以风险评估为基础编制年度审计计划的方法

　　风险导向内部审计在选题立项、编制年度审计计划时，可以运用“四步法”实施。

　　第一步：综合分析审计需求

　　内部审计机构在编制年度计划时，应综合考量经营业务的特点、管理层的风险偏好、风险管理过程和结果，全面考虑内外部审计安排。

　　从横向业务条线分析，应将年度审计工作覆盖企业核心业务风险，保证审计工作安排与企业战略目标和主要经营任务紧密结合，并能够在横向覆盖面上关注主要经营单元。一般地，企业新拓展业务在管理体系成熟度不高时应予适当关注，高风险业务对企业持续健康发展有重要影响，内在风险较高的经营活动也应纳入审计需求清单中。

　　从纵向风险管理状况分析，内部审计机构应充分关注经营管理的风险特点、业务部门和风险管理部门的控制活动和风险评估结果。内部审计要积极与企业各层级机构沟通，通过问卷调查、专题访谈、调阅风险测试结果等方式，获得他们对战略风险、财务风险、法律风险、经营风险等的认知、政策和偏好，关注管理层关切的风险领域，听取审计客户的需求。

　　第二步：风险评估与排序

　　通过访谈和问卷调查形成审计需求结果后，应去除不适合实施审计或超越内部审计能力和职责范围的项目，合并重复项目，汇总形成可审计事项清单。对审计需求清单各项目赋予合理的权重，特殊业务事项的风险权重值可组织评估小组进行研讨，加权评分后得出各事项的风险评估值。按照风险评估结果进行总体排序，形成审计需求排序表。要注意对调研得出的初步审计需求结果进行甄别，把握内部审计的定位和职责要求，避免接受不属于审计职责的委托。

　　第三步：评估审计资源状况

　　建立审计需求清单库并进行排序后即形成了审计任务的选择对象，但是否能够组织实施还需要对内部审计可用资源进行必要评估。在内部审计章程规定和公司治理及管理环境许可的情况下，内部审计资源评估分析可从内部审计机构的人力资源评估、内部审计开展活动所需的预算经费保障、审计可利用的信息资源支持、可利用的外部专家资源分析几方面考虑，以期做到资源统筹调配、任务科学规划、项目高效响应。

　　第四步：将审计资源与审计需求进行匹配

　　要根据审计资源状况和审计需求的风险顺序，将审计事项耗费资源量与风险覆盖度对比，均衡匹配供给与需求。在能力素质具备的条件下，优先考虑高风险业务的立项。如果需求清单中任务较多，就需要删除一些低风险值的项目，或合并替换部分项目。或者申请寻求增加审计资源，实施审计外包或拒绝一些不当需求。如果需求任务较少，可重新考量风险评估过程是否充分完整，适当调整增加。优先安排高风险项目并甄选有经验的优秀审计骨干参加。对于风险程度一般、也不太紧急的项目可以安排一般人员参与。

　　实践中需要

　　注意的问题

　　一是运用风险导向内部审计模式不能忽视企业管理状况，尤其是企业内部控制建设情况和风险管理所处的发展阶段。应正确认识企业发展阶段和管理需求以及内部审计人员素质状况，在此基础上循序实施风险导向审计。当企业内部控制与风险管理相对成熟时，管理者期望内部审计转变成为价值链中增加价值的辅助链条，风险导向审计才有具体的实施载体。

　　二是制订审计计划时要注意内部审计的职业原则和功能定位，时刻把握审计职责与管理职责的边界。应厘清内部审计确认和咨询服务的职业边界，把握内部审计在企业价值创造中的功能定位，保持独立性。但审计要“有所为有所不为”，防止过度介入经营管理过程。应客观认识审计人员的素质水平和胜任能力，如不具备相应的资源能力，就要量力而行，考虑拒绝接受委托。在计划阶段要避免夸大审计职能，适度预计咨询任务量。

　　三是客观看待审计业务量与审计资源的关系，防止立项时盲目增加审计项目数量。审计立项不在于数量而在于精准和效果，要把握审计质量为先、质大于量的理念。对于新设内部审计机构而言，要想做出成效就需要取材精、定位准、重质量。抓住影响经营发展的几个关键点，透彻挖掘经营风险，做出亮点引起重视比广泛撒网、分散精力更为明智。相对成熟和健全的内部审计机构也要注意避免夸大内部审计能力、片面追求业务范围的全面、盲目增加审计项目数量。审计立项要围绕企业战略目标和核心经营业务，充分考虑风险评估结果，突出重点。相反，审计如果什么项目都想介入，就会显得忙乱无序、劳而无功，也会离正确的内部审计职业理念越来越远。考虑到高级管理层可能会临时安排专项任务，计划可能会在执行中调整或增加，年度审计计划任务量不宜过于饱满，避免造成被动，顾此失彼，或为了按期完成任务损害审计质量。

　　四是加强审计计划管理的规范性，做好审计项目与资源调配的动态管理。要做到审计计划的科学规范管理，保持并提升年度审计计划的权威和效力，就要在选题立项、需求评估、项目管理和审计质量控制等方面建立规范流程，严格执行。拟订年度审计计划后应该按照审计章程等要求呈报董事会或审计委员会审议批准。临时性审计需求的委托也应履行适当的立项程序，避免随意打乱计划。现代企业需要更敏锐和更灵活的风险评估，审计人员在面对具有潜在增长趋势的风险时也应保持敏锐度和适应性。审计人员认为的高风险和高价值事项未必就是管理层和董事会的意愿，管理当局的风险偏好是构成内部审计微观生存环境的核心要素，在计划阶段要充分考虑其审计需求。