审计与风险管理范例(3篇)
审计与风险管理范文
【关键词】内部审计;风险管理;参与原因;运作过程
内部审计准则第16号具体准则——风险管理审计，明确了内部审计人员要对组织内部控制中的风险管理状况进行审查与评价，表明风险管理已成为内部审计发展的重要方向。该项具体准则明确:风险管理是对影响组织目标实现的各种不确定性事件进行识别与评估，并采取应对措施将其影响控制在可接受范围内的过程。
一、内部审计参与企业风险管理的原因
(一)企业的集团化发展，要求内部审计参与风险管理
近年来，随着全球经济金融一体化程度的加深，企业面临的经营环境日趋复杂，经营风险大大增加，内部审计必须对企业经营资源运动的合标性进行全程跟踪审计，把减少企业面临的风险作为企业实现目标的关键。内部审计目前已由外在介入型逐步发展为内在融入型，渗透到企业经营管理的各方面、经济活动的各环节。它已成为强化管理的促进者、提高效能的推动者、风险前瞻的岸望者、价值增值的倡导者。因此，内部审计参与企业的风险管理也就成为企业发展必然的内在需求。
(二)内部审计的自身发展要求参与企业风险管理
1.内部审计的定义包含了风险管理内容
内部审计是采用一种系统化、规范化的方法，来对机构进行风险管理、控制和监督过程进行评价，进而提高它们的效率，帮助机构实现目标。从中不难看出，内部审计的范围已延伸到风险管理，认为只有在风险管理框架中实施的内部审计才能称之为风险管理审计，“评价和改善风险管理”成为了内部审计的重要工作领域，它拓展了内部审计的广度和深度，是对内部审计的重新定位。
2.风险管理赋予了内部审计在企业中新的地位和作用
随着内部审计定位和角色的不断改变，内部审计已成为企业的诊断师，由于在经营中风险的必然存在性，使得任何企业都必须面对风险，并利用一切手段去避免、降低它所带来的影响和后果。内部审计对风险管理的介入，将会使内部审计在企业中成为一个极其重要的角色，能够站在第三者的角度去帮助企业更好地把握经营的方向，并将其在企业中的作用推向一个新水平。
3.内部审计与风险管理的目标是一致的
从风险管理的定义看，风险管理就是通过对面临的各种风险的认识、估测、评价，准确把握各种不确定性，采取恰当的方法，用最低的成本获得最高的安全保障，将损失降至最低水平。它的目标是直接服务于企业的经营目标的。
从内部审计的定义看，内部审计的目的是为企业增加价值并提高企业的运营效率。内部审计部门经过收集资料、识别并评价风险的过程之后，能够对企业的运营提出富有价值的见解，从而被企业管理者采纳，因此可以借此消除各种减值因素，包括风险因素、控制漏洞、治理缺陷等，还可以将这些有价值的信息应用于经营管理活动，从而达到企业增值的目的。由此可见，风险管理与内部审计在其目标上是相一致的。
(三)内部审计参与企业风险管理具有独立性、综合性和连续性的优势
1.独立性优势
内部审计不参与企业具体的业务经营活动，因此不对各项业务管理中出现的问题承担直接责任，其相对超脱的地位是保持审计独立性的内在基础。内部审计通过实施审计检查程序发表的审计意见可以直达企业的管理高层，具有相对客观的基础。
2.综合性优势
内部审计在企业管理中是一个综合性部门，其审计范围覆盖着企业经营的各个方面，掌握的信息是多方面的。企业的风险潜藏在各个方面，风险管理需要从全局角度对风险的影响大小、轻重缓急进行综合评估，协调各方面风险管理的行动。内部审计具有从全局考虑分析判断风险的综合性优势，对企业风险管理进行的系统性、专业性监督检查和评价，权衡企业实施风险防范和效益成本的利弊，在风险与收益比较中研究风险管理的定位。
3.连续性优势
内部审计部门及人员由于长期在企业内部工作，对企业所面临的风险更为了解，对风险的各种影响因素更便于做深入的调查，对企业风险的转化影响、风险管理措施效果等更便于进行连续的跟踪，对风险管理进行循环的连续性监控，而且内部审计长期参与企业风险管理所掌握的风险管理信息和经验，会对不断深化企业风险管理和节约管理成本产生重要影响。内部审计人员作为企业员工，是最终利益的相关者，他们会对企业风险管理的效果和建立风险管理的长效机制更具有责任感。
二、内部审计参与企业风险管理的运作过程
(一)内部审计在企业风险管理中的定位
内部审计与风险管理是你中有我、我中有你、相互依存、联动发展的紧密关系。企业在制订风险管理方案时，应将内部审计作为风险管理的第一道防线，由内部审计对整个风险管理流程进行评估和监控，但内部审计在企业风险管理的建立与防范中，主要责任是对整个风险管理过程进行认定，并评价其充分性与有效性，向管理层报告并提出管理建议，以此来保证风险管理的有效性。因此，内部审计在企业风险管理框架中的首要角色是监督者;其次才是咨询服务者，它承担了咨询者、协调者、建议者的角色。
当然，内部审计在企业风险管理中的角色是一个逐步变化的过程。在企业缺乏风险管理程序的情况下，内部审计可以向管理层提出建立企业风险管理的建议，即建议者;在企业实施风险管理的初期，内部审计能够发挥很大的协调作用，此即协调者;而当企业风险管理逐步成熟、运作稳定以后，内部审计就转化为监督者和咨询者。
(二)内部审计在企业风险管理中的作用
1.能够客观地对企业整体风险管理进行检查与评价
从风险的形成与影响后果等特性，不难看出风险在企业内部具有感染性、传递性、不对称性等特征，如一个部门造成的风险或者疏于风险管理，可能会传递到其他部门，最终要由整个企业承担。因此，有些部门可能会出现缺失道德风险，而这种风险不是由它们来承担行为责任。又如，采购部门为节约采购成本，会忽视对材料规格、型号、质量方面的检查，这种暗藏的风险会在生产车间或者销售部门反映出来，最终给企业造成损失。因此，对风险的认识、防范和控制等需要从全局考虑。
内部审计由于不参与企业经营的具体业务活动，它是独立于业务管理部门的，因而它可以从企业的全局出发、从客观的角度对各种风险进行识别，将风险评估的意见直接报告给董事会或经营管理层，提高管理层对内部审计意见的重视程度，保证其他管理部门及时采取有效措施控制风险，从而达到企业的高效运营。
2.能够以咨询顾问身份协助管理层建立风险管理制度
内部审计在企业尚未建立风险管理的过程中，应积极向管理层提出建立风险管理过程的相关建议。如果企业尚未建立风险管理过程，内部审计人员应该提请管理层注意这种情况，并同时提出建立风险管理过程的相关建议。内部审计可以通过开展风险管理培训培育企业风险管理文化，使风险意识贯穿于企业的各个层面;内部审计可以利用其专业优势开发适合企业特点的自我评估工具，以提醒管理层注意到目标、风险、控制的关系，帮助管理层将生产经营与风险管理更好地结合;内部审计可以通过咨询服务的方式协助企业建立风险管理系统。
3.能够指导企业的风险管理策略，防止控制过度或不足的缺陷
内部审计是内部控制的再控制，企业根据目标和所能承受的风险，制定内部控制制度，内部审计人员对现代内部控制的评估焦点在于强调风险并评估具体的风险管理活动。控制过度容易导致效率不高，控制不足容易导致舞弊行为的产生。内部审计部门处于企业的董事会、总经理和各职能部门之间的位置，内部审计人员能够充当企业长期风险策略与各种决策的协调人，并通过对长期计划与短期实现的调节，指导企业的风险管理策略。
4.能够发挥反馈作用，对企业的风险管理产生预警作用
由于风险是面向未来的，是直接与企业的战略及经营目标相关联的，因此以风险为出发点和核心的内部审计，能够以事后的反馈延伸到事前以及事中，从而达到更高效率的控制。内部审计的咨询职能充分体现了内部审计的能动性及增值目标，并且将事后的反馈扩展到内部控制建立前以及实施时的协助与促进，帮助管理层对风险管理进行持续改进与完善，产生预警功能，从而达到内部审计在企业管理控制系统中的反馈作用。
(三)内部审计参与企业风险管理的方式方法
1.转变观念，将风险管理作为内部审计的重要工作
内部审计应由过去的控制导向审计向现代风险导向审计过渡，由被动地承受审计风险，到主动地控制审计风险，将工作程序转向“确定目标、评估风险、管理风险”。内部审计部门要把参与风险管理写入内部审计工作制度，明确内部审计人员应当关心企业所面临的风险，根据风险评估思路开展对内部控制的评估，使审计报告将目前的控制与策略计划和风险评估连接进来，有效地管理企业风险。
2.要把企业风险管理融入日常审计项目中
企业风险存在于企业经营管理的各个方面，在一次审计中对企业面临的各种风险进行全面的检查和评价是不可能的，因此内部审计须在每一次的日常审计项目中，增强风险意识，引入风险审计的观念和方法，充分揭示和评价企业特定审计范围内存在的风险，使企业管理者对此风险给予重视并采取措施化解和控制。比如，内部审计部门开展的经济责任审计，企业经营负责人在任期内发生的重大投资、债务重组、重点工程建设等活动会对今后产生重大影响，任期内发生的经济纠纷或重要的管理缺陷也不一定会在其任期内体现，对此，内部审计就应作出必要的风险评价，一方面划清前后任的经济责任，一方面帮助企业采取必要的措施防患于未然。
3.要对企业的风险管理机制进行监督检查
当一个企业建立了风险管理机制，其规章制度是否得到有效执行，是需要进行监督检查的。内部审计就是对风险管理的再监督或再管理，是其参与风险管理的一种重要形式。内部审计可以实施各种专项检查，监督检查企业相关风险管理的各个风险控制点，评价预防风险的各项工作是否到位、评价降低风险的有关措施是否有效、评价风险的变化程度等等，从而对进一步改进风险管理提出意见。内部审计还可以对已经显现甚至出现损失的风险进行检查分析，发现和反映企业风险管理中的缺陷，如风险管理责任不清、部门间协调不足、风险防范资源不足等。
4.要加强对内部审计人员的督导
为提高审计工作质量，内部审计机构负责人需根据审计工作的具体情况建立内部审计督导制度，对审计人员的工作进行指导、监督和复核，明确各级人员的责任，同时必须强调督导是贯穿于审计项目的全过程的，它包括对审计方案的制订及修订、审计程序的实施、审计工作底稿的编制、审计证据的收集、审计报告的撰写等。内部审计机构负责人应采取必要的措施，尽可能减少内部审计人员在风险管理工作中的主观判断行为，在督导工作中要遵循重要性、谨慎性和客观性原则。
5.要优化内部审计人员结构，培养高素质的审计人才
审计与风险管理范文篇2
[关键词]内部审计风险管理关系作用
一、企业内部审计与风险管理概述
企业内部审计主要是为了便于企业进行经济管理，实现其经济效益目标而开展的针对本单位以及附属单位的财政与财务收支、经济活动核实等积极活动的监督与评价。通过对经济效益、财务活动以及经济责任进行内部审计，可以有效的加强管理者对于企业的控制，确保企业的正常运行处于有效的监督与管理之下。风险管理是指企业在经营活动中，通过对各项投资以及经营决策进行风险识别与控制，进而将成本风险降低的企业管理活动。随着市场竞争的不断激烈，企业风险管理已经成为企业管理活动的重要组成部分，风险管理需要企业内部各个部门的协作，而内部审计管理由于其监督以及评价功能，可以作为风险管理的保障体系，促进企业经济效益得以实现。
二、内部审计与风险管理关系研究
1.企业的内部审计与风险管理具有密切的关系。随着市场经济发展，企业发展面临更大的风险环境，企业在进行决策活动中对于风险管理工作也更为看重，已经成为了企业内部审计的重要组成部分。现阶段企业经营内部审计的工作重点已经转移到了关键性经营风险的分析控制以及管理方面。
2.内部审计的发展要求必须对风险管理进行有效地监督控制。内部审计的发展已经延伸到企业的管理过程中，为了有效的优化企业的经营管理，提高企业的经营效益，内部审计已经将风险管理作为企业的重点控制指标。
3.内部审计参与风险管理具有较大的优势。内部审计由于在企业管理过程中具有一定的控制作用，在对企业的控制管理、经营活动以及风险管理都有着全面的认识，因此借助于内部审计参与风险管理，可以起到更好的分析控制效果。
三、内部审计在风险管理中的具体作用分析
1.内部审计可以整体的客观的进行风险管理。在企业经营活动中由于部门较多，风险控制管理产生的根源往往不会在项目开始体现，一般会在项目决策实施的后期体现。因此这就需要在全局进行整体的风险控制管理。而企业的内部审计由于不直接参与企业经营活动中的决策管理，而是独立于业务之外的监督评价部门，这就使得内部审计可以在全局以及企业的战略发展方面，进行企业风险控制。
2.企业内部审计可以有效的优化企业风险策略。由于内部审计在企业内部中的独立以及控制地位,因此内部审计部门可以作为企业经营风险决策的指导协调方，对于企业经营管理活动中的针对风险控制管理矛盾进行仲裁，进而发挥对企业的风险控制进行有效调节的作用，加强企业对于经营活动中风险的管理控制。
3.企业内部审计的指导意见更容易被企业管理部门接受。企业在经营活动中，虽然具有专业的项目风险管理分析部门，但是由于受到管理部门的压力较大，风险分析管理结论有时难以为管理及决策部门接受。而内部审计部门由于不参与决策，在其对项目进行审计分析后，可以将风险报告直接提交决策部门，这样有助于决策层更加重视项目的风险管理。
四、企业内部审计过程风险管理具体措施
1.不断完善企业的内部审计组织结构，优化企业内部审计管理体制。企业的内部审计工作得到有效的实施，必须依赖完善的内部审计的组织结构，使得审计作用的功能得以发挥。同时不断优化管理体制，加强企业内部各部门之间的协调沟通，实现企业经营管理活动的全局控制。
2.内部审计部门应提高审计工作人员的专业水平。内部审计工作人员的专业水平直接关系到内部审计监督评价效果，而且由于内部审计的控制作用要求审计部门在企业管理过程中应该具有较强的独立性，因此内部审计部门员工应具有较强的审计技能，在审计过程中严格遵守工作准则，提高内部审计水平。
3.进一步深化内部审计对于企业风险管理的监督管理。企业风险管理部门在确定了风险管理体系后，各项管理措施能否得到有效的落实需要内部审计的监督管理。因此企业内部审计部门在对财务活动、经济效益以及风险管理控制过程中，应该进一步深化对风险管理的侧重。通过内部严谨的审计控制，保证各项风险管理措施得到有效的实施。
4.构建企业内部审计监督管理新理念。在企业的内部审计管理上，应树立企业审计的全局整体关，将审计监督目标与企业的战略发展联系，在审计过程中重点加强风险管控，实现内部审计监督逐步向风险性的审计监督改变，以及审计监督的预估性，不断地提高内部审计工作的功效。
5.结合企业实际情况建立有效的风险管理审计程序。在对审计程序的优化上，内部审计人员应结合企业的实际状况以及市场环境，重点加强对于企业财务政策、经营效益目标、战略规划以及经营风险的管理控制。在对企业的风险审计上，应重点加强以下几方面的审计：风险与市场环境、会计政策等方面的关系；风险与企业贸易的复杂性的关系；风险分析的真实性；风险涉及的企业经营业务范围等方面。在对审计程序进行构件后，应实际检验企业内部审计体系的运行效果，并及时发现审计程序过程中的不利因素，保证审计程序的有效性。
四、结语
现阶段，我国企业在管理过程中对内部审计与企业管理控制之间关系认识及重视程度不足，内部审计工作对于风险管理的侧重程度不足，这在一定的程度上影响了内部审计的效果以及风险管理效果。因此，在企业管理过程中，应充分认识到内部审计与风险管理之间的关系及其在企业管理活动中的重要性，并不断完善管理体制，优化审计程序，才能将内部审计工作落到实处，实现风险的有效控制。
参考文献：
[1]宋东红，朱秀霞.风险管理视角下的内部审计职能探析[J].经济研究导刊，2009(31)
[2]李兆华，杨晨岚.风险管理视角下的内部审计新视野[J].经济研究导刊，2011(23)
审计与风险管理范文
【关键词】内部审计;企业风险管理(ERM);保证;咨询
自美国COSO委员会于2004年4月颁布《企业风险管理框架》(EnterpriseRiskManagementFramework,以下简称ERM框架)后,理论界对ERM的研究风起云涌,监管机构对于ERM的规范不断推出,实务界对ERM的尝试不断增多,如北美、欧洲有11%的组织拥有了完全实施的ERM,90%的组织正在建立或者想建立ERM(JamesRoth,2006);《财富》世界500强企业截至2004年底有近40%实施了ERM,30%部分实施了ERM;我国2006年针对部分先进企业和ERM探索者的一项调查显示,7.89%的企业建立并实施了ERM,15.79%的企业已经建立但是尚未运作,71%的企业在一定程度上建立但流程缺乏相互约束,5.26%的企业没有建立(王雅婷,2008)。可见,ERM受到了越来越多的重视,如何促使企业尽快建立ERM,保证企业顺利实施和完善已经建立的ERM,成为当务之急。
ERM的精髓之一在于全员参与,如何清晰地界定各参与方的职责决定着ERM的实施成效。内部审计作为组织治理结构四大支柱之一,在ERM建立和实施中发挥着重要作用。IIA(国际内部审计师协会)在《内部审计在企业全面风险管理中的作用》意见书中将内部审计在ERM中能够开展的活动划分为三类,第一类是核心性保证活动,包括:就风险管理过程提供保证;就风险被准确评估提供保证;评价风险管理过程;评价关键风险的报告;审阅关键风险的管理。第二类是合理性咨询活动,包括:促进风险识别与评价;指导管理层作出风险反应;协调风险管理相关活动;加强风险报告;保持和开发ERM框架;促进ERM的建立;经董事会批准制定ERM战略。第三类是不适当的活动,包括:设立风险偏好;对风险管理过程施加影响;提供管理层风险保证;对风险反应作出决策;以管理层立场做出风险反应;对风险管理承担责任(RussellA.Jackson,2005)。
上述分类对于指导内部审计合理定位、提供适当形式的服务、保持独立性具有一定的意义,却无助于指导内部审计实现与风险管理过程的有机结合,容易导致内部审计与ERM脱节,或者重视ERM单一环节而忽视整体。为此,应设计一种能够将内部审计与ERM实现对接的方式,使内部审计能够在ERM循环中实现跟踪式全程审计,实现内部审计对于ERM的全程监督,为持续审计奠定基础,该种模式称为“ERM基础审计”。
ERM基础审计模式以COSO委员会在企业风险管理框架中设计的内部环境、目标设定、事件识别、风险评估、风险反应、控制活动、信息与沟通以及监控八要素为基础,考虑内部审计在ERM中能够开展的活动,将两者进行有机结合,形成了如图1所示的ERM基础审计模式(GeorgeMatyjewicz等,2004)。
图示各项要素中,以建立和沟通组织目标为起点,依次经历决定组织的风险偏好、建立适当的风险管理框架、识别阻碍目标实现的风险或事件、评价风险发生的影响和可能性、选择和实施适当的风险反应、实施控制和其他反应活动、进行风险信息一致性沟通、监督和调整风险管理过程和结果八个环节,形成了ERM的一个运行系统。在此基础上,由管理层提供对ERM过程的首要保证,进而由内部审计实施对ERM的独立客观保证和咨询,最终各方履行对董事会服务的职责,董事会对ERM承担最终责任,形成了ERM的一个保障系统。该模式将ERM与内部审计融合在一个完整的循环中,两者实现了无缝对接;明确了内部审计和管理层在ERM中的职责地位;同时,也便于内部审计通过深入各个业务环节开展对ERM的全程审计。
1.建立和沟通目标。CEO负责制订组织的整体战略目标,处于不同管理层次、不同地域分布中的各业务单位、分部和子公司管理层负责制订各自的子目标,子目标必须与组织整体目标保持一致,并与组织文化、价值观、使命和愿景相协调,在整个组织员工中得到全面的沟通、清晰的解释和正确的理解。内部审计应为下列各个方面提供保证:审查组织目标得到有效建立(如检查目标建立依赖的信息、采用的程序、参与者的素质等);审查子目标与组织整体目标协调一致;审查目标在组织员工中得到全面的沟通和一致的理解。审计人员可以采用访谈关键人员、获取和审阅相关资料、向不同层次人员发放调查问卷、实施控制自我评估等方法来开展审计工作,其中问卷设计应该提供可以由回答者进行评论的空间,以便于收集员工对目标理解情况的软性信息。
2.确定风险偏好。组织的风险偏好决定了组织能够承受的风险水平。风险偏好与目标设定有着直接的关系,体现在组织交易形式审批、资本预算限制、职责权限划分、购买事项确定等各项活动中。确定风险偏好是董事会和管理层的责任,内部审计不能设定组织风险偏好或容忍度,但可以就风险偏好和容忍度水平的确定、量化、沟通,在政策、程序和实务中的有效实施情况提供保证。
3.建立风险管理框架。在不同组织之间甚至在同一个组织不同部门之间,由于文化氛围、管理理念、工作目标、组织规模、业务复杂性以及与业务目标和风险容忍度相关的固有风险水平不同,ERM框架可能会存在很大差别。例如,信息技术部门因为其工作的性质需要有完整的风险识别、评价框架,而人力资源部门可能仅需要一个明确的政策和程序性审阅。从事常规交易的部门一般具有相对成熟的ERM框架,该框架中有明确界定的风险指示,与日常的业务运行过程相结合;而战略管理部门却不具有这样正式的框架,需要进一步加以开发。某些组织拥有了较成熟的ERM框架,而其他一些组织却仅处于ERM的计划阶段、萌芽阶段甚至无知阶段。
董事会和高级管理层负责建立和管理ERM框架。审计人员不能参与设计ERM框架,但是需要依赖他们的判断,结合组织的实际对ERM框架的适当性做出结论,发现框架结构和功能中的缺陷。具体的审查内容包括:审查ERM框架的组成要素;审查在组织政策、治理框架、实务操作中所体现出来的风险观点和价值;审查风险管理政策和指南的实用性、灵活性和自我引导性;审查员工对风险管理含义的理解和对风险管理技术的掌握情况;审查管理层对风险管理的支持、对公司文化的培育情况;审查风险管理实务按框架期望持续运行情况;审查框架动态调整、监督和自我评价管理情况。
4.识别风险。识别风险是对组织正在和将要面临的风险加以判断、归类和鉴定风险性质的过程,换言之,即确定组织正在或将要面临哪些影响组织目标实现的风险。风险识别是管理层的职责。内部审计在风险识别中的主要工作包括:审查风险识别的充分性,即与组织整体目标和战略相关的、涉及组织整体和分部层次的主要风险是否均已被识别出来,是否存在未被识别的风险,并提醒管理层注意;审查风险识别的一致性,风险定义、分类是否在组织中得到统一的运用。对于发现的风险识别不完全、不一致、忽视风险等情况,内部审计应采用特殊审计程序并加以报告。
5.评估风险。评估风险是指采用定性与定量相结合的方式,估计风险影响的大小和发生的可能性,在二者结合的基础上,对风险进行排队,进而实施不同关注。实施风险评估是管理层的责任。内部审计应就风险是否被准确评估提供保证。具体可以采取两种方式:(1)对管理层的风险评估结果进行再检验,即掌握风险评价的系统方法,对风险成因、影响后果、发生频率等作出综合分析,根据“风险值=风险概率×风险影响”的计算结果,对风险级次进行排序,对不恰当的风险评估予以更正;(2)对管理层的风险评估能力进行审查,如审查管理层的风格(激进与稳健的管理者对于相同风险的赋值往往存在较大差别)、采用的风险评估方法、对相关信息的掌握程度、对成本效益的考量、对相关部门或人员意见考虑的幅度,等等。
6.选择实施风险反应。选择实施风险反应即在风险评估优先级排序的基础上,根据风险性质和风险偏好制定相应的防范措施,可采取的措施一般包括回避、接受、降低和分担。内部审计应该对风险应对措施的选择和执行提供保证,包括:审查采取的风险应对措施是否适合本组织的经营、管理特点;审查采取风险应对措施之后的剩余风险水平是否在组织可以接受的范围之内;审查风险应对措施的成本效益衡量是否合理。对于风险缺乏充分控制措施的情况,内部审计应提出改进措施和建议,协助完善风险反应方案。
7.建立控制。控制活动是使所选择的风险反应活动得到适当决定和实施的政策、程序、过程和监督机制等系列活动的总称。一旦选择了特定的风险反应方案,管理层需要据以实施相应的控制和其他风险反应活动,包括批准、授权、资产安全、职务分离、调整等。审计人员应获取对控制设计的全面理解(包括理解目标、潜在风险和控制活动之间的关系),审查其与组织风险政策的一致性;审查其对组织战略、经营、报告和遵循性目标的支持程度;审查其化解风险的有效性;审查其按设计功能运行的持续性。
8.风险信息沟通。风险信息沟通是指以一致的方式在整个组织中所有层次之间对风险信息进行可靠、及时、完整的传递和反馈,以实现对风险的识别、分析和反应。并非所有的风险都能够被避免,但早期的披露能够为采取适当的行动提供时间。内部审计的核心职能是向董事会、管理层、股东提供风险得到及时削减的保证。为此,内部审计需要审查风险信息的准确性;审查关键风险报告的及时性、相关性和完整性;审查风险信息在整个组织不同层次中传递的有效性;审查风险信息支持系统的安全性等。
9.监督和调整。组织需要对风险管理进行持续监控和不断调整,以保证风险管理过程的持续有效性。可以采用的监控和调整方式包括控制自我评估、定期检查和数据分析,各种方式或者融合在持续的管理活动中,或者采取个别评价的方式,或者通过两者的结合来完成。管理层执行对风险管理过程的监督和调整。内部审计通过调查问卷、控制自我评估、行动跟踪等方式,获取管理层实施监督的相关证明,审查管理层监督执行的一致性、持续性和有效性以及实施调整的适时性和必要性。
10.管理层保证。根据组织结构形式、资源保障程度、政府监管要求和风险管理的特点,风险管理的保证可以来自于不同方面,包括董事会、管理层、操作人员、内部审计、外部审计和独立专家等。其中,董事会对保证风险管理承担全部责任,但董事会往往将风险管理的责任委托给管理层,该种委托关系决定了管理层对风险管理承担直接、首要的责任,他们向董事会提供的风险保证居于首位。管理层必须向董事会保证,他们对于存在的风险和运行的控制实施了检查,所采取的措施能够足以降低那些阻碍公司目标实现的风险,其风险管理过程的运行是有效的。内部审计针对上述各个业务环节的审查结果可以对管理层保证情况做出基本判断,同时,还可以根据对管理层诚实性、业绩、胜任能力、素质和文化等方面的综合评价来制定相应的审计战略,对管理层的风险保证活动提供再保证。
11.内部审计保证和咨询。内部审计的保证和咨询具体体现在ERM各个运行程序中,如上所述。其中,内部审计在ERM中的核心作用是向董事会提供客观保证:保证风险管理过程和内部控制框架的设计和运行有效,保证关键风险的管理(包括控制和其他风险反应)有效,保证风险信息的分类和报告可靠、适当。
内部审计就ERM提供咨询的程度依赖于组织风险管理的成熟度。在组织尚未建立风险管理体系的情况下,内部审计就执行审计项目时发现的风险问题提请管理层和董事会注意,提出建立风险管理过程的相关建议;如果董事会提出要求,内部审计人员可以协助管理层完成组织风险管理的初步建立工作,甚至可以在董事会允许的情况下制定风险管理战略,指导风险识别和评估,协调实施风险管理措施,此时,内部审计直接参与了风险管理过程;在组织风险管理体系建立后,内部审计可以就管理层的风险决策提供建议、质疑或支持;随着组织风险管理体系的逐步成熟,内部审计可以接受委托提供专项的风险管理咨询服务,或者在提供保证服务的同时提供风险管理建议书,此时,内部审计咨询作用将逐步降低,更多地集中于其保证作用。
总之,内部审计在ERM中的功能不是独立运行、单独设置的,它融合在ERM过程中,与ERM的各个业务环节紧密结合,成为一个完整的统一体。如此,事前防范、事中监控性跟踪式内部审计的功效才能够得到充分发挥,内部审计价值增值的目标才能够得到切实体现。
【参考文献】
[1]JamesRoth.AnEnterpriseRiskCatalyst.InternalAuditor,Feb.2006,81-84.
[2]RussellA.Jackson.RolePlay.InternalAuditor,April2005,44-50.
[3]GeorgeMatyjewicz,JamesRD'Arcangelo.ERM-BasedAuditing.InternalAuditing.Boston:Nov/Dec2004.Vol.19,Iss.6;4-13.
[4]SeanDeLarosa.DCOM,CIA,CISA,CCSA.MovingForwordwithERM.InternalAuditor,June2007,50-54.