4. 舞弊风险再评估

舞弊案件一旦暴露，原有风险评估结论往往已经失效。案件本身说明：此前被判定为“低风险”的领域可能存在控制缺陷，此前未识别的舞弊路径可能真实存在，此前认为“已控制”的环节可能只是控制设计存在但运行无效。因此，案件暴露后的风险再评估不是简单地把原风险等级调高，而是要以案件为证据起点，重新回答三个问题：哪些风险被证实存在、哪些控制被证实失效、剩余风险到底有多大。

一、以案件为证据源，重建风险清单

再评估的第一步不是重新发放风险问卷，而是把案件材料转化为风险证据。具体做法是：从案件调查报告、审计工作底稿、访谈记录、系统日志、资金流水、合同台账中提取“舞弊行为—被利用的控制缺陷—涉及的业务环节—影响金额或范围”四类信息，形成案件证据映射表。例如，某采购舞弊案中，供应商准入未做关联方核查、采购订单与合同金额不一致、验收单由采购员代签，这三条缺陷分别对应“供应商准入风险”“合同审批风险”“验收控制风险”，且均已被实际发生的行为证实。

映射完成后，将案件证据与原有风险清单逐条比对，区分三种情况：已证实风险（原清单中有、且案件已发生）、新增风险（原清单中没有、但案件暴露出的新路径）、控制失效风险（原清单中有、但控制被证明无效）。这一步的关键是不要只盯着案件直接涉及的岗位，而要沿业务流向上游和下游延伸，因为舞弊往往利用的是流程衔接处的空白。

二、风险重估：从“可能性×影响”到“证据强度×暴露程度”

传统风险矩阵用“可能性×影响”打分，但案件发生后，“可能性”已经不再是估计值，而是事实。因此再评估应采用修正后的二维判断：证据强度（案件是孤例、多例还是系统性发生）与暴露程度（涉及金额、涉及期间、涉及岗位数量、是否跨区域）。证据强度越高、暴露程度越大，风险等级越高。对于尚未发案但存在同类控制缺陷的领域，则保留“可能性×影响”作为辅助判断，但可能性赋值应参考案件揭示的缺陷普遍性。

实际操作中，可以给每个风险项赋三个参数：E（证据强度，1—3分）、X（暴露程度，1—3分）、C（现有控制有效性，1—3分，1为有效、3为失效）。综合风险值 R = E × X × C。例如，某费用报销舞弊案中，证据强度为3（连续12个月发生）、暴露程度为2（涉及金额约80万元、涉及3个部门）、现有控制有效性为3（复核流于形式），则 R = 3×2×3 = 18，属于高优先级。若另一风险项仅有举报线索、尚未证实，E=1、X=1、C=2，则 R=2，可列入观察清单。

三、剩余风险判断：区分“已控制”与“已缓释”

剩余风险不是“固有风险减去控制”这么简单。案件暴露后，必须重新判断现有控制是否仍然有效。判断标准有三条：控制设计是否覆盖了案件揭示的缺陷、控制运行是否有留痕证据、控制执行人是否独立于业务经办人。三条中有一条不满足，该控制就不能计入剩余风险的抵减项。例如，某公司规定“采购付款需财务经理复核”，但案件中财务经理与采购员为亲属关系且从未实质复核，则该控制应判定为失效，剩余风险等于固有风险。

对于已证实失效的控制，应将其从风险地图的“控制措施”栏中移除或标注为“失效待重建”，同时把对应的剩余风险等级上调。对于新增风险，若尚无任何控制措施，剩余风险直接等于固有风险，应优先进入整改清单。

四、优先级排序：用“风险值+整改可行性”双维度排序

仅按R值排序可能导致“高风险但短期无法整改”的事项长期积压。更实用的做法是采用风险值—整改可行性双维度排序：横轴为R值，纵轴为整改可行性（高、中、低），将风险项放入四个象限。第一象限（高R值、高可行性）立即整改；第二象限（高R值、低可行性）制定专项方案并设置阶段性里程碑；第三象限（低R值、高可行性）纳入日常优化；第四象限（低R值、低可行性）列入观察清单。

排序完成后，应输出一份风险再评估与整改优先级表，至少包含：风险编号、风险描述、关联案件、E/X/C取值、R值、剩余风险等级、整改优先级、责任部门、建议完成时限。该表既是风险地图更新的输入，也是后续整改跟踪的基线。需要强调的是，再评估不是一次性的，案件调查每有新进展、每发现一条新缺陷，都应对相关风险项重新赋值并更新地图，确保风险视图与案件事实同步。