06浅议风险管理框架下内部审计的转型

浅议风险管理框架下中国石油内部审计的转型[摘要]按照美国《萨奥法案》的要求，中国石油已全面启动以风险管理为核心的内控体系建设和运行工作，本文拟从中国石油风险管理框架的建立对内部审计的影响，提出中国石油内部审计转型的几点看法[关键词]风险管理框架内部审计转型按照美国《萨班斯—奥克斯利法案》的要求，中国石油经过四年多的内控体系建设，已建立起覆盖经营管理各领域的内控体系, 并正向以全面风险管理为核心的内控体系转变，如何适应风险管理框架的要求，满足公司管理层监控的需要，实现内部审计转型，成为摆在我们面前的一个亟待解决的课题。

本文拟从中国石油风险管理框架的建立对内部审计的影响，就中石油内部审计的转型谈几点看法。

一、风险管理框架的建立风险管理框架大体上经历了五个阶段，包括内部牵制阶段、内部控制阶段、内部控制结构阶段、COSO内控框架阶段和风险管理框架阶段。

2004年4月，美国COSO委员会公布了《公司风险管理框架》，该框架将公司管理的重心由内部控制转向风险管理，强调风险意识和预警意识，围绕公司战略目标的实现，将风险识别、分析、评估和管理作为框架的核心内容。

2006年6月, 国务院国有资产监督管理委员会制定下发了《中央企业全面风险管理指引》，强调中央企业建立全面风险管理的重要性，明确要求内部审计要定期对本公司风险管理工作及其效果进行监督评价。

2008年1月, 中石油总会计师王国樑在内控会议上作了《建设以风险管理为核心的内控体系，为公司战略发展提供有力保障》的发言，指出建立风险管理框架的紧迫性和要求。

风险管理框架离我们并不遥远,建立风险管理框架既是上市公司的需要，也是公司持续、健康发展的保障，对公司有效抵御各种风险具有重要的现实意义。

二、风险管理框架的建立及运行对内部审计的影响以风险管理为核心的内控框架的建立，对内部审计提出了新的挑战和机遇，内审部门要以此为契机，研究风险管理框架的建立和运行对现行内部审计的影响，为各项业务活动的正常进行，经营管理目标的实现提供有力保障。

1、对内部审计理念的影响风险管理内控框架下，强调以风险为导向内部审计计划的重要性，改变了过去几十年来传统审计计划的理念；将公司内部审计独立性的要求提升到是否产生实质性漏洞的高度，突出内审的独立性和客观性，改变了内部审计是把关部门的理念；信息系统的建立和测试，改变了过去单纯数据审计的理念，促使审计部门不仅要对数据进行审计，还要对运行数据的应用系统进行审计。

2、对内部审计范围和内容的影响建立在风险管理框架下的内控体系，不仅仅是生产和经营控制，还包括控制环境的营造、风险管理、信息的传递与沟通等。

内部审计作为公司内部控制的重要组成部分，在公司环境控制、风险管理及预防公司舞弊行为中起着重要的作用。

在确定审计计划、审计范围、审计重点时将风险因素作为首要的因素来考虑, 这都不同于传统的内部审计。

内部审计的范围和内容将进一步拓宽，审计范围扩展到了地区公司一级的审计，不仅要审计下级，还要审计同级，甚至上级，审计内容扩展到了风险导向审计、环境审计、舞弊审计，审计重点转向风险的预防和控制。

3、对内部审计手段和方法的影响按风险管理框架建立起来的内控体系是一个庞大的系统工程，涉及到公司的生产、经营、建设、企业文化等方面，还涉及到公司的信息系统如财务FMIS系统和资产FA系统等，内部审计如果还沿用过去的手工操作，不仅测试工作量大，而且也难以适应信息系统上机测试的要求。

同时风险管理框架下, 重点是对风险的识别和控制, 在审计方法的选用上，更多的是应用抽样审计方法，因此，内部审计的发展趋势是逐步向计算机审计和抽样审计方向发展。

4、对内部审计独立性的影响风险管理框架下更加突出内部审计的独立性，要求恰当履行审计职能，以保证内部审计的客观性和有效性。

而传统内部审计则作为公司的一个把关部门，在公司工程结算审计、合同审计、付款审计等环节起着关键控制作用，其中最典型的如工程决算必审制、合同必审制，这类审计的实施每年为中石油节约了大量的资金，但不符合内控的要求，影响了审计的独立性，可能形成重大缺陷或实质性漏洞，如何在保证内部审计独立性和客观性的前提条件下，做好工程和合同审计，发挥内部审计增加价值的作用成为一项新的课题。

5、对内部审计环境和风险的影响风险管理框架不仅将控制环境纳入到内控体系，而且将其作为内部控制的基石，强调组织机构和人的作用，随着公司组织机构的建立健全，经营理念和经营风格的提升，员工职业道德的加强，必将为内部审计提供一个良好的审计环境，使公司的舞弊行为逐渐减少，为规避审计风险，提高审计质量打下坚实的基础。

三、风险管理框架下内部审计转型的几点思考随着风险管理框架的建立和完善，不仅为内部审计提供了一个良好的审计环境，解决了过去内控审计中评审无标准的问题，更重要的是从根本上解决了内部审计的发展问题。

中国石油内部审计也必将转变审计职能，与国际大石油公司的内部审计接轨，执行国际内部审计标准，建成适度集中与分散相结合的组织结构，在整体上实现高层次、高效率的审计管理机制。

1、确立风险管理框架下内部审计的定位在风险管理框架下，为了满足内部审计独立性的要求，内部审计应坚持“建议而不决策，检查而不代替”的定位原则，处理好与管理层和业务部门的关系，如对工程审计、合同审计和物资采购审计采取抽审的方式，注重评价和风险分析，重点关注程序、规定、标准履行情况。

将审计决定转变为审计建议书的形式，通过审计建议、审计调查等协助管理层对风险管理做出重大改进。

与业务部门和被审计单位充分沟通审计中出现的新问题，慎重处理差异，努力做到“先达成共识，再下审计结论”，将过去的“审批”改变成“检查评价”。

内部审计只有摆正自己的位置，才能避免引起公司内部职责混乱，保证审计的客观公正性，也才能有效降低风险，促进公司经营目标的实现。

2、完善风险管理框架下的审计管理体制在风险管理框架下,中石油所属地区公司的审计无论是公司层面、业务活动层面还是信息系统都侧重于公司本部，一个现实的问题摆在我们的面前，那就是地区公司一级的审计机构必须开展同级审计，这是地区公司自我测试的要求，也是今后的一项常规审计工作。

在开展内控测试的初期，地区公司各级部门都比较重视，直接领导内控测试的往往是地区公司主要领导，随着内控测试工作的制度化、经常化，内控测试成为地区公司的一项常规工作，同级审的难度也在逐渐增大，如何解决这个问题，最有效、最直接的办法是扩大中石油总部一级审计力量，保持或适当缩减地区公司二级审计力量，即中石油总部分片成立审计分局，对地区公司一级的内控测试、集中统一管理模式下的生产经营数据和系统(如财务FMIS7.0系统\资产FA6.0系统)进行检查评价，地区公司一级的审计机构主要对本公司二级单位的管理和控制进行审计评价。

只有这样才能提高审计的独立性，保证审计结果的客观性。

3、以风险为导向的审计作为内审工作的主线随着公司风险管理框架的建立和运行，内部审计的职能已由过去的监督和评价逐步转向确认和咨询，如何识别风险、控制风险将逐步成为内部审计的工作重点。

内审人员应在风险评估的基础上，制订内部审计计划；在考虑公司整体战略目标的基础上，确定审计范围；在分析风险因素的基础上，确定审计业务工作重点并编制审计方案；在实施审计时，侧重对各业务流程的关键控制点开展风险分析，发现关键控制点上的隐患，分析形成缺陷的原因及危害程度；在审计报告中对风险管理状况进行评价，指出存在的漏洞和不足之处，提出加强管理的建议；在后续审计时，将风险确定为持续审计的重要因素。

通过以风险为导向的审计，提高整体管理效率和效果。

4、将舞弊审计纳入常规审计的范围为了适应风险管理框架的要求，切实发挥内部审计协助管理层预防、发现、纠正舞弊行为的职能，要按舞弊预防、检查与报告的相关规定，在风险评估的基础上，立项开展舞弊审计项目，监督公司反舞弊控制措施执行情况，提出完善反舞弊控制建议；将反舞弊工作纳入常规审计工作，定期、规范开展；逐步探索舞弊审计的立项程序、报告程序和处理程序，并做好和其他职能机构在反舞弊工作中的协调和配合工作。

5、积极探索风险管理框架下环境审计、安全审计工作现阶段，中石油面临的突出风险一个是资源接替不足的矛盾，一个是安全问题，内部审计如何协助管理层管理好这两个风险，是内部审计部门不可回避的问题。

应对这两个风险，内部审计部门应尝试开展环境审计和安全审计，开展环境审计和安全审计的主要目的，就是贯彻科学发发展观，使公司和谐、健康、有序的发展，而不是破坏性的、无序的开采，内部审计不仅要协助管理层发现经济环境存在的缺陷，更重要的是协助管理层发现组织环境、生态环境、道德环境、安全等方面存在的薄弱环节，评价公司环境和安全方面的得失，为公司战略目标的实现和价值增值服务，也只有这样，才能得到管理层的重视、才能发挥内部审计价值增值的作用、才能使内部审计更加充满活力。

6、做好风险管理框架下内部审计的基础工作（1）切实做好基于风险的审计计划编制工作，从源头上控制风险要转变观念，充分认识制订风险审计计划的必要性和重要性，不能走过场和应付。

编制风险审计项目计划，既是上市公司内控建设的要求，也是国资委《中央企业全面风险管理指引》的要求。

通过编制以风险为导向的审计项目计划，确定审计重点，使有限的审计资源分配在风险大、影响全局的审计项目上，保证内部审计的有效性。

同时在年度审计计划中，根据风险的大小确定哪些项目需要在结算前审计，哪些合同需要在签约前审计，既抓住了重点，又使内部审计不等同于把关部门，与内控体系的要求不冲突，提高了审计的独立性和客观性。

（2）强化培训，不断提高审计人员素质无论是风险管理审计还是舞弊审计、环境审计、安全审计，都是一项全新的工作，审计的内容、方法、程序、标准都不同于以往的审计，内部审计人员不仅要懂得经营管理知识及相关法律法规，还必须具备相应的风险管理素质、抽样审计技术和计算机操作技能。

通过精湛娴熟的专业胜任能力来协助组织预防和减少风险，改进管理和提高效率。

（3）优化审计手段，不断提高内部审计效率信息技术的发展为内部审计带来了准确、快速的辅助工具，为了适应风险管理的需要，要依托审计信息系统和计算机辅助审计技术，逐步向联网审计和远程审计方向发展，向事前、事中审计延伸。

伴随着公司ERP系统的全面实施，内部审计人员的工作环境渐趋网络化和智能化，内审人员要利用全新的网络化审计方法，实施远程审计和实时监督，通过审计信息化手段，协助管理层发现风险、控制风险，提高审计效率和质量。

主要参考文献：1．时现、李莉：“依托内控体系建设优化公司管理资源研究”。

中石油2007年科研课题。

2、王国樑：《建设以风险管理为核心的内控体系为公司战略发展提供有力保障》，2008年元月中石油内控总结讲话。