论文部分内容阅读
摘 要：在人民银行内部审计引入风险导向审计的过程中，涌现出大量探讨建立风险评估模型和估计风险系数的研究，旨在将风险评估结果应用在确定审计频率、审计重点及合理分配审计资源上。探讨建立审计数据库的可行性和在具体审计项目中调整风险评估模型的因素，提高风险导向审计可操作性。
关键词：风险导向审计 风险评估 数据库系统
一、人民银行风险导向审计背景及面临的主要问题
人民银行总行于2011年初步确立了风险导向审计模型。但是，由于人民银行各业务领域相对孤立，互不牵扯，面临的外部环境也较单一、稳定，故风险导向审计在人民银行的应用中存在一些问题：一是风险评估过程滞后。风险评估过程应当在制定审计计划之前，但由于人民银行的内部审计大部分是分业务部门审计，调取的资料单一，调阅资料风险评估的过程和审计过程重合，风险评估的意义无法凸显；二是风险审计缺乏持续性。在现行风险导向审计中，审计过程中重点关注审计期间的业务情况，审计业务一结束，很少继续关注业务部门及其环境的变化，直到下一次审计业务开始。
二、完善人民银行风险导向审计的相关建议及措施
针对人民银行审计工作及环境现状，我们认为可以从以下几个方面着手推动风险导向审计的应用。
1.辩正地引入风险导向审计。考虑到人行业务范围单一，流程简单，内控制度比较健全，所以可以考虑采用以下混合审计模式：一是将账项导向审计和风险导向审计相结合的混合审计模式；二是将内控导向审计和风险导向审计相结合的混合审计模式。不论采用那种审计模式，都应该在整个审计过程中结合风险导向审计的理念。
2.建立审计数据库。审计数据库旨在构建一个集各级审计信息，审计经验，流程，行业知识为一体的信息库。现阶段应借鉴其他审计机构建立数据库的方法，构建以审计结果为基础，以被审业务为标志的动态审计数据库，该数据库应包括以下内容：
2.1分支行内审历史数据。人民银行各地区分支行重点业务领域风险相似，审计结果的通用性较强，且单一支行的审计经验往往不够全面，如果建立审计数据库，把针对同一类型的业务审计经验进行归结，组织建立分行辖内乃至全国的数据库系统则能发现具有普遍性的问题。
2.2交叉审计项目历史数据。交叉审计由于能打破审计人员知识结构、业务水平等局限，充分发挥审计独立性，防范隐瞒不报的问题，所以，将交叉审计的资料纳入数据库能更加客观全面的评判被审计单位的风险水平。
2.3跨业务部门的数据。一是法律法规。人行业务涉及十几个业务领域，每个业务领域有其法律规章，将相关法律、法规都统一录入数据库，方便审计人员提前学习和发现问题并查找依据；二是人员信息。如果能联网人事部门建立完善的人员信息，对审计人员熟悉被审计部门的情况，进行合理的风险评估将有很大的帮助。
3.调整风险导向审计流程。目前，在开展人民银行风险导向审计的过程中，风险评估过程是在现场审计阶段完成，没有实现“风险引导审计”。我们认为，在立项后基于审计数据库，从数据库提供的信息中得出风险评估结果，并以此确定审计资源的分配等，使审计工作更加合理、全面（如图1）。
图1.风险导向审计流程图
4.调整风险可能性分级标准和完善风险评估调整项。一是在总行下发的风险评估方案中，风险事件的发生可能性分级（表1）在“有历史数据，引起损失的事件发生频率”中被分为4级，由低到高分别为“5年以上未发生、5年内发生过、3年内发生过、1年内发生过”。但是一个地区没发生过不能代表该风险点不存在或是风险水平低。由此，我们将有历史事件的风险发生的可能性设置为“该风险点风险发生的可能性=审计发现该项风险的次数/此类业务审计发现问题总数*100%”，由低风险到高风险的四个级别分别定为“0-10%、10%-20%、20%-30%、30%以上”。
二是有效性的风险发生的可能性设置为“该风险点风险发生的可能性=审计发现该项风险的次数/此类业务审计发现问题总数*100%”，由低风险到高风险的四个级别分别定为“0-10%、10%-20%、20%-30%、30%以上”四个等级。三是针对表3 的C部分调整项，我们认为业务环境发生变化所带来的风险没有考虑在内，诸如法律法规、人员变动、业务内容的变化和操作系统的变化带来的风险隐患。所以增加了法律法规发生变化、人员变动和业务变化这三项因素，权重比例和1、2项保持一致，均为15。
表2.内部控制有效性的风险级别判定标准
控制因素 第1级 第2级 第3级 第4级
最近一次审计结果 上次审计未发现较为重要的风险隐患；或者最近1年未审计。 上次审计发现了中等程度的风险隐患； 或者最近2年未审计。 上次审计发现了重要的风险隐患；或者最近3年未审计。 上次审计发现了多项重要的风险隐患，对央行核心职能会产生重大影响；或者超过4年未审计。
近3-5年历史数据的风险级别（风险发生的可能性=审计发现该项风险的次数/审计发现问题总数*100%） 0-10% 10%-20% 20%-30% 30%以上
上次审计以来内部控制变化情况 全面进行整改，审计建议基本采纳；
而且业务管理情况未发生实质性调整。 大部分问题得到有效整改；
或者业务管理情况发生较小变化、较为简单的调整。 很多问题未得到有效整改，审计建议未得到积极采纳和落实；或者业务管理情况发生较为复杂的调整。 基本未采取任何整改措施，审计建议未予采纳；
或者业务管理情况发生重大变化和广泛调整。
2.上次审计以来内部控制变化情况 25
调整前风险级别（1-4之间）【=（∑固有风险权重×风险级别+∑内部控制有效性权重×风险级别）÷∑A、B两部分权重】
C.调整项 权重 赋值（0或4） 调整加权结果
1.全行工作重点、热点和难点 15
2.行领导批示 15
3.法律法规政策变化 15
4.人员变动 15
5.业务变化 15
调整后风险级别【= （调整前风险级别×∑A、B两部分权重 + ∑调整项加权结果）÷∑A、B、C三部分权重】
三、结语
人民银行风险导向审计模式尚在不断的探索之中，应通过建立风险导向审计数据库，不断的积累审计经验，努力实现事后审计向事后审计与事中审计相结合转变、静态审计向静态审计與动态审计相结合转变、现场审计向现场审计与远程审计相结合转变，不断积累数据和分析模型，增强人行审计的时效性，拓展审计广度，提高审计深度。
关键词：风险导向审计 风险评估 数据库系统
一、人民银行风险导向审计背景及面临的主要问题
人民银行总行于2011年初步确立了风险导向审计模型。但是，由于人民银行各业务领域相对孤立，互不牵扯，面临的外部环境也较单一、稳定，故风险导向审计在人民银行的应用中存在一些问题：一是风险评估过程滞后。风险评估过程应当在制定审计计划之前，但由于人民银行的内部审计大部分是分业务部门审计，调取的资料单一，调阅资料风险评估的过程和审计过程重合，风险评估的意义无法凸显；二是风险审计缺乏持续性。在现行风险导向审计中，审计过程中重点关注审计期间的业务情况，审计业务一结束，很少继续关注业务部门及其环境的变化，直到下一次审计业务开始。
二、完善人民银行风险导向审计的相关建议及措施
针对人民银行审计工作及环境现状，我们认为可以从以下几个方面着手推动风险导向审计的应用。
1.辩正地引入风险导向审计。考虑到人行业务范围单一，流程简单，内控制度比较健全，所以可以考虑采用以下混合审计模式：一是将账项导向审计和风险导向审计相结合的混合审计模式；二是将内控导向审计和风险导向审计相结合的混合审计模式。不论采用那种审计模式，都应该在整个审计过程中结合风险导向审计的理念。
2.建立审计数据库。审计数据库旨在构建一个集各级审计信息，审计经验，流程，行业知识为一体的信息库。现阶段应借鉴其他审计机构建立数据库的方法，构建以审计结果为基础，以被审业务为标志的动态审计数据库，该数据库应包括以下内容：
2.1分支行内审历史数据。人民银行各地区分支行重点业务领域风险相似，审计结果的通用性较强，且单一支行的审计经验往往不够全面，如果建立审计数据库，把针对同一类型的业务审计经验进行归结，组织建立分行辖内乃至全国的数据库系统则能发现具有普遍性的问题。
2.2交叉审计项目历史数据。交叉审计由于能打破审计人员知识结构、业务水平等局限，充分发挥审计独立性，防范隐瞒不报的问题，所以，将交叉审计的资料纳入数据库能更加客观全面的评判被审计单位的风险水平。
2.3跨业务部门的数据。一是法律法规。人行业务涉及十几个业务领域，每个业务领域有其法律规章，将相关法律、法规都统一录入数据库，方便审计人员提前学习和发现问题并查找依据；二是人员信息。如果能联网人事部门建立完善的人员信息，对审计人员熟悉被审计部门的情况，进行合理的风险评估将有很大的帮助。
3.调整风险导向审计流程。目前，在开展人民银行风险导向审计的过程中，风险评估过程是在现场审计阶段完成，没有实现“风险引导审计”。我们认为，在立项后基于审计数据库，从数据库提供的信息中得出风险评估结果，并以此确定审计资源的分配等，使审计工作更加合理、全面（如图1）。
图1.风险导向审计流程图
4.调整风险可能性分级标准和完善风险评估调整项。一是在总行下发的风险评估方案中，风险事件的发生可能性分级（表1）在“有历史数据，引起损失的事件发生频率”中被分为4级，由低到高分别为“5年以上未发生、5年内发生过、3年内发生过、1年内发生过”。但是一个地区没发生过不能代表该风险点不存在或是风险水平低。由此，我们将有历史事件的风险发生的可能性设置为“该风险点风险发生的可能性=审计发现该项风险的次数/此类业务审计发现问题总数*100%”，由低风险到高风险的四个级别分别定为“0-10%、10%-20%、20%-30%、30%以上”。
二是有效性的风险发生的可能性设置为“该风险点风险发生的可能性=审计发现该项风险的次数/此类业务审计发现问题总数*100%”，由低风险到高风险的四个级别分别定为“0-10%、10%-20%、20%-30%、30%以上”四个等级。三是针对表3 的C部分调整项，我们认为业务环境发生变化所带来的风险没有考虑在内，诸如法律法规、人员变动、业务内容的变化和操作系统的变化带来的风险隐患。所以增加了法律法规发生变化、人员变动和业务变化这三项因素，权重比例和1、2项保持一致，均为15。
表2.内部控制有效性的风险级别判定标准
控制因素 第1级 第2级 第3级 第4级
最近一次审计结果 上次审计未发现较为重要的风险隐患；或者最近1年未审计。 上次审计发现了中等程度的风险隐患； 或者最近2年未审计。 上次审计发现了重要的风险隐患；或者最近3年未审计。 上次审计发现了多项重要的风险隐患，对央行核心职能会产生重大影响；或者超过4年未审计。
近3-5年历史数据的风险级别（风险发生的可能性=审计发现该项风险的次数/审计发现问题总数*100%） 0-10% 10%-20% 20%-30% 30%以上
上次审计以来内部控制变化情况 全面进行整改，审计建议基本采纳；
而且业务管理情况未发生实质性调整。 大部分问题得到有效整改；
或者业务管理情况发生较小变化、较为简单的调整。 很多问题未得到有效整改，审计建议未得到积极采纳和落实；或者业务管理情况发生较为复杂的调整。 基本未采取任何整改措施，审计建议未予采纳；
或者业务管理情况发生重大变化和广泛调整。
2.上次审计以来内部控制变化情况 25
调整前风险级别（1-4之间）【=（∑固有风险权重×风险级别+∑内部控制有效性权重×风险级别）÷∑A、B两部分权重】
C.调整项 权重 赋值（0或4） 调整加权结果
1.全行工作重点、热点和难点 15
2.行领导批示 15
3.法律法规政策变化 15
4.人员变动 15
5.业务变化 15
调整后风险级别【= （调整前风险级别×∑A、B两部分权重 + ∑调整项加权结果）÷∑A、B、C三部分权重】
三、结语
人民银行风险导向审计模式尚在不断的探索之中，应通过建立风险导向审计数据库，不断的积累审计经验，努力实现事后审计向事后审计与事中审计相结合转变、静态审计向静态审计與动态审计相结合转变、现场审计向现场审计与远程审计相结合转变，不断积累数据和分析模型，增强人行审计的时效性，拓展审计广度，提高审计深度。