关于风险导向审计方法由来与发展的认识

［提要］安然事件后，国内外会计职业界和专家学者对风险导向审计方法进行了深入探讨。为从理论上论证风险导向审计方法是否可行，加强注册会计师的风险意识，推进和完善我国独立审计准则的建设，本文回顾了传统风险导向审计方法的由来，分析了传统风险审计方法的特征、局限性以及职业界进行的探索和完善，并提出了我国针对风险导向审计方法应当采取的策略。

风险导向审计作为一种重要的审计理念和方法，随着国内外审计失败事件的爆发，受到行业内外新的关注。一种意见认为，安然事件中安达信会计公司审计失败，很大程度上可以归结于风险导向审计理念和方法的失败，应反思甚至停止采用风险导向审计方法；还有一种意见认为，我国中天勤会计师事务所出现的问题，是因为没有采用风险导向审计方法。这些意见都反映出我们对风险导向审计还缺乏全面的认识。笔者认为，风险导向审计不是制度基础审计之外的一种方法，而是制度基础审计的发展，目前它仍然处于发展完善中； 我国独立审计准则从一开始就是借鉴国际惯例，并在国际审计准则的基础上制定的，体现了风险导向审计的理念；我们当前的任务，不是否定国际审计准则以及其他国家审计准则体现的风险导向审计的方向，也不是无视我国独立审计准则已经体现的风险导向审计的精神，另搞一套审计准则，而是要认真总结和教训，按照风险导向审计的要求，进一步完善我国的独立审计准则，并严格付诸实施。

传统风险导向审计方法的由来

注册会计师制度的存在和发展应归因于企业所有权和经营权分离所导致的受托经济责任。由于企业管理当局是提供会计报表的责任主体，自身利益通常与企业的财务状况与经营成果挂钩，编制的会计报表容易受到利益驱动而失实，因此需要由具有专门知识和技能的独立第三方——注册会计师对会计报表进行审计，出具客观、公允的报告。

注册会计师的报告可以有效地说明企业管理当局的受托经济责任，降低会计报表使用人进行决策所面临的信息失真风险。一百多年来，虽然审计的根本目标没有发生重大变化，但审计环境却发生了很大的变化。注册会计师为了实现审计目标，一直随着审计环境的变化调整着审计方法； 审计方法从账项基础审计、制度基础审计发展到风险导向审计，都是注册会计师为了适应审计环境的变化而作出的调整。

在审计发展的早期（19世纪以前），由于企业组织结构简单，业务性质单一，注册会计师的审计主要是为了满足财产所有者对会计核算进行独立检查，促使受托责任人（通常为经理或下属）在授权经营过程中做出诚实、可靠的行为。注册会计师通过完成各项工作以履行审计责任，包括检查支持凭证，评估报告资产的价值（通常是成本），确定受托责任人对存货购买和发出核算的正确性。注册会计师审计的重心在资产负债表，目的是发现和防止错误与舞弊。

由于早期获取审计证据的方法比较简单，注册会计师将大部分精力投向会计凭证和账簿的详细检查，因此，此时的审计方法是详细审计，又称账项基础审计。

根据有关文献记载，当时的注册会计师在整个审计过程中，约四分之三的时间花费在合计和过账上。从方法论的角度上讲，这种审计方法就是账项基础审计方法（accounting number-based audit approach）。19世纪即将结束时，会计和审计步入了快速发展时期。随着企业规模的扩大和组织结构的日益复杂，股权投资方式在企业中得到广泛应用。股权投资者非常重视投资回报，在企业管理当局编制的会计报表中，利润数据成为反映企业盈利能力的重要指标，并定期向现有股东以及潜在股东提供报告。注册会计师的审计重点也从检查受托责任人对资产有效使用转向检查企业的资产负债表和利润表，判断企业的财务状况和经营成果是否真实和公允。由于企业规模日益扩大，经济活动和交易事项内容不断丰富、复杂，注册会计师花费的审计工作量迅速增大，如需要的审计技术也日益复杂，使得详细审计难以实施，而企业承担的审计费用也难以承受。为了适应审计环境的变化和审计工作的需求，职业界逐渐改变了详细审计，代之以抽样审计。然而，如果不考虑企业的其他因素，单纯使用抽样审计有其固有的局限性。因为注册会计师对企业风险、样本取舍、误差范围乃至误差率的估计都有相当的难度。为了进一步提高审计效率，改变抽样审计的随意性，注册会计师将审计的视角转向企业的管理制度，特别是会计信息赖以生成的内部控制，从而将内部控制与抽样审计结合起来。因为职业界逐渐认识到，设计合理并且执行有效的内部控制可以保证会计报表的可靠性，防止重大错误和舞弊的发生。这样，从20世纪50年代起，以内部控制测试为基础的抽样审计在西方国家得到广泛应用。从方法论的角度看，该种审计方法可以被称作制度基础审计方法（system-based audit approach）。制度基础审计方法的重点在于要求注册会计师了解、测试和评价内部控制设计的合理性和执行的有效性。对于内部控制存在缺陷的环节，注册会计师通常将其涉及的交易和账户余额作为审计的重点，甚至进行详细审计；对于可以信赖的内部控制环节，注册会计师通常将其涉及的交易和账户余额进行抽样审计。由此， 制度基础审计方法就大大减少了注册会计师的审计工作量，提高了审计效率，同时也降低了企业承担的审计费用。

由于审计风险受到企业固有风险因素的影响，如管理人员的品行和能力、行业所处环境、业务性质、容易产生错报的会计报表项目、容易受到损失或被挪用的资产等导致的风险，又受到内部控制风险因素的影响，如 账户余额或各类交易存在错报，内部控制未能防止、发现或纠正的风险，还会受到注册会计师实施审计程序未能发现账户余额或各类交易存在错报风险的影响，因此，注册会计师仅以内部控制测试为基础实施抽样审计就很难将审计风险降至可接受的水平，抽取样本量的大小也很难说服政府监管部门和社会公众。为了从理论和实践上解决制度基础审计存在的缺陷，注册会计师职业界很快开发出了审计风险模型。审计风险模型是指"审计风险=固有风险×控制风险×检查风险".在审计风险模型中，审计风险是由会计师事务所风险管理策略所确定的，谨慎行事的会计师事务所往往将其确定为较低水平，固有风险和控制风险则与企业有关，注册会计师可以通过了解企业及其环境以及评价内部控制对两者作出评价，在此基础上确定检查风险，并设计和实施实质性程序，以将审计风险控制在会计师事务所确定的水平。审计风险模型的出现，从理论上解决了注册会计师以制度为基础采用抽样审计的随意性，又解决了审计资源的分配问题，即要求注册会计师将审计资源分配到最容易导致会计报表出现重大错报的领域。从国外文献看，早在1983年，美国审计准则委员会就把这一审计思想写入了审计准则公告第47号，要求注册会计师在充分评估固有风险和控制风险的基础上确定检查风险，最终将审计风险控制在可接受的水平。同时，还要求将重要性原则与审计风险模型一同运用，以降低审计风险，并明确注册会计师应当承担的责任。从方法论的角度讲，注册会计师以审计风险模型为基础进行的审计可称为风险导向审计方法（risk-oriented audit approach）。需要指出的是，由于英文用词的不同，风险导向审计有时也被称为“风险基础审计方法（risk-basedaudit approach）”或“风险基础方法（risk-based approach to auditing）”。

本文将以审计风险模型“审计风险=固有风险×控制风险×检查风险”为基础进行的审计称为传统风险导向审计方法。

职业界对传统风险导向审计方法改进的探索

按照传统风险导向审计方法，注册会计师是否实施审计程序，何时实施以及在多大范围内实施，完全取决于对检查风险的评估。注册会计师在运用传统风险导向审计方法时，通常难以对固有风险作出准确评估，往往将固有风险简单地确定为高水平，转而将审计资源投向控制测试（如果必要）和实质性测试。由于忽略对固有风险的评估，注册会计师往往不注重从宏观层面上了解企业及其环境（如行业状况、监管环境及目前影响企业的其他因素；企业的性质，包括产权结构、组织结构、经营、筹资和投资；企业的目标、战略以及可能导致会计报表重大错报的相关经营风险；对企业财务业绩的衡量和评价）；而仅从较低层面上评估风险，容易犯只见树木不见森林的错误。也就是说，传统风险导向审计方法注重对账户余额和交易层次风险的评估。但企业是整个社会经济生活网络中的一个细胞，所处的经济环境、行业状况、经营目标、战略和风险都将最终对会计报表产生重大影响。如果注册会计师不深入考虑会计报表背后的东西，就不能对会计报表项目余额得出一个合理的期望。而且，当企业管理当局通同舞弊时，内部控制是失效的。如果注册会计师不把审计视角扩展到内部控制以外，就很容易受到蒙蔽和欺骗，不能发现由于内部控制失效所导致的会计报表存在的重大错报和舞弊行为。因此，随着企业财务欺诈案的不断出现，国外一些会计师事务所在上世纪90年代对传统风险导向审计方法进行了改进。改进后的风险导向审计方法具有以下特征：一是注重对被审计单位生存能力和经营计划进行分析，从宏观上把握审计面临的风险；二是注重运用分析性程序，以识别可能存在的重大错报风险； 三是在评价内部控制有效的情况下，减少对接近预期值的账户余额进行测试，注重对例外项目进行详细审计；四是扩大了审计证据的内涵。注册会计师形成审计结论所依据的证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据。

职业界在对传统风险导向审计方法改进的过程中，创造出一种新的方法，称为风险基础战略系统审计方法（risk-based strategic-systems audit approach）。风险基础战略系统审计方法归结起来有以下特征：（1）了解客户的战略性优势。如客户创造价值的计划是什么？计划是否恰当？相对于占有同样资源的竞争对手，客户的优势在哪里？（2）了解威胁客户经营目标实现的风险。如什么因素可能阻碍客户创造既定的增值目标？哪些因素正在挑战客户的竞争优势？风险管理、战略管理和信息管理流程如何发挥作用？（3）了解实现战略优势所需的关键程序和相关胜任能力。如客户必须拥有什么样的胜任能力和流程优势才能创造既定的价值？威胁流程目标实现的经营风险是什么？流程目标是否与战略目标相一致？在控制流程风险层面，对流程风险的控制如何发挥作用？（4）衡量和评价流程执行情况。如是否有证据表明预期的价值确实被创造出来？亦即，与竞争对手相比，按照战略目标，创造价值的流程是如何执行的？由于实现战略优势和有关流程的效率，赚取的超过正常水平的利润是多少？（5）记录所了解的客户创造价值和产生未来现金流量的能力、流程分析、关键业绩指标以及经营风险概率，通过建立全面的经营知识决策框架，对管理当局作出的认定进行职业判断。（6）利用全面的经营知识决策框架对整体会计报表包含的关键认定进行预计。（7）将报告的财务成果与预期值比较，设计额外的审计测试工作以解决预期值与报告结果之间的任何差异。

通过运用上述方法，注册会计师可以获取以下审计证据：（1）经营风险及其在缺乏适当内部控制情况下对会计报表认定的潜在影响；（2）经营控制风险及其对会计报表认定的潜在影响； （3）特定的会计报表认定，例如难以审计的会计估计和非常规交易所依据的计价和假设； （4）与处理常规交易相关的信息处理风险； （5）在企业层次，经营业绩所实现的水平；（6）在业务流程层次，经营业绩所实现的水平； （7）企业产生未来现金流量的能力； （8）企业报告盈利的质量和业绩； （9）企业的价值。与传统风险导向审计方法相比，风险基础战略系统审计方法获取审计证据的领域更广，但在执行审计工作时仍然保留了许多传统做法，例如运用审计风险模型，按照风险评估基础分配审计资源，实施审计程序，依据获取的审计证据对会计报表形成意见；只不过后者将审计学、系统理论和经营战略结合起来，更加重视企业面临的风险。

风险基础战略系统审计方法是对传统风险导向审计方法的改进，两者本质的区别在于审计理念和审计技术方法的不同。传统风险导向审计方法通过综合评估固有风险和控制风险以确定实质性测试的范围、时间和程序，由于固有风险难以评估，审计的起点往往为企业的内部控制（如果没有必要测试内部控制，审计的起点则为会计报表项目）； 风险基础战略系统审计方法通过综合评估经营控制风险以确定实质性测试的范围、时间和程序，审计起点为企业的经营战略及其业务流程。如果企业的业务流程不重要或风险控制很有效，则将实质性测试集中在例外事项上。风险基础战略系统审计方法的优点是，便于注册会计师全面掌握企业可能存在的重大风险，有利于节省审计成本，克服缺乏全面性的观点而导致的审计风险。但该方法也存在局限性：一是会计师事务所必须建立功能强大的数据库，以满足注册会计师了解企业的战略、流程、风险评估、业绩衡量和持续改进的需要；二是注册会计师（至少对审计项目承担责任的注册会计师）应当是复合型的人才，有能力判断企业是否具有生存能力和合理的经营计划； 三是由于实施的实质性程序有限，当内部控制存在缺陷而注册会计师没有发现或测试内部控制不充分时，注册会计师承担的审计风险就大大增加。此外，由于审计准则的滞后性，风险基础战略系统审计方法的一些做法与审计准则有时会存在较大差异。因此，在审计准则修订之前，一旦出现审计失败，如果注册会计师采用该方法，就很难保护自己。

国际审计与鉴证准则理事会对传统风险导向审计方法的完善

职业界对传统风险导向审计方法的改进，也引起了审计准则制定机构的关注。为了解情况，国外的审计准则制定机构于1999年成立了一个审计风险研究小组。2000年，研究小组得出结论，认为传统风险导向审计方法对会计报表审计仍然是有效和适当的，但需要完善，以提高审计效果。研究小组同时建议准则制定机构根据研究结论修订现行审计准则。在上述背景下，国际审计与鉴证准则理事会（IAASB）和美国审计准则委员会先后各自成立了审计风险项目小组，随后又将两个小组合并，以从源头上实现国际协调。该小组于2002年10月发布了审计风险准则征求意见稿。2003年10月，国际审计与鉴证准则理事会在东京召开的会议上对征求意见稿进行了最后修订，获得委员会通过，2004年12月15日之后审计风险准则将正式施行。

国际审计与鉴证准则理事会发布的审计风险准则包括以下修订和新起草的准则：（1）会计报表审计的目标和基本原则（修订）； （2）审计证据（修订）； （3）了解被审计单位及其环境和评价重大错报的风险（涉及合并《风险评估与内部控制》、《计算机信息系统环境下的审计》、《了解被审计单位情况》）；（4）注册会计师对评估的风险的反应程序（拟订）。其中，《会计报表审计的目标和基本原则准则》要求注册会计师在执行审计业务时应当实现会计报表审计目标，并遵守基本原则； 《审计证据准则》要求注册会计师充分利用认定，据以作为评估重大错报风险，以及设计和实施审计程序的基础；《了解被审计单位及其环境和评价重大错报的风险准则》要求注册会计师应当在充分了解被审计单位及其环境（包括内部控制）的基础上，对会计报表总体层次和认定层次作出风险评估；《注册会计师对评估的风险的反应程序准则》要求注册会计师针对评估的风险确定总体反应，并设计和实施进一步审计程序的责任（审计程序的性质、时间和范围）。

（一）会计报表审计的目标和基本原则准则

修订后的《会计报表审计的目标和基本原则准则》从以下方面强调审计风险：一是要求注册会计师应当保持职业怀疑态度计划和实施审计工作，充分考虑可能存在导致会计报表发生重大错报的情形；二是在计划和执行审计时，注册会计师既不应假定管理当局是不诚实的，也不应假定其是完全诚实的；三是修改审计风险模型，将固有风险和控制风险合并为重大错报风险，审计模型修改为“审计风险=重大错报风险×检查风险”，以利于注册会计师执行风险评估程序，使之更加符合审计的实际情况。

（二）审计证据准则

修订后的《审计证据准则》要求从以下方面强调审计风险：一是注册会计师应当充分运用各类交易、账户余额以及表达与披露的认定，作为评估重大错报风险、设计与执行进一步审计程序的基础；二是将注册会计师获取审计证据的程序区分为总体审计程序和具体审计程序，总体审计程序包括风险评估程序、控制测试和实质性程序，具体审计程序包括检查记录和文件、检查有形资产、观察、询问、函证、重新计算、重新执行和分析性程序。

（三）了解被审计单位及其环境并评估重大错报风险准则

修订后的《了解被审计单位及其环境并评估重大错报风险准则》从以下方面强调审计风险：一是风险评估程序以及有关被审计单位及其环境（包括内部控制）的信息来源。该部分规范了注册会计师为 解被审计单位及其环境而应当实施的审计程序（风险评估程序），还要求在项目小组之间讨论被审计单位会计报表存在重大错报的可能性。二是了解被审计单位及其环境。该部分要求注册会计师了解被审计单位及其环境，以及内部控制的组成要素的特定方面，以识别和评估重大错报的风险。三是评估重大错报的风险。该部分要求注册会计师识别和评估会计报表总体层次和认定层次的重大错报风险，考虑被审计单位及其环境，包括内部控制，以及会计报表中的各类交易、账户余额，以识别存在的重大风险。四是将识别出的风险与认定层次可能发生的错报联系起来，考虑风险的重大性和可能性。该部分也要求注册会计师确定所识别的任何风险是否是需要特别考虑的重大风险，或是通过实质性程序本身并不能提供充分、适当审计证据的风险。注册会计师还应当评价被审计单位针对这些风险的控制设计，并确定这些控制是否得以贯彻执行。五是与负责公司治理的机构和管理当局的沟通。该部分也涉及到与内部控制相关事项，需要注册会计师与负责公司治理的机构和管理当局的沟通。

（四）注册会计师对评估的重大错报风险实施的审计程序准则

新起草的《注册会计师对评估的重大错报风险实施的审计程序准则》从以下方面强调审计风险：一是总体应对程序。该部分要求注册会计师针对会计报表总体层次的重大错报风险制定总体应对措施。二是针对认定层次的重大错报风险实施的审计程序。该部分要求注册会计师对评估出的认定层次的重大错报风险设计和实施进一步的审计程序，包括测试控制的执行有效性以及实质性程序。三是评价所获取审计证据的充分性和适当性。该部分要求注册会计师评价风险评估的结果是否适当，并确定是否已经获取充分、适当的审计证据。

由此可见，国际审计与鉴证准则理事会通过修订审计风险模型，强调从宏观上了解被审计单位及其环境，以充分识别和评估会计报表重大错报的风险，针对评估的重大错报风险设计和实施控制测试和实质性程序，并强调无论内部控制是否有效，都要对各类重大交易、重要账户余额和重要披露进行详细审计。上述审计风险准则纠正了人们对风险导向审计方法认识和实践上的偏差，有利于注册会计师提高审计质量，降低审计风险，是对传统风险导向审计方法的完善。四、我们对风险导向审计方法的认识和采取的策略独立审计准则是注册会计师审计实践的产物。西方发达国家制定独立审计准则时间很长，形成了比较完善的准则体系，许多审计技术和方法成为国际惯例，而国际审计准则是国际惯例的集中体现。1994年，国际审计实务委员会（IAPC）完成并发布了一套核心国际审计准则。到目前为止，世界上许多国家和地区已经或正在将国际审计准则作为制定独立审计准则的基础。我国在制定独立审计准则初始，就充分借鉴了国际审计准则和国际惯例，对国际上已有的成文准则、习惯做法、专业术语，如果没有足够的理由予以否定，都尽可能吸收借鉴。国际审计准则的基本原则和必要程序构成了我国独立审计准则的基础。因此，我国独立审计准则是建立在传统风险导向审计方法基础上的，但需要完善。正如前面所分析的，以传统风险导向审计方法为基础制定的审计准则，本身还存在一定缺陷。如果将审计重点放在各类交易和账户余额，不从宏观层面考虑会计报表可能存在的重大错报风险，注册会计师很可能只发现企业小的错误而忽略大的问题。特别是近几年，国内外爆发了一系列上市公司财务欺诈案，促使我们对独立审计准则的制定和实施认真总结教训。

近两年，我们也一直跟踪国外职业界对风险导向审计方法改进的探索，并参与了国际审计与鉴证准则理事会修订和起草审计风险准则的工作。我们认为，传统风险导向审计方法已经不能满足注册会计师执行审计业务的需要，急需修改。国外职业界对传统风险导向审计方法改进的探索，为注册会计师从宏观上把握审计风险提供了较好的思路，但本身还存在着缺陷； 而国际审计与鉴证准则理事会修订和起草的审计风险准则不仅吸收了目前已有的研究成果，也克服了存在的缺陷，是对传统审计风险模型和风险导向审计方法的完善，值得我们借鉴。

基于上述认识，我们对独立审计准则涉及的审计风险准则进行了研究，并对我国的审计环境进行了深入分析，确定了需要修订和起草的独立审计准则，并进行了初步的准备工作。需要修订的审计风险准则包括《独立审计具体准则第1号 —— 会计报表审计》、《独立审计具体准则第5号 —— 审计证据》、《独立审计具体准则第9号 —— 内部控制与审计风险》、《独立审计具体准则第20号 ——计算机信息系统环境下的审计》、《独立审计具体准则第21号 ——了解被审计单位情况》。修改的基本思路是：第一，起草一个新的审计准则（暂定名为《独立审计具体审计准则第X号 —— 会计报表审计的目标和一般原则》来代替《独立审计具体准则第1号 —— 会计报表审计》，明确会计报表审计的目标和一般原则，引进职业怀疑态度，合理保证和审计风险概念，修改传统审计风险模型。第二，修改《独立审计具体准则第2号 —— 审计证据》，引进各类交易、账户余额以及表达与披露的认定概念，作为注册会计师评估重大错报风险、设计和执行进一步审计程序的基础，并将获取审计证据的程序区分为总体审计程序和具体审计程序。第三，将《独立审计具体准则第9号 —— 内部控制与审计风险》、《独立审计具体准则第20号 —— 计算机信息系统环境下的审计》和《独立审计具体准则第21号 —— 了解被审计单位情况》合并为《独立审计具体准则第X号 —— 了解被审计单位及其环境并评估重大错报风险》（暂定名），以明确注册会计师的风险评估程序。第四，起草一个新的审计准则（暂定名为《独立审计具体准则第X号 —— 对评估的重大错报风险实施的审计程序》），解决对重大错报风险的评估结果如何实施审计程序。此外，为保证审计风险准则落到实处，修改相关准则《独立审计具体准则第8号 —— 错误和舞弊》和《独立审计具体准则第6号 —— 审计工作底稿》。