CIA内部审计知识要素第二章风险管理
2009年CIA内审师_内部审计在治理风险和控制中的作用_预习讲义09
2009年CIA内审师_内部审计在治理风险和控制中的作用_预习讲义09第二章建立以风险为导向的计划，确定内部审计活动的优先顺序概述两个内容，要求掌握审计活动的内容，开展审计活动优先顺序第二章内容相对较少，而且有一些内容是我们在第一章的学习中已经涉及过的。
这一章包括7个部分。
其实是讲的工作标准有关的部分内容。
我们前面讲过，工作标准包括从2000到2600七条一般准则。
其中2000，即为管理内部审计活动。
也就是说，这一章第一部分2.1是工作标准-管理内部审计活动。
而后面2.6到2.7则是有关2000管理内部审计活动的六条具体准则（标准）。
包括从2010计划到2060报告的整个审计过程。
主要内容1.管理内部审计活动2.计划3.沟通和批准4.资源管理5.政策和程序6.协调7.向董事会和高层管理者报告下面我们先来了解一下这些有关的标准。
2000管理内部审计活动2000－管理内部审计活动——审计执行主管应该有效地管理内部审计活动以确保该活动为组织增值。
注意：管理内部审计活动的主要依据是，由高层管理批准、董事会认可的内部审计章程，在那里规定了内审机构的宗旨和职责。
知识点说明：IIA实务公告2000-1（对于管理内部审计活动的解释）审计执行主管负责恰当的管理内部审计活动，以便：（1）审计工作实现经过董事会和高层管理者恰当批准的内部审计活动章程所描述的总体目标和责任；（2）内部审计活动的资源得到有效率而且富有成效地运用；（效率和效果的区别：效率是速度，效果是结果。
做错误的事情也可能很有效果，有效果的事情可能慢的无法让人容忍，是没有效率。
）（3）审计工作与《国际内部审计专业实务标准》（《标准》）保持一致。
计划2010-计划——审计执行主管应该制定以风险为导向的计划，确定与组织目标相一致的内部审计活动的优先顺序。
2010.A1内部审计活动的业务计划应该以风险评估为依据，并至少每年进行一次。
2010.C1审计执行主管应该考虑接受那些能够潜在改进组织的风险管理、增值以及改善运营为依据所提议的咨询业务。
国际注册内部审计师(CIA)考试大纲(第二部分)
国际注册内部审计师（CIA）考试大纲（第二部分）第二部分：内部审计实务I管理内部审计活动(20%)1.内部审计的运营A描述有关计划、组织、指导和监督内部审计运营的政策和流程B理解内部审计活动的行政工作（如预算、资源管理、招募、人员配置等）2.制定以风险为基础的内部审计计划A确定潜在的审计业务来源（审计范围、审计周期需求、管理层的要求、监管要求、相关市场和行业走向、新出现的问题等）B确定风险管理框架，用于评估风险，并根据风险评估的结果确定审计业务的重点C理解确认业务的种类（风险和控制评估、第三方审计和合同审计、安全与保密、绩效和质量审计、关键绩效指标、运营审计、财务和合规审计等）D理解旨在提供意见和建议的咨询业务的种类（培训、系统设计、系统开发、尽职调查、保密、对标分析、内部控制评估、流程设计等）E描述内部审计与外部审计、监管机构以及其他内部确认职能部门之间的协作，以及内部审计与其他确认服务提供方之间相互利用工作成果的可能性3.与高级管理层和董事会沟通并向其报告A了解首席审计执行官负责向高级管理层和董事会报告年度审计计划，并寻求获得董事会的批准B确定重大风险的暴露、控制和治理，以便首席审计执行官向董事会报告C了解首席审计执行官负责向高级管理层报告组织内部控制和风险管理程序的整体有效性D了解首席审计执行官定期与高级管理层和董事会沟通的内部审计关键绩效指标II计划审计业务(20%)1.制定计划A确定审计业务的目标、评估标准和业务范围B制定业务计划，确保能够识别关键的风险和控制C对每个审计领域开展具体风险评估，包括评估风险和控制因素，并确定其重要程度D确定审计业务流程，编制审计工作方案E确定审计业务所需的人员和资源水平III执行审计业务(40%)1.信息收集A收集并检查相关信息（检查之前的审计报告和数据、开展穿行测试、访谈、观察等），并将其作为对审计业务领域进行初步调查的一项内容B编制检查清单以及风险和控制调查问卷，并将其作为对审计业务领域进行初步调查的一项内容C运用适当的抽样（非统计抽样、判断抽样、发现抽样等）和数据分析技巧2.分析和评估A运用计算机辅助审计工具和技能（数据挖掘和提取、持续监控、自动化工作底稿、内置审计模块等）B评估潜在证据来源的相关性、充分性和可信度C运用适当的分析方法和流程图绘制技术（过程识别、工作流分析、流程图生成和分析、意大利面条图和RACI图等）D确定和运用分析性检查技术（比率估计、差异分析、预算与实际对比、趋势分析、其他合理性测试、对标分析）E编制工作底稿和记录相关信息的档案文件，为审计结论和业务成果提供支持F总结和归纳审计结果，包括对风险和控制进行评估的结果3.审计业务督导A确定业务督导过程中的重要活动（协调工作分配、检查工作底稿、评估审计人员的工作表现等）IV沟通审计结果和监督改进(20%)1.沟通审计结果和风险接纳程度A与审计业务客户进行初步沟通。
内部审计与风险管理
内部审计与风险管理内部审计和风险管理是现代企业管理中至关重要的组成部分。
内部审计是指机构内部对自身运营、控制、决策等方面进行独立、客观的审查和评估，以确保组织达到其目标并实现最佳治理。
而风险管理则是指企业为了最大程度地达成目标，必须对各种内外部风险进行预测、识别、评估、应对和监控。
内部审计的重要性内部审计在企业管理中有着不可替代的作用。
首先，内部审计有助于监督和评估公司内部控制制度的有效性，以确保公司资产的安全和保证财务报告的准确性。
其次，通过内部审计，公司能够发现和解决内部管理问题，提高管理效率，减少资源浪费，增加利润。
同时，内部审计也有助于发现和预防潜在的法律和道德风险，遵循合规要求，降低公司面临的法律诉讼风险。
风险管理的意义企业风险管理是企业管理的核心内容之一，对企业的持续发展和生存至关重要。
风险管理可以帮助企业降低风险造成的损失，提高企业的抗风险能力。
通过风险管理，企业可以更好地识别和管理各种风险，包括市场风险、信用风险、操作风险等，从而提高企业的竞争力，保障企业可持续发展。
内部审计与风险管理的结合内部审计和风险管理是相辅相成的。
内部审计通过对公司内部控制体系的评估，可以帮助公司确定重要风险点，提供审计结论和建议，为公司的风险管理提供参考依据。
同时，风险管理需要内部审计的支持和监督，确保公司制定的风险管理政策和控制措施得以有效实施和持续改进。
综上所述，内部审计和风险管理在企业管理中的作用不可小觑。
只有将两者结合起来，定期进行内部审计，建立有效的风险管理机制，企业才能在竞争激烈的市场环境中立于不败之地，实现长期稳定的发展和利润最大化。
内部审计和风险管理的有效实施不仅是企业责任和义务，更是企业管理者推动企业可持续发展的重要保障。
CIA内部审计师-科目1：内部审计基础-05治理、风险管理和控制
CIA内部审计师-科目1：内部审计基础-05治理、风险管理和控制[单选题]1.电子数据交换系统（EDI）的风险评估已确定，控制失败的风险评估分别为控制管理5%，物理控制10%，软件控制6%。
因此，EDI的控制（江南博哥）风险是：A.0.03%B.0.07%C.7%D.10%正确答案：A参考解析：控制风险是所有三层控制都失败的风险。
控制风险=管理风险百分比×物理风险百分比×软件风险百分比=0.05×0.1×0.06=0.0003(0.03%)。
[单选题]2.下列哪项陈述描述了2100系列标准中反映的控制的本质？Ⅰ.识别控制作为关键机制，确保功能单元的财务一体化。
Ⅱ.使控制与广泛的组织目标相一致。
Ⅲ.将控制限制在组织政策和程序之内。
Ⅳ.将控制描述为促进组织风险的管理和治理过程的有效性。
A.仅有ⅠB.Ⅰ和ⅢC.Ⅱ和ⅣD.Ⅲ和Ⅳ正确答案：C[单选题]3.以下哪项最恰当地描述了内部审计师在组织现存的风险管理、控制以及治理过程中的工作目标？A.帮助确定必要测试的性质、时间安排及范围，以实现业务目标B.确保内部控制系统的薄弱环节得到纠正C.为组织的目标和宗旨得以有效率和有效果地实现提供合理的确认D.确定内部审计过程是否能确保会计记录的正确性以及财务报表的公允披露正确答案：C参考解析：本选项符合国际内部审计师协会内部审计专业实务框架中的内部审计定义。
内部审计是一项独立的、客观的确认和咨询活动。
它通过采取系统化、规范化的方法评价和改善组织的风险管理、控制及治理过程的有效性，帮助组织实现其目标。
因此，内部审计可以为组织的目标和宗旨得以有效率和有效果地实现过程提供合理的确认。
[单选题]4.企业风险管理过程中，面临的最广泛的无形成本是：A.授权费B.破坏和机会成本C.维修费D.信息技术的实施和整合成本正确答案：B参考解析：B正确。
机会成本是指在选择一种方案而不是另一种方案时所放弃的好处。
cia考试题型
cia考试题型随着全球经济的发展和国际贸易的日益增长，企业对于内部控制和风险管理的需求也越来越高。
因此，越来越多的专业人士在内部审计领域寻求CIA（Certified Internal Auditor）认证，以提升自己的竞争力和职业发展前景。
CIA考试是国际认可的内部审计专业资格认证考试，由全球最大的内部审计组织之一的国际内部审计师协会（The Institute of Internal Auditors，IIA）负责管理。
考试共分为三个部分，涵盖了内部审计岗位所需的核心知识和技能。
接下来，我们将详细介绍CIA考试的题型和准备要点。
第一部分：内部审计基础知识（Part 1 - Internal Audit Basics）该部分主要考察考生对于内部审计的基本概念、内部控制和风险管理的了解程度。
总共包含了125道选择题，分为4个主要内容领域：1. 理解内部审计活动（Understanding Internal Audit Activity）：包括内部审计活动的定义、内审职能和责任、内审流程等内容。
2. 理解内部控制和风险（Understanding Internal Controls and Risk）：包括内部控制的目标、风险评估和管理、控制活动等内容。
3. 运营风险和控制（Conducting Internal Audit Engagements - Audit Tools and Techniques）：包括数据采集和分析、检查和验证控制活动的有效性等内容。
4. 内审报告和沟通（Communicating Engagement Results and Conducting Follow-Up）：包括编写内审报告、沟通与相关方的沟通技巧等内容。
第二部分：内部审计实践（Part 2 - Internal Audit Practice）该部分主要考察考生在内部审计实践中的能力和应用知识。
同样是125道选择题，分为4个主要内容领域：1. 建立和修订内部审计计划（Managing the Internal Audit Function）：包括编制内部审计计划、制定内审政策和程序等内容。
注册内部审计师(CIA)需要掌握的知识
注册内部审计师(CIA)需要掌握的知识
注册内部审计师(CIA)需要掌握的知识
1、具备一定的内部审计的知识。
作为内部审计人员，掌握一定的审计知识是关键，就像医生需要掌握一定的医术一样是最起码的要求。
2、具备一定的财务知识。
财务作为企业核心，除专门的信息中心外，归集的信息最为全面，掌握一定的财务知识，能使审计人员通过财务系统了解到很多的业务轨迹，为审计工作提供线索。
3、内部控制及风险管理。
在面临各种风险的条件下，内部审计师必须理解风险管理的.概念，风险和控制是一个问题的两个方面，只有风险而无控制就可能出问题，只控制而无风险是在浪费资源。
4、公司治理。
因内部审计与公司治理参与者之间存在着报告关系，掌握公司治理知识成为内部审计师的必需，将公司治理作为审计对象，能够促进公司治理与企业管理及其内部控制的整合。
5、信息技术。
内部审计师必须迎接信息技术的挑战，要了解本单位的信息系统和各种审计软件，通过审计软件可以提高审计效率和审计质量。
6、单位的经营业务。
熟悉本企业的经营业务对内部审计来说至关重要，若不懂本单位经营业务，就不能深入企业内部，去发现单位需改善的问题。
CIA内部审计考试第二部分总结(常见错题背诵版)
第二部分实施内部审计业务实施业务1、验收备忘录会提供采购交易实际发生的最佳证据。
2、放在备忘录开头和使用主动语气，都是强调信息的强有力方式3、应收账款的账龄是有关应收款估价的直接相关证据，也是坏账准备的直接相关证据。
4、提供了应收票据可收回的最佳证据——检查现金收入记录，确定即期支付的本金和利息5、“证实”对于测试在内部控制调查问卷中描述的支付凭单的事前审计的质量最为恰当。
6、提供了账面收入完整性的最佳证据——将运输记录同账面销售进行核对7、速动比率降低，同时流动比率提高的唯一途径是现金或应收账款减少8、证实被兼并公司获取的现金是否恰当列出，最具说服力的证据——编制并审核标准的银行函证请求9、可以产生最大胜任的证据——选择信贷申请的统计样本，测试它们对规定程序的遵守情况10、详细测试是“确证证据”的良好示例。
11、成帧误差——有利地评价肯定信息和不利地评价否定信息12、承诺升高——因为个人要承担责任，因而不去采取行动13、符合性测试可用在内部控制系统的有效性审核中。
14、审计工作底稿的主要目的是——提供计划并执行审计程序的证据15、可以区别电子审计工作底稿同传统审计工作底稿的保存方式——所有分析、结论和建议都要以电子版形式保存，因此要服从计算机控制和安全程序16、最好描述了内审师在后续跟进审计建议方面的角色——应当后续跟进，确定采取了审计建议的恰当措施17、以下审计报告的要素不总是被要求——评价被审计活动有关发现的影响实施具体业务一、实施确认业务1、发现可能的舞弊——通过运用变动分析和趋势分析2、最有可能发现丢失的材料和舞弊——进行年度存货实物盘点，将结果与永续盘存记录相核对，注意差异并调查3、内审师发现可能的舞弊，正在编制初步报告，报告应包括——一份审计师的结论，以此表明开展调查是否存在充分的信息4、审计师在将问题提交给该分部管理层之前，应该将某些确证证据收集到证明性证据中。
5、最有助于提供额外的证据——利用审计软件形成附有邮箱号的供应商清单或其他异常特征，从其中选择样本并追溯到验收报告等相关凭单6、内审师怀疑舞弊可能发生时，应告知组织中恰当的权威人士，并建议调查；在舞弊事实上确定后，要完成追加测试来确定舞弊程度；在追加测试表明舞弊发生时，要立即通知董事会7、在调查阶段结束后要求舞弊报告，在检查阶段结束后要批准舞弊报告8、必须包含在舞弊报告中的正确信息：发现、结论、建议、纠正措施二、第三方审计与合同审计1、最能对主文件的完整性提供保障的控制程序是核查纠正主文件，比如，标题标签2、根据《准则》中有关应有的职业审慎性标准，内审师应当考虑应用审计程序的事项的相对重要性三、经营审计业务1、对于评估数据库信息的准确性是最适当的——通过辅助记录，验证从数据库中抽取的记录样本2、经济订货量不会影响最低存货水平3、盈余操纵通常涉及收入确认的时间，或者错报存货4、确定交付的报告是否有签名是了解报告访问权限的唯一程序5、审计师应当重新计算装运要求和装运时间，来证实针对质量控制所利用的准时制标准6、在评价是否存在欺诈性支付的可能性时，应该对工资支付进行测试，书面证据是最有力7、确定采购是否得到恰当的审批的最佳程序——确定采购日记账的分录样本是否得到恰当执行的采购订单支持8、内审师对于工资表的审计最不可能包括——观察支票的手工发放程序9、仓库保存的采购订单副本上不应列出到货数量10、使用现金收入弥补当期现金支出减弱了公司对现金收入和支出的控制11、职位分类计划是薪酬分析和评估的基础12、验收报告应直接提交给应付账款部门进行支付13、内审师发现公司采购了一些已经积压的存货，应该——对积压存货进行定期报告14、通过计算选定的销售佣金，可以最好地确定针对具体销售人员的账面佣金支出的准确性15、对存货实物盘点可以识别永续存货系统的任何错误的数量四、信息技术审计业务1、为了测试自动化系统中的当前数据是否准确，审计师应该——运用通用审计软件从数据库中选取员工样本，核实数据字段2、一般控制同安全以及恰当的职务分离有关3、配平总数被用于确保数据处理的完整性和准确性4、应用控制和一般控制的关系——应用控制需要一般控制来支持运行，两者共同来确保完整和准确的信息处理5、支持审计师有关公司应当实施EDI的建议——存在时间敏感性的准时制采购环境、与同一个供货商有多项交易6、不断增加的信息技术人员轮换与开展EDI采购系统的评估有关7、在评价数据库访问和使用的控制程序时，审计师最关心的是——同步更新控制在发挥作用8、安全是由编写到每个应用程序的访问控制构成的，审计师向管理层提出的最佳建议是：考虑使用存取控制软件9、在终端用户环境下，备份和恢复是每一位用户的责任10、内审师审核IT数据输入活动的目标是要确定——输入/输出控制是适当且有效的11、内审师研究评价公司IT运行的主要目的——评价财务信息和运行信息的可靠性与完整性12、在审核针对备份和恢复的控制时，审核加密过程的有用性和适当性不应包括在内13、核实程序系统按原定目标实施的最佳方法是——审计针对文档存取和作业初始化/终止信息的作业会计数据14、计算机输出结果应该根据当前处理指令来分发，并且仅仅在控制部门审核处理结果之后进行15、确定主文件是否在一天中更新两次的技术是——作业会计数据分析16、用户清单及其密码不在审计轨迹日志中。
内部审计与风险管理
内部审计与风险管理内部审计和风险管理是组织中保障良好运营和发展的重要环节。
内部审计是指组织内部独立的评估和监督体系，旨在提供可靠的信息来改善内部控制、风险管理和业务运营的效率与效果。
风险管理是指组织针对不确定事件制定和执行策略的过程，以在实现目标过程中识别、评估和应对不确定性。
内部审计和风险管理密切相关，两者共同构建了组织良好的治理结构。
内部审计通过独立评估和监督，为组织提供客观、中立的报告，发现并解决潜在的问题和风险。
而风险管理则通过识别和评估关键风险，为组织制定和实施相应的控制措施，以降低风险对组织运营的影响。
首先，内部审计在风险管理中发挥着重要作用。
内部审计通过全面了解组织的业务和运营过程，能够深入分析和评估潜在的风险。
通过对组织内部控制的审查，内部审计可以确定存在的缺陷和漏洞，为风险管理提供基础数据和建议。
内部审计人员的专业知识和经验，使他们能够准确判断潜在风险的严重性和影响程度，并提出有效的改进方案。
其次，内部审计通过监督和评估控制措施的执行，确保组织有效管理风险。
内部审计对组织的各项业务和运营活动进行定期审查，确保控制措施的有效性和合规性。
通过对组织政策和程序的遵循性审计，内部审计可以发现和纠正不当行为和实践，及时阻止风险事件的发生。
内部审计还可以提供培训和指导，加强组织成员对风险管理的认识和理解，提高整体的风险意识。
此外，内部审计还可以为风险管理提供可靠的数据和信息支持。
内部审计通过收集和分析组织各项业务和运营活动的数据，为风险管理提供决策依据。
审计过程中的事实和发现，可以帮助组织更好地认识和理解潜在风险，为制定更有效的控制策略提供支持。
内部审计报告中的分析和评估结果，可以帮助组织管理层更全面地了解风险情况，并及时采取相应的措施。
总而言之，内部审计与风险管理密不可分，两者相互促进、相互支持，以保障组织的良好运营和发展。
在一个不断变化和竞争激烈的环境中，组织需要通过内部审计来识别和评估潜在风险，并通过风险管理来采取相应措施，以保证公司的长期可持续发展。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Ⅱ.风险管理10%-20%A.风险管理技术B.风险框架的组织运用C.内部审计在风险管理的定位风险管理技术1.概念风险管理指识别、评估、管理和控制潜在事件或情况的过程，目的是为实现组织的既定目标提供合理保证。
风险管理就是采取一定的措施对风险进行检测评估，使风险降低到可以接受的水平，并将其控制在某一可以容忍的程度。
2.风险的定义1）不确定性，也就是某种结果出现的概率；2）后果，即实际结果与期望值的偏离。
风险的衡量标准是后果与可能性。
在经营管理活动中，风险常常被定义为生产运营的弊端、失误或失败带来组织危机的可能性。
对组织而言，风险是某种不利因素产生并造成实际损失，致使组织目标无法实现或降低实现目标效率的可能性。
组织中的风险可能来自很多方面，其中既包括内部管理不善、人为损害的风险，又包括外部环境变化造成的风险，同时包括可能出现的不可预知的自然灾害等因素。
3.风险管理基本原则：以最小的成本获得最大的保障。
风险管理的处理方法：1）回避风险2）预防风险3）保留风险4）转移风险4.回避风险（避免风险）考虑到影响预定目标达成的诸多风险因素，结合决策者自身的风险偏好和风险承受能力而作出的中止、放弃某种决策方案或调整、改变某种决策方案的风险处理方式。
风险回避的前提在于企业能够对企业自身条件和外部形势，客观存在的风险属性和大小有准确的认识。
这种方法明显具有很大的局限性，因为并不是所有的风险都可以回避或应该进行回避。
5.预防风险（控制风险）指采取预防措施，以降低损失发生的可能性及损失程度。
预防风险涉及一个现时成本与潜在损失比较。
若潜在损失远大于采取预防措施所支出的成本，就应采用预防风险手段。
举例：兴修水利、建造防护林6.保留风险（自留风险）指自己非理性或理性地主动承担风险，即指一个企业以其内部的资源来弥补损失。
“非理性”保留风险是指对损失发生存在侥幸心理或对潜在的损失程度估计不足从而暴露于风险中；“理性”保留风险是指经正确分析，认为潜在损失在承受范围之内，而且自己承担全部或部分风险比购买保险要经济合算。
保留风险适用于发生概率小，且损失程度低的风险。
7.转移风险（分担风险）指通过某种安排，把自己面临的风险全部或部分转移给另一方。
通过转移风险而得到保障，是应用范围最广、最有效的风险管理手段。
举例：保险8.风险专有术语固有风险在管理部门没有采取任何措施来改变风险的可能性或影响的情况下一个主体所面临的风险。
财务或外部审计师长期以来将固有风险归纳为：假定不存在相关的化解风险的控制措施，信息或数据对重大错报的敏感性。
剩余风险指管理层采取了有关措施，包括采取应对某项风险的控制活动降低负面事件的影响和可能性之后仍然存在的风险。
简单来说，剩余风险是指未被管理的风险或建立控制措施之后仍然存在的所有风险。
9.风险评估的主要任务包括：1）识别组织面临的各种风险；2）评估风险概率和可能带来的负面影响；3）确定组织承受风险的能力、确定风险消减和控制的优先等级；4）推荐风险消减对策。
10.企业风险管理是：·一个正在进行并贯穿整个企业的过程；·受到企业各个层次人员的影响；·战略制定时得到应用；·适用于各个级别和类型的企业，包括考虑风险组合；·识别能够影响企业及其风险管理的潜在事项；·能够对企业的管理层和董事会提供合理保证；·致力于实现一个或多个单独但类别相互重叠的目标。
11.企业全面风险管理（ERM）是贯穿整个组织的，具有结构性、一致性和持续性的过程，用以识别、评估并确定如何应对及报告影响组织实现目标的机遇和威胁。
企业全面风险管理的责任是：由董事会对确保风险得到管理负全部责任。
实践中，董事会将风险管理框架的运作授权给管理团队来执行，由管理团队负责完成各项活动。
组织中的每个人都在确保成功的企业全面风险管理中发挥作用，但管理层对识别和管理风险负主要责任。
12.企业全面风险管理活动包括：·说明和沟通组织目标；·确定组织的风险偏好；·建立适当的内部环境，包括风险管理框架；·识别影响目标实现的潜在威胁；·评估风险（如，威胁的影响和发生可能性）；·选择和实施风险应对策略·采取控制和其他应对措施；·组织中所有层级采用一致的方式进行风险信息沟通；·集中监督和协调风险管理过程及结果；·为风险管理的效果提供确认。
企业全面风险管理框架的好处在于能够在协助组织管理风险从而实现目标方面做出重大贡献。
全面风险管理框架具备的优势被组织充分认识并日益得到普及。
内部审计通过其确认和咨询作用，利用各种方式协助全面风险管理的实现。
董事会或同类机构的主要要求之一是确保风险管理过程有效运作且主要风险被控制在可接受的水平。
内部审计是客观确认的主要来源；其他来源包括外部审计师和独立的专家检查。
13.内部审计对企业全面风险管理的确认作用1.风险管理过程，包括其设计和运行情况；2.对“主要”风险进行管理，包括控制的效果和应对措施；3.可靠、适当的风险评估及对风险和控制情况的报告。
内部审计是为董事会提供风险管理效果的客观确认活动。
风险管理只为组织的管理层服务，不必为审计委员会提供独立和客观确认。
14.内部审计在企业全面风险管理中的咨询作用为改进组织治理、风险管理和控制过程提供咨询服务，尤其是在ERM活动的早期。
15.内部审计部门可以承担的咨询作用包括：1）将分析风险和控制所用的工具与技术提供给管理层；2）发挥其在专业知识及对组织的总体认知方面的优势；3）提供建议，推动专题讨论会，指导组织风险和控制，促进共同语言、框架和理解的建立；4）作为协调、监督和报告风险的中心；5）协助管理者确定降低风险的最佳方式。
16.内部审计确定与咨询两种作用能否合理共处？1）只要内部审计没有实际管理风险的职能（这是管理层的职责）且高级管理层积极认可和支持企业ERM，内部审计就能够提供咨询服务；2）无论何时内部审计部门都应致力于帮助管理层建立或改进风险管理过程。
17.内部审计参与企业全面风险管理的前提条件：·应当明确管理层对风险管理的职责；·内部审计师职责的性质应当写入内部审计章程并由审计委员会审批通过；·内部审计不应当代表管理层管理任何风险；·内部审计应当提供建议并支持管理层作决定，而不是由他们自行做出风险管理决定。
18.内部审计参与ERM应具备的技能和知识结构1）内部审计师和风险经理共享某些知识、技能和价值。
如公司治理的要求，具有项目管理、分析和推进技巧，重视良好的风险平衡而不是极端地承担或者逃避风险。
2）内部审计师应重视风险转移、风险量化和建模技术等。
内部审计师如果不能证明自己拥有适当技能和知识，就不应当承担风险管理领域的工作。
19.风险管理是公司治理的基本要素管理层代表董事会负责建立和实施风险管理框架。
内部审计师在ERM中的核心作用应当是为管理层和董事会就风险管理的有效性提供确认，并应保护其确认服务的独立性和客观性。
管理层和董事会对于风险管理和控制流程负责。
风险管理是管理层的一项关键责任。
内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。
为了实现其经营目标，管理层应当确保本组织具备良好的风险管理流程，并且运转正常。
董事会和审计委员会对于确定本组织具备良好的风险管理流程且运转正常负有监督责任。
内部审计师应当在改善管理层的风险管理流程的效果和效率方面协助管理层和审计委员会，以咨询的方式帮助本组织识别、评价和实施风险管理方法和控制，从而解决这些风险。
20.内部审计师在灾难发生前的作用内部审计师应该对组织的经营持续计划过程做出定期评价，以保证高级管理层了解灾难应急准备情况。
验证这些计划对于确保在发生不利情形之后及时重启业务和流程的准备是充分的，并且反映了当前的企业运营环境，并关注针对未来的变化适应性。
21.内部审计师在灾难发生后的作用在恢复期间，内部审计师应当对经营活动恢复和控制的有效性进行监督。
内部审计活动应当对内部控制和减轻风险措施需要改进的领域加以确认，对经营持续计划的改进提出建议。
典型试题：1.购买保险属于（）风险处理形式。
A.风险回避B.风险保留C.风险转移D.损失控制『正确答案』C『答案解析』风险回避，是为了规避风险而不去做某件事；风险保留，是回避风险，也不采取任何行动；控制损失是错误的混淆选项。
风险转移是把风险转移给其他的人或部门，购买保险属于风险处理形式中的风险转移。
所以选择C。
典型试题:2.以下哪项可能损害参与风险管理过程初始建立阶段的内部审计师的独立性？A.对风险管理过程进行评估和编制报告。
B.评价管理层的风险过程的充分性和有效性。
C.管理已识别的风险。
D.应对已识别的风险实施控制。
『正确答案』C『答案解析』内部审计师可以协助某个组织建立风险管理过程的初始阶段发挥更加能动的作用。
然而如果这种协助超出了内部审计师正常的保障和咨询活动范围，其独立性可能受到损害。
风险框架的组织运用1.COSO企业风险管理框架（COSO ERM）对风险管理的定义1）在企业内不断运转的过程；2）受董事会、管理层和其他人员的影响；3）从企业战略制定一直贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件和管理风险，使之在企业的风险偏好/可接受水平之内，以合理确保企业既定的目标得以实现。
2.风险管理的具体表现：1）认真地分析风险因素；2）有意识地承担风险；3）科学地管理风险；4）稳妥地获取风险收益。
风险管理核心是将难以预计的未来可能带来损失的不确定性控制在公司可以接受的合理范围内，力求从中寻找到有利于企业发展的最佳机遇。
3.首席风险官 CR0（风险官或风险经理）在一些组织中，首席风险官为组织内的企业风险管理提供总协调。
由CEO授权，CRO提供资源协助其他管理人员建立有效的风险管理实践，监测并协助那些管理人员进行报告。
COSO列出CRO具体的企业风险管理责任：1）建立相关的政策；2）明确角色和职责，并帮助制定实施目标；3）制定业务部门相应的权力范围和责任；4）引导与其他业务规划和管理活动的整合；5）建立共同的风险管理语言和常见的衡量标准；6）向CEO汇报现状，包括推荐行动方案。
4.风险评估框架四步骤风险识别→风险评估→风险缓释/应对→风险控制风险评估框架要求识别和了解企业面临的各种风险，以评估风险的成本、影响及发生的可能性，并针对出现的风险制定应对办法，制定文件记录程序以描述发生的情况以及实施的纠正举措。
这四个步骤应在企业的各层面得以执行，并且不同工种的人员均应参与。
4.1 风险识别——风险识别程序要求采用一种有计划的、经过深思熟虑的方法，来识别业务每个方面存在的潜在风险，并识别可能在合理的时间段内影响每项业务的较为重大的风险。