风险导向审计模式初探

近些年陆续集中上演的会计造假丑闻，使审计风险上升到了从未有过的被关注高度，我们所熟悉的传统审计风险模型“审计风险=固有风险×控制风险×检查风险”，也随着这些国内尤其使国外上市公司会计造假案的爆出而开始受到置疑。

被推崇和应用了二十多年的传统审计风险模型果真存在问题吗?

我们来看，传统审计风险模型中审计风险是事先拟定预接受的，是确定的；控制风险通过计划准备阶段的初步的评价测试和审计实施阶段的具体测试和评价也是可以确定的；检查风险如果在明确了审计风险、固有风险和控制风险后，自然也就确定了，问题就在于固有风险的确定。而我们知道，固有风险涉及企业的经营目标、经营战略、经营环境、经营状况、经营风险、经营管理、内部机构及其控制环境等方方面面，不仅涉及面广、变化多端，而且不便量化。因此，在实际操作中往往被人们所回避，取而代之的是采取直接将其认定为高风险水平这种被公认为稳健的做法，简单的只依赖对内部控制风险所作的粗放型评估来直接、大致确定检查风险水平，再据此规划实质性测试的程序、时间和范围。结果就是一头扎进了会计凭证、账册等资料堆里，这种审计套路的效果如何呢?大家也都看到了，既然发生了会计造假丑闻，也就说明审计失败了，说明凭证白看了，测试、复核、计算等等功夫都白费了，因为最终结果是出了重大错报而没有被审计发现和揭示。

我们再来看，上面的审计套路，将传统审计模型演变成了什么?如果采取直接将固有风险认定为高风险水平这种被公认为稳健的做法，审计风险模型中的固有风险就等于100％，审计模型就被演变成了审计风险=控制风险×检查风险。这显然已背离了审计风险模型的本意。

同时，有一个现象很值得我们反思，就是国内很多大的会计造假丑闻不是被注册会计师发现揭示，反而多是被记者发现和披露的。记者不是会计、审计专业的行家里手，他们为何反倒能发现问题的根结所在呢？我们来想一想记者的工作模式，可能就会豁然顿悟。原来记者所做的调查、采访、甚至乔装打扮地调查暗访等等工作恰恰不就是审计者所丢弃掉和缺失的那部分对固有风险的调查了解分析和评价工作吗?

这说明审计风险模型本身没有质的错，问题是出在了对其的理解、引导和利用上；错在了允许直接将固有风险认定为高水平，更错在还认为这种做法是稳健的；错在了一头扎进了会计凭证、账册等资料堆里，拣了芝麻丢了西瓜。同时也说明对固有风险的调查了解是何等重要和不可偏废，是不能因怕麻烦、费事，难搞而随意丢弃和回避的。

2004年末国际审计与鉴证准则理事会修订了审计风险准则，将审计风险模型重建为：审计风险=重大错报风险×检查风险。重建后的审计风险模型，表面上看似简单了，似乎只是将固有风险和控制风险合并为重大错报风险，但其实质却远非如此简单。

首先，新准则流程每一步的设置目的的关键词都落到了重大错报风险上，即流程的每一步都必须把握对重大错报风险的控制，整个审计过程的不同阶段、不同流程的目的性高度统一，指向了同一点，而不再是相互割裂和目标不一。其次，对被审计单位的了解是为了评估财务报表总体层次和认定层次的重大错报风险，而不再仅仅是为了评估固有风险，不能再回避和绕过。新准则不仅找准了“穴位”，而且还抓住不放，要求的是对重大错报风险的全程关注和控制，任何不同流程、不同环节的不同工作，但最终目的都要落在对重大错报风险的控制上。它不再强调对“细支末梢”和“无关痛痒”处的斤斤计较，它所极力要摒弃的是直接一头扎在对各类交易和账户余额的测试上，而不从宏观层面考虑会计报表可能存在的重大错报风险，它的目的只有一个――防止注册会计师只发现小错误而忽略大问题。

我们可以从国际新审计风险准则及其审计流程中过滤出新风险导向审计的实质内涵：第一，强调必须从宏观上了解被审计单位及其环境，以充分识别和评估会计报表的重大错报风险；第二，强调针对评估的重大错报风险设计和实施控制测试和实质性程序；第三，强调无论内部控制是否有效，都要对各类重大交易、重要账户余额和重要披露进行详细审计。

国际新审计风险准则不仅为国际最新风险导向审计奠定了重要的基石，而且为最新风险导向审计构建起了最为重要的指导理念。它纠正了传统风险导向审计偏离了目标的工作起点和导向，重新为风险导向审计工作指明了正确的起点和方向。它引导注册会计师首先必须花大力气去识别和评估重大错报风险，再据此有针对性地采取措施，合理保证财务报表不存在重大错报。

国际新审计风险准则的出台也将审计关注的重心从企业经营的结果――会计经营信息资料，转向了经营活动的起始端――企业的战略目标、经营环境、公司治理结构及内部控制等，同时也将查证的范围从企业内部延伸到了企业外部环境。国际新审计风险准则为我们把握出了最新风险导向审计的脉向――提纲携领、纲举目张的战略风险审计观。

我们从各种媒介所看到的有关风险导向审计的话题都是指向注册会计师行业，似乎这个话题离政府审计和内部审计很远。也难怪，注册会计师行业的确处在风险的风口浪尖上。我们内部审计能否不安于现状，以超前的意识引入现代风险导向审计?我认为将风险导向审计理念引入内部审计，意义是不容置疑的，虽然国际审计与鉴证准则理事会修订的审计风险模型可能不一定完全适合我们内部审计，但它所体现的风险导向审计理念是完全也是可以为我们所用的。下面结合我们内部审计目前的一些实际情况，浅谈一下有关引入风险导向审计理念的意义、可操作性及实际操作方面的一点认识。

引入国际最新风险导向审计理念不仅能够引导我们关注审计风险，提高审计质量和审计效率效果，而且从国际先进内部审计的主流理念出发，它更可以使我们内部审计发挥出评价和服务职能，在从宏观上了解企业及其经营环境的基础上，更好地帮助企业把握经营环境、战略管理和信息管理，规避经营风险、管理风险和控制风险。在了解企业及其经营环境方面，我们内部审计比注册会计师更具“近水楼台先得月”的有利条件。我们应该充分利用我们的优势，收集我们企业及其所覆盖的所有被审计单位的经营战略信息、内外环境信息和财务信息等方面的数据资料，利用计算机以及网络技术给我们的审计对象建立起一个动态的重大错报风险数据分析系统。通过对各个审计对象的横向动态比较分析，确定他们的动态风险排序，即让我们从总体上了解把握我们的审计对象的不同审计风险水平。在具体对某个审计对象进行审计时，我们再结合综合分析评价其非量化的动态变化因素，对其进行纵向动态比较分析，评价确定其在本次审计中的重大错报风险水平。万事开头难，随着风险数据库资料的建立、积累和补充完善，随着不断的分析利用和经验积累，相信我们会从中受益并且会受益非浅。我们在利用会计报表数据分析时应注意考虑某些因素造成的影响。比如，报表的口径是否一致；使用合并报表分析应考虑诸如权益法下的合并收益包含了没有参与合并的被投资企业的收益，但却没有包含其销售收入、费用、资产和负债等会扭曲某些财务比率等等因素。我们应注重对某些能够反映企业真实经营情况的数据报表如现金流量表、企业内部的管理报表以及特殊行业如饭店管理的机器报表的分析利用。因为这些报表与相应的会计报表的对比分析，更能够真实的反映情况和揭示问题。

国际最新风险导向审计理念要求将审计的触角前伸，对审计界来说，它并不是一种新说，我们想一想，对工程项目不就是运用了这种审计理念吗?工程项目因建造过程的不可重复性，因此将审计触角前伸，实行了对其全过程的审计监督。外企对于内部审计机构也是按照这个思路设置的，他们的审计机构设置是与企业生产经营各环境相对应的。对应着生产环节，设置有生产审计科；对应着经营管理环节设置有经营审计科；对应着投资、筹资业务设置有投资、筹资审计科。他们审计人员相应配备的是生产经营管理各环节的专业人才，他们审计机构的职能设置覆盖了企业生产经营的全过程。再看一下我们的内部审计，无论是机构或是职能设置都还没有体现这种全面覆盖、全过程介入的意识，我们所做的可能只是轻轻触及了企业生产经营的最终形成结果(还几乎仅限于会计账面的)。其实，就如同对工程项目的管理监督，对我们企业的生产经营管理全过程的审计监督同样重要。有些问题是在形成过程中容易暴露和被发现，到了过程的最终完结阶段，问题就有可能被虚假的表象所遮蔽，也就不易发现和揭示。就像违章操作，并不是每次违章操作都会造成事故，在缺乏监督的情况下，没有造成事故的违章操作，最后谁又能知道呢?但如果设置了第三方监督，而且监督的职责到位，每次违章就会被发现并及时制止，也就不会造成事故的最终结果了。我们传统的事后的审计监督的缺陷就是不能及时发现问题，防患于未然。而将审计的触角向前延伸，将审计监督介入到企业生产经营活动的全过程，至少在目前来看，不失为解决事后审计缺陷和不足的好办法。现在的计算机网络技术，也使得实时监控，随时掌握企业的经济活动和财务等相关信息成为可能，也就是说现代计算机信息系统已为我们内部审计实现全过程的审计监督搭建起了方便的支持平台。

国际最新风险导向审计尚未形成一个完整的审计模式和具体成熟的套路，它更重要的东西是体现在对重大风险控制的理念上，并让我们用这个旗帜鲜明的理念，去指导和控制我们审计的全过程及各个环节。当然，国际新审计风险准则所强调的针对评估的重大错报风险设计和实施控制测试和实质性程序也给我们指明了大的方向，而这恰恰也是指向了我们内部审计的软肋。适当的审计计划和审计程序的设计不仅是顺利完成审计任务的重要保障，更是防范和控制审计风险的重要措施。凡事预则立，不预则废，尤其对于国有大型企业的审计，没有恰当的时间预算和人员配置，没有详细周全的审计程序的设计规划，对审计风险的控制可能就无从谈起。此外对内部审计的过程及其结果缺乏相应的监督和检查程序，也是导致内部审计质量难以保证的一个因素。引入风险导向审计理念，也应从内部审计机构及其制度和职能的建设上进行改进，建立起完善的内部审计的监督和复查机制。

风险导向审计在实际操作上尚没有什么特殊的利器。我认为统计抽样、分析性复核、函证、突击盘查等技术手段应该成为重用之器。同时，不应再过多依赖内部控制测试。

首先，必要时进行控制测试是国际最新审计风险准则所要求的审计流程，控制测试必然要运用抽样技术，抽样技术必然会产生抽样风险。以往我们内部审计因方便易行而习惯采用非统计抽样，但这种选样不能体现随机原则，样本的代表性差，因而不能保证抽样样本的结果推断总体的合理性，因此其具有对抽样结果的风险水平和把握程度无法进行量化控制的缺点。引入风险导向审计我们应该尽力尝试使用统计抽样，同时应积极利用计算机技术使得统计抽样也变得方便快捷，这样我们就既可以享受计算机统计抽样的便利，也能够利用统计抽样技术量化和控制抽样风险，从而达到配合审计风险模型，量化检查风险的目的。

其次，风险导向审计将使分析性复核得到更加充分的运用。风险导向审计要求从宏观上了解把握企业及其环境，对于调查了解的数据进行分析比较，必然要运用分析性复核技术，而且按照风险导向审计理念，全过程地把握重大错报风险，也注定要使得分析性测试方法得到更加充分的运用和施展。分析性复核测试技术本身就是可用于审计各阶段的，在审计调查了解计划阶段，它可以帮助我们分析查找重大问题和审计线索；在审计检查阶段，它可以用于分析复核数据的合理性；在审计终结阶段，它可以用于从整体上验证复核各方证据和审计结论的一致性、可靠性。

再次，最新国际审计风险准则要求无论内部控制是否有效，都要对各类重大交易、重要账户余额和重要披露进行详细审计。全面检查似乎是内部审计惯用的手法，但将所有的凭证翻查一遍不等于详细审计，详细追查业务的实质才是详细审计的关键。对各类重大交易、重要账户余额和重要披露进行详细审计，我认为我们内部审计应重视函证、突击盘查等技术手段的应用。函证对于重要账户余额的认定是一个既简便而又有效的审计程序，函证的结果也可能会带来某些信息和引出问题线索。但不知什么原因，函证这种在注册会计师行业普遍甚至是必须使用的手段在内部审计的运用上却是一片空白。突击盘查手段似乎也仅限于对库存现金的盘查。其实，对某些重要有形及实物资产以及工程项目和大修改造等项目进行突击实地查验也同样重要。美国发生过一个审计失败案例，造假者虚构了大量的房地产，并伪造了全套文件手续资料，审计方查阅了资料没有发现问题，但因资产金额庞大，仍谨慎地坚持要到实地查验，造假方阻拦不了，就“精心”安排，临时租用了一幢大楼，并且制作了标牌挂在楼外，还花钱雇佣人充当员工进行接待表演，以致蒙骗了审计方。这说明实地盘要，但有选择的选取盘查对象进行突击盘查可能更为重要。对于大型资产、工程项目、在建项目、大修改造等项目如果怀疑其进度乃至其存在的真实性，应追加实地查验等有效的审计程序。

最后，新国际审计准则强调无论内部控制是否有效，都要对各类重大交易、重要账户余额和重要披露进行详细审计。对此我的理解是新国际审计准则已经弱化了对内部控制测试的依赖程度，已不再将对内部控制制度的评价作为导向性目标。也即，已经放弃了在评审内部控制制度的基础上确定审计的重点和范围的这种审计导向。这主要是因为重大错弊、错报多是由于最高管理层舞弊型的内部控制失效而造成的，而这种管理层舞弊型内部控制失效下的重大错弊、错报是控制测试所无法发现的。有的企业经过内部控制审计，把表面文章做得“漂亮”了――程序都走到了，手续都齐备了，但实质情况却是完全相反。我们在2004年初曾对某公司进行了内部控制审计，提出其在内部控制制度建设上和执行上存在着诸多问题，并提出详尽的完善制度和控制的相关建议。2005年对其进行后续审计时发现，其在修订的制度上罗列了一大堆没有实质意义的内容，凭证账面倒是较之以前“漂亮”多了，但通过财务数据的分析比较我们发现，其审前的2003年度经过审计调整后的实际主营业务利润率为37％；审后的2004年度的主营业务利润率不但没升，反而急速下降为17％，下降幅度高达54％，并且没有证据能证明其这种趋势的合理性。这说明其表面符合控制手续的内部控制实质是没有效果的，没有达到控制的真正目的。有的企业在记账凭证下面所附的单据手续齐全，完全符合控制制度的要求，但经过了解，实际业务情况根本不是凭证单据所反映的，这就是内部控制的虚假有效，这种上下串通的舞弊，简单地控制测试是无法发现的。这种测试结果如果不加分析而信之用之，只会误导我们。所以，基于最新风险导向审计理念，我们在引入风险导向审计时，不能再过度信赖控制测试，无论内部控制是否有效，对各类重大交易、重要账户余额和重要披露都要进行详细审计，追究其实质。当然，运用内部控制测试对于规模较大、内部控制较好的企业中发生频繁的业务如采购与付款业务、销售与收款业务的审计还是很有必要的；但对于规模较小、控制缺失或无效的企业以及内部控制良好的企业中发生频率很低的业务如重大投资、筹资事项，控制测试并非是必须要进行。也就是说，内部控制测试是手段，而不是目的(不包括以出具管理建议书为目的的审计)。

到目前为止，无论国际国内尚没有形成一套严密的风险导向审计体系，审计界对此仍处在探索之中。我上面的一点浅薄认识，难免存在偏颇，请专家不吝斧正。