风险导向审计模式在农业银行审计中的初步应用与发展
风险导向审计模式在农业银行审计中的初步应用与发展 中国农业银行审计局济南分局 宋伟 曲首晟
【摘要】经过全球金融危机的洗礼，中国银行业面临的风险日趋复杂多变，未来银行业的竞争将集中在风险管理能力上展开，银行内外要求内部审计在风险管理方面发挥更大的作用。风险导向审计是一种基于风险评估的全新的审计模式，在农业银行向公众持股公司、全球知名银行迈进的过程中，将得到广泛应用和发展。本文分析了这种新的审计模式在农业银行内部审计中的发展现状以及影响，对在农行实施风险导向审计做了初步设想，思考了风险导向理念对发展内部审计的启示。
【关键词】审计模式 风险导向审计 内部审计 农业银行
2002年，国际内部审计师协会（IIA）重新修订了《内部审计实务标准》，将风险导向概念引入内部审计理论及实务。内部审计模式由此突破传统的制度导向审计模式，逐步向一种全新的以评估经营风险为中心的风险导向审计模式转换。与此同时，农业银行内部审计在审计体制、审计管理、审计方法等方面经历了一系列深刻变革，风险导向理论在这些变革中也刻下深深烙印。
一、风险导向审计模式的发展沿革
在审计方法的发展过程中，随着社会经济环境的变化和审计人员对审计活动本质认识的逐步加深，依次出现过三种审计模式，即账项导向审计模式、制度导向审计模式及风险导向审计模式（常勋, 黄京菁，2004）。风险导向审计模式最早出现于上世纪末期，与审计职业的发展密切相关。上世纪中叶，企业股东和其他利益相关者不但需要关于企业的真实财务状况和盈利能力信息，而且希望提供这一信息的系统也有足够
的控制，以保证信息生产的可靠性。“内部控制”由此产生并开始实施，基于内部控制制度的制度导向审计初步形成。与此同时，审计风险观念被提出，1983年美国审计准则委员会发布第47号审计准则公告《审计风险与重要性》，要求审计师在审计中运用审计风险模型，这种基于审计风险模型，以内部控制为基础来确定实质性测试性质、时间和范围的方法，被称作风险导向审计（吴建友，2008）。
风险导向审计在20世纪末期发生了深刻变革。在这段时间内，由于企业管理发生了深刻变化，过程管理逐步向战略管理转变，传统风险导向审计赖以存在的内部控制被战略管理和风险管理所取代，国外一些事务所逐步对传统风险导向审计模式进行改进，尝试采用一种基于企业整体风险分析、引入战略管理分析工具、综合运用“自下而上”和“自上而下”思路的新风险导向审计方法，为区别于原有的风险导向审计方法，新方法被称为“现代风险导向审计” (陈毓圭,2004)。
二、风险导向审计对农行内部审计的影响
（一）农业银行内部审计面临形势和背景。
1、专业制度管理逐步被全面风险管理取代。
对于未来10年的发展战略，农总行提出了“3510”的目标，即从现在起到2010年，力争用3年左右的时间，把农行基本建设成为资本充足、内控严密、运营安全、服务优质、效益良好、创新能力和竞争力较强的大型公众持股银行，使农行发生显著变化；再用2年时间，即到2012年，使农行经营管理水平和核心指标跻身国际知名先进银行行列，成为一家国家满意、股东满意、社会满意、员工满意的现代化大型商业银行，
使农行发生根本变化；再用5年时间，即到2017年，使农行成为立足本土、覆盖城乡、全球运作、国际一流的现代商业银行。
全面风险管理被提高到一个前所未有的高度。2006年以来，银监会相继发布了《商业银行合规风险管理指引》、《操作风险管理指引》，并指出“商业银行应综合考虑合规风险与信用风险、市场风险、操作风险和其他风险的关联性，确保各项风险管理政策和程序的一致性。”风险控制也作为股改的一项重点工作，采取多管齐下的方式，进一步完善全面风险管理架构。设立了统一的风险管理委员会，强化对信用风险、市场风险和操作风险的集中统一管理，明确各类风险管理的牵头部门和责任单位，加强风险经理队伍建设，积极引进新的风险管理技术，充分发挥各类风险监控系统功能，积极探索审计垂直化管理改革，全面开展一级分行内控综合评价，着力提高风险专业化管理水平。
审计人员只有充分理解了发展战略，内外部经营环境，以及相关的风险与控制，才能准确的把握审计风险，并对审计对象做出合理研判。战略管理和全面风险管理理论和实践的发展，为现代风险导向审计的发展提供了启示和实践基础。
2、制度导向审计方法的缺陷，客观上要求改进审计方法。
进入21世纪，特别是近几年，由于内控机制失效导致的案件风险、经营风险非但没有得到有效控制，反而愈演愈烈。2007年邯郸金库被盗案更是震惊业内外。农行从上到下普遍认为，揭露舞弊是内部审计鉴证职能的重要体现，也是内部审计的主要工作目标，而舞弊案件的频繁发生使内部审计人员的审计能力和价值备受质疑。
制度导向审计的缺陷也逐渐暴露。内部控制制度存在着固有的局限性：即使是设计最完美的内部控制制度，也可能因为执行人员的粗心大意、判断失误等原因造成控制失效；内部控制是针对过去的大量交易而设立的，它可能因环境改变而控制效果下降，无法自动地针对未来作出防范；更重要的则是，内部控制制度可能因员工的串通舞弊而形同虚设，特别是由于内部人控制无法制约最高管理层的行为，他们可以很轻松地超越控制的限制。一旦被审计单位的银行高管串通舞弊，或最高管理层超越控制而蓄意造假，或两个以上内控关键环节串通作弊，从表面上看内部控制依然存在并良好运行，但实际上内部控制所要求的相互制约不仅已经不复存在，而且有可能掩盖舞弊迹象，检查内部控制制度往往无法发现这种刻意隐瞒的舞弊行为（陈毓圭，2004）。
3、内部审计发展滞后于业务发展。
进入21世纪，我国经济逐年保持平稳较快发展。农业银行充分利用有利的内外部金融环境，转换经营机制，创新产品服务，主要经营指标逐年创出历史最好水平。与此伴随的是审计业务量水涨船高，以传统业务为例,2000年农业银行存贷款总量为32932亿元，而到2008年这个数字猛增至91975亿元，8年间增长比达到179.29%。期间中间业务、新业务等更是实现了跨越式发展，仅2008年一年，实现中间业务收入238亿元，增幅580%。一大批新业务相继推出，仅热卖的产品就有“汇利丰”外汇结构性存款、金穗贷记卡以及黄金交易等近10个业务品种。业务量爆炸式的膨胀，审计方法仍停留在旧有水平已无法完成审计任务。
而在此期间，审计方法除引入计算机辅助审计外，本质上仍未有大
的改进，继续停留于制度导向审计阶段。制度导向审计的缺陷日益凸现，其明显不足之处在于审计资源在低风险和高风险审计领域的分配失当，造成低风险审计项目的审计过量和高风险审计领域的审计不足，难以保证审计的效率和效果。内部审计界迫切需要改进现有审计方法，既能保持审计效果又能提高审计效率，缓解审计资源和审计业务量的矛盾。
（二）风险导向审计对农行审计的影响。
如前所述，相对于复杂系统的现代风险导向审计，农业银行的现代风险导向审计仍处于萌芽状态。即便是传统风险导向审计只是在观念上对制度导向审计做了一定发展，时至今日，风险导向审计模式在农业银行内部审计中并未发展成一种基本的审计方法来主导整个审计过程。在审计实务中，广泛采用的仍然是制度导向审计的基本方法，就目前而言，风险导向审计模式对农业银行内部审计的影响也只是在原有方法的基础上增加了风险评估的内容。2006年，根据《中华人民共和国审计法》、《审计署关于内部审计工作的规定》等有关法律、法规，农总行制定了《中国农业银行审计工作暂行规定》，对审计做出如下规定：“……审计,是农业银行内部的一种独立客观的监督、评价活动。它通过审查和评价经营活动及内部控制的真实性、合法性和有效性来促进组织目标的实现。”审计模式上以内部控制制度审查和评价为基础，仍然带有鲜明的制度导向审计特色。具体在审计方法上表现为将审计的重点放在对内部控制制度各个控制环节的审查上，以此发现内部控制制度的薄弱之处，找出问题发生的根源，然后针对这些环节扩大检查范围；对内部控制制度有效之处，则缩小其检查范围或简化其审计程序。这也印证了理论界关于传
统风险导向审计仍然属于制度导向审计的延伸的观点。2010年，随着农业银行财务重组和股份公司的成立，内部审计作为公司治理的必要组成部分，适应工作新理念、新定位和新作用的需要，随之做出了的调整。农业银行公布了有史以来最全面、最规范的审计“根本大法”——《中国农业银行股份有限公司内部审计章程》，对农行内部审计给出了新的定义：““农业银行内部一种独立、客观的监督、评价和咨询活动，以风险为导向，通过运用系统化、规范化的方法，检查评价并改善本行经营活动、风险管理、内部控制和公司治理效果，促进本行稳健发展和董事会战略目标的实现”。以风险为导向的审计愿景至此才被建立起来，并在审计实践中得到逐步应用。
从前面的论述中可以可以看出，农业银行对风险导向审计的应用是一个逐步深入的过程，时至今日，风险导向审计对农业银行内部审计从理念、程序、审计证据以及审计人员素质等发面都显现出重大、长远的影响。
1、审计理念的变革。审计重心前移，从以审计测试为中心到以风险评估为中心。传统审计的风险评估不到位，未能有效发现高风险审计领域，风险导向审计大大加强了风险评估程序，真正体现了风险导向审计的理念。2006年银监会发布《银行业金融机构内部审计指引》，对银行内部审计做出如下定义：“……通过系统化和规范化的方法，审查评价并改善银行业金融机构经营活动、风险状况、内部控制和公司治理效果，促进银行业金融机构稳健发展”，同时指出：“银行业金融机构内部审计的目标是，……在银行业金融机构风险框架内，促使风险控制在可接受
水平；改善银行业金融机构的运营，增加价值。”把银行内部审计对金融风险的关注提高到一个前所未有的高度。
2009年10月在充分借鉴国内外同业改革经验的基础上，结合农业银行审计工作的实际，农业银行实施了内部审计体制改革，建立了总行垂直领导的内部审计体系，并在全国设立了10个审计分局。同时，对内部审计给出了新定义，提出了审计模式由风险导向审计、管理审计和绩效审计侧重的改革方向。“在具体工作方面，要紧紧围绕董事会战略目标，以风险导向审计为主，实现由过去单纯的合规性审计向风险审计、管理审计和绩效审计并重的方向转变。要突出全行主体业务风险，把董事会关注的重点、外部监管没有覆盖到的内容和风险突出的业务作为审计重点，从战略决策层面、机制体制层面和内部管理层面提出切实可行的审计建议，帮助被审计单位防范风险，规范管理”（项俊波，2009，在农业银行审计分局成立大会上的讲话）。
2、审计测试程序个性化。克服了传统审计测试的缺陷，针对风险不同的单位、不同的风险领域，不同的行业，以及不同的审计目的，编制各自个性化的审计程序，以使得制定的审计程序更为贴切有效。同时，在审计测试程序的规定方面，农业银行的制度安排中风险导向模式思路是日渐清晰地。如原先实行的《中国农业银行审计工作规定》第三十一条规定“审计机构应根据具体的审计目标和被审计对象的业务管理特点选择适当的审计方式”；第三十四条规定“制定审计实施方案。审计组通过发放《内部控制问卷》、利用非现场的计算机手段或被审计单位直接报送及其它有效方式收集被审计单位的有关资料,进行初步的针对性分析,在此基础上,结合审计目标制定具体的审计实施方案,报经审计机构负责人批准后实
施”。《中国农业银行股份有限公司内部审计章程》第三十五条规定“审计组根据审计方案确定审计样本，安排审计人员实施审计。审计人员通过选用适当的审计方法对有关资料和数据进行测试，现场查验有关文件和资料，向有关单位和个人进行调查等方式进行审计，取得审计证据，编制审计工作记录和审计工作底稿。”第四十八条：“审计机构应当在风险评估的基础上制定审计方案，确定审计范围和重点，确保对经营机构的审计频率和程度与其业务性质、复杂程度、风险状况和管理水平相一致。”这种进步体现的优越性在于，基于风险导向审计模式编制的审计方案、审计测试程序更有利于节约审计资源，更好的把握审计重点，完成审计任务。
3、分析性复核对象扩大。风险评估以分析为中心，分析性复核成为最重要的程序，为了适应分析性复核功能扩大的要求，分析性复核开始走向多样化，不再是对财务数据进行分析，也对非财务数据进行分析。以农业银行正在开展的集中审计为例,对抽样原则做如下规定：各审计组组长、副组长和主查应结合被查机构当地的经济环境、信用环境、行业风险、客户结构等综合因素对被查行的经营情况和风险状况进行事前充分、有效地分析和评估，科学确定审计抽样样本，保障审计样本的代表性和有效性能够覆盖该机构的整体营运风险，并在审计结束后确保一定期限内审计样本不出现大的风险波动。财务数据在确定审计样本时只是风险分析的众多因素的一部分，风险分析更多考虑了关系到审计质量的非财务数据。
此外，风险导向审计模式进一步扩大了审计证据的内涵。审计人员形成审计结论所依据的证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据；由主要依赖管理层和财务
人员提供审计信息向员工及外部人员扩散。将眼光转向一般员工，发动员工举报银行高官舞弊行为；发挥内查外调的优势，积极向银行同业、社会公共服务部门调查，更多依赖业内人士和专业咨询人士的看法，补充审计专业判断；对审计人员素质提出更高的要求，审计人员不仅需要掌握一些常用分析工具，还需要经常接受专业知识培训。
三、农业银行实施风险导向审计的初步设想
（一）理论应用设想。
尽管外部环境的发展对内部风险导向审计提出了需求，并为其发展提供了条件，但是目前国内对现代风险导向审计仍停留在对其概念和原理的探讨上，少有在实务中采用实施。即便在外部审计方面，国内的事务所依然主要依靠账项导向和制度导向等传统审计模式达成审计目标，风险导向审计模式的采用仅限于“四大”，分别为：毕马威的BMP审计模式、安永的全球审计方法、前安达信的经营审计以及德勤的AS/2。而由于审计方法保密的原因，有关现代风险导向审计具体运用方面的资料并不多（吴建友，2008）。按照理论界普遍认可的风险导向审计程序，以下对农业银行实施内部风险导向审计做初步设想。
1、1、整体层面分析。在这个阶段，审计人员从整体上分析本审计单位的重要经营风险和重大经营事项，分析其对审计目标的影响，从而确定详细分析的关键环节分析管理控制，如有必要实施内控测试。国际内审协会在《内部审计实务公告》中指出，在计划内部审计业务时，内部审计师应该：
①考虑舞弊的潜在可能，关注控制弱点，主要包括：
一是现有条件招致重大违法行为的风险；
二是组织内拥有权力和责任的个人（或集体），处于某种原因或动机从事违法活动的风险；
三是组织内拥有权力和责任的个人（或集体）工作态度或道德观念有问题，以致（或甚至寻找机会）进行违法活动的风险。
②对被审计单位存在的“危险信号”进行专业判断：
一是由于个人原因而产生过度压力，如严重的病情、赌博、缺乏个人道德观念、受过别人的恩惠等；
二是由于公司原因而产生的过度压力，如经济困难、过度的财务杠杆作用，大量的审计调整项目、较差的业务控制等；
三是具体的控制风险，如监督不力、责任和义务的授权不明确、分配任务存在明显的利益冲突等。
具体用于整体层面分析的技术很多，常用的有SWOT分析技术、PEST 分析技术、波特五力(PORTER)分析技术以及标杆分析技术等，结合询问、调查问卷、观察、盘点以及其他审计程序，对客户的战略风险、经营风险进行综合评估，剖析被审计单位潜在的风险，进而找寻可能对经营产生不利影响的各种因素。
2、关键风险点分析。在这一环节，审计人员识别出具体的和审计目标相关的关键风险控制点，并对其有效性进行测试。目前农业银行风险管理体系中包括的关键风险环节、关键风险点主要有以下几方面：
①信用风险。具体包括发放信用岗位职责设置，是否按“横向平行制约原则”实行部门或岗位分离并切实履行；转授权管理；客户分类、
评级授信管理；责任控制（主责任人和经办人制度落实、责任移交以及责任追究等内容）；发放信用程序控制；贷后管理以及信贷系统在线检测等。
指标 项目 标准值
人民币 <75 存贷比
外币 <85 流动性比例 本外币 >25
拆入 <4
人民币拆解资金比例
拆出 <8
②市场风险管理。具体包括本币利率风险管理；外币利率风险管理；汇率风险管理；资金交易风险管理。
③流行性风险管理。是否兼顾了负债稳定性和资产流动性，流动性是否充足适度，实现流动性和效益性的协调统一。下面是国际上通用的流动性指标标准值：
④操作性风险管理。按照银监会《商业银行操作风险管理指引》，操作风险管理体系主要要素包括：董事会的监督控制；高级管理层的职责；适当的组织架构；操作风险管理政策、方法和程序；计提操作风险所需资本的规定。
在完成对上述关键风险点的分析调查后，审计人员需要对被审计单位相关风险重新评估，并根据风险重估得结果考虑是否对审计目标和审计范围进行修改和完善，或重新确定审计重点、内容或方法。
3、确定实质性审计测试程序。审计人员借助于风险评估结果，分
项目确定具体审计目标，合理制定审计方案，进而确定实质性测试的时间、性质和范围。尤其应该对关键风险点分析环节确定的明显的控制弱点、可能存在的舞弊环节实施额外的检查，确认舞弊行为是否确实发生。
按审计目标划分，实质性审计程序分为发现性审计程序和证实性审计程序。由于现时存在较多的管理层舞弊行为及所引起的审计风险，具体实施审计时在审计过程中更多地运用发现性审计程序，并辅助以证实性测试程序，来降低审计成本，减少审计风险，从而更好的实现审计目标（苏霞，2007）。在实际应用中，实质性测试经常采用分析性复核的方法。审计人员分析被审计单位重要的比率或趋势，包括调查这些比率或趋势的异常变动及其与预期数额和相关信息的差异。这类程序包括简单比较和使用许多关系和数据的复杂数学与统计模型。分析性复核需要运用分析的方法对被审计单位业务事项进行检查。对同一类业务或同一会计报表认定作总体上的分析，而不是对每一具体业务记录作详细检查。如在对利息收入审计中，可以将本期与上期、本期各月的利息收入、本期贷款加权平均利率、主要贷款品种和利率进行比较，以找出差异和异常波动，并分析差异和波动产生的原因。
4、审计报告。审计报告应该传达对风险管理的结论和建议，以降低风险。为了让管理层充分理解风险的程度，在报告中应特别提出风险活动对于实现目标的关键性与后果。具体应该包括审计目的、范围和结果。审计目的即审计目标。审计范围包括确定的审计对象和审计阶段。审计结果包括审计发现、审计结论和审计建议。
审计报告的编制应坚持以下原则：准确、客观、清晰、简明、富有
建设性、完整和及时。按照国际内审协会的《内部审计实务公告》有关要求，“最终审计报告在签发前，应该经过首席审计执行官或其指定的人审核和批准，并由他们决定向谁分发”。“审计报告应该分送给组织中能够保证审计结果会得到应有考虑的成员，即审计报告接受者应该是那些有权利采取纠正措施或者能够保证采取纠正措施的人”。
（二）工作措施设计。
在实施现代风险导向审计过程中，要注重三个结合：
1、审计方法和独立性的结合。较之传统审计方法，现代风险导向审计对被审计单位经营风险具有更透彻、深刻的把握，能够更好的发挥内部审计保证和咨询职能。但是现代风险导向审计只是一种审计方法，强调的是发现错报的概率。而农业银行内部审计发展急需解决的重要一环——报告错报的概率是由内审独立性来解决的。独立性是审计的生命，再好的审计方法，如果没有足够的独立性，也不能保证审计师将发现的重大问题报告出来。2009年，农业银行在全行范围内进行了有史以来最具独立性的审计体制改革，内部审计的独立性改革取得实质性进展，初步建立了董事会领导下的内部审计监督体系。但是从运作情况看，尽管计办事处与派驻行在人、财、物方面仍然纠缠不清，限制了审计职能的发挥。因此实施推行新的审计方法应与审计体制改革紧密结合，只有兼顾审计方法和审计独立性，才能充分发挥内部审计保驾护航的作用。
2、现代风险导向审计与传统审计方法的结合。风险导向审计方法与传统审计方法之间并不存在天然的鸿沟。内部审计把防范风险的意识贯穿于审计全过程的主导思想由来已久，传统审计方法中分析性测试等常规
审计程序，仍然会在现代风险导向审计中占有重要一席之地。调查、询问、盘点也仍然是现代风险导向审计进行风险评估、发现舞弊环节的重要手段。
3、审计思路 “自上而下”与 “自下而上”相结合。
现代风险导向审计区别于传统审计方法的重要一点即是审计思路的转换。在制度导向审计阶段，审计思路是“自下而上”、“由点到面”，现代风险导向审计要求审计人员运用 “自上而下”和“自下而上”相结合的手段。首先运用自上而下的思路，从整体层面的经营风险分析入手，通过对经营风险及经营控制的逻辑推理，确定审计范围和重点 ，进而制定审计目标和审计程序，然后通过实施实质性测试，结合专业判断，自下而上归纳和判断审计发现，形成最终审计意见。自上而下与自下而上两种审计思路互相结合，相互印证，共同提高审计质量和效率。
【参考文献】
[1] 吴建友.现代风险导向审计研究，经济科学出版社，2008：4～62.
[2]高伟, 李晓慧. 风险导向审计与独立审计准则的运用, 审计研究, 2004, 3:44~47
[3]王泽霞. 论风险导向审计发展创新, 会计研究, 2004, 12: 49~54
[4]王晓霞, 孙坤, 张宜霞. 论风险导向的内部审计理论与实务, 审计研究, 2004, 2: 86~88
[5]常勋, 黄京菁. 从审计模式的演进看风险导向审计, 财会通讯（综合版）, 2004, 13: 10~13
[6]陈毓圭. 关于风险导向审计方法由来与发展的认识, 中国注册会计师, 2004, 4: 8~
13
[7]姚巷保. 风险导向型审计初探, 会计之友, 2003, 4 : 48
[8]中国内部审计协会，北京兆泰投资顾问有限公司.内部审计在治理、风险、控制中的作用，中国财政经济出版社.2004，281～347.
[9]中国内部审计协会，北京兆泰投资顾问有限公司.实施内部审计业务，中国财政经济出版社.2004，2～109.
[10]苏霞.论实质性测试中的发现性审计程序，财经视线，2007，15
【文章字数】7750
【作者联系地址】
宋伟山东省济南市经七路168号
邮政编码 250001
联系电话 0531-******** 158********
曲首晟山东省济南市经七路168号
邮政编码 250001
联系电话 0531-******** 1866388017