近年来，随着高等学校由外延式发展向内涵式转变，高校之间的竞争日益激烈，高校办学风险也日益增加。《第2201号内部审计具体准则内部控制审计》及《行政事业单位内部控制规范(试行)》的颁布实施，以及《内部审计基本准则》将内部审计定位为帮助组织完善治理、增加价值，意味着内部审计的范围进一步扩大，在高校开展内部控制审计已成为必然。构建以风险为导向，以控制为主线，使内部控制与风险管理充分融合，以提高高校发展质量和办学水平，以增值和善治为目标的内部控制审计新形式已成为高校强化内部控制和健全风险防控体系的重要手段。
一 风险导向内部控制审计概述
内部控制审计从控制环境着手，在对组织层面风险识别的基础上，重点关注业务层面的内部控制，真实、客观地披露组织管理的风险状况，如实反映内部控制设计和运行的健全性和有效性。内部控制审计关注的是组织内部的控制风险。而风险导向审计从风险管理的角度出发，通过风险识别，分析影响组织的战略发展目标、内外部环境的固有风险和控制风险，进而提出风险管控措施。风险导向审计不但关注组织内部的控制风险，还关注影响组织目标实现的外部环境风险。将风险导向审计方法引入内部控制审计中，可以在保证审计结果准确的基础上提高审计效率，为组织完善内部控制制度、加强风险管控提供增值服务。
创新审计技术和方法，将风险导向审计方法引入高校内部控制审计具有十分重要作用。
(一)有利于促进高校完善内部控制
高等学校内部审计机构依据《行政事业单位内部控制规范(试行)》，对高等学校组织层面和业务层面内部控制设计与运行的健全性和有效性等情况进行审查和评价。根据内部控制审计结果，结合相关高校管理层的自我评估，综合分析后提出内部控制缺陷认定意见，按照规定的权限和程序进行审核后予以认定，有助于高校管理层改善控制环境，完善高校内部控制。
(二)有助于高校改善风险管理
风险导向内部控制审计以风险评估为基础，关注高等学校内部重要业务单位、重大业务事项和高风险领域的内部控制，以及外部环境变化对高校发展目标的影响。根据风险发生的可能性和对高校单个或者整体控制目标造成的影响程度，确定内部控制审计的范围和重点，真实、客观地揭示和反映管理中的风险状况，达到高校强化风险防控的目的。风险导向内部控制审计把审计资源集中于被审计单位的高风险审计领城，针对被审计单位的不同风险因素状况、影响程度采取相应的审计策略，因此高校内部控制审计引入风险导向审计方法具有十分重要的现实意义。
1.扩大了审计对象的范围，更加注重增加价值功能。风险导向内部控制审计将高校内部审计对象置于高校发展的大环境中，从高校办学层次和定位、监管环境、学校及下属部门的战略规划、教学科研目标和教辅及行政管理业务流程等内外部各个方面因素来分析评估风险，运用全方位立体观察法来分析判断影响高校发展目标实现的各种因素。风险导向内部控制审计以风险为出发点，通过审计，发现内部控制的薄弱点，提出改进内部控制的方法和措施。将事后评价转变为更为及时主动的事前、事中监控和事后的动态反应，审计目标也将由过去被动地查错纠弊，变为积极主动地帮助高校管理层健全内部控制制度和完善管理，更加注重与高校发展目标的契合。
2.注重全面识别风险、评估和改善高校管理风险。采用风险导向内部控制审计，内部审计人员可在全面熟悉高校教学、科研及内部管理过程的基础上，对高校风险全过程进行监督，有利于全面识别高校管理和发展风险。同时，把高校管理与发展风险植入到审计风险本身的评估中，采用各种定性分析和定量测算等技术手段，综合评价风险事件发生的可能性以及潜在影响等因素，有利高校提升抵御风险能力，完善高校风险管理预警体系。
3.节约审计资源，有利于提高审计工作效率。高校推行风险导向内部控制审计，有效地改进了对高校内部控制的监控方式，抓住了审计重点，恰当、合理地分配了内部审计资源，使得更多与风险管理相关的控制和活动得到关注，有利于审计人员将审计手段与审计目标更好地结合在一起，提高内部审计的科学性、针对性和绩效性。因此，风险导向内部控制审计提供了一种既能节约审计资源、保持审计效果，又能提高审计工作效率的有效途径。
二 目前高校开展风险导向内部控制审计的现状
(一)对风险导向内部控制审计不够重视
第一，高等学校内部控制基础比较薄弱。《行政事业单位内部控制规范(试行)》虽然已经颁布实施，但高等学校各级领导干部对《行政事业单位内部控制规范(试行)》不甚了解，许多高校内部控制制度只针对会计部门，而管理决策层和其他相关部门不受内部控制制度约束，内部控制制度基本上也就是内部牵制制度和一支笔审批制度，存在头痛医头，脚痛医脚的现象。由于对内部控制认识的片面和了解不深刻，高校的内部控制制度尚未形成体系，缺乏系统性。部分高等学校也在着力加强内部管理，积极推行精细化管理，但在推行精细化管理过程中未能对高等学校内部业务流程进行认真梳理，未能对业务流程中的风险点进行有效识别，使得制订出来的制度仍然没摆脱传统制度框架。
第二，各高等学校内部审计机构也没有及时制订出台《内部控制审计实施办法》，使得高校内部控制审计开展缺乏制度支撑。
第三，高校领导对内部控制不够关注，甚至存在误解，认为强化内部控制会限制自己的手脚，不利于灵活管理。
第四，高校内部控制审计特别是风险导向内部控制审计需要的时间比较长，动用的人力比较多，审计成本比较大，势必会影响常规审计工作的开展。由于这些原因的存在，高等学校对开展内部控制审计的积极性不高。
(二)高校内部审计人员缺乏风险导向内部控制审计经验
内部控制法规体系已经初步建立，风险导向内部控制审计已经成为高校内部审计一项新兴业务。但内部审计人员缺乏风险导向内部控制审计实务经验，对整合内部控制审计理论和审计业务流程的把握不够，在审计过程中如何识别风险、验证内部控制缺陷、减少工作失误、降低审计风险、实现内部控制审计目标都是目前亟需探讨的问题。
(三)内部审计人员素质不高，影响风险导向内部控制审计的开展
因风险导向内部控制审计不仅仅是一般的综合审计，它更关注于高等学校各项业务流程的运行以及运行过程中产生的管理问题。由于高等学校内部审计人员大多为会计类专业，人员素质参差不齐，知识结构比较单一，更不用说要掌握先进的现代企业管理知识，面对风险导向内部控制审计过程中发现的问题很难找到切实可行的解决办法及建议，距离完成高校希望风险导向内部控制审计达到的效果还有一定的差距。
(四)缺乏内部控制评价标准
高校的内部控制到目前为止没有建立健全的高校内部控制评价标准。而内部控制的完整性、合理性及有效性进行评价，并形成普遍认可的评价标准体系，评价标准的建立是前提条件。
三 高校开展风险导向内部控制审计的路径
风险导向审计关注的是组织的重大错报风险和检查风险，而内部控制审计首先要对组织的控制环境和控制活动进行风险识别，找出风险点，审查内部控制的健全性和有效性，进而促进组织加强管理，推进组织实现其发展战略目标。因此，高校开展风险导向内部控制审计应围绕高校发展的目标，着眼于内部控制的风险防范、内部控制制度的建立健全及有效执行。
(一)提高对内部控制审计的重视度
第一，内部审计机构和人员要借助高等学校各种媒介大力宣传内部控制建设的意义和作用，提高高校各级领导对内部控制的认识。
第二，高等学校应根据自身教学、科研等管理的特点，在充分解读《行政事业单位内部控制规范(试行)》的基础上，结合高校自身的实际情况，不断持续的完善内部控制建设。
第三，高校要切实保证内部审计机构的独立性，内部审计的核心作用是参与治理、防范风险和确保合规，将内部审计的职责定位为顾问和高参，确保监督权与决策权和执行权相互制约，有效发挥内部审计的增加组织价值的作用。
第四，加大培训力度，提高内部审计人员素质。内部审计在转型过程中需要人力、过程、信息技术三大要素的支撑，尤其以具备胜任能力的内部审计人员为前提。因此，必须加大内部审计人员继续教育的培训力度，使得审计人员在充分掌握会计、内部审计专业知识的同时，还要系统学习信息技术、内部控制、风险管理等方面的知识。从事内部控制审计时在了解高校发展目标、评估风险和控制措施的基础上，充分发挥内部审计第三道防线的作用，为高校管理者提供有价值的意见和建议，成为高校领导值得信赖的高参。
(二)规范高校风险导向内部控制审计流程
内部控制审计实施时间较短，还缺乏可借鉴的经验，因此高校内部审计机构通过借鉴以往综合审计项目总结出的一些可行性较强的审计程序，建立和完善的内部控制审计流程，提升内部审计人员对内部控制审计业务的重视程度，提高内部控制审计质量。
1.做好审前调查，关注影响高校目标实现的各类重要风险。内部控制体系涵盖高校管理的方方面面，高校内部控制是否存在缺陷尤其是重大缺陷，需要获取内部控制在一段足够长时间有效运行的证据。因此，高校内部审计机构在实施内部控制审计时，需要进行审前调查，围绕高校的发展目标明确审前调查的重点，通过现场察看、访谈、符合性测试等方法，来收集有关影响高校目标实现的各类重要风险的资料，识别高校及其环境所存在的风险。然后，根据内部控制制度的执行情况及高校领导的个性特征，审计人员评估重大错报风险的水平，以及是否存在舞弊风险。通过审前调查，根据风险评估结果，审计组将本次内部控制审计的重点确定在高风险领域，明确本次内部控制审计的重点方向，制定切实可行的审计实施方案，有意识的加大审计力度，增加实质性测试的内容。
2.风险识别，查找高校内部控制风险点。依据《行政事业单位内部控制规范(试行)》对高校内部环境、风险评估、控制活动、信息与沟通、内部监督等方面进行风险识别。对内部环境风险识别时关注高校的发展战略是否与高校的资源配置相一致，关注高校治理结构是否存在职能交叉或死角;关注人力资源结构合理性，以及是否建立工作人员的培训、评价、轮岗等机制;关注高校是否构建了积极向上的校园文化。对风险评估风险识别时关注是否建立了风险管理预警机制，在对控制活动风险识别时重点关注高校教学、科研、财务、资产、采购及重大事项的决策机制等业务管理活动的内部控制制度的建立健全以及有效执行，关注领导干部一岗双责的履职情况。信息与沟通风险识别时关注高校是否建立信息沟通渠道，重大事项如应公开的财务信息、奖助学金是否按时公开。内部监督风险识别时关注组织活动和业务活动是否建立了评价机制，是否保持内部审计机构的独立性，对发现的问题是否及时整改等。
3.收集审计证据，评价内部控制设计与运行的可信度。高校内部控制的目标是合理保证高校预算经费使用合法合规、资产安全、财务报告及相关信息真实完整、办学水平及质量的提高，提高预算经费使用绩效和管理效果，促进高校实现发展战略目标。因此，高校内部控制审计要紧紧围绕组织层面和业务层面内部控制情况来收集审计证据。高校内部审计机构要根据本学校的实际情况设计内部控制调查测试表，查证分析影响高校战略目标实现的风险点及影响程度。通过对风险要素的分析，宏观上关注国家对高等教育政策的调整，外部监管部门的最新要求;微观上，主要关注高校内部机构是否有重大调整、重大人事的变动情况(特别关注领导干部个人素养)、最新政策或制度的推行及执行情况、预算控制及会计控制情况、资产使用及保护情况、建设项目管理情况、发生的重大风险事项等。通过对各类风险因素的分析，来判断内部控制制度设计与运行的可信度，认定高校内部控制存在的缺陷，进而出具内部控制审计报告，根据认定的内部控制存在缺陷责成相关部门限期整改，特别是当内部控制存在严重缺陷时，应及时提请校领导予以高度重视。
4.后续审计跟踪，确保发现问题整改落实到位。《第2107号内部审计具体准则后续审计》指出，后续审计是指内部审计机构为跟踪检查被审计单位针对审计发现的问题所采取的纠正措施及其改进效果，而进行的审查和评价活动。在内部控制审计报告发出后60天内，高校内部审计人员可以就审计发现的问题和建议是否已经采取了适当的纠正行动并取得预期的效果实施后续审计。对于整改好的部门得予以充分肯定，整改不到位的部门建议主管校领导进行问责或诫勉谈话，对于高校内部个别部门基于成本或者其他方面考虑，决定对审计发现的问题不采取纠正措施并做出书面承诺时，内部审计机构负责人应当向校领导提供书面报告，从而提高被审计部门对内部控制审计的重视程度，真正为增加组织的价值提供服务。
(三)构建高校风险导向内部控制审计的评价体系
高校风险导向内部控制审计最终目的是评价高校内部控制的有效性。因此，构建高校内部控制评价指标体系，有利于审计人员对高校内部控制的健全性、有效性做出认定。本文设计的评价指标体系遵循了以下原则：
1.可操作性原则。指标体系从高校组织层面和业务层面的客观情况出发，提高了指标的科学性。评价标准紧贴高校管理实际，评价过程中避免了主观判断和模棱两可的指标。
2.重要性原则，即成本效益原则。在整体评价体系科学合理的前提下，指标选取抓住重点指标，关注重大事项和业务，评价结果上，允许结果在一定标准范围内有些许波动。
3.考虑内控活动具体风险的原则。风险导向内部控制审计要求在进行评价时，要充分考虑高校经济和业务活动产生风险的领域与业务流程。因此，评价指标设计时，组织层面评价指标从宏观角度反映了高校发展战略、高校治理以及风险管理预警机制，业务层面评价指标则反映了高校在进行日常管理和经济活动中的整体流程和重要风险点。
高校内部控制评价表(见表一)中设计的评价指标和标准是以内部控制五要素为载体，以内部控制目标的实现为归宿，每一阶段的评价都是在紧紧围绕内部控制核心要素及风险点的基础上，对内部控制有效性进行评价。由此可见，此评价体系下的评价指标设计以高校管理的风险点为依据，评价更具有针对性。
根据上述各项指标的得分和相应权数计算高校内部控制综合评价总分X=xiwi 。如总分大于80分，则说明该校内部控制运行有效，处于良好状态;如总分大于70分小于80分，则说明该校内部控制运行部分有效，存在一般缺陷;如总分大于60分小于70分，则说明该校内部控制运行部分有效，存在重要缺陷;如总分小于60分，则说明该校内部控制运行无效，存在重大缺陷。根据评分结果，对高校内部控制存在的缺陷进行分析，分清是设计缺陷或运行缺陷，向高校管理层提出相应的审计建议，促进高校完善内部控制，实现增加组织价值的目的。
综上所述，将风险导向审计引入内部控制审计，对风险导向内部控制审计流程进行逐一梳理与阐述，对于合理利用高校内部审计资源，降低审计风险，提高审计质量大有帮助。特别是针对高校的特点，提出构建我国高校风险导向内部控制审计评价体系的构想，将有助于推进高校内部控制审计转型，更好地为高校实现其发展目标保驾护航。
