企業(yè)風險導向內部審計

　　【摘要】 公司風險主要集中于公司治理與公司管理兩個層面。治理風險與管理風險等管理活動（系統(tǒng)）的有效與否直接關系到公司的生存與發(fā)展。以風險控制為導向的內部審計，通過對公司治理風險和管理風險等管理活動（系統(tǒng)）有效性的再確認與咨詢，可以實現(xiàn)控制風險和增加公司價值的基本目標。目標實現(xiàn)需要優(yōu)化的審計業(yè)務流程，以風險控制為導向的內部審計對風險管理活動（系統(tǒng)）的再確認服務流程與咨詢服務流程各異。文章根據(jù)再確認與咨詢服務有機兼容的趨勢，構建了對風險管理活動（系統(tǒng)）再確認、咨詢、再確認的內部審計業(yè)務流程系統(tǒng)。
　　【關鍵詞】 風險導向內部審計； 風險管理； 再確認與咨詢
　　
　　2001年國際內部審計師協(xié)會頒布《內部審計實務框架標準》，將內部審計定義為“一項獨立、客觀的保證和咨詢活動，其目的在于增加價值和改進組織的經營。它通過系統(tǒng)化、規(guī)范化的方法，評價和改進風險管理、控制和管理過程的效果，幫助組織實現(xiàn)其目標。”這一定義將公司內部審計上升為參與風險管理、加強公司治理和管理的一項控制活動。那么內部審計參與風險管理的基本目標是什么、參與風險管理后審計對象如何界定、具備什么職能才能實現(xiàn)參與目標以及參與風險管理的審計流程如何設計等一系列問題就需要梳理清楚。
　　本文以對公司風險的認識為基礎，首先將公司風險劃分為治理風險與管理風險，由此將公司風險管理活動劃分為治理風險管理活動與管理風險管理活動兩大類；其次，分析了以風險為導向的內部審計基本目標，確定了對治理風險管理活動（系統(tǒng)）與管理風險管理活動（系統(tǒng)）的具體審計目標和審計對象；最后，給出了再確認風險管理活動與對風險管理活動提供咨詢服務的內部審計業(yè)務流程，構建了再確認與咨詢服務有機兼容運作的內部審計業(yè)務流程系統(tǒng)。
　　
　　一、公司風險、風險管理與內部審計
　　
　　（一）公司風險及其劃分
　　風險就是公司經營過程中面臨的不確定性，它既可能給公司經營目標的實現(xiàn)帶來機會，也可能給其帶來損害。現(xiàn)代市場經濟條件下的公司風險分析與管理側重于其負面影響。按照公司風險存在的領域，把公司風險劃分為治理風險與管理風險兩大類。
　　1.公司治理風險
　　公司治理風險也稱為戰(zhàn)略風險，它是由公司治理結構與治理機制設計與運作不恰當而可能引起損失的風險。由于公司治理機構是公司經營管理活動的戰(zhàn)略決策機關，公司治理風險直接影響到公司的價值創(chuàng)造。戰(zhàn)略風險往往影響整個企業(yè)的發(fā)展方向、目標和業(yè)績。從本文定義的風險角度分析，公司治理風險是指公司整體損失的不確定性，源于公司治理層對公司未來發(fā)展方向、目標和未來戰(zhàn)略環(huán)境預測不當，導致戰(zhàn)略目標制定不當與戰(zhàn)略實施不力，致使公司遭遇發(fā)展困境的可能性。具體指公司治理結構中決策層、監(jiān)督層不恰當行為可能給公司目標實現(xiàn)帶來的負面影響，即可能發(fā)生的損害事項。這種損害是指公司管理當局（包括董事會、管理層）在自身建設、協(xié)調運作以及履行職責的制度安排中，由于內外部環(huán)境變化以及事前未能預料因素的影響，導致一定時期內公司治理實踐偏離企業(yè)價值最大化目標的各種事項，主要包括：（1）公司治理層的失職風險。在公司重大決策與經營過程中，戰(zhàn)略方向與經營目標不當、董事會決策不當、監(jiān)事會監(jiān)督乏力或管理當局由于未能關注到公司經營過程中所面臨的重大經營風險而給股東造成的損害。（2）公司治理層的道德風險。在公司經營活動中，董事會、監(jiān)事會和高層管理當局的行為偏離公司價值最大化的目標，從而使股東利益受到損害的事項。它是公司治理層存在主觀上的故意而產生的損害行為。具體分為大股東的道德風險和管理層的道德風險。前者指大股東利用其在公司治理結構中的優(yōu)勢地位，通過一些手段侵犯小股東的利益行為，如通過關聯(lián)交易剝削小股東、占用公司資金、控制公司的各項重大經營決策、選擇管理者等事項；后者指公司管理當局在涉及公司利益活動中的故意不作為，或者利用公司資源為自己謀取私利等事項或行為。
　　2.公司管理風險
　　公司管理風險也稱經營風險或運作風險，是指公司業(yè)務運作過程中由于管理制度或內控制度不健全或執(zhí)行不力、管理方面的故意或失誤而導致經營目標實現(xiàn)困難或者損失的風險。具體包括經營風險、資產風險和信息風險。（1）經營風險是由于公司各級管理當局出于利益動機故意或經營能力不足而未能關注到公司經營過程中面臨的重大經營風險，從而給公司造成損失的可能性。面對復雜的企業(yè)經營外部環(huán)境，管理層可能處于私利動機或經營能力不夠，無法正確識別和評估并購、融資、生產、營銷等經營過程中的威脅因素，從而使公司及股東利益遭受損害。（2）資產風險源于經營風險，經營風險不能或不去有效識別與防范直接導致公司資產受損，這種資產受損的可能性就是資產風險。（3）信息風險是指信息在公司各部門之間未能及時充分交流，以及為公司制定決策提供低質量不完全信息使公司業(yè)務受損的可能性。信息風險也包括向外部人提供錯誤或誤導信息導致公司對外承擔責任的可能性。
　　公司經營從風險視角分析，就是對公司治理風險與管理風險的有效識別、分析與應對的系統(tǒng)過程，這一過程就是風險管理。
　　（二）公司風險管理
　　2003年，COSO將企業(yè)風險管理定義為“企業(yè)風險管理是一個過程，受企業(yè)董事會、管理層和其他員工的影響，包括內部控制及其在戰(zhàn)略和整個公司的應用，旨在為實現(xiàn)經營的效率和效果、財務報告的可靠性以及法規(guī)的遵循提供合理保證。”COSO的企業(yè)風險管理框架揭示了公司風險管理的本質、目標以及公司所面臨的重要風險，指出企業(yè)風險管理本身是一個由企業(yè)董事會、管理層和其他員工共同參與的、應用于企業(yè)戰(zhàn)略制定和企業(yè)內部各個層次與部門的、用于識別可能對企業(yè)造成潛在影響的事項并在其風險偏好范圍內進行多層面流程化管理的一個動態(tài)過程，風險管理最終要為企業(yè)目標實現(xiàn)提供合理保證。
　　按照前文對公司風險的劃分，公司風險管理可以相應分為公司治理風險管理與公司管理風險管理。治理風險管理是一個由企業(yè)董事會、監(jiān)事會和管理層共同參與的、應用于企業(yè)戰(zhàn)略制定的、用于識別可能對公司造成潛在影響的重大決策事項并在公司整體風險偏好范圍內進行多層面流程化管理的一個動態(tài)過程。管理風險管理則更多是由管理層與其他員工共同參與的、應用于企業(yè)內部各個層次與部門的、用于識別可能對企業(yè)各項運營活動造成潛在影響的事項并在公司整體風險偏好約束下進行流程化管理的一個動態(tài)過程。公司治理風險管理與管理風險管理有機結合，為企業(yè)目標的實現(xiàn)提供合理保證。
　　（三）公司風險導向內部審計：風險管理活動（系統(tǒng)）的再確認與咨詢
　　順應內部審計發(fā)展的客觀規(guī)律，21世紀的內部審計已發(fā)展到風險導向審計階段。內部審計的職能從傳統(tǒng)的財務監(jiān)督、業(yè)務評價拓展到對公司風險管理的再確認和咨詢。
　　風險管理的再確認是內部審計人員以內部控制是否適當為基礎，綜合確認公司治理風險管理系統(tǒng)與管理風險管理系統(tǒng)的可靠性與有效性，發(fā)表再確認意見或通過披露重大風險控制問題來暗示公司治理層與管理層對風險管理是否適當?shù)囊庖姟Ｍㄟ^提供富有成效的確認意見和改進方案，用于控制風險改善決策，提升公司價值。
　　風險管理咨詢則是內部審計人員直接作為專家顧問參與風險管理活動，改善公司風險管理狀況。為此內部審計人員要樹立為公司價值增值的服務理念，對于在再確認過程中發(fā)現(xiàn)的風險管理不足及時提出改進建議，同時要協(xié)助治理層預測、決策重大事項，以風險管理為出發(fā)點，分析、確認、揭示關鍵性的經營風險與管理風險，幫助企業(yè)在承擔適度風險的同時抓住發(fā)展的機會，使內部審計計劃與公司風險管理策略緊密聯(lián)系，切實發(fā)揮內部審計在公司治理和管理中的風險管理咨詢功能，更好地實現(xiàn)公司目標。
　　
　　內部審計實施對公司治理層與管理層風險管理活動（系統(tǒng)）的再確認與咨詢服務，必然要涉及內部審計的地位或為誰服務的基本問題。在“現(xiàn)代內部審計之父”勞倫斯·B·索耶所處的時代，內部審計是管理層的耳目這一觀點占據(jù)主流地位；而組織治理問題的突現(xiàn)，使得內部審計在協(xié)助審計委員會履行職責時扮演越來越重要的角色（加拿大公司治理聯(lián)合委員會，2001；ICAEW內部控制工作小組，1999）；進入21世紀，內部審計需要同時向審計委員會和高級管理層提供他們所要求的對風險管理活動（系統(tǒng)）客觀再確認，并為經營管理層提供滿足他們要求的咨詢服務。這顯示了內部審計提供再確認服務與提供咨詢服務的兼容性。
　　
　　二、風險導向內部審計目標與對象界定
　　
　　明確了現(xiàn)代內部審計以公司風險管理的再確認和咨詢?yōu)橹饕毮艿幕A上，界定風險導向內部審計目標成為內部審計理論與實踐發(fā)展中的重要問題。
　　（一）風險導向內部審計基本目標：協(xié)助控制風險增加價值
　　國際內部審計師協(xié)會（IIA）2001年將內部審計定義為“內部審計是一項獨立、客觀的保證和咨詢活動，其目的在于增加價值和改進組織的經營。它通過系統(tǒng)化、規(guī)范化的方法，評價和改進風險管理、控制和管理過程的效果，幫助組織實現(xiàn)其目標。”這一定義揭示了內部審計的基本目標是控制風險、促進價值增值。該目標與公司治理、公司管理的基本目標一致。公司價值增值是通過不斷實現(xiàn)每個經營周期價值最大的一個動態(tài)過程。價值最大是公司治理層與管理層各部門協(xié)同運作、權衡風險與收益的關系、進行合理的資源配置的運作結果。由于公司風險整體上分布在公司治理層面與公司管理層面，內部審計控制風險與價值增值活動也隨之提升到公司治理與公司管理的整體層面，而不再局限于對管理者個人或某一部門的活動評價，這與前文討論的21世紀“內部審計作為一項增值性活動，既為管理層服務，又為治理層服務”的認識完全一致。
　　基本目標需要通過內部審計對公司風險管理的再確認與咨詢服務實現(xiàn)。根據(jù)現(xiàn)代企業(yè)管理的木桶理論，企業(yè)的績效是由木桶最短的一塊木板決定的。內部風險導向審計進行風險管理再確認與咨詢的關注點就是識別治理風險管理與管理風險管理中的短板，從全局出發(fā)、以客觀的角度對公司內部各層次、各部門的風險管理活動進行再確認，加長短板，使公司的綜合風險管理得到最好的控制。
　　（二）風險導向內部審計具體目標
　　筆者將公司風險分為治理風險和管理風險兩大類，在此基礎上公司風險管理活動（系統(tǒng)）分為治理風險管理活動（系統(tǒng)）與管理風險管理活動（系統(tǒng)）。風險導向內部審計為了實現(xiàn)控制風險、增加公司價值的基本目標，需要對兩類風險管理活動（系統(tǒng)）進行再確認與咨詢。那么這兩類風險管理審計的具體目標是什么？
　　1.治理風險管理活動（系統(tǒng)）審計目標
　　（1）協(xié)助公司制定整體風險管理戰(zhàn)略。內部審計人員依據(jù)對公司情況全面深入了解的優(yōu)勢，可以客觀地從企業(yè)全局的角度進行風險識別，在此基礎上對公司治理風險管理活動進行再確認，進而協(xié)助完善公司的風險管理戰(zhàn)略。
　　協(xié)助完善公司治理風險戰(zhàn)略過程中，內部審計人員首先對治理層風險管理活動進行再確認。包括公司總體風險管理戰(zhàn)略與公司經營戰(zhàn)略的一致性、公司風險政策的恰當性、公司治理風險管理制度的科學性與規(guī)范性等。其次，為治理層提出修訂完善公司治理風險管理活動的建議，采取系統(tǒng)化、規(guī)范化的方法對風險管理、風險控制及治理風險程序進行評價，積極協(xié)助審視公司制訂的風險管理戰(zhàn)略以及與戰(zhàn)略匹配的經營目標和決策依據(jù)，提高公司治理風險管理質量。最后，對尚未建立規(guī)范的風險管理系統(tǒng)的公司，內部審計人員向治理層和管理層提出建立風險管理系統(tǒng)的建議，實現(xiàn)改善公司治理層風險管理活動、指導管理層加強風險管理，從而幫助企業(yè)實現(xiàn)價值增值的目標。
　　（2）協(xié)助控制戰(zhàn)略風險。戰(zhàn)略風險源于公司治理層對公司未來發(fā)展方向、目標和未來戰(zhàn)略環(huán)境預測不當，戰(zhàn)略目標制定不當與戰(zhàn)略實施不力致使公司遭遇發(fā)展困境。戰(zhàn)略風險往往影響整個企業(yè)的發(fā)展方向、目標和業(yè)績。以風險為導向的內部審計通過對公司治理風險活動（系統(tǒng)）的再確認與咨詢，辨別公司戰(zhàn)略目標與戰(zhàn)略方向方面存在的潛在風險，并以現(xiàn)代風險管理理論為指導提出控制公司治理風險的基本建議，協(xié)助治理層控制戰(zhàn)略風險。
　　2.公司管理風險管理活動（系統(tǒng)）審計目標
　　對公司管理風險管理活動（系統(tǒng)）的審計目標不同于治理風險審計目標，主要由于二者業(yè)務活動內容不同所致。對管理風險管理活動（系統(tǒng)）的具體審計目標是：
　　（1）協(xié)助制定公司經營管理內部控制制度。公司經營管理活動是執(zhí)行治理層決策的業(yè)務過程。現(xiàn)代公司經營在充滿不確定性的市場環(huán)境中，需要加強風險管理活動（系統(tǒng)）。公司管理風險管理制度是在分解公司整體風險管理戰(zhàn)略基礎上制訂的。內部審計首先應當確認經營管理內部控制制度中風險管理制度的遵循性與合理性；其次，測試風險管理制度的有效性；最后，協(xié)助管理當局修訂或完善具體的風險管理制度，由此促進公司實施有效的風險管理戰(zhàn)略。
　　（2）協(xié)助控制經營風險與資產風險。公司管理運營中的經營風險及與之相應的資產風險，存在于公司管理風險管理活動中。有效的風險管理系統(tǒng)可以控制經營風險與資產風險。內部審計通過對管理風險管理系統(tǒng)設計與運作有效性的再確認，可以協(xié)助控制公司經營風險與資產風險。
　　（3）協(xié)助控制信息風險。在日益激烈的市場競爭中，為了防范日益增大的管理風險，公司應在其管理系統(tǒng)中建立全面的風險管理制度，內部審計可以在支持并參與風險管理過程中通過對管理風險活動的再確認與咨詢協(xié)助控制管理風險。具體方法包括：一是采取間接控制和直接控制的方法，從評價各部門的內部控制制度及其風險管理制度入手，在生產、采購、銷售、財務會計、人力資源管理等各個領域的風險管理系統(tǒng)中查找管理漏洞，以風險發(fā)生的可能性大小為依據(jù)，作出再確認評價，防范風險；二是內部審計在部門風險管理中進行風險管理協(xié)調。內部審計通過再確認管理風險管理活動（系統(tǒng)）的有效性，提出咨詢建議參與風險管理并合理有效地防范、控制風險，減少公司經營不確定性帶來的損失，以增加公司價值。
　　（三）風險導向內部審計對象
　　前文把風險導向內部審計目標界定為控制風險增加價值，這一目標是通過內部審計的再確認與咨詢服務實現(xiàn)的。再確認與咨詢服務的對象是公司風險管理活動或風險管理系統(tǒng)及其有效性。具體就是公司治理風險管理系統(tǒng)及其有效性和公司管理風險管理系統(tǒng)及其有效性。因此，以風險為導向的內部審計對象是公司治理風險管理系統(tǒng)、公司管理風險管理系統(tǒng)及其有效性。
　　
　　三、風險導向內部審計流程：再確認流程與咨詢服務流程
　　
　　風險導向內部審計目標是通過對公司兩大風險管理系統(tǒng)的再確認與咨詢服務實現(xiàn)的。再確認與咨詢業(yè)務流程的有效設計為實現(xiàn)審計目標提供合理保證。
　　（一）風險管理活動（系統(tǒng)）再確認流程
　　內部審計人員通過對公司治理層面與管理層面風險管理活動（系統(tǒng)）及其運作的測試，確認公司風險管理系統(tǒng)設計與運作的合理性與有效性。
　　風險導向內部審計的起點為公司的經營戰(zhàn)略、風險戰(zhàn)略和風險管理業(yè)務流程。風險管理流程包括風險識別、風險分析、風險應對與控制以及在此基礎上制訂的風險管理戰(zhàn)略或計劃。內部審計的再確認則是對公司風險戰(zhàn)略與經營戰(zhàn)略的匹配性、合理性的再確認以及以上四個環(huán)節(jié)的風險管理活動及其有效性的再認定。
　　
　　1.公司風險戰(zhàn)略與經營戰(zhàn)略的一致性確認。
　　2.風險管理步驟及其執(zhí)行的再確認。風險管理戰(zhàn)略是公司整體應對風險的基調，它的確定應在公司風險承受能力范圍內，并與公司經營戰(zhàn)略一致。風險戰(zhàn)略與公司經營發(fā)展適宜與否也體現(xiàn)了治理層的戰(zhàn)略決策能力與實力。內部審計人員對公司風險管理的確認，首先就要對治理層的風險管理戰(zhàn)略及其業(yè)務流程進行再確認。其次，對風險管理步驟設計的合理性、執(zhí)行的有效性進行再確認。風險管理是公司治理層或管理層對所面臨的以及潛在的風險加以判斷、歸類和鑒定風險性質、衡量風險大小、確定應對策略的系統(tǒng)過程。再確認過程中，內部審計人員首先對公司風險識別、分析、衡量與應對過程進行再認定，重點關注公司面臨的內、外部風險是否得到充分、適當?shù)拇_認，所面臨的主要風險是否均已被識別出來。在再確認公司風險管理行為及其恰當性時，內部審計人員要評估相關風險管理制度文件與流程文件的規(guī)范性，通過“穿行測試”測試風險管理流程控制風險的有效性。
　　（二）風險管理活動（系統(tǒng)）咨詢業(yè)務流程
　　1.協(xié)助開展風險預測
　　風險預測工作在風險管理工作中起到關鍵作用。進行風險預測工作，可以使管理人員面向未來、洞察未來，認識未來環(huán)境的不確定性，為未來做好準備，將可能遇到的風險減小到最低程度。風險預測主要考慮經營環(huán)境風險因素，如行業(yè)競爭的風險、高層管理者的風險偏好等。
　　2.協(xié)助進行風險分析和評估
　　風險分析主要考慮可能出現(xiàn)的風險和公司可承受的風險能力、可能出現(xiàn)在風險中的可控風險及非可控風險、主要風險和次要風險、產生風險的主要矛盾方面和次要矛盾方面、風險中的表面風險和實質風險；同時分析風險的類型，產生風險的主觀、客觀因素，風險類型轉化的條件，風險因素轉化為風險事故的條件，風險事故轉化為風險后果的條件以及風險控制的條件等。
　　風險分析和評估的一般步驟如下：
　　確定風險管理咨詢對象——分析可能產生的風險因素——估計可能產生的風險事故現(xiàn)象和事故點——確定可控制、不可控制風險事故的條件、主觀因素、客觀因素——評估可能產生的風險損失——確定風險控制點——管理控制風險對策——不同控制風險對策的成本效益分析——確定可承受風險能力范圍和不可承受風險——確定風險管理控制方法。
　　3.協(xié)助制定風險管理戰(zhàn)略與計劃
　　風險管理的再確認與咨詢服務在內部審計實踐中是有效兼容的，通常的情況是內部審計人員首先進行風險管理系統(tǒng)及其有效性的再確認，在再確認過程中發(fā)現(xiàn)問題，提出改進意見與建議，為以后期間風險管理活動（系統(tǒng)）的有效控制風險提供經驗并提出建議。每一個經營周期期間或期末，再開始下一輪的風險管理系統(tǒng)及其有效性的再確認。二者循環(huán)往復，構成內部審計再確認與咨詢服務的運作系統(tǒng)，如圖1。
　　
　　
　　四、總結
　　
　　風險導向內部審計側重于從治理高度和管理層次兩方面分析公司的風險管理活動（系統(tǒng)）。確認不同主體捕捉潛在的風險點(即風險識別)、風險分析與應對活動的有效性，通過對產生風險的各個環(huán)節(jié)進行分析評價，最終確認公司不同層次與不同環(huán)節(jié)風險管理水平，通過咨詢提出改進風險管理的建議。提升公司風險管理質量，實現(xiàn)控制公司風險、提升公司價值的基本增值性目標。●
　　
　　【參考文獻】
　　［1］ 王學龍.論風險導向型內部審計在企業(yè)風險管理中的作用［J］.中國內部審計，2010（2）.
　　［2］ 李曼.風險導向審計的價值實現(xiàn)［J］.財會通訊，2010（18）.
　　［3］ 耿慧敏.現(xiàn)代內部審計的新態(tài)勢：風險導向［J］.南京審計學院學報，2009（1）.
　　［4］ 鐘黎明，鐘源.基于企業(yè)價值增值的內部審計研究［J］.價值工程，2008（1）.
　　［5］ 劉新琳，周兵.內部審計參與企業(yè)風險管理的路徑分析［J］.審計月刊，2008（1）.
　　［6］ 李心合.內部控制：從財務報告導向到價值創(chuàng)造導向［J］.會計研究，2007（4）.
　　［7］ 劉紅霞，韓女原.中國上市公司董事會治理風險研究［J］.當代財經，2007（6）.
　　［8］ 劉世謹，張繼勛.內部審計與風險管理［J］.審計與經濟研究，2006（6）.
　　［9］ 于玉林.內部審計在企業(yè)治理、風險管理和內部控制中的作用［J］.審計月刊，2005（3）.
　　［10］ 金 日方，李若山，徐明磊.COSO報告下的內部控制新發(fā)展［J］.會計研究，2005（2）.
　　［11］ 朱湘憶.論企業(yè)風險管理與內部審計［J］.管理世界，2005（4）.
　　［12］ 王志楠.加強審計項目計劃管理的思考與實踐［J］.審計研究，2005（5）.
　　［13］ 劉英明.基于公司治理的內部審計問題研究［J］.審計研究，2004（5）.
　　［14］ 張坤，李嘉明，周和生，等.風險管理與內部審計［M］.化學工業(yè)出版社，2004.
　　［15］ 田麗云，尹鈞惠.內部審計參與風險管理的動因及其運作探討［J］.現(xiàn)代財經，2004（8）.
　　［16］ 朱榮恩，賀欣.內部控制框架的新發(fā)展——企業(yè)風險管理框架——COSO委員會新報告《企業(yè)風險管理框架》簡介［J］.審計研究，2003（3）.
　　［17］ Lawrence B.Sawyer，Mortimer A.
　　Dittenhofer，James H.Scheiner.索耶內部審計：上卷［M］.中國財政經濟出版社，2005.
　　［18］ 劉實.企業(yè)內部審計論［M］.中國時代經濟出版社，2005.
　　［19］ 李維安，等.現(xiàn)代公司治理研究［M］.中國人民大學出版社，2002.