［提要］安然事件后，國內外會計職業界和專家學者對風險導向審計方法進行了深入探討。為從理論上論證風險導向審計方法是否可行，加強注冊會計師的風險意識，推進和完善我國獨立審計準則的建設，本文回顧了傳統風險導向審計方法的由來，分析了傳統風險審計方法的特征、局限性以及職業界進行的探索和完善，并提出了我國針對風險導向審計方法應當采取的策略。

    風險導向審計作為一種重要的審計理念和方法，隨著國內外審計失敗事件的爆發，受到行業內外新的關注。一種意見認為，安然事件中安達信會計公司審計失敗，很大程度上可以歸結于風險導向審計理念和方法的失敗，應反思甚至停止采用風險導向審計方法；還有一種意見認為，我國中天勤會計師事務所出現的問題，是因為沒有采用風險導向審計方法。這些意見都反映出我們對風險導向審計還缺乏全面的認識。筆者認為，風險導向審計不是制度基礎審計之外的一種方法，而是制度基礎審計的發展，目前它仍然處于發展完善中； 我國獨立審計準則從一開始就是借鑒國際慣例，并在國際審計準則的基礎上制定的，體現了風險導向審計的理念；我們當前的任務，不是否定國際審計準則以及其他國家審計準則體現的風險導向審計的方向，也不是無視我國獨立審計準則已經體現的風險導向審計的精神，另搞一套審計準則，而是要認真總結經驗和教訓，按照風險導向審計的要求，進一步完善我國的獨立審計準則，并嚴格付諸實施。

    傳統風險導向審計方法的由來

    注冊會計師制度的存在和發展應歸因于企業所有權和經營權分離所導致的受托經濟責任。由于企業管理當局是提供會計報表的責任主體，自身利益通常與企業的財務狀況與經營成果掛鉤，編制的會計報表容易受到利益驅動而失實，因此需要由具有專門知識和技能的獨立第三方——注冊會計師對會計報表進行審計，出具客觀、公允的報告。

    注冊會計師的報告可以有效地說明企業管理當局的受托經濟責任，降低會計報表使用人進行決策所面臨的信息失真風險。一百多年來，雖然審計的根本目標沒有發生重大變化，但審計環境卻發生了很大的變化。注冊會計師為了實現審計目標，一直隨著審計環境的變化調整著審計方法； 審計方法從賬項基礎審計、制度基礎審計發展到風險導向審計，都是注冊會計師為了適應審計環境的變化而作出的調整。

    在審計發展的早期（19世紀以前），由于企業組織結構簡單，業務性質單一，注冊會計師的審計主要是為了滿足財產所有者對會計核算進行獨立檢查，促使受托責任人（通常為經理或下屬）在授權經營過程中做出誠實、可靠的行為。注冊會計師通過完成各項工作以履行審計責任，包括檢查支持憑證，評估報告資產的價值（通常是成本），確定受托責任人對存貨購買和發出核算的正確性。注冊會計師審計的重心在資產負債表，目的是發現和防止錯誤與舞弊。

    由于早期獲取審計證據的方法比較簡單，注冊會計師將大部分精力投向會計憑證和賬簿的詳細檢查，因此，此時的審計方法是詳細審計，又稱賬項基礎審計。

    根據有關文獻記載，當時的注冊會計師在整個審計過程中，約四分之三的時間花費在合計和過賬上。從方法論的角度上講，這種審計方法就是賬項基礎審計方法（accounting number-based audit approach）。19世紀即將結束時，會計和審計步入了快速發展時期。隨著企業規模的擴大和組織結構的日益復雜，股權投資方式在企業中得到廣泛應用。股權投資者非常重視投資回報，在企業管理當局編制的會計報表中，利潤數據成為反映企業盈利能力的重要指標，并定期向現有股東以及潛在股東提供報告。注冊會計師的審計重點也從檢查受托責任人對資產有效使用轉向檢查企業的資產負債表和利潤表，判斷企業的財務狀況和經營成果是否真實和公允。由于企業規模日益擴大，經濟活動和交易事項內容不斷豐富、復雜，注冊會計師花費的審計工作量迅速增大，如需要的審計技術也日益復雜，使得詳細審計難以實施，而企業承擔的審計費用也難以承受。為了適應審計環境的變化和審計工作的需求，職業界逐漸改變了詳細審計，代之以抽樣審計。然而，如果不考慮企業的其他因素，單純使用抽樣審計有其固有的局限性。因為注冊會計師對企業風險、樣本取舍、誤差范圍乃至誤差率的估計都有相當的難度。為了進一步提高審計效率，改變抽樣審計的隨意性，注冊會計師將審計的視角轉向企業的管理制度，特別是會計信息賴以生成的內部控制，從而將內部控制與抽樣審計結合起來。因為職業界逐漸認識到，設計合理并且執行有效的內部控制可以保證會計報表的可靠性，防止重大錯誤和舞弊的發生。這樣，從20世紀50年代起，以內部控制測試為基礎的抽樣審計在西方國家得到廣泛應用。從方法論的角度看，該種審計方法可以被稱作制度基礎審計方法（system-based audit approach）。制度基礎審計方法的重點在于要求注冊會計師了解、測試和評價內部控制設計的合理性和執行的有效性。對于內部控制存在缺陷的環節，注冊會計師通常將其涉及的交易和賬戶余額作為審計的重點，甚至進行詳細審計；對于可以信賴的內部控制環節，注冊會計師通常將其涉及的交易和賬戶余額進行抽樣審計。由此， 制度基礎審計方法就大大減少了注冊會計師的審計工作量，提高了審計效率，同時也降低了企業承擔的審計費用。

    由于審計風險受到企業固有風險因素的影響，如管理人員的品行和能力、行業所處環境、業務性質、容易產生錯報的會計報表項目、容易受到損失或被挪用的資產等導致的風險，又受到內部控制風險因素的影響，如 賬戶余額或各類交易存在錯報，內部控制未能防止、發現或糾正的風險，還會受到注冊會計師實施審計程序未能發現賬戶余額或各類交易存在錯報風險的影響，因此，注冊會計師僅以內部控制測試為基礎實施抽樣審計就很難將審計風險降至可接受的水平，抽取樣本量的大小也很難說服政府監管部門和社會公眾。為了從理論和實踐上解決制度基礎審計存在的缺陷，注冊會計師職業界很快開發出了審計風險模型。審計風險模型是指"審計風險=固有風險×控制風險×檢查風險".在審計風險模型中，審計風險是由會計師事務所風險管理策略所確定的，謹慎行事的會計師事務所往往將其確定為較低水平，固有風險和控制風險則與企業有關，注冊會計師可以通過了解企業及其環境以及評價內部控制對兩者作出評價，在此基礎上確定檢查風險，并設計和實施實質性程序，以將審計風險控制在會計師事務所確定的水平。審計風險模型的出現，從理論上解決了注冊會計師以制度為基礎采用抽樣審計的隨意性，又解決了審計資源的分配問題，即要求注冊會計師將審計資源分配到最容易導致會計報表出現重大錯報的領域。從國外文獻看，早在1983年，美國審計準則委員會就把這一審計思想寫入了審計準則公告第47號，要求注冊會計師在充分評估固有風險和控制風險的基礎上確定檢查風險，最終將審計風險控制在可接受的水平。同時，還要求將重要性原則與審計風險模型一同運用，以降低審計風險，并明確注冊會計師應當承擔的責任。從方法論的角度講，注冊會計師以審計風險模型為基礎進行的審計可稱為風險導向審計方法（risk-oriented audit approach）。需要指出的是，由于英文用詞的不同，風險導向審計有時也被稱為“風險基礎審計方法（risk-basedaudit approach）”或“風險基礎方法（risk-based approach to auditing）”。

    本文將以審計風險模型“審計風險=固有風險×控制風險×檢查風險”為基礎進行的審計稱為傳統風險導向審計方法。

    職業界對傳統風險導向審計方法改進的探索

    按照傳統風險導向審計方法，注冊會計師是否實施審計程序，何時實施以及在多大范圍內實施，完全取決于對檢查風險的評估。注冊會計師在運用傳統風險導向審計方法時，通常難以對固有風險作出準確評估，往往將固有風險簡單地確定為高水平，轉而將審計資源投向控制測試（如果必要）和實質性測試。由于忽略對固有風險的評估，注冊會計師往往不注重從宏觀層面上了解企業及其環境（如行業狀況、監管環境及目前影響企業的其他因素；企業的性質，包括產權結構、組織結構、經營、籌資和投資；企業的目標、戰略以及可能導致會計報表重大錯報的相關經營風險；對企業財務業績的衡量和評價）；而僅從較低層面上評估風險，容易犯只見樹木不見森林的錯誤。也就是說，傳統風險導向審計方法注重對賬戶余額和交易層次風險的評估。但企業是整個社會經濟生活網絡中的一個細胞，所處的經濟環境、行業狀況、經營目標、戰略和風險都將最終對會計報表產生重大影響。如果注冊會計師不深入考慮會計報表背后的東西，就不能對會計報表項目余額得出一個合理的期望。而且，當企業管理當局通同舞弊時，內部控制是失效的。如果注冊會計師不把審計視角擴展到內部控制以外，就很容易受到蒙蔽和欺騙，不能發現由于內部控制失效所導致的會計報表存在的重大錯報和舞弊行為。因此，隨著企業財務欺詐案的不斷出現，國外一些會計師事務所在上世紀90年代對傳統風險導向審計方法進行了改進。改進后的風險導向審計方法具有以下特征：一是注重對被審計單位生存能力和經營計劃進行分析，從宏觀上把握審計面臨的風險；二是注重運用分析性程序，以識別可能存在的重大錯報風險； 三是在評價內部控制有效的情況下，減少對接近預期值的賬戶余額進行測試，注重對例外項目進行詳細審計；四是擴大了審計證據的內涵。注冊會計師形成審計結論所依據的證據不僅包括實施控制測試和實質性測試獲取的證據，還包括了解企業及其環境獲取的證據。

    職業界在對傳統風險導向審計方法改進的過程中，創造出一種新的方法，稱為風險基礎戰略系統審計方法（risk-based strategic-systems audit approach）。風險基礎戰略系統審計方法歸結起來有以下特征：（1）了解客戶的戰略性優勢。如客戶創造價值的計劃是什么？計劃是否恰當？相對于占有同樣資源的競爭對手，客戶的優勢在哪里？（2）了解威脅客戶經營目標實現的風險。如什么因素可能阻礙客戶創造既定的增值目標？哪些因素正在挑戰客戶的競爭優勢？風險管理、戰略管理和信息管理流程如何發揮作用？（3）了解實現戰略優勢所需的關鍵程序和相關勝任能力。如客戶必須擁有什么樣的勝任能力和流程優勢才能創造既定的價值？威脅流程目標實現的經營風險是什么？流程目標是否與戰略目標相一致？在控制流程風險層面，對流程風險的控制如何發揮作用？（4）衡量和評價流程執行情況。如是否有證據表明預期的價值確實被創造出來？亦即，與競爭對手相比，按照戰略目標，創造價值的流程是如何執行的？由于實現戰略優勢和有關流程的效率，賺取的超過正常水平的利潤是多少？（5）記錄所了解的客戶創造價值和產生未來現金流量的能力、流程分析、關鍵業績指標以及經營風險概率，通過建立全面的經營知識決策框架，對管理當局作出的認定進行職業判斷。（6）利用全面的經營知識決策框架對整體會計報表包含的關鍵認定進行預計。（7）將報告的財務成果與預期值比較，設計額外的審計測試工作以解決預期值與報告結果之間的任何差異。

    通過運用上述方法，注冊會計師可以獲取以下審計證據：（1）經營風險及其在缺乏適當內部控制情況下對會計報表認定的潛在影響；（2）經營控制風險及其對會計報表認定的潛在影響； （3）特定的會計報表認定，例如難以審計的會計估計和非常規交易所依據的計價和假設； （4）與處理常規交易相關的信息處理風險； （5）在企業層次，經營業績所實現的水平；（6）在業務流程層次，經營業績所實現的水平； （7）企業產生未來現金流量的能力； （8）企業報告盈利的質量和業績； （9）企業的價值。與傳統風險導向審計方法相比，風險基礎戰略系統審計方法獲取審計證據的領域更廣，但在執行審計工作時仍然保留了許多傳統做法，例如運用審計風險模型，按照風險評估基礎分配審計資源，實施審計程序，依據獲取的審計證據對會計報表形成意見；只不過后者將審計學、系統理論和經營戰略結合起來，更加重視企業面臨的風險。

    風險基礎戰略系統審計方法是對傳統風險導向審計方法的改進，兩者本質的區別在于審計理念和審計技術方法的不同。傳統風險導向審計方法通過綜合評估固有風險和控制風險以確定實質性測試的范圍、時間和程序，由于固有風險難以評估，審計的起點往往為企業的內部控制（如果沒有必要測試內部控制，審計的起點則為會計報表項目）； 風險基礎戰略系統審計方法通過綜合評估經營控制風險以確定實質性測試的范圍、時間和程序，審計起點為企業的經營戰略及其業務流程。如果企業的業務流程不重要或風險控制很有效，則將實質性測試集中在例外事項上。風險基礎戰略系統審計方法的優點是，便于注冊會計師全面掌握企業可能存在的重大風險，有利于節省審計成本，克服缺乏全面性的觀點而導致的審計風險。但該方法也存在局限性：一是會計師事務所必須建立功能強大的數據庫，以滿足注冊會計師了解企業的戰略、流程、風險評估、業績衡量和持續改進的需要；二是注冊會計師（至少對審計項目承擔責任的注冊會計師）應當是復合型的人才，有能力判斷企業是否具有生存能力和合理的經營計劃； 三是由于實施的實質性程序有限，當內部控制存在缺陷而注冊會計師沒有發現或測試內部控制不充分時，注冊會計師承擔的審計風險就大大增加。此外，由于審計準則的滯后性，風險基礎戰略系統審計方法的一些做法與審計準則有時會存在較大差異。因此，在審計準則修訂之前，一旦出現審計失敗，如果注冊會計師采用該方法，就很難保護自己。

    國際審計與鑒證準則理事會對傳統風險導向審計方法的完善

    職業界對傳統風險導向審計方法的改進，也引起了審計準則制定機構的關注。為了解情況，國外的審計準則制定機構于1999年成立了一個審計風險研究小組。2000年，研究小組得出結論，認為傳統風險導向審計方法對會計報表審計仍然是有效和適當的，但需要完善，以提高審計效果。研究小組同時建議準則制定機構根據研究結論修訂現行審計準則。在上述背景下，國際審計與鑒證準則理事會（IAASB）和美國審計準則委員會先后各自成立了審計風險項目小組，隨后又將兩個小組合并，以從源頭上實現國際協調。該小組于2002年10月發布了審計風險準則征求意見稿。2003年10月，國際審計與鑒證準則理事會在東京召開的會議上對征求意見稿進行了最后修訂，獲得委員會通過，2004年12月15日之后審計風險準則將正式施行。

    國際審計與鑒證準則理事會發布的審計風險準則包括以下修訂和新起草的準則：（1）會計報表審計的目標和基本原則（修訂）； （2）審計證據（修訂）； （3）了解被審計單位及其環境和評價重大錯報的風險（涉及合并《風險評估與內部控制》、《計算機信息系統環境下的審計》、《了解被審計單位情況》）；（4）注冊會計師對評估的風險的反應程序（擬訂）。其中，《會計報表審計的目標和基本原則準則》要求注冊會計師在執行審計業務時應當實現會計報表審計目標，并遵守基本原則； 《審計證據準則》要求注冊會計師充分利用認定，據以作為評估重大錯報風險，以及設計和實施審計程序的基礎；《了解被審計單位及其環境和評價重大錯報的風險準則》要求注冊會計師應當在充分了解被審計單位及其環境（包括內部控制）的基礎上，對會計報表總體層次和認定層次作出風險評估；《注冊會計師對評估的風險的反應程序準則》要求注冊會計師針對評估的風險確定總體反應，并設計和實施進一步審計程序的責任（審計程序的性質、時間和范圍）。

    （一）會計報表審計的目標和基本原則準則

    修訂后的《會計報表審計的目標和基本原則準則》從以下方面強調審計風險：一是要求注冊會計師應當保持職業懷疑態度計劃和實施審計工作，充分考慮可能存在導致會計報表發生重大錯報的情形；二是在計劃和執行審計時，注冊會計師既不應假定管理當局是不誠實的，也不應假定其是完全誠實的；三是修改審計風險模型，將固有風險和控制風險合并為重大錯報風險，審計模型修改為“審計風險=重大錯報風險×檢查風險”，以利于注冊會計師執行風險評估程序，使之更加符合審計的實際情況。

    （二）審計證據準則

    修訂后的《審計證據準則》要求從以下方面強調審計風險：一是注冊會計師應當充分運用各類交易、賬戶余額以及表達與披露的認定，作為評估重大錯報風險、設計與執行進一步審計程序的基礎；二是將注冊會計師獲取審計證據的程序區分為總體審計程序和具體審計程序，總體審計程序包括風險評估程序、控制測試和實質性程序，具體審計程序包括檢查記錄和文件、檢查有形資產、觀察、詢問、函證、重新計算、重新執行和分析性程序。

    （三）了解被審計單位及其環境并評估重大錯報風險準則

    修訂后的《了解被審計單位及其環境并評估重大錯報風險準則》從以下方面強調審計風險：一是風險評估程序以及有關被審計單位及其環境（包括內部控制）的信息來源。該部分規范了注冊會計師為 解被審計單位及其環境而應當實施的審計程序（風險評估程序），還要求在項目小組之間討論被審計單位會計報表存在重大錯報的可能性。二是了解被審計單位及其環境。該部分要求注冊會計師了解被審計單位及其環境，以及內部控制的組成要素的特定方面，以識別和評估重大錯報的風險。三是評估重大錯報的風險。該部分要求注冊會計師識別和評估會計報表總體層次和認定層次的重大錯報風險，考慮被審計單位及其環境，包括內部控制，以及會計報表中的各類交易、賬戶余額，以識別存在的重大風險。四是將識別出的風險與認定層次可能發生的錯報聯系起來，考慮風險的重大性和可能性。該部分也要求注冊會計師確定所識別的任何風險是否是需要特別考慮的重大風險，或是通過實質性程序本身并不能提供充分、適當審計證據的風險。注冊會計師還應當評價被審計單位針對這些風險的控制設計，并確定這些控制是否得以貫徹執行。五是與負責公司治理的機構和管理當局的溝通。該部分也涉及到與內部控制相關事項，需要注冊會計師與負責公司治理的機構和管理當局的溝通。

    （四）注冊會計師對評估的重大錯報風險實施的審計程序準則

    新起草的《注冊會計師對評估的重大錯報風險實施的審計程序準則》從以下方面強調審計風險：一是總體應對程序。該部分要求注冊會計師針對會計報表總體層次的重大錯報風險制定總體應對措施。二是針對認定層次的重大錯報風險實施的審計程序。該部分要求注冊會計師對評估出的認定層次的重大錯報風險設計和實施進一步的審計程序，包括測試控制的執行有效性以及實質性程序。三是評價所獲取審計證據的充分性和適當性。該部分要求注冊會計師評價風險評估的結果是否適當，并確定是否已經獲取充分、適當的審計證據。

    由此可見，國際審計與鑒證準則理事會通過修訂審計風險模型，強調從宏觀上了解被審計單位及其環境，以充分識別和評估會計報表重大錯報的風險，針對評估的重大錯報風險設計和實施控制測試和實質性程序，并強調無論內部控制是否有效，都要對各類重大交易、重要賬戶余額和重要披露進行詳細審計。上述審計風險準則糾正了人們對風險導向審計方法認識和實踐上的偏差，有利于注冊會計師提高審計質量，降低審計風險，是對傳統風險導向審計方法的完善。四、我們對風險導向審計方法的認識和采取的策略獨立審計準則是注冊會計師審計實踐的產物。西方發達國家制定獨立審計準則時間很長，形成了比較完善的準則體系，許多審計技術和方法成為國際慣例，而國際審計準則是國際慣例的集中體現。1994年，國際審計實務委員會（IAPC）完成并發布了一套核心國際審計準則。到目前為止，世界上許多國家和地區已經或正在將國際審計準則作為制定獨立審計準則的基礎。我國在制定獨立審計準則初始，就充分借鑒了國際審計準則和國際慣例，對國際上已有的成文準則、習慣做法、專業術語，如果沒有足夠的理由予以否定，都盡可能吸收借鑒。國際審計準則的基本原則和必要程序構成了我國獨立審計準則的基礎。因此，我國獨立審計準則是建立在傳統風險導向審計方法基礎上的，但需要完善。正如前面所分析的，以傳統風險導向審計方法為基礎制定的審計準則，本身還存在一定缺陷。如果將審計重點放在各類交易和賬戶余額，不從宏觀層面考慮會計報表可能存在的重大錯報風險，注冊會計師很可能只發現企業小的錯誤而忽略大的問題。特別是近幾年，國內外爆發了一系列上市公司財務欺詐案，促使我們對獨立審計準則的制定和實施認真總結經驗教訓。

    近兩年，我們也一直跟蹤國外職業界對風險導向審計方法改進的探索，并參與了國際審計與鑒證準則理事會修訂和起草審計風險準則的工作。我們認為，傳統風險導向審計方法已經不能滿足注冊會計師執行審計業務的需要，急需修改。國外職業界對傳統風險導向審計方法改進的探索，為注冊會計師從宏觀上把握審計風險提供了較好的思路，但本身還存在著缺陷； 而國際審計與鑒證準則理事會修訂和起草的審計風險準則不僅吸收了目前已有的研究成果，也克服了存在的缺陷，是對傳統審計風險模型和風險導向審計方法的完善，值得我們借鑒。

    基于上述認識，我們對獨立審計準則涉及的審計風險準則進行了研究，并對我國的審計環境進行了深入分析，確定了需要修訂和起草的獨立審計準則，并進行了初步的準備工作。需要修訂的審計風險準則包括《獨立審計具體準則第1號 —— 會計報表審計》、《獨立審計具體準則第5號 —— 審計證據》、《獨立審計具體準則第9號 —— 內部控制與審計風險》、《獨立審計具體準則第20號 ——計算機信息系統環境下的審計》、《獨立審計具體準則第21號 ——了解被審計單位情況》。修改的基本思路是：第一，起草一個新的審計準則（暫定名為《獨立審計具體審計準則第X號 —— 會計報表審計的目標和一般原則》來代替《獨立審計具體準則第1號 —— 會計報表審計》，明確會計報表審計的目標和一般原則，引進職業懷疑態度，合理保證和審計風險概念，修改傳統審計風險模型。第二，修改《獨立審計具體準則第2號 —— 審計證據》，引進各類交易、賬戶余額以及表達與披露的認定概念，作為注冊會計師評估重大錯報風險、設計和執行進一步審計程序的基礎，并將獲取審計證據的程序區分為總體審計程序和具體審計程序。第三，將《獨立審計具體準則第9號 —— 內部控制與審計風險》、《獨立審計具體準則第20號 —— 計算機信息系統環境下的審計》和《獨立審計具體準則第21號 —— 了解被審計單位情況》合并為《獨立審計具體準則第X號 —— 了解被審計單位及其環境并評估重大錯報風險》（暫定名），以明確注冊會計師的風險評估程序。第四，起草一個新的審計準則（暫定名為《獨立審計具體準則第X號 —— 對評估的重大錯報風險實施的審計程序》），解決對重大錯報風險的評估結果如何實施審計程序。此外，為保證審計風險準則落到實處，修改相關準則《獨立審計具體準則第8號 —— 錯誤和舞弊》和《獨立審計具體準則第6號 —— 審計工作底稿》。