內部審計參與企業(yè)風險管理實踐探析

李萍

摘要：本文從內部審計參與企業(yè)風險管理的意義出發(fā)，指出內部審計參與企業(yè)風險管理的途徑和方法，并進一步探討了內部審計與風險管理結合在企業(yè)中的應用和實踐。

關鍵詞：內部審計 企業(yè)風險管理

現階段，我國的社會經濟發(fā)展已經逐漸步入了“新常態(tài)”，從增長速度上來看，已經從高速增長轉變?yōu)榱酥懈咚僭鲩L；從發(fā)展方式層面出發(fā)，已經從依靠資源要素以及投資驅動轉變?yōu)榱藙?chuàng)新驅動。目前的經濟發(fā)展“新常態(tài)”促進了企業(yè)管理工作的“新常態(tài)”，內部審計作為現代企業(yè)管理的重要組成部分，應找準與現代企業(yè)管理的結合點，積極主動適應經濟發(fā)展新常態(tài)。隨著內外部環(huán)境變化，企業(yè)經營環(huán)境變得日趨復雜，各種風險日益增多，正確認識風險和風險管理的意義，尋找風險管理的有效途徑，幫助企業(yè)及時、有效地預防和應對風險，是推進內部審計工作創(chuàng)新發(fā)展的途徑之一。本文從內部審計參與企業(yè)風險管理的意義出發(fā)，指出內部審計參與企業(yè)風險管理的途徑和方法，并進一步探討了內部審計與風險管理結合在企業(yè)中的應用和實踐。

一、企業(yè)風險管理的概念

2004年9月，美國COSO委員會在《內部控制整合框架》的基礎上擴展形成了《企業(yè)風險管理整合框架》（COSO-ERM），為現代化企業(yè)風險管理工作提供了一個相對全面的指南?；贑OSO框架，企業(yè)風險管理主要是由企業(yè)中的董事會、管理人員以及其他工作人員在計劃方案制定的時候以及在整個企業(yè)中實施的、用于識別可能影響組織的潛在事件并根據風險偏好管理風險，為組織目標的實現提供合理保證的過程。

二、內部審計參與企業(yè)風險管理的意義

從企業(yè)內部管理來看，內部審計是企業(yè)風險管理中的關鍵性組成部分，充分發(fā)揮著提升風險管理水平的重任；從內部審計發(fā)展進程來看，參與企業(yè)風險管理逐漸發(fā)展為內部審計工作的專業(yè)化發(fā)展方向與業(yè)務拓展的主戰(zhàn)場。此外，內部審計工作作為企業(yè)內部有著相對超脫以及獨立身份的專業(yè)化機構，能以更加全面、深刻和專業(yè)的視角仔細觀察分析以及評價企業(yè)發(fā)展期間所面臨的多種內部風險因素與外部風險因素。內部審計可以充當現代化企業(yè)風險控制管理的最后屏障，發(fā)揮安全網的作用。具體來說，內部審計不僅能夠憑借監(jiān)督身份實施獨立性企業(yè)風險評估，而且還能夠憑借服務職能上的優(yōu)勢全面參與到相應的風險管理建設中去，最終實現內部審計工作健康發(fā)展以及大膽創(chuàng)新，從根本上提升審計地位。此外，風險管理方面的專業(yè)化理論與實踐的發(fā)展同樣可以促進企業(yè)內部審計在價值層面的保值增值，創(chuàng)造更大的業(yè)務空間以及發(fā)展平臺，實現內部審計逐漸從傳統(tǒng)財務向非財務領域的科學化過渡發(fā)展。

三、內部審計參與企業(yè)風險管理的途徑和方法

（一）協(xié)調組織風險管理決策

內部審計在企業(yè)中具有的獨特組織地位，大多數企業(yè)的內部審計分布于各個組織系統(tǒng)和各個基層單位的內部，對企業(yè)的業(yè)務接觸全面，能夠在企業(yè)企業(yè)風險管理以及改進等環(huán)節(jié)發(fā)揮組織協(xié)調的作用。其次，內部審計人員跟其他具體的業(yè)務職能人員相比，更能避免逆向利益驅動、環(huán)境影響、反道德行為等可能導致風險管理失效或不徹底等情況的發(fā)生，有助于其發(fā)表專業(yè)、客觀的意見，協(xié)助設計和實施企業(yè)風險管理。再次，內部審計可以協(xié)助企業(yè)中的不同部門對各種風險進行不斷完善，制定出合理化的處置方案，致力于優(yōu)化企業(yè)的風險應對措施，日益完善風險防范管理方案，從根本上減少由于風險而造成的企業(yè)損失。但是，內部審計執(zhí)行協(xié)調角色職能時，應避免承擔相應的管理職責，且不能因協(xié)調業(yè)務而損害其獨立性。

（二）提供咨詢服務

內部審計針對企業(yè)風險管理開展咨詢業(yè)務的深入程度取決于企業(yè)風險管理的成熟度。當企業(yè)尚未建立全面風險管理框架時，內部審計應該作為企業(yè)風險管理的推動者，將企業(yè)風險管理的意識引入到企業(yè)文化當中，從而使每個崗位上的員工都形成風險意識。當企業(yè)逐步建立全面風險管理框架時，內部審計人員應充分發(fā)揮自身具備的全局視野和專業(yè)技能，適時根據企業(yè)戰(zhàn)略目標、經營策略的調整以及自身財務知識結構、所處外部經濟環(huán)境的變化，不間斷地改進和完善企業(yè)風險管控的組織結構和業(yè)務流程，使之能持續(xù)符合企業(yè)的風險承受能力，為企業(yè)長期發(fā)展保駕護航。此外，需要引起注意的是，當內部審計機構開展咨詢服務工作的時候，必須要充分考慮自身的專業(yè)化勝任能力。具體來說，內部審計的相關工作人員必須要有著相對較強的風險管理知識以及操作技能，而且應經過專業(yè)化培訓教育，可以清楚了解風險識別情況、風險評估情況、風險監(jiān)控情況等。

（三）評價企業(yè)風險管理過程

內部審計應從以下幾個方面對企業(yè)風險管理過程進行評價：一是評價企業(yè)風險管理組織結構是否充分、適當和有效，對于其設計和運行存在的缺陷和不足提出針對性改進措施，充分發(fā)揮內部審計的咨詢職能，使風險管理組織結構更具有合理性。二是在熟悉企業(yè)戰(zhàn)略目標和經營業(yè)務的基礎上，針對不同項具體評價其風險識別是否全面，風險等級劃分是否合理。

（四）跟蹤風險控制活動

從實際操作來說， 企業(yè)風險管理框架的執(zhí)行遠比框架的設計重要，一個設計完美的管理框架可能因判斷錯誤、執(zhí)行人的勝任能力和內外部境變化等因素而失去其應有的作用。因此，內部審計人員應當對風險所處環(huán)境及其他相關因素開展持續(xù)性監(jiān)測和分析，動態(tài)關注企業(yè)風險監(jiān)控體系是否健全及執(zhí)行效果，也可以通過對內部審計揭示披露風險或問題的處理情況開展后續(xù)跟蹤檢查，檢查所實行的控制措施是否及時有效或產生新的風險，并將檢查結果及建議提供給企業(yè)管理層以便改進風險控制措施。

四、內部審計與企業(yè)風險管理結合在企業(yè)的應用和實踐

根據國資委《中央企業(yè)全面風險管理指引》以及《關于2012年中央企業(yè)開展全面風險管理工作有關事項的通知》要求，中國鐵路總公司及其所屬鐵路局已經在探索如何將內部審計與企業(yè)風險管理進行有益的結合，并針對高風險領域及管理層關注的問題開展了一系列專項審計和調查，提高了內審的效率和效果，也證明了與企業(yè)風險管理的整合是內部審計發(fā)展的主要方向之一。例如，中國鐵路總公司對鐵路基建項目建設情況進行跟蹤審計，就工程的立項、預算、招標、合同、實施、驗工計價、驗收、竣算、付款等各環(huán)節(jié)進行審計，對發(fā)現的問題及時提出管理建議并協(xié)助整改，保證了工程項目優(yōu)質高效快速的建成；南昌鐵路局內部審計部門根據與企業(yè)風險管理戰(zhàn)略目標匹配的業(yè)務重點，開展了全局非運輸企業(yè)物資貿易經營風險防控管理情況、職工保障性住房建設資金管理情況等專項審計，為管理層的后續(xù)決策提供了依據，促進了企業(yè)風險管理的持續(xù)改進。這些專項審計和調查對現階段國有企業(yè)內部審計工作的開展無疑有著很好的示范作用，但是鐵路企業(yè)因其特殊的歷史原因和體制問題，長期以來將安全風險管理作為企業(yè)風險管理的主要目標，缺乏將戰(zhàn)略風險、財務風險、市場風險、運營風險和法律風險整合的全面風險管理體系，還處于風險管理的初級階段，不夠系統(tǒng)和規(guī)范。筆者嘗試根據企業(yè)風險管理流程，設計了風險管理基礎審計的一般程序，希望能起到拋磚引玉的作用。

（一）計劃階段

內部審計部門制定年度審計計劃時，應對識別出的風險事件評估后進行風險排序，確定審計先后次序。審計計劃制定后并非一成不變，當管理層的目標、方針和關注點發(fā)生變化時，應對審計計劃進行適時調整，重新分配審計資源。其次，在執(zhí)行審計業(yè)務計劃的過程中，如果出現內部審計資源不足或審計范圍受到限制的情況，內部審計部門負責人應及時向企業(yè)管理層報告，以避免無法獲取充分、適當的審計證據，導致審計結果出現偏差。

（二）準備階段

風險管理審計的準備階段是進行風險管理審計的基礎，這一階段所需進行的準備工作主要包括：了解企業(yè)的風險偏好和戰(zhàn)略目標、業(yè)務層面目標的風險承受度；在審計業(yè)務范圍內實施初步調查后，確定審計目標和審計領域相關風險、控制程度及可利用的內審資源；審計方法的選擇等。

（三）實施階段

1、根據審計范圍選取合適的風險評價標準

內部審計人員在選取風險評價標準時，應考慮該風險評價標準是否符合被審計單位的實際情況；是否涵蓋大部分的風險領域；風險特征是否鮮明清晰，對環(huán)境的變化是否具有彈性。

2、對審計范圍內的風險進行分析和評價

內部審計人員結合企業(yè)經營戰(zhàn)略制定和部署，采取定量分析與定性分析相結合的方法對風險實施綜合性評估。通常情況下，風險評估坐標圖屬于相對常見的分析方法，屬于定性分析法，主要是借助對風險帶來影響大小的反映，將此結論與風險可能出現的情況進行密切關聯(lián)，從根本上為明確業(yè)務風險次序提供合理化框架。定量分析方法則可以通過采集足夠多的風險樣本，利用專業(yè)工具和技術建立概率模型量化風險來確定風險評級；再按照初始設定的影響程度和可能性估值，計算風險評分，將評分較高的風險列作主要風險，評分較低的風險列作次要風險，然后對風險進行優(yōu)先次序的排列。

3、對風險應對措施進行評價

在確定了風險的范圍、發(fā)生的可能性、可能造成的損失等因素后，是否正確地選擇了風險應對策略，最大限度地降風險是內部審計人員的重點關注點。風險應對策略一般來說有規(guī)避、控制、轉移、承受四種，每種策略的使用是有條件的，否則將認為措施不當。內部審計人員應結合被審計單位的風險偏好、企業(yè)所處的環(huán)境特征、風險程度以及企業(yè)管理人員的經驗等，來判斷企業(yè)風險應對措施選取是否適當。

4、對風險管理框架進行評價

內部審計部門應在眾多單項風險評估的基礎上，評價企業(yè)風險管理框架的充分性和運行的有效性。包括：評價風險控制體系所具有的有效性特點，也就是說風險控制體系的應用是否可以獲得相應的預期效果，最終實現預期的實際控制目標；科學評價風險控制體系是否存在重大差異和缺陷，發(fā)現后是否及時進行了糾正或改進。

（四）報告階段

風險管理審計報告就是內部審計的工作人員針對審計過程中所發(fā)現的相應風險水平以及對于組織目標所產生的影響作出的評價結論和控制過程評價報告，除具備內部審計報告的要素外，還應簡明易懂、有建設性意見?？梢匀N形式發(fā)表評價結論：一是無保留意見，即經過審計沒有發(fā)現風險管理體系存在普遍的相對嚴重的薄弱環(huán)節(jié)；二是保留意見，也就是審計可以發(fā)現風險管理體系當中存在的相關管理漏洞或者是薄弱環(huán)節(jié)，然而整體上是不至于失效的；三是否定意見，也就是風險管理體系有重大漏洞或嚴重的薄弱環(huán)節(jié)，風險管理體系整體上作用很小甚至失效。

（五）審計后續(xù)階段

內部審計部門應對審計結果進行跟蹤檢查，監(jiān)督管理層已采取有效措施，確保審計建議能夠得到有效落實；或管理層針對審計中發(fā)現的問題，決定接受不采取行動所帶來的風險。

參考文獻：

[1]內部審計在治理、風險和控制中的作用[M].西苑出版社，2008年

[2]中央企業(yè)全面風險管理指引，2004年

[3]黃園園.內部審計與企業(yè)風險管理的協(xié)調與整合[J].審計與經濟研究，2005年5期

[4]劉國賢.淺談內部審計在公司治理中的作用[J].財經界，2009年10期