3. 审计范围概述
在金融模型审计中，审计范围不是一句“本次审计覆盖XX模型”就能交代清楚的形式条款，而是决定审计深度、资源投入、结论效力乃至责任边界的核心契约。范围界定失当，轻则导致关键风险遗漏，重则使审计报告在监管质询或内部追责中失去支撑。本节从定义出发，逐层拆解边界划分原则、影响因素与常见误区，为后续风险分级建立可操作的前置约束。
一、审计范围的定义：三个维度的交集
金融模型审计范围，是指审计主体在特定审计周期内，针对模型全生命周期所承诺覆盖的对象集合、时间区间与证据深度三者的交集。它回答三个问题：审什么（对象）、审哪一段（时间）、审到什么程度（深度）。
- 对象维度：模型本体、输入数据、参数假设、代码实现、文档记录、治理流程、下游应用场景。
- 时间维度：模型开发期、验证期、上线部署、持续监控、定期重校准、退役下线。
- 深度维度：文档审阅、逻辑复算、独立重实现、压力测试、敏感性分析、回溯测试。
三者缺一不可。只写“审计信用风险模型”而不限定时间与深度，等于没有范围。实践中，范围通常以范围说明书形式固化，并经审计委员会与模型所有者双方确认。
核心原理：审计范围本质是一份“风险覆盖承诺”。范围越宽，审计保证水平越高，但资源消耗呈非线性增长。因此范围界定必须与模型重要性、监管要求和可用资源三者匹配。
二、边界划分原则：四条可执行的准则
边界划分不是拍脑袋，而是遵循以下四条原则：
- 风险导向原则：优先覆盖高风险、高复杂度、高业务依赖的模型。低风险模型可采用简化审计或抽样审计。
- 实质重于形式原则：即使模型名义上属于“简单模型”，若其输出直接影响资本计量或客户定价，也应纳入实质审计范围。
- 可验证性原则：范围必须落在可获取证据的边界内。若某模型代码由外部供应商封闭提供，无法独立复算，则应在范围中明确标注“依赖第三方保证”，而非强行纳入深度审计。
- 动态可调原则：范围不是一次性锁定。当模型发生重大变更、市场环境突变或监管新规出台时，应触发范围重估。
下表给出一个典型银行模型审计的范围划分清单示例：
| 模型类别 | 是否纳入本期范围 | 审计深度 | 边界说明 |
|---|---|---|---|
| 信用评分卡（零售） | 是 | 独立重实现 + 回溯测试 | 覆盖开发与监控阶段 |
| 市场风险VaR模型 | 是 | 逻辑复算 + 压力测试 | 仅覆盖内部模型，不含 vendor 黑盒 |
| 操作风险打分卡 | 否 | — | 上期已审，本期无重大变更 |
| 反洗钱规则引擎 | 部分 | 文档审阅 + 抽样验证 | 规则逻辑纳入，底层数据管道除外 |
三、范围确定的影响因素与可视化关系
范围确定受多重因素拉扯，下图展示其核心影响关系：
四类因素并非独立作用：监管要求往往直接抬升重要性判断，资源约束则可能迫使审计团队在深度维度上做取舍。范围决策的本质，是在这些约束下寻找风险覆盖与可行性之间的最优解。
四、常见误区与复盘要点
误区一：范围过宽导致审计浮于表面。试图在一个周期内覆盖全部模型全生命周期，结果每个模型只做文档审阅，关键逻辑未复算，审计保证水平名不副实。
误区二：范围过窄遗漏关联风险。只审模型本体，忽略上游数据质量与下游应用场景，导致模型在真实业务中失效却未被发现。
误区三：边界模糊引发责任争议。范围说明书中使用“相关模型”“必要时”等模糊措辞，事后模型所有者与审计团队对是否覆盖某模块各执一词。
复盘要点：每次审计结束后，应回溯范围说明书与实际执行记录，标记“范围外但实际发现风险”的条目，作为下一期范围调整的依据。范围管理本身也需要持续改进。
一个可操作的检查清单如下：
- 范围说明书是否明确列出模型清单、时间区间与审计深度？
- 是否标注了范围外事项及排除理由？
- 是否获得模型所有者与审计委员会的双签确认？
- 是否设置了范围变更的触发条件与审批流程？
- 是否将上期“范围外风险发现”纳入本期重估？
审计范围的确定，是金融模型审计从“泛泛而谈”走向“精准打击”的第一步。只有把对象、时间、深度三个维度锁死，把边界划分原则落到纸面，把影响因素纳入权衡，把常见误区提前规避，后续的风险分级才有坚实的立足点。范围不清，分级必乱；边界不明，结论必虚。