Risk-based Audit 的優劣

有一位相信是正在在學的網友，問Risk-based Audit 有何優點及缺點。這條問題其實問得相當好，雖然Risk-based Audit目前受廣泛採用，但它並不是沒有缺點的。這個提問正好反映出這位網友看問題時不會單單只偏向一面，也不會盲目隨波逐流。

Risk-based Audit（風險基礎審計）的具體做法其實是首先要找出Auditee（審計對象）的所有相關風險，然後再為每項風險配對目前的Key Control（關鍵控制），並衡量其控制是否足夠及有效。

採用Risk-based Audit，我們不需要像以往般，先要將Auditee的流程由頭至尾審閱。我們只要將風險和控制點做配對，即是先找出是否所有風險都有控制點。有控制點的風險，我們就測試其控制是否足夠和有效；沒有控制點的風險，我們就需要和Auditee商討，作出相應的補救措施。

就是因為Risk-based Audit只看和風險相關的，其他不相關的地方，例如人手安排是否合理，流程是否可以更有效率等，在Risk-based Audit中就可能不會考慮到。而且因為只針對風險和控制點的配對，審計人員未必能夠對整個流程有深入的了解，對日後制定補救措施時或多或少會有影響。

在早前的文章《Process-based Audit 對 Risk-based Audit》曾經提過，以我的經驗，如果為某流程首次做審計，我會先用傳統的Process-based approach，這樣會令審計人員加深流程的了解，特別當管理層向內審徵詢意見及要求詳細描述問題時，如果內審人員不清楚實際運作的話，給管理層的感覺就不好了。如果某流程的審計不是首次，特別是審計時間及人手有限的時候，而流程沒有重大的變動時，我則會採用Risk-based approach。

&&&&&&&&