內部審計在風險管理中發揮保障作用的研究

孫銀鋼

摘 要 本文以企業治理和審計管理的視角，從如何界定內部審計與風險管理的關系、內部審計為什么要積極參與風險管理、在風險管理中內部審計應該發揮什么樣的建設性作用、如何提升以風險為導向的內審能力四個方面，深入分析了內部審計在企業風險管理中的定位、作用和努力方向。

關鍵詞 內部審計 風險管理 作用

內部審計作為現代企業制度下的一項基礎性設計，是公司治理的重要組成部分，是企業實施控制、提升管理和持續監督的重要手段，發揮著預防、揭示和抵御的免疫系統功能。協助企業有效識別、應對和管理風險，不斷提高內部控制制度的科學性和執行力，進而實現轉危為機、化險為夷，是內部審計義不容辭的責任和義務。思路決定出路，思維決定作為，要真正使內部審計在風險管理中做到有聲有色、有所作為，必須厘清對四個方面問題的認識，即如何界定內部審計與風險管理的關系、內部審計為什么要積極參與風險管理、在風險管理中內部審計應該發揮什么樣的建設性作用、如何提升以風險為導向的內審能力。

一、內部審計與風險管理的關系

（一）內部審計是風險管理的重要組成部分

內部審計的主要職能是防范與減少錯弊、損失的發生，而風險發生錯弊與損失的可能性較大，風險管理就是要把可能的錯弊和損失控制在企業承受的范圍之內。從這個意義上講，內部審計是風險管理的有機組成部分。

（二）內部審計是對風險管理的再管理和再控制

《中央企業全面風險管理指引》規定內部審計部門和董事會下設的審計委員會是風險管理的“第三道防線”。由于內部審計具有相對獨立的組織地位和系統規范的行為準則，在治理結構設計中被賦予監督管控職能，能夠對企業風險管理的健全性、有效性和遵循性進行客觀公正的評價并提出建議，協助董事會和高級管理層改進風險防范工作，促進內部控制建設。同時，審計活動自身發現的問題和漏洞，在客觀上也促進了企業依法經營、規范運作。

（三）風險管理為內審工作提供了邏輯起點和努力方向

企業面臨紛繁復雜的內外部經營環境，使得風險因素日漸成為影響審計計劃制定、資源配置、技術水平和審計內容的重要因素。首先，企業在風險管理過程中，識別評估的重要風險和內控漏洞，理所當然地成為內部審計的工作重點。其次，由于風險管理主要是識別可能對企業造成潛在影響的事項，面對的是不確定因素，強調的是過程控制，因此內部審計也由事后監督，逐步前移，對風險的關注貫穿于審計全流程。第三，隨著審計地位和重要性的提高，董事會和管理層的期望值也不斷增大，為防止出現審計失效、錯誤確認、審計聲譽受損等情況，審計部門也需要在工作中采取必要的應對措施管控審計風險。

（四）內部審計與風險管理相輔相成

沒有良好的風險管理環境，內部審計無法順利開展，缺乏良好的內部控制，不僅會加重審計工作量，而且會加大審計風險。同樣，如果沒有內部審計積極參與對風險管理過程的監督、評價，也不利于企業克服“當局者迷”的局限和不足，及時發現短板和不足，加大了風險管控的難度。

二、內部審計為什么要積極參與企業風險管理

（一）內審屬性的本質要求

根據國際內部審計師協會IIA對內部審計的最新定義，內部審計是一種獨立、客觀的確認和咨詢活動，旨在增加價值和改善組織的運營。它通過應用系統的、規范的方法，評價并改善風險管理、控制和治理過程的效果，幫助組織實現其目標。由于內部審計在企業中不從事具體的經營活動，不受業務職能的局限，同時擁有熟悉各業務領域的人才，能夠從企業全局角度、遵循專業標準客觀公正地開展監督評價活動，深入了解掌握企業組織環境、生產經營過程和管理控制活動方面的信息，并有效識別出企業存在的高風險領域。同時，治理結構的設計賦予內部審計負責人直接向董事會和高管層溝通報告的權利，具有相對獨立的組織地位，不僅能夠幫助管理層獲得充分可靠的風險信息，而且能夠以第三者的角度看待風險，提出科學合理的建議，從而加強企業的重視程度，也更容易被管理層接受。

（二）法律法規的明確規定

隨著我國經濟發展步入新常態，市場經濟改革的深入和應對國際國內復雜經濟環境及不確定性因素的需要，各項涉及風險管理和內部控制的法律法規及配套措施相繼出臺，對內部審計在風險管理中的職責作用也予以了明確規定。例如，《中央企業全面風險管理指引》第四十條：企業內部審計部門每年至少一次對包括風險管理職能部門在內的各有關部門和業務單位能否按照有關規定開展風險管理工作及其工作效果進行監督評價，監督評價報告應直接報送董事會或董事會下設的風險管理委員會和審計委員會。《審計署關于內部審計工作的規定》第九條：內部審計對本單位及所屬單位內部控制制度的健全性和有效性以及風險管理進行評審。《中國內部審計基本準則》第十條：內部審計機構和內部審計人員應當全面關注組織風險，以風險為基礎組織實施內部審計業務。

（三）管理提升的客觀需要

強化全面風險管理是企業應對復雜形勢，實現持續、健康、穩定發展的必然要求，也是企業提質增效、轉型升級，打造核心競爭力的重要舉措。由于風險管理是一項綜合性較強、涉及專業領域交叉面較多的復雜系統工程，因此既要發揮風險管理體系的獨立保障作用，又要與企業現有管理體系有機融合，難度和要求非常高。由于審計人員涉及企業主要專業領域，審計活動貫穿企業整個業務流程，因此審計成果廣泛運用于企業各個階層，客觀上能夠幫助和促進風險管理各項舉措“可控在控、偏差預警、閉環管理、持續改進”。

（四）發展轉型的有力推動

從國內外內部審計實踐經驗看，現代企業內部審計工作不僅要查錯防弊、堵塞漏洞，更重要的是要通過獨立、客觀的確認與咨詢活動，改進企業治理環境、運行模式和業務流程，幫助改善風險管理，增加企業價值，順利實現戰略目標。因此，內部審計僅僅停留在“看家”和“守護”層面是不夠的，還必須發揮好“診斷”和“增值”功能，實現企業價值保護和價值創造的目標，成為企業改善管理水平、改進運行機制的重要力量。國際內部審計師協會原主席杰奎琳·瓦格娜指出：環境的變化給內部審計師帶來增加價值機會最多的領域是風險管理和公司治理。服務企業戰略，堅持風險導向，實現保值增值，成為內部審計順應形勢變化，謀求轉型發展的必然要求。同時，通過開展風險導向審計，參與風險管理進程，使得內審活動更貼近企業的需求，更貼近單位經營活動的價值鏈，更適合提出被管理層采納的建議，更容易實現內審活動的增值作用。

三、內部審計應在風險管理中發揮什么樣的建設性作用

風險管理是董事會和高管層的重要職責，其中管理層負責建立健全風險管理過程并使其發揮作用，董事會對管理層的活動進行監督和判斷，確保風險管理適當、充分、有效。內部審計在風險管理中的地位作用是由董事會和高管層根據企業實際狀況和管理需求來確定的。由于集團公司建立了獨立的風險管理部門，履行全面風險管理的職責，應準確把握內部審計在風險管理中的角色定位，清晰工作界面，避免職能重疊以及因承擔不必要的管理職責影響內部審計工作的獨立性。

（一）充分發揮“風險管理第三道防線”作用

按照《中央企業全面風險管理指引》的規定，“內部審計部門和董事會下設的審計委員會是風險管理第三道防線”，“內部審計部門在風險管理方面，主要負責研究提出全面風險管理監督評價體系，制定監督評價相關制度，開展監督與評價，出具監督評價審計報告”。這意味著內部審計是企業風險管理的最后堡壘并承擔著監督風險管理的角色。一方面，要求審計活動中發現的漏洞和薄弱環節要及時反饋給被審單位、業務職能部門和風險管理部門，作為改善風險管理的重要信息來源和補充；另一方面，充分發揮“領導眼睛、企業良醫和評價專家”的作用，對企業風險框架的運行效果和主要風險的識別管控情況進行確認評價，把好最后一道關。

（二）認真履行“千里眼”和“順風耳”的監督職能

風險無時不在，風險無處不在。這需要審計觸角的全方位覆蓋，包括對風險管理制度的健全性、風險識別的有效性、風險評估的準確性、風險報告的充分性、風險措施的到位程度等方面。需要審計監督的全過程跟蹤，就像嵌入式審計模塊一樣，集成應用于風險管理各個階段，做到實時在線監督。需要審計工作的全面推進，以問題為導向，以控制為主線、以增值為目標，切實履行好再管理和再控制的職責。

（三）積極扮演風險管理運轉流程中“潤滑劑”的角色

內部審計熟悉企業經營管理流程，擁有靈活開放的溝通機制，具備向董事會和高管層直接匯報的組織地位，應發揮“潤滑劑”角色，促進管理無縫對接、流程順暢、運轉高效。一方面，審計活動中，采取現場交流、征求意見、落實整改、跟蹤檢查等舉措，這本身就體現在溝通協調過程。同時，利用董事會、審計委員會和高管層對審計結果的重視，采取簽報、內審專報、總結報告的形式對重要審計信息進行上傳下達。另一方面，充分與企業內部大監督體系深度融合，采取審計結果公告、審計約談、聯席會議制度等形式，與各職能部門進行有效互動，不但提請各部門關注自身內部風險，而且通過共同研究協商形成應對企業綜合風險的共識，實現風險管理的聯動協同效應。

（四）努力實現風險防范的“鯰魚效應”

內部審計在履行自身職能過程中可以為企業風險管理注入活力。首先通過開展審計活動發現風險漏洞和控制的薄弱環節，為高管層和風險管理等職能部門帶來持續改進的動力和自我完善的壓力。其次，風險管理部門可以充分參考利用審計結果，準確識別風險和研判風險未來發展趨勢，并在此基礎上修訂和完善計劃，減少重復性工作，集中有限資源于高風險領域，以較小的成本取得較佳的管理效果。第三，相較于外部審計人員，內部審計更熟悉企業情況和業務流程，能實時地掌握風險動態，將管理指令滲透到風險管理的各個層面。

四、如何提升以風險為導向的內審能力

（一）風物常宜放眼量——提高自身主觀能動性

（1）統觀全局。內部審計在風險管理過程中，要站在服務企業發展全局和中心任務的高度，有所作為，有的放矢。審計視角要跳出局限于經營活動具體過程的傳統模式，注重從戰略角度和企業目標層面上防范和控制風險。要理清關鍵性的風險和風險的關鍵性環節，對風險的估計要有整體的把握。既要關注單個企業、部門、業務流程的風險，更要把握集團、部門之間、業務流程之間接口的風險。既要分析外在顯現的風險因素，更要挖掘隱含潛在的風險因子。要努力協助董事會和高管層及時獲取富有前瞻性的風險信息，為企業增值和提高管理效率，做出積極的努力和應有的貢獻。

（2）置身其中。風險管理是一個全員參與的管理過程。內部審計要充分發揮風險管理過程的參與者和倡導者作用，真正置身于公司的治理和風險管理過程之中，積極參與和了解企業各階層的各項業務和流程，積極從經營活動的事前、事中獲取有效信息，及時發現問題，提出解決措施，不搞秋后算賬，不當事后諸葛。同時，要利用自身的優勢積極倡導風險文化的建設，積極協助企業搭建有效的管控體系和大監督機制。

（3）溝通協調。風險的不確定性，要求內部審計在風險管理過程中，加強溝通的力度，豐富溝通的渠道，更新溝通的手段。一方面，通過加強與高層溝通，明確高層對內部審計工作的需求，獲取領導的支持；加強與被審計單位和業務部門的溝通，爭取理解和有效配合；加強與外部監管機構的溝通，以獲取更多的信息。溝通過程應準確、客觀、清晰、完整、富有建設性。避免由于信息傳遞不暢、溝通不利，導致決策失誤和決策緩慢，進而造成的機會喪失、士氣低落以及利益沖突等不利因素的發生。

（4）改進方法。風險導向型審計相對于傳統審計在審計方式方法上存在加大差異，審計人員應該主動研究，結合實際，改進方法。提高效力。在工作方式方面，以對企業風險的高度關注為前提，注重對經營活動過程的檢查和評價，將有限的審計資源投入到對企業目標影響較大的項目中去。在審計范圍方面，審計重點不再局限于合規性審計、績效審計和經濟責任審計，涉及的內容更廣、審計面更寬，包括內部控制審計、管理流程審計、信息系統審計等應逐步納入日常審計項目中。在審計內容方面，既要關注“硬性控制”，即公司經營活動是否在嚴格授權之下，是否嚴格執行既定的各項規章制度，也要關注企業文化、經營理念、行為規范等軟性因素的作用和風險，確保審計更加全面。在報告建議方面，審計報告從發現風險、揭示風險向分析風險成因、加強控制、規避、轉移風險轉變，審計建議應更具前瞻性。

（二）欲善其事先利其器——依托組織保障支持力度

（1）組織地位。地位決定作用。內部審計在企業中的地位越高，其作用的范圍越廣，審計成效也越大。必須切實保障和提高內部審計在企業中的組織地位，充分發揮內部審計在風險管理中獨立客觀的作用。要充分利用企業建設規范董事會、完善法人治理結構和開展內部管理提升工作的契機，進一步理順董事會、管理層對內部審計的管理界面、溝通渠道和報告機制，明確內部審計在風險管理中的任務目標和職責權限。同時，建立完善審計責任追究制度和審計聯席會議制度，并根據實際，建立總審計師制度，加大審計在外部溝通和內部協調的力度，促進審計成果運用的權威性。

（2）機構設置。根據相關法律法規規定和風險管理要求，在公司重要子企業和分支機構建立獨立的內部審計機構，總部逐步推行審計派出制或設立審計中心，切實提高“上審下”的工作力度，確保審計監督在風險管理過程中的全面覆蓋和實時監控。

（3）隊伍建設。要不斷提高審計人員的數量和素質，建設滿足企業風險防控需要的復合型審計隊伍，優化專業結構，拓寬專業領域，確保審計隊伍正規化、專業化、多元化。

（4）信息化。加大審計信息化建設資金投入和智力支持，充分利用“互聯網+”和大數據技術，提高信息收集和分析運用水平，增強在線監控和遠程聯網審計能力。

（作者單位為中國大唐集團公司）

參考文獻

[1] 安鵬，宋雪婷.企業內部審計與風險管理[J].全國商情（理論研究），2012（10）.

[2] 劉永威.內部審計參與企業風險管理的模式研究[J].金融經濟，2012（08）.

[3] 張良.關于企業內部審計與風險管理的關系研究[J].中國集體經濟，2011（22）.

[4] 諶小紅，劉正軍.基于整體化風險管理的內部審計研究[J].財會通訊（綜合版·下），2011（03）.