前言：中文期刊网精心挑选了风险识别与风险评估的区别范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
风险识别与风险评估的区别范文1
一、传统风险导向审计模型
传统风险导向审计也称为控制风险导向审计，是指审计人员在审计过程中将风险分析、评价与控制融入传统审计方法之中，进而获取审计证据，形成审计结论的一种审计取证模式。
模型（审计风险=固有风险×控制风险×检查风险）可以解决交易类别、账户余额、披露和其他具体认定层次的错报，发现经济交易和事项本身的性质和复杂程度发生的错报，发现企业管理当局由于本身的认知和技术水平造成的错报，以及企业管理当局局部和个别人员舞弊和造假造成的错报，从而将审计风险控制在比较满意的水平。
二、现代风险导向审计模型
风险导向审计也称为经营风险导向审计，是指以被审计单位的战略经营风险为导向，通过“战略分析――流程分析――经营业绩评价――财务报表剩余风险分析”的基本思路，将会计报表重大错报风险和经营风险联系起来，从而提出了审计师从源头分析和发现会计报表错报的观念。
2003年10月国际审计和保证准则委员会（IAASB）了国际审计准则第315号（ISA315）： “了解被审计单位及其环境并评估重大错报风险”，将传统风险导向审计下的审计风险模型修改为：审计风险＝重大错报风险×检查风险，明确规定了审计工作以评估财务报表重大错报风险作为新的起点和导向。
三、两个模型的比较
传统风险导向审计模式与现代风险导向审计模式的本质区别在于审计理念和审计技术方法的不同，后者是对前者的改进，其主要区别如下：
（一）审计起点不同。传统风险导向审计方法通过综合评估固有风险和控制风险以确定实质性测试的范围、时间和程序，由于固有风险难以评估，审计的起点往往为企业的内部控制。
现代风险导向审计方法通过综合评估经营控制风险以确定实质性测试的范围、时间和程序，其审计起点为企业的战略系统及其业务流程。假如企业的业务流程不重要或风险控制很有效，则将实质性测试集中在例外事项上。这种新模式的优点是将审计的重心前移到风险评估，这将有利于充分识别和评估会计报表重大错报的风险，因此主要针对风险设计、实施控制测试和实质性测试程序。此外，注册会计师轻易全面把握企业可能存在的重大风险，有利于节省审计成本，克服因缺乏全面性观点而导致的审计风险。
（二）风险评估识别以分析性复核程序为中心。现代风险导向审计注重运用分析性复核程序，以识别可能存在的重大错报风险；而传统风险导向审计对于信息的再加工程度不高，分析性程序主要用在报表分析上。分析性复核程序已成为现代风险审计方法最重要的程序，为适应分析性程序功能扩大的要求，分析性程序开始走向多样化：在数据分析上，不但对财务数据进行分析，也要对非财务数据进行分析；在分析工具上，借鉴现代治理方法，把战略分析、绩效分析、财务分析以及前景分析等分析工具运用到风险评估之中，使风险因素不再唯一，变一元风险评估为多元风险评估，使得出的风险评估结果更加可靠。
（三）风险评估方式由直接评估转变为间接评估。传统风险导向审计的风险评估是一种直接的方式，即直接评估重大错报的概率。现代风险导向审计模式是从经营风险评估入手，间接地对审计风险进行评估，因为经营风险越高，审计风险也越大，也就是治理舞弊的可能性越大；并且从经营风险中能更有效地发现财务报表潜在的重大错报，因为财务报表是经营的反映，假如经营风险未能在报表中得到体现，则财务报表很可能失真。此外，会计政策、会计估计的合理性评估也只有从经营风险入手，才能进行正确的评估。
（四）审计程序实施具有个性化。传统风险导向审计模式的审计程序是标准化形式，对不同的被审计单位都使用标准相同的审计程序，其缺陷是没有充分贯彻风险导向审计思想，使注册会计师无法突破客户预先设置或防范的措施，难以做出正确的审计结论。现代风险导向审计方法要求注册会计师将评估及识别的审计风险与实施的审计程序相结合，针对不同客户以及客户不同的风险领域实施个性化的审计程序。
（五）审计证据的内涵扩大。在现代风险导向审计方式下，审计重心向风险评估转移，审计证据也由内部向外部转移。因此，注册会计师必须充分了解企业整体经营环境，由此评估客户的经营及审计风险，同时必须从外部取得大量的外部证据来证实风险评估的恰当性。风险导向审计模式下，注册会计师形成审计结论所依据的审计证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据。
（六）扩充了内部控制要素。传统风险导向审计方法下的内部控制是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，发现、纠正错误与防止舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。内部控制要素包括控制环境、会计系统和控制程序。现代风险导向审计方法下的内部控制是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵循，由治理当局和其他人员设计和执行的政策和程序。内部控制的三要素扩充为五要素，即控制环境、被审计单位的风险评估过程、与财务报告相关的信息系统和沟通、控制活动和对控制的监督。
（七）对注册会计师的专业知识提出了更高要求。现代风险导向审计下审计结果主要依靠风险评估，要求把握现代治理知识和行业知识（包括市场、研发、生产等方面），这对注册会计师提出了更高的要求。注册会计师应该是复合型人才，不但要把握一般常用分析工具，还要接受现代治理知识和行业专业知识培训。
风险识别与风险评估的区别范文2
关键词：风险导向审计；审计模式；适用性分析
随着国内外重大审计失败事件的不断发生，风险导向审计作为一种重要的审计理念和方法，受到审计职业界和学者的关注。中国注册会计师协会在2004年10月了新的审计风险准则征求意见稿，要求注册会计师在审计中使用现代风险导向审计方法，实施风险评估程序，降低审计风险，提高审计质量。如果审计风险准则一旦正式生效，将使我国的审计风险准则与国际接轨，并引导中国注册会计师实务由传统风险导向审计向现代风险导向审计转变。因此，对现代风险导向审计模式的理解以及在我国的适用性分析就显得十分重要。
一、风险导向审计概述
随着社会经济的发展变化，审计方法适应审计环境的变化经历了三个发展阶段：一是审计发展的早期，由于企业组织结构简单、业务性质单一，注册会计师的审计工作目的是为了促使受托责任人在授权经营过程中做出诚实、可靠的行为，审计方式是详细审计。审计的重心在资产负债表，是对会计凭证和账簿的详细审计，旨在发现和防止错误与舞弊，这种审计方法就是账项基础审计方法（accountingnumber-basedauditapproach）。二是从1950年代起，以内部控制测试为基础的抽样审计在西方国家得到广泛应用，这种审计方法重点在于注册会计师了解、测试和评价内部控制设计的合理性和执行的有效性。对内部控制存在缺陷的环节，注册会计师通常将其涉及交易和账户余额作为审计的重点，甚至进行详细审计；对于可以信赖的内部控制环节，通常将其涉及的交易和账户余额进行抽样审计，以提高审计效率和降低审计费用。从方法论的角度，这种审计方法被称作制度基础审计方法（system-basedauditapproach）。三是1970年代以后，由于制度基础审计方法显露缺陷，一种新的、以风险防范为基础的风险导向审计模式逐渐兴起，从方法论的角度，注册会计师以审计风险模型为基础进行的审计方法称为风险导向审计方法（risk-orientedauditapproach）。
回顾审计方法的发展历程，风险导向审计模式已成为审计方法发展的国际趋势。风险导向审计模式合理地扬弃了作为制度导向审计模式基础的“无利害关系假设”，把指导思想建立在“合理的职业怀疑假设”的基础上，不只依赖对被审计单位管理层所设计和执行内部控制制度的检查与评价，而且实事求是地对公司管理层是否诚信、是否有舞弊造假的驱动始终保持一种合理的职业警觉，将审计的视野扩大到被审计单位所处的经营环境（微观、中观乃至宏观），将风险评估贯穿于审计工作的全过程。与传统的制度基础审计相比较，主要有以下区别：
（一）审计模式不同
制度基础审计模式以内部控制为核心，对控制风险的评估仅通过确定内部控制的可依赖程度来减少实质性测试的工作量，而对固有风险的评估常流于形式；风险导向审计模式不仅通过内部控制评估控制风险，还结合其他风险因素尤其是固有风险综合考虑，通过对企业环境、发展战略、公司治理结构等方面的评估，发现其潜在的经营风险及财务风险，并评估财务报表发生重大错报的风险，以便使审计风险降至可接受水平。
（二）审计基础不同
制度基础审计以内部控制制度为基础，根据被审单位内部控制制度的健全性及符合性评审结果，确定实质性测试的范围和重点；风险导向审计则以风险评估为基础，对影响被审单位经济活动的多种内外因素进行评估，确定审计范围、重点和方法，其不仅重视与内部控制系统直接相关的因素，而且重视各种环境因素。
（三）审计方法不同
两种审计模式都采用抽样技术，但风险导向审计是通过建立审计风险模型将风险量化。因此，相对于制度基础审计来说，风险导向审计的抽样技术是更完全意义上的审计抽样，更注重利用分析性测试方法，从而可以有效降低审计风险。
二、风险导向审计的两种模式
风险导向审计自产生以来经历了两个阶段，理论界把以传统审计风险模型“审计风险=固有风险×控制风险×检查风险”为基础进行的审计称为传统风险导向审计模式；而将1990年代后期开始，在国际会计师事务所内部推行并逐渐被审计理论与实务界接受的，以“审计风险=重大错报风险×检查风险”的模型为基础，以被审计单位的经营风险为导向的审计方法称作现代风险导向审计模式。
传统风险导向审计模式与现代风险导向审计模式的本质区别在于审计理念和审计技术方法的不同，后者是对前者的改进，其主要区别如下：
（一）审计起点不同
传统风险导向审计运用的审计风险模型中，固有风险是指假定不存在相关内部控制时，某一账户或交易类别单独或连同其他账户、交易类别产生重大错报或漏报的可能性。控制风险是指某一账户或交易类别单独或连同其他账户、交易类别产生错报或漏报，而未能被内部控制防止、发现或纠正的可能性。传统风险导向审计方法通过综合评估固有风险和控制风险以确定实质性测试的范围、时间和程序，由于固有风险难以评估，审计的起点往往为企业的内部控制（如果没有必要测试内部控制，审计的起点则为会计报表项目）。
现代风险导向审计方法通过综合评估经营控制风险以确定实质性测试的范围、时间和程序，其审计起点为企业的战略系统及其业务流程。如果企业的业务流程不重要或风险控制很有效，则将实质性测试集中在例外事项上。这种新模式的优点是将审计的重心前移到风险评估，这将有利于充分识别和评估会计报表重大错报的风险，因此，主要针对风险设计、实施控制测试和实质性测试程序。此外，注册会计师容易全面掌握企业可能存在的重大风险，有利于节省审计成本，克服因缺乏全面性观点而导致的审计风险。
（二）风险评估识别以分析性复核程序为中心
现代风险导向审计注重运用分析性复核程序，以识别可能存在的重大错报风险；而传统风险导向审计对于信息的再加工程度不够，其分析性程序主要用在报表分析上。分析性复核程序已成为现代风险审计方法最重要的程序，为了适应分析性程序功能扩大的要求，分析性程序开始走向多样化：在数据分析上不但要对财务数据进行分析，也要对非财务数据进行分析；在分析工具上借鉴现代管理方法，把战略分析、绩效分析、财务分析及前景分析等分析工具运用到风险评估之中，使风险因素不再惟一，变一元风险评估为多元风险评估，使得出的风险评估结果更加可靠。
（三）风险评估方式由直接评估转变为间接评估
传统风险导向审计的风险评估是一种直接的方式，即直接评估重大错报的概率。现代风险导向审计模式是从经营风险评估入手，间接地对审计风险进行评估，因为经营风险越高，审计风险也越大，也就是管理舞弊的可能性越大；并且从经营风险中能更有效地发现财务报表潜在的重大错报，因为财务报表是经营的反映，如果经营风险未能在报表中得到体现，则财务报表很可能失真。此外，会计政策、会计估计的合理性
评估也只有从经营风险入手，才能进行正确的评估。
（四）审计程序实施具有个性化
传统风险导向审计模式审计程序是标准化形式，对不同的被审计单位都使用标准相同的审计程序，其缺陷是没有足够贯彻风险导向审计思想，使注册会计师无法突破客户预先设置或防范的措施，难以做出正确的审计结论。现代风险导向审计方法要求注册会计师将评估及识别的审计风险与实施的审计程序相结合，针对不同客户以及客户不同的风险领域实施个性化的审计程序。
（五）审计证据的内涵扩大
在现代风险导向审计方式下，审计重心向风险评估转移，审计证据也由内部向外部转移。因此，注册会计师必须充分了解企业整体经营环境，由此评估客户的经营及审计风险，同时必须从外部取得大量的外部证据来证明风险评估的恰当性。风险导向审计模式下，注册会计师形成审计结论所依据的审计证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据。
（六）扩充了内部控制要素
传统风险导向审计方法下的内部控制是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，发现、纠正错误与防止舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。内部控制要素包括控制环境、会计系统和控制程序。现代风险导向审计方法下的内部控制是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵循，由治理当局、管理当局和其他人员设计和执行的政策和程序。内部控制的三要素扩充为五要素，即控制环境、被审计单位的风险评估过程、与财务报告相关的信息系统和沟通、控制活动和对控制的监督。
（七）对注册会计师的专业知识提出了更高要求
现代风险导向审计对注册会计师的专业素质提出更高要求，其重心从会计、审计知识转向管理和行业知识。现代风险导向审计下审计结果主要依赖风险评估，风险评估的各种分析方法要求掌握现代管理知识和行业知识（包括市场、研发、生产等方面），这对注册会计师提出了更高的要求。注册会计师应该是复合性人才，不但要掌握一般常用分析工具，还要接受现代管理知识和行业专业知识训练。
三、现代风险导向审计模式在我国的适用性分析
基于上述分析，现代风险导向审计模式是审计发展的一种必然趋势。2003年10月，国际审计与鉴证准则委员会（IAASB）通过了新的审计风险准则；中注协也在2004年10日了修订后的审计风险准则征求意见稿，不仅将使我国的审计风险准则与国际接轨，同时也为提高审计质量、降低审计风险提供了技术支持。审计风险准则一旦正式生效，将引导中国注册会计师实务由传统风险导向审计向现代风险导向审计转变，会对我国的注册会计师审计理念、审计程序及审计责任产生非常大的影响。
然而，目前要在我国推行风险导向审计模式还存在一定的制约条件和需要解决的问题：
（一）会计师事务所审计成本与效益问题
实施风险导向审计模式的前提是成本能得到补偿。现代风险导向审计模式在审计计划阶段和执行控制测试阶段，注册会计师关注的范围扩大，程度加深，导致工作时间和审计成本的增加，在市场竞争激烈的情况下，成本的增加往往不可能过渡到收费的同步增加。此外，还需要一定的投入来培训注册会计师，使他们掌握业务流程和行业知识等有关方面的知识。如果这些成本得不到补偿，就会使一部分中小会计师事务所在竞争中无法生存。
（二）信息系统的建设问题
现代风险导向审计的重要特征是审计重心前移，注册会计师必须首先执行风险评估程序，充分了解客户整体经营环境，然后针对风险不同的客户、客户不同的风险领域，设计个性化的审计程序。因此，会计师事务所必须建立强大的信息系统，以便注册会计师在风险评估时了解企业的战略、流程风险管理、业绩衡量等。而目前国内很多事务所对行业风险和企业经营风险缺乏了解，客户的相关信息不够充分，信息系统的建设还达不到现代风险导向审计的要求，导致风险评估不准确。因此，风险导向审计的运用仅限于老客户，对新客户还是将大量时间用于实质性测试。
（三）审计从业人员素质问题
现代风险导向审计对审计从业人员的业务素质提出了新要求，不仅要具备丰富的审计理论和实践经验，还要具备必需的管理学知识和经济学知识，能够运用系统的、战略的观点充分了解、分析企业所处的宏观经济环境和行业发展状况，对有可能导致企业会计报表错报风险的内外部因素进行客观、系统的分析与评价，将审计视角扩展到内部控制以外，从较高层面上评估风险，而不是仅仅注重企业会计处理的细节。
（四）辅助审计软件的使用与完善问题
现代风险导向审计方法中分析性程序占据非常重要的地位，辅助审计软件的使用在其中发挥着重要的作用。西方发达国家大量运用分析性程序的条件是辅助审计程序的开发和运用，它可以直接对数据库进行加工分析，依据软件模型自行处理数据，使运用分析性测试程序成为节约成本的重要手段。另外，采用审计软件使统计抽样的样本更具代表性，审计抽样风险可控，为风险导向审计提供了技术支持。目前，我国在审计软件的开发和使用上不够理想，还有待提高，而且大部分注册会计师缺少相应的技术准备，在现阶段推行现代风险导向审计方法只能是一种愿望。
如上所述，目前在我国全面推行现代风险导向审计模式还受到许多制约，尽管它有很多优越之处，但在我国还不能够普遍推行。当前我国独立审计准则主要是以制度基础审计模式为基础的，而且相当一部分从事小规模企业审计工作的会计师事务所和注册会计师，基本上仍然在运用账项基础审计模式。但是，现代风险导向审计的实行是一种理念的改变，我们可将制度基础审计与风险导向审计有机结合。即使在现行审计准则仍然主要以制度基础审计模式为基础的情况下，吸取风险导向审计模式的基本观点和做法，则是完全可行的。通过把风险导向审计中控制风险的理念和方法融合到制度基础审计中，使其他审计模式忽略审计风险的缺陷得到弥补，将会为探索适合我国的现代风险导向审计模式积累有益的实践经验。
参考文献：
〔1〕陈毓圭。对风险导向审计方法的由来及其发展的认识〔J〕。会计研究，2004，（2）。
〔2〕常勋，黄京菁。从审计模式的演进看风险导向审计〔J〕。财会通讯，2004，（7）。
风险识别与风险评估的区别范文3
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：
2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。
2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
转贴于中国论文下载中心www
3电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
[2]李波杰，张绪国，张世永.一种多层取证的电子商务安全审计系统微型电脑应用.2007年05期.
风险识别与风险评估的区别范文4
关键要:海洋石油工程；作业危险评估法；安全；风险管理本文主要从风险管理为切入点，结合海洋工程企业中的项目为依托，对项目在施工过程中的风险进行分析并提出风险规避方法从而有效的避免风险的发生。
一、海洋工程项目风险的识别
（一）工程项目风险的定义及特点
海洋工程项目风险则是指在项目的策划、设计、建造、安装、调试以及后期投入使用各个阶段可能面对的损失。项目的风险在任何项目的任何过程中都会存在。如果不能有效的对项目的风险进行控制，可能会造成项目在实施的过程中出现失控现象，从而导致延长工期、增加成本、甚至项目失败影响企业声誉。任何海洋工程项目都有一次性、独特性和创新性的特点，项目风险也具有随机性、相对可预测性、渐进性、阶段性、突发性等特点。
（二）工程项目风险的分类
根据海洋石油项目的整体特点，基本可以分为可控风险和不可控风险两大类。可控风险指的是以人的主观能力可以控制住的风险，这些风险都可以有效的避免或者可以提前采取一定的措施进行预防，比如施工风险、安全风险、技术风险等等；不可控风险指的是客观存在的，不以人的意志为转移的风险，一般不能有效的规避或者采取预防的措施，例如政治风险、经济风险、自然灾害等等。
（三）海洋工程项目风险的识别
海洋工程的项目与传统的土建项目有着明显的区别，海洋工程的项目交叉作业多、涉及专业多、作业环境复杂、参与人员及设备较多等特点，那么在项目的运行过程中，如何对风险进行有效的控制，首先要对项目的风险进行识别，分析出属于哪类风险，这就要求首先做好风险的识别。以海上组块的安装为例，根据海上安装的施工方案，将该组块的海上安装过程分为“作业船就位、抛锚”、“组块挂扣”、“固定切割”、“组块起吊”、“组块就位”及“组块固定”这几个过程，通过对每个过程中参与作业的设备、人员及外部环境的研究，识别出了每个过程中的安全风险因素。如作业船就位、抛锚过程，参与的机具船舶有：发电机、绞车、锚机、通讯设备、两条辅助船舶及相关设施。参与人员有：作业船及辅助船船员、定位人员、指挥员。因此这个过程中可能的风险有：发电机及绞车故障、通讯设备故障、人员误操作、未按方案布锚、走锚等风险。同理可以得到其他几个作业过程的风险因素。因此有效的识别风险，是为了风险评估、风险应对和风险监控提供强有力的基础。
二、海洋工程项目风险的评估
在项目风险识别之后马上要对项目的风险进行评估，对项目所有的不确定的风险因素进行全面的分析识别后进行综合评价，区分出可控风险和不可控风险。如果有必要需要建立风险模型，通过专家分析进行风险评估并制定有效的方法进行应对。
（一）项目风险的评估的方法
项目的评估方法有很多种，例如作业危险评估法、期望值法、事故树分析法、敏感性分析法、模糊数学法等，而海洋工程项目中一般采用的评估方法是作业危险评估法（LEC法）。
（二）海洋项目风险评估
以海上平台安装为例，在海上平台的安装过程中，相关人员识别出在施工的过程中存在某种突发安全风险后，应该立即组织专家组对该风险进行评估，通过对“事故的不可预测性”、“措施的无效状态”、“人员暴露在危险环境下的频度”、“事故可能损失后果”的等等各个方面进行有效的评估，得到了风险因素的危险程度值及危险等级，为下一步风险的应对提供基础。
三、海洋工程项目风险的应对
（一）海洋工程项目风险的应对的方法
在风险评估完成后，为了保证项目的顺利进行，就需要专家组提出应对风险的措施和方法，应对风险的方式多种多样，但笼统的归纳后有以下两种：1、控制方法，及发现风险后提出有效的手段进行控制从而降低风险，主要以风险回避、风险遏制和风险转移等手段。一般情况下对于海洋工程中的可控风险，一般都会采用这种手段进行控制。2、利用财务手段。在海洋工程领域，大多数情况下业主都会要求分包商进行购买海事保险的方式进行风险分摊，尤其是在重大设备设施的运输、吊装等作业行为前，都需购买保险釆用财务的手段将项目风险进行转嫁。
（二）海洋工程项目风险的应对的原则
1、风险应对有针对性原则。在项目进行中，所采取的每一项措施都必须有针对性，否则势必会浪费企业资源。2、风险应对可操作原则。在发现风险后在经过专家组的论证后制定的每一项应对措施中都必须可操作性，不应仅仅停留在纸面上，否则对防范风险没有任何意义。3、风险应对最大执行力原则。在经过专家组的论证后制定的每一项应对措施后，应引起项目经理的足够重视，从项目高层着手保证这些控制措施发挥其应有的效用。4、风险应对全面原则。一般海洋工程项目的风险具有多样性，复杂化等特点，必须全面的指定有效的措施，需要采取多样的方法从不同角度对其予以全面控制。5、风险应对措施与经济成本相协调原则。在选择风险控制措施时，在相同效果的前提下采取成本较低方案。6、风险应对能力导向原则。控制安全风险时，主要以预防为主，在能力范围内可消除的必须进行处理，无法消除的最大化的削弱风险。
四、海洋工程项目风险的监控
（一）项目风险监控的概念
项目风险的监控是在对项目风险管理指定相关措施后对风险管理过程中的监视和控制。
（二）项目风险监控的目标
在项目风险监控措施的实施的过程中，都应该达到一些目标，这些目标包括：及早识别是否还有新的风险，避免已经发现的风险发生、减少风险发生后带来的损失、总结经验教训在本文中项目风险监控虽然处于项目风险管理的最末端，但是风险监控是贯穿于项目整个过程中的，因此建立一套可行的项目风险监控系统是必不可少的措施，也是风险监控的关键所在。
本文在综合考虑海洋石油工程项目特点及各类分析方法适应性的基础上，对组块的海上吊装安装过程进行风险管理研究，依此建立了风险源及风险识别、评估表，并基于尽早的识别风险，尽可能避免项目进行中事故的发生以及降低项目风险发生以后所产生的不利后果的目的，建立了兼具科学性和可操作性的项目安全风险监控系统。海洋工程项目的安全风险管理与对组块海上安装过程的安全风险管理类似，需要对全过程的作业信息进行收集并处理，识别出项目进行过程中的安全风险，并针对性的进行应对，然后评估每个风险因素的危险性及风险等级。若应对后的风险等级仍然较高，那就需要采取整改措施进行整改，若风险等级较低，则代表风险受到控制，可以继续作业。对风险识别、风险评估及风险应对的全过程实施风险监控，确保识别出所有的安全，且风险的应对措施能够被有效的实施，或对应对措施效果不好的风险进行整改。从而保证项目内每个风险因素都能受到有效控制。
作者:王增 孙诗杰 曹德明 单位:海洋石油工程股份有限公司
参考文献
[1]刘洪浩．浅议项目风险管理理论[J]．抚顺市中医院学理论．2011．
[2]彭俊好，徐国爱，杨义先，汤永利．基于效用的安全风险度量模型[J]．北京邮电大学学报．2006．
[3]张俊．浅析项目风险管理与项目管理[J]．黑龙江科技信息．2007．
[4]葛治江．国际石油工程EPC总承包项目安全风险因素分析[J]．石油化工建设．2009．
风险识别与风险评估的区别范文5
［关键词］内部控制风险管理COSO全面风险管理区别和联系
内部控制与风险管理理论的发展与演变过程
现代内部控制和风险管理理论的发展是一个逐步演变的过程，大致可以区分为内部控制制度、内部控制整体框架、风险管理框架三个阶段。
（一）内部控制制度阶段。1936年美国颁布了《独立公共会计师对财务报表的审查》，首次定义了内部控制：“内部稽核与控制制度是指为保证公司现金和其他资产的安全，检查账簿记录的准确性而采取的各种措施和方法”，此后美国审计程序委员会又经过了多次修改。1973年在美国审计程序公告55 号中，对内部控制制度的定义作了如下解释：“内部控制制度有两类：内部会计控制制度和内部管理控制制度，内部管理控制制度包括且不限于组织结构的计划，以及关于管理部门对事项核准的决策步骤上的程序与记录。会计控制制度包括组织机构的设计以及与财产保护和财务会计记录可靠性有直接关系的各种措施。”
（二）内部控制整体框架阶段。1992年9月，COSO委员会提出了报告《内部控制——整体框架》。该框架指出“内部控制是受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。”1996年底美国审计委员会认可了COSO的研究成果，并修改相应的审计公告内容。
（三）风险管理框架阶段。2004年COSO委员会《企业风险管理——整合框架》。企业风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。”该框架拓展了内部控制，更有力、更广泛地关注于企业风险管理这一更加宽泛的领域。风险管理框架包括了要素：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。
风险管理与内部控制关系研究回顾
在风险管理理论提出之后，理论界对内部控制与风险管理两者之间的关系进行了不断的研究。总体来说主要有以下三种观点：
（一）第一种观点认为内部控制包含风险管理。CICA（1998）将风险定义为，“一个事件或环境带来不利后果的可能性”，阐明了风险管理与控制的关系：“当您在抓住机会和管理风险时，您也正在实施控制”。巴塞尔委员会的《银行业组织内部控制系统框架》中指出，“董事会负责批准并定期检查银行整体战略及重要制度，了解银行的主要风险，为这些风险设定可接受的水平，确保管理层采取必要的步骤去识别、计量、监督以及控制这些风险……。”这里显然是把风险管理的内容纳入到了内部控制框架中。加拿大注册会计师协会控制标准委员会（1999）认为，“控制应该包括风险的识别与减轻”，其中的风险不仅包括与实现特定目标相关的风险，而且还包括一般性的风险，如不能识别和利用机会，就不能使企业在面临未预料到事件以及不确定信息时保持灵活性或弹性。
（二）第二种观点认为风险管理包含内部控制。COSO委员会提出的《企业风险管理——整合框架》（2004）中明确指出，企业风险管理包含内部控制；内部控制是企业风险管理不可分割的一部分；内部控制是风险管理的一种方式，企业风险管理比内部控制范围广得多。英国Turnbull委员会（2005）认为，风险管理对于企业目标的实现具有重要意义，公司的内部控制系统在风险管理中扮演关键角色，内部控制应当被管理者看作是范围更广的风险管理的必要组成部分。
（三）第三种观点认为内部控制就是风险管理。Blackburn（1999）认为，风险管理与内部控制仅是人为的分离，而在现实的商业行为中，它们是一体化的。Laura F.Spira（2003）分析了内部控制是怎样变为风险管理的，并指出，“将内部控制定义为风险管理强调与战略制定的联系，刻画了内部控制作为组织支撑的特点，但是，它也掩盖了一个不争的事实：现在没有人真正明自内部控制系统是什么。”
基于COSO报告下的内部控制与风险管理比较
现论界对内部控制与风险管理的定义各不相同，但被普遍接受的定义是国际权威机构美国的COSO委员会对内部控制与风险管理的定义。本文以COSO报告为基础对内部控制与风险管理的联系与区别进行研究。
（一）两者的定义与内涵。1992年的COSO《内部控制整合框架》将内部控制定义为，“受董事会、管理层及其他人员影响的，为达到经营活动的效率和效果、财务报告的真实可靠性、遵循相关法律法规等目标提供合理保证而设计的过程。”它包括三个目标：与运营有关的目标，即确保企业的经营效率和效果；与财务报告有关的目标，即确保财务报告真实可靠；与法律法规的遵循有关的目标，即确保企业经营过程中遵守有关的法律法规。它由五个方面的要素组成：控制环境、风险评估、控制活动、信息与沟通、监控。其中控制环境是基础、风险评估是依据、控制活动是手段、信息与沟通是载体、监控是保证。
2004年的COSO《风险管理整合框架》将风险管理定义为，“由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定有企业各个层次的活动，旨在识别影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理保证的过程。”风险管理的目标有四个：报告类目标、经营类目标、遵循性目标以及战略目标。风险管理的组成要素有八个：内部环境、目的设定、事件识别、风险评估、风险对策、控制活动、信息与沟通和监控。
（二）两者的比较
1、它们都是由“企业董事会、管理层以及其他人员共同实施的”，强调了全员参与的观点，指出各方在内部控制或风险管理中都有相应的角色与职责。
2、它们都明确是一个“过程”，不是某种静态的东西。其本身并不是一个结果，而是实现结果的一种方式。企业内部控制与风险管理都是渗透于企业各项活动中的一系列行动。这些行动普遍存在于管理者对企业的日常管理中，是企业日常管理所固有的。
3、它们都是为企业目标的实现提供合理的保证。设计合理、运行有效的内部控制与风险管理能够向企业的管理者和董事会在企业各目标的实现上提供合理的保证。
4、风险管理的目标有四类，其中三类与内部控制相重合，即报告目标、经营目标和遵循性目标。但报告目标有所扩展，它不仅包括财务报告的准确性，还要求所有对内对外的非财务类报告准确可靠。另外，风险管理增加了战略目标，即与企业的远景或使命相关的高层次目标。这意味着风险管理不仅仅是确保经营的效率与效果，而且介入了企业战略（包括经营目标）制定过程。
5、风险管理与内部控制的组成要素有五个方面是重合的，即（控制或内部）环境、风险评估、控制活动、信息与沟通、监督。这些重合是由它们目标的多数重合及实现机制相似决定的。风险管理增加了目标设定、事件识别和风险应对三个要素。在重合的要素中，内涵也有所扩展，例如内部控制环境包括诚实正直品格及道德价值观、员工素质与能力、董事会与审计委员会、管理哲学与经营风格、组织结构、权利与责任的分配、人力资源政策和实践等七个方面。风险管理的“内部环境”除包括上述七个方面外，还包括风险管理哲学、风险偏好和风险文化三个新内容。在风险评估要素中，风险管理要求考虑内在风险与剩余风险，以期望值、最坏情形值或概率分布度量风险，考虑时间偏好以及风险之间的关联作用。在信息与沟通方面，风险管理强调了过去、现在以及关于未来的相关数据的获取与分析处理，规定了信息的深度与及时性等。
国内关于内部控制与全面风险管理的定义
（一）目前国内关于内部控制和全面风险管理的正式定义主要是财政部关于印发《企业内部控制规范——基本规范》和17项具体规范（征求意见稿）的通知以及国务院国资委的《中央企业全面风险管理指引》中有相关的表述。
财政部关于内部控制规范的《通知》中对内部控制的定义是：是指由企业董事会、管理层和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动：企业战略；经营的效率和效果；财务报告及管理信息的真实、可靠和完整；资产的安全完整；遵循国家法律法规和有关监管要求。
国资委《指引》中关于全面风险管理的定义是：指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。
（二）、国内关于内部控制和全面风险管理与COSO框架的差异
总体上来说，国内关于内部控制和全面风险管理的内容基本参照或遵从了COSO委员会《内部控制管理框架》和《全面风险管理框架》，但结合国内的实际情况和一些前沿的研究成果，国内对于内部控制和全面风险管理在各自领域都有不同程度的调整、拓展和延伸。
1、目标纬度：财政部关于内部控制的定义相对COSO委员会对内部控制定义在实现目标上有所拓展，增加了企业战略目标和资产的安全完整目标。而在国资委全面风险管理的实现目标增加了“确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。”另外，其他四个目标也与COSO全面风险管理四个目标在表述上有所差异，使之更适应我国企业经营管理表述习惯或者更具体而易于理解。从这个角度来说，特别是内部控制实现目标的拓展使得其与全面风险管理实现目标差异不大。
2、要素纬度：财政部内部控制《通知》形式上借鉴了COSO 报告5要素框架，同时在内容上体现了风险管理8要素框架的实质；国资委全面风险管理《指引》中则没有明确指出是5要素还是8要素，但通过风险管理基本流程将全面风险管理的一些要素融合到流程中，从实质来说，也体现的是8要素的COSO全面风险管理框架。
国内关于内部控制与全面风险管理运用的一些误区
（一）把内部控制与全面风险管理体系的建设理解为建章立制。其实从COSO框架的定义中，我们可以看出它们都被明确为是一个“过程”，不能当作某种静态的东西，如制度文件、技术模型等，也不是单独或额外的活动，如检查评估等，最好是内置于企业日常管理过程中，作为一种常规运行的机制来建设。
（二）内部控制体系和全面风险管理体系是相互独立的。建设内部控制和全面风险管理体系都是一个系统工程，两者在内涵上也有一定重合，企业需要综合考虑自身业务特点、发展阶段、信息技术条件、外部环境要求等，确定选择合适的管理体系和建设重点。比如，在监管严格的金融业或涉及人民生命健康的制药与医疗行业，风险管理的迫切性更强，企业以风险管理主导内部控制可能更方便。而在另一些企业，为了符合信息披露中内部控制报告的要求，企业以内部控制系统为主导、兼顾风险管理可能更适合。
（三）内部控制和全面风险管理的作用被夸大。有些企业对内部控制和风险管理体系的建设寄有过高期望，他们希望内部控制和风险管理可以确保企业的成功、确保财务报告的可靠性和法律法规的遵循性。而实际上无论多么先进的内部控制和风险管理体系都只能为企业相关目标的实现提供合理的而非绝对的保证。
（四）内部控制与全面风险管理理念在企业实践落地难。由于新的管理理念和方法的引进，与国内企业原有的管理体系和观点存在较多的差异和差距，目前这些理念和方法还更多的处于导入阶段，大多数企业管理人员还不能在这些框架和概念与企业的日常经营管理行为和语言之间建立直接的联系。
参考文献
［1］ 盖地;试论内部控制与内部会计控制，中国成本研究会编;企业内部控制原理、经验与操作一企业内部控制高层研讨会文集;中国财政经济出版社，2002年版57一60.
［2］李凤鸣;《内部控制与风险防范》;经济科学出版社，1998年版.
［3］周兆生;C0SO企业风险管理框架（中文版）;华融资产管理公司，2004.
［4］程新生;公司治理， 内部控制， 组织结构互动关系研究;会计研究， 2004年4期.
［5］张砚；内部控制历史发展的组织演化研究；会计研究， 2005年2期.
风险识别与风险评估的区别范文6
关键词：风险导向审计；审计准则；中小企业审计
一、风险导向审计的主要理念
现代风险导向审计的理论假设是：被审计单位在市场竞争条件下，出现业绩下滑会影响其战略目标的实现，由于业绩下滑市场监管可能对其作出不利的业务限制，债权人、股东等可能因此而改变对经营者、管理层的态度；迫于各方压力，被审计单位的管理层就很可能会产生利用粉饰财务报表的方式掩盖其不佳经营业绩
现代风险导向审计基于战略系统观，从宏观层面、微观层面上对被审单位的重大错报风险进行评估，确定可能引起重大错报风险的领域，有针对性的进行审计，从而既能提高审计效率，又能降低审计风险。克服了传统风险导向审计缺乏全面性分析而导致审计风险的缺点，这不仅仅是审计技术方法、审计程序上的一大变革，也是审计理念的一次更新，是一种基于战略系统观的审计新理念。
二、风险导向审计的基本要求
中国注册会计师审计准则把审计业务分为三部分：
1.风险评估程序
（1）了解被审计单位及其环境。注册会计师应当了解被审计单位的行业状况、法律环境与监管环境以及其他外部因素；被审计单位的性质、会计政策的选择和运用、经营目标、战略以及相关经营风险、以及财务业绩的衡量和评价和内部控制等。了解被审计单位及其环境时可通过①询问被审计单位管理当局和内部其他相关人员；②分析程序；③观察和检查等风险评估程序实施。
（2）评估重大错报风险。作为风险评估的一部分，注册会计师应当运用职业判断，确定识别的风险哪些是需要特别考虑的重大风险（以下简称特别风险）。应当重点考虑下列事项：①风险是否是舞弊风险：②风险是否与近期经济环境、会计核算和其他方面的重大变化有关；③交易的复杂程度；④风险是否涉及重大的关联方交易；⑤财务信息计量的主观程度，特别是对不确定事项的计量存在宽广的区间；⑥风险是否涉及异常或超出正常业务范围的重大交易。特别风险通常与重大的非常规交易和判断事项有关。非常规交易是指由于金额或性质异常而不经常发生的交易。判断事项通常包括做出的会计估计。
2.控制测试
控制测试的目的是为了测试内部控制在防止、发现并纠正认定层次重大错报方面的运行有效性。在必要时或决定进行内部控制测试时执行该程序。
审计准则规定当存在下列情形之一时，注册会计师应当实施控制测试：⑴在评估认定层次重大错报风险时，预期控制的运行是有效的；（2）仅实施实质性程序不足以提供认定层次充分、适当的审计证据。
3.实质性程序
实质性程序包括对各类交易、账户余额、列报的细节测试以及实质性分析程序，目的是为了发现认定层次的重大错报。注册会计师应当针对重大的各类交易、账户余额、列报实施实质性程序，以获取适当的审计证据。
注册会计师实施的实质性程序应当包括下列与财务报表编制完成阶段相关的审计程序：（1）将财务报表与其所依据的会计记录相核对；（2）检查财务报表编制过程中做出的重大会计分录和其他会计调整。如果认为评估的认定层次重大错报风险是特别风险，注册会计师应当专门针对该风险实施实质性程序。
新的业务流程要求注册会计师全程关注财务报表的重大错报风险，并将风险评估作为整个审计工作的基础。评估重大错报风险的失误，必将导致整个审计工作的失败。
现代风险导向审计的常用方法主要有：审计风险评估、分析性程序、控制测试、交易业务实质性测试。
三、中小企业的现状
根据笔者近20年接触的约3000家中小型企业的审计或其他业务，所了解的中小企业现状，大致如下：
1.规模较小、业务单一。
很少有自己的知识品牌，靠简单加工者居多，维系低成本竞争方式的居多。比较各同类型企业，虽然都有自己的商标，但未见有明显价格优势或降低成本优势的产品，如此情形，说明其商标价值几乎可以忽略不计。
2.家族式企业居多，股权构成多为家庭成员。
（1）这样的企业其决策有很大的主管随意性，虽然个别情况下决策也征询他人意见，但其家族成员的意见，往往重要于专家意见。
（2）战略目标隐秘，或模糊，战略及战略目标调整随意性较强，给人以无持续战略的印象。实质上，这样的企业对利润的追逐理念较强，对短期利益的追逐，胜于对长期利益的追逐。评价战略时，考虑乐观因素多余困难。遇有困难随时折返。
（3）对实体资产的控制较强，但对流程的控制不够重视，只关注看的到的。不关注深层次问题。
（4）为了企业利益，共同作弊的想法几乎是顺理成章的、并且机会到处都是。
3.缺乏企业文化。
企业内部控制应用指引第5号——企业文化，指出缺乏企业文化建设可能引起以下风险：
（1）可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和向心力。
（2）缺乏开拓创新、团队协作和风险意识、可能导致企业发展目标难以实现、影响可持续发展。
（3）缺乏诚实守信的经营理念，可能导致舞弊事件的发生。
（4）忽视企业间文化差异和理念的冲突，可能导致并购重组失败。
4.法律意识淡薄。
5.账外账普遍存在。
6.银行给定的信贷指标不合理，导致企业不造假，不能适应要求。
四、中小企业现状与审计准则要求的差异造成的审计困境
1.成本与效益配比性差
会计 师事务所执行风险导向审计模式后，在对中小企业客户审计中，普遍增加了审计工作量和审计成本，但审计收费却没有得到同步增加。新的审计模式扩大了注册会计师关注的范围，注册会计师在风险评估阶段显著增加了工作量，按审计人员耗费的审计时间计算，风险评估约占全部时间时间的60%，审计成本不可避免地有所增加。
2.识别和评估重大错报风险的程序流于形式，无法鉴别出风险点
由于本文前段所述中小企业固有的客观现状，对按风险导向准则进行审计来说，可以索取的直观的风险评估资料无法取得。多数企业缺乏文字的全面管理制度，虽然对实物的控制较强，但由于没有可以准确描述的方法，致使很难形成审计底稿，即风险评估很难规范进行。注册会计师在识别和评估重大错报风险的过程中，由于缺乏全国及各地区、各行业市场、生产、经营方面的数据库，风险评估缺乏客观依据，全凭想象；同时审计人员经验不足，没有成熟的风险评估方法，加上评估所需的信息资料不完整，影响了注册会计师积极探索风险评估方法的热情，按行业惯例完成审计任务与在风险导向审计条件下相比时间紧迫，导致识别和评估重大错报风险的程序流于形式，无法靠信息资料鉴别出风险点。
3.依靠经验分析鉴别风险点，识别的重大错报风险无法与实质性程序相联系
对中小企业来说，按其现状依照审计准则规定的风险评估程序很难鉴别出风险点，但注册会计师凭经验，结合客户报表、客户实际存在的问题可以分析出风险点。由于中小会计事务所没有建立一套科学的审计模型和规程，注册会计师在设计实质性程序时，很大部分没有确立审计目标与认定的对应关系表，没有针对评估的认定层次及重大错报风险，按照既定的审计模型和规程来设计控制测试的性质、时间和范围，在设计细节性测试时亦没有考虑样本量及选样方法的有效性。这就影响了对风险评估结果的合理利用，客观上影响着注册会计师积极进行风险评估的热情。
4.控制测试形式化
由于中小企业内部控制实施的不规范，甚至根本无法用准则语言去描述内控弱点，或者明显看到是缺陷，但却起着重大作用，例如老板娘任出纳、兼采购、兼保管，从资产安全角度考虑，内控无缺陷，但从对会计报表错报的舞弊风险考虑则风险较高。客观上造成注册会计师在实施控制测试过程中，大部分无法用现有标准底稿书面记录控制过程，对测试的方法选择上准则规定与中小企业的实际状况差距较大，用现成的准则去套很难总结出内控弱点。从而也只能形式上做出控制测试，难以形成充分、适当的审计证据。
五、做好中小企业审计需要考虑的应对措施
1.按审计准则要求，结合各个企业的实际情况做好风险评估工作
（1）风险评估是解决诸多中小企业审计出现问题的良方。
风险导向审计的重点是风险评估。风险评估把单个的审计对象的各项经济数据置于整个市场经济的群体数据中，通过单个数据与整体中同类个体差异原因分析，来确定被审计个体的经济数据是否偏离正常数据，即是否有错报风险。从而判断可能的错报，进而考虑应采取的审计措施。无论被审计个体情况如何特殊，只要其经济数据偏离正常范围，又无可靠证据支持的即是审计风险，这样就将所有被审计单位的问题统一归结到了市场经济条件下的经济数据问题，指标异常，无合理理由就是错报风险。用审计方法处理掉审计风险，就完成了审计任务。
（2）风险评估不是机械的执行程序。
在审计中在审计准则的框架下，根据被审计单位的实际情况，制定审计计划，执行合理有效的审计程序，而不是机械的按照准则要求制定审计计划，执行准则规定的程序，这是唯物主义辩证法和形而上学辩证法之间的区别，可悲的是，我们的大多数审计人员，甚至是执业质量检查人员，只会机械的按照准则要求对照书本上的程序去检查，而不会重新进行风险评估，以确定审计应该执行的程序和方法。这样死板的管理方式，背离了风险导向审计理念的初衷，必须坚决摒弃，并回到正确的轨道上来。
2.完善审计的内、外部法制环境，
加强法律和监管制度的建设。DeAngelo（1981）认为规模越大的会计师事务所审计质量越高。因为如果要出现了审计失败，大规模会计师事务所的机会成本会更大。会计师事务所机会成本的产生来自于监管机构和法律的严格要求。在国外成熟的审计市场中，一旦被发现出现了审计失败现象，会计师事务所就要付出高额赔付或者倒闭的重大代价。而在我国相对“宽松”的环境下，会计师事务所付出的代价要远小于在发达国家执业失败付出的代价
3.加快行业信息库建设，为风险评估提供信息支撑
现代风险导向审计模式不仅对财务数据进行分析，还高度重视对非财务数据进行信息的再加工，并在分析的过程中充分借鉴现代管理方法，从而使评估结果之间的相互印证更加可靠，从而提高财务舞弊的识别能力。注册会计师执行风险评估程序，充分了解被审单位整体经营环境，然后针对不同的客户，客户不同的风险领域，设计个性化的审计程序。为此，会计师事务所必须依赖功能强大的信息库，目前我们可以高兴地看到中注协的数据信息库正在紧张建设中。我们热切的希望其尽快投入运营。
4.加强会计师事务所审计人员学习，提高审计人员素质。积极适应风险导向审计理念
积极推进风险导向审计理念的应用，需要全体注册会计师同仁的共同努力，深刻领会风险导向审计的精髓，熟练掌握其方法，不仅需要法治环境、政策支持，也更需要会计师事务所审计人员加强学习，自觉提高自身素质，以适应发展的需要。
六、结语
中小企业审计工作具有其自身的特点，在工作开展过程中不能采用套用其他审计方式进行审计，而需要结合其特点采用对应的审计方法，风险导向审计方法正好满足了这一需要。因此，在中小企业审计工作中，应该对该方法加以推广、应用。
参考文献：
[1]杨寿康 罗迎霞：现代风险导向审计理论在中小企业IPO审计中的运用[J].中国市场，2012，5.
