【文章內容簡介】 用風險評估的方法確定審計內容和審計范圍，制訂審計計劃。2001年，IIA頒布了《內部審計專業(yè)實務標準》，第一次提出了以風險評估為基礎編制審計計劃，該規(guī)定在2009年頒布的《國際內部審計專業(yè)實務框架》中得到了進一步的確認。其工作標準2010條的描述是：“首席審計執(zhí)行官必須以風險為基礎制定計劃，以確定與組織目標相一致的內部審計活動重點?！痹趯徲嬘媱濍A段，選擇被審計對象是其工作起點。被審計對象指的是在企業(yè)內部被審計的某個部分，它可以是某個子公司、某項經營活動或某個方案，也可以是一個獨立的過程或活動。雖然風險發(fā)生的概率及造成的損失難以確定，但選擇被審計者時對風險的考慮卻是毋庸置疑的，這也是風險導向內部審計的第一步。內部審計人員應該在評估風險和風險暴露優(yōu)先次序的基礎上安排審計工作，根據(jù)風險評估的結果，對企業(yè)風險從大到小進行排序，再充分結合審計資源、審計限制條件、審計環(huán)境及其他要素確定審計業(yè)務數(shù)量和審計的先后順序，如果沒有他別原因（如舞弊事項），審計順序應該按照風險大小來排列，風險大的先審，風險小的后審或不審。以風險評估為基礎編制審計計劃，要求內部審計人員具備風險識別、風險分析和風險評價的基本能力。風險識別：是識別企業(yè)面臨的風險，并將風險歸類。風險分析：是將辨識出的風險放進統(tǒng)一的模型中進行分析處理，進一步作出定性和定量的分析，包括風險對企業(yè)目標實現(xiàn)的可能影響、這些風險物化的多重情境分析和統(tǒng)計特性、可能的影響因素和方式風險評價：是評價風險對企業(yè)目標的影響，企業(yè)影響最大的風險將成為企業(yè)風險管理的重點（二）基于風險矩陣圖的審計實施與風險管理審計相對應，我們比較熟悉內部控制審計。在開展內部控制審計時，我們一般通過三種可能的方式描述內部控制情況，即：調查問卷方式、座談會方式和個別走訪的方式。將這三種方式移植到風險管理審計中同樣適用，但問卷的重點和內容與內部控制審計要求會有不同。為了保證風險管理情況的描述到位，審計人員必須對企業(yè)決策過程、經營活動流程等相關內容十分熟悉，并對主要經營活動的風險點有一定的認識和了解。國資委2004年對我國國有企業(yè)經理進行了調查，調查發(fā)現(xiàn)，經理門最關心的十大風險是：市場競爭加劇、國家政策導向、戰(zhàn)略決策失誤、關鍵人才流失、全球經濟一體化、環(huán)境保護、成本上升、客戶需求發(fā)生轉變、利率及利率波動、壞賬風險。本課題組成員采用現(xiàn)場調查、問卷發(fā)放、個別走訪及座談會的方式對我國某能源性企業(yè)（石油企業(yè)）的公司治理情況、內部控制情況和風險管理情況進行了調查和了解，在此基礎上初步確認了其面臨的主要風險有： 石油資源接替量不足，企業(yè)可持續(xù)發(fā)展受到威脅。勘探數(shù)據(jù)表明，許多公司的石油儲量和可開采量嚴重不足，這不僅加大了勘探成本，還增加了開采成本和費用，同時對企業(yè)以增值為主導的經營目標實現(xiàn)構成了威脅，使之具有不確定性。安全風險。近幾年中石油連續(xù)發(fā)生了多起重大安全事故，對我國的經濟、文化、政治都造成了重大不良影響。環(huán)境風險。企業(yè)改制、新舊制度交替，受傳統(tǒng)觀念的束縛與影響，企業(yè)員工尚不能很好地適應現(xiàn)代企業(yè)制度要求，因此，一方面制度設計增加了成本，另一方面，設計出的制度不能被員工理解和接受，不能有效地執(zhí)行，由此增加了摩擦成本，使企業(yè)經營目標實現(xiàn)具有不確定性。信息系統(tǒng)風險。目前企業(yè)的人、財、物、供、產、銷都離不開系統(tǒng)，如果信息系統(tǒng)的應用程序出錯或被非法篡改，其造成的后果將會非常嚴重。研發(fā)風險。我國石油企業(yè)十分重視研究開發(fā)工作，每年預算中都有充足的重大科技專項預算，但是，研發(fā)產品的實際效果與預期目標不一致，諸多科研成果不能形成生產力，導致研發(fā)的有效性和有用性降低，不僅如此，重大科技專項款在使用中還存在挪用、貪污等舞弊風險及其他的財務風險。舞弊風險。能源性企業(yè)是典型的國有企業(yè)，由于起經營的特殊性（行業(yè)壟斷性）和真正的所有者缺位，在各種經營活動中都極易出現(xiàn)行賄受賄、拿回扣、貪污盜竊、挪用公款及職務犯罪等舞弊問題。成本上升風險。調查結果顯示，許多二級單位的經營成本都比較高，在降低成本方面還有很大空間，如影響成本的電費、井下作業(yè)費等。充分運用風險評估技術，估計風險嚴重程度和發(fā)生的可能性，形成風險矩陣圖（見圖圖表15）將能源公司的風險表達在矩陣圖中，示例如下：可能性極高 7 54 高2　 1中等　 　 低　 　 　 6極低　 　 　 3極輕微輕微中等重大災難性影響程度圖表15：風險矩陣圖如果說以風險評估為基礎的審計計劃更多地體現(xiàn)了企業(yè)整體層面的風險的話，其目的是確定全年審計范圍和審計活動項目及先后順序的話，那么，風險矩陣圖的繪制更突出具體經營過程中的風險，是微觀層面風險的顯示，是審計計劃執(zhí)行的必然環(huán)節(jié)，是風險管理審計的深入。其目的是進一步確認審計業(yè)務本身面臨的風險和風險的嚴重程度，以此為基礎進一步明確審計實施階段的審計內容和審計重點，如果必要的話，需要按照程序調整審計計劃。編制審計計劃發(fā)生在審計準備階段，繪制風險矩陣圖發(fā)生在審計實施階段。（三）數(shù)字化的風險測試與風險評價審計測試是審計實施階段的主要內容，意味著通過將選擇的項目變成證據(jù)。在風險管理審計中,內部審計師應獲得足夠的證據(jù),確認企業(yè)風險管理目標是否實現(xiàn)。審計測試中通過運用抽樣、觀察、提問、分析、證實、調查與評估等方法獲取有關風險的審計證據(jù),并且揭示出它們的內在品質或特征,目的是為內部審計師形成審計意見提供基礎。對內部控制制度進行測試，需要經過穿行測試和小樣本測試兩個主要階段。其中，穿行測試可以通過兩種途徑達到：一是“憑證穿行測試”，即根據(jù)組織的記錄來追蹤整個活動過程；二是“程序穿行測試”，即由審計人員對活動的每一步進行一到兩次的測試。穿行測試是從控制點的分析開始的，審計人員針對項目建設活動中的控制點，對項目建設活動分層進行測試。小樣本測試的實質是選擇少量的行為活動進行測試，其目的是檢查內部控制制度實施的有效性程度，即實際活動效果是否達到了預期的目標。上述兩種測試方式依然適用于風險管理審計的測試。這一過程表現(xiàn)在風險管理審計的事實階段，通過對審計活動風險的實質性測試，得出被審計業(yè)務風險情況的真實結論，并形成審計發(fā)現(xiàn)，為審計報告的編寫奠定基礎，提供數(shù)據(jù)和支撐。（四）前瞻性的風險管理審計報告在實施必要審計程序后，內部審計機構與人員應當整理相關工作底稿并編寫審計報告。編寫審計報告，是審計人員必需的一個技能，也是完整審計流程中的一個重要環(huán)節(jié)，我國內部審計協(xié)會在其頒布的《中國內部審計基本準則》、《內部審計具體準則第7號：審計報告》和《內部審計實務指南3號：審計報告》中對審計報告的格式、內容、類型、編寫過程及相關要求等都有明確規(guī)定，本研究不再贅述。但是，與常規(guī)業(yè)務審計報告不同，因不確定性的存在，風險管理審計報告也存在“風險”。如何突出審計報告的前瞻性和可用性？如何體現(xiàn)不同使用者對風險管理審計報告的不同需求？如何降低風險管理審計報告的風險？諸多問題需要討論和關注。披露風險表現(xiàn)和風險排序。常規(guī)業(yè)務審計報告主要表達業(yè)務執(zhí)行過程中在真實性、合規(guī)性和效益性方面存在的問題及原因分析等內容，而風險管理審計報告的內容應該披露被審計事項的風險點，并按照風險大小的程度進行排列，明確出重要風險和關鍵風險控制點。比如，采購業(yè)務的重要風險是舞弊風險，其后果是“質低價高拿回扣”，關鍵風險控制點是“供應商的選擇環(huán)節(jié)（如招標投標等）”。披露被審計單位對利用風險、防范風險的制度、措施及執(zhí)行情況。常規(guī)業(yè)務審計報告一般不涉及這方面內容，但風險管理審計報告要從公司治理、內部控制和全面風險管理的整體系統(tǒng)中尋找與具體的風險防范、風險利用有關的規(guī)定，并表達這些規(guī)定執(zhí)行的情況。披露風險利用風險、風險防范的效果。重點表達風險轉化、風險防范的成本、效率和效果，突出風險管理的績效。披露風險管理審計的方法、風險評價的條件和標準。結合被審計活動特點，使用恰當?shù)姆椒ê蜆藴?，是風險管理審計的必然要求。為提高審計信息的對稱性，風險管理審計報告應該對這樣的內容有所披露，這樣也有助