一、商业银行审计风险的分类
商业银行审计风险分为固有风险、控制风险和检查风险三类。其中：固有风险是指商业银行在没有内部控制的前提下，某一经营业务环节出现重大违规问题的可能性。商业银行的固有风险较高，并且体现在经营、管理、操作等各个环节中，这是由其本身经营项目特殊性和经营手段所决定的。控制风险是指商业银行的某一业务环节存在重大违法违纪问题，而未被内部控制防止、发现和纠正的可能性。商业银行审计的内部风险从实质上说就是银行内部控制实施有效性的问题。由于长期以来，我国的商业银行员工的整体素质不高，各层级领导的职权过于集中，使得商业银行的内部控制效果不明显，因此形成较高的控制风险。检查风险指商业银行的某一业务环节存在重大违法违纪问题，通过审计未能发现，并出具了错误的审计意见的可能性。检查风险是唯一可以由审计人员进行控制的风险，控制商业银行审计的检查风险是控制审计风险的唯一途径，也对最终形成审计意见起着重大作用。
二、商业银行审计风险的构成要素
商业银行审计风险是由多种因素共同作用形成的，既有人员素质、管理、审计质量等因素，也有审计方法和审计技术的因素。具体来说主要有以下几个方面：
1.审计人员风险意识淡薄。只要有业务经营，就会有风险，风险是客观存在的，它时刻存在于商业银行各种项目审计的过程中，审计风险是无法消除的。对近年来的商业银行审计结果进行分析并对内部控制执行的结果进行观察，目前虽然还没有发现由风险导致局部工作被动或引发损失的案例，但是对已审计项目进行反思与回顾发现，部分审计项目仍然存在着审计风险隐患和部分风险漏洞。这些审计风险事项产生的原因一是没有健全完整的风险管理体系，二是缺乏对风险防范和控制的技术方法，三是审计人员没有在思想观念和意识上引起足够的重视。
2.审计的方式、方法不先进。一方面，现代商业银行审计的重点已经转向内部控制审计和经营风险审计，但是现阶段很多商业银行的审计仍然停留在对银行日常经营业务的常规审计上，还是以查证账表为主，没有对风险控制因素进行充分考虑，这就加大审计风险。另一方面，现代商业银行的信息化程度提高很快，审计技术无法适应商业银行审计需求；对商业银行的风险因素控制不力，准确判断的水平不高，实质性测试的重点和范围的选取存在一定的问题，审计中样本数量抽取有限，增大审计风险；少数的审计人员并没有严格的执行审计准则，个别商业银行忽略重要的审计步骤，导致审计记录不完整、不细致，审计风险增大。另外，广泛开展计算机审计后，审计软件开发的速度较慢，对后台数据备份、转换的时间较长，影响审计工作开展的效率。
3.审计人员的专业技术水平结构和层次单一。现阶段，在我国的审计机构中有较高的审计和金融知识水平以及多年银行审计工作经验的专业人员，但占比较小。部分从事过多年审计的人员虽然具有审计经验，但是没有扎实的金融知识结构，面对现代商业银行新业务的增加和新产品的出台，会感到力不从心。其次，当前银行业务日新月异，部分审计人员没有及时更新相关知识，涉及理论和审计实务存在较严重的脱钩现象，宏观把握能力不强，综合分析能力较弱。再次，审计人员的适度流动和相对稳定的关系没有处理好，审计人员缺乏稳定性。
4.审计工作程序不规范。从审计的立项到审计的开始、审计报告的提出，整个审计过程包括审计的准备、审计的实施、出具审计报告、审计的终结以及审计跟踪等环节，实际操作中在任一环节出现不规范的行为，都有可能产生审计风险。从现阶段商业银行的审计过程看，存在对审计程序不重视的情况，主要表现为：实施审计前没有进行充分的调查，审计的实施方案缺乏合理性和针对性，对内控测试、重要性水平的认识不足等。
5.缺乏审计质量控制标准。有效、完整的审计质量控制体系可以规范审计行为、增强审计人员的责任意识和质量意识，对审计风险的降低起着保障作用。当前，审计部门已经建立国家审计准则、专业准则、通用准则、操作指南等相关的审计质量控制标准，但是以上标准定性内容较多，定量内容较少。一方面，没有对重要性水平、风险的评估标准和符合性测试的方法步骤等制定出科学合理的标准。另一方面，质量控制失去应有的作用，有些项目的审计质量问题只有到出现问题时才被会发现，质量检查制度不够完善。
6.内部审计独立性不强。目前不少商业银行已建立相对独立的审计体制，实行总行垂直管理或“派出”、“交流”制度，部分商业银行内部审计部门在组织结构上仍未完全独立，审计人员的组织关系、经济关系等隶属于驻地分支行，审计人员在执行审计工作的过程中仍有后顾之忧，以致发现问题后不愿或不敢毫无保留地报告，从而形成审计风险。
三、商业银行审计风险的控制措施
1.强化商业银行审计风险防范的研究。加强对商业银行审计风险防范的研究，增强审计风险意识，主要是提高对商业银行审计风险防范的重要性和必要性的认识，银行是高风险的行业，外部监管、经营环节对银行强化风险防范、提高内控能力提出全新的、更高的要求，面临更大的风险，这就迫切要求商业银行重视审计风险防范的研究。
2.增强风险防范意识。一是提高对审计客体和审计环境的风险意识，由此客观原因引发的风险难以控制，审计人员要有足够的认识，一方面研究我国金融业的宏观政策，与国外金融业进行比较，发现其风险环节所在。另一方面要研究具体审计对象的管理和经营体制，对其内控环节及制度的完整性和有效性进行评估。二是加强对审计主体的风险控制，防范和控制审计风险的关键在于审计主体，即被审对象采取的主动对策，如在审计机关内部建立健全业绩评价制度，有利于识别和预警审计风险，从而在一定程度上降低审计风险。
3.以内部控制的监督检查为基础，促进银行风险控制体系的完善。面临新的国内外经济环境，商业银行应建立一套新的审计风险管理规范，其中第一条应是加强内部审计工作的组织领导，增强其独立性，各商业银行总行应严格按照《中国人民银行内部审计工作制度》要求，切实加强对内部审计工作的指导，支持内部审计人员大胆有效地展开工作，在分配内部审计任务时，尽量避免实际存在的和可能出现的利益冲突，与此同时，建立、健全内部审计法规，合理界定内部审计的职责。此外，为有效降低内审风险，必须严格界定会计责任与内部审计责任，有效规避因责任划分不清而使内审人员遭受的风险。
4.严格执行审计程序，规范操作行为。在商业银行业务范围不断扩大，金融创新不断发展，金融衍生产品不断增多的今天，要控制好审计风险，必须不断加强审计机关的自我约束，严格执行审计程序，规范操作行为，其主要措施就是对审计工作的各个阶段严格把关，审前调查要充分，审计方案的制订要具有针对性，在审计实施过程中要充分运用重要性水平分析和内部控制测试方法，使审计实施过程更具有针对性，在提高审计工作效率的同时降低审计风险，实现对审计过程的全流程质量控制。
作者：杨虹蛟 单位：中国建设银行云南总审计室
