內部審計作為風險的第三道防線或第三道線都該些什麼？

「來源： ｜審計實踐 ID：one_auditor」

審計部門對外宣傳說是風險的第三道防線，在開展業務時倡導風險導向內部審計，在貫徹審計全覆蓋時努力實現主要風險的全覆蓋。然而，在實際工作中，審計部門是否真正把風險識別、風險評估和風險管理作為提高審計效率和擴大審計成果的工具呢？或者做到了以下幾點嗎？

1.審計部門是否建立了風險預警機制。

健全和正常的風險預警機制能夠實時掃描組織各個業務模組、各個分支機構的風險狀況，一旦風險閾值開始報警，審計人員就要及時進行風險評估，然後根據評估結果判斷是否採取進一步行動。儘管許多審計部門利用資訊科技搭建了風險預警資訊平臺，但還存在以下的問題：風險指標評價體系不完善、風險預警平臺從對接的業務系統獲取的資料有錯誤、風險預警平臺因維護不利而不能正常執行，等等。同時，風險預警機制不止是風險預警資訊平臺，還要透過多種渠道獲得最及時的風險資訊。

2.審計人員是否能夠透過審計發現分析評價風險狀況。

審計發現散佈於審計底稿、審計報告中。即使審計人員每年都會做審計發現分析，但分析結果是否能獲得對各個業務領域的初步的風險評價。如果不能從審計發現分析結果獲得對風險狀況的初步評價，那麼審計發現分析往往只能起到合規性分析的作用，或者再加上一點效益性分析。注意，這裡說的還只是初步評價。風險評價需要一整套分析方法，單靠審計發現可能無法獲取全面的風險狀況評價，但也能透過審計發現分析搭建一個風險評價的初步平臺，實現審計發現分析的“點、線、面”結合。

3.審計業務是否覆蓋到組織的主要風險領域。

有三個因素制約著主要風險領域的全覆蓋：一是鑑於審計人員的知識領域、經驗和能力水平，不是所有風險都能被識別；二是沒有建立前面所說的風險預警機制，或者更底層的原因是還沒養成定期對風險進行識別的意識和習慣；三是市場環境是變化的，業務政策也會適時調整，經營風險也會隨之變化，而審計往往因為時候是事後，可能就會錯過正在發生的風險。

4.審計部門是否能與風險的第一、第二道防線建立聯動機制。

內部審計是獨立的，但內部審計作為風險的第三道防線卻不能是孤立的，需要和第一、第二道防線形成聯動機制。就像打仗，各個戰線不能只管自己面前的敵人，還要相互之間保持暢通的訊息，甚至還要提供火力支援。要知道，風險如果突破了前兩道防線，內部審計作為第三道防線也很難防得住。聯動機制包括：定期風險會議、問題整改溝通、風險的相互提示、風險資訊共享等。

5.審計人員是否能獲得體系化的風險管理培訓。

“工欲善其事，必先利其器。”審計人員要想充分運用審計管理的知識和工具來開展審計檢查，就獲得專業化、系統化的風險管理培訓。內部控制和風險管理是現代內部審計的兩大理論和實務基石，沒有紮實的內部控制和風險管理理論基礎，就很難在實務中形成更深刻的認識。即使在實際操作中，審計人員不一定會用到風險管理的專業知識，但對外宣傳和交流上，如果審計人員對風險管理就沒有全面的認識，其專業性也會受到質疑。審計人員的培訓分為兩種，一種是講師授課，一種是自己學習，這兩者都要根據審計部門實際情況結合使用。

內部審計作為風險的第三道防線要的事情太多了，不止是上面所說的五個方面。審計人員切記審計檢查不能就問題說問題，對照制度規定找問題，而是要對一個問題、一類問題、相關問題進行原因分析和風險分析，尤其是高價值的風險分析和提示，使審計的監督和諮詢職能更有高度。