全面風險管控評價審計研究

李家衛　周劍虹　王世榮　鮑德華

[摘要]全面風險管控評價審計是基于全面風險管控發展而提出的一種審計形式。本文研究了全面風險管控評價審計標準的確立、模型的建立、運行的效果等，闡明了施工企業建立全面風險管控評價審計的必要性。

[關鍵詞]施工企業 風險管控 評價審計 大數據

為企業決策層定期提供風險管控結果，是全面風險管控評價審計與全面風險管控體系相互關聯的核心功能。全面風險管控評價審計作為一種獨立、客觀的評價活動，以全面風險管控體系為載體，運用其獨有的特性和評價標準，結合企業大數據平臺抓取功能，主導企業全面風險管控評價審計工作的開展;而全面風險管控體系以全面風險管控評價審計為工具，通過檢查、揭示、評價和建議功能，不斷修訂和完善全面風險管控體系的執行制度和操作流程，以保證整體體系功能的先進性。

一、全面風險管控評價審計的內涵與特征

全面風險管控評價審計是在傳統審計的基礎上，將審計對象擴展到整個企業內控及過程風險管理，在國有企業規范建立和運行企業全面風險管控體系后，為解決體系持續運行后的評價問題，借助企業大數據平臺發展而來的、與企業風險導向審計相適應的一種審計方式。主要內容包括：一是全面識別企業風險。通過不間斷地對企業全面風險管控體系進行檢查，系統識別企業已有風險、未來潛在風險、全面風險管控體系的運行風險和執行漏洞。二是評價和控制企業風險。全方位了解并系統分析企業風險，評價企業全面風險管控體系的執行情況及風險管控效果，根據揭示的問題和風險針對性來制訂應對方案，以達到控制企業風險的目標。三是管控企業剩余風險。全面風險管控評價審計根據評價結果找到企業控制不力的地方，提出相應的管理辦法和改進措施，將剩余風險轉化為可控的企業風險。四是改進和完善企業內控體系。通過檢查工作，不斷揭示和評價企業面臨的風險和問題，并予以及時修正，建立完善明晰、井然有序的內控秩序，從而達到增強企業抵御風險能力、提升企業運營效率的目的。從實踐情況來看，全面風險管控評價審計更加符合現代企業風險管控的要求，也是傳統審計向管理審計轉型的最好印證。

全面風險管控評價審計不僅具有傳統風險導向審計的特點，還具有四個新特征：一是評價審計標準的全面性。通過對企業內控和全面風險管控體系的檢查和評價，在企業各個經營管理環節全面滲透風險管理理念，并根據各業務子系統不同的特點對應建立相適應的評價標準。二是評價審計流程的統一性。在建立評價審計標準的基礎上，制定規范統一的操作流程，更利于內部審計持續方便快捷地掌控企業風險。三是評價審計管控的及時性。評價審計標準的全面性及操作流程的統一性，使全面風險管控評價審計能夠更加順暢執行，通過企業大數據平臺數據的實時更新，能夠更加及時地發現企業重大風險和管理漏洞。四是評價審計結論的準確性。全面風險管控評價審計以其高度集成的大數據平臺，全面的評價標準及規范統一的執行流程取代傳統審計模式，規避了人為因素的影響及單一數據來源誤差可能造成的審計結論錯誤風險，使審計結論更加精準可靠，支撐依據更加充分并具有說服力。

二、施工企業全面風險管控評價審計體系的設計

以中建三局集團有限公司的全面風險管控評價審計體系為例，對企業全面風險管控評價審計體系的建立過程及成效進行闡述。

（一）建立企業全面風險管控評價審計工作機構

企業全面風險管控評價審計體系涉及的部門及企業層級多，服務對象為企業的風險管理決策層即高層領導者，運行數據及結果也成為企業運營的核心和機密，因此，一般應成立企業全面風險管控評價審計委員會，由企業主要領導擔任組長，相關分管領導擔任副組長，總部相關業務部門人員為領導小組成員。委員會的職責是重點研究解決企業運營過程中及未來潛在風險的預防和管控，定期開展全面風險管控體系檢查和評價工作，以例會的形式定期通報委員會運行狀況及風險管控情況，保障委員會人員到位、工作到位、責任到位，有序推動全面風險管控評價審計工作的開展。企業全面風險管控評價審計工作領導機構如圖1所示。

（二）進行施工企業風險識別及分類

企業風險識別是指企業生產經營過程中風險事故發生前，運用各種方法系統，識別所面臨的各種風險，分析風險事故發生的潛在原因;目的是在識別風險的基礎上對風險進行定量分析和描述。

施工企業面臨的風險（如圖2所示）主要分為兩大類：一是外部風險。隨著國際國內形勢復雜多變、全球經濟增長疲弱、國際金融市場劇烈動蕩，國內財政政策由積極走向緊縮，由投資拉動改為控制通脹影響，國內建筑市場大規模投資“急剎車”，施工企業的生存和發展也面臨前所未有的壓力與挑戰，面臨政治風險、經濟風險、市場風險、法律風險、環境風險等諸多風險，施工企業建立適合自身發展的風險管控評價體系迫在眉睫。二是內部風險。施工企業體制改革滯后，舊體制遺留問題多，增加了各類內部風險，如管理相對粗放，資源配置不充分，存在管理風險;企業轉型升級涉及企業并購及管理問題等，導致戰略風險;用人機制不靈活，缺乏人性化管理，存在人事風險;制度設計制定缺乏科學性，基層管理者對企業制度的貫徹執行不到位，制度執行力差，存在制度風險;面臨多種不確定因素，風險預測、評估和困難應對，抗風險能力差，存在控制風險;基礎設施建設市場競爭激烈，招標中存在惡性競爭、低價中標現象，增大了企業運營風險;工程項目多、分布范圍廣、施工時間長，墊資施工現象嚴重，工程拖欠款回收困難，導致部分項目失控，增大了財務風險和工程合同風險等。

（三）確立施工企業全面風險管控評價審計標準

評價標準是評價活動方案的核心部分。在查清楚施工企業全面風險管控面臨的問題及風險種類后，應著手建立全面風險管控評價審計標準，推動全面風險管控評價審計體系的建立和運行，如圖3所示。

中建三局全面風險管控評價審計通過企業大數據平臺提取各業務子系統相關數據進行比對分析后，主要對企業的政治風險、經濟風險、戰略風險、財務風險、市場風險、法律風險、環境風險、技術風險、生產風險、人事風險、工程建設合同風險等具體風險因素分業務子系統進行歸納，并給予分配相應風險權重，依次為企劃系統（10%）、市場營銷系統（10%）、商務管理系統（25%）、工程技術系統（15%）、財務系統（20%）、合約法務系統（15%）、人力資源系統（5%）七個系統，業務子系統風險總權重可根據企業運營環境的變化經過專業團隊評估后隨時進行調整。

1.企劃系統（10%）。評價的主要內容包括：公司法人治理結構;決策議事原則、戰略規劃管理、企業策劃與研究、對外并購重組、組織機構管理、授權管理等。

2.市場營銷系統（10%）。評價的主要內容包括：建筑行業市場信息、國家宏觀經濟政策、企業資質管理、投標管理、建造合同管理、營銷統計與分析等。

3.商務管理系統（25%）。評價的主要內容包括：項目目標責任管理、項目成本管理、項目商務策劃管理、工程結算管理等。

4.工程技術系統（15%）。評價的主要內容包

括：履約及協調管理、生產計劃與統計、工程質量管理、環境管理與運行控制、生產資源管理、安全生產管理、工程驗收管理等。

5.財務系統（20%）。評價的主要內容包括：預算管理、資金管理、金融業務管理、資產與清欠管理、稅務管理、會計核算與稽核管理、財務信息管理等。

6.合約法務系統（15%）。評價的主要內容包括：客戶資信管理、合約風險管理、項目法務管理、案件糾紛管理、知識產權管理、商標管理、法務宣傳與合規管理等。

7.人力資源系統（5%）。評價的主要內容包括：人力資源規劃、人才引進與配置、人才發展、員工關系管理、企業涉密管理等。

通過對企業運營過程中的各類風險進行分解，落實到各業務子系統，由各業務子系統對系統內可能存在的風險點進行分析，對應確立各業務子系統風險因素及對風險形成的影響程度，最終確立影響企業運營的關鍵風險因素，并分析關鍵風險因素特性。針對風險特性建立企業風險因素定量、定性評價標準，通過評價標準對各業務系統風險及企業整體運營風險進行記錄、計量和分析，進而為風險決策層風險決策和措施制定提供關鍵支撐依據。

（四）建立施工企業全面風險管控評價審計模型

由于企業內部結構、建設工程本身的動態性及外界環境的復雜性，在構造問題的結構與變量的相互關系時，分析方法和模擬方法均起不到預期的指導作用，風險因素間的影響關系及引起的后果均得不到確切連續性表示，因此，建立一個通過各類風險數據定性、定量進行風險趨勢分析預判的動態風險管控評價審計模型，無疑是現代企業的“定海神針”。

從性質上分析，可計量風險屬于技術性風險，是常規性、不可避免的風險，包括財務風險、生產風險、技術風險等;非計量風險屬于非技術性風險，發生概率較小，是非常規性風險，包括政治風險、環境風險、戰略風險、市場風險、人事風險等。經濟風險、工程建設合同風險包含多種難以界定的變量因素，從性質上分析，屬于非技術性風險，但國家經濟政策及工程合同中包含大量可計量的規則條款。因此，對經濟風險、建設工程合同風險分析既有定量分析又有定性分析。

施工企業全面風險管控評價審計模型的建立分三步：

第一步：確立各業務子系統風險因素及評價標準。由各業務子系統對企業運營過程中的政治風險、經濟風險、戰略風險、財務風險、市場風險、法律風險、環境風險、技術風險、生產風險、人事風險、工程建設合同風險等進行歸納、分析與評價，確立本系統內影響企業運營的關鍵風險因素并分析關鍵風險因素特性，針對風險特性確定風險因素定量、定性評價標準。

第二步：建立各業務子系統風險管控評價審計子模型。由各業務子系統對本系統內的風險因素進行歸納、分析與篩選，選擇重點風險因素賦予一定權重，確定定量、定性評價標準并進行評價，對應建立各業務子系統風險管控評價審計子模型。同時，根據評價結果對各業務子系統風險進行分級，對重大風險因素進行描述，詳述風險化解方案。業務子系統風險管控評價審計子模型如表1所示。

第三步：建立企業全面風險管控評價審計總模型。根據各業務子系統風險因素在企業運行過程中的影響程度，賦予各業務子系統風險管控評價審計子模型相應的權重并進行評價，根據評價結果對企業運營過程中的總體風險進行預判。同時，依托企業大數據處理平臺實時提取的各業務子系統最新數據，結合各業務子系統風險管控評價審計子模型風險因素變化情況及風險等級變動情況，實時調整各業務子系統風險管控評價審計子模型所占權重并給出相應的風險預警提醒（根據風險程度給出風險紅色、黃色、橙色預警，風險預警等級可根據企業風險控制級次需求自行設置）。同時，有針對性地提前進行風險策劃，制定相應風險化解措施，指導企業有序降低運營風險，進而達到企業有效管控風險的目的。

企業運營過程中，可根據外部環境對非可計量風險因素的影響程度及企業不同時期的風險偏好，對各業務子系統風險管控評價審計子模型的權重進行動態調整，結合企業對風險的管控模式，制定企業風險管控月度、季度、年度評價機制，定期更新企業風險數據庫。施工企業全面風險管控評價審計總模型如表2所示。

三、全面風險管控評價審計實踐分析

（一）全面風險管控評價審計的步驟

1.揭示風險隱患。中建三局建立的全面風險管控評價審計模型建立運行之初，正值房地產大規模投資開發階段，企業規模年均呈兩位數增長。而公司在開展全面風險管控評價審計中，運用大數據處理平臺對三級分支機構近三年運行數據進行抓取比對分析，發現兩大風險：一是經營風險，新承接民用住宅占比70%以上，任務結構單一，且民營房地產公司開發項目居多;二是財務風險，分支機構現金凈流量存在異常。在分析國家宏觀經濟政策及地方政府土地財政運行模式修正相關技術參數后，全面風險管控評價審計模型根據評價標準對各項運營指標進行評價分析判斷，揭示了三類風險：一是經營風險，企業現有營銷制度與風險管控要求不匹配，且企業主業結構單一，施工類營業收入占企業收入的絕對比重高;二是財務風險，未來五年企業將面臨流動資金短缺、項目大綜材料斷供、外部壞賬等重大風險;三是項目風險，因流動資金短缺導致部分項目停工。由于這一結論與當時企業正值高速發展、房地產市場發展形勢一片大好的情況完全相反，因此引起了企業高層領導的高度重視。專家組對企業外圍環境、內部管理各關鍵環節等進行調研后，揭示了企業存在的外部風險和內部風險。外部風險包括：未來五至八年，企業受房建市場飽和度影響，業主開發速度放緩，國家宏觀經濟政策調控，產能過剩以及國家產業結構調整，銀行信貸系統性風險。內部風險包括：業主資信惡化，工程固定成本增加，工程款回收困難，工程將面臨大面積停工或半停工狀態，項目潛虧及壞賬風險急速攀升，人才流失成常態。

2.評價風險程度。2017年，針對項目商務、財務、履約、法務、人力資源5大類17個方面（工期、質量、安全、效益、成本控制、過程確權、分包結算、竣工項目結算時效、資金回收、債務償還、凈現金流、業主資信、合同條件、優先受償權、關鍵崗位人員任職情況、崗位人員持證、勞動用工及崗位不相容分離）的風險因素，企業開展了全面風險管控評價審計，篩選出四級及以上風險項目272個，并對項目截至2016年12月31日的風險狀況進行了延續評價。對比項目初始風險評級結果，272個項目中，風險等級上升的項目145個，占比53.31%;風險等級下降的項目44個;未發生變化的項目83個。272個項目中，最終評定為一級風險的項目54個，預計風險金額56.86億元，與項目初始風險等級相比，項目個數及風險合同額占比分別上升17.39%、21.34%;評定為二級風險的項目42個，預計風險金額9.43億元，項目個數及風險合同額占比分別下降12.50%、36.16%，二級風險項目整體風險趨勢上升19.43%;評定為三級風險的項目101個，預計風險金額18.96億元，項目個數及風險合同額占比分別上升17.44%、26.14%，三級風險項目整體風險趨勢上升19.76%;評定為四級風險的項目48個，預計風險金額7.39億元，項目個數及風險合同額占比分別下降25%、11.32%，四級風險項目整體風險趨勢上升22.71%。

3.提供應對策略。通過對企業全面風險管控體系的定期評價，結合企業大數據處理平臺的數據比對差異分析及企業專家團隊的實地市場調研，針對企業戰略規劃、內部控制、資金管理等方面，企業全面風險管控評價審計委員會最終列出具體的風險防控建議：一是修訂企業市場營銷項目承接標準及審批權限，限制無底線承接帶來的未知風險。二是成立企業金融業務部，創新企業融資模式，保障企業運行流動資金的供給。三是成立企業基礎設施事業部，探索基礎設施領域投融資模式。四是正式運行海外事業部，適時注冊海外公司，開拓海外市場。五是以企業并購形式盡快取得設計板塊、道路橋梁、隧道鐵路等領域的施工資質，逐步填補企業各類施工資質的空白，實現企業在建筑領域的設計、施工、投融資全產業鏈發展。針對上述項目風險等級及風險總量變動情況，企業全面風險管控評價審計委員會給出4大類11個方面的具體管控建議，針對風險根源提出3項制度的修訂意見，內容涉及18個業務子項審批流程及審批權的完善和優化。

（二）全面風險管控評價審計的實踐效用

1.防范和降低企業風險。通過運行全面風險管控評價審計體系，積極開展風險評估，識別關鍵風險和關鍵控制點，對關鍵控制點進行有效性測試，及時評價關鍵風險，分析內控體系中的薄弱環節，可以準確發現潛在風險，預警相關業務系統制定有針對性的預防措施，將風險控制關口前移，有效防范和降低企業運營風險。

2.完善企業管理制度。通過運行全面風險管控評價審計模型，及時對現有各項管理制度進行檢驗、修訂和補充。中建三局通過全面風險管控評價審計，圍繞企業發展戰略、管控模式、內控現狀、潛在風險等，補充建立和修訂了多項有效的風險管理和內控制度，如《中建三局市場營銷管理辦法》《中建三局項目目標責任管理考核兌現管理辦法》《中建三局審計項目質量評價標準》《中建三局內部審計整改工作管理辦法》等，及時梳理優化各業務系統管理流程，各業務系統間相關業務流程得以全面對接，確保重大風險在業務流程管理過程中得到有效控制。

3.提高企業經濟效益。通過運行全面風險管控評價審計得出的審計意見和建議，采取及時有效的風險應對措施，完善管理制度，優化管理流程，不僅能直接降低風險損失，更能降低企業運營成本，提高運營效率，促進企業經濟效益的提升。

4.增強企業競爭實力。全面風險管控評價審計通過對企業戰略規劃風險進行有效預測，對企業運營過程中可能遇到的風險進行檢查，對已經存在的風險進行評價和控制，為企業領導層風險決策提供有力的決策依據。通過對企業管理制度的不斷規范、對企業管理流程的不斷優化、對企業員工風險意識的不斷強化、對企業運營風險的有效控制和評價，不斷提升企業控制重大風險、防止重大風險事件、避免重大風險損失的能力，使企業抗風險能力和整體競爭實力大大提高。

5.提升員工隊伍整體素質。全面風險管控評價審計是一個全方位的評價體系，涉及企業運營的各個業務子系統。通過全員參與風險治理，間接實現對企業風險管控評價體系的解讀和分解。通過對管理架構和業務流程的不斷優化、更新，倒逼員工對企業管理制度進行不斷學習和鞏固，強化企業員工風險管理意識和風險管理責任，實現員工隊伍整體素質的不斷提升。

（作者單位：中建三局集團有限公司，郵政編碼：100097，電子郵箱：hbiia@hbiia.com）

主要參考文獻

高立法，虞旭清.企業全面風險管理實務[M].北京：經濟管理出版社， 2009

李彥春，張媛媛.內部審計應如何參與企業全面風險管理[J].財務與會計， 2011（6）

彭志國，劉琳.企業內部控制與全面風險管理[M].北京：中國時代經濟出版社， 2008