审计师行业中的内部审计与风险管理

[摘 要] 当今世界，由于环境的多变和竞争的激烈，风险管理受到企业管理者的日趋重视，内部审计介入风险管理是一个崭新的事物，应当充分借鉴西方先进的理论、技术和方法，使我国的企业管理不断完善。本文从内部审计在企业风险管理中的地位、责任和作用三方面加以论述。 [关键词] 内部审计；风险管理；地位；责任；作用 当今世界，风险无时不在、无处不在，由于环境的多变和竞争的激烈，企业风险日益增大，使企业的生存和发展受到严重的挑战，因此，企业管理者对风险管理的重视程度也日趋提高，如何控制和管理风险成为现代管理者面临的重要课题。按照2002年1月开始实施的国际内部审计师协会（IIA）修订的《内部审计实务标准》要求，机构的内部审计工作应该以风险为导向，以满足机构经营管理的需要，新标准全面阐述了内部审计的新定义，突出了内部审计介入风险管理的要求。中国内部审计协会发布的于2005年5月1号开始实施的内部审计具体标准第16号——风险管理审计，为内部审计人员对组织内部风险管理状况进行审查和评价提供了依据。内部审计在风险管理中究竟有什么责任、起到哪些作用？本文将就此问题进行初浅的探讨。

一、从风险管理的内涵看内部审计在风险管理中的地位 风险管理（riskmanagement）是管理人员的关键职责。关于风险管理的定义，目前尚无统一的说法，比较有权威和比较有代表性的是威廉与汉斯在1964年出版的《风险管理与保险》一书中突出的看法，认为风险管理通过对风险的识别、衡量和控制，以最低的成本使风险导致的各种损失降低到最小程度的管理方法。这个定义包含了以下三个方面：（1） 企业风险管理的目标是以最小的成本达到最大的安全效果；（2）企业风险管理由风险识别、风险衡量和风险控制几个环节组成；（3）实现风险管理目标的主要手段是控制。风险管理的目标与企业总目标是一致的，风险管理是管理层的一项主要职责，它应当确保组织中有良好的风险管理过程，并使其发挥作用。成功风险管理的关键是取得超额价值的权利，是有意识地面对风险，而不是不知情地接受风险。根据权威专家的总结，笔者认为风险管理是企业管理层根据决策的需要，对影响战略目标实现的不确定因素进行识别、评析，实施风险规避、风险抑制、风险控制、风险转移、风险保留、风险利用等战略，把风险程度降低到可接受水平的系统管理过程。管理层根据企业整体目标以及风险偏好负责管理控制制度系统的设计，并实施管理控制制度。管理控制制度制定出来之后要交付执行，在执行过程中要检查、监督和纠偏，这样就必须有一个相对独立的部门来完成这项工作，而作为企业的管理咨询师的内部审计人员正好承担这项工作，内部审计的目的在于增加组织的价值和改善组织的经营，通过检查、评价风险管理、控制、和治理过程的效果帮助管理层实现组织目标。因为管理层自己制定政策又去检查政策的执行情况，有如既当运动员又当裁判，易失公正，难于得出正确的结论。内部审计在风险管理中是一个相对独立的部门，其地位是其他职能部门不可替代的。[!--empirenews.page--] 二、内部审计在风险管理中的责任 既然风险管理如此重要，作为企业的内部审计师在风险管理中如何承担责任？企业要想实现其业务目标，管理层应该保证机构拥有健全的风险管理过程，而且这些程序正在有效发挥作用。董事会和审计委员会应该在确定机构是否建立恰当的风险管理过程以及这些程序是否充分有效运作等方面起监督作用，而内部审计师首当其冲。正如国际内部审计协会关于内部审计的的定义中所描述：“内部审计是一种独立、客观的保证和咨询活动。其目的在于为组织增加价值和提高组织的运作效率。它通过系统化和规范化的方法，评价和改进风险管理、控制和治理过程的效果，帮助组织实现其目标。”可见内部审计师的职责是，运用风险管理方法和控制措施，对风险管理过程的充分性和有效性进行检查、评价和报告，提出改进意见，为管理层和审计委员会提供帮助。风险管理是一个复杂的系统工程，在一个组织内部应当有职责分工各司其职。董事会负责制定战略目标，高层领导各负责一个方面的风险管理责任，其他管理人员有管理层分配给一部分工作，操作人员负责日常的监控，而内部审计人员则负责定期评价和保证工作。对于尚未建立风险管理过程的企业，内部审计应该提请管理层注意这种情况，并提出建立风险管理过程的相关建议。国内、国外许多审计实践表明，对风险管理审计的报告更容易被管理当局所接受，管理部门也更容易理解内部审计存在的意义，它可以帮助内部审计度过正在影响企业的价值危机。我国内部审计具体准则第16号——风险管理审计中第七条规定“内部审计机构和人员应当充分了解组织的风险管理过程，审查和评价其适当性和有效性，并提出改进建议。” 可见，对于风险的监控应该成为内部审计师的职责，对企业的风险管理过程进行评价和报告一般是内部审计的重点。内部审计可以促进风险管理过程的建立或使风险管理的有效性成为可能，但是，他们不应该直接参与并拥有已经确认的风险或者对这些风险进行管理，否则必将影响内部审计师的独立性，也就是说内部审计人员不负风险管理的责任，只是对企业的风险进行确证和咨询。 三、内部审计在风险管理中的作用 1、能够客观地对组织整体的风险管理进行审查与评价。

科　蠢　经ｌ济Ｉ科『苑　内部审计在企业风险管理中的应用　单剐　（让胡路区审计局，黑龙江大庆１６３７１２）　摘要：内部审计承担了监督、评价、检查、报告和改进等任务，是企业风险管理不可或缺的组成部分。内部审计如何在企业风险管理中发挥作　用来提高企业风险管理的有效性，井为组织增值，已经成为当今理论界研究探讨的热点问题。　关键词：内部审计：风险管理；有效性　ｌ概述　在知识经济条件下，在经济全球化、虚拟　化、信息化进程加快的今天，为数众多的企业都　存在因各种原因面临破产、倒闭的厄运。风险管　理已成为理论界和实务界最为关注的问题，风　险管理的有效性对企业生存和发展的作用日益　突出。作为董事会及其审计委员会和最高层管　理当局控制手段的企业内部审计，在企业管理　中的地位与作用日趋突出，成为关系企业兴衰　成败的重要因素。　２内部审计在企业风险管理中的作用　内部审计在企业风险管理中的角色主要　体现在两个方面：一是针对管理层的企业风险　管理过程予以评价，提供确认服务；二是以咨询　顾问的身份介入企业风险管理过程当中。随着　内部审计参与企业风险管理的活动越来越多，　程度也欲加深入，内部审计职业所要求的客观　性和独立性容易受到威胁，易被削弱。所以就产　生了内部审计不应该涉足的领域和不应该在某　些领域发挥独立的作用。　２．１确认作用　确认是根据客户的标准、要求对特定领域　进行评价并提供其需要的信息，能够用于改善　决策，提高其科学性。确认服务定义为，就风险　管理、控制和公司治理过程提供一个独立的评　价，包括：财务的经营成果、对法规等的遵守情　况、制度的安全性、预期的勤奋工作等。为了提　供如上所述的确认服务，内部审计应该是独立　的和客观的，即：诚实、有能力、应有的谨慎和道　德的行为。内部审计师应对风险管理过程进行　确认，评估风险管理过程，对主要风险的管理进　行评论，保证风险被正确地评估，并且要对主要　风险的报告进行评估确认。　２．２咨询作用　咨询是直接作为专家顾问参与经营活动，　改善客户的状况。咨询服务是咨向性的和委托　人相关的服务活功，其活动的范围和本质是同　客户达成一致意见，其目的是增加价值和改进　公司经营。咨询服务的例子包括商议、建议、简　化、过程设计和培训等。内部审计师要提供管理　工具和技术，￣ｔｌｉ：风险和控制，促进识别和评估　风险：向组织内引入企业风险管理，支持企业风　险管理的建立，发挥在风险管理和控制方面的　专长，发挥组织的全部知识；提出建议，促进组　织的学习，训练组织在风险和控制上的能力，提　升共同的语言、保持和发展企业风险管理概念　性框架；以协调、监督和汇报风险作为行动的中　心，协调企业风险管理活动，巩固风险报告；指　导管理者对风险做出反应，支持管理者采取最　优方案减轻风险，发展董事会赞成的风险管理　策略。　２－３应注意的问题　内部审计参与企业风险管理的活动越加　深，它的客观性和独立性越易受到威胁。为保证　客观性和独立性不被削弱，我们这里列出了内　部审计在企业风险管理中不应该发挥的作用。　内部审计必须明白是管理者对风险管理负责，　风险偏好是由管理层来设定。内部审计不应该　代表管理者来对风险进行管理，不应强化风险　管理过程。内部审计不应该对风险反应做出决　定，可以支持管理者所做出的决定。当管理者所　做出的风险管理决定与内部审计完全不同时。　内部审计应提出质疑或建议。　３内部审计参与企业风险管理的途径　３．１将企业战略目标与风险相联系　企业的经营目标、实施该目标采用的战略　和实施战略所靠的经营方式和经营过程是由企　业的领导者和董事会来决定的。内部审计可以　将企业的战略，经营模式和妨碍目标实现的风　险系统地互相联系，以保证我们采用的经营战　略和经营模式能够应对风险。内部审计首先要　列举出所有使目标实现的关键性成功因素和可　能阻碍成功的风险因素清单。　３．２对环境进行监控　由于信息技术的发展，企业风险的性质和　影响程度也发生了变化，使得对环境的监控越　来越重要。对环境进行监控首先要明确企业的　风险偏好。除了决定目标、战略和经营模式、经　营过程之外，管理者和董事会还需决定在实现　目标时愿意承受多大程度的风险。这种风险偏　好是企业风险管理环境中的一个组成部分。内　部审计不负责制定风险偏好，但需要明确管理　者和董事会的风险偏好，将风险评估和风险偏　好进行定期比较，对企业希望承受的剩余风险　提供限度。内部审计要评价单位的“固有风险”　和“剩余风险”（采取控制行动后可以接受的风　险）。对环境变化和意外环境的持续的监控。当　企业所假定的环境与外部环境和企业经营过程　的变化相冲突时，内部审计应及时向管理者和　董事会提供反馈。内部审计要列出实施监控的　环境因素，评判企业所处的环境现状，监控环境　的变化状况，预测环境发展趋势。　３．３对风险事件鉴别　风险事件的鉴别是整个企业风险管理工　作的基础。风险事件的鉴别是指企业风险管理　人员通过对大量来源可靠的信息资料进行系统　了解和分析，认清企业存在的各种风险因素。要　充分理解企业的目标、战略和计划以及当前的　内外环境情况，就需要鉴别那些可能对企业目　标实现带来负面影响的所有重要事件，鉴别所　有潜在的严重的风险，以保证风险轮廓勾勒的　完整性。对风险事件的鉴别最重要的是风险鉴　别的完整性，保证所有重要的风险都被鉴别出　来。风险事件鉴别的完整性包括：风险识别是否　全面；风险各级分类的合理性；可控风险、不可控　风险确定的科学性等。　要求内部审计师结合企业战略目标的制　定和布置，通过对有关单位和部门风险的识别　进行检查、评估并提出建议，通过所获得的证据　评价企业风险管理流程是否能完成风险管理使　命、目标和目的。通过对经营战略概念和实务进　行研究，以此来鉴别一些风险。内部审计需要创　新性地组织具有不同背景和专业知识的人员运　用“头脑风暴法”，利用“方案构建”等活动来产　生所有的可能风险的观点。开发利用各种模板　（如：流程图、调查表等），通过这些模板来反映出　各种可能的风险。　３．４进行风险评估　所有潜在的重要的风险被鉴别出来后就　要测量这些风险的等级，也就是对这些风险进　行评估，内部审计师要在这里对企业风险管理　部门做出的风险评估进行确认。在风险评估的　确认活动中，内部审计要利用管理工具和技术　分析风险，促进识别和评估风险。首先要进行风　险因素分析，收集相关资料并对资料进行整理。　其次，对已识别的风险事件进行定性分析和定　量分析，对风险进行有效的计量。评估要注意与　事件相关的不利事件的程度。最后，进行综合评　价，内部审计部门与企业风险管理部门的结论　进行对比，以对风险评估进行评价。　３．５评价风险控制活动　企业的风险控制流程包括建立风险控制　体系、实施风险控制、跟踪风险控制和评价风险　控制效果这么几个步骤。风险控制体系的建立　和风险控制的实施由企业的风险管理部门来完　成，内部审计对风险控制进行跟踪，并对风险控　制的效果进行评价。内部审计要测试这些控制　程序的有效性。内部审计通过将测量值与高层　管理者限定的目标和限制进行对比来对业务进　行监控。内部审计熟悉这一控制活动，如果超出　了限度，内部审计就将此背离报告给高层管理　者。以决定下一步的行动。　随着企业对有效风险管理的期望越来越　高，他们都将逐渐放弃他们目前所采取的孤立　地管理风险的传统风险管理方法，采纳企业风　险管理概念性框架。所以，对企业风险管理的有　效性开展内部审计，是新形势下企业生存与发　展的客观需要，也是董事会及其审计委员会和　最高层管理当局、利益相关者的内在要求，企业　风险管理审计也使内部审计迈向新的审计内　容。　参考文献　【ｌ】时现．现代企业内部治理审计研究【Ｍ１．北京：　中国石化出版社，２００４．　ｆ２１卢才武，孙庆文，亲晓慧．企业风险管理应对　策略谈叨．经济论坛，２００４．　ｆ３１于玉林．内部审计在企业治理、风险管理和内　部控制中的作用『Ｊ１．审计月刊，２００５．　一

浅析企业内部审计与风险管理的关系

【摘要】本文研究了企业内部审计与风险管理的关系。风险管理对现有企业管理起到了提升、整合、强化的作用；而内部审计为了自身发展积极参与企业风险管理，通过参与拓展了内部审计的工作范围，开阔了内部审计人员的视野，提升了内部审计的工作价值，并有效地防范了内部审计工作风险。二者有机结合，密不可分。

【关键词】企业管理，内部审计，风险管理

随着企业内外部环境的不断变化，企业在寻求自身发展和经营管理的过程中，面临的风险因素不断增多且更加复杂多变，这些风险成为企业深入发展和提高竞争力的制约因素。因此，风险管理越来越受到企业的重视。内部审计是企业内部控制的一个重要组成部分，在企业中具有独特的地位和作用。随着审计创新，一些内部审计组织开始介入风险管理，并将其作为内部审计的重要领域。内部审计参与企业风险管理不仅可以推动企业建立有效的风险管理体系，使企业在竞争中处于有利地位，同时，也拓展了内部审计的工作范围，促使内部审计人员提高自身素质，有效防范内部审计工作风险。

一、内部审计和风险管理概述

（一）内部审计的相关概念

内部审计之父索耶关于内部审计的定义是：对组织中各类业务和控制进行独立评价，以确定是否遵循公认的方针和程序，是否符合规定和标准，是否有效和经济的使用了资源，是否在实现组织目

标。在2011年1月国际内部审计师协会（iia）发布的新版的《国际内部审计专业实务框架》中，内部审计全新定义为：内部审计是一种独立、客观的确认和咨询活动，旨在增加价值和改善组织的运营。它通过应用系统的、规范的方法，评价并改善风险管理、控制及治理过程的效果，帮助组织实现其目标。

内部审计和政府审计、外部审计并列为三种主要审计业务之一。内部审计作为企业内部的经济监督机构，虽然不参与企业内部的经营管理活动，但主要对各项经营管理活动是否达到预定目标、是否遵循了单位的规章制度等进行监督，属于单位内部控制体系的一个组成部分。

■ｃ—ｕｎｉ。ｎ　

内靠审计与风险警氇的关系及风险导向Ｉ勾部审计　一王安春／文　—　一《索耶内部审计》中，对内部审计是这样定义的：内部　ｔｊ　ＬＬ审计是由内部审计师对组织内不同的运营和控制实施　系统客观评价的活动。其目的是确定：（１）财务和运营信息　是准确和可靠的；（２）企业所面临的风险已经被识别与最小　化；（３）外部规章制度和可被接受的内部政策程序已经被遵　循；（４）达到了令人满意的运营标准；（５）资源被有效地、　经济地加以利用；（６）有效地实现了组织目标。所有这些都　是为了提供管理咨询和帮助组织的成员能更有效地履行他们的　治理责任。　而关于风险管理，国资委将企业风险解释为未来的不确　定性对企业实现其经营目标的影响，划分为战略风险、财务风　险、市场风险、运营风险、法律风险等，并将风险管理定义为　企业围绕总体经营目标；通过在企业管理的各个环节和经营过　程中执行管理风险的基本流程，培养良好的风险管理文化，建　立健全全面风险管理体系，包括风险管理策略、风险管理措　施、风险管理的组织职能体系、风险管理信息系统和内部控制　系统，从而为实现风险管理的总体目标提供合理保证的过程与　方法。不难看出风险管理建立于内部控制基础之上，以内部控　制为基础发展而来，因又定义为罔绕风险管理策略与目标，针　对企业战略、规划、产品研发、投资融资、市场运营、财务、　内部审计、法律事务、人力资源、采购、加工制造、销售、　物流、质量、安全生产、环境保护等组织各项业务管理及其重　要业务流程，通过执行内部环境调查分析、目标设定、事项识　别、风险评估、风险应对、信息与沟通、监控测试改进等风险　管理基本流程，制定并执行规章制度、程序和措施，以达到增　强组织竞争力，促进组织持续、健康、稳定发展，防止组织资　产流失，提高投资者投资回报水平，保护投资者利益为目的。　从内部审计与风险管理的定义，不难发现二者的目的虽有　区别但最终目的是一致的，即都是为有效率地合规地实现组织　７Ｏ　的战略与运营目标。二者的区别　要在于实现目的的方式与角　度不同。　内部审计虽然处于组织的内部，但不同于组织与其它业务　流程，而是力争以独立客观第三人角度，审视组织的其它业务　流程，对其合规性、有效性、合法性以及对各类风险的应对做　出独立客观的评价，并促进组织各业务流程与环节不断改进与　完善，从而合理保证组织目标的实现；风险管理既可以作为组　织的业务流程的一部分，也可以独立于组织的其它业务流程，　它以组织其它业务流程与环节为研究和上作对象，通过管理风　险的基本流程，评估与管理其它业务流程中存存的各类风险，　指导各业务流程合理应对风险，保证组织在承受一定合理风险　的情况下实现组织目的。风险管理本身也是内部审计监督、服　务的对象之一。　内部审计与风险管理均以组织的内部控制为基础，离开企　业的内部控制，二者都会变成无本之木、无源之水，它们的关　系可以如下图表述：