内部审计的未来:关注风险

始于2008年的世界性金融危机持续影响着全球企业,许多首席审计执行官(Chief Audit Executive,简称CAE)孜孜不倦地寻求为组织增值的路径。为了讨论CAE做哪些工作方可帮助企业渡过危机,2009年3月国际内部审计协会(IIA)在华盛顿特区召开了一次圆桌会议。与会人员包括28位来自财富100强和财富250强的CAE,美国公众公司会计监督委员会和证监会的代表以及为财富100强公司提供内部审计服务,且是国际内部审计协会的主要合作伙伴。他们讨论的问题包括:经济危机对内部审计的最大冲击是什么?过去一年中内部审计的角色发生了哪些改变?哪些事项发生了改变?这样的改变对内部审计战略有何影响?内部审计人员可以吸取哪些教训?以及内部审计的重点将聚焦于何处?

为充实以上主题内容,暨2009年3月份华盛顿圆桌会议之后,IIA又对在线调查(fash survey)网上自82位CAE进行《内部审计人员角色》的调查,具体询问内部审计人员在五个风险领域的作用,五种风险即信用风险、成本或费用控制活动相关的风险、源自陷于困境第二方的风险、流动性风险和声誉风险。调查的问题包括:

1.根据风险进行审计日益重要,内部审计人员需要开展何种特定活动或应该开展何种特定活动?这些活动是预防性的、发现性的还是规避性的活动?

2.这些领域有哪些具体风险值得关注?

3.在这些领域中,内部审计的范围和目标是什么?

4.内部审计因此可以提供哪些增值信息?

本文汇总了CAE们对这些问题的回答,指出了当前内部审计部门在五种风险领域的努力方向。CAE可以实施这些汇总的建议,或者制定工作计划解决每个关键风险点,以提升内部审计服务水平,这将是内部审计未来发展方向。

一、信用风险

接受调查的CAE们所在的组织已经开始监督遭受信用风险影响的财务过程以及其他领域,而且他们的组织也正在识别信用风险是什么?信用风险如何影响组织的生存底线?识别出的关键信用风险包括与借贷相关的风险、不完整或不准确信用风险分析产生的风险以及信用控制相关的风险。

(一)调查反馈信息

大多数CAE认为内部审计提高对信贷风险的关注程度已经或可能会促使剩余风险降低。但另一方面,不承认此观点的CAE认为信贷风险在他们组织不是重要风险,因此内部审计也不需要重点关注,只列入一般的审核过程。另外,大多数CAE也认为内部审计努力多是预防性的活动,然后是发现性的和规避性的活动,而且他们都自有应对信贷风险审计的技能,只有少部分CAE认为需要利用外部专家的工作。当问及管理层和审计委员会对内部审计提高对信贷风险的关注程度并减少传统领域的工作是何种反应时,许多CAE认为他们给予了积极支持。

(二)当前内部审计良好实务

为了确定信用风险对组织有哪些影响,这些信用风险具体是怎样影响组织的,内部审计人员需要:

1.在风险评估过程中识别当前和潜在的信用风险;

2.把信用风险列入审计领域;

3.审核组织的信用风险评估过程、信用风险评估结果以及相应的应对措施。如评估组织规避信用风险而采取的内部控制的效果;

4.识别风险,即识别那些可能转化为现实的信用风险,并考察管理层的反应;

5.审核对欠款账户的监督控制以及信用评级方面的监督活动,以确保管理层已经及时采取纠正措施。如应付账款久拖不付,那么就应该降低客户的信用等级;

6.审核信用授权过程及其相应控制;

7.审核组织的证券投资组合以确保它们符合组织的投资政策。

二、成本或费用控制活动相关的风险

与对待信用风险类似,参与调查的大多数CAE都把控制活动的风险纳入审计范围。识别出的关键风险包括内部控制缺陷、缺乏控制监督和职权分离控制等。

(一)调查反馈信息

同样,大多数CAE认为内部审计提高此类风险的关注程度已经或可能会促使剩余风险降低。有CAE指出,关注此领域风险的内部审计可以通过提建议帮助组织在资源减少的情况下运作得更有效率和效果。也有CAE认为,成本与费用预算下降使得内部审计必须集中精力于最重要的企业职能,减少重复性质的审计,取消对细枝末节的频繁审计。另外,大多数CAE仍旧认为内部审计努力多是预防性的活动,然后是发现性的和规避性的活动,而且他们都有审核控制活动相关风险的技能,只有少部分CAE认为需要利用外部专家的工作或与外部专家共同进行此方面的工作。大部分CAE也认为他们转移工作重点至此风险领域受到了管理层和审计委员会的支持。

(二)当前内部审计良好实务

在此风险领域,内部审计活动包括:

1.核实人工成本的适当性;

2.审核组织的付款过程;

3.每月监督预算数与实际财务绩效的差异,并要求管理人员解释差异的原因;

4.审核费用报告以识别可疑实务;

5.对营运资金、差旅支出、招待费支出进行审计;

6.确保预算或成本下降时适当的职责分离;

7.审核组织经营过程的效率性和效果性;

8.确保实现预期的节约额;

9.运用数据挖掘技术集中关注能够降低成本的活动;

10.确定成本下降对内部控制和组织实现目标能力的影响等。

三、源自陷于困境第三方的风险

大多数CAE认为他们正向此领域调整审计重点。特定的活动包括执行审计以确定组织主要的供应商或主要顾客是否遭遇财务危机,因为这些问题会阻碍第三方履行合同协议的能力,严重的时候会导致主要供应商或主要顾客的企业倒闭。

(一)调查反馈信息

当CAE们再次被问及内部审计重点调整到此风险领域是否可以降低剩余风险时,大多数CAE认为“不可以”。如某个CAE解释说:“根据企业的主要行业活动,此风险领域不属于常规审核范围。”同前两个领域一样,大多数CAE认为内部审计人员在此风险领域的活动大多是预防性的,而且可以不依赖专家,自身具有开展此类审计的能力,同时,管理层和审计委员会都积极支持他们在此风险领域的活动。

(二)当前内部审计良好实务

内部审计人员需要对组织的主要供应商或主要顾客进行审计,以确认他们有能力履行合同:

1.运用分析工具持续监督供应商的违约风险;

2.审核主要供应商或主要顾客与第三方,如银行的合同,并要求三年期财务背景信息,以确定供应商的生存能力;

3.密切监督主要供应商或主要顾客的第三方供应商的财务状况,尤其是唯一供应商,联营企业和分包企业的情况。

四、流动性风险

虽然大多数CAE认为他们组织的内部审计已经开始审核资本来源以识别流动性风险,但流动性风险对他们组织的影响较小。流动性风险包括缺乏融资渠道或缺少资金支付费用、偿还供应商款和银行欠款。

(一)调查反馈信息

与前面几个风险领域不同,大部分CAE认为内部审计在此领域的努力集中在规避风险的活动方面,然后是发现性和预防性活动,而且他们具有进行此领域审计的能力。管理层和审计委员会积极支持并要求内部审计部门解决此类风险。

(二)当前内部审计良好实务

内部审计可以通过流动资金与需求管理报告等审核资本来源,取得正式和非正式的政策信息,确保组织具有适当的流动性。如审核:

1.技资与相关现金流量;

2.收入和债务人信用,现金管理及营运资金等。

五、声誉风险

调查结果表明:内部审计正频繁地对风险进行评估并为企业提供规避声誉风险的建议和措施。关键的声誉风险包括与经营相关并影响企业声誉的风险和员工活动有关的风险,如未能恰当使用政府的刺激资金,不适当的员工行为和员工偷盗等。

(一)调查反馈信息

大多数的CAE认为内部审计关注此类风险可以明显降低剩余风险,而且内部审计活动多半是预防和规避性的,然后是发现性活动。他们认为不需要借助外部专家便可以执行此类审计活动,并且得到了管理层和审计委员会的支持。

(二)当前内部审计良好实务

针对此类风险,内部审计需要执行更频繁的风险评估程序。关键的活动包括:

1.咨询法务部门以识别声誉方面的风险;

2.确定组织是否接受了政府的刺激资金以及使用情况;

3.审核风险评估过程并提供完善风险评估的建议等。

六、总结

如前所述,许多CAE认为他们的内部审计部门具有应对5种风险审计领域的能力,这一点鼓舞人心,因为组织内部的专家可以识别风险并规避风险,减少对企业经营的潜在危害。识别关键风险也提示企业应投入必要的资源以防范风险。

大多数CAE认为他们组织的审计委员会和管理层都积极支持他们审计重点向风险领域的转移。这不仅确认了内部审计人员为组织战略增值,而且也表明了许多内部审计活动是可以根据经济形势影响及组织变化而进行相应调整。

CAE认为他们可以运用风险相关的大量信息确定审计范围,制定审计计划。调查结果还表明基于企业战略和需求运用风险导向审计方法会变得越来越有价值。运用风险导向方法帮助内部审计在正确的时间向审计委员会和管理层报告正确的事,并在正确的企业领域,即在关键风险领域提供鉴证服务。

(作者单位:南京审计学院)