風險管理與企業內部審計

范慶和

風險是指未來不確定性對目標的影響（正面影響與負面影響）。風險是雙刃劍，既能給人們帶來風險損失，又能帶來風險收益。企業只要存在一天就會面臨著各種各樣的風險。如：國家宏觀經濟政策調控風險、經營風險、環境風險、市場競爭風險、戰略風險、合規性風險、財務風險、內部管理失控風險、信息風險、商譽風險、投資決策失誤風險和關鍵人才流失風險等等。忽視這些風險，企業就難以應對突如其來的各種風險因素的沖擊，不堪承受難以估量的財務損失和經營困境。

一、企業風險管理

企業風險管理，指企業圍繞總體經營目標企業， 通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法。它由一個企業的董事會、管理經營層和員工共同實施，應用于戰略制訂并貫穿于企業之中，旨在識別可能會影響企業的潛在事項，管理風險以使其在該企業的風險容量之內，并為企業目標的實現提供合理保證。與傳統的項目風險管理相比，企業風險管理強調戰略導向，覆蓋了企業所有的管理層次和管理領域，方法也更為結構化和規范化。

二、企業內部審計

（一）內部審計概念

國有企業內部審計依據國家有關法律法規、財務會計制度和企業內部管理規定等，對企業的財務收支、財務決算、全面預算、經濟責任、資產質量、運營狀況、經營績效、建設項目及其他有關經濟活動的真實性、有效性和效益性進行監督和評價工作，及時發現問題，明確經濟責任，糾正違規行為。它通過檢查和評價經營活動及內部控制的適當性、合理性和有效性來促進企業目標的實現。內部審計是國有企業內部的一種獨立客觀的監督和評價活動，也是企業內部不可或缺重要的管理工具和手段。目前一些國有企業內部審計已經從單純的財務會計審計跨越到了企業經營管理領域，以改善企業的管理素質和提高管理水平為目的審計。而內部控制審計和風險管理是其中的重要組成部分。

（二）國有企業內部審計現狀簡析

內部審計是現代企業管理和管理控制的重要組成部分。目前，一般國有企業大都設置了內部審計部門，但一些國有企業內部審計工作同時存在著以下一些的問題。比如：鑒于管理級次問題，一些內部審計部門不能向股東（大）會、董事會、監事會或企業審計委員會提交審計檢查報告，內審機構設置缺乏獨立性；內部審計工作范圍局限于差錯防弊、財務收支的檢查，較少觸及現代國有企業業務流程方面的風險管理和監測，從而未能就國有現代企業風險管理擔起監督作用；內審部門的隸屬關系、角色、職責不明確；內部審計人員的水平、內審方法、知識的更新速度和內部審計的創新能力、應變能力等有待提高和完善， 高素質、復合型審計人才匱乏，內部審計缺乏一套系統化和科學化的內審程序等等。

三、內部審計參與企業風險管理的主要動因

近幾年來，隨著經濟的發展，特別是經濟全球化的加深以及歐債危機持續發酵和全球經濟的持續低迷，企業面對的是一個充滿風險的外部世界，使企業的經營環境變得日趨復雜。

隨著信息化時代的到來和企業管理的網絡化普及，現代企業的管理體制、經營業務流程、內部控制、經營理念等將發生了變革。知識經濟的來臨和高科技迅猛發展也使企業面臨比以前更大的風險。企業自身為適應環境求得生存也在不斷的變革中求發展，而變革是企業風險產生的一個重要來源。也是內部經營環境促使內部審計參與企業風險管理主要動因之一。

可見，企業風險無處不在，因此，企業所有者和經營者必須樹立風險意識，把減少企業面臨的風險作為企業實現目標的關鍵。今天，企業對于防止可能發生的風險與損失以及損失后如何采取補救措施，比以往任何時候都更加關注，從而要求企業對其自身存在和面臨的各種風險以及可能存在與發生的所有風險進行識別、衡量、評價，并在此基礎上制定和實施對企業最優化的風險處理方案。內部審計的目的在于增加企業的價值和改善企業的經營。因此，內部審計部門和內部審計人員參與企業的風險管理也就成為必然的內在需求。

四、內部審計如何參與企業風險管理

內部審計的作用是監控、評估和分析企業的風險，審查信息及企業對法律法規的遵守情況，向企業董事會、審計委員會以及高層管理人員負責提供保證——風險已被分散、企業治理是有效的。內部審計對企業風險管理一般應包括以下方面：

（一）評價企業風險管理組織架構的合理性、有效性

檢查企業是否已經建立健全為實現風險管理目標而設置的內部管理層次、管理結構和配備必要的管理人員。審查企業內部的如財務會計部門、銷售部門、采購供應部門和人員之間的權限分工、職責是否明確、不相容的崗位是否相互分離，崗位之間是否相互牽制內容等。對企業風險管理組織架構的合理性、有效性進行評價并提出改進意見和措施。

（二）對企業風險管理目標進行合理性評價

風險管理的目標是指企業通過實施必要的風險管理將風險控制在一個可控的水平，從而保證企業經營目標的實現。內部審計在評價企業風險管理目標時，要對本企業的風險狀況進行辨析，不同企業應對損失的能力有所不同，因而所設定的風險可控水平是不同的。不同的風險管理目標，決定著具體的損失前目標和損失后目標的不同， 為實現這些目標所進行的風險管理活動也就不同。內部審計人員應當結合企業的戰略目標來評價企業風險管理目標。

（三）對風險進行有效識別

風險識別是對企業所面臨的、以及潛在的風險加以判斷、歸類和鑒定風險性質的過程，換言之，就是要確定企業正在或將要面臨哪些風險。內部審計要對原有的已識別風險是否充分進行評價，即企業所面臨的主要風險是否均已被識別出來，并找出未被識別的主要風險。

（四）提出改進和防范的措施

風險的防范措施是指企業為降低已識別出的風險可能造成的損失所采取的措施。內部審計機構可以根據不同的情況，提出避免風險、接受風險、還是降低風險的具體措施和建議，以強化企業的風險管理，降低風險損失，并對有關部門所采取的風險防范措施進行監督和檢查。

風險衡量是應用各種管理科學技術，采用定性與定量分析結合的方式，最終定量估計風險大小，找出主要的風險來源，并評價風險的可能影響，以便以此為依據，對風險采取相應對策。內部審計要對已有風險的衡量結果進行再檢驗，以確定其是否恰當，對不恰當的估計予以更正。風險的防范措施就是為降低已識別出并已衡量的風險所采取的措施，也稱風險管理工具的選擇。采用改進和防范措施主要有：避免風險、損失控制、分離風險單位、轉移風險（包括轉移風險源、簽訂免除責任協議、利用合同中的轉移責任條款）等。

內部審計對有關部門針對風險所采取的防范措施進行檢查，檢查其是否充分、得當。對于風險缺乏充分的控制措施的情況，應提出改進措施和建議，以強化企業的風險管理，降低風險損失。此外，內部審計參與風險管理應當評價企業在風險管理運作的各個環節所制定的相關規章制度，并監督實施。

企業內部審計部門每年應定期或不定期的對包括風險管理職能部門在內的各有關部門和業務單位能否按照有關規定開展風險管理工作及其工作效果進行監督評價，監督評價報告應直接報送企業董事會或董事會下設的風險管理委員會和審計委員會。此項工作也可結合年度審計、任期審計或專項審計工作一并開展。

（作者系恒天凱馬股份有限公司）