如何运用风险导向方法合理选择被审计单位和事项

      根据国际内部审计协会的《内部审计实务标准》和中国内审协会的《内部审计具体准则》，我们总结风险导向内部审计方法的运用范围主要包括：一是在编制审计计划时，应该在对可能影响机构的风险进行评估的基础上，合理选择被审计单位和事项。二是确定审计范围时，要考虑并反映整个公司的战略性计划目标，且每年对审计范围进行一次评估，以反映机构的最新战略和方针。三是编制审计方案时，应该在评估风险优先次序的基础上安排审计工作。四是在审计实施过程中，通过评价内部控制制度，查找其中的疏漏和薄弱环节。五是在编制审计报告时，应对风险管理状况进行评价，指出风险管理中存在的漏洞和不足之处，提出加强管理的建议。六是以风险大小作为确定后续审计范围的重要因素，风险越大，追踪审计的范围就越广。

      按照简单清晰的原则，在此主要对第一个方面即在信息化环境下合理选择审计单位和事项进行研究。

      （一）选择被审计单位和事项的案例

      1.背景介绍。某单位是一家从事钻探工程技术服务和小油气田开发以及物流、特种货物运输等业务的企业，公司建立了计算机管理系统进行财务管理和其他各项经营管理活动。在安排年度计划时，审计人员考虑被审计单位的风险程度，合理进行审计资源的安排。潜在的被审计者共八个，包括钻井一至八公司。

      2.风险评估时所考虑的图素。根据几年来对被审计单位行业特点、信息化经营环境、管理流程和业务流程等方面的了解，确定几个有代表性的因素，包括收入、成本、利润、资产总额、工艺复杂程度、审计关注点等六个方面，这六个方面能够大致反映在信息化环境下被审计单位的审计风险。具体情况如表1：

      3.对各项因素进行分析打分，并进行风险排序。为了直观地看到各单位的审计风险程度，可以采用给各考虑因素打分的方法进行风险分析。具体方法为：(1)考虑到被审计单位有八家，为了简化分析，设定各考虑因素的风险分值为1至8分。(2)收入成本资产总额的分数标准。按照金额大小，金额越大企业的规模越大，其管理越复杂，相应面临的风险越大，因此金额大的为8分，最小的为1分。(3)利润的分数标准。负值和接近零为高风险，分数为7至8分；赢利较高的风险为中等，分数为5至6分；赢利一般的风险较小，分数在4分以下。(4)工艺复杂程度的分数标准。按照工艺流程的类别打分，工艺类别多，风险较高，分数也较高；反之，分数也相应较低。(5)审计关注点的分数标准。按照审计关注点的多少打分，审计分析中确定的主要关注点越多，该单位风险越高，该项分数也越高；反之，该项分数越低。具体分析情况见表2：

      表1 选取单位考虑的因素分析表 单位：亿元

      

      表2 各单位风险程度分析表

      

      4.确定审计的重点单位。根据以上分析，将以下单位作为审计的重点单位，包括：钻井一公司、钻井二公司，钻井三公司、钻井八公司、钻井四公司和钻井五公司，即风险排序前6的单位，重点单位资金覆盖率80%以上。对于其他单位，可减少审计频率和时间，集中精力关注较高风险的单位。

      （二）运用风险导向内部审计方法合理选择被审计单位和事项的一般程序

      1.确定可供审计的单位和事项。根据审计的发展规划和企业发展对内部审计的要求，内部审计部门要确定年度可以审计的所有单位和事项。

      2.在风险评估时风险因素的确定。因为面对的被审计单位的情况往往千差万别，审计事项也各不相同，在评估审计风险时会非常复杂，而恰当地选择风险因素是风险评估过程中关键的环节。一般来说，首先对所有被审计单位和事项要有比较充分的了解，了解被审计单位和事项的基本情况、管理流程、业务流程、经营环境、管理者素质、以前审计结果等。其次，选择对单位和事项影响比较大的几个风险因素，再选择影响审计人员和审计判断的几个主要风险因素，将它们放在一起就是在风险评估时需要考虑的风险因素，它们可以基本代表审计风险的状况。

      3.对各项风险因素进行分析打分，并进行风险排序。对各项风险因素进行分析打分，是对审计面临风险的一个评估过程，需要内部审计人员充分了解企业的经营活动，并与高级管理人员进行讨论，以确定给各风险因素打分的标准。

      4.确定审计的重点单位。在对各审计单位和事项进行风险排序之后，内审部门可以根据审计资源情况和企业管理者对内部审计的要求，合理选择年度审计的重点单位。

      （三）运用风险导向内部审计方法合理选择被审计单位和事项的局限性

      审计是一种依靠经验和知识进行判断的职业，在运用风险评估方法选择被审计单位和事项的过程中，从确定可供审计的单位和事项到在风险评估时所要考虑的因素，再对各项因素进行分析打分并进行风险排序，始终要依赖审计人员的经验判断，具有较大的主观性。面对这种客观情况，审计人员需要对审计结果与风险分析的结果进行验证，以检验风险评估各个步骤的客观性，为下次再进行风险评估积累经验。