理分析入手，通过对战略风险和经营风险的逻辑推理，一步一步地推导和落实审计的范围和重点，确定相关的审计目标和审计程序，然后通过实施审计程序及取证的结果，结合重要性的判断，“自下而上”地归纳和判断整个财务报表的风险，并形成最终的审计意见。
2、审计目标不同。制度基础审计的目标是验证簿记并发现员工的偷窃行为；风险导向审计的目标是发现并揭露管理层舞弊行为。
3、审计重点不同。制度基础审计的重点为审计测试；风险导向审计的重点在于风险评估。
4、审计程序不同。制度基础审计的程序一般是不变的；风险导向审计的程序针对不同的被审计对象、不同的审计领域，采用不同的审计程序。
二、央行内部审计业务流程分析与诊断
央行现有内部审计业务流程是建立在账项审计和制度审计基础上，主要包括审计准备、审计实施、审计处理和审计跟踪（如图1）。主要有以下几点不足：
1、审前调查不充分。从图1可见，现有内部审计业务流程中，审前调查主要是资料准备环节。收集的资料一般包括规章制度、以往检查、考核资料等，资料准备不全面、不充分，有些基层行甚至忽略这些资料的收集，由此可见，对审前调查的重视程度不够。
2、审计方案缺乏针对性。央行总行下发过规范的审计方案，基层央行实施审计时多直接照搬照抄总行下发的审计方案，而未能根据本行所处环境、业务特点、人员结构等“量体裁衣”制定审计方案，使审计方案缺乏针对性。
3、缺少审计计划环节。从图1可见，现有内部审计业务流程缺少审计计划环节。
4、忽视后续审计。后续审计不但可以督促被审计对象整改，同时也可以掌握被审计对象现有的风险状况，从而为下一次审计确定大致时间和范围。从图1可见，现有内部审计业务流程有后续审计环节，但在实施审计过程中往往被忽视，许多审计项目都缺少后续审计环节。
三、央行内部审计业务流程再设计
央行基于风险导向的内部审计应将风险管理的思想贯穿于审计整个过程中，因此，内部审计业务流程再设计包含风险识别、风险评估、风险报告（见图2）。新的内部审计业务流程增加了风险识别、风险评估和审计计划三个环节，强化了审前调查和后续审计两个环节，设计了审计测试对风险评估和后续审计对风险识别的反馈过程。新的内部审计业务流程的重点环节设计分析如下。
1、风险识别环节。(1)审前调查。审前调查是开展审计项目的基础，为制定审计方案做准备，并初步识别被审计对象风险。应充分重视审前调查，查找潜在风险点，初步确定被审计对象的重大错报风险和重要交易类别，为制定审计方案做准备，合理地分配审计资源。审前调查的内容主要包括以下几个方面：一是法律环境、监管环境以及其他外部因素。二是被审计对象的考核和评价结果。三是被审计对象的业务情况。四是被审计对象的内部控制状况。此外，由于被审计对象的制度、人员、业务、系统等因素变化，可能引起原有风险点、风险程度等发生变化，因此，在审前调查中，发现有以下几种变化时，应给予足够的关注：新的法律法规和规章制度出台、业务发生重大变化、主要业务岗位变动、操作系统变化等。(2)制定审计方案。根据审前调查对风险的初步识别所确定的容易产生风险的部门和业务，制定有针对性的审计方案，合理分配审计资源。
图1 央行内部审计操作流程
图2 基于风险导向的内部审计业务操作流程
2、风险评估环节。(1)风险评估。风险评估环节是风险导向审计的核心，通过执行风险评估程序，评价被审计对象风险发生的可能性以及影响程度，以确定执行测试程序的性质、时间和范围。风险评估主要是在审前调查的基础上，对重大错报风险和重要交易类别进行分析，找出其中的关键环节。对每个关键环节实施调查问卷法、敏感性分析法、压力测试法等风险评估程序，分析关键环节的目标、构成关键环节的业务活动、与关键环节相关的信息流（包括相关的信息系统）、关键环节的风险、防范关键环节风险的控制措施、与特定风险相关的业绩计量等，从而找出未被控制或潜在的剩余风险。(2)制定审计计划。根据对剩余风险的评估，制定详细的审计计划，确定需要进行控制性测试以及实质性测试的对象、范围和时间。需要说明的是，风险导向审计下的控制性测试，并不是必须执行的审计程序。只有在测试内部控制有效性或仅靠实质性测试并不能为某项认定提供充分适当的审计证据时，才需要进行控制性测试。(3)审计实施。审计实施与制度基础审计区别不大，但由于存在未预期事项、条件变化以及审计证据增加等变化因素，对风险的评估也将发生变化，因此，在审计实施过程需要再次对风险进行评估，并对审计计划和审计程序作相应的修改。
3、风险报告环节。(1)审计报告。内部审计人员以有效降低央行履行职责风险为目的，充分揭示被审计对象的重大错报风险和重要交易类别，深入分析问题产生的原因，综合判断问题的性质，并提出切实可行的风险管理建议和对策，形成审计报告。(2)后续审计。审计项目结束后，根据发现问题的严重程度、问题的多少、问题发生的频率等安排后续审计时间，跟踪发现问题的整改情况，确保审计效果。
四、央行内部审计业务流程再造的实施
1、建立新型审计组织，为内部审计业务流程再造的实施做好组织保障。新的内部审计业务流程需要新型的审计组织与之配套，因此，在实施内部审计业务流程再造的同时，还应考虑审计组织的重建。建立以审计智能化、操作网络化、流程一体化为目标的流程型组织，根据业务活动的各个关键环节来配置相应的审计人员，并将岗位职责按再造后的流程进行重新分配。同时，新的内部审计业务流程和新型审计组织结构，对内部审计人员的综合素质和专业知识机构有全新的要求，不但要加强对内部审计人员的业务培训，不断提高内部审计人员运用风险导向审计模型的能力，还要建立具备管理、审计、会计、法律、计算机等专业知识结构的人才队伍，做好人员储备。
2、建立审计数据库，为内部审计业务流程再造的实施打好基础。风险导向审计的核心是深入了解被审计对象，所以，翔实丰富的信息资料是做好风险导向审计的基础。央行内部审计的对象比较固定，因此，可以通过建立审计数据库，将被审计对象的审前调查、风险识别、风险评估、审计报告、后续审计情况等收集整理，录入审计数据库，并随时对内容进行更新调整，为今后确定审计项目、开展审前调查、明确审计内容、掌握审计重点提供前期资料，提高审计工作效率和质量。
作者介绍：冯雪 中国人民银行大连市中心支行