時間：2023-11-19 15:59:31
序論：速發(fā)表網結合其深厚的文秘經驗，特別為您篩選了11篇審計的特別風險及應對范文。如果您需要更多原創(chuàng)資料，歡迎隨時與我們的客服老師聯(lián)系，希望您能從中汲取靈感和知識！
中圖分類號：F239 文獻標識碼：A
文章編號：1009—0118（2012）10—0206—02
近十多年來，企業(yè)經營失敗或者因管理層舞弊造成破產倒閉的事件劇增，投資者和貸款人蒙受重大損失，注冊會計師因而被指控未能及時揭示或報告這些問題，并被要求賠償有關損失。探討審計風險和財務風險的關系意義重大。
一、審計風險的表現(xiàn)及成因
審計風險是指當財務報表存在重大錯報時注冊會計師發(fā)表不恰當審計意見的可能性。也就是說，審計風險是客觀存在和主觀努力的結合——客觀存在可以通過主觀努力去調節(jié)，但主觀努力又受成本效益原則的約束。
（一）審計風險的表現(xiàn)
我們認為，將審計風險概括地表示為察覺出重大錯報的風險，只是最狹義的審計風險，而審計風險本身具有更廣泛的涵義，我們可以從三個層次上來說明：
1、固有風險。固有風險是指在考慮相關的內部控制之前，某類交易、賬戶余額或披露的某一認定易于發(fā)生錯報（該錯報單獨或連同其他錯報可能是重大的）可能性。審計風險受到企業(yè)固有風險因素的影響，如何管理人員的品行和能力、行業(yè)所處環(huán)境、業(yè)務性質、容易產生錯報的財務報表項目，容易遭受損失或被挪用的資產等導致的風險。
2、控制風險?？刂骑L險是指某類交易、賬戶余額或披露的某一認定發(fā)生錯報，該錯報單獨或連同其他錯報可能是重大的，但沒有被內部控制及時防止或發(fā)現(xiàn)并糾下的可能性。審計風險同樣受到內部控制風險因素的影響，即賬戶余額或各類交易存在錯報，內部控制未能防止、發(fā)現(xiàn)或糾正的風險。
3、報告（評價）風險。審計評價是對被審計者履行經濟責任、管理責任情況發(fā)表的綜合評價，涉及被審計者的切身利益，任何不實或不當?shù)脑u價，都可能會引起審計行政訴訟。一是對非評價審計事項不應評價而評價。二是對審計過程中未涉及的具體事項不應評價而評價。因為雖在審計范圍之內，但未獲取相關證據(jù)。三是對審計證據(jù)不足的審計事項不應評價而評價。四是用詞不妥的審計評價。但更多的是囿于各種原因，報告定性模糊、問題含混，語言似是而非、欲說還休；結論模棱兩可，不知所云?！霸V訟爆炸”就是注冊會計師責任加重的主要表現(xiàn)形式。
（二）審計風險的成因
在執(zhí)行審計業(yè)務時，注冊會計師應當考慮重要性及重要性與審計風險的關系。審計風險取決于重大錯報風險和檢查風險。
1、重大錯報風險。重大錯報風險是指財務報表在審計前存在重大錯的可能性。重大錯報風險與被審計單位的風險相關，且獨立存在于財務報表的審計中。認定層次的重大錯報風險又可進一點細分為固有風險和控制風險。某些類別的交易、賬戶余額和披露及其認定，固定風險較高。例如，復雜的計算比簡單更可能出錯；技術進步可能導致某項產品陳舊，進而導致存貨易于發(fā)生高估錯報（計價認定）。被審計單位及其環(huán)境中的某些因素還可能與多個甚至所有類別的交易、賬戶余額和披露有關，進而影響多個認定的固有風險。這些因素包括維持經營的資金匱乏、被審計單位處于夕陽行業(yè)等?？刂骑L險取決于與財務報表編制有關的內部控制的設計和運行的有效性。由于控制的固有局限性，某種程度的控制風險始終存在。
2、檢查風險。檢查風險是指如果存在某一錯報，該錯報單獨或連同其他錯報可能是重大的，注冊會計師將審計風險降至可接受的低水平而實施程序后沒有發(fā)現(xiàn)這種錯報的風險。檢查風險取決于審計程序設計的合理性和執(zhí)行的有效性。由于汎會計師通常并不對所有的交易、賬戶余額和披露進行檢查，以及其他原因，檢查風險不可能降低為零。
二、財務風險的表現(xiàn)及成因
對企業(yè)管理人員來說，風險是一個重要的全球性問題，特別財務風險是企業(yè)在財務管理過程中必須面對的一個現(xiàn)實問題，金融環(huán)境的變化顯著地影響企業(yè)的控制環(huán)境。以前的理論是對國外的本地市場提供供給或利用國外的自然資源?，F(xiàn)在，對外直接投資將在全世界范圍內的企業(yè)聯(lián)系起來，每一個國家的資本市場都已成為國際資本市場的一部分，外部環(huán)境的變化加大了財務風險。
（一）財務風險的表現(xiàn)
1、財務風險的客觀性。企業(yè)的財務風險不以人的意志為轉移而客觀存在。企業(yè)財務風險是我國國民經濟面臨的較為重要的一種風險，其風險的形成既有企業(yè)外部法律和經濟環(huán)境變化的影響，又有企業(yè)內部機制和管理中存在先天不足所導致的。并且這些都是不以人的意志為轉移而客觀存在的。
2、財務風險的多樣性。財務風險的多樣性主要受三個方面的影響，首先受企業(yè)經營環(huán)境多樣化的影響，企業(yè)不僅要面對國內市場的競爭，而且要面對國際市場的競爭，不僅要面對傳統(tǒng)產品市場的競爭，而且要面對高科技產品市場競爭，這種多樣化的經營環(huán)境必然會給企業(yè)造成多樣性的財務風險影響，其次受企業(yè)經營過程多樣化的影響，企業(yè)生產經營不是簡單的一個環(huán)節(jié)，而是一個連續(xù)不斷的過程，每一個過程中的失誤都可能形成財務風險，再次財務行為多樣化的影響，企業(yè)財務行為方式包括籌資、投資、資金使用、資金回收、利潤分配等，在這些環(huán)節(jié)，不管哪一個環(huán)節(jié)出現(xiàn)問題，都可能形成財務風險。
3、財務風險的全面性。企業(yè)財務風險存在于企業(yè)財務管理的全過程并體現(xiàn)在多種財務關系上。企業(yè)承包從籌資到投資、平時的現(xiàn)金流量運作、企業(yè)的對外擔保、企業(yè)跨國經營這些日常的經營活動都離不開財務管理，而這些由于企業(yè)經營不當或客觀原因都可能給企業(yè)帶來財務風險。企業(yè)的財務風險貫穿于企業(yè)的一切經營活動中。
4、財務風險的不確定性。自動化程序和控制可能降低了發(fā)生無意錯誤的風險，但是并沒有消除個人凌駕于控制之上的風險，如某些高級管理人員可能篡改自動過入總分賬和財務報告的數(shù)據(jù)金額。當被審計單位運用信息技術進行數(shù)據(jù)的傳遞時，發(fā)生篡改可能不會留下痕跡或證據(jù)。
（二）財務風險的成因
1、經營目標。目標是企業(yè)經營活動的指針。企業(yè)管理層或治理層一般會根據(jù)經營面臨的外部環(huán)境和內部各種因素，制定合理可行的經營目標。隨著外部環(huán)境的變化，企業(yè)應對目標和戰(zhàn)略做出相應的調整。例如，企業(yè)當前的目標是在某一特定期間內進入某一新的海外市場，企業(yè)選擇的戰(zhàn)略是在當?shù)爻闪⒑腺Y公司。但是，成立合資公司可能會帶來很多的經營風險，例如，企業(yè)如何與當?shù)睾腺Y方在經營活動、企業(yè)文化等各方面協(xié)調，如何在合資公司中獲得控制權或共同控制權，當?shù)厥袌銮闆r是否會發(fā)生變化，當?shù)貙腺Y公司的稅收和外匯管理方面的政策是否穩(wěn)定等問題，而導致財務報表出現(xiàn)重大錯報風險。
2、經營風險。不同的企業(yè)可能面臨不同的經營風險，不能隨環(huán)境的變化而做出相應的調整固然可能產生經營風險。但是，調整的過程也可能導致經營風險。例如，為應對消者需求的變化，企業(yè)開發(fā)了新產品。但是，開發(fā)的新產品可能會產生開發(fā)失敗的風險；即使開發(fā)成功，市場需求可能沒有充分開發(fā)，從而產生產品營銷風險；產品的缺陷還可能導致企業(yè)遭受聲譽風險和承擔產品賠償責任的風險。多數(shù)經營風險最終都會產生財務后果，從而影響財務報表。例如，企業(yè)合并導致銀行客戶群減少，使銀行信貸風險集中，由此產生的經營風險可能增加與貸款計價認定有關的重大錯報風險。同樣的風險，在經濟緊縮時，可能具有更為長期的后果，進而可能導致財務報表發(fā)生重大錯報。
3、企業(yè)收益分配政策缺乏科學性。企業(yè)在不同成長與發(fā)展階段所采用的股利政策不同。其分配方法的選擇會影響投資者對企業(yè)狀況的判斷和企業(yè)的聲譽，從而影響企業(yè)資金的來源，也可能影響企業(yè)潛在投資者的投資決策。例如，采用剩余股利政策說明企業(yè)處于初創(chuàng)階段，此時企業(yè)經營風險高，有投資需求且融資能力差。另外，企業(yè)的利潤分配政策如果缺乏控制制度，不結合企業(yè)的實際情況，不進行科學的分配決策，必將影響企業(yè)的財務結構，從而形成間接的財務風險。
（三）財務風險的基本類型
財務風險來源包括：因短期內不能履行財務義務（比如向供貨商、辦公場所的出租人或雇員付款而產生的流動性風險；因未獲得貨款而產生的信用風險；對消費者的可分配收入產生影響，并導致與諸如零售商、房地產開發(fā)商或制造商的交易惡化的利率風險；以及投資項目在項目期內的現(xiàn)金流和折現(xiàn)率的通貨膨脹風險。此外還包括匯率風險，即海外投資的預期現(xiàn)金流受到匯率波動的不利影響，以及借款人的融資風險。還包括因在市場上投機或套期產生的衍生工具風險。例如，為了用低于當時的通行價格的價格購買某商品而購買期貨。
簡單來說，一個企業(yè)所面臨的最顯而易見的財務風險就是市場風險。主要的市場風險是由金融市場價格變化而產生的，如匯率風險、利率風險、商品價格風險和股票價格風險。但主要財務風險包括但不限于市場風險其他相關的重要財務風險如上所說，包括信用風險和流動性風險。
三、審計風險與財務風險的關系
（一）審計風險與財務風險的聯(lián)系
某些重大錯報風險可能與財務報表整體廣泛相關，進而影響多項認定。例如，在經濟不穩(wěn)定的國家和地區(qū)開展業(yè)務、資產的流動性出現(xiàn)問題、重要客戶流失、融資能力受到限制等，可能導致注冊會計師地被審計單位的持續(xù)經營能力產生重大疑慮。又如，管理層缺乏誠信或承受異常的壓力可能引發(fā)舞弊風險，這些風險與財務報表整體相關。
（二）審計風險與財務風險的區(qū)別
編制虛假財務報告直接導致財務報表產生錯報，侵占資產通常伴隨著虛假或誤導性的文件記錄。因此，對能夠導致財務報告產生生大錯報的舞弊，無論是編制虛假財務報告，還是侵占資產，注冊會計師均應當合理保證能夠予以發(fā)現(xiàn)，這是實現(xiàn)財務報表審計目標的內在要求，也是財務報表審計的價值所在。但另一方面，由于審計的固有限制，即使注冊會計師按照審計準則的規(guī)定恰當計劃和執(zhí)行了審計工作，也不可避免地存在財務報表中的某些重大錯報未被發(fā)現(xiàn)的風險。注冊會計師不能對財務報表整體不存在重大錯報獲取絕對保證。特別是，如果被審計單位管理層精心策劃和掩蓋舞弊行為，注冊會計師盡管完全按照審計準則執(zhí)業(yè)，有時還是不能發(fā)現(xiàn)某項重大舞弊行為。
（三）針對特別風險實施的應對措施
如果認為評估的認定是特別風險，注冊會計師應當專門針對該風險實施實質性程序。例如，如果認為管理層面臨實現(xiàn)盈利指標的壓力而可能提前確認收入，注冊會計師在設計詢證函時不僅應當考慮函證應收賬款的賬戶余額，還應當考慮詢證銷售協(xié)議的細節(jié)條款（如交費、結算及退貨條款）；注冊會計師還可考慮在實施函證的基礎上針對銷售協(xié)議及其變動情況詢問被審計單位的非財務人員。如果針對特別風險實施的程序僅為實質性程序，這些程序應當包括細節(jié)測試，或將細節(jié)測試和實質性分析程序結合使用，以獲取充分、適當?shù)膶徲嬜C據(jù)。
1、經營目標。為了從被審計單位高層次的經營目標中識別出經營風險和審計，審計項目組通常需要了解被審計單位的經營目標和經營風險。例如，被審計單位制定了一個通過增加毛利來改善盈利善的總目標。注冊會計師可以了解與提高售價和降低成本相關的上體目標和行動措施，如通過從國外新供應商購貨的方式降低原材料成本。
隨著信息技術的快速發(fā)展，電子商務在全球獲得了廣闊的發(fā)展空間。作為一種嶄新交易方式的電子商務對企業(yè)的生產經營活動產生了深遠的影響。廣泛使用互聯(lián)網從事電子商務，產生了新的風險因素，需要被審計單位有效應對，，注冊會計師應當考慮電子商務在被審計單位業(yè)務活動中的重要性，以及對重大錯報風險評估的影響，并在此基礎上采取恰當?shù)膽獙Υ胧?/p>
一、電子商務對財務報表審計的沖擊
1.財務報表審計環(huán)境的變化
在電子商務交易條件下，財務報表審計環(huán)境發(fā)生了巨大的變化，主要表現(xiàn)在：(1)網絡環(huán)境下的無紙化交易喪失了傳統(tǒng)的審計軌跡，交易的授權、完整性及真實性不如在傳統(tǒng)條件下那么明顯而難以查證。(2)在電子商務環(huán)境下，需要對信息建立數(shù)據(jù)安全與控制措施。未經授權的訪問、舞弊或者病毒攻擊均對被審計單位的經營風險和財務報表審計工作產生重大影響。(3)為了獲取和評價以電子數(shù)據(jù)形式存在的電子商務證據(jù)，傳統(tǒng)的審計程序和數(shù)據(jù)提取技術將無能為力。(4)在電子商務環(huán)境中，被審計單位廣泛使用服務機構(包括互聯(lián)網服務提供商、應用服務提供商和數(shù)據(jù)服務公司等)的服務，產生了新的分離審計問題。
2.財務報表審計范圍和審計對象的拓展
電子商務條件下財務報表審計涉及整個商業(yè)行為，并且這種商業(yè)行為是運轉在網絡上的，其中一部分還是虛擬的和真空的，特別是在電子商務系統(tǒng)高度自動化、審計證據(jù)可能僅以電子形式存在條件下，審計證據(jù)的充分性和適當性通常取決于自動化信息系統(tǒng)相關控制的有效性，注冊會計師應當考慮僅通過實施實質性程序不能獲取充分、適當審計證據(jù)的可能性。如果認為僅通過實施實質性程序不能獲取充分、適當?shù)膶徲嬜C據(jù)，注冊會計師應當考慮依賴的相關控制的有效性。因此，財務報表審計的范圍拓展到對整個電子商務系統(tǒng)交易過程及控制的測試。審計對象也要在財務報表及相關財務資料的基礎上，擴展到被審計單位資信、內部控制、交易全過程等對財務報表產生影響的諸多事項。
3.審計風險加大
電子商務采用的是網絡化信息系統(tǒng)，它一方面面臨著系統(tǒng)自身故障風險，存在著對會計數(shù)據(jù)非法訪問、篡改、泄密和破壞的可能：另一方面還面臨著計算機病毒破壞和黑客非法入侵竊取財務數(shù)據(jù)的風險，識別、研究、審查和評價所搜集的審計證據(jù)有一定困難，這增加了財務報表審計中重大錯報的風險。財務報表相關信息的無紙化，使電子合同、函件、訂單的真實合法性難以得到保證。交易雙方的真實身份難以確定，數(shù)據(jù)簽名的真實性難以驗證，容易使交易產生欺詐行為，也將導致重大錯報風險的增加，最終將對注冊會計師可控的檢查風險降低提出更高的要求，審計工作難度明顯加大。
二、電子商務條件下財務報表審計的總體要求
1.財務報表審計目的的不變性
新頒布的《中國注冊會計師審計準則第1101號——財務報表審計的目標和一般原則》規(guī)定，財務報表審計的目的是注冊會計師通過執(zhí)行審計工作對財務報表的合法性和公允性發(fā)表審計意見，注冊會計師執(zhí)行的審計工作能夠對財務報表整體不存在重大錯報獲取合理保證。注冊會計師的審計意見旨在提高財務報表的可信賴程度。無論是傳統(tǒng)交易方式還是電子商務交易方式。財務報表審計的目的是不變的。特別需要強調的是：電子商務條件下財務報表審計需要對電子商務進行考慮的目的是對財務報表發(fā)表恰當?shù)膶徲嬕庖?，而非對電子商務系統(tǒng)或活動本身提出鑒證結論或咨詢意見；注冊會計師的審計意見也不應被視為是對被審計單位電子商務交易安全的一種保證。
2.控制測試更重要
電子商務環(huán)境下審計軌跡的瞬時性特征、無紙化環(huán)境及缺乏人員的干預導致風險的增加，使控制保證成為電子商務環(huán)境下最重要的測試環(huán)節(jié)。審計人員面對無紙化的審計軌跡及系統(tǒng)輸出的財務報告，為了對財務報告的公允性發(fā)表審計意見。必須著重收集足夠的審計證據(jù)，特別要通過大量的控制測試對控制環(huán)境進行經常性監(jiān)控，以確保電子商務財務報告的可信性。過去，審計人員一般針對一個時點的財務數(shù)據(jù)進行大量的實質性測試；而在電子商務條件下，則需要在評價被審計單位持續(xù)經營的基礎上，實施大量的有效的內部控制測試措施，且審計人員必須能夠對控制風險進行合理的評價。
3.主要依賴計算機審計程序
在電子商務環(huán)境下，大量的證據(jù)存儲在肉眼看不見的磁性介質上或在網絡傳播過程中，對這些證據(jù)，審計人員主要依賴計算機技術進行獲取和審查。目前，主要的電子商務審計技術是ITF。ITF是建立在一個活動數(shù)據(jù)文檔基礎上的程序。審計人員可以利用ITF對控制系統(tǒng)進行交易測試，并且該項測試既不影響公司正常營運也不會導致財務數(shù)據(jù)的破缺。
4.重視審計風險
2006年2月頒布的審計準則對審計風險模型進行了重構，審計風險取決于重大錯報風險和檢查風險。注冊會計師應當實施審計程序，識別和評估重大錯報風險，并根據(jù)評估結果設計和實施進一步審計程序。以控制檢查風險。電子商務環(huán)境下，來自被審計單位的經營風險和控制風險加大。財務報表存在重大錯報的可能性上升。為此，注冊會計師應通過了解被審計單位的電子商務環(huán)境以識別其重大錯報風險，并根據(jù)評估的風險水平設計進一步的應對措施，特別是執(zhí)行恰當?shù)目刂茰y試以判定內部控制有效性對財務報表的影響。 轉貼于
三、電子商務條件下財務報表審計的應對措施
1.了解被審計單位電子商務及對財務報表的影響
注冊會計師應當考慮電子商務導致的被審計單位經營環(huán)境的變化，以及識別出的對財務報表產生影響的電子商務風險。在了解被審計單位及其環(huán)境時，注冊會計師應當考慮下列事項對財務報表的影響：一是業(yè)務活動和所處行業(yè)。在了解被審計單位的業(yè)務活動和所處行業(yè)時，注冊會計師應當關注電子商務不具備貨物和服務等實體貿易所具有的清晰、固定的運送路線。運用電子商務的程度較高可能增大對財務報表產生影響的經營風險等特征。二是電子商務戰(zhàn)略。被審計單位的電子商務戰(zhàn)略，包括在電子商務中運用信息技術的方式以及對可接受風險水平的評估，可能對財務記錄的安全性和相關財務信息的完整性與可靠性產生影響。三是開展電子商務的程度。不同的被審計單位可能以不同的方式開展電子商務，隨著被審計單位開展電子商務程度的加深，以及內部系統(tǒng)更加集成化和復雜化，新的交易方式與傳統(tǒng)業(yè)務活動的差異可能更加明顯，并可能導致新的風險。四是外包安排。為被審計單位服務的機構采用和保持的某些政策、程序和記錄可能與被審計單位財務報表審計相關，注冊會計師應當按照《中國注冊會計師審計準則第1212號——對被審計單位使用服務機構的考慮》的規(guī)定，考慮被審計單位的外包安排及相關風險的應對措施，以確定其對審計的影響。
2.識別和評估電子商務相關的經營風險和重大錯報風險
在了解被審計單位環(huán)境基礎上，注冊會計師應識別和評估重大錯報風險。電子商務環(huán)境下，因內部控制制度缺陷和無效帶來的經營風險是產生財務報表重大錯報風險的重要原因，所以注冊會計師應特別關注其經營風險。與電子商務相關的經營風險有：(1)無法保證交易的完備性，尤其在缺少充分的審計軌跡(無論是紙介質還是電子形式)時，該風險的影響將更大；(2)電子商務安全風險，包括顧客、員工和其他人士通過未經授權的訪問實施舞弊的可能性，以及病毒攻擊；(3)運用不恰當?shù)臅嬚?，包括收入確認、網站開發(fā)成本等支出的處理、與產品質量保證相關的預計負債的確認、外幣折算等問題；(4)未能遵守稅法和其他法律法規(guī)，尤其在通過互聯(lián)網開展跨國或跨地區(qū)電子商務時更易出現(xiàn)此類情況；(5)無法保證僅以電子形式存在的合同具有約束力；(6)過度依賴電子商務；(7)系統(tǒng)和基礎架構失效或崩潰。
另外，注冊會計師還應從被審計單位的行業(yè)狀況、監(jiān)管環(huán)境、目標與戰(zhàn)略、治理層和管理層特定意圖、復雜的聯(lián)營或合資、重大的非常規(guī)交易、重大的關聯(lián)方交易、交易的重大不確定性、會計計量過程復雜和信息技術環(huán)境發(fā)生變化等事項來識別和評估其重大錯報風險。
3.風險應對程序
注冊會計師應當針對評估的財務報表層次重大錯報風險確定總體應對措施，并針對評估的認定層次重大錯報風險設計和實施進一步審計程序，以將審計風險降至可接受的低水平。
針對評估的財務報表層次重大錯報風險主要采取下列總體應對措施：(1)向項目組強調在收集和評價審計證據(jù)過程中保持職業(yè)懷疑態(tài)度的必要性；(2)分派更有經驗或具有特殊技能的審計人員?；蚶脤＜业墓ぷ鳎?3)提供更多的督導；(4)在選擇進一步審計程序時，應當注意使某些程序不被管理層預見或事先了解；(5)對擬實施審計程序的性質、時間和范圍做出總體修改。
注冊會計師應當針對評估的認定層次重大錯報風險設計和實施進一步審計程序(包括控制測試和實質性程序)，并具體考慮審計程序的性質、時間和范圍。在電子商務環(huán)境下，注冊會計師僅實施實質性程序獲取的審計證據(jù)一般無法將認定層次重大錯報風險降至可接受的低水平，應當實施相關的控制測試，以獲取控制運行有效性的審計證據(jù)。注冊會計師進行控制測試時應當特別考慮與電子商務相關的安全性控制、交易完備性控制和流程整合。具體實質性程序包括檢查、觀察、詢問、函證、重新計算和分析程序。函證是電子商務環(huán)境下證實交易真實的有力程序，而傳統(tǒng)審計條件下的檢查則顯得無能為力。
引言
現(xiàn)代風險導向審計明確了審計工作應以了解被審計單位環(huán)境，評估財務報表重大錯報風險作為新的正確起點和導向，要求注冊會計師全程關注財務報表的重大錯報風險，并將風險評估作為整個審計工作的先導、前提和基礎。但如何才能全面的了解企業(yè)所面臨的風險，并評估其對財務報表重大錯報的影響呢？本文擬建立一個基于企業(yè)風險管理框架理論的三維框架體系解決這一問題。
一、現(xiàn)代風險導向審計評述
隨著現(xiàn)代企業(yè)規(guī)模的日益擴大，企業(yè)的經濟活動和交易事項內容不斷豐富復雜，審計工作的工作量和復雜度迅速增大。為了適應審計環(huán)境的變化和審計工作的需求，審計職業(yè)界逐漸改變了詳細審計，代之以抽樣審計，審計方法也從賬項基礎審計、制度基礎審計發(fā)展到風險導向審計。根據(jù)對審計風險的理解和認識的不同，風險導向審計被劃分為傳統(tǒng)風險導向審計和現(xiàn)代風險導向審計兩個階段。
傳統(tǒng)的風險導向審計運用審計風險模型“審計風險=固有風險×控制風險×檢查風險”，將審計的視角確定于企業(yè)的管理制度，特別是會計信息賴以生成的內部控制制度。注冊會計師通過了解企業(yè)及其環(huán)境、評價內部控制，對固有風險和控制風險做出評估，在此基礎上確定檢查風險，再設計和實施實質性程序，以將審計風險控制在會計師事務所確定的水平。由于固有風險的單獨評估具有顯知的難度，注冊會計師往往不注重從宏觀層面上了解企業(yè)及其環(huán)境，而將審計的起點定為企業(yè)的內部控制測試，只依賴對內部控制風險所作的粗放型評估來直接、大致確定檢查風險水平，再據(jù)此規(guī)劃實質性程序的性質、時間和范圍。但是由于企業(yè)存在于整個社會經濟生活網絡中，所處的經濟環(huán)境、行業(yè)狀況、經營目標、戰(zhàn)略和風險都將最終對會計報表產生重大影響，同時，當企業(yè)管理層通同舞弊，故意通過重大誤導性的財務報表來傷害公司利益相關者時，企業(yè)的內部控制會失去效果。如果注冊會計師不把審計視角擴展到內部控制以外，就很容易受到蒙蔽和欺騙，難于發(fā)現(xiàn)會計報表存在的重大錯報和舞弊行為。
2003年10月，國際審計與鑒證準則理事會（IAASB）緊緊圍繞如何提高審計人員評估風險、發(fā)現(xiàn)舞弊的能力，了4個修訂和新起草的準則，其核心思想是合并原固有風險和控制風險，將審計風險模型修改為“審計風險=重大錯報風險×檢查風險”，同時修改審計業(yè)務流程，強調從宏觀上了解被審計單位及其環(huán)境，以充分識別和評估會計報表重大錯報的風險（風險評估程序），再針對評估的重大錯報風險設計和實施控制測試和實質性程序（進一步審計程序）。
我國財政部也了《中國注冊會計師審計準則第1211號――了解被審計單位及其環(huán)境并評估重大錯報風險》，并要求自2007年1月1日執(zhí)行。該準則也明確了“了解被審計單位及其環(huán)境是必要程序”，要求“注冊會計師應當了解被審計單位及其環(huán)境，以足夠識別和評估財務報表重大錯報風險，設計和實施進一步審計程序?！?/p>
二、構建財務報表重大錯報風險評估的三維框架（圖1）
經營風險與財務報表重大錯報風險是相互聯(lián)系又有區(qū)別的兩個范疇。多數(shù)經營風險最終都會產生財務后果，從而影響財務報表，但并非所有經營風險都會導致重大錯報風險。注冊會計師需要通過一定的方法全面了解企業(yè)的經營風險并從中考慮經營風險是否可能導致財務報表的重大錯報風險。
2004年9月，COSO的《企業(yè)風險管理――整合框架》，為人們提供了全面的企業(yè)風險管理框架。本文試圖以此框架為基礎，建立一個以風險管理目標為起點、審計業(yè)務循環(huán)為主線、風險管理構成要素為步驟的三維重大錯報風險評估框架，以便從上向下的全面評估企業(yè)所面臨的風險及其風險應對的有效性，同時以審計業(yè)務循環(huán)為主線，識別評估財務報表的重大錯報風險。
（一）風險管理目標維度――起點
企業(yè)風險管理的目標是指主體力圖實現(xiàn)什么?！镀髽I(yè)風險管理――整合框架》將之劃分為戰(zhàn)略、經營、報告、合規(guī)四種類型的目標，認為主體應首先設定戰(zhàn)略目標，并將戰(zhàn)略目標分解成主體及其各單元努力實現(xiàn)的經營、報告、合規(guī)目標。
“注冊會計師應當了解被審計單位的目標和戰(zhàn)略，以及可能導致財務報表重大錯報的相關經營風險”。注冊會計師應了解：1.戰(zhàn)略目標，包括被審計單位的行業(yè)狀況及影響其經營的其他外部因素，與之相應的被審計單位的目標和戰(zhàn)略；2.經營目標，包括企業(yè)為實現(xiàn)其戰(zhàn)略目標所制定的次級經營目標，如市場占有目標、銷售目標、采購目標、生產目標、投資目標、籌資目標等；3.報告目標，了解由企業(yè)編制的、向內部和外部散發(fā)的各種財務和非財務報告的內容及報告方式，特別是對財務報表報告有重大影響的企業(yè)的所有權結構、治理結構、組織結構，財務業(yè)績的衡量和評價方式等；4.合規(guī)目標，了解被審計單位所處的法律環(huán)境及監(jiān)管環(huán)境，包括適用的會計準則制度，影響經營活動的法律法規(guī)、政府政策、監(jiān)管活動和環(huán)保要求等。
（二）審計業(yè)務循環(huán)維度――主線
業(yè)務循環(huán)是企業(yè)處理某一類經濟業(yè)務的工作程序和先后順序，一般可劃分為采購與付款循環(huán)、銷售與收款循環(huán)、存貨與倉儲循環(huán)、籌資與投資循環(huán)等。企業(yè)的經營業(yè)務流程與內部控制有著直接的聯(lián)系，同時，循環(huán)審計也有利于審計分工，提高審計效率，因此業(yè)務循環(huán)審計被廣泛應用于傳統(tǒng)的內控導向審計中。
本文建立的三維模型，強調以業(yè)務循環(huán)為線，分循環(huán)了解企業(yè)風險管理目標和構成要素，以便于界定財務報表容易發(fā)生錯報的領域及其錯報的方式，主要原因如下：1.通過業(yè)務循環(huán)的劃分，企業(yè)的所有交易和賬戶余額被分屬于不同的循環(huán)，按照業(yè)務循環(huán)來解析企業(yè)風險，能夠將風險評估的結果最終具體落實到賬戶的認定層次。2.“了解被審計單位及其環(huán)境是一個連續(xù)和動態(tài)的收集、更新與分析的過程，貫穿于整個審計過程的始終?！卑礃I(yè)務循環(huán)來了解企業(yè)環(huán)境，評估財務報表重大風險，是與進一步審計程序中分業(yè)務循環(huán)設計和實施控制測試和實質性程序相一致的。
（三）風險管理構成要素維度――步驟
企業(yè)風險管理的構成要素是管理層經營一個企業(yè)所做的事情，是指主體應以什么樣的方式來實現(xiàn)其目標?！镀髽I(yè)風險管理――整合框架》將之劃分為八個構成要素。注冊會計師依照這八個構成要素可以全面了解企業(yè)面臨的風險、采取的風險應對措施及其有效性，從而全面評估與經營風險相關聯(lián)的企業(yè)財務報表的重大錯報風險。
1.內部環(huán)境。內部環(huán)境是指管理當局確立的關于風險的理念，是企業(yè)組織的基調，影響企業(yè)組織中人員的風險意識。注冊會計師應了解企業(yè)管理層的風險管理理念，風險容量，董事會的監(jiān)督機制，企業(yè)中人員的誠信、道德價值觀和勝任能力，以對企業(yè)的風險管理方式作總體的了解。例如，有效而獨立的董事會運作機制能夠有效的控制企業(yè)的經營風險，也將有效的降低財務報表錯報的風險。
2.目標設定。目標設定是指企業(yè)管理當局在既定的任務和背景下，采取恰當?shù)某绦蛑贫☉?zhàn)略目標、選擇戰(zhàn)略，并制定相關經營目標，將其細分至企業(yè)的方方面面，從而確保所設定的目標支持切合企業(yè)的使命并與風險容量一致。注冊會計師應以審計業(yè)務循環(huán)為線，了解企業(yè)的關鍵業(yè)績指標、業(yè)績趨勢、預測預算、企業(yè)各部門單位的業(yè)績目標等，從而推測相關人員的行為導向及可能導致的重大錯報風險。例如，過高的銷售目標易導致產生壓貨等各種形式的虛假銷售，或使得企業(yè)對客戶信用評估不重視，為了占領市場盲目擴大客戶源，盲目賒銷，最終導致銷售收款循環(huán)的重大錯報風險；本期及未來的融資計劃，是企業(yè)為滿足融資條件修改財務報表、管理關鍵財務指標的重要動機。
3.事項識別。事項識別是指企業(yè)管理當局必須能夠識別可能對企業(yè)產生影響的潛在事項。注冊會計師應詢問管理層識別出的經營風險或與管理層討論如何識別經營風險。例如企業(yè)各級部門是否實時關注與之相關的政策法規(guī)，企業(yè)是否具有常規(guī)的市場調研機制，是否聘請了法律顧問以規(guī)避法律風險，是否具備有效的內部審計機制，財務主管是否了解融資市場的利率及資金供應狀況等等。
4.風險評估。風險評估是指企業(yè)應該考慮潛在事項如何影響目標的實現(xiàn)。注冊會計師應與企業(yè)的管理層及各部門負責人討論，以明確企業(yè)是否能夠評估各領域的風險程度。例如，銷售部門是否能夠識別關鍵客戶，采購部門是否有一定方法區(qū)分重要供應商，生產部門是否能夠明確行業(yè)產品的發(fā)展方向并有與之相應的研究和開發(fā)活動等。
5.風險應對。風險應對是指管理者如何應對風險。注冊會計師應了解企業(yè)的風險應對措施并評估其有效性。注冊會計師應特別關注當被審計單位內部或外部對財務業(yè)績的衡量和評價可能對管理層產生壓力時，企業(yè)是否存在通過關聯(lián)方交易、合并報表、會計政策選擇等財務手段直接管理財務指標應對業(yè)績評價風險的情況。
6.控制活動?？刂苹顒邮菐椭芾懋斁謱嵤╋L險應對方案的政策和程序。注冊會計師可以以審計循環(huán)為主線，更多的關注企業(yè)為實現(xiàn)財務報告可靠性目標設計和實施的與審計相關的內部控制。
7.信息與溝通。管理者應當建立一套信息系統(tǒng)來處理和提煉大量的數(shù)據(jù)以形成可參考的信息，并在企業(yè)內部和外部恰當、及時、準確的傳遞。注冊會計師應更多的關注“與財務報告相關的信息系統(tǒng)”。
8.監(jiān)控―管理當局需要依賴監(jiān)控確定企業(yè)風險管理的運行是否持續(xù)有效?！白詴嫀煈斄私獗粚徲媶挝粚εc財務報告相關的內部控制的監(jiān)督活動，并了解如何采取措施”。
【參考文獻】
［1］ 中國財政部.中國注冊會計師審計準則第1211號――了解被審計單位及其環(huán)境并評估重大錯報風險［EB/OL］.http：//mof.省略，2006-2-15.
［2］ ［美］COSO.企業(yè)風險管理――整合框架［M］.方紅星，王宏，譯.大連：東北財經大學出版社，2005.
［3］ 陳毓圭.對風險導向審計方法的由來及其發(fā)展的認識［J］.會計研究，2004（2）：58-63.
此外還要考慮內控的局限性，并對被審計單位準確估計被審計單位內控的局限行。通過上述審計程序，最終從整體層面及業(yè)務流程層面了解內部控制。整體層即報表從整體角度出發(fā)考慮被審計單位財務報表可能存在的重大錯報風險。也為流程層則是落實到具體業(yè)務通過穿行測試報審計工作落實到每筆業(yè)務上，從細節(jié)上考慮被審計單位的重大錯報風險。除上述兩個層次的重大錯報風險外還需要考慮特殊風險中舞弊風險的考慮以及是否有違反法律法規(guī)的行為。特殊風險是指注冊會計師識別和評估的、根據(jù)判斷認為需要特別考慮的重大錯報風險。這些風險往往會導致潛在的錯報及舞弊行為，是在風險評估階段必須重點考慮的。
通過對被審計單位進行實行風險評估程序，評估出被審計單位財務報表層、業(yè)務流程以及特殊風險的發(fā)生概率（重大錯報風險率）。在于項目組討論其應對程序。
首先在充分了解被審計單位及其環(huán)境后，應進行控制測試以量化對控制環(huán)境的評估并確定下一步風險應對程序的實施方式?？刂茰y試是指評估內部控制在防止或發(fā)現(xiàn)并糾正認定層次重大錯報運行有效性的審計程序。其主要內容是：檢查控制測試是否得到一貫之行；控制由哪個部門以何種方式執(zhí)行；控制在審計期間的相關時點是如何運行的。其中控制測試以詢問、觀察和檢查、分析程序等方法對被審計單位內部控制在控制企業(yè)業(yè)務方面發(fā)揮的作用，在確保報表有效性、可靠性方面發(fā)揮的作用以確定在進行是采用綜合方案還是實質性方案?？傮w審計程序有兩種類型:實質性審計計劃是指實施進一步的審計會計師事務所主要實質性審計程序;全面計劃本質的實現(xiàn)進一步的審計程序,注冊會計師將聯(lián)合控制測試和實質性程序,從而提高審計效率,有效節(jié)約審計的成本。
其次在進行有效的控制測試之后針對財務報表層的重大錯報風險計劃總體應對措施，其中包括：向項目組強調職業(yè)懷疑的重要性；提供更多的監(jiān)督與輔導；對擬實施的審計程序的性質、時間安排和范圍作出總體修改；指派更有經驗或具有特殊技能的審計人員或利用專家工作；例如：對某些以前未測試的低于設定的重要性水平或風險較小的賬戶余額和認定實施實質性程序，體現(xiàn)了增加審計不確定性的要求；在期末而非期中實施更多的審計程序。
中圖分類號：F239.4 文獻標識碼：A
文章編號：1004-4914（2011）12-204-02
一、問題一 風險管理審計準則的適用范圍
《風險管理審計準則》第3條為：“本準則適用于各類組織的內部審計機構、內部審計人員及其從事的內部審計活動?！?/p>
我國的內部審計人員主要是具備較高審計、會計專業(yè)水平的人員，而企業(yè)的風險管理不應僅僅包括內部審計人員，還應由企業(yè)的董事會、管理層和其他員工共同參與，使企業(yè)各個層次的員工都涉及得到。其中：（1）董事會對企業(yè)的風險管理負監(jiān)督職責――了解管理者在企業(yè)內部建立有效風險管理的程度、獲知并認可企業(yè)的風險偏好、符合企業(yè)的風險組合觀并與企業(yè)的風險偏好相比較、評估企業(yè)的首要風險并評估管理者的風險反應是否適當；（2）管理層確定風險管理的基調，對企業(yè)風險管理最終負責；（3）內部審計人員通過對管理者風險管理過程的充分性和有效性進行監(jiān)控、檢查、評估、報告和提出改進建議，來幫助管理者和董事會或審計委員會履行其職責；（4）企業(yè)的其他員工都應提供風險管理所需的信息或者采取必要的措施管理風險，并及時向上報告風險。
一個企業(yè)通常將其戰(zhàn)略目標分解成相應的子目標，再將子目標層層分解到業(yè)務部門、行政部門和各生產過程。在制定戰(zhàn)略時，管理者應考慮與不同戰(zhàn)略相關聯(lián)的風險。即確定障礙或可能出錯的事情，以及為了提供最大成功概率而不得出錯的關鍵成功系數(shù)。然后管理層決定哪些方案、程序或行動能用于積極、有效地管理風險。并且將風險管理過程應用于企業(yè)內部每個層次和部門，企業(yè)管理者對企業(yè)所面臨的風險應有一個總體層面上的風險組合觀――從總體層面上考慮企業(yè)的各項活動。企業(yè)的風險管理應考慮組織內所有層面的活動，從企業(yè)總體的活動（如戰(zhàn)略計劃和資源分配）到業(yè)務部門的活動（如市場部、人力資源部），再到業(yè)務流程（如生產過程和新客戶信用復核）。
風險管理過程的概念很簡單，但落實起來又是另一回事，要特別注意在管理人員之間就一目了然的事項達成一致意見。要取得期望的效果需要應用多種方法，在許多時候需要舉辦協(xié)調討論會，將關鍵人物聚集在一起，以獲得必要的“贊同參與”，使風險管理過程順利付諸實施。
二、問題二 風險管理過程的界定
《風險管理審計準則》第2條對風險管理做了如下定義：“是對影響組織目標實現(xiàn)的各種不確定性事件進行識別與評估，并采取應對措施將其影響控制在可接受范圍內的過程。風險管理旨在為組織目標的實現(xiàn)提供合理保證?！钡?條則描述了風險管理包括的主要階段：“風險識別（根據(jù)組織目標、戰(zhàn)略規(guī)劃等識別所面臨的風險）”、“風險評估（對已識別的風險，評估其發(fā)生的可能性及影響程度）”以及“風險應對（采取應對措施，將風險控制在組織可接受的范圍內）”；在該準則的第4條中,還特別強調：“風險管理是組織內部控制的基本組成部分,內部審計人員對風險管理的審查和評價是內部控制審計的基本內容之一?！?/p>
可以看出，該準則所稱的“風險管理”是狹義上的風險管理，即風險管理活動的具體實施過程為風險識別、評估及應對。而廣義的風險管理不僅包括上述的具體實施過程，還包括其他起輔助作用的要素：風險預測與預警、風險控制、信息溝通以及風險監(jiān)督等等（下文會做具體的論述）。按目前狹義前提下制定的準則去執(zhí)行，風險管理審計就會忽略這些起輔助作用的要素，以至于發(fā)現(xiàn)不了組織風險管理活動中可能存在的潛在問題。
1.風險預測與預警?！帮L險識別”中說“識別所面臨的風險”，即近期的、已發(fā)生或存在的、企業(yè)所感受得到的風險。但風險多種多樣，筆者認為應該增加“風險預測與預警”，即先確定企業(yè)的風險偏好；然后全方位對風險進行科學的預測分析，提醒有關部門采取有力措施，增加危機意識，提高風險管理審計和內部控制的效率。企業(yè)還應設立風險評價指標控制體系，同時風險管理機構和人員密切注意與本企業(yè)相關的各種內外因素的變化發(fā)展趨勢，從對因素變化的動態(tài)中分析預測企業(yè)可能發(fā)生的風險，進行風險預警。之后，在預測到的風險范圍內，根據(jù)組織目標、戰(zhàn)略規(guī)劃等做具體的、有針對性的“風險識別”，將最有可能發(fā)生的幾種風險進行評估與應對。
2.風險評估?！帮L險評估”應從企業(yè)戰(zhàn)略和目標的角度進行。首先，應對企業(yè)的固有風險進行評估。根據(jù)已確定的固有風險反應模式確定對固有風險的管理措施。其次，管理者應在對固有風險采取有關管理措施的基礎上，對企業(yè)的殘存風險進行評估。
由于企業(yè)內部不同部門或不同業(yè)務的風險，有的會相互疊加放大，有的則相互抵消減少。如前文所說，風險的考慮不能僅僅從某項業(yè)務、某個部門的角度出發(fā)，應將風險組合起來處理。因此，風險的有效識別和評估、預先找到風險之間的相互關系，可以使企業(yè)避免被放大的風險所帶來的損失，并減少處理已抵消了的風險所發(fā)生的費用。
3.風險應對與控制?！帮L險應對”可以分為回避風險、接受風險、降低風險和分擔風險。對于每一個重要的風險，企業(yè)都應全面考慮風險反應方案。有效的風險管理要求管理者選擇可以使企業(yè)風險發(fā)生的可能性和影響都落在風險容忍度之內的風險反應方案。選定某一風險反應方案后，管理者應在殘存風險的基礎上重新評估。
在選擇好風險應對方案后，應該增加“風險控制”環(huán)節(jié)，即制定相關的政策和程序，來保證風險反應方案得到正確執(zhí)行。
4.信息溝通。在應對風險的過程中要確定內外部環(huán)境的變化和內部執(zhí)行情況的反饋，對風險的變化進行有效的反應，這就要求有“信息溝通”環(huán)節(jié)。即將企業(yè)內外部相關信息以一定的格式和時間間隔進行確認、捕捉和傳遞，以保證企業(yè)的員工能夠執(zhí)行各自的職責；加強企業(yè)內部橫向和縱向的溝通，并將相關的信息與企業(yè)外部相關方進行有效的溝通和交換，如供應商、客戶、行政管理部門和股東等。這也是風險報告環(huán)節(jié)，全面反映經濟活動情況，及時提供重要信息，增強內部管理的時效性和針對性。
5.風險監(jiān)控。為了評估企業(yè)風險管理的執(zhí)行質量，就要有一個監(jiān)督過程――可以設立一個風險監(jiān)控系統(tǒng)，通過持續(xù)監(jiān)控、個別評估，保證企業(yè)的風險管理在企業(yè)內務管理層面和各部門持續(xù)得到執(zhí)行，并通過風險管理記錄來保證監(jiān)控的有效性。當企業(yè)管理者打算向外部相關方提供關于企業(yè)風險管理效率的報告時，他們應考慮為企業(yè)風險管理設計一套記錄模式并保持有關的記錄。
6.其他。通過風險評價指標體系確定風險范圍，使管理者分清組織可接受風險和個人可接受風險。否則，會產生嚴重后果，若管理者個人拿公司資產進入超出公司短暫經營范圍的高風險領域，則是將整個企業(yè)做賭注。這就需要企業(yè)建立有效的風險評價指標體系，對風險進行識別和評估；然后進行信息溝通和交流，使管理者或項目執(zhí)行者清楚地知道什么應該做、什么不應該做；同時，再通過風險監(jiān)控系統(tǒng)監(jiān)控，確保企業(yè)風險最小化或損失最小化。
基于以上分析，要實現(xiàn)真正意義上的風險管理審計，對風險管理審計準則中的風險管理概念的理解就必須建立在廣義的基礎之上。即風險管理不應僅僅包括風險識別、評估及應對環(huán)節(jié)，更包括風險預測與預警、風險控制、信息溝通以及風險監(jiān)控等環(huán)節(jié)。從廣義上理解風險管理的涵義，全盤考慮風險管理的構成要素及其運作方式，才能及時有效地發(fā)現(xiàn)企業(yè)風險管理實踐中存在的短板。
三、總結及觀點――企業(yè)如何加強風險審計管理
1.設立風險管理委員會和審計委員會?？梢栽谄髽I(yè)設立風險管理委員會和審計委員會。其中，風險管理委員會作為內部控制管理的主要決策機構，負責擬定、執(zhí)行控制程序；審計委員會主要負責風險監(jiān)督與評價，督促管理層解決內部控制存在的問題，并將修正控制意見反饋前者，以完善控制體系。
2.加強對企業(yè)領導者的審計監(jiān)督。企業(yè)領導者在風險管理審計中起著非常重要的作用，他們的一舉一動，對企業(yè)有著至關重要的影響。所以應該加強對企業(yè)領導者的審計監(jiān)督，把好“總舵手”這一關。弄清企業(yè)負責人和部門負責人任期內的經濟責任，特別是更換負責人的企業(yè)，通過審計使離任的企業(yè)領導走得明白，繼任的領導者接得清楚。要特別注意離任審計，避免出現(xiàn)“一個企業(yè)搞不好，換個企業(yè)當領導”的怪象，從而使企業(yè)健康發(fā)展。
3.根據(jù)企業(yè)自身情況，建立相應的規(guī)章制度。要在符合內部控制要求和企業(yè)自身情況的前提下，建立行之有效的規(guī)章制度――完善各項業(yè)務的管理制度，建立風險防范體系，規(guī)范風險控制制度。建立健全規(guī)章制度，使企業(yè)的一切活動都有章可循，有規(guī)可守，做到違章必究。并對企業(yè)的重大決策、發(fā)展、規(guī)劃、人事制度、財務會計等建立公開制度，增強透明度，為風險監(jiān)管創(chuàng)造條件。
4.建立風險調節(jié)系統(tǒng)。董事會需要確信管理層不僅已確定并管理現(xiàn)有風險，而且已建立有效的、隨時可以發(fā)現(xiàn)新風險的過程。此系統(tǒng)不是凌駕在現(xiàn)有管理程序之上的單獨的過程，相反，它應該與管理層運營公司的方式結合在一起，充實管理過程并使之以風險為重心，確保風險得到恰當?shù)墓芾怼?/p>
四、有待解決的問題
本準則對風險評估方法界定模糊。第13條提出：“內部審計人員應當充分了解風險評估的方法。風險評估可以采用定性或定量的方法進行。定性方法，是指運用定性術語評估并描述風險發(fā)生的可能性及其影響程度。定量方法，是指運用數(shù)量方法評估并描述風險發(fā)生的可能性及其影響程度?！笨梢?，準則只是做了概念性介紹，可能出于準則簡潔之考慮。但不可否認的是，我國在風險評估方法上所做的創(chuàng)新并不多，風險的定量計量方法更是捉襟見肘。風險是一個十分抽象的概念，欲將其定量計量難上加難。如何能開發(fā)出適合中國國情的風險度量模型，并使企業(yè)有效根據(jù)自身特點作出選擇？這是一個有待研究的十分有價值的問題。
參考文獻:
按照IAASB工作計劃，三個新國際審計風險準則生效后，原IAS 310“了解被審計單位情況”（Knowledge of the business）、ISA 400“風險評估與內部控制”（Risk assessments and internal controls）、ISA 401“機信息系統(tǒng)環(huán)境下的審計”（Auditing in a computer information systems environment）和ISA 500“審計證據(jù)”一并作廢。與以前準則相比，新國際審計風險準則主要有以下八個方面的重大發(fā)展和實質性變化。
（一）引入“重大錯報風險”概念，重建審計風險模型
原國際審計風險準則認為，審計風險包括固有風險、控制風險和檢查風險，審計風險模型為：審計風險=固有風險×控制風險×檢查風險，并要求根據(jù)該模型來計劃和執(zhí)行財務報表審計工作，最終將審計風險降低至可接受的低水平。從上看，該模型不存在不妥，但實務操作面臨很大的和困難。比如：（1）原準則要求，在編制總體審計計劃時，注冊會計師應當對財務報表整體的固有風險進行評估；在編制具體審計計劃時，注冊會計師應當考慮固有風險的評估對各重要賬戶或交易類別的認定所產生的影響，或者直接假定這種認定的固有風險為高水平。由于假設不存在相關內部控制的條件下去具體單獨評估認定的固有風險有顯知的難度，再加上直接假定認定的固有風險為高水平被公認為穩(wěn)健的做法，這樣極容易導致不少事務所及注冊會計師不重視對固有風險的評估，使其流于形式。（2）盡管原準則明確指出，由于控制風險與固有風險相互聯(lián)系，注冊會計師應當對兩者進行綜合評估，并據(jù)以作為檢查風險的評估基礎。但實務中，很容易人為割裂兩者的內在聯(lián)系，而只依賴對內部控制風險所作的粗放型評估來直接、大致確定檢查風險水平，再據(jù)此規(guī)劃實質性程序的性質、時間和范圍。這樣做難以合理保證財務報表不存在重大錯報。（3）最為重要的是，原審計風險模型將固有風險和控制風險并列，沒有抓住財務報表審計工作的“牛鼻子”，也沒有抓住事物的本質和核心東西。其實，這兩種風險，就是客戶風險（client risk），即客戶財務報表審計前存在重大錯報的可能性，均為被審計單位所造成和掌控，注冊會計師只能評估而不能改變。從注冊會計師角度看，只抓住固有風險和控制風險作為審計工作的起點和導向，而不直接明確地以評估重大錯報風險為起點和導向，有舍本求末，隔靴搔癢，只見樹木不見森林之感。
新國際審計風險準則正式引進“重大錯報風險”概念（重大錯報風險是指財務報表在審計前存在重大錯報的可能性），將審計風險模型重構為：審計風險=重大錯報風險×檢查風險。這不是簡單地將固有和控制風險并稱為重大錯報風險，而是重大的實質性改進。不僅明確規(guī)定了審計工作以評估財務報表重大錯報風險作為新的正確起點和導向，抓住了審計工作的“牛鼻子”，而且與現(xiàn)行審計目標責任定位緊緊相扣，有利于履行審計責任，實現(xiàn)審計目標。眾所周知，按國際審計準則要求設計審計工作就是為了合理保證財務報表整體不存在重大錯報。新風險模型的構建更直接有助于導引注冊會計師，時刻緊緊圍繞評估的重大錯報風險來設計和執(zhí)行審計程序，以最終實現(xiàn)合理保證財務報表整體不存在重大錯報。
（二）改進審計業(yè)務流程，增強實施審計程序的效果
原準則依據(jù)審計風險三要素模型，把審計業(yè)務流程和程序分為四大塊：（1）了解被審計單位情況（為評估固有風險）；（2）了解內部控制；（3）（必要時）控制測試（均為評估控制風險）；（4）實質性測試（為降低檢查風險）。第（1）塊由原IAS 310“了解被審計單位情況”來規(guī)范，第（2）、（3）、（4）塊則由原ISA 400“風險評估與內部控制”來規(guī)范。
新國際審計風險準則依據(jù)審計風險二要素模型，把審計業(yè)務流程和程序分為三大塊：（1）了解被審計單位及其環(huán)境，包括內部控制（目的是為評估財務報表總體層次和認定層次的重大錯報風險）。本塊審計程序稱為“風險評估程序”（risk assessment procedures），（2）（必要時）控制測試（目的是為了測試內部控制在防止、發(fā)現(xiàn)和糾正認定層次重大錯報方面的有效性，并據(jù)此一并評估重大錯報風險），（3）實質性測試（目的是為了檢查認定層次的重大錯報風險）。新準則把第（2）、（3）塊程序統(tǒng)稱為“進一步審計程序”（further audit procedures），并指出風險評估程序不足以為發(fā)表審計意見提供充分適當?shù)膶徲嬜C據(jù)，注冊會計師還應當設計和實施進一步審計程序，包括控制測試和實質性程序。還指出應當以對認定層次的重大錯報風險的相關評估結果（包括實施風險評估程序的結果和必要時執(zhí)行控制測試的結果）為基礎，并考慮既定的審計風險水平，來確定可接受的檢查風險水平，再據(jù)此計劃和實施實質性程序。在既定的審計風險水平下，可接受檢查風險水平與認定層次重大錯報風險的評估結果成反向關系。評估的重大錯報風險越高，可接受檢查風險越低；評估的重大錯報風險越低，可接受檢查風險越高。檢查風險取決于實質性程序設計和執(zhí)行的有效性。注冊會計師應當合理設計實質性程序的性質、時間和范圍并有效執(zhí)行，將檢查風險降至可接受的水平。第（1）塊由ISA 315“了解被審計單位及其環(huán)境并評估重大錯報風險”來規(guī)范，第（2）、（3）兩大塊則由ISA 330“針對評估的重大錯報風險實施的程序”來規(guī)范。由于重建了審計風險模型和改進了審計業(yè)務流程，IAASB相應地修訂了原ISA 500“審計證據(jù)”。
審計業(yè)務流程作上述改進后，要求注冊會計師全程關注財務報表的重大錯報風險，并將風險評估作為整個審計工作的先導、前提和基礎。注冊會計師應首先花大力氣去識別和評估重大錯報風險，再據(jù)此有針對性地采取措施，合理保證財務報表不存在重大錯報。評估重大錯報風險的失當，必將導致整個審計工作的失敗?？磥?，能否合理評估客戶財務報表的重大錯報風險，將成為評價會計師事務所及注冊會計師專業(yè)勝任能力、考驗審計質量及效果的關鍵性尺度與決定性因素。
（三）區(qū)分評估的財務報表整體層次和認定層次的重大錯報風險采取不同應對措施，力保所獲取審計證據(jù)的充分、適當性
ISA 330“針對評估的重大錯報風險實施的程序”明確規(guī)定和回答了，通過了解被審計單位及其環(huán)境（包括內部控制），分別評估出財務報表整體層次和認定層次的重大錯報風險后該怎么辦的問題，從而有助于注冊會計師更有針對性地采取不同的有效應對措施。該準則對注冊會計師提出以下要求：
1.應當針對評估的財務報表整體層次的重大錯報風險確定“總體應對措施”（overall responses）?？刹扇〉目傮w應對措施包括：（1）向項目組強調在收集和評價審計證據(jù)過程中保持職業(yè)懷疑態(tài)度的必要性；（2）分派更有經驗的或具有特殊技能的審計人員，或利用專家的工作；（3）提供更多的督導；（4）在選擇進一步審計程序時，應當注意某些程序不能被管理當局預見或事先了解；（5）對擬實施審計程序的性質、時間和范圍作出總體修改。注冊會計師對控制環(huán)境的了解影響其對財務報表整體層次重大錯報風險的評估。如果控制環(huán)境存在缺陷，注冊會計師通常應當考慮：（1）在期末而非期中實施更多的審計程序；（2）通過實質性程序獲取更廣泛的審計證據(jù)；（3）修改審計程序的性質，獲取更具說服力的審計證據(jù)；（4）增加審計范圍中所包括的經營場所的數(shù)量。
2.應當針對評估認定層次的重大錯報風險設計和實施“進一步審計程序”（further audit procedures），以將審計風險降至可接受的低水平。
ISA 330還要求在確定總體應對措施，以及設計和實施進一步審計程序的性質、時間和范圍時，注冊會計師應當運用職業(yè)判斷。ISA 330還對進一步審計程序（包括必要時控制測試和實質性測試）的性質、時間和范圍決策作了比以前準則更詳盡的規(guī)定。
（四）重新劃分認定層次的構成類別，強調獲取列報與披露認定的審計證據(jù)的重要性
原準則要求識別、評估和檢查認定層次的重大錯報風險，是區(qū)分各類交易和賬戶余額二個類別來進行的。因此財務報表總體重要性水平的分配、實質性細節(jié)測試種類的確定、審計證據(jù)的收集與評價都包括了各類交易和賬戶余額兩個方面。
新國際審計風險準則重新劃分認定層次的構成為三個類別：（1）各類交易，（2）賬戶余額，（3）列報與披露（presentation and disclosure），并將這一思想貫穿于整個審計過程中。
比如，ISA 315要求，從各類交易、賬戶余額及列報與披露三方面來識別和評估認定層次的重大錯報風險。ISA 330規(guī)定，實質性程序包括：一是對各類交易、賬戶余額及列報與披露的細節(jié)測試，二是實質性程序；還規(guī)定注冊會計師應當實施審計程序以評價財務報表總體列報與相關披露是否符合適用的財務報告框架，在評價時應當考慮評估的認定層次重大錯報風險，還應當考慮財務報表是否正確反映財務信息的分類和描述，以及對重大事項的披露是否適當。修訂后的ISA 500“審計證據(jù)”也相應地規(guī)定，注冊會計師應當將認定具體運用于各類交易、賬戶余額、列報與披露，作為評估重大錯報風險以及設計與實施進一步審計程序的基礎；并進一步指出了這三個方面所涉及和運用的不同認定種類。注冊會計師對所審計期間的各類交易和事項運用的認定通常分為下列種類：（1）發(fā)生：記錄的交易和事項已發(fā)生且與客戶有關；（2）完整性：所有應當記錄的交易和事項均已記錄；（3）準確性：與交易和事項有關的金額及其他數(shù)據(jù)已恰當記錄；（4）截止：交易和事項已記錄于正確的會計期間；（5）分類：交易和事項已記錄于恰當?shù)馁~戶。注冊會計師對期末賬戶余額運用的認定通常分為下列種類：（1）存在：資產、負債和所有者權益是存在的；（2）權利和義務：被審計單位擁有或控制資產的權利，負債是被審計單位的義務；（3）完整性：所有應當記錄的資產、負債和所有者權益均已記錄；（4）計價和分攤：資產、負債和所有者權益以恰當?shù)慕痤~反映在財務報表中，之后的計價或分攤調整已恰當記錄。
注冊會計師對列報與披露運用的認定通常分為下列種類：（1）發(fā)生及權利和義務：披露的交易、事項和其他情況已發(fā)生且與被審計單位有關；（2）完整性：所有應當包括在財務報表中的披露均已包括；（3）分類和可理解性：財務信息已被恰當?shù)亓袌蠛兔枋?，且披露表述清楚；?）準確性和計價：財務信息和其他信息已公允披露，且金額恰當。
原準則將列報與披露問題融合到各類交易、賬戶余額的審計中，理論上并沒有什么錯。但實務中相比之下注冊會計師更重視審計各類交易和賬戶余額的其他認定，而容易忽視列報與披露認定的重大錯報風險。在日益重視財務報表列報與披露的今天，新準則強調單獨針對財務報表總體列報與披露認定獲取審計證據(jù)，對切實提高審計效果和財務報表信息披露質量有特別重要的意義。
（五）強調保持職業(yè)懷疑態(tài)度，切實提高發(fā)現(xiàn)重大錯報的概率
新國際審計風險準則進一步強調了保持職業(yè)懷疑態(tài)度的極端重要性，要求注冊會計師以職業(yè)懷疑態(tài)度計劃和實施審計工作，充分考慮可能存在導致會計報表發(fā)生重大錯報的情形。所謂職業(yè)懷疑態(tài)度，是指注冊會計師以質疑的態(tài)度，對所獲取審計證據(jù)的真實有效性作批判性的評價，并對相互矛盾的審計證據(jù)以及導致對文件或管理當局聲明的可靠性產生懷疑的審計證據(jù)保持警惕。例如，在整個審計過程中，職業(yè)懷疑態(tài)度對減少忽略可疑情況的風險，以及減少在確定審計程序的性質、時間、范圍及評價相應結果時使用錯誤假定的風險都是必要的。在計劃和執(zhí)行審計時，審計人員既不能假定管理當局不誠實，也不能假定其完全誠實。因此，管理當局聲明書不能替代獲得充分適當?shù)膶徲嬜C據(jù)，只有充分適當?shù)膶徲嬜C據(jù)才能得出作為審計意見基礎的合理結論。
審計如刑事偵察，同屬偵查類學科。發(fā)現(xiàn)疑點、捕捉線索是關鍵。而保持職業(yè)懷疑態(tài)度又是關鍵之關鍵。在不少審計失敗案例中，審計人員未盡到職業(yè)懷疑義務、不會懷疑成為主因。審計人員學會懷疑是一個不斷、總結和積累的過程，貫穿于整個職業(yè)生涯。職業(yè)懷疑意識和能力越強，發(fā)現(xiàn)重大錯報的概率就越大。
（六）強調對特別風險的識別及評估，并警惕僅實施實質性程序無法獲取充分、適當審計證據(jù)的風險
ISA 315要求，注冊會計師在風險評估中應當運用職業(yè)判斷，確定識別的風險哪些是特別風險（significant risks），需要作特別的審計考慮。在確定哪些風險是特別風險時，應考慮風險的性質、潛在錯報的重要程度（包括導致多項錯報的可能性）以及風險發(fā)生的可能性。在確定風險的性質時，注冊會計師應當考慮下列事項：（1）風險是否為舞弊風險；（2）風險是否與近期環(huán)境、會計核算和其他方面的重大變化有關；（3）交易的復雜程度；（4）風險是否涉及重大的關聯(lián)方交易；（5）財務信息計量的主觀程度，特別是對不確定事項的計量存在寬廣的區(qū)間；（6）風險是否涉及異常或超出正常業(yè)務范圍的重大交易。ISA 315指出，特別風險通常與重大的非常規(guī)交易和判斷事項有關。非常規(guī)交易是指由于金額或性質異常而不經常發(fā)生的交易。判斷事項通常包括作出的會計估計。由于非常規(guī)交易具有下列特征，與重大非常規(guī)交易相關的特別風險可能導致更高的重大錯報風險：（1）管理當局更多地介入會計處理；（2）數(shù)據(jù)收集和處理需要更多的人工介入；（3）復雜的計算或會計原則；（4）非常規(guī)交易的性質可能使被審計單位難以對由此產生的特別風險實施有效控制。由于下列原因，與重大判斷事項相關的特別風險可能導致更高的重大錯報風險：（1）對涉及會計估計和收入確認的會計原則存在不同的理解；（2）所要求的判斷可能是主觀和復雜的，或需要對未來事項作出假設。ISA 315還要求，對特別風險，注冊會計師應當評價相關控制（包括相關的控制活動）的設計情況，并確定其是否已經得到執(zhí)行。由于與重大非常規(guī)交易或判斷事項相關的風險很少受到日?？刂频募s束，注冊會計師應當了解被審計單位是否針對該特別風險設計和實施了控制。如果管理當局未能實施控制以恰當應對特別風險，注冊會計師應當認為內部控制存在重大缺陷，并考慮對風險評估的影響。
ISA 315同時要求，特別應警惕僅實施實質性程序無法提供充分、適當審計證據(jù)的風險。指出作為風險評估的一部分，如果認為僅通過實施實質性程序獲取的審計證據(jù)無法將認定層次的重大錯報風險降至可接受的低水平，注冊師應當評價客戶針對這些風險設計的控制（包括相關的控制活動），并確定其執(zhí)行情況。還強調在客戶對日常交易采用高度自動化處理的情況下，如果注冊會計師認為僅通過實施實質性程序不能獲取充分、適當?shù)膶徲嬜C據(jù)，則應當考慮所依賴的相關控制的有效性。
這是國際審計風險準則首次單獨強調識別和處置特別風險及完全依賴實質性程序的風險，對于解決實務中較普遍存在的（1）審計往往抓不住重點，容易忽視那些需要特別審計考慮的風險；（2）不重視風險評估和內控了解，不分情況盲目期望僅靠實施實質性程序獲取證據(jù)等突出，有針對性意義。
（七）強調項目組內討論的積極作用，共享審計經驗和資源
在審計中如何組織利用好項目組內的討論，共享審計經驗和資源，保證整體審計質量，這在過去往往被忽視。ISA 315首次規(guī)定，注冊會計師應當組織項目組成員對客戶財務報表存在重大錯報的可能性進行討論，并運用職業(yè)判斷合理確定討論的目標、、人員、時間和方式。項目組應當討論客戶所面臨的經營風險、報表容易發(fā)生錯報的領域及發(fā)生錯報的方式，特別是由于舞弊導致重大錯報的可能性。項目組的關鍵成員應當參與討論。如果審計項目組需要擁有特殊信息技術或其他技能的專家，在討論時還應將其包括在內。項目組應當根據(jù)審計的具體情況，持續(xù)交換有關客戶報表發(fā)生重大錯報可能性的信息。項目組在討論時應當強調在整個審計過程中保持職業(yè)懷疑態(tài)度，警惕可能發(fā)生重大錯報的跡象，并對這些跡象進行嚴格追蹤。通過討論可以使成員更好地了解在各自負責的領域報表發(fā)生重大錯報的可能性，并了解各自實施審計程序的結果如何審計的其他方面，包括如何確定進一步審計程序的性質、時間和范圍。
（八）強調與治理當局溝通和與管理當局溝通并重，優(yōu)化審計環(huán)境。
ISA 315設專章規(guī)定與治理當局和管理當局溝通內控問題，要求注冊會計師及時將其注意到的內部控制設計或執(zhí)行方面的重大缺陷告知客戶適當層次的治理當局或管理當局。如果識別出客戶未加控制或控制不當?shù)闹卮箦e報風險，或認為客戶的風險評估過程存在重大缺陷，注冊會計師應當就此類內部控制缺陷與治理當局溝通。此外，還可向治理當局溝通與管理當局的正直性和舞弊有關的問題。
ISA 260“與治理當局溝通審計事項”，專門為審計人員與客戶負責治理的機構和人員（簡稱治理當局）之間，溝通審計中所注意到的有關治理的審計事項，建立準則和提供指南。本準則所稱“治理”是用來描述被授權對單位進行監(jiān)督、控制及指導的內部機構和人員的作用。只有當管理當局履行這種職能時，治理當局才包括管理當局。本準則對溝通的原則、對象、內容、方式、時間等作了全面的規(guī)定。
新國際審計風險準則除了上述主要變化外，在許多條款制定上，比以前要求更高、規(guī)定更細、指導性更強，著實澄清和糾正了實務中的一些明顯的重大錯誤認識和做法，對實務中普遍存在的典型的薄弱環(huán)節(jié)予以了加強和改進，恕不贅述。由于本輪準則修訂時，將機信息系統(tǒng)環(huán)境下的特殊審計考慮，融入到了新的三個風險準則和其他準則中，故新準則生效后，原ISA 401“計算機信息系統(tǒng)環(huán)境下的審計”失效。
需要特別強調的是，新國際審計風險準則的頒行并沒有改變財務報表審計目標和責任的基本定位，也沒有改變現(xiàn)行的審計基本和，而只是為了指導審計人員更好地實現(xiàn)審計目標和履行審計責任，縮小審計期望差。ISA 200“財務報表審計的目標與一般原則”依然規(guī)定，注冊會計師只是應當合理保證財務報表整體不存在重大錯報。合理保證報表整體不存在重大錯報意味著審計風險始終存在，注冊會計師應當通過計劃和實施審計工作，獲取充分、適當?shù)膶徲嬜C據(jù)，將審計風險降至可接受的低水平。下列因素可能影響發(fā)現(xiàn)重大錯報的能力，注冊會計師不能絕對保證報表整體不存在重大錯報：（1）抽樣方法的運用；（2）內部控制的固有局限性；（3）大多數(shù)審計證據(jù)是說服性而非結論性的；（4）獲取審計證據(jù)和形成結論時涉及大量判斷；（5）某些特殊性質的交易和事項可能影響審計證據(jù)的說服力。ISA 200還依然規(guī)定，注冊會計師的責任是按照審計準則的要求對財務報表發(fā)表審計意見，客戶管理當局的責任是按照適用的財務報告框架編制和列報財務報表。注冊會計師對財務報表的審計不能減輕管理當局的責任。
二、幾點啟示
我國CPA制度恢復20多年來，獨立審計的準則建設和工作開展取得的成績有目共睹，但由于各種原因，準則的落實程度和執(zhí)業(yè)水平還遠沒有到位。新國際審計風險準則的又對審計工作提出了更高的要求。我們認為，應努力做好以下方面工作，積極應對挑戰(zhàn)：
1.風險導向審計必須實行，重大錯報風險必須認清。從新國際審計風險準則規(guī)定看，風險基礎審計不是要不要做的問題，而是必須認真做好的問題。財務報表審計就是風險導向審計，即以重大錯報風險為導向的審計，關鍵是不能曲解其本質含義。風險導向審計的兩項主要的同等重要的工作就是：評估重大錯報風險和降低重大錯報風險。識別風險、評估風險是前提，檢查風險、降低風險是實質。兩者缺一不可，絕不能只重其一。實務中有兩種典型錯誤做法，背離風險基礎審計的真諦，必須按準則的本質要求予以糾正和規(guī)范：一是剛進駐被審計單位就完全憑經驗評估風險，感覺較好時干脆就不實施或很少實施進一步審計程序；二是風險評估不在行或不想做，項目組一進駐單位根本沒摸清客戶重大錯報風險，就直接實施實質性程序收集審計證據(jù)，盲人摸象，幾乎發(fā)現(xiàn)不了重大問題。
2.審計工作重心必須前移，審計計劃工作必須加強。收集審計證據(jù)主要包括計劃審計和實施審計兩類工作。實務中大多比較輕計劃、重實施。新國際審計風險準則要求我們必須將審計工作的重心前移，重視審計計劃工作，花費必要成本和相當精力在了解客戶及其環(huán)境（包括內部控制）上，以識別和評估出重大錯報風險。只有以認真評估的重大錯報風險為基礎，才能制定出有效的審計計劃。我國目前獨立審計業(yè)務整體水平不高，關鍵在于計劃能力不強，說到底是識別和評估重大錯報風險的能力不強。一些事務所的項目組一進單位就習慣拿出老一套的審計程序清單照做，根本不問重大錯報風險在哪兒。編審計劃好比開中醫(yī)藥方，中醫(yī)藥方要對癥必須先問癥，審計計劃要能幫助查出重大錯報，就必須先識別評估出重大錯報風險。
3.職業(yè)懷疑態(tài)度必須堅持，強制審計程序必須到位。審計職業(yè)的特點決定每個審計人員必須堅持職業(yè)懷疑態(tài)度。職業(yè)懷疑是審計人員必練的基本功。審計人員要養(yǎng)成很強的懷疑意識與能力，需要道德素養(yǎng)、職業(yè)責任感、應有謹慎、執(zhí)業(yè)經驗、判斷能力、專業(yè)精神、敏銳眼光的廣泛良性互動和長期同步揉和。保持職業(yè)懷疑并不是孤立存在的一種純精神態(tài)度，而是要求體現(xiàn)于風險評估、計劃和實施程序、收集和評價證據(jù)、形成結論和意見等審計全過程的具體專業(yè)行為中?？梢哉f，不會職業(yè)懷疑，幾乎就等于不會審計。與此同時，新國際審計風險準則比以前準則規(guī)定了更多的強制審計程序，比如項目組討論、特別風險和全靠實質性程序獲取充分適當證據(jù)的風險識別及處置、審計工作底稿更詳細的記錄等，審計人員在實務中必須執(zhí)行到位，以減少審計程序的隨意性和盲目性。
4.客戶行業(yè)狀況必須掌握，職業(yè)經驗積累必須重視。ISA 315用了124段外加3個附錄的前所未有的特大篇幅，來規(guī)范“了解被審計單位及其環(huán)境并評估重大錯報風險”。這一方面說明風險評估很重要，另一方面說明風險評估難度相當大，對大量的中小型事務所來說做好風險評估更難。ISA 315要求注冊會計師先從下列方面了解被審計單位及其環(huán)境（包括內部控制），再據(jù)以評估財務報表總體層次和認定層次的重大錯報風險：（1）行業(yè)狀況、監(jiān)管環(huán)境以及其他外部因素；（2）被審計單位的性質及對會計政策的選擇和運用；（3）被審計單位的目標、戰(zhàn)略以及相關經營風險；（4）被審計單位財務業(yè)績的衡量和評價；（4）相關內部控制。這些了解不僅內容十分寬泛，而且要求必須將了解的信息運用于風險評估，無疑對事務所及注冊會計師的能力提出了嚴峻的挑戰(zhàn)。各事務所及注冊會計師如再不重視平時對客戶經營及行業(yè)狀況的逐步掌握和職業(yè)經驗的點滴積累，要達到新準則的要求是不可能的。
5.我國現(xiàn)行準則必須修訂，審計實務流程必須改進。我國獨立審計準則的制定一直堅持國際化方向，已初步建立起獨立審計準則體系。注冊會計師協(xié)會根據(jù)ISA的新正在抓緊修訂我國現(xiàn)行審計風險準則。按工作計劃，目前正在制定4個新的審計風險準則：一是《獨立審計具體準則第XX號——會計報表審計的目標和一般原則》，依據(jù)新ISA 200制定，擬取代《獨立審計具體準則第l號——會計報表審計》；二是《獨立審計具體準則第XX號——了解被審計單位及其環(huán)境并評估重大錯報風險》，依據(jù)ISA 315制定，擬取代《獨立審計具體準則第9號——內部控制與審計風險》、《獨立審計具體準則第20號——計算機信息系統(tǒng)環(huán)境下的審計》和《獨立審計具體準則第21號——了解被審計單位情況》；三是《獨立審計具體準則第XX號——針對評估的重大錯報風險實施的程序》，依據(jù)ISA 330制定；四是《獨立審計具體準則第XX號——審計證據(jù)》，依據(jù)新ISA 500制定，擬取代《獨立審計具體準則第5號——審計證據(jù)》。這4個新準則經過在全國范圍內征求意見后，計劃于2005年正式頒行。各事務所及注冊會計師應密切關注和認真審計風險準則的新發(fā)展，并積極考慮據(jù)此改進審計實務流程，切實提高評估風險和發(fā)現(xiàn)重大錯報的能力。
主要
ISA 315 Understanding the entity and its environment and assessing the risks of material misstatement
ISA 330 auditors procedures in response to assessed risks
ISA 500 （revised） Audit evidence
ISA 200 Objective and general principles governing an audit of financial statements
ISA 300 Planning an audit of financial statements
IAS 310 Knowledge of the business
現(xiàn)代企業(yè)風險管理是指企業(yè)在經營過程中，識別、評估、分析各種可能造成潛在影響的風險事項，并在其風險偏好范圍內進行控制和管理，從而為企業(yè)目標的實現(xiàn)提供合理保證的過程，具體表現(xiàn)為認真分析風險、有意識地承擔風險、科學地管理風險、穩(wěn)妥地獲取風險收益。它以博弈論作為理論基礎，通過對不確定性全方位、深層次的分析，形成完善的風
險管理計劃；對各類風險進行識別、定量定性分析、響應和監(jiān)控，形成綜合性的風險應對策略，為正確決策提供依據(jù)，為持續(xù)發(fā)展提供基礎。其核心是將難以預計的未來事項的不確定性控制在可接受的程度，并從中尋求有利于企業(yè)發(fā)展的機遇。該定義通常包括以下基本原理：（1）從企業(yè)整體角度分析風險。企業(yè)風險管理不是匯集每個獨立部門面臨的風險，而是匯集彼此及企業(yè)相對于每個獨立部門的整體風險；（2）從宏觀角度分析風險。風險管理是一種持續(xù)行為，貫穿于企業(yè)經營的全過程，包括事前、事中、事后。越早發(fā)現(xiàn)風險，越早采取措施，則風險管理的成本就越低，給企業(yè)帶來的效益就越大。
二、現(xiàn)代企業(yè)風險管理理念概括來說，健全的企業(yè)風險管理理念可以歸結為6C，即全面性、一致性、關聯(lián)性、集權性、互通性、創(chuàng)新性。
1、全面性（comprehensive）。風險管理的目標不僅僅是使公司免遭損失，而且包括能在風險中抓住發(fā)展機遇。全面性可歸納為三個“確?！?，一是確保企業(yè)風險管理目標與業(yè)務發(fā)展目標相一致；二是確保企業(yè)風險管理能夠涵蓋所有業(yè)務和所有環(huán)節(jié)中的風險；三是確保能夠識別企業(yè)所面臨的各類風險。
2、一致性（consistent）。風險管理有道亦有術。風險管理的“道”根植于企業(yè)的價值觀與社會責任感。風險管理的“術”是具體的操作技術與方法。風險管理的“道”是“術”之綱，“術”是“道”的集中體現(xiàn)，二者高度一致。
3、關聯(lián)性（correlative）。有效的風險管理系統(tǒng)是一個由不同的子系統(tǒng)組成的有機體系，如信息系統(tǒng)、溝通系統(tǒng)、決策系統(tǒng)、指揮系統(tǒng)、后勤保障系統(tǒng)、財物支持系統(tǒng)等。因而，企業(yè)風險管理的有效與否，除了取決于風險管理體系本身外，在很大程度上還取決于它所包含的各個子系統(tǒng)是否健全和有效。任何一個子系統(tǒng)的失靈都有可能導致整個風險管理體系的失效。
4、集權性（centralized）。集權的實質就是要在企業(yè)內部建立起職責清晰、權責明確的風險管理機構。因為清晰的職責劃分是確保風險管理體系有效運作的前提。同時，企業(yè)應確保風險管理機構具有高度權威，并盡可能不受外部因素的干擾，以保持其客觀性和公正性。
5、互通性（communicating）。風險管理戰(zhàn)略的有效性在很大程度上取決于其所獲信息是否充分。而風險管理戰(zhàn)略能否被正確執(zhí)行則受制于企業(yè)內部是否有一個高效的信息溝通渠道。有效的信息溝通可以確保企業(yè)所有人員都能正確理解其工作職責與責任，從而使風險管理體系各環(huán)節(jié)正常運行。
6、創(chuàng)新性（creative）。風險管理既要充分借鑒成功的經驗，又要根據(jù)風險的實際情況，尤其要借助新技術、新信息和新思維，進行大膽創(chuàng)新。
三、現(xiàn)代企業(yè)風險管理體系及其構成要素
每個組織的存在都有其目標，在實現(xiàn)目標的過程中，必然存在各種不確定因素，即風險。企業(yè)管理層的一項重要職責就是要建立一個良好的風險管理體系，來識別、評價和控制風險，為組織目標的實現(xiàn)提供合理的保證。
（一）現(xiàn)代企業(yè)風險管理體系如上圖所示，完善的現(xiàn)代企業(yè)風險管理體系應將風險管理視為閉環(huán)型的過程管理，包括風險識別、風險分析、風險應對、風險監(jiān)控，四個環(huán)節(jié)依次順序推進、循環(huán)往復。
1、風險識別。即確定何種風險可能會對企業(yè)產生影響，并以明確的文檔描述這些風險及其特性。一般而言，風險識別是一個反復進行的過程，應盡可能地全面識別企業(yè)可能面臨的風險。對風險進行分類和歸納是風險識別中常用的方法。風險分類應當反映出企業(yè)所屬行業(yè)或應用領域內常見的風險來源。例：技術方面的風險、時間安排方面的風險及財務方面的風險等。檢查表是風險識別中非常有效的工具。根據(jù)積累的風險數(shù)據(jù)和信息，特別是企業(yè)在風險管理過程中形成的數(shù)據(jù)集合風險管理知識庫，可以較為完整地開發(fā)和編制企業(yè)風險檢查表。檢查表的好處是提高了風險識別過程的效率。特別是企業(yè)進行大量類似項目時，完全可以開發(fā)一套通用的風險檢查表，以提高風險識別過程的速度和質量。
2、風險分析。即評估已識別風險可能的后果及影響的過程。風險分析可以選擇定性分析或定量分析方法，進一步確定已識別風險對企業(yè)的影響，并根據(jù)其影響對風險進行排序，確定關鍵風險項，并指導風險應對計劃的制定。
風險指數(shù)體系是一個有效的風險分析模型，主要用于表征整個企業(yè)的風險程度。該體系根據(jù)風險識別和風險分析的結果，運用數(shù)學模型計算得到一組量化的風險指數(shù)，從而實現(xiàn)對企業(yè)風險的量化反映及橫向校核，并監(jiān)控風險管理的績效。
3、風險應對。即針對企業(yè)面臨的風險，開發(fā)、制定風險應對計劃并組織必要的資源著手實施，目的是有效控制風險，避免風險失控演變?yōu)槲C。風險應對計劃包括企業(yè)當前及未來面臨的主要風險類別，針對各類風險的主要應對措施，每個措施的操作規(guī)程，包括所需的資源、完成時間以及進行狀態(tài)等。風險應對計劃形成之后，企業(yè)應通過風險管理體系確保計劃啟動時所必需的人力、物力等資源。
4、風險監(jiān)控。即在風險管理全過程中，跟蹤已識別的風險，監(jiān)控殘余風險及識別新的風險，確保風險應對計劃的執(zhí)行，評估風險應對措施對減低風險的有效性，并形成風險監(jiān)控 報告。風險監(jiān)控是企業(yè)風險管理生命周期中一種持續(xù)的過程，在企業(yè)經營過程中，風險不斷變化，可能會有新風險出現(xiàn)，也可能有預期風險消失。
（二）現(xiàn)代企業(yè)風險管理要素完善的現(xiàn)代企業(yè)風險管理體系一般應包括相互關聯(lián)的要素，各要素貫穿于企業(yè)管理全過程，為實現(xiàn)企業(yè)目標提供保證。
1、內控建設。主要是在企業(yè)中建立完善的內部控制制度，樹立良好的風險管理理念，營造出色的風險管理文化，為其他風險管理要素的實施打下環(huán)境基礎。
2、目標制定。決策層必須首先確定企業(yè)的目標，才能夠在此基礎上確定對目標的實現(xiàn)具有潛在影響的各種不確定因素，即風險。
3、事項識別。下列事項可能給組織帶來風險：因使用不正確、不及時、不完整、不可靠的資料而導致決策錯誤；記錄有錯誤、會計核算資料不真實、不完整；資產保護不當；顧客不滿意，組織信譽受損；執(zhí)行組織決策、計劃、程序不力，或有違法違規(guī)行為；不經濟地獲取或無效地利用資源；沒有完成組織的任務和目標等等，需要企業(yè)的管理者對其進行識別、評估和反應。
4、風險評估。風險評估可以使管理者了解潛在事項如何影響企業(yè)目標的實現(xiàn)。管理者應從兩個方面對風險進行評估：風險發(fā)生的可能性和影響。對于風險的評估應從企業(yè)戰(zhàn)略和目標的角度進行。
5、風險反應。風險反應可以分為規(guī)避風險、減少風險、共擔風險和接受風險四類。對于每一項重要的風險，企業(yè)都應考慮所有的風險反應方案。有效的風險管理要求管理者選擇可以使企業(yè)風險發(fā)生的可能性和影響都在容忍度之內的風險反應方案。
6、控制活動?？刂苹顒邮谴_保風險反應方案得到正確執(zhí)行的相關政策和程序?？刂苹顒哟嬖谟谄髽I(yè)的各個層面，通常包括兩個要素：確定應該做什么的政策和影響該政策的一系列程序。
7、信息和溝通。來自于企業(yè)內部和外部的相關信息必須以一定的格式和時間間隔進行確認、捕捉和傳遞，以保證企業(yè)中的每一環(huán)節(jié)能夠恰當執(zhí)行各自職責。
8、監(jiān)控。對企業(yè)風險管理的監(jiān)控是指評估風險管理要素的內容、運行以及執(zhí)行質量的過程。企業(yè)可以通過持續(xù)監(jiān)控和個別評估兩種方式，來保證風險管理理念在決策、管理層面和各執(zhí)行層面都得到了正確的理解和貫徹。此外，在風險管理過程中，必須高度重視溝通的作用，通過積極、全面、有效的內外溝通及上下溝通，確保風險控制與危機處理流程順暢、有序、高效、及時。
四、內部審計與現(xiàn)代企業(yè)風險管理
（一）內部審計與現(xiàn)代企業(yè)風險管理的關系為體現(xiàn)并適應執(zhí)業(yè)環(huán)境的變化，1999年，國際內部審計師協(xié)會（IIA）在其《內部審計實務標準》及《職責說明》中對內部審計進行了重新定義。新定義將內部審計的范圍延伸到風險管理和公司治理，認為內部審計是針對風險管理、控制及治理過程的有效性進行評價和改善所必需的，使企業(yè)內部審計與風險管理融為一體?？梢?，內部審計是風險管理的一種方法、一種手段，而風險管理則是內部審計的一項新的內容、一個新的領域。從發(fā)展趨勢看，內部審計不僅越來越關注風險，同時，也是風險管理體系的重要組織部分?，F(xiàn)代企業(yè)內部審計除了關注傳統(tǒng)的內部控制之外，更加關注有效的風險管理機制和健全的公司治理結構。在風險導向型內部審計體系下，控制仍然重要，但業(yè)務重心在于分析、確認、揭示關鍵性的經營風險，強調風險規(guī)避、風險轉移和風險的控制?？梢哉f，IIA將“評價并改善風險管理、控制和治理過程的效果”作為內部審計的重要職責，視風險管理為內部審計的推動力，是國際內部審計幾十年苦苦探索的經驗總結，為內部審計未來發(fā)展指明了努力的方向。
（二）內部審計在風險管理中的作用
在風險導向型模式下，內部審計全面參與公司治理與風險管理，發(fā)現(xiàn)并評價重要的風險因素，協(xié)助組織改善風險控制程序，成為企業(yè)風險管理體系的關鍵環(huán)節(jié)。
1、檢查與評價。重點是對企業(yè)風險管理體系的充分性和有效性進行評估，主要包括：（1）評價企業(yè)戰(zhàn)略目標的制定是否在分析組織和行業(yè)的發(fā)展情況和趨勢、企業(yè)的優(yōu)勢和劣勢、外部的機會和威脅的基礎上結合企業(yè)自身風險偏好來制訂；（2）與相關管理層討論部門目標，評估分解到各部門的具體目標是否與企業(yè)整體戰(zhàn)略目標一致并擁有足夠的支持；（3）評價管理層對風險的識別與評估是否適當；（4）分析風險控制措施是否足以使風險失控的可能性和影響在企業(yè)風險容忍度之內；（5）評估風險監(jiān)控程序是否得到持續(xù)、有效執(zhí)行，監(jiān)控報告及風險管理報告是否充分、及時。
一、我國風險管理審計準則的內容及局限性
隨著經濟形勢發(fā)展及我國內部審計自身發(fā)展的需要，我國內審也開始重視風險管理內部審計。2005年中國內部審計協(xié)會頒布了《內部審計具體準則第16號—風險管理審計》(以下簡稱風險管理審計準則)并要求于2005年5月1日起實施，該具體準則的出臺為我國內部審計人員對組織內部風險管理狀況進行審查和評價提供了規(guī)范指導。
風險管理審計準則第2條對風險管理做了如下定義:是對影響組織目標實現(xiàn)的各種不確定性事件進行識別與評估，并采取應對措施將其影響控制在可接受范圍內的過程。風險管理旨在為組織目標的實現(xiàn)提供合理保證;第6條則描述了風險管理包括的主要階段:風險識別、風險評估以及風險應對;在該準則的第4條中，還特別強調:風險管理是組織內部控制的基本組成部分，內部審計人員對風險管理的審查和評價是內部控制審計的基本內容之一。
可以看出，該準則所稱的“風險管理”是從狹義上理解的風險管理，即風險管理活動的具體實施過程:風險識別、評估及應對。而廣義的風險管理不僅包括上述的具體實施過程，還包括其他起輔助作用的要素:內部環(huán)境、控制活動以及監(jiān)督。按目前狹義前提下制定的準則去執(zhí)行，風險管理審計就會忽略這些起輔助作用的要素，以至于發(fā)現(xiàn)不了組織風險管理活動中可能存在的潛在問題。中航油案例就是一個很好的例證。
中國航油(新加坡)股份有限公司(下稱中航油新加坡公司)曾聘請國際著名的安永會計師事務所為其編制《風險管理手冊》，設有專門的風險管理委員會及軟件監(jiān)測系統(tǒng)，實施交易員、風險控制委員會、審計部、總裁、董事會層層上報，交叉控制，按照《風險管理手冊》的規(guī)定，任何導致50萬美元以上損失的交易將自動平倉。中航油新加坡公司共有10位交易員，損失的最大限額應是500萬美元(10×50萬=500萬)。但是，中航油新加坡公司的衍生品交易最終虧損額高達5.5億美元，以至申請破產保護。中航油事件的核心問題并不在于市場云譎波詭，而在于該公司從表面上看似乎已實施了風險管理的流程:風險識別、風險評估、風險應對;但缺少對風險管理系統(tǒng)中的其他輔助要素的合理關注，最終導致企業(yè)整體風險管理失敗。這一案例也再次說明:風險管理不僅僅只包括風險識別、評估及應對，更包括內部環(huán)境、控制活動、信息和溝通以及監(jiān)控;風險管理系統(tǒng)的有效運轉依賴于各要素的通力協(xié)作，對風險管理不應停留于狹義上的理解;風險管理審計準則應指導內部審計人員從廣義上理解風險管理的涵義，全盤考慮風險管理的構成要素及其運作方式，及時有效地發(fā)現(xiàn)企業(yè)風險管理實踐中存在的短板。
二、重新認識內部控制與風險管理的關系
對風險管理審計的認識依賴于企業(yè)進行風險管理時所采取的企業(yè)風險管理框架或風險模型(用來反映風險管理過程和內容的程序圖)。截至目前，已經有如下風險管理模型:1995年澳大利亞-新西蘭聯(lián)合委員會的AS/NZE4360;1998年的加拿大標準委員會模型;1997年全國虛假財務報告委員會下屬的發(fā)起人委員會(下稱COSO委員會)內部控制-整合框架的“目標—風險—控制”模型;2004年COSO委員會的企業(yè)風險管理-整合框架(簡稱ERM框架)模型。風險管理審計準則中出現(xiàn)的問題根源就在于準則中的“風險管理”概念采納了COSO委員會1997年的內部控制-整合框架中的觀點。然而，理論界和實務界還是認為該內部控制框架有些局限性，如對風險強調不夠，使得內部控制無法與企業(yè)的風險管理相結合。COSO委員會2004年的ERM框架就是在1997年的內部控制-整合框架的基礎上，結合《薩班斯——奧克斯利法案》的相關要求擴展得到的。相比內部控制框架，ERM框架在多個方面都有所發(fā)展和深化，具體表現(xiàn)在以下幾個方面:
1、企業(yè)風險管理涵蓋了內部控制。增加了新的要素或賦予原有要素新的含義，對內部控制框架下的風險管理要素進行細化，按風險管理的流程劃分為:目標設定、事件識別、風險評估、風險反應四個要素。同時，在環(huán)境要素中增加了“風險管理哲學”以及風險“偏好”。對比二者的構成要素，可以發(fā)現(xiàn)風險管理框架中的目標制定、事項識別、風險評估、風險應對四個要素實質上就是風險管理的流程，也可以理解為狹義上的風險管理。這樣看來，內部控制框架與風險管理框架中的要素完全一致。但是系統(tǒng)論認為，系統(tǒng)的性質不僅取決于組成系統(tǒng)的各要素，更依賴于組成系統(tǒng)的各要素的排列方式。在內部控制三個目標的基礎上增加了戰(zhàn)略目標，并擴大了報告目標的范圍，將“財務報告的可靠性”發(fā)展為“報告的可靠性”。
2、企業(yè)風險管理更加強調管理風險。ERM框架強調在“組合”的基礎上考慮風險，考慮風險的集合和風險的交互作用，并在此基礎上考慮企業(yè)應采取的風險控制措施。在強調風險管理的環(huán)境下，ERM框架顯然不同于內部控制框架。
總之，ERM框架擴展并詳細地闡述了與企業(yè)風險管理相關的那些內部控制要素。從企業(yè)風險管理要求和實施來看，內部控制是ERM的主要構成部分，但絕對不能等于ERM范疇，ERM的理論和實務都要比內部控制寬泛得多，ERM更適合企業(yè)戰(zhàn)略風險管理的要求。因此，不能說風險管理審計是內部控制審計的一部分。
三、建議
基于以上分析，要實現(xiàn)真正意義上的風險管理審計，對風險管理審計準則中的風險管理概念的理解就必須建立在廣義的基礎之上，即采納COSO委員會(2004)ERM框架中的廣義風險管理概念。鑒于內部控制與風險管理二者密不可分的聯(lián)系，在現(xiàn)行的準則體系下可以協(xié)調內部控制審計準則與風險管理審計準則之間的關系，以使風險管理審計準則能得以更有效的實施。
主要參考文獻
近年來，國際會計師聯(lián)合會（IFAC）下屬的獨立的準則制定機構――國際審計與鑒證準則理事會（IAASB）一直致力于制定新準則或修訂舊準則，其目的是通過制定高質量的審計和鑒證業(yè)務準則促進各國準則與國際準則的趨同，進而提高世界范圍內業(yè)務的質量和一致性，增強社會公眾對全球審計和鑒證職業(yè)的信心，以更好地為公眾利益服務。2008年2月，IAASB了修訂并重新起草的第540號國際審計準則（ISA540）《會計估計包括公允價值會計估計及相關披露的審計》（以下簡稱“新準則”），對審計會計估計包括公允價值會計估計提出了更高的要求。
一、新準則的修訂背景
“很明顯，我們處于公允價值計量和披露的實施時期，而最新的市場經驗又表明對金融工具估值處于相當困難的一種環(huán)境中。因此，IAASB修訂的準則是及時的，它將為在復雜的估值模型或重大的不可見要素投入基礎上進行會計估計的審計，尤其是公允價值會計估計的審計提供深入指導。”IAASB主席John Kellas說。
新準則將ISA540（修訂）《會計估計及相關披露（不含公允價值計量和披露）的審計》和ISA545《公允價值計量和披露的審計》兩個準則合并起來。IAASB認為，通過合并，會計估計和公允價值估計的相似性應被強調，而重復部分應被去掉。新準則要求審計人員將注意力集中在較高風險、會計判斷和可能的偏見等一些領域，從而幫助審計人員對被審計單位財務報告框架體系中估計的合理性得出恰當?shù)慕Y論。新準則在會計估計包括公允價值會計估計審計中采用了風險基礎方法，它指出，審計人員應就估計不確定性對風險評估的影響、管理層作出估計的方法、管理層使用的假設的合理性、披露的充分性等事項作出評價。新準則也將為公允價值會計估計的審計，包括與估值模型相關的財務報告要求的恰當運用的審計考慮提供詳細的指南。
John Kellas還說明，盡管新準則在2009年12月15日以后才生效，當其他重新起草的準則生效時，就得考慮很多現(xiàn)實的問題。審計人員應充分認識到理解與公允價值相關的會計原則和規(guī)則的必要性，并對它們的運用給予恰當?shù)目紤]。因此，審計人員可能在計劃和執(zhí)行2008和2009年度業(yè)務時，就要考慮新準則中的相關內容。
二、新準則的最新發(fā)展
新準則與舊準則相比較，體系更加完善，內容更加具體，可操作性更強。新準則主要強調審計人員在財務報表審計中對會計估計，包括公允價值會計估計及相關披露的責任，它詳細闡述了ISA315的修訂稿和ISA330的修訂稿和其他相關的準則在會計估計方面的應用情況，也包括單個會計估計錯報的要求和指南及可能的管理層偏見的信號。新準則的最新發(fā)展主要體現(xiàn)在以下幾個方面。
（一）進一步明確會計估計的性質
舊準則對會計估計性質的描述比較簡單，新準則結合會計估計的目標進一步細化。在新準則中，一些不能準確計量的財務報表項目被視為會計估計。管理層用來支持會計估計的信息的性質和可靠程度各不相同，因此會影響到與會計估計相關的估計的不確定性。估計不確定性的程度相應又會影響到會計估計的重大錯報風險，包括它們對管理層無意或有意的偏見的敏感程度。
會計估計的計量目標因適用的財務報告框架和被報告的財務項目不同而有差異。有些會計估計的計量目標是預測一項或多項可能需要會計估計的交易或事項的結果。對另外一些會計估計，包括許多公允價值會計估計，計量目標是不一樣的，它表述為在計量日現(xiàn)實條件下交易或財務報表項目的價值，如對特定類型的資產或負債估計的市場價格。會計估計的結果和財務報表中初始確認或披露的金額之間出現(xiàn)差異不一定代表財務報表存在錯報。這在公允價值會計估計中體現(xiàn)得尤為充分，因為已觀察到的結果總會受到期后一些事項的影響。
（二）強調“識別和評估重大錯報風險”審計程序
與舊準則相比，新準則增加了一節(jié)內容對識別和評估重大錯報風險這一程序予以特別說明。按照ISA315的要求，在識別和評估重大錯報風險時，審計人員應評估與會計估計相關的估計不確定性的程度，并根據(jù)自己的判斷確定，存在高度的估計不確定性的會計估計是否將導致特別風險。
1.估計不確定性
與會計估計相關的估計不確定性的程度可能受到以下因素的影響：會計估計依賴判斷的程度；會計估計對假設變化的敏感程度；可能減少估計不確定性的計量技術是否存在；預測期間的長度，以及來源于過去事項以預測未來事項的數(shù)據(jù)的相關性；來源于外部的可靠數(shù)據(jù)的可利用性等。與會計估計相關的估計不確定性程度可能影響估計對偏見的敏感程度。審計人員在評估重大錯報風險時考慮的因素包括：會計估計實際或預期的金額；會計估計記錄的金額；管理層作出會計估計時是否利用了專家的工作；對以前期間會計估計復核的結果等。
2.高度的估計不確定性和特別風險
可能存在高度的估計不確定性的會計估計有：高度依賴判斷的會計估計，如對未決訴訟結果的判斷，或取決于未來不確定事項的未來現(xiàn)金流量的金額和時間；審計人員對財務報表以前期間作出的類似會計估計的復核結果表明以前的會計估計和實際結果之間存在重大差異；運用了高度專業(yè)化的模型或投入不可見的公允價值會計估計等。
看似不重要的會計估計可能由于估計不確定性導致重大錯報，也就是說，財務報表中會計估計金額的大小并不能代表估計不確定性的大小。在某些情況下，估計不確定性程度很高，以至于不能作出合理的會計估計。適用的財務報告框架可能不允許在財務報表中確認該項目，或不允許以公允價值計量。此時，特別風險不僅與會計估計是否應確認，或是否應與公允價值計量相關，還與披露的充分性相關。當確定會計估計將產生特別風險時，審計人員應對被審計單位的內部控制包括控制活動進行了解。在某些情況下，會計估計的不確定性可能導致對被審計單位的持續(xù)經營能力產生重大疑慮，ISA570制定了相關處理要求并提供了指南。
（三）增加“重大錯報風險的應對措施”
1. 審計人員確定點估計值或區(qū)間以評價管理層的點估計值
當以下情況出現(xiàn)時，確定一個點估計值或區(qū)間來評價管理層的點估計值是應對風險的有效措施：會計估計不是來源于會計系統(tǒng)數(shù)據(jù)的日常處理；審計人員對以前期間財務報表作出的類似會計估計的復核表明管理層當期的估計過程是無效的；被審計單位對管理層確定會計估計過程的控制未設計好或未恰當執(zhí)行；期末和審計報告日之間的交易或事項與管理層的點估計值矛盾；審計人員在確定點估計值或區(qū)間時可利用的相關數(shù)據(jù)有多種來源。
審計人員確定點估計值或區(qū)間時采用的方法根據(jù)其適用情況的有效性會有所不同。例如，審計人員開始可能確定一個初步的點估計值，然后評價點估計值對假設變化的敏感程度，以確定管理層點估計值可能落入的一個區(qū)間?；驅徲嬋藛T可能先確定一個區(qū)間，再確定點估計值。審計人員確定點估計值的能力取決于諸多因素，包括使用的模型、可利用數(shù)據(jù)的性質和區(qū)間及估計的不確定性。確定點估計值或區(qū)間的決策還可能受到適用的財務報告框架的影響，該框架可能已規(guī)定了在考慮各種結果和假設后運用的點估計值，或規(guī)定了特定的計量方法。
2. 審計人員了解管理層的假設或方法
當審計人員確定的點估計值或區(qū)間以及使用的假設或方法與管理層不同時，審計人員應對管理層作出會計估計的假設或方法進行充分的了解。這一了解可以為審計人員確定恰當?shù)狞c估計值或區(qū)間提供相關的信息，也可以幫助審計人員了解和評價與管理層點估計值的重大差異。如當審計人員運用與管理層不同但同樣有效的假設時，差異可能產生。這表明會計估計對某些假設高度敏感，因此存在高度的估計不確定性，進而表明會計估計可能是特別風險。
3. 審計人員縮小估計的區(qū)間
審計人員認為運用區(qū)間來評價管理層點估計值的合理性恰當時，這個區(qū)間應包括所有合理的結果而不是所有可能的結果，因為包含所有可能結果的區(qū)間太寬泛，不能有效地實現(xiàn)審計的目的。當審計人員確定的區(qū)間充分地縮小，能幫助審計人員判斷會計估計是否被錯報時，這個區(qū)間才是有效的。
通常情況下，被縮小至等于或小于一個低于財務報表整體重要性水平的金額，以評估重大錯報風險和設計進一步審計程序的區(qū)間，用來評價管理層點估計值的合理性也是充分的。但是在某些行業(yè)，不太可能將區(qū)間縮小至低于這一金額，這并不是要禁止確認會計估計，但它表明，與會計估計相聯(lián)系的估計不確定性可能產生特別風險。
將區(qū)間縮小至其包含的所有結果都是合理的，可以通過兩種方式：第一，將審計人員判斷不太可能發(fā)生的在區(qū)間極值處的結果剔除；第二，在可利用的審計證據(jù)基礎上進一步縮小區(qū)間，直到審計人員認為區(qū)間內的所有結果都是合理的。在極少數(shù)情況下，審計人員可縮小區(qū)間直至點估計值。
（四）增加“可能的管理層偏見的信號”
管理層偏見是指管理層在編制和表述信息時中立性的缺失。在審計中，審計人員可能會注意到管理層作出的判斷和決策中含有管理層偏見的信號，這些信號將影響審計人員對風險評估和應對措施是否恰當作出結論，審計人員也必須考慮其對剩余審計工作的影響，而且，它們可能影響審計人員對財務報表是否在整體上不存在重大錯報作出評價。
與會計估計相關的可能的管理層偏見的信號包括：管理層主觀判斷實際情況發(fā)生變化時，對會計估計或作出會計估計的方法的變更；管理層自己對公允價值會計估計作出的與可見的市場情況不一致的假設；可能產生有利于管理層目標實現(xiàn)的點估計值的重大假設的選擇或構建；過于樂觀或悲觀的點估計值的選擇等。
三、新準則對我國的啟示
2006 年，我國財政部頒布了新的會計審計準則體系，其中包括《中國注冊會計師審計準則第1321號――會計估計的審計》和《中國注冊會計師審計準則第1322 號――公允價值計量和披露的審計》，隨后又了增強準則可操作性的指南。這兩項準則充分借鑒了國際上舊的ISA540和ISA545 的基本框架和內容，首次為中國注冊會計師對公允價值的計量和披露執(zhí)行審計工作提供了依據(jù)，填補了原來的獨立審計準則的空白，在當前新會計準則大范圍運用公允價值計量屬性的背景下具有重大的現(xiàn)實意義。但同時，IAASB也加快了修訂更新國際審計準則的步伐，先后了一系列審計準則的征求意見稿，本文所述的是前不久出臺的一項準則，將舊的ISA540和ISA545進行合并，對相關內容整合并補充完善。筆者認為，新準則的對我國審計準則的進一步完善有很強的借鑒意義。
（一）及時對相關審計準則進行修訂
首先，我國對會計估計以及公允價值計量和披露的審計是通過現(xiàn)行審計準則第1321號和第1322號來規(guī)范的。二者在審計目標、審計程序以及估計的不確定性特征等諸多方面都有相似之處，將兩項準則整合起來，去掉重復部分，能在很大程度上提高審計效率。其次，IAASB啟動了新一輪準則修訂計劃，我國也應結合本國的實際情況及時跟上，否則將離國際趨同的目標越來越遠。
（二）重視特別風險并積極采取應對措施
對于可能產生特別風險的會計估計，如果管理層未充分重視估計不確定性的影響，審計人員必要時應確定一個區(qū)間來評價會計估計的合理性，確定點估計值或區(qū)間是對評估風險的有效果有效率的應對措施。我國現(xiàn)行準則尚未從確定點估計值或區(qū)間的角度來談特別風險的應對措施，因此可借鑒新準則的這一大亮點，引入審計人員通過確定點估計值或區(qū)間來評價管理層的點估計值的方法，以將審計風險控制在可接受的范圍內。
（三）積極創(chuàng)建公允價值計量屬性運用的良好條件
2006 年，一份PCAOB的研究報告表明：審計師有關估值技術的知識水平還相當?shù)?，而且隨著新估值模型的出現(xiàn)，審計師恐怕難以跟上估值技術進步的步伐。正如PCAOB主席Olson 所言：目前世界范圍內的大多數(shù)審計師未曾接受過估值技術方面的專門培訓，為此，PCAOB正考慮如何持續(xù)地對審計師進行各種估值方法的培訓，并對估值方法進行詳細地研究。PCAOB的考慮應當引起我國有關部門的重視。在現(xiàn)行會計準則大范圍運用公允價值計量屬性的背景下，我國應建立公允價值評估制度，加大對審計人員的培訓力度，并適時出臺對公允價值計量方法或程序的統(tǒng)一規(guī)定，而不是讓其零散分布于各項具體會計準則，為公允價值審計提供便利。
【參考文獻】
[1] 中注協(xié).中國注冊會計師審計準則[ EB /OL ].北京: 省略.cn.
[2] 中注協(xié).中國注冊會計師執(zhí)業(yè)準則指南[M].中國財政經濟出版社，2006.
風險管理審計準則第2條對風險管理做了如下定義:是對影響組織目標實現(xiàn)的各種不確定性事件進行識別與評估,并采取應對措施將其影響控制在可接受范圍內的過程。風險管理旨在為組織目標的實現(xiàn)提供合理保證;第6條則描述了風險管理包括的主要階段:風險識別、風險評估以及風險應對;在該準則的第4條中,還特別強調:風險管理是組織內部控制的基本組成部分,內部審計人員對風險管理的審查和評價是內部控制審計的基本內容之一。
可以看出,該準則所稱的“風險管理”是從狹義上理解的風險管理,即風險管理活動的具體實施過程:風險識別、評估及應對。而廣義的風險管理不僅包括上述的具體實施過程,還包括其他起輔助作用的要素:內部環(huán)境、控制活動以及監(jiān)督。按目前狹義前提下制定的準則去執(zhí)行,風險管理審計就會忽略這些起輔助作用的要素,以至于發(fā)現(xiàn)不了組織風險管理活動中可能存在的潛在問題。中航油案例就是一個很好的例證。
中國航油(新加坡)股份有限公司(下稱中航油新加坡公司)曾聘請國際著名的安永會計師事務所為其編制《風險管理手冊》,設有專門的風險管理委員會及軟件監(jiān)測系統(tǒng),實施交易員、風險控制委員會、審計部、總裁、董事會層層上報,交叉控制,按照《風險管理手冊》的規(guī)定,任何導致50萬美元以上損失的交易將自動平倉。中航油新加坡公司共有10位交易員,損失的最大限額應是500萬美元(10×50萬=500萬)。但是,中航油新加坡公司的衍生品交易最終虧損額高達5.5億美元,以至申請破產保護。中航油事件的核心問題并不在于市場云譎波詭,而在于該公司從表面上看似乎已實施了風險管理的流程:風險識別、風險評估、風險應對;但缺少對風險管理系統(tǒng)中的其他輔助要素的合理關注,最終導致企業(yè)整體風險管理失敗。這一案例也再次說明:風險管理不僅僅只包括風險識別、評估及應對,更包括內部環(huán)境、控制活動、信息和溝通以及監(jiān)控;風險管理系統(tǒng)的有效運轉依賴于各要素的通力協(xié)作,對風險管理不應停留于狹義上的理解;風險管理審計準則應指導內部審計人員從廣義上理解風險管理的涵義,全盤考慮風險管理的構成要素及其運作方式,及時有效地發(fā)現(xiàn)企業(yè)風險管理實踐中存在的短板。
二、重新認識內部控制與風險管理的關系
對風險管理審計的認識依賴于企業(yè)進行風險管理時所采取的企業(yè)風險管理框架或風險模型(用來反映風險管理過程和內容的程序圖)。截至目前,已經有如下風險管理模型:1995年澳大利亞-新西蘭聯(lián)合委員會的AS/NZE4360;1998年的加拿大標準委員會模型;1997年全國虛假財務報告委員會下屬的發(fā)起人委員會(下稱COSO委員會)內部控制-整合框架的“目標—風險—控制”模型;2004年COSO委員會的企業(yè)風險管理-整合框架(簡稱ERM框架)模型。風險管理審計準則中出現(xiàn)的問題根源就在于準則中的“風險管理”概念采納了COSO委員會1997年的內部控制-整合框架中的觀點。然而,理論界和實務界還是認為該內部控制框架有些局限性,如對風險強調不夠,使得內部控制無法與企業(yè)的風險管理相結合。COSO委員會2004年的ERM框架就是在1997年的內部控制-整合框架的基礎上,結合《薩班斯——奧克斯利法案》的相關要求擴展得到的。相比內部控制框架,ERM框架在多個方面都有所發(fā)展和深化,具體表現(xiàn)在以下幾個方面:1、企業(yè)風險管理涵蓋了內部控制。增加了新的要素或賦予原有要素新的含義,對內部控制框架下的風險管理要素進行細化,按風險管理的流程劃分為:目標設定、事件識別、風險評估、風險反應四個要素。同時,在環(huán)境要素中增加了“風險管理哲學”以及風險“偏好”。對比二者的構成要素,可以發(fā)現(xiàn)風險管理框架中的目標制定、事項識別、風險評估、風險應對四個要素實質上就是風險管理的流程,也可以理解為狹義上的風險管理。這樣看來,內部控制框架與風險管理框架中的要素完全一致。但是系統(tǒng)論認為,系統(tǒng)的性質不僅取決于組成系統(tǒng)的各要素,更依賴于組成系統(tǒng)的各要素的排列方式。在內部控制三個目標的基礎上增加了戰(zhàn)略目標,并擴大了報告目標的范圍,將“財務報告的可靠性”發(fā)展為“報告的可靠性”。
2、企業(yè)風險管理更加強調管理風險。ERM框架強調在“組合”的基礎上考慮風險,考慮風險的集合和風險的交互作用,并在此基礎上考慮企業(yè)應采取的風險控制措施。在強調風險管理的環(huán)境下,ERM框架顯然不同于內部控制框架。
為便于更好地理解和執(zhí)行這些準則，現(xiàn)就準則體系的特點及創(chuàng)新之處，談談自己的認識。
一、準則體系強化了行業(yè)維護社會公眾利益的宗旨
執(zhí)業(yè)準則作為規(guī)范注冊會計師執(zhí)業(yè)活動的標準，與社會公眾的利益密切相關。同以前制定的審計準則相比，注冊會計師執(zhí)業(yè)準則體系更加突出了維護社會公眾利益的宗旨，強化了注冊會計師的執(zhí)業(yè)責任，針對實務中暴露出的不足，嚴格了程序，要求注冊會計師切實承擔起保護社會公眾利益的責任。
例如《中國注冊會計師審計準則第1141號——財務報表審計中對舞弊的考慮》要求注冊會計師在執(zhí)業(yè)過程中保持職業(yè)懷疑態(tài)度，針對新形勢下財務報表舞弊的特點，更加積極主動地識別和應對財務報表舞弊的風險，并為注冊會計師履行好這一責任提供了更多的指引。準則特別強調，舞弊導致的風險是特別風險，注冊會計師應當專門針對該風險實施實質性程序。
又如，為避免部分會計師事務所片面理解風險導向審計，過分依賴分析程序，而減少實質性程序，《中國注冊會計師審計準則第1211號——針對評估的重大錯報風險實施的程序》明確要求，注冊會計師應針對所有重大的各類交易、賬戶余額、列報和披露實施實質性程序。
再如，針對“安然”事件暴露出的會計師事務所銷毀不利工作底稿的問題，《中國注冊會計師審計準則第1131號——審計工作底稿》對審計工作底稿的歸檔期限和保存年限，以及審計報告日后對審計工作底稿的變動，都作出了明確規(guī)定。
二、準則體系符合國際趨同的要求
注冊會計師執(zhí)業(yè)準則體系在體系結構、項目構成和基本內容上實現(xiàn)了與國際準則的趨同。
從體系結構看，我們按照國際趨同的要求，根據(jù)注冊會計師提供服務性質的不同，對注冊會計師執(zhí)業(yè)準則體系進行了重構，與國際準則體系保持了充分的一致。
從項目構成看，除個別項目因對我國幾乎不適用而未被納入外，我國注冊會計師執(zhí)業(yè)準則體系涵蓋了國際審計準則的所有項目。
在審計準則的內容上，我們充分采用了國際審計準則所有的基本原則和核心程序，在審計的目標與原則、風險的評估與應對、審計證據(jù)的獲取和分析、審計結論的形成和報告，以及注冊會計師執(zhí)業(yè)責任的設定等所有重大方面，與國際審計準則保持一致。由于我國準則是部門規(guī)范性文件，不便把國際審計準則中包含的舉例等解釋說明性材料寫入準則正文，但我們會把這些內容寫入正在起草的指南中，以幫助會員正確理解和運用準則。
三、準則體系體現(xiàn)了風險導向審計的要求
最近幾年，注冊會計師面臨的審計環(huán)境發(fā)生了很大的變化，復雜多變的市場環(huán)境、日新月異的科學技術、不斷創(chuàng)新的經營模式和市場工具，增大了企業(yè)面臨的經營風險，進而更容易引致注冊會計師的審計風險，加之會計中估計與判斷成分的不斷增加、審計對象由有形資產向無形資產轉變、信息技術的不斷發(fā)展，所有這些變化都迫切要求注冊會計師創(chuàng)新審計理念和技術，提高防范風險的能力。
以往審計實務是建立在傳統(tǒng)審計風險模型基礎上，存在很大缺陷。注冊會計師往往把關注點放在直接實施控制測試和實質性程序上，而忽略從宏觀層面把握財務報表存在的重大錯報風險，導致審計失敗的風險增大。因為如果企業(yè)管理當局串通舞弊或凌駕于內部控制之上，那么其內部控制是失效的。這種情況下，注冊會計師如果不把審計視角擴展到內部控制以外，如行業(yè)狀況、監(jiān)管環(huán)境、企業(yè)的性質，以及目標、戰(zhàn)略和相關經營風險等方面，就很容易受到蒙蔽和欺騙，難以發(fā)現(xiàn)由于內部控制失效所導致的財務報表重大錯報風險。
在此背景下，國際審計與鑒證準則理事會與英美等國的審計準則制定機構共同研究制定了審計風險準則，改進了傳統(tǒng)的審計風險模型，以提高注冊會計師識別、評估和應對重大錯報風險的能力。審計風險準則要求注冊會計師在執(zhí)行審計業(yè)務時切實貫徹風險導向審計理念，以重大錯報風險的識別、評估和應對為審計工作主線，做到有的放矢，避免審計工作的盲目性，提高審計的效率和效果。審計風險準則進一步明確了財務報表審計的目標和基本原則；進一步明確了注冊會計師審計證據(jù)的內容、數(shù)量和質量，以及為獲取審計證據(jù)所實施的審計程序；進一步明確了注冊會計師了解被審計單位及其環(huán)境，并評估重大錯報風險的程序；進一步明確了針對評估的重大錯報風險實施的程序。
借鑒國際審計理念研究和實務探索的先進成果，我們制定了審計風險準則。審計風險準則是整個審計準則體系的核心準則，包括《中國注冊會計師審計準則第1101號——財務報表審計的目標和一般原則》、《中國注冊會計師審計準則第1211號——了解被審計單位及其環(huán)境并評估重大錯報風險》、《中國注冊會計師審計準則第1231號——針對評估的重大錯報風險實施的程序》和《中國注冊會計師審計準則第1301號——審計證據(jù)》等4個項目。
同以往審計準則相比，審計風險準則著力解決以下幾個問題：
一是要求注冊會計師加強對被審計單位及其環(huán)境的了解。注冊會計師應當實施程序，更廣泛深入地了解被審計單位及其環(huán)境的各個方面，包括了解內部控制，為識別財務報表層次，以及各類交易、賬戶余額、列報和披露認定層次等重大錯報風險提供更好的基礎。
二是要求注冊會計師在審計的所有階段都要實施風險評估程序。注冊會計師應當將識別的風險與認定層次可能發(fā)生錯報的領域相聯(lián)系，實施更為嚴格的風險評估程序。
三是要求注冊會計師將識別和評估的風險與實施的審計程序掛鉤。在設計和實施進一步審計程序（控制測試和實質性程序）時，注冊會計師應當將審計程序的性質、時間和范圍與識別、評估的風險相聯(lián)系，以防止機械利用程序表，從形式上迎合審計準則對程序的要求。
四是要求注冊會計師將識別、評估和應對風險的關鍵程序形成審計工作記錄，以保證執(zhí)業(yè)質量，明確執(zhí)業(yè)責任。
同時，我們以審計風險準則為基礎，在新制定的其他準則中體現(xiàn)了審計風險準則的要求，并根據(jù)這一要求對26個準則進行了全面的修訂和完善。
四、準則體系嚴格了會計師事務所質量控制的要求
健全完善的質量控制制度是保證會計師事務所及其從業(yè)人員遵守法律法規(guī)、中國注冊會計師職業(yè)道德規(guī)范及中國注冊會計師執(zhí)業(yè)技術準則的基礎。
《會計師事務所質量控制準則第5101號——業(yè)務質量控制》系統(tǒng)地總結了近些年審計失敗的經驗教訓，要求會計師事務所制定全面的質量控制制度，包括落實對業(yè)務質量的領導責任、確保職業(yè)道德規(guī)范得以遵守、客戶關系和具體業(yè)務的接受與保持、人力資源、業(yè)務執(zhí)行、業(yè)務工作底稿和監(jiān)控等七個方面。
例如，準則要求會計師事務所樹立質量至上的意識，培育以質量為導向的內部文化，建立以質量為導向的業(yè)績評價、薪酬及晉升的政策和程序，要求主任會計師對質量控制制度承擔最終責任。
又如，準則要求會計師事務所對所有上市公司財務報表審計實施項目質量控制復核，復核內容包括獨立性、審計過程中識別的特別風險及其應對措施、審計過程中作出的重要判斷、意見分歧、調整事項及審計報告等。
再如，準則規(guī)定，對所有的上市公司財務報表審計，要求會計師事務所按照法律法規(guī)的規(guī)定定期輪換項目負責人；只有意見分歧問題得到解決，項目負責人才能出具報告；會計師事務所在不長于三年的周期內選取已完成的業(yè)務進行檢查。
五、準則體系實現(xiàn)了形式和結構上的創(chuàng)新
目前我國注冊會計師承辦業(yè)務類型較多，既有財務報表審計和審閱、內部控制審核等具有鑒證性能的業(yè)務，又有司法訴訟中涉及會計、審計、稅務或其他事項的鑒證業(yè)務，還有代編財務信息、執(zhí)行商定程序、管理咨詢和稅務咨詢等不具有鑒證性能的業(yè)務。
為了適應我國注冊會計師業(yè)務多元化發(fā)展的實際情況和國際趨同的要求，更好地規(guī)范注冊會計師的執(zhí)業(yè)活動，新的審計準則體系在準則框架、準則名稱和準則編號等方面進行了諸多創(chuàng)新。
一是重構準則框架。將“中國注冊會計師獨立審計準則體系”改進為“中國注冊會計師執(zhí)業(yè)準則體系”，具體包括鑒證業(yè)務準則、相關服務準則和會計師事務所質量控制準則三部分。為了便于社會公眾理解，我們也將執(zhí)業(yè)準則簡稱為“審計準則”。需要特別說明的是，原審計準則體系中，包括了1996年的《中國注冊會計師職業(yè)道德基本準則》和《中國注冊會計師職業(yè)后續(xù)教育基本準則》。前者是為保護社會公眾利益和維護行業(yè)形象，對會計師事務所和注冊會計師提出的道德要求，后者是為促進注冊會計師保持和提高專業(yè)勝任能力，對后續(xù)教育提出的要求。這兩類準則不屬于行業(yè)技術性規(guī)范，因此不再納入執(zhí)業(yè)準則體系。但這兩個準則仍然是行業(yè)管理的規(guī)范性要求，我們將根據(jù)注冊會計師行業(yè)實際情況和國際趨同的需要，對其進行必要修訂。
