甘肃移动是中国移动有限公司全资子公司，于2004年在香港及海外上市，作为一家海外上市电信企业，企业所涉及的风险领域十分广泛，包括经营风险、法律风险、人力资源风险、建设项目投资风险及财务风险等，开展内部审计工作要在对企业环境和经营活动进行全面分析的基础上，运用审计风险模型，积极而有效地采用分析性审计程序，以规避风险。笔者拟通过甘肃移动对风险导向审计进行研究，探讨风险导向审计在通信企业风险管理中的应用，并针对存在的问题提出对策。

　　一、风险导向审计在通信企业风险管理中的意义

　　2004年9月29日，美国COSO委员会发布了《企业风险管理框架》(《Enterprise Risk Management-Integrated Framework》，即ERM-IF)，提出了风险管理的五要素：即控制环境、风险评估、控制活动、信息与沟通、监控，为董事会与管理层识别风险、规避陷阱提供了清晰的指南。企业风险管理是发现和了解企业中风险的各个方面，并付诸行动，帮助企业实现战略目标、减少失败的可能、强化机会的利用，降低不确定的经营结果的整个过程。风险导向审计是在账项基础审计和制度基础审计上发展起来的一种新审计模式，是指审计人员在对被审计单位的内部控制充分了解和评价的基础上，判断、分析被审计单位的风险所在及其风险程度，通过审计风险模型对风险进行量化，把审计资源集中于高风险领域的审计模式。风险导向审计在通信企业风险管理中具有重要意义：

　　(一)完善通信企业内部控制体系。内部控制是管理现代化的产物，内部控制的产生与发展促使审计技术和方法体系从纠错审计发展成为以内部控制评审为基础的抽样审计。当代主流的制度导向审计模式及其最新发展——风险导向审计模式，都与内部控制紧密联系。内部控制活动始于风险评估，通过评估识别公司各业务单元、重要业务流程及各项重大经营活动风险，并针对评估结果采取适当的控制活动。随着通信企业规模的不断壮大、业务的不断更新，通信企业内部控制体系的不完整性和失效性日益显现，风险评估有助于完善通信企业内部控制体系。

　　(二)有助于通信企业实施全面风险管理战略。过去，审计人员经常运用良好的职业判断、常识、来关注高风险领域，而不需要太多的审计分析，现在的审计人员要运用前后一致的方法来理解和评估审计风险，包括与单个被审计机构有关联的风险以及整个组织所面临的整体风险。通信企业可运用风险管理的方法和程序，通过审计长期规划与年度计划的实施，定期识别、评估剩余风险、高风险，使全面风险管理步入持续监督和改进的常态化工作轨道，在全面风险管理战略中发挥作用。

　　(三)提高通信企业内部审计工作效率，降低审计风险。风险导向审计为通信企业提供了一种既能降低审计风险又能提高审计效率的新思路。它要求在评价通信企业的控制环境、考虑财务报告发生重大错报风险的基础上建立审计目标，然后根据审计目标确定实施审计的范围，可避免低风险审计项目的审计过量和高风险审计领域的审计不足的问题。在风险审计模式中，对被审计单位内部控制的研究与评价、分析性复核等均属于效率较高的审计方法，可以有效地降低审计风险，减少效率较低的细节测试工作。虽然风险导向审计理论和实务尚不成熟，但已经引起国际、国内职业界的注意，国内许多上市公司、国有企业、民营企业已结合实际开展风险导向审计并取得了初步成效。

　　二、风险导向审计在甘肃移动的应用

　　为了抵御来自内部、外部的各种风险，甘肃移动在风险评估、SOX法案遵循、领导干部监督、建设项目、运营管理等方面开展风险导向审计工作，产生了显著效果。

　　(一)开展风险评估工作，建立了以风险为导向的内部审计机制。根据有限公司统一部署，甘肃移动每年要开展内部审计风险评估工作，通过对公司战略层面及业务流程层面风险点进行评估，识别公司各业务单元、重要业务流程及各项重大经营活动在战略和业务流程两个层面中的风险，分析风险发生的可能性，评价风险对公司实现目标的影响程度，确定公司面临的重大风险和高风险领域。在公司战略层面，主要针对企业所面对的战略性风险进行评估。评估内容主要包括：从外部对企业在政治、经济、社会及技术上的优势、劣势、机会和威胁等进行分析，从内部对企业治理机制、经营活动的特点等进行分析，找出企业在组织结构、目标设定、战略计划等方面的相关内部控制，分析外部和内部战略性风险。在业务流程层面，主要针对企业在运营中主要的策略与监察管理机制、核心业务流程和资源管理机制三个层面所面对的各项潜在风险进行评估。通过此项工作，为编定审计工作中长期规划及年度审计工作计划提供了有力依据，也为企业内部审计工作由传统审计向风险控制审计的转变奠定了基础。