论风险导向型内部审计在企业风险管理中的作用

内容需要下载文档才能查看

论风险导向型内部审计在企业风险管理中的作用

◆　　王学龙　　　郝斯佳

随着经济全球化和科学技术的迅猛发展，日益复杂的组织内部关系和竞争日趋激烈的外部市场，使组织面临的不确定因素越来越多，企业承担的风险也随之加大。为了增强企业的核心竞争力，企业需要对影响管理水平和经营业绩的一切因素进行监控和评价。由于风险无处不在，如何防止损失、如何获得损失后的补偿、如何控制与管理风险，逐渐得到经营者的重视。内部审计作为企业内部控制和风险管理的一种制度安排，需要顺势而为，不断调整自己的业务范围和目标。内部审计不再仅仅关注内部控制，更积极参与风险管理；内部审计目标也从过去的查错纠弊变为主动地帮助企业增加价值。因此，风险导向型内部审计的提出满足了现代企业对内部审计在风险管理、内部控制和公司治理方面的更高要求。

并在风险偏好内管理风险，为机构目标的实现提供合理的保证。ＥＲＭ由以下八个要素构成：内部环境、目标设定、事件确认、风险评估、风险回应、控制活动、信息和沟通、监控。在风险管理中，八个要素是一个有机的整体，体现的是一个动态的过程。

首次将“风险”概念引入审计程序并开始探索审计风险控制措施和审计方法的是《蒙哥马利审计学》（１９５７年，第八版），但主要在外部审计（特别是注册会计师的审计）领域进行研究。审计师根据审计风险模型确定实质性测试的性质、时间和范围，从理论上解决了以制度为基础采用抽样审计的随意性，又解决了审计资源的分配问题，于是，以审计风险模型为基础进行的风险导向审计应运而生。

关于风险导向型内部审计的研究始于２１世纪初的公司治理需要。时至今日，其定义尚未统一，分歧主要在对于“风险”理解的不同。一种观点认为，风险导向型内部审计的风险就是指审计风险；而另一种观点则认为，所谓的“风险”不是单纯意义的“审计风险”，更大意义上是指企业风险。在《布林克现代内部审计学》第六版中提到“现在的内部审计人员要运用前后一致的方法来理解和评估审计风险，包括与单个被审计机构有关联的风险以及整个组织所面临的整体风险”，可见，风险导向型内部审计是以审计风险模型为审计方法，以对整个组织的风险进行评估与改善为最终目的的一种审计理念。

整体风险植入到审计风险本身的评价中，在组织已有的风险管理和内部控制的基础上，对剩余风险进行评估，进而改善风险管理和内部控制，提升组织整体抗风险能力。因此，与制度导向型内部审计相比，风险导向型内部审计具有以下特点：

１、风险导向型内部审计的基础是内部控制。ＣＯＳＯ将内部控制定义为：内部控制是一个过程，受机构的董事会、管理层以及其他人员的影响，设计内部控制是为以下类别的目标的实现提供合理的保证：运营的效果和效率、财务报告的可靠性以及遵守适用的法律和法规。对内部控制评价的过程就是内部审计的过程，一个企业内部控制的好坏，与审计风险的高低直接相关，所以内部控制始终都是内部审计关注的重点；同时，内部审计也是内部控制的一个重要环节，是对其他内部控制环节的再控制。重视日常控制活动，抓住内部审计监督评价环节，为企业目标实现提供合理保证。此外，构成内部控制的五个要素是：控制环境、风险评估、控制活动、信息和沟通以及监控。内部审计要对公司的风险管理加以评估与改善，首先要从内部控制领域中的风险做起。可见，风险导向型内部审计是以内部控制结构为内容，关注风险发生的可能性。所以，内部控制是风险导向型内部审计进入公司治理、评估改善组织风险的基础。

２、风险导向型内部审计的内容是风险管理。内部审计介入风险管理是内部审计职业发展的要求，也是企业发展的需求。ＥＲＭ关注包括公司治理领域和内部控制环节的风险在内的一切风险，因此，风险管理不仅要求全面

一、风险导向型内部审计的含义

风险是指存在于客观事物中的一种不确定性，这种不确定性可能导致损失的发生，也可能使其获得收益。狭义的企业风险是指有碍于组织目标实现的威胁因素，通常分为三大类：外部环境风险、经营过程和资产损失风险、信息风险。由于事后补偿的保险难以发挥对组织风险结果予以弥补的作用，因此，风险管理既是必要的，也是可行的。基于此，ＣＯＳＯ委员会于２００４年正式提出《企业风险管理框架》（简称ＥＲＭ），将企业风险管理定义为：一个受机构的董事会、管理层以及其他人员影响的过程，它可以运用在战略设定并贯穿于企业当中，设计企业风险管理旨在确认影响机构的潜在事件，

二、风险导向型内部审计的特点

风险导向型内部审计以风险作为审计工作的出发点和落脚点，把企业

44中国内部审计

2010.2

内容需要下载文档才能查看

识别风险，而且要熟悉本单位的经营战略、工作程序、组织结构等，而内部审计人员的独特地位与专业知识满足了以上要求，风险管理必然成为内部审计的主要业务之一。风险导向型内部审计要求内部审计人员在审计过程中自始至终关注企业风险、识别风险，依据风险选择项目，以降低风险为导向，进行内部控制制度的符合性测试、实质性测试，并进行监督检查和评价，提出建设性意见和建议，其审计报告可以作为揭示企业风险、防范风险以及信息交流的信号，协助企业管理风险。风险导向型内部审计以风险为出发点，不仅能够使其服务范围与企业发展战略与经营目标直接联系，而且以其在企业中的独特地位和专业知识能够从根本上解释和评估风险管理措施，从而提高风险管理的有效性。

３、风险导向型内部审计是提高审计资源利用效率的途径。风险导向型内部审计不仅重视会计信息，而且重视经济信息、产业信息和财务信息等，其审计模式是：在对企业所有风险进行彻底了解后，内部审计人员对风险进行排序，根据风险大小来确定审计范围。对于有证据表明风险较低的领域，应依赖内部控制或分析性复核；对于被认为风险较高的领域，分配更多的审计资源，可实施大量的实质性测试和余额细节测试。这样恰当、有效地分配内部审计资源，使得更多与风险管理相关的控制和活动得到关注，把审计手段与审计目标更好地结合在一起，可以提高审计的科学性、针对性和绩效性。所以，风险导向型内部审计提供了一种既能保持审计效果，又能提高审计效率的工作思路。

为有效降低所在企业的风险、增加企业的价值，发挥着重要的作用。

１、在风险环境分析中的作用。风险环境是指影响组织经营目标不能实现的经营环境，包括外部风险环境和内部风险环境。外部风险环境因素主要包括法律、政治和经济等；内部风险环境因素主要有企业的风险偏好与风险文化、诚信与道德价值、管理理念与经营风格、组织结构与权责划分等，是企业设定经营目标和战略计划的基础。由于经营环境是风险的根源，因此内部审计应从着眼于风险转到着眼于经营环境，通过对经营环境（包括一般环境和社会环境、创业环境、内部审计应用环境和组织环境等）的分析，以进一步评估组织的“固有风险”和“剩余风险”，并通过对企业各项环境风险因素变化的分析，将分析结果以审计报告的形式反映给管理层，以便管理层更加有效地管理风险。正是由于内部审计熟悉企业的内部环境、并具有相对独立的职能地位，所以能全面客观地判断企业的固有风险、评价企业目标的有效性和可行性。

２、在风险事件识别活动中的作用。ＥＲＭ框架要求识别出所有可能发生并对企业目标实现产生不利影响的重要状况。这个步骤非常重要，因为未被识别的事件不会在风险回应中得到处理，可能导致意外风险的发生。内部审计针对企业现有环境与经营过程，通常以各种类型的战略或各种形式的商业活动为基础的模板，观察同行业内其他企业的经营情况及整个市场的经营风险水平，为风险识别提供清单；同时，内部审计人员以其专业知识和技术，独立地推断潜在的重大风险。因此，在风险事件识别活动中，内部审计人员要判断管理层是否完全识别了企业所有风险，若有遗漏，要提醒管理层加以考虑。

３、在风险评估中的作用。风险导向型内部审计通常要求采用风险评级

和计分的方法进行风险评估，并根据量化的风险水平排定次序，尽量找出风险存在的根本原因，以寻求最好的解决方案。对一些难以客观量化的风险事件，则采用主观估计风险发生的可能性，此时，内部审计人员的职业判断显得尤为重要，可以帮助管理者做出比较正确的选择。可见，在风险评估中，内部审计人员需要从客观的角度分析风险的假设条件、计算方法的适当性来评价风险，以向管理层提供专业意见。

４、在风险反映和控制活动中的作用。对于经过识别和评估后的风险，企业都要经过风险与收益的权衡。ＥＲＭ将风险反映分为三类：可接受风险、规避风险和减少风险。当风险超出了企业的风险偏好，企业不能接受且无法经济有效地加以抑制，则须放弃该项目或计划从而避免风险带来的负面影响。对于大部分风险，需要企业采取一定的行动，转移或分散风险，以达到企业可接受的水平。为此，企业需要对其风险加以控制，即将不可接受的“固有风险”转化为可接受的“剩余风险”，由于控制活动本身是很复杂的，内部审计人员通常采用分析性程序和详细测试，评估控制活动的有效性，使风险得以管理。因此，在风险反映和控制活动中，内部审计人员通过分析、评估风险回避的合理性、减少风险措施的有效性，以降低组织承受的风险。

５、在风险信息沟通和风险管理系统监控中的作用。企业各管理部门共同承担企业的综合风险，所以，风险管理涉及企业各个职能主体。风险导向型内部审计从评价各职能部门内部控制制度入手，在各领域查找管理漏洞，以独立第三方的身份验证信息的准确性和及时性，帮助企业管理当局进行风险的管理与协调。为此，内部审计人员需要采用风险监控方式，将经营计量系统记录的业绩与计划和预算中的预期业绩以及同一时期的竞争者业绩

三、风险导向型内部审计在企业风险管理中的作用

风险导向型内部审计的主要职责是对企业风险管理的有效性进行监控，并针对风险评估提出风险管理的对策，

2010.2中国内部审计

45

内容需要下载文档才能查看

进行比较，来判断风险环境中新的风险和变化，便于管理者及时做出反应。可见，在风险信息沟通和风险管理系统监控中，内部审计人员通过审计报告以向董事会和审计委员会传递风险是否得到有效管理的信息，保证企业对风险的管理一直有效。

四、风险导向型内部审计在企业风险管理中发挥作用的途径

ＥＲＭ下的内部审计关注的核心是企业的风险管理过程和剩余风险水平。由于内部审计部门所进行的风险管理是对剩余风险的确认并提出咨询建议，因此，内部审计参与风险管理的途径是开展风险导向型内部审计。通过开展风险导向型内部审计，将事后评价转变为更为及时和主动的事前事中的风险审查和事后的动态反应，全过程控制和管理企业风险，从而客观评价风险管理系统，为风险管理提供有用信息，为公司治理的相关措施的有用性给予反馈，并提出改进措施和建议，以降低风险损失。

可见，剩余风险是风险导向审计需要关注的重点领域。所谓剩余风险，是指在企业的控制措施失效或没有相关的控制情况下产生的风险。内部审计部门所进行的风险导向型内部审计就是通过系统的分析、认定和评价被审计对象各个领域的固有风险及其管理状况，评价其得出的已经量化的剩余风险的水平，并据此确定进一步审计的范围、重点和方法。因此，在审计实务中，内部审计部门要从审计的过程和整体角度分析审计风险在审计中的作用，把审计基础工作大量放在对被审计对象业务过程的调查，对内部控制要素进行控制测试和对财务报表和业务操作程序、审计环境等进行科学分析、判断上，从而使期末需要审查的结果，在期初和期中得到判断。

对剩余风险审计的主要目的是将剩余风险降低至可接受水平。为此，需

要通过以下途径实现风险导向型内部审计在企业风险管理中的作用：（１）了解管理层确定可以接受的剩余风险水平。（２）确认业务活动领域的剩余风险并进行优先排序，将主要审计资源分配到高风险领域。（３）应同被审计单位或被审计对象所在单位的管理层沟通审计中发现的尚未采取风险管理措施的领域或环节，并向其提出管理建议，从而预防或检查将来可能出现的错弊。（４）以经过核实的审计证据为依据提出风险审计报告，对企业风险管理过程的效率性、效果性进行独立地评价，针对剩余风险提出相关建议，以帮助管理层采取必要措施改进控制系统。

督，以促进风险管理过程的建立健全或使风险管理的有效性成为可能。

２、途径问题。在企业风险管理框架下，内部审计是风险管理的函数，是对风险管理的再管理。因此，内部审计参与风险管理的途径有两种：即风险管理审计和风险导向审计（如图１所示）。但对风险导向型内部审计而言，其路径专指第二种，即对剩余风险的确认、排序和建议。

３、侧重点问题。风险导向型内部审计模式遵循了目标—风险—控制的顺序，重视与企业目标直接关联的风险分析。所以，风险导向型内部审计在评估企业风险管理时，关注的是优先选择高风险领域的控制，并且着眼于评估具体控制对风险管理的效果。此时，内部审计部门不再只是强化控制，而是通过规避转移和控制风险，使风险管理更加有效并提高企业整体经营

（作者单位：兰州商学院会计学院）

五、需要注意的几个问题

１、责任问题。企业风险管理作为风险导向型内部审计的主要业务，值得注意的是，内部审计人员并不参与风险管理的建立和运行过程，而是在企业已有风险管理的基础上实施再监

参考文献

［１］王光远．内部审计思想［Ｍ］．北京：中国时代经济出版社，２００６．１．

［２］罗伯特?莫勒尔．布林克现代内部审计学（第六版）［Ｍ］．北京：中国时代经济出版社，２００６．１．［３］管劲松，张庆．审计风险管理［Ｍ］．北京：对外经贸大学出版社，２００３．８　．［４］李瑛．新环境下的企业风险管理与风险导向内部审计［Ｊ］．会计之友，２００８（９）．［５］　刘新琳，周兵．内部审计参与企业风险管理的路径分析［Ｊ］．审计月刊　２００８（１）．［６］　肖纲，韩天飞．内部审计在风险管理中的职责和作用　［Ｊ］．现代审计与会计，２００７（５）．［７］　王金凤，冷斌．　企业风险管理和内部审计的协同效应　［Ｊ］．中国内部审计，２００７（２）．［８］　郑小荣．风险导向内部审计若干理论问题探讨［Ｊ］．审计与经济研究，２００６（１）．［９］　张淑慧．内部审计与风险管理［Ｊ］．企业经济，２００５（７）．

［１０］　张庆龙．内部审计理论与方法［Ｍ］．北京：中国时代经济出版社，２００４．

46中国内部审计

2010.2