浅析内部审计风险的成因与防范

内部风险可以概括为狭义的风险和职业风险两个方面。狭义的风险指人员无意识地发表了不恰当的，偏离客观事实的结论并因此遭受损失的可能性。既包括把客观上是正确的东西判断为错误的，并给予否定的α风险，也包括把客观上是错误的东西判断为正确的而加以肯定的β风险。职业风险主要指，虽然内部人员根据规范采取了正确的程序，发表了恰当的意见，但因为机构和人员之外的原因，使机构和人员受到损失和伤害的可能性。这些原因主要包括：资源的有限性、被单位存在的固有风险等。当内部机构所在的组织的管理层对上述原因没有了解的情况下，有可能对内部的期望过高，对内部职业的发展构成影响。（二）内部风险的构成要素内部是组织内部的一种独立客观的监督和评价活动，其对象是被单位的经营活动和内部控制。由于对内部控制的测试是内部的直接目的，因此，风险的构成要素为重大差异或缺陷风险与检查风险。其中，重大差异或缺陷风险指，在之前，被单位经营活动及内部控制中存在重大差异或缺陷的可能性。检查风险指人员未能通过测试发现重大差异或缺陷的可能性。（三）内部风险的特征1、客观性。由于抽样方法本身存在的缺陷，以及被单位经济业务的复杂程度、管理人员道德品质等因素，结果与客观实际不一致的情况一般难以消除。风险客观存在于活动过程中。2、普遍性。有什么样的活动，就有与之相对应的风险。活动的每一个环节都有可能导致风险因素的产生。任何一个环节的失误，都会增加最终的风险，并会最终影响总的风险。3、潜在性。风险只有在错误形成以后经过验证才能表现出来。假如这种错误被人们无意中接受，即不再进行验证，则人员由此而应承担的责任或遭受的损失实际没有成为现实。所以，风险只是一种可能的风险，它对人员构成某种损失有一个显化的过程。4、无意性。风险是由于某些客观原因，或人员并未意识到的主观原因造成，即并非人员故意所为，人员在无意中接受了风险，又在无意中承担了风险带来的严重后果。倘若人员因某种私利故意作出与事实不符的结论，则由此承担的责任并不形成真正意义上的风险。二、内部风险成因分析（一）风险形成的客观原因主要指内部本身的固有缺陷及所处环境方面的原因，具体包括以下几个方面：1、内部抗御风险能力先天不足，对风险构成影响①内部一般不可能拒绝组织管理层安排的项目，即使该项目存在极大的风险，人员依然要进行并发表意见。这一问题在一部分单位已开展的对拟提拔领导人员任前经济责任中表现的尤其突出。在这类中，组织要求机构必须履行任务，出具报告，提出结论，发表意见。同时，为了保障被单位的业务运行正常有序，给予机构的时间又非常有限。对于这类任务，机构只有完成，无法因被单位可能存在较大的固有风险而拒绝。机构对这类的风险难以控制。②当发生失败，而责任又并非人员过错时，人员很难通过区分会计责任和责任的方式解除自己的责任。在组织内部，也没有某种机构来调查人员的尽责情况以减轻责任。有的机构在前，要求被单位签订承诺书，承诺所提供的资料真实、完整，想以此减轻责任。但是，因为没有相关的制度规定对提供了虚假的资料的单位负责人进行处罚，承诺制度实际上是形同虚设，无法起到保护人员的作用。③内部在取得外部证据方面能力较弱。证据是指内部人员在从事活动中，通过实施程序所获得的，用以证实事项，作出结论和建议的依据。从证据的可靠性程度而言，因为外部证据来源于被单位外部，没有经过被单位的作业系统而直接由内部人员取得，其来源的客观性较强，可靠性也较强。取得外部证据，有利于人员作出正确的结论。但是，因为内部机构存在于特定的组织当中，其权力也仅限于在该组织中行使，要取得外部证据，基本依靠被单位提供和相关外部单位的配合态度。如果外部相关单位不予配合，则无法有效取得外部证据，因此，内部取得外部证据的能力较弱。从实践的情况看，被单位与外部经济业务纷繁多样，内容庞杂，被单位与相关外部单位关系复杂，人员在缺少外部证据的情况下，要证明被单位发生交易的真实性、合法性与完整性，的确非常困难，由此对结论的恰当性造成极大的影响。例如，在国家之前，组织一般都要求内部先行自查，但因为难以取得外部证据，内部无法有效发现重大问题。而这些重大问题，在国家时，因其取得证据的能力强，从而被揭露出来，造成内部机构十分被动。2、内部资源有限，导致风险产生近年来，经过内部人员的不懈努力，组织对内部的重视程度日益提高。同时，随着组织业务规模的拓展，组织结构的复杂，组织管理层对信息和结果的依赖程度也不断增强，寄希望内部在查清问题，明确责任，加强内部管理，提高经济效益方面发挥更大的作用。但是，资源，包括机构的人力状况、知识经验、财力和时间，相对于组织的期望总是有限的。现实中，机构人力资源不足，知识结构单一的问题始终没有得到有效解决。人力资源缺乏，知识结构存在缺陷，导致监督覆盖面小，深度不够。一些组织为了弥补人力资源不足的缺陷，尝试采取机构牵头，有关业务部门参加的联合方式。但因参加组的各业务部门的人员无法由部门确定。因此，无法保障参加任务人员的质量，效果并不明显。资源的有限性还体现在项目开展方面。为了适应组织在不同发展时期的具体情况、满足组织管理层的专门要求，内部的项目已呈现出多样性的特点，不仅包括传统的收支，还更多地开展了效益、管理、经济责任、风险管理等。每种项目的目标又各有侧重，如经济责任强调对被人的业绩确认，经济责任完成情况的界定，对经济责任履行情况的评价；风险管理注重对风险事项的识别与评估、对有关风险管理措施的充分性、有效性的评价等。但是，内部资源在一定时期内是相对有限的，不可能同时开展上述的各种项目，只能根据组织当前的需求，有所侧重地将资源投入到一定类别的项目中，依据具体的目标，设定程序、收集证据，发表意见。不可能在项目中做到面面俱到。这种情况下，就可能出现死角的问题。而一旦出现重大问题，给组织造成了损失，尽管工作开展规范，人员尽职负责，相应的结论客观恰当，但组织管理层依然有可能以机构曾对该单位进行了为由，追究机构责任。这也是为什么“安然”和“世通”公司的内部机构虽然做了大量工作，而这些公司依然发生了丑闻的一个原因。组织管理层对的期望，应以现实的资源为基础。机构也只有在其资源允许的条件下才能发挥作用。超出资源的限制，机构就难以完成任务，导致风险的形成。3、对象的复杂性和被单位的经营管理情况对风险影响较大内部的对象是组织的经济活动和内部控制。在现代市场经济环境下，组织的经济活动正在变得日益复杂。特别是迅速扩张中的企业组织，业务领域不断拓宽，在原有产品生产、劳务服务基础上，已涉足资本运作、房地产开发以及其他的投资活动。随之而来的，一方面是经济行为日益复杂，经营风险不断提高，另一方面，为了占有更多的市场，业务开展较快，内部控制则相对滞后。这种情况给内部工作增加了难度。首先，资本运作项目，房地产开发项目等投入资金大，项目运行时间长，外部影响因素多，对其进行评价，发表恰当的意见比较困难；其次，人员的知识积累、专业经验和职业判断能力有可能在短时间内无法适应业务的迅速扩展和新业务的复杂性，造成结论严重偏离实际情况的可能性加大，从而加大风险。被单位经济业务活动的特点，内部控制制度的强弱，技术发展趋势，管理人员的素质和品质等因素对被单位的经营风险产生影响，进而影响风险。一是被单位的资金、人员和业务量的多少。在其他条件相同的情况下，资金、人员越多，业务量越大，信息包含错误且被发现的可能性越高，风险越大；二是被单位重要岗位人员的流动情况。重要岗位人员的流动越频繁，由于员工对该岗位业务不熟练，有关错误发生的的可能性也越大，给工作带来一定的风险；三是管理人员的正直性与遭受的异常压力。管理人员缺乏正直性，或者遭受诸如经营状况不佳、连续亏损、受托经济责任难以完成等情况时，则信息存在重大错误或舞弊的可能性会增大；四是被单位的行业性质。一般而言，经营风险高的行业，其经营失败的可能性大，风险也高；五是容易遭受损失或被挪用的资产。若某项经营活动涉及容易遭受损失或被挪用的资产，则与之有关的重大差错或舞弊的风险会增加；六是被单位的内部控制情况。内部控制健全有效，则风险小，反之则大。（二）风险形成的主观因素风险的主观原因是指人员自身因素及项目开展对风险形成的影响，具体可以从以下几个方面来说明：1、人员素质的高低是决定风险大小的主要因素人员的素质包括从事工作需要的专业知识、经验、应有的职业谨慎性、高度的工作责任感与积极的工作心态等。人员的专业知识与经验是人员素质的重要内容。但是专业知识需要不断更新，经验需要实践积累。面对纷繁复杂的内容，专业知识的陈旧与经验的不足都会造成责任无法履行和判断出现错误，直接导致风险的产生。例如，会计电算化和网络技术深入发展，为人员在信息系统环境下的工作带来了不同于传统手工业环境下的风险。但是，由于对IT技术生疏，人员无法有效对对这些内容进行审查，形成空白，加大了风险。人员风险意识不强，加大风险。由于我国多数内部机构在初建时，并非出于组织管理的需要，而是基于国家的强力要求，导致一些内部机构和人员的风险意识淡薄，认为内部仅是奉命行事，履行手续而已，即使出现误差或疏漏，也没有多大影响。这种思想非常错误。随着市场经济的不断深入，组织所处的内外部环境已发生了巨大的变化，加强内部管理，增加组织价值，保障组织目标的有效实现已成为组织的迫切愿望，而这一愿望必须在组织内各部门，包括内部部门，有效履行职能的情况下才能实现。机构和人员如果没有风险意识，就会加大出现重大差错的可能性，致使职责无法有效履行。不恰当的信息有可能误导组织管理层作出错误的决策，最终给组织造成损失。组织也将因此严厉追究机构和人员的责任，导致职业受到损害。另外，人员的工作责任感不高、没有积极的工作心态，也是造成风险加大的原因。舞弊等重大问题，往往隐藏很深，在过程中，人员如果没有责任心，不积极主动地思考分析问题，仅被动地执行规定的程序，极有可能遗漏这些重大问题，造成失败。2、内部欠规范，质量失控制，造成风险增大程序是机构开展活动的全过程，包括制定项目计划、准备阶段、实施阶段和报告阶段。程序是使工作能够按照科学合理的轨迹有序运转的保证，在过程中，人员要根据所确定的目标和可支配的资源，针对具体的事项取得具有充分证明力的证据，依据证据去证实事项与依据的相符程度，就事项的性质作出结论，并将结论传达给利益相关的人。程序是确定目标的手段，是确定方法的前提，规范的程序是保证质量，降低风险的客观要求，是提高效率，减少资源消耗的有效途径。2003年以来，根据署《关于内部工作的规定》，中国内部协会陆续制定和公布了中国内部准则，对规范程序，提高质量，减小风险起到了积极的推动作用。但是，一些组织的机构没有根据这些内部准则修订、完善自己的工作规定，没有积极规范自己的基本程序，没有建立健全质量控制制度和措施，导致工作随意性大，表现为，在计划的制定中，未能以风险为导向制定计划；在的全过程中，没有合理考虑和应用重要性标准；项目开展之前，缺乏充分的审前调查，实施方案的编制缺少依据；必要的程序存在缺失；取得的证据证明力不足；工作底稿随意编制，范围存在漏洞的可能性大，作出的结论依据不充分。