風險導向內部審計的理論分歧

　　內部審計下的風險導向審計目前尚無統一的定義。第一種觀點認為，把社會審計中的風險導向審計運用于內部審計就是風險導向內部審計，即內部審計人員立足于對審計風險的分析和評價，并以此為出發點，制定審計計劃，實施審計行為的一種審計方法。

　　第二種觀點認為，風險導向內部審計是指內審人員在審計過程自始至終都關注企業風險（不是審計風險）,依據風險選擇項目，識別風險，測試管理者降低風險的方法，并以企業風險為中心做審計報告，協助企業管理風險。

　　上述兩種觀點是不一致的。不一致的含義會影響風險導向內部審計的推行和實施，那到底什么是風險導向內部審計呢？筆者認為，要全面認識風險導向內部審計的定義，應從審計風險和風險管理的區別談起。

　　審計風險和風險管理

　　審計風險

　　什么是審計風險？學術界對此并沒有統一的定義。《國際審計準則第25號——重要性和審計風險》將審計風險定義為，“審計人員對實質上誤報的財務資料可能提供不適當意見的風險。”美國《審計準則說明第47號》認為：“審計風險是審計人員無意地對含有重要錯報的財務報表沒有適當修正審計意見的風險。”我國《獨立審計具體準則第9號——內部控制與審計風險》認為：“審計風險，是指會計報表存在重大錯報或漏報，而注冊會計師審計后發表不恰當審計意見的可能性。”而《內部審計具體準則第17號——重要性與審計風險》則認為，“本準則所稱的審計風險，是指內部審計人員未能發現被審計單位經營活動及內部控制中存在的重大差異或缺陷而做出不恰當結論的可能性。”

　　風險管理

　　克里斯蒂認為風險管理是企業或組織為控制偶然損失的風險，以保全所得能力和資產所做的一切努力。美國學者威廉斯和理查德？漢斯認為，風險管理是通過對風險的鑒定、衡量和控制，以最低的成本使風險所造成的損失控制在最低程度的管理方法。內部審計師協會認為風險管理是對影響組織以及財務目標的所有風險進行評估和響應的一種嚴格的、協調的方法。

　　風險管理和審計風險的區別

　　主體不同。企業風險管理的主體是企業，是企業的董事會、管理層或普通員工。審計風險的主體是審計機構和審計人員。

　　目的不同。風險管理的目標是控制和減少損失，提高有關單位或個人的經濟利益或社會效果，風險管理是從企業的角度來管理和控制風險。審計風險是從審計機構和審計人員的角度，在實施審計項目過程中控制審計風險的目的是避免審計失敗。

　　風險性質不同。審計風險由固有風險、控制風險和檢查風險三個要素組成，雖然前兩者與被審計單位的環境、業務復雜性、相關內部控制等有關，但是僅包括從審計角度出發與其有關的風險。風險管理關注的核心是企業風險，與審計風險中的“風險”相比，風險管理中“風險”的范圍更加寬泛，涉及可能對企業戰略和目標的實現產生影響的事件、行為和環境等等因素。

　　風險導向內部審計的內涵

　　有關審計風險的定義中，特別是內部審計具體準則的定義中，我們可以看出來，“審計風險”中的“風險”是指審計機構或人員承擔的，與審計過程有關的各種風險事項。由此看來，風險導向內部審計中的“風險”也應指的是審計風險。

　　而從第二種觀點的描述上看，所謂的“風險”不是單純意義的“審計風險”，在更大意義上是指企業在生產經營過程中面臨的各種企業風險，即那些可能對企業戰略和目標的實現產生影響的事件、行為和環境，包括信貸風險、市場風險、技術風險、人事風險、經營風險等。由此可見，此時的內部審計已經成為結合內部審計和風險管理的一種有效工具，審計計劃與公司最高層的風險戰略連接在一起，內部審計人員通過對當前的風險分析確保其審計計劃與經營計劃相一致，將風險管理原則貫穿于審計的全過程。風險管理成為組織中的關鍵流程，內部審計重點不再是測試控制，而是確認風險及測試管理風險。換句話說，內部審計在繼續發揮對內部控制的效率和效果的評價作用，促進控制的改善，幫助組織保持有效的控制的同時，更要參與風險管理，幫助組織發現并評價重要的風險因素，促進組織改進風險管理體系，它既可以作為公司管理者的指南，也可用作通報企業風險，進而滿足控制、風險管理、信息交流、監督等多方面的要求。用這種觀點來界定風險導向內部審計，會與內部審計具體準則對審計風險的定義相背。

　　筆者認為，在現有準則下，以第一種觀點作為風險導向內部審計比較恰當，而第二種觀點與其說是風險導向內部審計，還不如說是企業風險管理中的內部審計作用。