内部审计师在公司治理方面

一、内部审计在风险管理过程中的作用 1、内部审计在公司尚未建立风险管理的过程中，应积极向管理层提出建立风险管理过程的相关建议。如果公司尚未建立风险管理过程，内部审计人员应该提请管理层注意这种情况，并同时提出建立风险管理过程的相关建议。由于内部审计人员长期立足于本企业的具体岗位，比较熟悉公司的业务并能够随时深入到生产经营的全过程去了解掌握具体情况。审计人员只有通过周密详细的审前调查，收集到大量的第一手资料，从中发现存在风险的隐患问题，进行风险分析，才能根据重要性和成本效益原则制定出全面而且符合实际的审计工作计划。但是，管理层如果建立了风险管理过程，那么，来自于综合性风险管理过程的信息，则有助于内部审计人员更快地制定审计工作计划，提高工作效率。因此，内部审计人员可以促进风险管理过程的建立或使风险管理过程的建立成为可能。 2、内部审计可以通过咨询服务的方式，积极协助公司风险管理过程的建立。风险管理是一个复杂的系统工程，在一个组织内部应当明确职责分工，各司其职。董事会负责制定战略目标，高层领导各负责一个方面的风险管理责任，其他管理人员由管理层分配给一部分工作，操作人员负责日常监控，而内部审计人员则负责定期评价和保证工作。如果管理层提出建立风险管理系统的要求，内部审计部门可以协助，但不能超出正常的保证和咨询范围，以免损害独立性。内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。 3、内部审计通过将风险管理评价作为审计工作的重点，以检查、评价风险管理过程的充分性和有效性。内部审计主要从两个方面评估风险管理过程的充分性和有效性。 （1）评价风险管理主要目标的完成情况。主要表现在评价公司以及同行业的发展情况和趋势，确定是否可能存在影响企业发展的风险；检查公司的经营战略，了解公司能够接受的风险水平；与相关管理层讨论部门的目标、存在的风险，以及管理层采取的降低风险和加强控制的活动，并评价其有效性；评价风险监控报告制度是否恰当；评价风险管理结果报告的充分性和及时性；评价管理层对风险的分析是否全面，为防止风险而采取的措施是否完善，建议是否有效；对管理层的自我评估进行实地观察、直接测试，检查自我评估所依据的信息是否准确，以及其他审计技术；评估与风险管理有关的管理薄弱环节，并与管理层、董事会、审计委员会讨论。如果他们接受的风险水平与公司风险管理战略不一致，应进行报告。 （2）评价管理层选择的风险管理方式的适当性。由于各个公司的文化氛围、管理理念和工作目标不同，风险管理的实施也有很大差别。每个公司应根据自身活动来设计风险管理过程。一般说来，规模大的、在市场筹资的公司必须用正式的定量风险管理方法；规模小的、业务不太复杂的，则可以设置非正式的风险管理委员会定期开展评价活动。内部审计人员的职责是评价公司风险管理方式与公司活动的性质是否适当。 4、内部审计应积极持续地支持并参与风险管理过程，对风险管理过程进行管理和协调。在现代企业制度下，公司全面建立了风险管理过程，内部审计因此能够担负起风险管理的职能。首先，内部审计从评价各部门的内部控制制度入手，在生产、采购、销售、财务会计、人力资源管理等各个领域查找管理漏洞，识别并防范风险，做出相关评价。其次，内部审计可以深入到企业管理的极细微的环节上查找问题，分析其合理性。内部审计人员更多的是以风险发生可能性大小为依据，深入到经营管理的各个过程，查找并防范风险。再次，内部审计在部门风险管理中还起着协调作用。不仅各部门有内部风险，而且各管理部门还有共同承担的综合风险，内部审计人员作为独立的第三方，可协调各部门共同管理企业，以防范宏观决策带来的风险。

一、公司治理与风险导向内部审计紧密相连

(一) 良好的治理环境激发对内审的需求

20世纪90年代后，亚洲金融危机爆发，随后一系列舞弊案件陆续发生，直至安然、世通的重大舞弊事件，进一步凸显了公司治理的重要性。风险成为企业在治理过程中制定战略、科学决策时务必考虑的重要因素。公司治理研究的热点逐步演变为治理机制的质量问题。良好的治理环境需要有效的内部控制和风险监控。如果一个组织内部控制失败，就会大大影响组织目标的实现，影响组织价值增值。而组织中利益相关者无法亲自监督企业运营，激发了对受托责任的需求。治理的相关利益者寻求把内部审计作为受托责任的有效主体，履行对企业内部控制和风险的监督作用。内部审计被提升到公司治理的高度，为董事会和管理层的管理活动提供服务。

(二)公司治理与风险导向内审的融合

不断增加的风险因素成为连结公司治理与内部审计的桥梁。20 世纪末，在公司治理的广义概念中，风险成为公司治理必须考虑的重要因素。在风险力量的推动下，SOA发布后，董事会、高级管理层、内部审计和外部审计四者密切相关，成为治理的四大基础。其中内部审计在协调发展其他三个主体关系中发挥着重要的作用。2004 年COSO委员会正式发布了企业风险管理框架ERM。内部审计在ERM框架下，发展到风险导向阶段，提升到参与企业战略管理的分析评价。它与公司治理通过内部控制、风险、道德遵循等一致因素形成有机整合。内部审计成为利益相关者极具价值的资源，促进改善公司治理以实现组织目标。

二、风险导向内部审计的治理功能

(一) 确保受托责任履行

内部审计随着受托责任的延伸，得到了不断的发展变化。SOA明确要求上市公司应当成立内部审计机构，同时建立内部审计制度，以寻求将内部审计与公司治理相结合。IIA则要求董事会的公开报告中必须提交公司治理和内部控制情况。

(二) 风险评估与控制确认

公司治理的核心工作在于风险管理。风险导向内部审计通过评价被审计领域的现有风险，向管理层和审计委员会报告评估结果;制定整个组织风险的计划，领导风险管理活动;利用风险自我评估技术推进风险评价;评价与IT发展状况相联系的风险，如果风险超出可接受水平就终止该项目，协助管理层推行贯穿整个组织的风险模型。控制确认要求在职能范围内测试控制的遵循性，向管理层和审计委员会报告结果;协助管理层设计综合的评价方法;协助编制内部控制有效性的报告;识别重大控制缺陷，并向审计委员会报告;推行计算机测试技术;通过控制自我评估技术帮助理解和发展职责领域的控制。

(三) 遵循性与咨询服务

内部审计部门对企业经营者各项责任的履行情况、是否按照规定从事生产经营活动、有无违法乱纪行为以及会计报表是否真实进行评价和鉴定。咨询职能将事后的反馈职能扩展到事前、事中的控制与促进，通过咨询服务，可以从改善风险管理和控制流程中，向董事会提供关于风险管理和内部控制制度运行情况的分析和确认，保证受托责任的履行，最终帮助增加组织价值。

(四) 增加组织价值

现代内部审计就是以风险为导向，通过提供“确认——咨询”服务，改善公司治理、增加组织价值。确认与咨询活动共同构成风险导向内部审计的主要工作。内部审计通过确认活动，评价公司财务会计责任、评价财务报表的真实性、公司资产的完整性以及股东权益的'保障性，从而确认受托人的财务责任。咨询活动则是评价管理层经营责任，通过审查与评价经营管理活动，衡量经济性、效率性及效果性，向公司治理层提出咨询建议和改进意见。

三、我国公司治理中的风险导向内部审计

我国企业的内部审计是在行政干预下建立起来的。随着企业治理模式的变更，经济型治理模式逐步发展，内部审计的职能作用也在不断转变。实践表明，随着治理的发展和公司规模扩大，市场竞争愈加激烈，风险随之增加，公司就越需要来自内部的监督力量，内部审计机构的重要性则愈显突出。内部审计机构设置和人员配备也将愈加规范完善，以满足治理需求。当财务舞弊案件频发的时候，就会引发我们对内部审计监督成效的质疑，那就是在风险导向下，我国内部审计如何实现对治理的有效服务。

(一) 发展现状分析

1.风险导向内部审计还未能真正深入公司治理层面

21世纪的公司治理和风险导向审计都进入了高速发展的新时代。关于风险导向审计和阐述内部审计治理功能的文献大量涌现。2004年，COSO委员会在COSO报告的基础上，正式发布了企业风险管理框架COSO-ERM,标志着风险成为公司治理、内部控制及内部审计重点关注的内容，ERM已将风险评价、风险反应等八大要素深入到企业战略目标层面，风险贯穿风险导向内部审计在治理控制的全过程。在我国实务中，上市公司是被公认关注治理的，《上市公司治理准则》也对设置审计委员会及其职责有明确规定。但其他企业有的内部审计尚未达到风险导向阶段，有的即使开展了风险导向审计工作，却尚未能有效地将风险控制应用到公司治理的全过程。可见在我国实务中，风险导向审计为公司治理提供多元化增值服务的能力还有待加强，风险控制的效率效果也有待进一步提高。

2.公司治理模式对风险导向内部审计的影响

内部审计隶属模式直接影响内部审计的独立客观性，影响到对公司治理发挥作用的效率效果性。实践表明，内部审计隶属在总裁、董事会( 审计委员会) 的公司治理绩效优于隶属模式在监事会和财务部的公司。在这里必须要讲到审计委员会，它因强化内部审计独立客观性，加强财务报告真实可靠性，成为公司治理的一项重要制度。但由于我国公司治理结构的缺陷，审计委员会在我国发展还很不成熟。虽然近年来已经陆续有较多上市公司加入到设置审计委员会的行列，但其在我国上市公司的设置与运行的有效性令人堪忧。审计委员会在我国尚未形成完整的理论体系与规范方法。必须进一步加强公司治理模式的改革，有效提升审计委员会的地位和作用，才能提升内部审计的治理绩效。

(二) 完善内部审计，提升治理水平

1.全面提高治理水平

良好的治理机制是内部审计发挥作用的基本保证，单纯依赖治理环境进行风险导向审计发现问题是不现实的。较差治理环境下的内部审计失败的可能性较大，特别是风险导向下，若董事会、股东机制不健全，内部审计独立性、权威性不足，信息披露不透明，就会影响到对风险评价和控制的效果。全面提升公司治理水平，董事会和利益相关者权益起了决定性作用。一方面，必须加强董事会在治理和内部审计上的功效; 另一方面，公司的信息披露机制和激励机制亟待进一步加强，以解决近年来审计失败和诉讼事件增加的根本矛盾。因此在完善内部审计机制的同时，不断提升治理水平势在必行。

2.推进风险导向内部审计理念

2012年开始执行的新审计准则全面体现了风险导向审计的理念。我们应在内部审计实务工作中不断引入和实践风险导向审计理念，完善风险导向内部审计准则建设，充分认识到风险评价系统的重要性和必要性。有效识别、评估和应对经营风险和审计风险，进一步增强审计师识别和应对舞弊风险的能力，从而提高审计的效率和效果，最终达到控制风险的目的。

3.完善审计委员会

审计委员会是独立于管理层的一个监督机构。其和监事会、内部审计部门相互协调合作才能有效提升公司治理效率。SOA法案把审计委员会提升为公司必须设立的法定审计监管机构。同时所有上市公司必须出具有关证明，证明其内部审计职能是否得到充分发挥。从图2看出，在完善的内部审计组织结构及报告模式中，审计委员会起着越来越重要的桥梁作用，主要职能表现在监督、复核、沟通和报告。

4.建立内部审计的双重报告制度

内部审计部门具有较高的独立性，使得它能以超然的态度，作为治理层面一种良好的监控手段，站在企业全局的高度对风险进行监控与管理。同时，由于内部审计所处的特殊地位，可以直接向董事会报告，也能加强企业风险管理的有效性。因此，当首席审计执行官直接向总裁和董事会( 审计委员会)进行双重报告时,就能形成较好的治理机制。内部审计的这种双重报告模式，能充分体现受托责任，能有效提升治理效果。中国证监会和深交所就要求上市公司设立内部审计机构，直接对董事会负责。

5.拓展风险导向内部审计参与公司治理的内容

在经济环境日益复杂的今日，企业竞争日趋激烈，经营管理也愈发艰难，内部审计迫切需要进入高风险领域，对财务及非财务领域的相关信息、对影响管理水平的风险因素进行深入分析，从而进行评价和控制，防止重大舞弊和资产流失。从战略层面进行有效的风险防控，可以在战略层面向管理者提供内部控制和风险管理的建议，实现审计工作的事前服务职能。从内部审计的发展转变历程来看，它从财务审计、经营审计，发展到现代治理型内部审计模式，即伴之以内控评审、风险管理审计、战略审计、3E审计、舞弊审计等内容并存的模式，这种多元化的发展模式必将成为我国风险导向内部审计未来的发展模式。良好的治理要求强而有力的监督环境。此需求推动了内部审计向风险导向阶段发展，并且逐步丰富其内涵。然而，组织的最终目的是增加价值，如此强有力的监督是否影响企业的激励机制，是否导致管理者循规蹈矩而削弱其改革创新的能力，内部审计在工作中也面临如何权衡严肃监督机制和促进企业增值两者间的关系。如何在合法、合理的情况下平衡企业经营活动的“3E”性( 即经济性、效率性和效果性) ，有待进一步地探索研究。

一、公司治理结构的概述 近年来，公司治理结构正在全世界范围内越来越成为经营者、投资者、债权人、执法者和立法者关注的焦点。世界经济合作与发展组织（OECD）于1998年成立的公司治理结构专门委员会，就是致力于这一焦点问题研究的专门组织，到目前为止它已经制定了一系列关于公司治理结构的准则和指南。 关于公司治理结构的概念表述很多，但在下列方面是共同的，即公司治理结构是联系企业内部以及外部各利害关系人的正式的和非正式关系的制度安排，以便使各利害关系人在权利、责任和利益上相互制衡，实现企业效率和公平的合理统一。企业委托代理结构中委托人和代理人之间信息不对称，契约不完全和责任不对等事业公司治理结构产生的基本原因。 公司治理结构的相关利益主体包括外部利害关系人和内部利害关系人两方面，主要由股东、经理、债权人、债务人、员工，客户等，涉及到出资者与经营者、管理者与员工以及经理与客户的各个层次的激励约束机制，因此，公司治理结构包括外部治理机制和内部治理机制两个方面。外部治理机制是通过市场竞争形成的委托人之间和代理人之间激励约束机制，如资本市场、产品市场和经理市场，当事人之间的市场竞争是形成委托人和代理人之间激励约束机制的主要原因。内部治理机制是通过企业内部决策和执行机制建立委托者和代理者之间的激励约束机制。外部治理机制和内部治理机制是公司治理结构中相互联系、相互依赖的两方面，二者缺一不可。 二、公司治理结构中的审计约束 这里要谈到的审计约束包括外部审计和内部审计两方面。 （一）外部审计与公司治理结构 1．会计信息与公司治理结构 如前所述，公司治理结构由内部治理机制和外部治理机制组成。在一定情况下内部治理机制是公司治理的主体。它一方面利用企业管理当局披露的会计信息对企业管理者进行约束和激励。另一方面因其的特殊地位，还有义务保证企业向股东大会、董事会、监事会及外界披露提供系统、及时、准确的会计信息。 外部治理机制包括资本市场、产品市场和经理市场等外部力量的监督。资本市场起着沟通资金提供者和企业间的信息，在企业间配置资源的作用。资本市场上的决策者不直接监督经营者，因此要求公司向他们提供详细、可靠的财务数据，要求独立的>注册会计师对这些财务数据进行审查验证，来规范会计信息的供给，保证会计信息的真实可靠。而资本市场发挥作用的前提是企业积极的披露保留的信息，市场又能将企业披露的信息及时地反映出来实现对企业的正确评价。产品市场对企业的监控是通过企业与供应商和顾客之间的“纵向竞争”来实现的。现代企业间既存在竞争又有相互协调。竞争性是产品市场发挥作用的前提。而社会化大生产又要求企业间相互协调合作，保持一种长期稳定的交易关系。在交易过程中，合作双方提出的条件常常会直接影响另一方企业的经营方针和管理方式的具体内容，因此双方都需要全面收集对方的经营状况信息，以决定合作的内容和方式。而这种所需要的经营状况信息很大一部分是来自于企业向外披露的会计信息。在有效的经理市场上，企业经理是一种特殊的人力资本，其价值取决于市场评价，市场评价的标准除了知识、经验以及诚信度之外，还有一个关键因素就是经理任期内的经营业绩。经营业绩又主要是通过企业反映财务状况、经营成果、现金流动状况的财务会计信息表现出来的。如果经营业绩良好，经理人员不仅可以获得优厚的回报，在经理市场上的价值也会大大上升，如果经理出现经营劣迹，其价值会一落千丈，最终会影响其职业生涯。 由此可见，不仅会计信息系统其本身就是公司治理结构的组成部分，会计信息更严重制约和影响着公司治理结构中其他制度安排效用的高低。会计信息系统提供的会计信息真实可靠是内、外部激励机制正常运行的前提条件，而有效的审计监督制度正是确保这一前提条件实现的关键。 2．审计是提高会计信息可信性的有效手段 内部治理机制和外部治理机制要正常发挥作用，必须有真实可靠的会计信息为基础。如果会计信息失真，那么构建在错误和虚假的会计信息基础之上的内、外部治理机制必然会产生负面效用，严重者还将导致整个公司治理结构失灵。就内部治理机制而言，如果利用虚假的会计信息作为判断标准对企业管理者进行约束和激励，或者会高估或者会低估企业管理者的经营管理能力和经营业绩，从而不是损害所有者的利益就是损害管理者的利益，那么这种约束和激励机制就是无效的。在外部治理机制中，资本市场上的决策者如果依靠错误的会计信息作出决策，必将导致资源配置的无效状态。由此可见，会计信息的真实可靠至关重要。 审计即独立检查会计账目，监督财政、财务收支真实、合法、效益的行为。它产生于所有权与经营管理权相分离所形成的受托经济责任关系，代表所有者的利益对经营管理者受托经济责任履行情况进行监督。但其工作成果已为企业各方利益相关者所利用。它具有经济监督、经济鉴证、经济评价等基本职能。执行这些职能，审计和评价会计资料的真实性、正确性、完整性和公允性；审计和评价财务收支的合法性和合规性；审计和评价经济活动的效益性；审计和评价经营决策、目标、计划的先进性和可靠性；审计和评价内部控制制度的健全性和有效性等等，能规范企业管理者的经济行为，查处企业行为人弄虚作假等违法违纪行为，促使企业提供真实、合法、完整的会计信息，并完善内部控制制度，改进经营管理，保证企业微观经营有序运行。审计虽然无法保证企业所提供的会计报表是真实、合法、完整的，但能够持独立、客观、公正的立场对企业会计报表的公允性与合法性作出判断，从而起到增强会计信息可信性的作用。 （二）内部审计与公司治理结构 1．内部审计是公司治理结构的一个重要方面 现代公司制企业的运行造成了职业的管理者阶层和管理者市场，出现了所有权与经营管理权的彻底分离。按照贝利和米恩斯的“控制权与所有权分离”的命题以及“管理者主导企业”假说，由于公司制企业中所有权的广泛分离，企业的控制权转移到管理者手中，职业管理者取代所有者控制了企业的经营管理权，而企业的中小所有者已被贬到仅是资金提供者的地位。所有者成了委托人，管理者成了代理人，这样企业便出现了委托代理关系。从经济学的理性假设出发，委托人和代理人具有不同的目标函数，于是产生了“代理人”问题——代理人具有道德风险，逆向选择和搭便车等行为。公司治理所要解决问题是通过契约关系的制度安排来确保委托人的权益不受侵害。 内部控制作为由管理当局为履行诸管理目标而建立的一系列规则、政策和组织实施程序，与公司治理及公司管理是密不可分的。良好的内部控制框架是公司法人主体正确处理各利益相关者关系，实现公司治理目标的重要保证。内部控制框架在公司制度安排中担任内部管理监控的角色，毫无疑问，一个合理的内部控制制度是公司治理结构中的重要组成部分。 按照COSO报告的定义，“内部控制是一个过程，它受董事会、公司管理当局和其他员工影响，它的目的在于对下列目标的实现提供合理的保证：（1）经营的有效性和有效率；（2）财务报告的可信度；（3）对现行法律和规章制度的遵守。”从这个定义我们可以看出，内部控制是一个受人影响的过程，而且只能期望它提供对一个实体的董事会和管理当局的合理保证。依此，内部控制也要调整以适应目标的实现。 正如内部审计师协会所定义的那样，内部审计是“一个组织内部所建立的独立的评价功能，它检查并评价组织的活动，且以之作为对组织提供的一项劳务。”“内部审计的目标是帮助组织的成员更好的克尽其职守。为了这个目的，内部审计为他们提供了与所检查的活动有关的分析、评价、建议、咨询及信息。审计的目标包括了以合理的成本促进有效地控制。”为了实现其职责，“内部审计的范围必须包括：检查和评价组织系统中内部控制有效性充足与否，完成所指派任务的成果质量如何。”（《内部审计的职责说明》——内部审计师协会）在完成其职责的过程中，内部审计必须检查内部控制制度，以确保在涉及企业目标的完成时，它能对董事会和管理当局提供“合理保证”。 因此内部审计实际上是内部控制制度的重要组成部分。因而，保证管理当局高度重视内部审计人员的存在及其职责，是公司治理结构的一个重要方面。总之，我们必须牢记内部控制实际上是管理过程中计划中、执行和监督的一部分，它与这些功能相辅相成。正如COSO报告中所指出的那样，“内部控制制度为了基础的经营目标而存在，它与企业的经营活动融为一体。”有效的内部控制制度对组织的成功至关重要，而内部审计则是内部控制制度不可或缺的重要组成部分。 2．内部审计机构设置与科学定位 从公司治理的角度看，内部审计机构的职责不应仅仅局限于审核企业会计帐目，应扩展为稽查、评价内部控制制度是否完善，审查企业内部各组织机构执行指定职能的效率和效果，并向企业最高管理部门提出建议和报告。在内部控制框架构建中，内部审计的作用在于监督企业经营业务符合内部控制框架的要求，评价内部控制的有效性，提供完善内部控制和纠正错弊的建议。 目前，企业中关于内部审计机构的设置情况不一，有些上市公司借鉴西方国家上市公司的做法，同时设立了审计委员会和审计部，而大部分企业只设立了审计部。笔者认为，内部审计机构的设置应因人而异。对于规模大、经济业务复杂的企业，应同时设置审计委员会和审计部，其他企业则应根据成本效益原则选择同时设置审计委员会和审计部或仅设置审计部。 对于同时设置审计委员会和审计部的企业，应当注意的是审计委员会是董事会的一个下属分支，一般由外部非执行董事组成，这保证了其具有较强的独立性；它对董事会负责，业务上受监事会的指导，这又保证了其具有较高的权威性。对于仅设立审计部的企业，应当注意的是审计部应当对董事会负责并在业务上受监事会指导。之所以选择这种制度安排，是因为在公司治理的制约机制中，董事会是决策机构，这一机构肩负着保证公司管理行为的合法性和可信性职责。从公司治理实践看，审计部（审计委员会）对董事会负责这一制度安排，能有效减轻董事会职权弱化、内部人控制现象严重的局面。另外，在业务上接受监事会指导能够在一定程度上产生对董事会的制衡。 参考文献： 1．杨惠敏，《公司治理、企业管理与会计信息系统》，会计研究，2000年第6期 2．阎达五，杨有红，《内部控制框架的构建》，会计研究，2001年第2期 3．谭劲松，林静容编译，《内部审计与公司治理结构》，广东审计，2000年第2期 4．王永海，《试论公司治理结构和内部财务控制》，审计研究，2000年第3期[