从国际审计质量控制准则ISQM1探讨内部审计质量控制实施方案
摘要：2018年5月，习近平总书记在第一次中央审计委员会会议上指出，改革审计管理体制，组建中央审计委员会，是加强党对审计工作领导的重大举措……要努力构建集中统一、全面覆盖、权威高效的审计监督体系，更好发挥审计在党和国家监督体系中的重要作用。
内部审计作为企业风险管理框架的重要一环，是代表各利益相关方对企业经营进行监督管理的重要手段，对企业内部控制的有效性有极其重要的作用。纵观近年来国内外审计失败案例，我们发现内部审计的作用未能得到充分发挥。本文从审计质量的两个层面，发现问题能力和汇报问题能力出发，探究国际审计质量控制准则的最新规定，着重分析了内部审计质量控制的重要性，并借鉴框架的八个方面就提升内部审计质量提出实施方案的有关建议。
随着现代企业组织对内部控制重视度的逐渐提高，内部审计在企业风险管理框架中也占据了越发重要的地位，但是近年来，我们也留意到很多内部审计失效、内控缺失的案例，作为企业风险管理“三道防线”之一的内部审计未能充分发挥其应有的功效。内部审计失败案例说明，内部审计的质量控制未得到有效的关注，且缺乏完整系统的质控框架体系。
审计的质量控制并非新兴概念，而是早在1981年就被学者广泛提及，国际审计与鉴证准则协会也对审计的质量控制做出了明确细致的规定，但是针对内部审计的质量控制却一直未得到专门的规范。
一、审计质量的概念
1981年，学者Linda DeAngelo在学术期刊Journal of Accounting and Economics发表了名为Audit Size and Audit Quality的论文，其中对审计质量进行了首次定义，她将审计质量拆解为两个部分，分别为审计业务能力和审计师独立性，分别代表审计师发现问题的能力和汇报问题的能力。财务（外部）审计是一项针对财务报表真实公允性提供合理保障的鉴证业务。因此发现财报方面的重大错报是审计项目最重要的一项任务。内部审计也是鉴证业务的一种，但其目的就显得更为丰富，鉴证的对象不再是财报这一项内容，而包含了企业的运营、内控、治理等多个层面。对于外部财报审计的质量控制已经有比较成熟的框架，对于事务所层面有ISQM1[1]进行规范，而对于项目层面则有ISA220[2]号准则予以约束。对于内部审计的质量控制则缺乏比较成熟、成体系的框架。
二、审计失败的原因探究
纵观国内外各类审计失败案例，审计质量得不到保障的主要原因集中在以下几个方面：
（一）审计师没有保持应有的独立性
由于审计项目的持续循环发生，审计师与被审计单位建立了较为持久的业务关系，如果没有轮换机制，则很容易影响审计师的独立性和客观性。在开展项目过程中，由于长期建立的合作关系，也容易形成过度自省而缺少应有的职业敏感性和职业审慎性，而这一点在内部审计中尤为突出。内部审计部门内嵌于组织内部，其独立性和客观性本身就受到极大威胁。
（二）风险评估不彻底
根据审计风险模型，如若对被审计单位的内生风险(Inherent Risk)、控制风险(Control Risk)没有一个准确和深入的判断，审计质量很难保证。而在过去的审计失败案例中，我们发现审计团队往往缺乏对被审计单位的深入分析和认识，低估了其风险水平，忽视了重大的内生风险。对于控制风险，由于审计项目目的的不同，内部审计对其的重视程度往往高于外部审计，外部审计重视对财务数据的真实公允性发表意见，却容易造成对控制风险的轻视。根据“木桶原理”，只有对控制的薄弱环节进行充分评估，才能从根源上提升发现问题的能力。
图一：审计风险模型
（三）审计资源配置不合理
审计人力资源的合理配置也影响了审计质量，在搭建审计团队时，缺乏知识结构的互补性、人员能力的充分性的考虑，则容易形成“战力低下”的情况。随时审计科技手段的逐步提升，CAAT和Data Analytic 的使用，对审计人员的职业素养也提出了更高的要求，现在比较普遍的现象是科技手段的使用能力与行业经验在一个审计人员上无法并存。很多具备丰富审计经验的审计员，由于年龄原因或者是对审计手段认识的固化，对审计科技的使用则比较陌生，但是熟悉科技手段的审计人员往往因为从业年限的原因，缺乏经验。在审计资源配置中，如果缺乏对经验和技术的权衡考虑，则必然影响审计项目的效率和效果。
（四）缺乏职业审慎性和怀疑态度
审计人员缺乏怀疑态度，容易造成对重要审计线索的忽视。2003年3月18日，美国医疗保健公司—南方保健爆出会计造假丑闻。该公司在1997至2002年上半年期间，虚增了24.69亿美元的利润，而该期间实际亏损约1000万美元。南方保健使用的主要造假手段是通过应收款内部过渡账户进行利润操纵，其高管人员毫无根据地贷记应收款内部账虚增收入，蓄意调节利润。在该案例中，审计人员缺乏对应收款余额巨大波动的关注，更没有对收入的真实存在性去进行检查，缺乏应有的职业审慎和怀疑。
（五）审计程序设计与执行的问题
一个好的审计项目固然离不开一个完备的审计计划，但与此同时，审计计划的执行同样重要。在2019年的康美药业的审计失败案例中，其审计师正中珠江没有发现重大银行存款造假风险事件，不禁让我们怀疑最基本的函证程序是否执行。根据证监会最终的调查结果，该公司通过虚假银行凭证虚增现金银行存款金额高达300亿人民币，由此可见审计过程中程序的缺失，最终的审计结果根本没有充分且恰当的审计证据支撑。
根据审计风险模型，审计证据的充分性和恰当性主要是由审计项目的发现风险（Detection Risk）决定，而发现风险则是由审计样本抽样和审计程序实施决定的。只有对被审计事项进行充分抽样，审计样本对总体具有较高的代表性并且执行全流程的审计程序，才能够一定程度上确保审计证据的完整获取和审计项目的质量。
三、内部审计质量控制的意义
内部审计的职责是为企业的风险管理情况、治理情况和内部控制执行的有效性提供的鉴证业务。因此内部审计与内部控制息息相关。加强内部审计的质量控制对于企业的经营发展具有十分重要的意义。
第一，提升内部审计项目质量，有助于优化企业内控流程。内部审计通过对企业内部控制流程涉及与执行的监督，畅通信息沟通渠道，提升管理层经营决策的准确度和及时性；
第二，有利于优化企业经营结构，发现舞弊，使企业良性运作，有助于实现企业的最终经营目标。
第三，有助于降低经营风险，内部审计通过对企业治理、经营、风险管理的实时监控，及时提示风险，防范舞弊，从而降低企业的经营风险。
四、目前内部审计质量控制的现状
（一）内部审计机构职能定位不明确，独立性不足、监督作用有限
对于设置在组织企业内部的内审部门，独立性的保持是最大的挑战。国际上通用的做法是采用“双线汇报”机制，但是这种做法有很大的局限性，仍然不能很好地保持独立性。而国内很多组织企业试图通过组织架构的方式，采用“垂直管理”提升独立性。但是事实是，内审部门作为组织企业的一个组成部门就天然不具有独立性，即使是“双线汇报”，其上级汇报机构—审计委员会依然存在独立性不足的问题。
（二）内部审计项目缺乏质量控制理念，重视度不足、体系不健全
内部审计在国内的企业管理中本身存在起步晚的特点，对于其质量控制则更是缺乏一套完整的体系。近年来，对于内部审计的质量控制，已经提出了从“事后”向“事前”“事中”推移的理念，但是执行方面却存在难以执行或者执行不到位的情况。
（三）对职业道德缺乏高标准的统一要求和应有的重视
在国际上，对于审计师、律师、投资分析师等专业人士的职业道德的重视程度很高，且在专业能力之上，但是我们国内的情况就存在一定的差异，多是将专业能力和管理能力放在选人用人的首位。而审计人员由于工作性质的敏感性，如果缺乏基本的忠诚度，很容易受到经济利益的诱导，而丧失职业操守。但是，从企业人力资源管理的现状看，目前很多企业没有很好的方式去衡量专业人员的职业道德水平和忠诚度，且需要很长一段时间的观察和考验，而日常的培训宣导中也存在“重专业，轻道德”的情况。
另外，对于内控体系不健全，执行不到位的企业，对于审计人员的失职或渎职行为则缺乏完整健全的惩罚体系，或是制度流于形式，形同虚设，形成了管理的盲点。
五、国际审计质量控制准则框架
2019年2月，国际审计与鉴证准则委员会发布最新的国际质量控制准则征求意见稿，帮助事务所设计、实施和运营质量控制框架。
图二：国际审计质量控制框架
（一）治理与领导力
治理和领导力作为ISQM质量控制框架的上层建筑，是决定审计质量成败的前提，只有企业中建立严禁而完善的公司治理体系，才能确保企业管理层与投资人的目标一致性，避免代理矛盾的产生。在国际上有很多公司治理法令值得借鉴，最常用的包括OECD的公司治理六原则，强调公开透明、对市场的公平对待、禁止内部交易、保护投资者利益、识别利益相关者的权益并予以保护，及时准确的信息披露等。英国公司治理法案也就董事会的分工与职责、审计与内控、风险管理、薪酬管理等提出了指导性的意见。
（二）职业道德规范
职业道德规范一直是一个容易被忽视的话题，因为它是无形的，难以落到实处。但是纵观近年来发生的舞弊案件，往往不是企业的内部控制出现的漏洞，而是人员的职业道德极大地被侵蚀。前文说到，审计质量分成了两个方面，一是发现问题的能力二是汇报问题的能力。从过往的审计风险案例中，我们也不难发现，随着审计技术日新月异的发展，审计发现问题的能力也得到了极大的提升，但是审计的独立性和客观性却难以保持，内部审计的独立性和客观性也常常被诟病。在现代商业关系中，保持绝对的独立和客观难以达到，甚至是无法做到，但是我们却可以将风险降到最低，我们可以通过分析我们的职业道德究竟受到了哪些威胁，从而有的放矢地去解决这些威胁。
审计人员的职业道德规范有五大基础性原则，包括诚信、客观、职业能力和应有的关注、保密性和职业行为。如果是审计人员本身的诚信有问题，就需要通过培训等方式，对其诚信进行后期塑造和保持。如果是由于特殊亲属关系导致无法客观，应该做好亲属关系或其他利益关系的充分披露，并回避相应审计项目。
（三）接受与延续开展项目
在开始一个审计项目或者延续开展审计项目时，审计团队应该充分考虑被审计单位的情况，有没有哪些情况会影响审计质量，比如过高的内生风险、内部控制的缺乏、与审计团队极不匹配的风险偏好等。
（四）项目绩效与激励
为保证审计项目的质量，适当的激励和合理的绩效指标的设定也是必须的。绩效激励对于审计项目的实施提供了内生动力。恰当的项目绩效激励有利于提升审计人员发现问题的能力和进而达到确保审计项目实施质量的目的。
（五）资源配置
分配适当和充足的审计资源，是审计质量的重要保障，其包含了人力、时间、科技、物质等资源的投入，在综合分析审计项目的实施难度、重要性等因素的基础上，科学分配审计人力资源，设置审计项目的时间及开展的方式（现场、非现场），采用适当的技术手段，有助于保证审计项目的质量。
（六）信息与沟通
信息与沟通是2019年ISQM新增的内容。框架强调审计团队内部和项目过程中的信息沟通，应采用双向沟通机制，保证审计项目信息上传下达，发现问题的及时汇报。
（七）风险评估流程
风险评估是2019年ISQM新增的内容。强调风险导向审计一直是近年来审计工作的风向，审计的质量控制也需要以风险为导向，具体内容包括根据审计项目质量控制的目标，识别出质量控制的风险，并针对这些风险设计和实施相应的应对措施。关于审计项目质控的目标设立和分解，框架强调了“自上而下”的流程，也就是通过对企业经营目标的确定，进而确定审计项目的目标和质量控制的目标，层层分解。
（八）监督与整治
质量控制从来不是一个静止的流程，而是一个循环往复的闭环。因此质量控制离不开适当的监督与整治。框架强调主动监督，覆盖项目的全方位、全流程。对于质控过程中的监督发现，应该进行系统的分析，将正面和负面的发现进行分类，再来看其中是否存在缺陷，并需要对缺陷的根源、严重程度和影响的广泛程度进行系统的分析，从而找出应对方式，并作为建议提出，以便在今后的项目中不断改进。
六、对于内部审计质量控制框架搭建的建议
根据国际审计与鉴证准则委员会最新的质量控制框架，企业可参照开展内部的风险评估，识别并评估对审计质量提升存在威胁的重要风险，有针对性的设计提升审计质量的方案。对于内部审计的质量控制，依然可以分为内部审计项目的质量控制及内部审计部门的质量控制两个方面。
（一）内部审计部门的质量控制
在内部审计部门的质量控制方面，可以参考前文所述国际审计质量控制框架的8个方面搭建一个质量控制的体系。
1.提升治理层和领导层的重视度，从上层建筑上形成重视质量控制的基调和氛围。另外，放眼整个组织，也应该形成一整套符合国际标准的公司治理体系，加强审计委员会的独立性，强调信息公开透明，从根源保护各利益相关方的权益。
2.强调审计人员职业道德规范，加强日常的培训宣导，定期通过专题的形式，对审计人员的职业道德情况进行监督和评价。充分调查审计人员背景及与被审计单位的亲属关系，确保审计人员的独立性、客观性得以维护。
3.制定审计项目计划时，充分考虑项目的风险，评估项目难度，充分考虑审计团队的精力，合理安排项目工作量，从而保证项目开展的质量。
4.通过调研分析，科学设定项目绩效激励方案，差异化设置不同审计项目、问题严重程度、风险程度的绩效权重，形成一套灵活、科学、积极的绩效激励体系，提升审计项目开展的内生动力，提升审计人员发现问题的能力。
5.优化资源配置，合理使用各项审计科技手段，以风险为导向，合理安排审计项目时长和审计项目开展方式。
6.建立信息沟通机制，打通信息沟通渠道，形成审计部门内部以及审计项目过程中的双向沟通机制，丰富沟通形式，提升沟通效率。
7.强调风险评估的重要性，通过专门团队，对审计质量实施的风险进行识别分析，并根据风险高低区别处理，通过风险评估有针对性的设计和实施有关应对方案和措施。
8.积极主动监督，对监督发现进行广泛收集和精准分类，识别发现中涉及的缺陷，分析缺陷根源和严重程度，提出有关改进建议，并形成改进方案，广泛应用到审计项目中。
（二）内部审计项目的质量控制
国际审计准则220号对审计项目层面的质量控制提出了要求，从职责、道德、资源和流程管理方面加以规范，比照国际审计准则的有关规定，内部审计项目的质量控制亦可从以下几个方面进行提升管理。
1.明确各层级管理责任
审计项目内部存在比较完备的组织架构，这也是出于保证审计项目质量的角度考虑的，通过层层审核、多人校验的审计结果的取信结果更高。但是任何控制手段都存在缺陷，而这种缺陷很大程度是由于管理层越位（management override）导致的,如果项目的各层级管理人员无法起到应有的作用，对于审计项目的质量是有极大的威胁的。因此，为了确保审计项目的质量，一方面需要明确各层级的管理责任，明确其职责范围，而另一方面则需要杜绝和防范管理者履职不到位导致的实际控制缺位的情况。
2.提升审计人员的职业道德水平及胜任水平
如前文提到，无论是从内审部门（机构）或是从内审项目来看，审计人员的职业道德水平均应得到应有的重视和关注，提升审计人员的职业道德水平为确保审计项目质量提供了天然屏障。
另外，审计人员的知识结构和胜任能力也需要充分了解，并在组建审计团队时进行合理配置，提升审计项目的质量，确保审计计划的优质完成。
3.加强项目全流程管理
根据框架，对于审计项目质量控制需要更加积极主动的监督管理，因此落实到项目层面则需要全流程的管理。
项目开展前，需要制定详尽的项目计划，项目管理层需要落实对审计人员的指导，以便达到审计项目的目标；项目过程中，项目内部需要一定层级的监督及现场指导咨询；项目完成后，需要对审计项目进行及时回顾，审核审计工作底稿的质量，监督审计报告的完成情况，并与审计计划进行比对，确保预定的目标得以完成。
综上所述，内部审计的质量控制对于企业组织的经营管理有着至关重要的作用，它直接影响了内部审计的成效和内部控制的作用。要提升内部审计的质量，我们不仅需要从上层建筑上提升领导层和治理层的重视程度，规范各层级的管理责任，也要从执行层面，以风险为导向，有针对性地应对审计质量的威胁因素，最后也需要不断提升审计人员的职业道德素养，提升职业敏感性和保持职业审慎态度，才能从审计发现问题和提出问题的两个主要方面确保审计质量。
参考文献：
[1]韩兴国、许鑫,企业的内部审计质量控制问题及对策研究，[J],价值工程，2020(19)，70-72,
[2}Linda DeAngelo,Audit size and auditquality,Journal ofAccounting and Economics, Volume 3, Issue 3,1981(12),183-199
[3]ISQM1 Explanatory Memorandum,IAASB，February 2019
[4]武晓璐,国企内审质量控制问题及思路微探,财经界，2020[8],211-212
[5]张苗,我国上市公司内部审计质量的影响因素及对策研究,商场现代化,2020[18]，109-111
[6]李曼,内部审计质量的衡量-影响因素和效果,审计广角，2020[20]，21-25
[7]王妮,浅谈影响内部审计质量的因素及对策,财税金融，2020，27,67-68
来源：审计之家
附件下载:
