从 20 世纪末以来，国际内部审计以及我国的社会经济和审计都发生了相当大的变革。考虑国际内部审计的发展，依据我国社会经济对内部审计需求的变化，结合《中国内部审计准则》（中国内部审计协会公告 2013 年第 1 号） 以及审计署《内部审计工作规定（征求意见稿）》（2014），本文尝试分析我国内部审计的发展方向，希望为内部审计实践提供帮助。
一、我国内部审计面临的新形势
审计环境包括国际、国内两方面，国际内部审计的新理念和新思想对我国内部审计的发展具有引导、指导作用；国内社会经济和审计的现实发展尤其是财政管理体制改革的深化，也对我国内部审计提出新要求。
（一）国际内部审计的新理念
从 1999 年起，国际内部审计师协会（IIA）的内部审计思想、理念有了相当大的发展。对比 IIA 的内部审计定义，不难发现其理念的一系列发展和变化。1993 年的定义“内部审计是在一个组织内部建立的一种独立的评价活动，并作为对该组织的活动进行审查和评价的一种服务。内部审计的目的是协助该组织的管理成员有效地履行他们的职责，促进有效地控制成本费用。”1999 年 6 月基于风险管理的内部审计定义为“内部审计是一种确认和咨询活动，具有独立性和客观性的特征。目的在于组织价值的增加和运营的改善。通过使用系统、规范的方法，评价改善风险管理、控制和治理过程的效果，从而使组织实现其目标。”2001 年调整为“内部审计是一种独立客观的保证工作与咨询活动，它的目的是为机构增加价值并提高机构的运作效率。它采取系统化、规范化的方法来对风险管理、控制及治理程序进行评价进而提高它们的效率，帮助机构实现它的目标”。现行的内部审计定义（2013）：“内部审计是一种独立、客观的确认和咨询活动，旨在增加价值和改善组织的运营。它通过应用系统的、规范的方法，评价并改善风险管理、控制和治理过程的效果，帮助组织实现其目标。”
①可以看出，IIA 对内部审计的本质属性从只关注独立性，发展到独立性、客观性并重；业务活动从评价发展为确认和咨询；业务范围从对组织活动的审查和评价，发展到风险管理、控制和治理过程效果的评价和改善；审计目的从协助该组织的管理成员有效地履行他们的职责、促进有效地控制成本费用，发展到增加价值和改善组织的运营、帮助组织实现其目标。
综合《IIA2012—2016 年全球战略规划》（2011） 及 2004年以来国际内部审计师协会的国际大会、全球论坛、年中会议、主席或秘书长讲话等，还可以发现 IIA 内部审计理念的其他变化。内部审计职业全球化（2000 年，国际内部审计师协会全球论坛：“IIA 全球管理、全球指导框架、全球化产品服务”）；全面引入以风险为导向的审计理念以实现价值转型（《内部审计 2012———关于“内部审计发展前景和内控导向审计方法逐步退出”的研究报告》，普华永道）；内部审计师的专业胜任能力要求大幅度提高（IIA2012 年中报告《行业的脉搏》列出，公司雇佣审计员工最为关注应聘者的分析与关键性思维、有效沟通能力、数据挖掘与分析能力、全面的 IT 知识、商业敏锐性五方面的技能）等。
（二）财政管理体制改革对内部审计的新要求
随着我国经济体制从计划经济逐步走向市场经济，财政管理体制经历了几次大的变革：改革开放以前高度集中的统收统支阶段、经济转型时期的“分灶吃饭”阶段、1994 年至今的分税制阶段。
从 1998 年开始进行的，以公开透明、科学规范、廉洁高效、完整统一为总体目标，以部门预算、收支两条线、国库集中收付制度和政府采购制度等为主的预算管理体制改革，是为了适应社会主义市场经济的发展并建立公共财政体制；对社会资源的有效利用、提高财政资金的利用效果起到很大的作用。不仅影响到管理理念和方法，也对预算资金的划分和管理、财政支出的管理和使用、业务处理、会计核算、财务管理等产生了重大变化。
从 2011 年开始的、目的在于结构性减税的“营业税改征增值税”，不仅调节了增值税和营业税的税负失衡、制造业与服务业间的税负水平差异，避免了营业税重复征税、不能抵扣、不能退税的弊端；还改变了市场经济交往中的价格体系，把“价内税”（营业税）变成了“价外税”（增值税），形成了增值税进项和销项的抵扣关系；并实现了现行税制体系格局与“十二五”税制改革规划相对接。更重要的是“，营改增”具有催生新一轮财税改革的特殊功效，可能引发新一轮的财务规则、会计制度的调整，催生重建地方主体税种、地方税体系的要求，催动直接税体系建设的提速，催生分税制财政体制的重构以及增值税整体改革，甚至引起大幅度的产业结构调整。
财政管理体制改革的深化，使企事业单位的业务处理流程、财务和会计、管理、工作人员的职责权限、绩效评价等各个方面都发生了变化。这些环境因素的变化，必然引起对内部审计需求的改变。
1. 更多地关注风险。风险是时时处处都可能发生的，可能是战略风险、财务风险、市场风险、运营风险、法律风险等，管理层应当作出识别、评估和应对即实施风险管理，以将风险控制到可接受的范围之内。组织的风险管理是否适当、实施管理后的剩余风险是否可接受、可接受风险水平的确定是否合适，都需要审计师作出评价；如何建立和完善风险管理体系，怎样建立健全内部控制体系以防控风险，也需要审计师提供咨询服务。对此，内部审计负有无法推卸的责任。
无论是以部门预算、收支两条线、国库集中收付制度和政府采购制度等为主的预算管理体制改革，还是财务规则、会计准则和会计制度的调整完善以及对建立健全内部控制的规范，都要求对业务处理中的各种风险做必要的防范和管理。所涉及的风险既可能来自于行政管理、财务管理，也可能来自于市场、经营或战略。将其纳入内部审计确认与咨询范围之内，有计划地实施审计确认与评价，为组织完善风险管理提供帮助，是新财政管理体系对内部审计提出的一个迫切要求。
2. 更多地关注管理。在新的财政管理体制下，信息化程度大幅度提高，业务处理程序也被简化，会计的计量、记录、报告趋于规范化，因业务处理过程复杂而导致的信息错漏减少，会计信息、管理信息的质量更多取决于管理人员的素质、规范化管理程度和管理的效率效果。如预算的编制是否科学适当、审批是否严谨、执行是否严格、特殊情况的处理是否妥当。工作的重心逐步从监督检查财务处理是否符合会计准则和制度的规定、计算是否正确、报告是否及时等方面，转向财务管理、行政管理、风险管理、资源管理等各项管理是否适当，是当今新财政管理体制对内部审计提出的又一个新要求。
3. 更多关注单位负责人的责任履行。任何组织的负责人都应当对本组织业务和管理的不同方面分别承担直接责任、主管责任、领导责任，这些责任可能是财务、经营、管理甚至是社会责任。世界各国都要求对政府官员、企业高管的履职履责情况进行考核和评价，作为对高官高管能否留任或升职的重要依据。西方国家较多采用的是绩效审计方式，我国则独创经济责任审计。由于经济责任审计在官员政绩考核和高管业绩考核、防范和揭露腐败中的作用显着，已引起许多国家的关注和借鉴。
随着我国经济体制改革的逐步深化，国有企业领导人员在经济、管理、社会等方面的责任已经确定。在新财政管理体制下，党政主要领导干部在预算管理、政府采购、财务、会计、内部控制、风险管理、信息质量等方面所承担的责任更加明确。如《事业单位财务规则》（2012）规定“事业单位的财务活动在单位负责人的领导下，由单位财务部门统一管理”；《行政事业单位内部控制规范（试行）》（2012）规定“单位负责人对本单位内部控制的建立健全和有效实施负责”。这就给审计部门提出了更高要求，一方面要求内部审计部门能够承担更多的经济责任审计任务、扩大经济责任审计的覆盖面，另一方面要求提高经济责任审计的质量和效率效果，以满足组织、纪检监察各部门考核、任用或聘用、晋升领导干部和领导人员以及防治腐败的需要。就是说，扩大经济责任审计的覆盖面、提升经济责任审计的质量和效率，是新财政管理体制对内部审计提出的又一要求。
4. 更多提供咨询服务。内部审计业务可以分为两大类，一是确认业务（也称确认服务业务），即内部审计师依法独立地对被审计单位的财会资料、经营和管理、绩效、内部控制、风险管理等进行检查和测试，获取审计证据，作出信息、绩效、内部控制、风险管理等是否真实、合法、有效的客观评价结论，如财务审计、绩效审计、内部控制评价等。在生存压力不大、风险水平较低、发展目标战略明确的情况下，被审计单位及其利益相关方更多地希望审计师提供评价意见和结论，以便了解掌握经营管理信息和经营绩效，自行作出决策选择。二是咨询业务（也称咨询服务业务），是内部审计师在不承担管理职责的前提下，为被审计单位出谋划策，以帮助其实现经营目标、提高会计信息质量和经济效益、改进内部控制和风险管理，如提供培训和指导、为内部控制或风险管理体系的完善提供咨询等。在生存环境恶劣、风险水平较高、发展目标和战略难以抉择的情况下，无论是被审计单位还是利益相关的各方，都希望审计师更多地提供“分析和指导”，帮助他们认清风险或机遇、明确发展目标和战略、找出解决问题的可行途径和措施。
新财政管理体制下，业务、信息处理流程简化，但预算管理、财务管理、行政管理方面的要求提高、难度加大，需要有较高站位、能够做信息综合分析和系统整体考虑的内部审计人员来提供咨询服务，帮助其完善机制、实现内部控制和风险管理的运行有效，为各级组织和单位有效地防控风险、科学地确定发展目标和战略提供支持和帮助，为组织目标的实现提供合理保证。
5. 更多协调协作。组织单位内部的各部门、各岗位有着明确的业务分工，其职责、权限各不相同，业务目标和绩效考核标准也不一致，利益不一致甚至是利益冲突在所难免，尤其是在权责划分、应对风险、利益分配方面。由于工作量与薪酬的不匹配而导致业务处理过程中互相扯皮、推诿，有利益时你争我抢、无利可图时躲躲闪闪现象屡见不鲜，不仅使业务处理过程中危机四伏，也使内部控制和风险管理体系难以有效运行。要解决这个问题，除了加强有关部门和岗位的沟通和协调、形成联动机制，建立合理分工、权责匹配、风险防控适当的内部控制体系、风险管理体系外，还需要内部审计机构对各部门、各岗位之间的协调情况进行评价，找出不和谐之处并提出改进的意见和建议；牵头组织各部门、各岗位协作分析问题，共同应对风险；内部审计机构与有关部门或岗位协调工作，一方面保证审计的覆盖面、杜绝重复检查，提高审计和其它部门、岗位的工作效率和效果，另一方面弥补内部审计师的知识不足，并使各部门、岗位的员工从组织整体、系统的角度分析识别风险、从全局角度选择风险应对措施。
组织单位与外部业务相关部门和监管机构之间，也有着明确的分工协作关系。新财政管理体制下，业务处理过程中各业务部门之间的分工更加细致、职责更加明确，彼此间的协作配合变得更加重要。没有各业务相关部门、监管机构的协作协调、支持协助，内部审计机构要想完成内部审计工作任务、帮助组织实现目标是不现实的。
鉴于此，更多地组织所在单位内部各部门、岗位之间的协调协作，更多地与其协调工作；更多更好地与外部各业务相关部门、监管机构协作配合，就成为新财政管理体制对内部审计的又一要求。
二、我国内部审计的发展方向
2013 年 8 月，中国内部审计协会发布《中国内部审计准则》（中国内部审计协会公告 2013 年第 1 号，以下简称《新准则》），并从 2014 年 1 月 1 日起施行。《新准则》规定“，内部审计是一种独立、客观的确认和咨询活动，它通过运用系统、规范的方法，审查和评价组织的业务活动、内部控制和风险管理的适当性和有效性，以促进组织完善治理、增加价值和实现目标。”
②该定义调整了内部审计的职能、范围、方法、目标等，实现了与国际内部审计协会（IIA）内部审计定义的接轨；除对内部审计人员职业道德规范、内部控制审计准则、绩效审计准则、内部审计质量控制准则、审计计划等做了重大调整③外，还对审计计划等 13 项准则做了修订，最终形成了更加科学系统的三层次内部审计准则体系。
2014 年 1 月，审计署发布《内部审计工作规定（征求意见稿）》，将内部审计定义为“单位（或组织，下同）的内部审计机构或者人员，实施的一种独立、客观的确认和咨询活动，它通过运用系统、规范的方法，审查和评价单位的业务活动、内部控制和风险管理的适当性和有效性，以促进单位完善治理、增加价值和实现目标。”不仅充分吸收了国际内部审计的先进理念，也充分考虑了我国内部审计所面临的新形势和新要求。《征求意见稿》还对内部审计机构的设置范围、领导体制、首席审计官的设置及职责做了更加细化和明确的规定；调整了内部审计的职责，突出了战略审计、管理审计、单位内部管理领导干部经济责任审计，并对企业和国家机关、事业单位、社会团体以及其他单位的内部审计机构职责做了规定；对指导和监督内审工作的主体进行了丰富和细化，明确了审计机关对内审工作业务指导和监督的六项职责、审计机关通过内部审计自律组织加强对内审工作的业务指导和监督以及对自律组织的指导和监督，明确了国家有关行业（系统）主管、监管部门（各级国有资产监管部门和银行业、证券业、保险业等金融监管机构）对所属行业内审的监管职责以及内部审计机构对本单位有管理权的所属单位内审工作的监督、指导和管理职责；专设“内部审计自律组织”一章，进一步明确、充实了内部审计自律组织的职责等④。
可见，为了满足市场经济发展对内部审计的需求，顺应国际内部审计的发展要求逐步跟上时代发展的脚步，我国的内部审计也将逐步完成一系列的转变。
（一）内部审计的职能定位：由监督向增值服务转变
从 20 世纪 80 年代我国恢复实施审计制度以来，审计就被定位为“一种独立的经济监督”，内部审计也被定位成“组织（机构）内部的经济监督”，扮演着财政财务收支真实、合法、有效的监督人的角色。这在当时的社会经济条件下是适当的、有效的，三十年来内部审计所取得的成效、发挥的作用足以证明这一点。但进入 21 世纪后，内外部审计环境发生了巨大变化，不仅对审计提出了更高的要求，也为审计的发展提供了必要的条件；而内部审计在经历了三十年的探索后，不论是在理论与实践、还是内部审计制度与内部审计师等各个方面，都具备了满足社会需求、提供更好的内部审计服务的实力；于是，逐步实现向增值服务型的转变就成为历史的必然。
《国际内部审计专业实务框架》（IIA，2013）规定“，增加价值是指内部审计活动通过客观和相关的保证，改善和提高治理、风险管理和控制过程的效果和效率，为组织（及其利益相关方）增加价值”，最终目的是帮助组织实现其目标。由此不难看出，第一，增加价值不仅限于内部审计的意见建议被采纳后为组织增加的收入、节约的成本费用等，更重要的是对内部控制、管理（尤其是风险管理）、公司治理的改进和完善。
收入的增加、支出的减少是易见的，能迅速调动起管理层和员工的热情并引起人们对内部审计的关注和信赖；而控制、管理和治理的改进不一定带来显而易见的经济收益，甚至会因为不理解、利益受到冲击等原因导致管理层、员工的抵触，但这些方面的改进却能从根本上解决组织面临的发展障碍，有助于组织管理水平的提高和生存发展空间的拓展，即可持续发展能力的改进，所带来的价值是长远的、深层次的。第二，增加价值也不仅限于使生产经营、业务活动顺畅进行，更重要的是为组织战略目标、经营目标的实现提供保证。生产、经营的顺利与否关乎组织的生存基础，而目标、战略的确定和实现却关乎组织的命运和前景，内部审计对组织战略和目标的确定是否适当、实施计划和策略是否可行进行审计，发现潜在的风险和可能的机遇、评估管理层应对方案的适当性和有效性并提出改进和完善的意见建议，不仅能够为组织增加价值，也有助于内部审计地位的确立和提高。第三，增加价值与经济监督并不矛盾。因为内部审计在理顺经济秩序、使生产经营或业务处理依法进行方面所带来的违规成本降低、组织利益受损减少，也是一种价值增值。
所以说增加价值是一种理念，是内部审计的高层次职能定位，也是新时代对内部审计的更高要求，是任何内部审计机构都必须正视、并在内部审计工作和内部审计职业发展中逐步落实的。
（二）内部审计的工作重心：由财务、效益向内部控制、风险管理和公司治理效果转变
实现内部审计职能定位向增加价值的转变，内部审计机构就不能再把工作重心放在财务、绩效方面来追求浅层次的收益增加和支出节约上，而应当更多地从管理、战略发展等方面为组织寻求创造价值、增加价值的机会。因此，内部审计机构应当做到以下几点。
1． 参与公司治理、风险管理、控制过程的改进。公司治理理论认为，内部审计是公司治理的四大基石之一，其质量和效果直接影响公司治理的效率和效果；审计理论认为，公司治理的效率和效果是内部审计对象的一个重要部分；二者是密不可分的。《美国 21 世纪公司治理原则》指出⑤，完善的公司治理需要董事会、管理层、内部审计和外部审计共同有效地发挥作用。参与公司治理过程的改进，要求内部审计机构独立、客观地评估治理过程设计和运行的有效性，做出评价结论；提供咨询服务，为改进治理过程的方式提出建议；或者帮助董事会开展治理实务的自我评估⑥。因此，内部审计机构应当在组织内推广适当的道德和价值观确保业绩管理有效，建立有效的问责机制，及时通报风险和控制信息，协调董事会、内外部审计师与高管层之间的工作和信息沟通，评估与职业道德相关的目标、计划、业务的设计、实施及其效果，评估信息技术治理对组织战略和目标的支持程度。
《企业风险管理———整合框架》（COSO 委员会，2004）的风险管理八要素中，内部审计是“监控”的主体之一，须随时通过持续的监控活动、个别评估或两者相结合的方式，对风险管理构成要素的存在和运行进行评估。参与风险管理过程的改进，要求内部审计机构通过检查、评估、报告并提出改进管理层风险过程的适当性和有效性的建议，协助董事会完成监督职责；识别、评价并运用风险管理的方法和控制措施，帮助组织解决风险问题；通过实施质量保证与改进程序、定期审核内部审计领域及审计计划、有效的审计规划和设计、适当的资源配置等，管理内部审计活动所面临的审计失效风险、错误确认风险、声誉风险⑦。因此，内部审计机构应当评估组织的治理、运营、信息系统方面的风险，关注舞弊发生的可能性以及组织对舞弊风险的管理；评估组织目标、重大风险的识别和评估、风险应对方案的选择、沟通、风险管理过程的监督等，以评价风险管理过程的有效性并提出改进建议；在咨询过程中关注与业务目标相关的风险，并警惕其他风险发生的可能性；内部审计机构还应当以风险为导向，规划内部审计的发展，计划内部审计工作，并运用风险管理方法对内部审计风险实施有效管理。
《内部控制———整合框架》（COSO 委员会，1994） 的内部控制五要素中，内部审计是“监控”的主体之一，须通过持续性的监控行为、独立评估或两者的结合的方式，对内部控制体系的有效性进行评估，发现内部控制缺陷并提出改进建议。参与内部控制系统的改进，要求内部审计机构评估（单项/综合评估）针对组织内部治理、运营、信息系统等风险的控制是否适当、有效（效果和效率），找出重大差异或缺陷并提出纠正或改进的意见建议，协助组织维持有效的控制；尤其应当关注信息（包括组织信息、个人信息或称个人隐私）的可靠性和完整性，并酌情对改进或实施新的控制和安全保障提出建议⑧。我国的《第 2201 号内部审计具体准则———内部控制审计》（中内协，2013）规定，对内部控制设计和运行的有效性进行审查和评价，出具客观、公正的审计报告，促进组织改善内部控制及风险管理，是内部审计的责任；内部审计机构可以针对组织所有业务活动的内部控制五要素进行全面审计（全面内部控制审计），也可以针对组织内部控制的某个要素、某项业务活动或业务活动某些环节的内部控制进行审计（专项内部控制审计）；内部审计机构实施的内部控制审计，应当以风险评估为基础、根据风险发生的可能性和对组织单个或者整体控制目标造成的影响程度确定审计的范围和重点，并关注串通舞弊、滥用职权、环境变化和成本效益等内部控制的局限性；在对内部控制全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域的内部控制；真实、客观地揭示经营管理的风险状况，如实反映内部控制设计和运行的情况。该准则还分别对组织层面和业务层面内部控制设计和运行情况审计、审计程序、内部控制缺陷（设计缺陷和运行缺陷）认定和报告、内部控制审计报告的内容等做了明确规定。
2. 积极尝试内部审计新业务。经济责任审计、社会责任审计、环境审计、信息系统审计、网络安全审计、职业道德审计、社会公德和可持续性审计等审计业务，内部控制、风险管理、信息系统、治理等方面的咨询业务，都是内部审计机构可以尝试的新的内部审计业务领域。这些业务可能在理论、实践方面还不太完善，有的甚至还存在争议，但也给内部审计创新提供了相当大的空间。有意识地在内部审计发展规划、计划中安排一些新业务，或在财务审计、绩效审计中增加新的业务内容，不仅能够更广泛地为组织增加价值，也能为内部审计发展拓展新领域，对组织的发展、内部审计地位的提升都是有积极作用的。
（三）内部审计的审计模式：由账项导向、控制导向向风险导向审计转变
《内部审计 2012———关于内部审计发展前景和内控导向审计方法逐步退出的研究报告》（普华永道，2012） 指出，“以风险为导向的审计理念意味着内部审计人员利用全面的、成形的方法进行审计、风险评估和风险管理，成功跨越以内部控制为中心的审计理念。在风险导向审计理念的引导下，内部审计应在风险评估和风险管理成为利益相关方的首要关注点时，提升其履行职能所能实现的价值。”
风险导向审计从 2006 年开始在我国注册会计师领域广泛实行⑨，《中华人民共和国国家审计准则》（中华人民共和国审计署令第 8 号，2010）也引入了风险导向审计模式。中国内部审计协会 2013 年发布的《中国内部审计准则》规定，内部审计机构和人员应当全面关注组织风险，以风险为基础组织实施内部审计业务；内部审计机构应当根据组织的风险状况、管理需要及审计资源的配置情况，编制年度审计计划⑩。
也就是说，风险导向审计已经全面进入了我国的内外部审计领域。
与注册会计师的风险导向审计不同，以风险为导向的审计理念意味着内部审计人员利用全面的、成形的方法进行审计、风险评估和风险管理。内部审计领域的风险导向审计除了要求在审计实施过程中依据对被审计单位或项目的风险评估水平计划具体的内部审计工作过程，如审计程序选择、审计证据获取、审计证据的相关、可靠和充分性的判断等，还要求依据组织风险的水平来安排内部审计机构的工作，包括内部审计长期发展规划的制定、审计范围的确定、年度审计计划的编制、人力资源的配置和培养等。换句话说，内部审计不仅要在各项审计业务的实施过程中，以评估的组织风险水平为依据计划安排审计程序、组织各项具体审计工作的实施；还要将组织的风险管理框架或过程纳入审计对象范围，评估其设计和运行的有效性；还必须依据组织的风险水平，计划内部审计机构的工作、规划内部审计机构和内部审计人员的未来发展。
（四） 内部审计人员的素质要求：由注重财会向注重管理、治理、信息技术转变
在内部审计的职能定位由监督转向增值服务，内部审计的工作重心由财务和效益转向控制、管理和治理效果，全面引入风险导向。在风险导向审计的情况下，内部审计师能否胜任就成为决定内部审计发展的关键。
要满足内部审计人员的素质要求，需关注以下几方面：
一是提高内部审计师个人的职业道德和专业胜任能力，内部审计人员应通过自学、接受后续教育、积极实践，来提高自己的道德修养和业务素质；二是提高内部审计机构的整体素质，这需要合理配置内部审计人员，通过组织各部门的人才流动和培养、专业人才的引进，使内部审计机构能够整体胜任工作需要；三是制定人力资源计划，从内部审计长远发展的角度规划内部审计人员的培养和引进；四是积极与各业务部门协作、合作，利用其专业资源完成内部审计工作任务。总之，只有通过多方努力大幅度提高人员素质，为组织增加价值的目标才有可能得以实现。
