论文部分内容阅读
[中图分类号]F832.33 [文献标识码]A [文章编号]1009-2234(2008)02-0160-01
剩余风险评估是实施审计追踪的一个重要环节，也是评价审计对象内部控制的健全性、合理性、遵循性的基础和前提。商业银行的内部审计准则中规定：“审计人员应当评估审计项目(或审计事项)的剩余风险，以确定对被审计单位所采取的纠正措施及其效果的可接受程度”。准则中所称的剩余风险是指；“被审计单位采取纠正措施后，审计机构(或审计组)对特定审计项目(或审计事项)评估的风险”，其实质是重新评估审计对象的控制风险，以确定剩余风险的可接受程度，保障银行体系安全稳健的运行。
管理层从加强内控建设、规范操作，防范风险的角度考虑，总是希望审计发现的问题都能够得到有效的整改。但在实际工作中，往往存在一些未整改或无法整改的问题，对这些问题审计报告中只是简单地进行了陈述及提出一些缺乏针对性的建议，而忽略了对剩余风险的重新评估及采取相关的措施。所以说：对剩余风险的评估是管理层和审计机构应予以充分关注的问题，也是审计人员普遍感到难以把握的问题，现结合审计工作的实际，对目前剩余风险评估中存在的一些实际问题及采取的相关措施与大家一起探讨，以揭示剩余风险评估中存在的问题与对策：
一、剩余风险评估中存在的主要问题
1 目前尚未制定统一的、规范的剩余风险评估模型及操作规范
商业银行内部审计准则中，要求审计人员应当评估审计项目(或审计事项)的剩余风险，以确定对被审计单位所采取的纠正措施及其效果的可接受程度。目前，相关部门虽然制订了《审计剩余风险评估指引》，但也只是处于试运行阶段，在商业银行的内部审计管理中尚未形成一个规范的、标准化的剩余风险评估模型及操作规范。
2 为实现组织的战略目标，管理层尚未制定被检查业务可接受的剩余风险水平
为实现组织的战略目标，各商业银行逐步建立了以风险管理为基础的内部控制管理体系，为建设风险管理文化，确立风险管理理念，提高风险管理能力发挥了积极的作用。但是由于金融业务的复杂性和审计发现问题的多样性，形成了不同业务方面、不同业务问题的控制难易程度的不同，由此决定了剩余风险的可接受的程度不同。
目前，各商业银行的管理层尚未根据业务的类型和业务的层面，按问题的性质、重要程度、整改成本、整改状况、对未来的影响程度等因素，来确定剩余风险的可接受程度及可接受的剩余风险水平。
3 对剩余风险问题未能实行有效的分类与分配，使组织存在导致风险水平无法接受的情形
金融业务的复杂性和问题层面的多样性，决定了剩余风险问题的多样性，在对剩余风险的管理中，审计部门和执行管理层都存在未采取恰当的措施，作出合理反映的情况。一是审计部门对未整改问题存在的剩余风险未能进行有效的分类，具体包括：未整改、无效整改、无法整改等情况，同时未能定期接收管理层对剩余风险问题的整改处理情况；二是执行管理层对存在的剩余风险未能实现有效的分配和落实，未能定期报告对剩余风险的控制及整改情况，导致剩余风险仍高于预期的水平。
4 对存在的剩余风险问题，审计工作只以报告为主，却未有得到令人满意的具体解决方式和答复
目前，各级审计部门对存在的剩余风险，只是按照工作程序以报告的形式逐级报告，缺少就此问题与各级管理层进行充分的讨论；同时，各级管理层对存在的剩余风险，是否采取相应的纠正措施，是否承担了不采取纠正行动而产生的风险，对此审计部门未有得到令人满意的答复，甚至存在不了了之的情况。
5 审计部门对剩余风险未开展持续的、定期的、有效性的再监督与再评估
审计部门对被检查单位上报整改报告后尚存的剩余风险，缺乏持续、有效的监督与评估。一是对整改报告中已整改问题的真实性缺乏有效的再监督；二是对未整改问题的形式、非法侵入的程度、后果的严重性、风险程度缺乏再评估；存在审计报告一报了之的情况；同时，也未确立被检查单位需对未整改问题的定期报告制度。
二、采取的对策
1 审计部门应参照国际上对剩余风险评估的先进技术和方法，尽快开发和运用适合商业银行的规范性的剩余风险评估模型和方法，以便对各类剩余风险进行持续的评估与监控。同时，审计人员还应辅以专业判断，在不断提高识别风险的综合分析能力的基础上，借助于风险评估模型，对剩余风险做出恰当地评估。
2 制定以目标为基础的剩余风险管理措施和可接受的剩余风险水平，把剩余风险减少至管理层和董事会均可接受的程度。各级管理层应按业务类型和业务层面，从定性和定量两个方面来确定可接受的剩余风险水平。在定性方面：按问题的性质、重要性及对未来的影响程度等方面来确定相应标准；在定量方面：按一定的金额、一定的百分比及整改所需要的成本等量化指标，把剩余风险限制到一个可容忍的水平，为有效的、经济的实现组织目标提供合理的保证。
3 随着审计范围的不断扩大，审计业务的不断深入，审计部门应对其完成的审计项目存在的剩余风险进行详细分类，并逐层报告、逐层落实，同时要求执行管理层定期报送对剩余风险整改情况的报告；各级执行管理层也应明确哪些风险是严重的?现有的哪些控制是可以减少风险的?哪些额外的补偿性控制是必需的。并采取措施层层控制、层层落实等方式，使剩余风险达到预期的控制范围。
4 审计部门对存在的剩余风险应与各级管理层进行充分的讨论，对实在无法解决的剩余风险或因管理层考虑到成本、费用和其他方面等因素，决定不采取相应的整改措施，并承担由此引起的风险，审计执行主管与各级管理层应将此事报告上级行或董事会以寻求解决，对管理层或董事会的处理意见，亦应以书面的形式传达至各级审计部门，以便于审计部门对剩余风险的再评估。
5 审计部门应尽快制定相关的控制程序，用以解决、监督和控制这些剩余风险，同时应充分利用非现场审计信息系统，对剩余风险进行持续、有效的监督与评估；同时，管理层也应确立剩余风险问题的定期整改报告制度，以便于审计部门重新评估审计对象的控制风险，帮助组织实现其目标。
(责任编辑：杨永波)
剩余风险评估是实施审计追踪的一个重要环节，也是评价审计对象内部控制的健全性、合理性、遵循性的基础和前提。商业银行的内部审计准则中规定：“审计人员应当评估审计项目(或审计事项)的剩余风险，以确定对被审计单位所采取的纠正措施及其效果的可接受程度”。准则中所称的剩余风险是指；“被审计单位采取纠正措施后，审计机构(或审计组)对特定审计项目(或审计事项)评估的风险”，其实质是重新评估审计对象的控制风险，以确定剩余风险的可接受程度，保障银行体系安全稳健的运行。
管理层从加强内控建设、规范操作，防范风险的角度考虑，总是希望审计发现的问题都能够得到有效的整改。但在实际工作中，往往存在一些未整改或无法整改的问题，对这些问题审计报告中只是简单地进行了陈述及提出一些缺乏针对性的建议，而忽略了对剩余风险的重新评估及采取相关的措施。所以说：对剩余风险的评估是管理层和审计机构应予以充分关注的问题，也是审计人员普遍感到难以把握的问题，现结合审计工作的实际，对目前剩余风险评估中存在的一些实际问题及采取的相关措施与大家一起探讨，以揭示剩余风险评估中存在的问题与对策：
一、剩余风险评估中存在的主要问题
1 目前尚未制定统一的、规范的剩余风险评估模型及操作规范
商业银行内部审计准则中，要求审计人员应当评估审计项目(或审计事项)的剩余风险，以确定对被审计单位所采取的纠正措施及其效果的可接受程度。目前，相关部门虽然制订了《审计剩余风险评估指引》，但也只是处于试运行阶段，在商业银行的内部审计管理中尚未形成一个规范的、标准化的剩余风险评估模型及操作规范。
2 为实现组织的战略目标，管理层尚未制定被检查业务可接受的剩余风险水平
为实现组织的战略目标，各商业银行逐步建立了以风险管理为基础的内部控制管理体系，为建设风险管理文化，确立风险管理理念，提高风险管理能力发挥了积极的作用。但是由于金融业务的复杂性和审计发现问题的多样性，形成了不同业务方面、不同业务问题的控制难易程度的不同，由此决定了剩余风险的可接受的程度不同。
目前，各商业银行的管理层尚未根据业务的类型和业务的层面，按问题的性质、重要程度、整改成本、整改状况、对未来的影响程度等因素，来确定剩余风险的可接受程度及可接受的剩余风险水平。
3 对剩余风险问题未能实行有效的分类与分配，使组织存在导致风险水平无法接受的情形
金融业务的复杂性和问题层面的多样性，决定了剩余风险问题的多样性，在对剩余风险的管理中，审计部门和执行管理层都存在未采取恰当的措施，作出合理反映的情况。一是审计部门对未整改问题存在的剩余风险未能进行有效的分类，具体包括：未整改、无效整改、无法整改等情况，同时未能定期接收管理层对剩余风险问题的整改处理情况；二是执行管理层对存在的剩余风险未能实现有效的分配和落实，未能定期报告对剩余风险的控制及整改情况，导致剩余风险仍高于预期的水平。
4 对存在的剩余风险问题，审计工作只以报告为主，却未有得到令人满意的具体解决方式和答复
目前，各级审计部门对存在的剩余风险，只是按照工作程序以报告的形式逐级报告，缺少就此问题与各级管理层进行充分的讨论；同时，各级管理层对存在的剩余风险，是否采取相应的纠正措施，是否承担了不采取纠正行动而产生的风险，对此审计部门未有得到令人满意的答复，甚至存在不了了之的情况。
5 审计部门对剩余风险未开展持续的、定期的、有效性的再监督与再评估
审计部门对被检查单位上报整改报告后尚存的剩余风险，缺乏持续、有效的监督与评估。一是对整改报告中已整改问题的真实性缺乏有效的再监督；二是对未整改问题的形式、非法侵入的程度、后果的严重性、风险程度缺乏再评估；存在审计报告一报了之的情况；同时，也未确立被检查单位需对未整改问题的定期报告制度。
二、采取的对策
1 审计部门应参照国际上对剩余风险评估的先进技术和方法，尽快开发和运用适合商业银行的规范性的剩余风险评估模型和方法，以便对各类剩余风险进行持续的评估与监控。同时，审计人员还应辅以专业判断，在不断提高识别风险的综合分析能力的基础上，借助于风险评估模型，对剩余风险做出恰当地评估。
2 制定以目标为基础的剩余风险管理措施和可接受的剩余风险水平，把剩余风险减少至管理层和董事会均可接受的程度。各级管理层应按业务类型和业务层面，从定性和定量两个方面来确定可接受的剩余风险水平。在定性方面：按问题的性质、重要性及对未来的影响程度等方面来确定相应标准；在定量方面：按一定的金额、一定的百分比及整改所需要的成本等量化指标，把剩余风险限制到一个可容忍的水平，为有效的、经济的实现组织目标提供合理的保证。
3 随着审计范围的不断扩大，审计业务的不断深入，审计部门应对其完成的审计项目存在的剩余风险进行详细分类，并逐层报告、逐层落实，同时要求执行管理层定期报送对剩余风险整改情况的报告；各级执行管理层也应明确哪些风险是严重的?现有的哪些控制是可以减少风险的?哪些额外的补偿性控制是必需的。并采取措施层层控制、层层落实等方式，使剩余风险达到预期的控制范围。
4 审计部门对存在的剩余风险应与各级管理层进行充分的讨论，对实在无法解决的剩余风险或因管理层考虑到成本、费用和其他方面等因素，决定不采取相应的整改措施，并承担由此引起的风险，审计执行主管与各级管理层应将此事报告上级行或董事会以寻求解决，对管理层或董事会的处理意见，亦应以书面的形式传达至各级审计部门，以便于审计部门对剩余风险的再评估。
5 审计部门应尽快制定相关的控制程序，用以解决、监督和控制这些剩余风险，同时应充分利用非现场审计信息系统，对剩余风险进行持续、有效的监督与评估；同时，管理层也应确立剩余风险问题的定期整改报告制度，以便于审计部门重新评估审计对象的控制风险，帮助组织实现其目标。
(责任编辑：杨永波)