試論內部審計與內部控制、風險管理的關系

[摘 要] 隨著經濟的發展，內部審計的對象從內部控制系統擴大到風險管理過程，同時內部審計也是企業風險管理過程中監督環節的重要內容。內部審計已不再是一個孤立的概念，而是與內部控制、風險管理密切相關，本文試對三者的關系進行了分析和論述。

[關鍵詞] 內部審計 內部控制 風險管理

國際內部審計師協會(IIA)在1999年出版的《內部審計實務標準》一書中對內部審計重新進行了表述，它認為，內部審計是一種獨立、客觀的保證與咨詢活動，它的目的是為機構增加價值并提高機構的運作效率。它采取系統化、規范化的方法來對風險管理、控制及治理程序進行評價，提高它們的效率，從而幫助實現機構目標。這個描述第一次將內部審計從企業(機構)的普通經營管理活動的陣營中解放出來，第一次將內部審計的視角直接的對準了企業(機構)的內部控制、風險管理及治理程序。這無疑是內部審計理論的重大發展，也為內部審計工作開辟了更廣闊的空間，與此同時，重新理解內部審計，特別是正確認識內部審計與內部控制、風險管理的關系也彰顯出了重要的意義。

一、風險管理與內部控制的關系

在分析內部審計與內部控制、風險管理的關系之前，讓我們沿著美國COSO委員會所發表的框架理論來回顧一下內部控制、風險管理的歷史及兩者的關系，這將有助于理解內部審計在其中的職責。

美國COSO委員會于1992年發表并于1994年修訂的《內部控制——整體框架》報告將內部控制定義為由董事會、管理層和員工共同設計并實施的，旨在為實現組織目標提供合理保證的過程；并設定了三類目標——經營的效果和效率、財務報告的可靠性、法律法規的遵循性；闡述了五項構成要素——控制環境、風險評估、控制活動、信息與溝通、監督。這個報告很快被世界上許多企業所采用，但同時人們也發現該報告存在著對風險強調不足等問題。COSO委員會針對這些問題，在原報告的基礎上，結合《薩班斯——奧克斯利法案》的要求，擴展研究得出《企業風險管理——整體框架》報告（ERM報告），于2004年9月正式頒布。

ERM報告是對內部控制框架的新發展，與內部控制框架相比，風險管理框架在內容和范圍上都得到了擴大和提高，討論的范圍擴大到包含內部控制系統的風險管理過程，側重于用風險的理念來看待企業的管理和目標的實現。ERM報告指出，內部控制是企業風險管理不可分割的一部分，ERM報告包含內部控制，是一個更廣泛的管理理念和管理工具。但也強調，由于“內部控制整體框架經受了時間的檢驗，并成為現行許多法律法規和制度的基礎”，因此它依然是有效的、可以執行的。

二、內部審計與內部控制的關系

“現代內部審計之父”勞倫斯B.索耶在其名著《現代內部審計實務》中指出，(內部)控制對內審人員來說，既是一種機會，也是一種責任。內審人員不可能成為企業生產經營管理各方面的專家，但是，勝任的內審人員有一個“芝麻開門的秘訣”，運用這個秘訣，他們能打開通常只有技術專家才能打開的大門，運用這一秘訣，他們能幫助解決這些大門背后的許多問題。這一秘訣就是(內部)控制?？梢?，內部控制是內部審計關注的重點，也是實現審計目標的橋梁。事實上，內部審計與內部控制之間的關系是相互依存的，內部審計是內部控制系統的重要組成部分，是對其余內部控制要素的再控制；而內部控制又是內部審計的直接對象，通過內部審計的檢查、評價而不斷的促進內部控制的健全完善。內部審計對內部控制的關注遠遠超過了外部審計，可以說“內部審計就是通過對內部控制的審查和評價進而把握整個管理活動的，在我國當前的內部審計實務中尤為如此?！?/p>

內部審計與內部控制之間的關系也是相互作用的，兩者都是企業經營管理的重要組成部分，都具有為企業目標的實現而服務的最終的、相同的目標。從系統論的角度分析，內部審計的有效實施將對內部控制的效率、效果產生積極影響，反之，將使內部控制的運行失去有效監督，產生消極影響；同時，內部審計作為內部控制系統的一部分也會受到整個系統的影響，一個健全、有效的內部控制系統無疑將為內部審計提供一個良好的審計環境，從而促進內部審計質量的提高。

三、內部審計與風險管理的關系

內部審計對風險管理的關注是在對傳統的內部控制的關注基礎上發展起來的，是與企業經營管理在更高層次上的融合，是風險理念與內部審計結合的成果，也是內部審計順應時代發展的要求，不斷發揮自身價值的必然選擇。兩者之間依然具有依存關系，從ERM報告可見，內部審計作為監督要素的重要內容是風險管理的一部分，隨著內部審計范圍的擴大，審計的對象不僅僅是內部控制，而是企業的風險管理過程，內審人員通過檢查、評價、報告風險管理過程的充分性和有效性，并提出改進建議來協助管理當局將風險控制在可以接受的范圍之內。這一點在我國企業界表現的尚不明顯，但“許多西方發達國家的優秀企業已充分認識到內部審計對風險管理的重要意義，在繼續開展內部控制審計的同時，把關注的重點轉向了對企業各個領域風險管理的有效性。如美國通用電器(GE)公司的內部審計部門把為支持企業風險管理提供獨立的評價和建議服務作為自己重要的職責。杜邦(Du Pont)公司在全球六大地區設立了20個戰略經營機構，其內部審計部門在這六個地區分別派駐一個審計小組，其主要職責是及時、準確的了解業務運做情況，找出固有風險，評估對這些風險所實施管理的有效性程度，進而向內部審計主管提出對哪些領域或項目開展風險審計的建議，以便及時的、有針對性的開展風險管理審計”。

內部審計與風險管理也存在著相互作用的關系。內部審計的目標之一是增加企業的價值，而增加價值的前提之一就是企業風險的管理——準確的識別、恰當的評估、合理的反映并將風險控制在可接受范圍，而這個過程正是企業風險管理過程的核心所在，因此風險管理是否有效將決定著內部審計的目標能否實現。同時內部審計又是企業風險管理過程的重要組成部分，獨立的對風險管理過程進行審查、評價和建議，維護著系統的正常、有效運行。

此外，風險管理還決定著內部審計的審計計劃制定、審計資源配置、審計技術水平和審計報告內容等具體工作。IIA認為，審計執行主管應根據風險制定計劃，確定符合機構目標的內部審計工作重點。應使機構的風險管理與內部審計程序之間協調一致，產生協同增效的作用。

四、內部審計、內部控制和風險管理三者的關系

內部審計、內部控制和風險管理三者之間相互依存，相互作用，形成一個有機的整體，貫串于企業經營管理的始終，共同服務于企業的戰略、目標。風險管理為內部控制和內部審計提供了邏輯起點，也為內部審計和內部控制指明了努力的方向；內部控制為風險管理提供了控制機制，也為內部審計提供了審計對象；內部審計不僅直接以風險管理和內部控制作為檢查和評價的對象，而且通過咨詢服務幫助風險管理和內部控制的完善和優化。下圖在要素層面描述了內部審計、內部控制與風險管理之間的關系。

從上圖可以看出，內部審計已不再是一個孤立的概念，而是與內部控制、風險管理密切相關，三者均是現代企業經營管理活動的重要組成部分，共同為實現企業既定的目標服務，三者關系密不可分，只有彼此的有效融合，才可充分發揮其效用。

參考文獻:

[1]金彧昉 李若山 徐明磊:COSO報告下的內部控制新發展——從中航油事件看企業風險管理.會計研究，2005(2)

[2]國際內部審計師協會，中國內部審計協會編譯:內部審計實務標準.2003年修訂版，北京:中國時代經濟出版社，2004

[3]王曉霞 孫 坤 張宜霞:論風險導向的內部審計理論與實務——通過解讀IIA2001版《內部審計實務標準》看內部審計的風險導向.審計研究，2004(2)

[4]嚴 暉:公司治理與內部審計——基于風險管理目標的整合.審計理論與實踐，2003(2)

[5]朱榮恩 賀 欣:內部控制框架的新發展——企業風險管理框架.審計研究，2003(6)