内部审计与全面风险管理

 一、基本概念

1.风险：指企业在进行生产经营过程中，由于不确定因素和经营失误的影响，而使企业遭受损失或损害的可能性。它有不确定性、客观性、普遍性、必然性、可识别性、可控性等特点。

2.风险管理：COSO对企业风险管理的定义是：企业风险管理是由企业的董事会、管理层和其他人员实施的、从战略层面开始的、并贯穿于整个企业的一个过程。管理层为实现其业务目标，确保组织具有合理的风险管理过程，且能够发挥作用。

3.全面风险管理：风险管理对于良好的公司治理具有极重要的作用，一个公司承受的压力是识别所有面临的风险，诸如法律、监管、社会、道德、财务、运营等方面，管理层需管理这些风险使之降低到可接受的水平，因此需要运用全面风险管理的框架来面对日益复杂多样的风险。全面风险管理是贯穿整个组织的具有结构性、一致性和持续性的过程，用以识别、评估并确定如何应对及报告影响组织实现目标的机遇和威胁。公司中的每个人都应在确保全面风险管理成功中发挥作用。在这个框架里，内部审计通过其确认和咨询活动，利用各种方式协助公司全面风险管理的实现。

4.风险控制：风险控制是指风险管理者采取各种措施和方法，消灭或减少风险事件发生的各种可能性，或者减少风险事件发生时造成的损失。

5.治理：董事会实施的有关流程和架构的组合，以此告知、指导、管理和监控组织实现其目标过程中的各项活动

6.内部控制：是指公司各层级的机构和人员，依据各自的职责，采取适当措施，合理防范和有效控制经营管理中的各种风险，防止公司经营偏离发展战略和经营目标的机制和过程。管理层、董事会以及其他当事方为管理风险、增加既定目标实现的可能性而采取的各种行动。

二、内部审计与风险控制的关系

1.内部审计在全面风险管理中的定位：

（1）推动者：内部审计是全面风险管理的推动者，制定与公司目标一致的以风险为导向的审计计划。

（2）倡导者：内部审计是全面风险管理的倡导者，倡导公司中的其他人员都将全面风险管理看做组织价值增值活动。

2.内部审计在全面风险管理中的作用：

（1）确认作用：通过独立客观的确认活动为公司提供风险管理效果的客观确认，确认公司的主要业务风险已得到适当管理和内部控制框架正在有效的运作。

（2）咨询作用：作为全面风险管理的推动者，为改进公司的治理、风险管理和控制过程提供咨询服务。在实施咨询服务时应促进管理层积极认可和支持全面风险管理，致力于帮助管理层建立或改进风险管理过程。在全面风险管理中，需要一定的安全措施保证内部审计的独立性和客观性。

3.内部审计与风险控制的关系：

（1）风险控制是整个风险管理活动系列的重要组成部分，是由企业的管理层及其他人员共同实施的，应用于企业各个层次的活动，目的是为企业目标的实现提供合理的保证。内部审计是提供有价值的审计和顾问性质的支持，给公司内部各部门提供服务，帮助企业实现目标。

（2）无论是风险管理还是内部审计，都是为了提高企业的经济效益，以实现企业价值最大化。再次，风险管理作为一项管理过程，由管理层对风险管理的措施和方法进行设计并负责执行；内部审计则负责对风险管理的设计与执行情况进行测试评价，并为管理层提供有关风险管理信息。

（3）内部审计除了风险管理效果的评价和建议外，还负责企业其活动的评价和建议，两者是交叉的。

三、内部审计与企业风险管理

内部审计机构所进行的风险管理是在一般部门所进行的风险管理基础上的再管理，其风险管理过程一般包括四个方面：

1.评估风险识别的充分性：内部审计机构要对原有的已识别风险是否充分进行评价，并找出未被识别的主要风险。

2.评价已有风险衡量的恰当性：内部审计机构要对已有风险的衡量结果进行再检验，以确定其是否恰当，对不恰当的估计予以更正。

3.评估风险应对：内部审计部门对有关部门所采取的防范措施进行检查，检查其是否得当、充分。对于风险缺乏充分控制措施的情况，内部审计部门和内部审计人员应提出改进措施和建议，协助完善风险反应方案，以强化企业的风险防范管理，降低风险损失。

4.评价风险监控：内部审计人员可以通过分析环境和风险变化，检查内部控制系统是否更新，是否能控制新的风险。还可以通过后续审计管理对审计中发现的问题及对意外事项的处理情况，检查新的控制措施是否有效，将分析结果和建议提供管理层以便改进控制措施。