1、風險導向審計框架（本文節選自中國財政經濟出版社近期出版的現代企業風險管理審計一書，作者：卓繼民/ 風險導向審計網/ WWW.ACRISK.COM簡介：風險管理審計可以說是風險基礎審計的一種延伸，其基本吸收了風險審計各種特點，只是在此基礎上擴大審計關注點到企業的主要戰略目標（Key Business Objectives），管理層對風險的容忍度，主要風險評價指標以及企業績效評價分析等涉及現代企業整體風險管理領域的多方位角度。而且風險管理審計已經開始關注為實現企業戰略目標應如何進行風險優化（Optimizing Key Risk）如企業對哪些固有風險可以實行避免，轉移或接受并予以控制的風險管理策略

2、。 風險管理審計可以說是風險基礎審計的一種延伸，其基本吸收了風險審計各種特點，只是在此基礎上擴大審計關注點到企業的主要戰略目標（Key Business Objectives），管理層對風險的容忍度，主要風險評價指標以及企業績效評價分析等涉及現代企業整體風險管理領域的多方位角度。而且風險管理審計已經開始關注為實現企業戰略目標應如何進行風險優化（Optimizing Key Risk）如企業對哪些固有風險可以實行避免，轉移或接受并予以控制的風險管理策略。在介紹現代風險管理審計之前, 本書先在第二章介紹了現代企業風險管理方法論的主要內容，該方法論正是現代企業風險管理審計模式的理論基礎。從

3、第三章到第五章本書詳細正式介紹現代企業風險管理審計的主要內容，其主要框架介紹如下:一、了解企業經營識別經營風險 ( Understanding the Business and Risk Identification)了解企業經營識別經營風險可以說是整個審計框架本的第一階段， 其提供了一個整體框架用于了解企業風險管理行為的有效性，并且分析企業的情況和信息流程。了解企業可以使審計師確認影響財務報表審計的重大錯誤、舞弊和審計失敗風險并追溯其產生的源頭，還可以使審計師發現對該企業進行改進的機會。此外，還可以確認低風險的重要賬戶，并根據公認審計準則對其進行實質性測試。本部分主要關注以下問題： 

4、;企業中發生的哪些變化和產生的哪些問題對財務報表有影響？ 企業信息流程中哪些變化、問題和復雜性對財務報表有影響？ 財務報表審計中，什么是重大的錯誤、欺詐和審計失敗風險？ 對于低風險的重要賬戶來說，哪些是需要執行的實質性測試？本部分所使用的主要分析工具包括：(1) 企業分析框架（Business Analysis Framework, “BAF”）BAF提供了一個通用的組織框架，用于了解那些影響企業成敗的主要因素以及它們之間的動態聯系。這些主要的因素包括環境、信息、所有者、顧客、競爭者、價值、企業流程和管理層。BAF可以為審計師提供以下支持：（a）了解企業

5、的相關情況，（b）通過考慮企業中那些影響財務報表的變化和問題來確認風險。(2) 企業風險模型（Business Risk Model, “BRM”）BRM提供了一份清單，列示了可以威脅組織整體或組織中特定流程的各種類型的風險。BRM可以對審計組提供以下支持：（a）定義審計失敗風險和企業改進的機會，（b）評估審計失敗風險和企業改進機會的完整性，（c）與客戶管理層就審計失敗風險和企業改進機會進行溝通。(3)  企業信息流程（Business Information Flow, “BIF”）BIF詳細描述了事實從企業環境、各種流程和決策，通過信息流程，到財務報表和相關披露的流動過

6、程。本框架定義了企業的信息流程要素和信息流動過程，并且協助審計師了解信息流程，從而識別錯誤風險。BIF的目的是：了解企業中的交易、事件和事實從發生之初直到進入財務報表和相關披露這一過程通過從上到下的關注，確認與會計原則、會計估計、信息處理（包括財務報告流程）和披露相關的錯誤風險，并追溯其發生的原因現代企業信息流程BIF包括四大階段， 即：企業環境、業務流程和決策階段；業務數據形成階段；會計和管理信息生成階段以及財務報表和披露階段。信息流程的這四個階段隱含有不同的固有風險。本部分對這些固有風險類型及如何識別進行了詳細說明。 本部分還在附錄中提供了現代企業主要管理信息系統介紹, 現代企業主要經營流

7、程圖案例, 供參考。(4)  企業績效評價分析 ( Business Performance Review, “ BPR”)審計師應當了解高級管理層如何衡量企業的運營績效，并且應當評估高級管理層對企業績效的監督行為的充分性。審計師應當在適當的時候提供補充性或可選用的績效衡量方法，并對企業績效的監督行為的改進提供建議。BPR的目的是： 通過以下方式識別風險：提高審計人員對于高級管理層的績效衡量和監督行為的了解;制定對企業績效的預期（“假定”），并與實際的結果進行對比，從而確認兩者之間的重大差異并加以分析;從管理層和第三方的角度，評估客戶的企業績效;關注企業的運營績效，而不僅僅

8、關注財務績效; 通過向管理層提供企業績效衡量和監督行為的改進建議，為客戶提供更高的審計價值 遵循專業審計準則，這要求在審計計劃階段執行分析性復核程序審計師應當結合當年和將來的業績，通過對收益性、流動性、資產管理、財務杠桿和市場價值等主要方面進行分析，從而評估企業的績效。本章還在附錄中提供了案例分析, 績效考核主要基礎理論, 主要行業常見舞弊跡象及建議審計程序, 現代企業主要經營流程考核指標, 供讀者加深對企業績效分析的理解和運用.(5) 企業整體風險管理有效性評價（Business Risk Management Process, “BRMP”）本章提供了現代企業

9、整體風險管理流程框架, 用以識別和評價企業的整體風險管理有效性, 并考慮其評價結果對審計的影響. 本章的附錄提供了該評價結果對審計影響的分析參考, 在評價過程中可詢問管理層的問題樣本, 企業整體風險管理的最佳實踐方案, 以及企業風險管理流程無效的可能后果, 供參考。在風險識別匯總部分，分析了針對所識別出的固有風險如何進行排序和溯源； 而在本階段的最后部分， 對這些風險如何同財務報表科目銜接 ( Financial Statement Linkage, “ FSL”) 以及對低風險但重要性報表科目 ( Low Risk Material Accounts) 的審計策略進行了說明。二、企業風險控制

10、評價 ( Risk Control Assessment)企業風險控制評價是整個審計框架的第二階段，其提供了一個完整的框架用于評估管理層如何對信息流程和特定估計的相關風險進行控制。評估企業的風險控制可以讓審計師考慮依賴該控制，將審計風險降至可接受水平，這通常是財務報表審計方法中最有效也最高效的。本章還助于審計師向客戶提供有價值的控制改進建議。本章提出了以下問題： 企業如何控制信息流程和特定估計的風險？ 企業如何確定其風險控制流程在有效的運作？這一階段所使用的主要工具包括： 風險控制流程框架 ( Risk Control Process Framework) 該框架

11、提供了風險控制流程的設計和評估結構。它可以用于評估客戶風險控制的相關程序和特定估計的風險。控制根據決策信息的各個部分分成監督性控制 ( Monitoring Control)、層面性控制 (Pervasive Control)  和具體控制 ( Specific Control)。這樣的區分對于有效評估風險控制的設計、將對控制的依賴程度最大化以及提供有意義的改進建議來說都是很重要的。 風險控制標準及控制矩陣 ( Risk Control Standard Matrix )  信息可信度測試 風險控制識別 評價風險控制的設計 測試風險控

12、制 控制信賴與否之決策樹 ( Control Reliance Decision Tree )  如果控制有效，風險被降至可接受水平本章還提供了具體性控制匯總案例及風險控制的識別, 評價和測試的案例.三、確定剩余審計風險 ( Determine Residual Audit Risk, “ RAR”)確定剩余審計風險是整個審計框架的第三階段，本階段要求審計師運用專業判斷，確定那些沒有將錯誤風險有效降至可接受水平的控制范圍，這些不夠有效的控制導致了剩余審計風險。本階段主要關注以下問題： 是否存在沒有降至可接受水平的風險？ 如果存在，那么是哪些控制程序沒有有

13、效運行？由于第三階段同第四階段的聯系較為緊密， 因此在本書中我們把第三階段同第四階段合并在本書的第五章中。四、剩余審計風險的管理（Managing RAR）剩余審計風險的管理為整個審計框架的第四階段， 即最后一階段， 該階段提供了一個完整的框架，通過客戶（被審計單位）的分析和行動（包括改進相關控制措施）或者通過審計師執行降低風險的程序，將剩余審計風險降至可接受水平。本階段關注以下問題： 財務報表審計中，什么樣的企業行為或審計程序能夠將剩余審計風險降至可接受水平？ 審計人員會向企業提供什么樣的建議用于改進其風險控制流程？這一階段的主要內容包括： MRAR決策樹

14、60;企業分析及跟蹤控制行為 客戶流程的改進 降低風險的程序測試客戶的分析 降低風險的程序測試交易或賬戶余額 降低風險的程序報表科目基礎數據重新整理 分析性復核程序的運用 相關準則要求必須執行的審計程序 風險管理審計模式下的管理建議書 風險管理審計自我評價和整體結論同時, 對于相關審計準則要求需要予以關注的常見審計事項, 本部分提供了審計實踐參考程序, 其包括: 全球通用審計實踐 - 持續經營 全球通用審計實踐 - 期后事項 全球通用審計實踐 - 關聯交易 全球通用審計實踐 - 法律訴訟索賠事項本書還在最后部分提供了風險管理審計通用審計程序, 供在實踐中參考。而降低風險、提升價值則是風險管理審計的整體目標。需要說明的是， 這里所指的降低風險， 不僅僅指審計風險降低， 而是通過企業自身的風險管理活動及審計師