出门前看天气预报，几乎成为大家每天的习惯性动作。
大家之所以会对天气预报产生依赖，一方面，因为天气对人们的生产生活影响较大，提前了解天气变化情况有助于日常决策，比如海洋天气预报对渔民出海打渔具有重要参考价值；另一方面，也因为天气预报变得越来越精准，对人们日常决策的参考和支持作用越来越大。过去的天气预报可能会预报某天是否有雨，现在的天气预报可能会预报几点到几点之间有小雨（或中雨、大雨、暴雨）。
天气预报及人们对天气预报依赖程度的变化，很容易让我们与日常审计工作联系起来，因为审计工作中关于风险预警的作用和天气预报的作用有异曲同工之妙。
一、
面对审计风险预警的三种态度
在近几年的审计工作中，我们注意到管理层和被审计单位（以下统称决策层）对于审计提示的风险有三种态度：
第一种是实事求是、理性应对，认真评估审计提示的风险，接受风险或积极采取措施去应对；
第二种是置若罔闻、视而不见，认为审计提示的风险是行业惯例、杞人忧天，或认为是小概率事件，存在侥幸心理；
第三种是讳莫如深、谈虎色变，不愿意去了解或过于害怕风险。
上述三种态度，第一种是审计人员最希望看到的态度，体现了审计风险预警的作用和价值。第二种、第三种都是审计人员不希望看到的态度，其中第二种态度让审计风险预警未起到应有的作用，第三种态度让审计风险预警反而起到了负面作用。
第二种态度比较常见。第三种态度虽不常见，但往往会产生较大影响和后果。比如，公司某种业务存在合规风险，审计作出风险预警后，决策层可能会限制该风险的知悉范围，让审计不去触碰该风险，这可能会导致该业务相关人员利用这一风险与管理层博弈，可能会让该风险变得更大或衍生其他风险；决策层也可能会因为害怕风险，一刀切地去停止开展该种业务，导致公司丧失一些重要的业务机会。
二、
三种态度背后的原因
决策层对审计风险预警之所以会出现上述三种不同的态度，除了与决策者主观上的风险偏好不同相关外，客观上与审计风险预警的程度也有关系。决策者主观上的风险偏好可由公司的风险管理理念和风险管理策略来影响，非审计部门所能直接影响；审计风险预警的程度则是审计所能影响的。
如果我们希望审计风险预警得到决策层的重视，我们应当学习天气预报的变化，让风险预警变得更精准一些。不仅要提示风险，也要提示风险可能造成的损失及风险发生的概率。但若想做到这一点，对审计部门和审计人员将是非常大的挑战。正因为风险造成的损失和发生的概率难以量化，导致审计人员预警风险和决策层依据风险预警行动均存在较大困难。
企业日常经营中，困扰较大的风险是合规风险。战略风险、经营风险虽然也非常重要，但企业往往有一定评估，基于评估有一定的容忍度。如果风险最终造成了损失，企业会吸取教训加以调整或改进。对于合规风险，往往是企业不愿意接受的。但对于合规风险，有些是监管明令禁止的，有些则是介于禁止和允许之间的灰色地带。
审计过程中会遇到一些常见的风险，比如税务风险、行政处罚风险、安全环保风险、上市公司监管风险等，由于法律政策规定与执法监督处罚不完全清晰或不完全一致，甚至不同地区、不同执法者对同一规定的掌握尺度存在较大差异，给企业决策、给审计风险预警带来了分析判断的痛苦。
以税务风险为例，作为审计人员，我们对税法条文可能很熟悉，但我们对税务局实际掌握的尺度可能不熟悉，审计中如发现企业某些业务或交易未缴纳或未足额缴纳税款，如何全面客观地揭示这一风险对我们可能是一个问题。
再以上市公司监管风险为例，很多集团公司旗下有1家甚至多家上市公司。作为大股东的集团公司，如何监督管理上市公司、维护大股东的利益，同时又不违反法律和监管规定，是一个值得研究的两难课题。目前，我国上市公司治理的水平总体上仍有很大提升空间（01年，南开大学中国公司治理研究院研究发布的中国上市公司治理指数平均值为64.05分，已创历史新高。年，该指数平均值仅为49.6分）。在这种背景下，集团公司对上市公司监管不力，会损害大股东利益；监管过度，可能会触碰监管处罚风险。
除了上述税务风险和上市风险监管之外，其他合规风险可能也存在类似情况。在企业经营过程中，合规风险除了监管部门主动检查之外，有时候还来自于内部人或知情人的举报。监管如重剑，轻易不出鞘，出鞘则需要有结果。但企业在经营过程中又很难方方面面都做到%合规。
三、
我们的应对策略
虽然审计要精准预警风险存在诸多困难，但既然过去我们认为不可预测的天气今天可以相对精准地预测，我们也应该推动企业去研究和建立风险预警体系。
首先，主观上要相信风险可以相对精准地去预警。
如果我们主观上都认为做不到，就不会去采取任何行动，也就不可能做到相对精准地去预警。当我们认为可以做到，就会千方百计、想方设法去获取预警相关的信息。
以税务风险为例，当我们发现这一风险后，我们可以向同行请教，可以了解过去税务局处理案例，可以咨询税务局专家或专业税务事务所等等。当我们了解了足够多的信息，对该风险的认识程度也就提升了，预警也能相对全面客观。
其次，要从决策有用的角度以终为始去预警风险。
审计预警风险，不是为了预警本身，更希望达到的目的是使预警风险能支持企业决策。预警风险的程度要以终为始去满足决策有用的原则，简单说当决策者看到审计预警的风险时，能依据风险预警进行决策，而不是看到风险预警认为是模糊的、笼统的，无法做出明确的决策。基于满足决策有用的原则，我们需要从风险可能造成的损失、风险发生的可能性两个维度去搜集更多信息。
第三，对于复杂的风险要抓住主要矛盾尽可能缩小影响的范围。
有些风险可能我们无法精准识别和计量，但我们可以缩小其影响范围。比如大家都知道乘坐飞机有风险，一旦出事故会危及生命，但当我们知道飞机出现事故的风险不到百万分之一时，我们可能会选择接受这一风险。同时，当我们研究飞机出现事故的原因，又可以发现遭遇恶劣天气或机龄过长的情况下出现事故概率增加，排出这些可以识别的风险，乘坐飞机的风险又会进一步降低。同样，对于一项业务的风险，我们可以对业务进行分析，像玩排雷游戏一样不断分析判断风险的位置，再评估其可能造成的损失和概率。即使暂时无法判断，也可将风险限定在一定范围内。
第四，要通过风险预警不断促进企业完善风险管理体系。
审计相对精准地预警风险虽然很有价值，但更有价值的是通过风险预警不断去促进企业由点及面地持续完善风险管理的体系。审计的资源和力量是有限的，需要通过体系这一杠杆实现由点及面的效果。
第五，要促进企业的风险管理工作由被动向主动转变。
对于企业经营中的一些灰色地带，尤其是一些创新业务，很可能是监管部门未考虑好如何进行制定监管政策，在这种情况下，企业可以主动与监管沟通或协同同业与监管沟通，实事求是地帮助监管了解情况，说明企业遇到的困难和问题，有条件的企业可主动参与到监管政策的制定过程中，将灰色地带明晰化，将被动接受监管、被动风险管理转变为主动合乎监管、主动风险管理。
风险预警是一项困难但非常有价值的工作，当审计风险预警的精准度越高，审计对决策层起到的参谋助手的作用也就越大。当审计预警的精准度持续较高，决策层对审计风险预警就会像人们对待天气预报一样产生依赖。当决策层离不开审计时，审计的地位、作用和价值也就毋庸置疑了。
精送您一把金钥匙，叩开快乐审计「十大派送」智库之门
华内部审计，让企业的「PDCA」循环更好更快地转起来
荟内部审计不仅需要大数据思维还需要发散思维萃浅谈内部审计工作沟通重要性的认识作者｜谢建中编辑｜杨雯越欢迎留言与我们交流如您希望朋友快乐，请他/她转载请注明：http://www.haboluoneia.com/hblnjj/8554.html
