《風險導向下保險業(yè)內(nèi)部審計模型的有效應用》
摘要：有效的內(nèi)部審計活動框架體系應當是藝術和科學的有機體，涵蓋內(nèi)部審計目標、內(nèi)部審計活動應遵循的基本原則、內(nèi)部審計活動實施的核心要素等。內(nèi)部審計部門履行著內(nèi)部控制的監(jiān)督職能，同時內(nèi)部審計質(zhì)量本身也是內(nèi)部控制有效性的組成部分。
一、風險導向內(nèi)部審計模型有效運行的前提條件
PhilnaCoetzeeandDaveLubbe（2014）指出以風險為基礎的內(nèi)部審計模型其中的一個假設為：組織是風險成熟的，在戰(zhàn)略和運營層面都有一個全面的風險管理過程；風險偏好和風險容忍度級別由高級管理層和董事會確定，或者在適用的情況下，由業(yè)務活動管理條線確定。也就是說，以風險為導向的內(nèi)部審計實施的前提之一是——組織的風險管理環(huán)境和風險管理活動是相對成熟的。
安永《2017年至2018年度亞太地區(qū)保險業(yè)首席風險官調(diào)查》指出，風險文化在亞太區(qū)首席風險官的議程上占據(jù)首要位置。普華永道《2018年保險公司全面風險管理與資產(chǎn)負債管理調(diào)查報告》指出，受訪機構中超過九成保險公司已經(jīng)初步建立風險管理框架，下一步工作面臨風險管理實施和落地的挑戰(zhàn)；“風險管理目標與工具”是風險管理中最薄弱的部分。從上述行業(yè)調(diào)研報告中可以看出，我國保險業(yè)的整體風險管理體系建設還處于初級階段。
2017年發(fā)布的《中國保險行業(yè)內(nèi)部審計發(fā)展報告》顯示，有111家公司反饋為“風險導向?qū)徲?rdquo;。雖然絕大多數(shù)保險公司內(nèi)部審計工作模式自稱為“風險導向”，但是從當前行業(yè)的整體風險管理成熟度來講，組織實施的風險管理環(huán)境以及風險管理策略還不夠成熟，不足以使內(nèi)部審計依賴風險管理過程的結果，而風險管理過程是風險導向內(nèi)部審計模型發(fā)揮最佳功能的先決條件。因此，在實際操作層面甚少有保險公司能夠具備踐行“風險導向”內(nèi)部審計的前提條件。
1．內(nèi)部審計業(yè)務類型。從內(nèi)部審計的目標來看，內(nèi)部審計活動可以分為遵循性審計、舞弊審計、管理審計、內(nèi)控審計、責任審計、效益審計等。每一類審計的目標是不一致的，因而思考邏輯和運用的方法論也就不一樣。通常情況下，遵循性審計是通過抽樣或者其他方式檢查是否存在違反法律法規(guī)的情況，不需要進行風險評估的。同時，風險導向的內(nèi)部審計模型，需要在審計計劃階段運用風險管理流程來進行整體性風險評估，制定年度內(nèi)部審計計劃。而實施這一流程的前提是，內(nèi)部審計部門已對組織的風險管理過程進行了審計，并且認為該過程的結果是可以信賴的。這對于當前絕大多數(shù)以遵循性（含合規(guī)）審計為主的內(nèi)部審計部門來說，是缺少對相關風險管理過程審計的準備和經(jīng)驗的。
2．內(nèi)部審計實施過程與“風險導向”的關聯(lián)度。雖然大多數(shù)公司使用了“風險導向?qū)徲?rdquo;一詞，但是我們甚少看到公司完整的風險描述，包括對風險的定義、風險的分類及相關術語的描述等。在內(nèi)部審計計劃階段，也明顯缺乏任何形式的風險評估（即便開展所謂的風險評估，也是非常的片面和零散、缺少關聯(lián)性，只鱗片爪、東拼西湊、顧此失彼）或基于風險的審計規(guī)劃。同時，風險導向內(nèi)部審計通過發(fā)現(xiàn)問題線索，對觸發(fā)因素和原因進行分析，提出改善組織運營的管理建議。而這一過程中需要兼顧效率和效力，選擇恰當?shù)娘L險處置方式，并與公司的風險偏好保持一致。這對于當前絕大多數(shù)以遵循性（含合規(guī)）審計為主的內(nèi)部審計部門來說，缺乏具備執(zhí)行上述活動所需能力的綜合型人才，這也成為當前實施風險導向內(nèi)部審計的最大障礙之一。當前我國保險行業(yè)整體尚不具備實施“風險導向”內(nèi)部審計的條件和基礎，除了內(nèi)部審計自身發(fā)展因素外，還在很大程度上受到來自于行業(yè)、公司內(nèi)部整體風險管理水平的制約。這一革新演變的過程需要各相關方的努力和協(xié)調(diào)，可以借鑒現(xiàn)代內(nèi)部審計的理念和思路，尋求和識別提高內(nèi)部審計效率的方法。
雖然不同的組織受到其內(nèi)部環(huán)境及自身發(fā)展水平不同的影響，內(nèi)部審計部門在實際運作上有所差異，但內(nèi)部審計部門在構建其自身運行時通用的理念和思考邏輯是一致的。本文結合多年實踐經(jīng)驗中所總結的行為因素，從內(nèi)部審計的本質(zhì)出發(fā)，進行了系統(tǒng)性的理論探索，認為有效的內(nèi)部審計活動是藝術和科學的有機體。
該框架體系提出了內(nèi)部審計活動的目標是幫助組織實現(xiàn)其戰(zhàn)略目標，內(nèi)部審計活動遵循的基本原則是成本效益原則，內(nèi)部審計活動的核心是內(nèi)部審計人員的職業(yè)判斷。內(nèi)部審計過程是在公司總體戰(zhàn)略目標框架下，對組織治理、風險管理、內(nèi)部控制的有效性進行評估，在風險分析、原因分析以及提出改善措施的整個過程中與相關方緊密相連，是一個有效合作和溝通的過程。內(nèi)部審計組織通過促進利益相關方及時采取恰當?shù)募m正行為，從而實現(xiàn)改善組織運營的目標，確保組織戰(zhàn)略目標的實現(xiàn)。
正如《2019年全球風險報告》所述，我們必須以無指責的過程面對事實，不僅僅是確定具體的問題，而且需要著眼于更廣泛的組織和系統(tǒng)性的原因。只有這樣做，才能識別到早期的預警信號，保持懷疑，使用結構化決策工具，更好地管理危機——防止“未能預見的錯誤”。通常業(yè)務部門更了解問題所在，以及如何更有效地去改善。然而，問責往往使得個人更為小心謹慎，在事實面前以各種理由為自己辯護；同時，也會使得不同層級的人員扮演起“啞巴”的角色，導致重要的問題迷失在組織層級的底層。因此，內(nèi)部審計部門需要從組織的整體利益出發(fā)，思考自身的角色定位，以便更好地履行自身的職能，并且能夠在審計委員會和高級管理層面前體現(xiàn)出自身的價值。
內(nèi)部審計成果如何更為有效地為組織帶來增值，這已遠遠超過了“監(jiān)督”這一職能。從某種程度上講，內(nèi)部審計的目標與內(nèi)控控制、風險管理是一致的，即促進組織的發(fā)展和提高效益，具體而言，是以更具有經(jīng)濟性、效率性、效果性、及時性的方式來管理風險，并符合法律法規(guī)的監(jiān)管要求。因而，內(nèi)部審計所展現(xiàn)的不僅僅是一個風險清單（對組織內(nèi)的所有風險進行盤點），而是為有效的管理風險提供見解并推動相關方去改善。在當前大多數(shù)組織整體風險管理成熟度較低的背景下，發(fā)展較為成熟的內(nèi)部審計部門還可以提供系列改善組織風險所需的工具和支持，比如風險管理教育和培訓；歷年來內(nèi)部審計所揭示的風險和薄弱環(huán)節(jié)，也可以為進一步完善組織的風險管理工具提供參考。
在監(jiān)管日益嚴峻的環(huán)境下，監(jiān)管風險已成為組織面臨的主要風險之一。對于在國外設有機構的保險公司來說，還面臨著日益增加的地緣政治風險。對監(jiān)管政策的正確理解和解讀是確保組織遵循法律法規(guī)的前提條件，因而內(nèi)部審計部門有必要對監(jiān)管政策及其變化進行充分分析，對組織的治理、風險管理、內(nèi)部控制能否有效促進組織實現(xiàn)對監(jiān)管的遵循性方面進行評估，并提出改善建議，幫助組織降低監(jiān)管風險。基于改善組織運營的這一根本目標，內(nèi)部審計部門必須推動各方主動參與到內(nèi)部審計活動中。然而，從人的本性來看，是厭惡、排斥被檢查的，因而內(nèi)部審計部門需要搭建一個框架，提升內(nèi)部審計部門與組織各方的協(xié)同性，加強與組織各層級的密切合作。內(nèi)部審計人員有必要改變其“強勢的姿態(tài)”，賦予同理心，站在對方的角度去思考。如何在審計過程中提升各方參與的積極性，在發(fā)生意見分歧時如何提出有說服力的論點，何時需要一定的“妥協(xié)”，怎樣進行協(xié)商和談判；在不影響風險本質(zhì)的情況下，如何對風險進行描述，使各方更容易接受，得出更恰當?shù)慕Y論，并在正確的時間將其傳達給正確的人，這些都是內(nèi)部審計部門需要考慮和思考的。當前一個主流觀點是，審計報告中要體現(xiàn)出各方在審計過程中所做出的努力，包括被審計單位在這一過程中對風險的識別，已經(jīng)實施的改善措施以及取得的效果等。
四、內(nèi)部審計的核心是內(nèi)部審計人員的職業(yè)判斷
（一）內(nèi)部審計人員職業(yè)化發(fā)展現(xiàn)狀
1．內(nèi)部審計學科基礎知識體系薄弱。職業(yè)判斷是來自多學科知識的結合，內(nèi)部審計人員不僅需要具備所在領域的專業(yè)知識和技能，還要掌握一定的心理學、社會學、行為學、哲學、統(tǒng)計學等更廣泛領域的基礎知識，從而提升其職業(yè)判斷能力和對事物的見解。內(nèi)部審計學是一門綜合的知識體系，有著其獨特的思考邏輯和方法論。正如AnnButern（2016）所述，當正確理解了有效內(nèi)部審計的本質(zhì)、掌握審計過程中每一階段的方法論、具備了五個層次的審計能力時，內(nèi)部審計人員才可以有效運行其掌握的方法論獲取所從事領域應具備的知識，即使這些領域是其之前不太熟悉的領域。然而，令人遺憾的是，內(nèi)部審計學在高校并沒有納入主流學科，甚至很多院校沒有將其作為主流學科下的一個分支。目前從事內(nèi)部審計工作的人員甚少有接受過系統(tǒng)性的內(nèi)部審計方法論的培訓和學習，基礎理論知識的薄弱限制了內(nèi)部審計人員的成長。這需要集行業(yè)的力量，推動內(nèi)部審計領域通用知識體系的建設，通過行業(yè)組織對內(nèi)部審計人員基礎學科知識進行持續(xù)教育和培訓，以推動內(nèi)部審計職業(yè)專業(yè)化發(fā)展。
2．人才欠缺是制約內(nèi)部審計發(fā)展的最大障礙。在很多組織中，內(nèi)部審計部門并不是組織中“受歡迎”的部門，這某種程度上是因內(nèi)部審計自身的角色定位與利益相關者的需求不一致所導致，并由此產(chǎn)生內(nèi)部審計部門資源受限，直接關系到內(nèi)部審計人員的薪酬和職業(yè)發(fā)展。對于優(yōu)秀人才來說，他們通過觀察組織所呈現(xiàn)出的職業(yè)發(fā)展平臺和上升路徑，選擇最有利于自己發(fā)展的部門和崗位。大多數(shù)組織的內(nèi)部審計部門往往缺乏吸引力，吸引和留住優(yōu)秀人才成為其最大的困難。因此，內(nèi)部審計責任人有必要想辦法打破這種僵局，建議審計委員會和高級管理層，在高級管理人員的晉升通道中為內(nèi)部審計人員留下一席之位，這也是國際上一些領先機構的最佳實踐。
（二）提升內(nèi)部審計人員職業(yè)判斷的關鍵要素
1．內(nèi)部審計基礎方法論是職業(yè)判斷的基本原理。組織的運營需要兼顧成本和效益，新技術的發(fā)展給運營流程帶來了優(yōu)化的機會，同時也帶來了新的風險。以史為鑒的檢查方法雖然在某種程度上可以發(fā)現(xiàn)組織表現(xiàn)出來的一些問題，但問題的改善需要內(nèi)部審計部門與時俱進，從內(nèi)部控制和風險管理的效果和能力方面尋找切實可行的改善方案，從根本上防范和降低風險。“目標—風險—控制”這一基本思考邏輯框架作為內(nèi)部審計的基礎方法理論和思考邏輯框架，對其的正確理解和熟練運用是內(nèi)部審計人員應掌握的基礎知識。
（1）內(nèi)部審計關注的是風險。眾所周知，風險是客觀存在的，風險管理是效益和風險的平衡。因而，內(nèi)部審計不是一個檢查表，而是通過運用一套系統(tǒng)性的方法和原則，對組織所面臨的固有風險、剩余風險的有效識別，對公司治理、內(nèi)部控制、風險管理效果的有效評估，找到改善組織運營的機會，并促進管理層快速、有效地去改善，內(nèi)部審計關注的是風險。可以把風險定義為一個不確定的事件或條件，如果發(fā)生，可能會影響組織目標的實現(xiàn)。風險可能是來自內(nèi)部，也可能是來自外部；風險可能是由人、系統(tǒng)、環(huán)境等某一因素帶來的，也可能是多因素交集造成的；有主觀故意的，也有客觀存在的。而差錯是由員工在執(zhí)行具體的崗位工作時因工作技能、工作經(jīng)驗、工作責任心等因素所造成的。組織可以通過良好的內(nèi)部控制來降低差錯發(fā)生的概率和損失程度，如通過員工持續(xù)教育、系統(tǒng)自動效驗和糾錯、關鍵事項的多級復核等，將差錯控制在組織所能接受的范圍內(nèi)。因而，內(nèi)部審計人員在執(zhí)行審計項目的過程中，所扮演的不僅僅是“復核”或者“審核”的角色，而是通過有效運用長期以來積累的工作經(jīng)驗和審計方法，在發(fā)現(xiàn)差錯及其他行為風險等的基礎上，對內(nèi)部控制和風險管理的有效性進行評估。
（2）審計抽樣與風險判斷的相關性。通常，審計抽樣方法分為隨機抽樣、任意抽樣、判斷抽樣、統(tǒng)計抽樣與非統(tǒng)計抽樣等。不同的抽樣方法可能會對風險形成不同的判斷，因而需要根據(jù)特定的審計目標和審計程序，運用相應的審計抽樣方法，或者多種抽樣方法相結合。比如，內(nèi)部審計部門對“運營承保檔案的完整性、正確性、及時性”進行評估，該程序需要通過一定量樣本的隨機抽樣，并將樣本的結果與公司的考核指標（公司可接受的風險）進行對比，從而判斷該流程控制的有效性；而如果審計人員通過經(jīng)驗進行判斷抽樣，就會發(fā)現(xiàn)更多的差錯，得出的結論可能會有所偏離。然而，審計部門對“運營承保檔案真實性”的評估，可能就需要審計人員結合經(jīng)驗進行判斷抽樣，在有限的樣本中找到可疑線索，進行進一步的檢查。因而，內(nèi)部審計部門需要建立一套完善的審計抽樣體系，涵蓋抽樣的原則、方法論等，為審計人員尤其是新入職的員工在審計項目開展中提供參考，從而提升內(nèi)部審計人員職業(yè)判斷的適當性。
（3）風險成因分析是提出改善意見的依據(jù)。正如保險理賠是以近因原則來判斷是否符合履行合同支付標準的依據(jù)一樣，風險管理是以對風險成因的判斷為前提對改善措施進行思考。對風險成因的判斷不一致，風險改善的措施也就不一定相同，風險管理的效果也就有所差異。因而，風險成因的有效識別對于審計人員作出正確的職業(yè)判斷以及提出恰當?shù)膶徲嫿ㄗh至關重要。如前所述，在內(nèi)部審計過程中，需要重點關注的是通過控制活動和風險管理能夠緩和、規(guī)避、轉(zhuǎn)移的風險。以銷售誤導為例，基于人自我利益的考慮，銷售誤導是客觀存在的固有風險，其本身是不能夠完全杜絕的。組織可以通過有效的內(nèi)部控制和風險管理，規(guī)避系統(tǒng)性、群體性銷售誤導行為的發(fā)生，及時發(fā)現(xiàn)個體銷售誤導行為并采取措施進行控制，以降低可能造成的影響，從而使風險控制在組織所能接受的范圍內(nèi)。因而，在內(nèi)部審計過程中，關注的是銷售誤導這一控制流程的健全性和有效性，如是否存在某一控制點的缺失，或者某一控制點未發(fā)揮相應的作用，可能就需要關注預防性控制措施（合規(guī)文化、員工培訓以及合規(guī)教育等）、監(jiān)督措施（員工不良行為監(jiān)測的方法、監(jiān)督的及時性和全面性、風險處置方式等）、懲戒性措施（處理處罰、辭退等）等。而在具體原因分析方面，就需要結合能獲取到的所有信息包括一些歷史信息，對該行為進行判斷，是人的方面，還是產(chǎn)品方面；是主觀惡意的行為，客觀的技能欠缺，還是歷史遺留問題等。成因不同，改善的方案就會有所差異。
2．審計信息是正確職業(yè)判斷的基礎。在保險業(yè)快速發(fā)展和變革的過程中，隨著組織規(guī)模的擴張、數(shù)據(jù)的劇增、運營方式的改變，以往的內(nèi)部控制不一定適合當前組織的發(fā)展。內(nèi)部審計人員的知識儲備，對于現(xiàn)代內(nèi)部審計運行的有效性至關重要。而這一知識儲備很大程度上體現(xiàn)在信息的儲備量，這些信息不僅包括組織內(nèi)部的信息，如公司的發(fā)展戰(zhàn)略、管理舉措、實施效果、面臨的困境等，還包括外部的信息，如行業(yè)的最佳實踐、行業(yè)通用知識信息、行業(yè)整體環(huán)境等。充分、及時的信息是內(nèi)部審計人員做出恰當職業(yè)判斷的關鍵所在。風險評估、審計計劃、項目實施、審計建議……無論哪個階段，完整、準確、及時的信息都非常重要。以某中支機構虛假提升13個月繼續(xù)率為例，如果單看這一問題，可能會被定性為“個人或組織通過繼續(xù)率弄虛作假獲利”；而有時則會得到“諸如指標考核越來越高”這樣的反饋，對于反饋信息的判斷需要獲取上級機構“指標追蹤記錄和指標要求”等相關資料，而對于該指標合理性的判斷可能就需要掌握行業(yè)的通用定義（如精算假設），通過對比進行評估。而在此過程中，涉及多層級的信息，同時也逐步形成對原因的判斷，如是個人的惡意獲利，還是考核指標的不合理，還是其他的因素。與傳統(tǒng)內(nèi)部審計所要求的具備所檢查領域所應具備的業(yè)務知識能力相比，現(xiàn)代內(nèi)部審計對于內(nèi)部審計人員的“軟技能”提出了相當高的要求。如何與來自組織各個層級的其他人以及組織外的相關方保持良好的聯(lián)系，如何獲取信息并對信息進行判斷，已成為綜合能力的體現(xiàn)。
3．審計技術是有效職業(yè)判斷的保證。每個實體都面臨著無數(shù)的風險，這些風險可能影響到組織的許多部分。有時，風險可能起源于實體的一個部分，但影響到另一個部分。由于組織所面臨風險的復雜性，內(nèi)部審計需要在整個實體內(nèi)識別和管理風險。在當前保險行業(yè)積極擁抱技術革新的浪潮下，更多的自動化和數(shù)據(jù)分析工具給內(nèi)部審計工作效率的提升帶來了前所未有的機遇，使得某些風險可以進行全樣本的風險識別和分析，某些審計程序使得同時對所有分支機構進行檢查成為可能。傳統(tǒng)上，保險公司覆蓋多家分支機構，內(nèi)部審計部門對每家分支機構進行年度審計，這在一定程度上帶來了數(shù)據(jù)的割裂，風險識別和分析的碎片化，因而很難形成對風險的整體判斷或者需要更高的成本。而技術的發(fā)展已使得內(nèi)部審計部門可以從整體上對某些風險進行識別，從而對整個控制流程進行評估，做到全面分析、精確制導。自動化的工具更有助于進行實時監(jiān)測，從根本上突破傳統(tǒng)定期審計模式下監(jiān)督職能的滯后。同時，隨著保險行業(yè)監(jiān)管的日益嚴峻，越來越多的監(jiān)管制度要求內(nèi)部審計履行相應的職責，內(nèi)部審計部門更應在自身建設中以成本效益為核心，充分利用審計技術，滿足監(jiān)管要求。擁抱技術、利用技術提升內(nèi)部審計效率是現(xiàn)代內(nèi)部審計的必然趨勢。
五、內(nèi)部審計是組織內(nèi)部控制、風險管理的有機組成部分之一
1．內(nèi)部審計質(zhì)量內(nèi)部評估。內(nèi)部審計質(zhì)量內(nèi)部評估包括整體質(zhì)量評估和審計作業(yè)評估兩個部分。
在整體質(zhì)量評估中，遵循成本效益這一基本原則，對內(nèi)部審計這一監(jiān)督職能的效果性、效率性、及時性、全面性等進行評估，防止審計部門績效低下或者過度審計。內(nèi)部評估包括審計覆蓋面、審計能力（審計方法、審計技術、審計系統(tǒng)、審計流程等）、審計人員技能（綜合能力、持續(xù)教育和培訓）、審計質(zhì)量管理、相關利益方滿意度等的評估，以提升審計項目的效率和效果，更有效地履行監(jiān)督的職能，促進整個內(nèi)控體系的優(yōu)化和完善。在審計作業(yè)評估中，主要是具體審計項目質(zhì)量的評估，是內(nèi)部審計部門作業(yè)質(zhì)量管理的一個環(huán)節(jié)。在大型公司的內(nèi)部審計部門有必要建立一個質(zhì)量保證小組（或相應職能），促進內(nèi)部審計職能的不斷優(yōu)化和改善。
2．內(nèi)部審計質(zhì)量外部評估。內(nèi)部評估可能會受限于審計部門自身過往的經(jīng)驗，從而忽視了一些已暴露的風險，或者對于新風險的敏銳度較低等，因而有必要根據(jù)內(nèi)部審計準則的要求，定期開展內(nèi)部審計質(zhì)量外部評估，形成對整個組織全流程的治理、審計環(huán)境、風險管理、內(nèi)控控制有效性的評價和改善。
綜上所述，從內(nèi)部審計目標的角度來講，在整個內(nèi)部審計過程中不是簡單的“對”與“錯”的裁定，需要內(nèi)部審計人員賦予同理心以及具備一定的專業(yè)能力和有效的溝通能力，營銷審計建議，促進組織運營的改善，這是技術和藝術的有機結合；從內(nèi)部審計人員的角度來講，內(nèi)部審計人員不僅要遵循內(nèi)部審計準則和職業(yè)道德，保持客觀性和專業(yè)能力，還要加強與相關方的聯(lián)系和溝通，及時獲取相關信息，恰當?shù)仄胶膺@種關系本身也是技術和藝術的有機結合；從內(nèi)部審計成果來講，防止“小問題”變成“大問題”是組織的目標所在，如何發(fā)現(xiàn)對組織發(fā)展有著決定性因素的“小問題”是一門技術，而通過“小問題”體現(xiàn)內(nèi)部審計部門的價值更是一門藝術。內(nèi)部審計是藝術和科學的有機體，這賦予了內(nèi)部審計更高的使命和價值。
