一、高校内部审计转型风险导向内部审计的必然性
（一）高校扩张导致内部审计风险加大
高校风险导向内部审计的产生有其必然性，客观上缘于高校规模、业务迅速扩张。一方面，近年来学校规模不断扩大，万人大学比比皆是，大学小社会是不争的现实，高校涉及基建、招生、科研、后勤、学管、对外服务等项目，业务的迅速扩展导致管理风险加大。另一方面，国家加大了高等教育的投入，财政性教育经费已达GDP的4%，高等学校获得了庞大的资金投入。无论普通本科还是高职高专，均得到了国家密集的项目支持，如本科的“211工程”、“985工程”、“2011计划”，高职高专的“国示”、“国家骨干校”、“省示”、“教学资源库”等建设项目，持续、高额、密集的资金投入导致项目经费的使用、管理风险剧增，某些部门（岗位）成为“肥缺”，职务风险、管理与控制风险变得越来越难以控制。高校内部审计实行风险导向审计，有助于加强学校的风险管理，通过控制风险来保证学校的健康发展。
（二）高校内部审计环境滋生审计风险
高校实行党委领导下的校长负责制，这是高等学校中民主集中制的具体体现，从治理结构看是典型的内部人控制。作为学校最高领导者，党委书记、校长是学校的决策者，也是决策的执行者，这会导致部分领导滥用职权、内部控制形同虚设。高校是人才的聚集中心，业务有其特殊性，高校专业型领导多，对专业、业务拓展具有较好的指导与示范效应，但重业务轻管理、重财务轻审计、重人治轻法治，普遍未能形成较好的内部审计总体环境。不同高校办学历史积淀、学生与产业规模、专业领域、领导重视程度、审计人员素质、审计方法等千差万别，校园文化、机构设置、管理模式迥异，个体审计环境进一步影响内部审计风险。近年来高校招生、基建、设备招标等腐败案件频发，一些出身贫寒、曾经正直有为的领导干部沦为阶下囚，除了与其自身抵抗能力、自我管理能力有关外，与高校内部审计环境不良有着直接的关系。
（三）高校市场竞争呼唤风险导向审计
面对高等教育发展的新环境，高校充满机遇和挑战，竞争进一步加剧。不同层次的高校有竞争，国内与国外的高校有竞争。高校的竞争是软、硬实力全方位的综合竞争。有风险才有收益，高校必须承担相应的风险才能赢得生存空间，只有创新运行管理机制，才能适应时代的潮流。《内部审计具体准则第17号》指出，审计风险指内审人员未能发现审计单位经营活动及内部控制中存在的重大差异或缺陷而作出的不恰当审计结论的可能性。虽然风险导向内部审计产生已有时日，但探索尝试的更多是企业，我国大部分高校内部审计的重点仍然是查错纠弊，内部审计方法仍然以账项基础审计及制度基础审计为主，内部审计的主要作用仍然是事后监督和评价。随着高校发展方式的变化和管理机制的创新、发展，高校内审机构设置及内审人员业务能力、审计技术、方法等需要不断创新，以适应新形势下高校业务转型升级与风险管理的需要。高校市场竞争导致内部审计的客观风险加大，这是高校内部审计人员无法回避或改变的客观现实，内部审计人员只有加强高校业务研究，采用合适的审计方法，提高审计业务能力，才能够降低审计风险。
二、高校内部审计风险的特征
（一）受托关系的层次多致审计风险复杂化
内部审计的本质是确保受托责任履行的管理控制机制，高校内部审计源于高校的受托关系。从组织结构看，第一层是高校领导（管理者）受教育主管部门或股东（公办高校政府是出资者，民办高校股东是出资者）委托负责高校的日常管理；第二层是行政部门和院系受学院领导委托负责某一院系或部门的管理；第三层是教职员工受院系或部门委托负责具体事务的管理。从项目委托关系看，项目团队（负责人）受国家、省、市相关部门或学院、企业委托完成各类各级项目，学院受国家、省市委托完成项目管理，诸如此类；从组织结构和项目关系看，高校普遍存在出资者与管理者、层级不同的管理者、管理者与业务层等交错复杂的受托关系。内部审计的委托人既有国家、省、市相关部门，也有学校自身、企业，高校的内审机构要向各层次的委托人负责，审查、汇报受托人职责履行情况，对受托人作出客观公正的评价。因此，高校内部审计因高校内部受托责任的存在而存在，受托关系的层次多导致审计风险错综复杂。
（二）审计业务的广泛性致审计风险多样化
内部审计风险控制存在于高校的各个领域，除常规的教学管理外，还广泛存在于科研、基建、实训设备招标、招生、后勤实体、对外服务等诸方面。此外，不少高校过度负债，内部审计风险控制多样化。与常规教学业务相比，有些业务不经常发生，具有较强的阶段性；有些业务单项金额较大或总量较多导致总额较大；有些业务涉及部门、人员较少，且没有明显的经济损失，具有较强的隐蔽性。高校业务范围、涉及人员广泛，审计风险多样化，高校内部审计因人手、业务能力、经费、工作时间限制，常常流于形式，难以及时发现问题并合理降低审计风险。
（三）审计结果的用途致审计风险导向边缘化
高校审计结果用于委托方对受托方责任履行情况的评价，对责任部门及责任人员的各项责任指标完成情况、管理水平、业务能力等进行评价，也是单位人事考评、人事任免、新项目评审的重要参考因素。审计结果不仅关系到被审人员的当前评价，而且关系到今后的升迁发展，无论是委托方还是受托方都极为关注项目本身是否合规合理。因此，不少单位领导更关注错弊，高校内部审计重点更多着眼于经济责任审计，审计结果主要用于对项目与项目负责人的评价，内部审计主要发挥了监督和评价的职能，风险控制没有得到足够的重视。作为高校的内设机构，管理层对其没有风险控制要求，缺乏风险控制导向的压力与动力，风险控制被边缘化。
三、高校风险导向内部审计的思路
（一）高校内部审计的目标定位
医生的意义不仅在于对危重病人的手术，更重要的是为检查者健康提供良好的保健建议，根据检查结果提出合理的预防措施，实施风险管理，促进检查者身体的健康成长。《内部审计实务指南第4号———高校内部审计》指出，高校内部审计的目的旨在促进完善管理控制、防范风险、创造效益，从而促进学校事业目标的实现。高校内部审计不仅是对高校业务活动的监督、评价，而且应该为被审单位、部门的健康开具证明，提供鉴证服务，提供管理与建设服务，促进企业内控制度及风险防范机制的建设；对内部控制机制再控制，促进学校资源的合理配置与使用，为领导提供可靠的参谋，为学校增加价值，提高高校专业办学效益和管理水平。我国高校审计机构更多出于国家财经法规要求完成各项审计工作，监督的思想根深蒂固，长期以来权限不高，只是被动地根据领导安排完成审计项目，目标定位及作用的发挥与校领导的重视程度关系密切。高校内部审计要实现为学校增加价值的目标，就要深入研究学校的业务趋势及风险，融入学校的管理中，通过为领导提供参谋而主动地管控风险，通过目标的转变拓展内部审计的生存价值与空间。
（二）高校内部审计机构的设置
独立性是内审风险控制的前提，缺乏独立性的审计机构无法防范审计风险。内部审计机构的隶属关系与独立程度是内部审计机构设置的关键因素。《内部审计实务指南第4号———高校内部审计》规定：高校应设置内部审计机构，规模较大的高校（年收入5亿元以上或教职工人数在3000人以上）应设置独立的内部审计机构。目前我国大部分高校均远超3000人，绝大部分设置了内部审计机构，尚有少部分高校在财务处下设置内部审计机构。设置内部审计机构的高校，其隶属关系各不相同，导致其主管领导与主要审点存在差异。据对吉林省调研，采用纪委书记领导的内部审计占比最高（吴国萍等，2014），这或许是我国高校内部审计机构设置的普遍模式。根据纪委的工作任务，内审机构更多承担了经济侦查的职能。分管财务副院长领导下的审计机构独立性也不强，副院长既是裁判员也是教练。前文已述，高等学校是党委领导下的校长负责制，如将内审机构置于党委书记的直接领导下，从校长日常行政权力中脱离出来，独立性会适当提高。由于高校是典型的内部人控制，即便是党委书记领导下的内审机构，其独立性也仍然值得怀疑。内审机构隶属层次越高，其独立性越强。国外高校较为流行以政府任命或选举的方式由校外人员组成董事会，通过董事会负责有效制约校领导的经营管理权。国内高校虽然建立教代会并作为高校最高权力决策机构，但教代会代表源于组织内部，且是校领导的管理对象，无法监督校领导的行为。现阶段看，可由上级主管部门、校代会代表、党委书记、校长组成审计委员会，直接负责内审机构的领导；内审人员可考虑上级机构、校内人员共同组成，从而提升内审机构的独立性。可见，高校内部审计的独立性是相对的，公办高校内部审计更多的是解决第二、三层次的委托关系，完成校领导的委托责任评价，第一层次（主管部门对校领导）的委托关系仍要依靠政府审计或社会审计来解决。民办高校可参考企业建立以董事会牵头的审计委员会负责内审机构的管理。
（三）高校内部审计的环境建设
审计环境是高校内部审计得以生存的土壤，包括内部审计环境与外部审计环境两个方面。内部环境是高校内部审计的基础，除高校治理结构、高校机构设置与职责划分、内部审计机构建设外，还包括内部控制制度、财务制度执行状况等。内部审计环境更多源于学校内部，属于可控环境，可塑性强。与企业相比较，高校不以盈利为根本目的，具有较强的公益性，难以通过市场淘汰机制直接进行约束，即便对于市场化或准市场化的后勤产业、校办企业、对外培训服务机构，仍采用行政化的管理模式管理，治理结构混乱。高校内部审计环境建设缺乏外部压力，通常不主动评估学校财务风险，不对资金使用效益做成本效益分析，面临尴尬的处境。《内部审计实务指南第4号———高校内部审计》指出，内部控制自我评估是高校完善内部控制体系的有效方式之一。高校具有较强的社会性，如果高校内在风险监控失效而导致高校难以为继，将产生更大的社会风险。借鉴国内外的做法，应从法人治理结构、社会和谐发展、国有资产保值增值、高校发展目标的高度，在高校主管单位的指导、要求下，在高校主要负责人的直接领导下，加强内部审计环境建设，加强内部控制环境的建设与评估，适应高校内部审计的目标转型，对高校管理进行审计，构建良好的内部审计环境。
（四）高校内部审计的流程与方法
风险导向内部审计经历了传统风险导向与现代风险导向两个阶段。现代风险导向内部审计基于“确定组织目标—评价目标风险—控制风险测试”的流程完成，高校内部审计要围绕高校的重要目标分析影响目标实现的主要风险，关注主要风险，进而通过相关风险内部控制的分析、测试，确认其是否能够合理规避风险，保证组织目标的实现。高校风险导向内部审计要将内部审计置于高校的管理中去，着眼企业整体管理效益的提升，深入学校的管理体制，深入学校相关业务及内部控制。审计过程中既要查账也要查业务，既要表内资料（财务信息）也要表外资料（非财务信息），从过程管控、风险管控的角度深入高校内部环境，评估风险产生的可能性及严重程度。只有完善高校管理控制过程、降低高校管理的客观风险，才能有效降低高校内部审计的风险。高校风险导向内部审计要求在传统审计方法外，以识别、评估风险为目标，适度增加评估、咨询等方法，从而改进审计方法。信息技术的应用为高校审计技术方法的革新创造了条件，高校内部审计不仅要做事后审计，还要将审计时点前置，加强事前、事中审计。《内部审计具体准则第28号》提出，内部审计人员在审计中要单独或综合应用计算机辅助审计工具和技术等信息技术。高校内部审计人员在审计中还应该综合运用常规审计方法和各类信息化技术。20世纪60年代后期，产生了并行审计技术，在业务系统中嵌入审计模块，实现了在业务处理的同时采集审计证据的技术。网络技术的发展，产生了持续审计技术，可以适时掌握、评价审计结果，缩短审计周期，降低审计风险。虽然一些新兴的审计技术还未能在高校内部审计中普遍推行，但随着信息技术的发展，这些技术将会成为高校内部审计的重要方式与发展趋势。
（五）高校内部审计队伍的专业化建设
审计人员独立性与业务能力是决定审计风险的内在关键因素，高校内部审计队伍普遍存在数量少、专业不对口、业务能力不足、独立性受限等问题。内部审计人员数量应不低于教职工总数的2‰，一些高校专职审计人员偏少，从侧面说明了领导的重视程度不够。审计人员主要来自财务、审计专业，缺少法律、工程、信息等方面的专业背景，在基建工程等专项项目审计时力不从心；审计人员缺少学习提升机会，业务能力受限；审计人员均来自单位内部，与部分项目负责人关系十分密切，难以客观评价；审计经费有限，制约内部审计工作的深入开展。高校不仅要加强学科（专业）的建设，也要加强内部审计人员的专业化建设，为高校管理目标的实现和风险控制保驾护航。一是把好进人关，业务能力不强、个人素质不高的人员要拒之门外；二是注重人员结构的合理性，从年龄、专业等方面互补，便于审计团队的建设；三是项目审计前做好独立性分析，不符合要求的审计人员采取回避制度，根据业务需要吸收部分兼职人员、校外人员加盟审计队伍，必要时可采取审计项目外包方式或委托兄弟院校内审机构负责审计；四是加强专业规范建设，建立业务学习制度，开展专题研讨；五是增强风险意识，建立培训提升与奖惩机制，促进业务胜任能力的提高。高校内部审计队伍不仅是内部审计工作的需要，也是优秀管理人才培养的重要内容。高校可以借鉴美国GE公司、中海油等国内外知名企业的做法，将内部审计部门作为公司中层管理人员、干部锻炼的重要平台。
（六）高校内部审计的质量评价
高校风险导向内部审计通过降低高校管理风险来降低审计风险，内部审计的评价是提高审计质量的重要保证。关于内部审计的质量主要有三种含义：一是内部审计报告质量；二是内部审计工作过程的优良状况；三是包括前二者的综合。笔者认为，全面、系统的高校审计质量至少要包括三个方面：一是高校审计环境质量；二是审计机构的审计过程与报告质量；三是审计结果执行质量。审计环境质量评价包括高校领导重视程度、高校主要风险事项内部控制体系、高校业务管理制度规范性与执行情况、高校内部机构设置与隶属关系层次、内部审计机构人员业务胜任能力与独立性、高校内部审计经费等因素。审计机构的审计过程与报告质量包括内部审计工作安排的规范程度、审计方法及时间选择是否恰当、审计项目风险控制质量、审计报告的质量、被审计单位对审计报告的认可度等。审计结果执行质量包括被审计单位整改情况、审计单位的后续审计等。国际内部审计师协会（IIA）要求审计质量评估必须包括内部评估与外部评估，高校内部审计质量必须引入外部评估，才能更好地降低审计风险，提升内部审计的权威性。高校审计环境质量的评价由教育主管部门牵头组成外部评价小组评价比较恰当，一定程度上可以缓解内部管理人产权治理结构的不足，还可加强对内部审计机构的监督。审计过程与报告质量、审计结果执行质量评价以校内评价为主，利于高校灵活地加强管理、提高效益。高校内部审计质量控制要领导高度重视、全员参与、明确责任、实时控制。高校审计环境质量控制的主要责任在学校的高层管理者，审计机构的审计过程与报告质量控制的主要责任在高校内部审计机构，审计结果执行质量控制责任主要在学校管理层，审计机构也负有部分责任。此外，高校要逐步建立内部审计公开制度，公开审计安排、审计报告，引入监督机制，加强审计单位的他律，提升审计质量与风险控制水平，推动高校办学目标的顺利实现。
作者：缪启军 单位：泰州职业技术学院
