- 11 -
是否有常任的审计委员会。3在加拿大和澳大利亚，有关法律也规定所有上市公司中必须建立审计委员会。国际内部审计师协会《关于审计委员会立场》这一文件中作如下声明：“国际内部审计师协会建议每一个股份公司都设立审计委员会，作为董事会的常设委员会。协会还鼓励其他组织也建立审计委员会，包括非盈利企业及政府部门。”4由此可见审计委员会这种设置模式，不是我们的发明创造，而是国外普遍采用的一种内部审计组织形式。
目前我国一部分大型公司内部也有审计委员会的组织形式，但是并不普遍。如上海石化股份有限公司在董事会下设审计委员会，其成员为公司董事及审计办主任，下设审计室负责日常审计工作并协调与外部审计的关系。审计办受公司常务副总经理的领导，并可直接向审计委员会或董事会报告工作。像中国石化总公司、沈阳飞机制造公司、天津电缆总厂等都成立了审计委员会机构。5我国审计署1992年1月31日颁布的《内部审计发展规划》中已把在大中型企业成立审计委员会作为内部审计发展的一项目标。总之，我国企业建立审计委员会后，可以建立起有效的内部审计监督机制，既保证内部审计机构的独立性和权威性，又可以加强监事会的监督作用，为完善公司的法人治理结构，维护广大股东的利益发挥积极的作用。
2、正确设立内部审计机构应进行的配套改革
法人治理结构是现代企业制度的灵魂，而内部审计的组织地位的提高以及职能作用的充分发挥又依赖于公司法人治理结构的优化。因此优化公司的法人治理结构应该是解决我国公司内部审计的首要途径。
（1）适当优化国有股的比重，建立恰当的所有权结构。
从我国目前来看,国有股份在公司资本总额中还占有相当大的比重，公司仍然存在上级主管部门和政企职责不分，国家实际上控制着股东大会和董事会的问题。因此，除了一些重要的行业和生产重要产品的企业，国家需要控股外，一般竞争性行业和企业，国家只能和个人股东、法人股东一样作为普通股东参与公司事务和享有应有的权益。一定程度上引入非国有的其他股东，包括法人股和个人股东，建立恰当的所有权结构，不仅有利于证券市场的活跃，而且也有利于国有资产的优化配置，促进法人治理结构的优化。
（2）正确处理监事会和审计委员会的关系，保证监事会职能的发挥。
监事会制度和审计委员会制度在本质、工作任务、职能等方面存在着许多不同。工作任务方面，监事会直接对股东大会负责，主要是检查公司财务，对董事、经理执行公司职务时违反法律、法规或公司章程的利益时，要求董事和经理予以纠正，并可提议召开临时股东大会。而之所以单独设立审计委员会这一机构，主要是为了提高内部审计的独立性和权威性，保证内部审计职能的充分发挥，避免由于监事会职能的弱化和虚设导致内部审计监督的丧失。职能方面，监事会是代表股东或出资者集团即股东大会对公司的经营状况进行监督，履行监督职能；审计委员会在董事会的领导之下开展工作，除了履行监督职能外，更重要的还有服务等职能。由此，监事会制度不但不能取消，相反却要积极的改善。
34
周汉庭，美国内部审计简介，审计与经济研究，1998.2，P40
James w. Bean，the audit of committee roadmap，Journal of accountancy，January，1999 5
曹德云，试论股份公司内部审计的设置及作用，湖北审计，1998.11，P33
- 12 -
（二）防范企业经营风险，开展风险评估业务
随着我国正式加入WTO，内部审计也迎来了新的挑战和机遇，经济形势、经济行为和经济结构不断变化，对为提高企业管理服务的内部审计的范围、业务、质量和内容产生极大的影响，特别是因此而形成的风险评估业务，将逐步成为内部审计新领域和企业关注的焦点。
1、企业内部审计风险评估的含义
虽然内部审计的风险评估业务在国内只是起步阶段，但在国外早已引起理论界与企业管理层的注意。国际内部审计师协会在1993年制定的《内部审计实务标准》中充实了风险的概念：风险是指一件事或行动可能对组织产生不利影响的机率。企业内部审计的风险评估业务定义为：企业内部审计的风险评估是指内部审计组织和人员运用一定的方法对单位的某一行为可能带来的不利影响或威胁的估算和评价。但是，内部审计风险评估业务与内部审计的审计风险评估是两个不同的概念。内部审计的审计风险是内部审计组织由于实施审计程序，对被审查的业务活动和部门发表不恰当审计意见，给组织或内部审计组织带来的不利局面。
2、开展风险评估的意义
内部审计对风险评估的开展，不仅是经济形势的需要，也有利于促进企业风险管理的改善和提高，同时对内部审计发展也具有重要意义。
（1）开展风险评估是内部审计适应新世纪经济形势的需要。中国加入WTO后，我国的经济结构需要不断作出调整，金融市场的变化与筹资、融资渠道的多样复杂化，使企业承受的外部与内部风险愈来愈多，于是作为内部机构，开展风险评估，促进企业的风险管理，使企业风险从被动受损到主动控制，是经济形势发展的要求。
（2）开展风险评估，是企业管理层的迫切需要。作为关心投资与收益的企业管理人员，为了在风险与机遇中寻求平衡点，必然要了解和关注风险的控制，经常掌握风险信息并获得风险评估的论证，以有利于了解影响经营业绩的关键性风险，确定产生风险的根本原因，制定排除、防止或减轻风险的措施；更好地分析风险与收益和不同的战略比率，比较投资方案。
（3）风险评估的开展是审计方法的进步和完善。只有风险导向审计弥补了系统导向的不足，更适合内部审计的特点。而风险评估的开拓，在审计方法上促进了由系统导向进入风险导向的进程，进一步提高审计的效率和质量。
3、开展风险评估的方法
在国外，内部审计部门要每年进行一次可供审计事项的风险评估，根据风险大小来确定审计的优先次序，制定审计计划。风险评估是一个系统化的过程，它包括以下三方面的工作：
（1）确定可供审计事项。
一般地，可供审计的事项主要包括：相关的政策、程序和业务活动；成本中心、利润中心和投资中心；某基层和职能部门；主要合同和方案；各业务系统等。内部审计组织一般把组织内部的基层单位或职能部门作为风险评估对象，即审计项目是按部门或基层单位安排的。
（2）确定风险因素。
风险因素是内部审计人员用来评估可供审计的单位风险大小的标准事项。下面列示的是
- 13 -
一些对大多数组织具有重要性影响的风险因素：为实现组织目标，管理者所面临的道德环境和压力；职员的知识和技能，职员的数量及其变动情况；资产的规模、流动性和业务量的大小；财务政策和经济状况；竞争条件；各项活动的复杂性或易变性；与顾客、供应商和政府条例的冲突情况；信息系统电算化的水平；内部控制系统的适当性和有效性；管理决策系统和会计预算；组织的、经营的、技术的和经济的变化。内部审计部门可根据自己的实际情况，选择其中的部分或全部事项作为评估组织内被审计单位风险水平的风险因素。
（3）评估风险因素
风险评估意味着要进行职业判断。目前许多国外组织的内部审计纷纷建立风险评估模型来达到风险评估的目的。下表是美国阿莫科公司的“风险评估矩阵”案例。6
美国阿莫科公司的风险评估矩阵 7 6 5 4 2或3 A 2 3 4 5 5 B 1 2 3 4 5 C 1 1 2 3 4 D 1 1 1 2 3 上述风险矩阵显示的审计时间跨度为5年。
在上述风险评估矩阵中，垂直线表示暴露（风险水平），它由规模和脆弱性决定，用公司表示为：暴露＝规模＋脆弱性。水平线表示内部控制环境的四个等级，即A、B、C、D。矩阵方格中的数字表示与内部控制环境等级和暴露（风险水平）相对应的被审计单位或项目的审计频率，即多少年审计一次。
规模，是指以货币计量的被审计单位或项目的活动总量，例如，生产单位的生产量的价值、采购部门的费用支出总额，建设项目的成本总额，合资项目投资额或收益额等。通常情况是总量越大，对组织影响度越大，风险也可能越高。“规模”数量化标准如下：
3-风险程度高，表示总价值大于$300MM；
2-风险程度中等，表示总价值在$50MM和$300MM之间； 1-风险程度低，表示总价值小于$50MM。
脆弱性，指被审计单位或项目诸多风险因素的综合风险水平，它包括对业务复杂性、流动资产的管理方式；政府法律、条例的严肃性和影响范围；经营条件和人员的变化情况；信息的敏感性及被审计单位的形象等既定风险因素的评价和判断结果。一般而言，脆弱性程度越高，可能给组织造成不良后果的可能性和危害程度就越大，即风险越高。确定脆弱性的数量化标准如下：
4-脆弱性高，表示风险高，危害大； 3-脆弱性严重，表示风险较高，危害性较大；
6
刘三昌，杨智杰，杨昌红等，企业内部审计技术，中国经济出版社，2003年，P176-P178
- 14 -
2-脆弱性有限，表示风险一般，危害性有限； 1-脆弱性最小，表示风险低，危害最小。
内部控制等级，指被审计单位或项目内部控制的健全有效程度，它来源于上一次审计对内部控制评价的结果。内部审计人员确定内部控制等级的标准如下：
A-内部控制健全有效，表示没有发现重大问题；
B-内部控制环境是令人满意的，表示发现一至二个重要问题； C-内部控制薄弱，表示发现了几个重要问题，需要改进内部控制；
D-内部控制较差，表示发现了几个重要问题，并使审计人员对内部控制表达了否定式审计意见；
假定某单位年成本支出总计$50MM，脆弱性的评估结果为高，上一次审计中确定的内部控制等级为B，那么，对照风险评估矩阵及其说明可知：规模＝2、脆弱性＝4，即暴露（风险水平）＝2＋4＝6；其与内部控制等级相对应的矩阵方格里的数字是2，这就意味着对该单位每2年审计一次。
通过风险评估确定审计项目的优先次序，有利于审计部门关注影响企业经营目标实现的最大的风险区域，使内部审计部门最大程度地为企业增加价值。内部审计部门根据风险评估的结果即风险大小，来确定审计项目及其优先次序，制定审计计划，以便使审计资源集中于企业最主要的风险领域。 （三）发展增值型内部审计
内部审计生存危机问题是当前内部审计职业界面临的最大风险。针对这一问题，内部审计职业界当前应当积极发展增值型内部审计，以帮助改善组织的经营管理，增加组织的价值，实现组织的目标为目的，使内部审计更好地为组织服务，从而确立自己的地位。
1、转变审计理念，从“监督主导型”向“服务主导型”转变
实践证明，“监督主导型”内部审计在加强经济监督，严肃财经纪律，健全内部控制，减少损失浪费和国有资产流失等方面发挥了重要作用，但它也逐步暴露出一些局限性：内部审计的评价、咨询职能被忽视，在组织的战略决策，经营方略、管理机制、风险控制等方面没有能够发挥积极作用；管理者关注的是如何更加经济、有效地实现组织目标。为适应开展富有建设性的增值型审计工作的需要，内部审计部门必须转变传统的“监督主导型”审计理念，树立起现代审计理念。现代内部审计理念的核心是，“审计人员不仅要善于发现问题，而且更要善于解决问题，并将所提建议当作本部门的服务产品向管理当局积极推销”7。
2、拓宽内部审计领域，向管理审计转变
管理审计是发展增值型内部审计的必然要求。随着市场经济的发展，企业间的竞争日趋激烈，作为企业的管理当局，更加注重企业的现时状况和未来发展，内部审计作为对管理当局的一种服务，必须适应企业竞争形势的变化和管理当局的要求，把审计的重点放在富有建设性的管理审计上来。管理审计是由内部部门或人员进行的，通过对企业的组织机构、目标、
7
余玉苗，詹俊，论增值型企业内部审计的发展，审计研究，2001年第5期，P31-34
- 15 -
计划、经营方式以及人力、物力资源的利用情况等进行的综合性、建设性检查，通过对企业经营活动的效率和效果等进行评价，发现企业经营管理中存在的薄弱环节，并以适当的方式向管理当局进行报告，提出改进建议，以帮助企业提高管理水平的审计活动。
3、加快实现内部审计的职业化
内部审计职业化要求内部审计应当具有能够自我管理的独立的职业组织；应该具有自己独特的人才资格认定机制、执业质量标准和职业道德规范；在和客户签约前，内部审计人员应当是自由的；在签约后，内部审计人员应能恪尽职守，为顾客勤奋工作，并据以获得相应的报酬和待遇。内部审计职业化形成了社会公认的内部审计人才标准和人才市场，形成了公认的内部审计工作质量标准和内部审计人员规范，有关各方公正地评价内部审计人员的工作质量和价值；形成了内部审计人才的竞争机制，可以促进内部审计人才素质的提高，提高内部审计为组织增加价值服务的能力。2000年1月我国内部审计师协会的成立，标志着我国内部审计职业化的开始，但目前仍处于起步阶段，应当加快我国内部审计的职业化进程。
4、构建内部审计法规体系
规范化是保证审计质量的重要条件。国际内部审计师协会为促进内部审计质量制定了一系列规范，特别是《内部审计实务标准》，为我国企业内部审计工作的规范化提供了重要的参考依据。目前，我国已制定了国家审计规范、独立审计规范，有力地促进了国家审计和独立审计质量的提高。然而，内部审计规范却至今没有出台，影响了内部审计质量的提高。要加强企业内部审计，规范化将是重要的内容。建议国务院早日出台《中华人民共和国内部审计条例》，审计署及时制定《中华人民共和国内部审计条例实施细则》，中国内部审计师协会制定《内部审计实务准则》，使内部审计有法规可依，有准则可循。
5、提高内审人员素质，优化内部审计结构
内审人员的素质是发展增值型内部审计的根本保证。组织应充分利用内部审计人才市场的竞争压力，招聘高素质的内部审计人员，促进他们自觉提高素质；应加强内部审计人员的培训、考评和奖惩，保证和促进他们素质的提高。另一方面也需要通过优化审计人员的结构来保证内部审计部门具备从事这类审计工作所需的整体素质。为此，加拿大北方电讯，美国联合利华等西方国家一些著名大企业采取了以下措施8：实行弹性人员编制，除少数审计部门高层主管和承担审计质量监督职责的核心审计人员外，其他审计人员平时在业务和管理职能部门工作，这非常有利于审计人员掌握业务知识，跟踪企业业务的发展，体会经营环境的变化。如加拿大贝尔电话公司75位审计人员中固定的只有7人，其余68人是流动的，是按照公司统一安排以签订3年期合同的形式从公司其他部门选调的。使用客座审计员（Guest Auditor），即临时从本公司抽调或从外面聘请某一领域的专家参与或指导审计项目，以保证审计的质量和效果,如美国花期银行和加拿大皇家安大略银行都常聘请首席交易员参与对金融衍生工具部门的风险审计。
结构和内容不错。
只是缺乏封面。还缺乏新意。希望在下一步骤改进。 8
余玉苗，詹俊，论增值型企业内部审计的发展，审计研究，2001年第5期，P31-34
- 16 -