ERM框架下内部审计在风险管理中的应用

企业要对已识别的风险事件进行定量分析和定性分析，分析风险 产生的重要性及可能性。内部审计可以采用定量分析和定性分析 的方法， 对潜在事项进行测试， 对潜在的负面事项进行固定风险评 估和剩余风险评估， 并对风险价值 （VAR 进行分析， ） 寻找在某段时 间内， 在某种量度下最大的损失， 为应对风险作好基础。 五是内部 审计在对风险对策方面的作用。 企业在风险评估结束后， 管理层应 当决定该如何应对风险，风险应对策略主要有风险回避、风险控 制、 风险自留和风险转嫁。 内部审计人员应在成本和效益的基础上 着重分析不同风险控制工具所带来的效益和成本，以决定是完全 放弃还是预防性回避风险， 控制风险、 将风险转移到参与该风险计 划的其他人身上或是在自我承担由风险所带来的财务风险。六是 内部审计在控制活动方面的作用。 在控制活动中， 企业通过设计业 务控制程序来保证经济业务的合法性和合规性。而且应当确保业 务的合理性和高效率， 以限制和降低风险， 许多内部控制程序都是 为了这个目的而设计的。 内部审计能够参与企业事前、 事中、 事后 的全过程风险审查， 发现风险管理中的薄弱环节和关键控制点， 从 全过程控制和管理企业现存的风险， 规避企业潜在的风险。 七是内 部审计在信息与沟通方面的作用。 在风险管理过程中， 首先必须明 确风险管理所需要的信息及获取时间及途径，将风险管理信息系
（一 了解被审计单位的环境及其目标战略 被审计单位所处 ） 的行业状况、法律环境与监管环境以及其他外部因素可能会对被 审计单位的经营活动乃至财务报告产生影响。被审计单位治理层 和管理层根据企业内外部环境所制定的经营目标和战略在一定程 度上反映了管理者的经营理念和方法，审计人员应在分析上述因 素的基础上，对被审计单位管理当局在企业应用公允价值计量上 诚信程度、 关注程度作为判断被审计单位公允价值计量是 的认识、 否公允的基础。管理当局熟悉公允价值计量相关准则的规定并要 战略出现和预期 求会计人员遵照执行还是违背原则， 在公司目标、 不相一致的情况下是否有利用公允价值计量进行粉饰报表的可能 等方面审计人员应关注。 （二 了解和测试公允价值计量的相关项目内部控制程度 内 ） 部控制由最早的账项牵制制度发展到目前的风险管理的八要素阶 段是历史进程和社会发展的需要，随着中航油新加坡分公司违规 进行原油期货交易等一系列因内部控制缺失而导致的重大舞弊事 件的出现，越来越多的企业认识到完善的内部控制对防范和化解 经营风险的重要意义。在美国的萨班斯法案中强制企业管理层要 “审 对企业是否拥有健全的内部控制出具审核报告， 注册会计师对 核报告” 要做出审核和报告。也就是说， 管理当局除了保证会计信 息的真实可信之外， 还要确保企业的内部控制健全， 两者具有同等 重要的地位。注册会计师在审计被审计单位报表时除了测试和评
二、内部审计与风险管理的关系
管理，根据内部审计部门对ERM各环节进行潜在的风险认定， 内 部审计人员进行相应的单独评价监控程序，这有利于企业加强风 险的规避、 转移和控制， 通过有效的风险管理提高企业整体管理水 平。 二是内部审计是风险管理的重要组成部分。 风险管理是要把可 能的错弊或者损失控制在允许的范围之内。风险可以分为内部风 险和外部风险， 风险管理因此也就分成内部风险控制、 内部风险管 理和外部的风险管理，内部控制和内部审计也就成为内部风险管 理的重要组成部分。 内部控制、 内部审计应该是外部风险管理的基 础和重要手段。 所以说内部控制、 内部审计是风险管理的重要组成 部分， 但不是全部， 两者是交叉的， 但其联系日趋紧密。 三是风险管 理是内部审计的主要职责。风险管理是内部审计要发挥作用的途 径， 由于这样一种工作方式的变化， 决定了内部审计人员在组织内 部有了独特的地位，内部审计人员在企业的风险管理和监控中占 有重要的地位。 特别是在风险导向内部审计的观念下， 审计计划与 公司最高层的风险战略连接在一起，内部审计人员通过对当前的 风险分析确保其审计计划与经营计划相一致，使用风险管理原则 改变审核过程。 风险管理成为企业管理的关键流程， 促使内部审计 的工作重点不仅是测试控制，而且包括确认风险及测试管理风险 的方法。 在风险导向的内部审计中， 控制仍然重要， 但分析、 确认、 揭示关键性的经营风险， 才是内部审计的焦点。 可以预见， 随着风 险管理与内部审计交叉融合的程度进一步加深，风险管理的内容 在 《内部审计实务准则》 中将会占有更大的比重。
审计观察 AUDIT PER SPECTIVE
ERM 框架下内部审计在风险管理中的应用
江西理工大学
一、ERM 框架的主要内容
应益华
许道芳
2004年， 美国反虚假财务报告委员会下属的COSO组织在其公 布的ERM框架 《企业风险管理综合框架》 中将风险管理定义为： （ ） 风险管理是一个过程， 受组织的董事会、 管理层和其他人员影响， 风险管理应用于战略制定， 贯穿整个企业。 风险管理旨在识别影响 组织的潜在事项， 在组织的风险偏好范围内管理风险， 为组织目标 的实现提供合理的保证。 ERM框架主要由三个维度组成：第一维 度是企业的目标， 第二维度是全面风险管理要素， 第三维度是企业 的各个层级。 第一维度的目标主要有四个， 即战略目标、 运营目标、 报告目标和遵循目标。 第二维度是全面风险管理要素， 主要包括以 下八要素： 内部环境、 目标设定、 事项识别、 风险评估、 风险对策、 控制活动、 信息和沟通、 监督。 第三维度是企业的层级， 包括整个 企业、 各职能部门、 各条业务线及下属各个子公司。 企业风险管理 三个维度的关系是：全面风险管理的八个要素都是为企业的四个 目标服务的，企业的各个层级都要坚持服从企业的四个目标， 每 个层次都必须从八个方面进行风险管理。企业风险管理往往是一 个全面的、系统的过程， 它不仅仅局限于对某一件事情和情况的 处理， 而是一个动态的、 持续的过程， 渗透到企业经营活动的每个 方面， 涉及到各个层级的人员。 企业通过在日常工作中嵌入风险管 理机制， 可以更好地识别风险和管理风险。完善的现代企业风险 管理体系， 应将风险管理视为闭环型过程管理， 主要包括： 风险识 别、 风险分析、 风险评估、 风险处理， 这四个环节依次顺序推进、 循 环往复。
三、内部审计在企业风险管理中的作用
《中国注册会计师审计准则第1411号—— —考虑内部审计工作》 将内部审计定义为:被审计单位内部机构或人员,对其内部控制的 有效性、财务信息的真实性和完整性以及经营活动的效率和效果 等开展的一种评价活动。国际内部审计师协会2001年在其发布的 《内部审计实务标准》 中对内部审计定义： 内部审计是一种独立、 客 观的保证和咨询活动，其目的在于为组织增加价值并提高组织的 运作效率。 它采取系统化和规范化的方法来对风险管理、 控制和治 理程序进行评估和改善， 从而帮助组织实现它的目标。 从IIA对内 部审计的定义可以看到内部审计的范围已延伸到企业风险管理， 该定义认为内部审计是针对风险管理、控制及治理过程的有效性 进行评价和改善所必需的， 过去内部审计主要限于财务控制， 目的 在于保护资产的安全，保证财务会计记录的正确性以及对外提供 财务信息的可靠性。 现在内部审计范围扩大了， 要求内部审计部门 对本企业有效经营、 遵守法律法规等方面进行检查， 并将内部控制 的范围与风险管理结合起来，对企业所面临的风险性质和程度进 行全面综合的评价。 事实表明， 风险管理已发展成为内部审计的一 项重要内容。 一是内部审计是实施风险管理的有效手段。 从内部审 计发展趋势来看， 内部审计不仅越来越关注风险， 同时也是风险管 理的重要组成部分。内部审计更强调确认经营风险是否得到有效
统融入到整个企业的运做过程中。 在沟通环节， 企业的风险管理要 将风险信息及时有效地传递给内部相关人员，以便及时采取相应 的控制措施。 风险信息沟通是双向的， 内部审计人员可以通过评价 及时地传达给相关人员。 八是内部 报告系统证明风险信息被准确、 审计在监督的作用。 企业风险管理活动中应当建立监督机制， 这种 监督是对企业风险管理现状和各组成部分绩效进行评价的过程。 内部审计人员因为其独立性、 专职性、 有效性、 权威性在绩效评价 中具有中立的地位， 所作出的评价比较客观， 可将监督工作真正落 实在实处，并将企业在风险管理中存在的缺陷传递到管理层和董 事会， 充分发挥内部审计的评价和建设职能。 参考文献： ［1］ 刘志远： 《高级财务管理》 复旦大学出版社2007年版。 ， ［2］ 杨雄胜： 《高级财务管理》 东北财经大学出版社2004年版。 ， ［3］ 财政部注册会计师考试委员会办公室： 《审计》 中国财政 ， 经济出版社2008年版。 ［4］ 财政部：中国注册会计师执业准则 ， 《 》 经济科学出版社2006 年版。 （编辑 代 娟 ）
在ERM框架范畴下， 内部审计的作用越来越重要。 一是内部 审计有利于对企业的内部环境进行分析。内部审计处在企业内部 控制环境中， 清楚各项业务的工作流程及关键控制点， 其相对独立 并且在企业内部有较高的地位，内部审计人员一般不参与决策或 者具体的管理事务， 所以更有可能站在全局的高度评价企业经营， 更能明晰的洞察到企业经营的薄弱点，合理保证企业经营活动的 二是内部审计对目标设定中的作用。 在分析内部环境的 有效运行。 基础上， 企业应区分不同的管理层次和内部结构， 以战略管理的的 高度为企业的第一维度的目标建立一个基础。内部审计可在分析 内部环境的基础上， “独立” 以 的身份对各层次的目标进行综合评 估， 使企业的风险管理与企业的战略管理目标的有效结合， 对与企 业战略管理目标相冲突的层级目标进行反馈到各管理层次。三是 内部审计对风险事件的识别中的作用。 在风险事件识别活动中， 企 业要识别影响企业战略实施成功和企业目标实现的潜在事项。 内 部审计人员应从整个企业的角度采用通用风险分析模板及方法， 识别单位本身的风险和重要合作者的风险。由于风险潜在于模糊 的地方， 内部审计人员需要借助不同的风险确认工具， 如风险分析 问卷、 项目检查等分析方法， 创造性地进行分析、 判断管理层是否 完全识别了企业的所有风险，若有遗漏的风险要提醒管理层加以 考虑。 四是内部审计对企业风险评估的作用。 在风险评估活动中，