风险导向内部审计是指以被审计单位的风险评估为基础，综合分析评审影响被审计单位经济活动的各因素，并根据量化风险水平确定实施审计的范围和重点，进而进行实质性审查的一种审计方法。国际上对风险导向内部审计领域研究起步较早，2003年，我国内部审计协会发布了第一批内部审计准则，迈出了我国内部审计职业化的步伐。近年来风险导向审计在我国得到了快速发展。结合实务中积累的经验和国际优秀企业做法，笔者认为内部审计工作流程应以风险因素为中心点向外辐射，将风险导向渗透到内部审计准备、实施、终结和后续审计四个环节（如图1所示）。

一、 内部审计准备环节

图1以规划审计计划为起点，先考虑审计范围是否符合企业风险管理目标。企业风险管理受运营环境等各种风险因素的影响，而这些风险因素会相互叠加放大或抵销减少，因此，内部审计不能仅从某项业务、某个部门的角度考虑风险，应在审计范围中考虑吸收企业风险管理目标的成分，确定范围后进行年度风险识别，在确定关键风险领域的基础上建立审计计划，使内部审计计划的制定紧密结合企业风险管理目标。由于内部审计资源有限，一定时间内，内部审计活动应突出重点。根据企业管理需要选择被审计对象、业务种类，在关注和评估风险及风险暴露优先次序的基础上利用金额的重要性、资产流动性、管理能力、内部控制的质量、变化或稳定程度等风险因素确定业务工作重点、安排审计工作，制定计划以确定审计日程表及审计所需资源。

二、 内部审计实施环节

风险导向内部审计在实施环节必须选择适当的审计方法。传统内部审计在开展审计业务时往往从直接测试内部控制入手，而风险导向内部审计应关注各项风险因素是否得到适当管理，同时在实施审计时，通过舞弊评估、有针对性的调查、运用适当的检测和证实风险的技术与方法来降低企业风险，如Oracle公司，其内部审计人员将风险与企业目标直接挂钩，审计实施环节充分利用Excel和ACL数据分析软件、公司全球最佳实务数据库等审计工具和资源，运用面谈和调查问卷、交易合规性测试、数据分析及趋势、沟通审计发现等多种审计方法，实现内部审计专项调查和日常检查，为公司治理层及管理层提供服务。我国江铃汽车股份有限公司按照风险大小确定审计重点，对于高风险环节，非常注重在内部控制与经营效率间找到平衡点，采用更严密的程序和更严格的手段，将人力物力资源尽可能分配到风险大的事件或环节上。

三、 终结审计和后续审计

风险导向内部审计不仅意味着在企业计划中体现对未来的预先考虑，还体现在终结审计和后续审计中。在这两个环节，企业将完成现场审计并出具审计报告。审计报告应简洁明了，并关注各项风险因素的披露和审计建议执行力度。对此，国际通用做法有两点：1.跟踪管理层对审计发现问题的整改情况。现场审计结束后，一般会有客户满意度调查，征求被审计方的意见，主要目的是推动内部审计结果的执行，以及为企业增加价值。2.后续审计在确定合适的后续程序时，首席审计执行官应充分考虑报告中的审计发现和建议所涉及的风险，考虑实施纠正措施的困难程度和时间安排等，并以此为依据安排后续工作，对于纠正措施失败后仍未消除的风险因素则将其纳入重新制订审计业务计划时应考虑的风险因素之中。

总之，鉴于风险的客观性，在实现增值目标、进行战略规划及经营计划等决策过程中，以企业目标及风险为出发点判断审计重点的理念显然更加符合企业需要，风险导向内部审计能够改变内部审计人员对于控制与风险的思考，促使其根据企业风险调整审计计划，确定审计重点，使内部审计人员对于企业所面临的风险予以关注，以提供更相关、更符合管理需要的信息。