審計問題風險評價機制在企業(yè)風險管控中的應用探究

于濤 丁林林 劉鐵 曹金明 秦紅偉

本文結合實際工作，探討在煙草商業(yè)企業(yè)風險管控中，內部審計組織如何通過建立和使用審計問題風險評價機制，理清了關鍵性的風險和風險的關鍵性環(huán)節(jié)，對隱藏風險進行預警、對發(fā)生風險進行控制、對管理風險進行化解，更好地發(fā)揮內部審計在企業(yè)風險管控中的作用。

《中共中央關于制定國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和二〇三五年遠景目標的建議》中要求“統(tǒng)籌發(fā)展和安全”，凸顯了“安全”二字。安全是發(fā)展的前提，發(fā)展是安全的保障，當前和今后一個時期，我國發(fā)展轉向高質量發(fā)展階段，但仍然處于重要戰(zhàn)略機遇期，也是各類矛盾和風險的易發(fā)期，社會主要矛盾變化帶來新特征新要求，錯綜復雜的國際環(huán)境帶來新矛盾新挑戰(zhàn)，各種可以預見和難以預見的風險因素明顯增多，我們必須增強機遇意識和風險意識，樹立底線思維，堅持統(tǒng)籌發(fā)展和安全。

對國有企業(yè)而言，面臨的風險挑戰(zhàn)不斷增多，作為經(jīng)濟主體，不可能不遇到經(jīng)營風險，作為社會個體，不可能不暗藏管理風險，風險管控已成為企業(yè)高質量發(fā)展的“必修課”，風險管控是發(fā)展的前提，發(fā)展是風險管控的保障，風險管控水平的高低和效果的好壞關系到國有企業(yè)的優(yōu)勝劣汰，更關系到國家經(jīng)濟的安全與否。

因此，國有企業(yè)內部審計的發(fā)展趨勢應該更加“貼近”風險，發(fā)揮強監(jiān)督、控風險、促管理的作用，職能升級做好企業(yè)經(jīng)營管理風險管控是發(fā)揮審計增值作用不可回避的重要內容。本文結合實際工作，探討在煙草商業(yè)企業(yè)風險管控中，內部審計組織如何通過建立和使用審計問題風險評價機制，對隱藏風險進行預警、對發(fā)生風險進行控制、對管理風險進行化解，以滿足企業(yè)風險管控的要求[1]。

一、內部審計與風險管控的關系

（一）基本概念

1.風險

企業(yè)在進行生產經(jīng)營過程中，由于不確定因素和經(jīng)營失誤的影響，而使企業(yè)遭受損失或損害的可能性。它有不確定性、客觀性、普遍性、必然性、可識別性、可控性等特點。

2.內部審計

一種獨立、客觀的確認和咨詢活動，它通過運用系統(tǒng)、規(guī)范的方法，審查和評價組織的業(yè)務活動、內部控制和風險管理的適當性和有效性，以促進組織完善治理、增加價值和實現(xiàn)目標。

3.風險管控

企業(yè)通過對潛在意外或損失的識別、衡量和分析，并進行有效的控制，用經(jīng)濟合理的方法處理風險，以實現(xiàn)最大的安全保障的科學管理方法。風險管控是一個識別、控制、規(guī)避風險的系統(tǒng)過程，具有貫穿整個組織的結構性、一致性和持續(xù)性。

4.風險評價

在風險識別和估計的基礎上，綜合考慮風險發(fā)生的概率、損失幅度以及其他因素，得出發(fā)生風險的可能性及其程度，確定企業(yè)的風險等級、評價風險可接受性，從而確定是否需要采取控制措施、控制到什么程度，以實現(xiàn)最佳安全保障的科學技術方法，其中風險識別和估計是進行風險分級與評價的前提，風險分級是風險評估技術的核心，只有在充分揭示企業(yè)所面臨的各種風險和風險因素的前提下，才可能做出較為精確的評價。

（二）內部審計在風險管控中的定位

1.內部審計和風險管控的目的相同，都是為了提高企業(yè)的經(jīng)濟效益，以實現(xiàn)企業(yè)價值最大化

風險管控作為一項管理過程，由管理層對風險管理的措施和方法進行設計并負責執(zhí)行;內部審計則負責對風險管理的設計與執(zhí)行情況進行測試評價，并為管理層提供有關風險管理信息。

2.內部審計和風險管控相互依存、相互作用

內部審計工作中，隨著內部審計范圍的不斷擴大，不僅要對內部審計對象進行有效控制，還要制約企業(yè)風險管理，通過檢查、評價以及制定報告的方式，促進風險管理過程的充分發(fā)揮與實施有效性，為其提出有效的意見和建議，從而實現(xiàn)風險管控的優(yōu)化，將風險的發(fā)生和影響控制在可以承受的范圍內。在風險管控工作中，內部審計工作是其重要組成部分，可以根據(jù)內部審計工作重點盡可能準確地評估存在的風險，制定風險控制措施，維持內控制度的有效運轉，促進內部審計與風險管控的協(xié)調發(fā)展、共同發(fā)展。

3.風險管控是內部審計的工作職能

內部審計是企業(yè)風險管控的實施者，制定與企業(yè)目標、期望一致的審計計劃，實施以風險管控為導向的審計項目，提供有價值的審計和顧問性質的支持，搭建增值型內部審計業(yè)務體系，通過其確認和咨詢活動，對整個企業(yè)進行有效評價，設立合理、科學的風險識別、評估系統(tǒng)，利用各種方式協(xié)助企業(yè)全面風險管理的實現(xiàn)和戰(zhàn)略目標的達成[2]。

（三）審計問題風險評價與風險管控的關系

風險管控必須先識別風險，確定何種風險可能會對企業(yè)產生影響，最重要的是量化不確定性的程度和每個風險可能造成損失的程度，通過降低其損失發(fā)生的概率，縮小其損失程度來達到控制、規(guī)避風險目的。

內部審計組織實施的審計項目與風險管控的要求相契合，審計發(fā)現(xiàn)問題對于風險的識別提供了明確的方向和路徑，對審計發(fā)現(xiàn)問題進行風險評價分級，能進一步提高風險識別的準確性和風險防控措施的有效性，為管理層提供決策依據(jù)，從而提高審計結果的運用水平，全面促進審計結果質量的提升。

二、審計問題風險評價機制的建立和作用

開展審計問題風險評級、建立審計問題風險評價機制，通過建立審計問題和風險數(shù)據(jù)庫，提升數(shù)據(jù)匯總分析、價值挖掘功能，打造風險管理的價值鏈條，發(fā)揮內部審計在企業(yè)風險管控中的作用。

（一）建立審計問題數(shù)據(jù)庫

要對審計發(fā)現(xiàn)問題進行分析評估，首先要收集審計問題數(shù)據(jù)，進而梳理、評價，因此，我們研究開發(fā)了一套審計結果數(shù)據(jù)庫查詢系統(tǒng)，并導入了相關審計數(shù)據(jù)，數(shù)據(jù)涵蓋了近5年來的審計項目檔案和審計發(fā)現(xiàn)問題，可以按照審計項目、審計年度、被審計單位查詢企業(yè)內部及行業(yè)上級審計發(fā)現(xiàn)的各類問題。審計結果數(shù)據(jù)庫查詢系統(tǒng)實現(xiàn)了審計結果共享，所屬單位可以通過查詢系統(tǒng)實時了解本單位審計發(fā)現(xiàn)問題，以及其他單位發(fā)現(xiàn)的問題，觸類旁通、適時整改、有效規(guī)避同類問題再次發(fā)生，既起到了預防風險的作用，又為下一步審計問題風險評價提供了數(shù)據(jù)支撐。

（二）開展審計問題風險評級評價

1.風險評級方法

①按照風險類型將審計發(fā)現(xiàn)問題確定為資金、法律、安全、輿情、廉政、規(guī)范等6種類別風險，每個審計發(fā)現(xiàn)問題可能存在一種或者多種類型的風險。

資金風險主要是因制度、管理等各種原因造成的資金損失風險;法律風險主要是由于合約在法律范圍內無效而無法履行，或者合約訂立不當?shù)仍蛞鸬娘L險;安全風險主要是企業(yè)發(fā)生的各類安全事故（事件）造成的風險;輿情風險主要是企業(yè)單位在從事社會管理和經(jīng)濟活動的時候，可能面臨的來自社會或者網(wǎng)絡的負面信息、虛假信息、謠言等，這些負面信息通過發(fā)酵可能產生的輿情危機;廉潔風險主要是從廉政建設的角度，各個環(huán)節(jié)、部分可能存在隱患和問題;規(guī)范經(jīng)營風險。主要是指違反行業(yè)內各類管理規(guī)則制度，但未形成資金損失的各類風險。

②參照風險管理工具“風險矩陣法”（Risk Matrix），設計了“審計發(fā)現(xiàn)問題評級風險矩陣圖”，根據(jù)審計發(fā)現(xiàn)問題風險點對被審計單位的影響程度，將風險等級（風險發(fā)生后的損害程度）與風險發(fā)生概率（風險發(fā)生的可能性）各分為5個等級，通過矩陣關系確定為紅、橙、黃、綠四種風險預警級別。

2.風險評級程序

內部審計部門負責對審計發(fā)現(xiàn)問題進行初步風險分類，確定各類審計發(fā)現(xiàn)問題的風險類別與審計問題牽頭整改部門，然后召集審計問題風險評級專家進行風險評級，專家成員對審計發(fā)現(xiàn)問題的風險發(fā)生概率與風險等級進行評定，風險評級后由專家組組長審核，組長認定風險等級評定不準確，重新進行評定[3]。

風險評級專家組由財務科、法規(guī)科、計劃科、辦公室、煙葉生產科、安保科、審計派駐辦公室等部門的專家人員組成，風險評級專家組組長由紀委書記擔任。充分發(fā)揮各專業(yè)、各職能識別應對風險的優(yōu)勢特長，精準靶向發(fā)現(xiàn)、評估風險，讓改進風險的措施建議更專業(yè)、更具針對性。

（三）風險評級結果的作用

1.風險評級結果對于企業(yè)風險防控的作用

內部審計圍繞企業(yè)戰(zhàn)略發(fā)展、管控模式、內控現(xiàn)狀，針對評價評級的風險分類提出改善建議。對存在制度空白或流程缺陷的，應建議企業(yè)補充和完善有效的風險管理和內控制度，優(yōu)化各業(yè)務環(huán)節(jié)的管理規(guī)范和企業(yè)內部協(xié)同流程，形成制度管人、流程管事的風險防范機制;對制度和流程執(zhí)行過程存在薄弱環(huán)節(jié)產生潛在風險的，督促企業(yè)及時采取有效應對措施，降低風險損失，防止發(fā)生重大風險事件[4]。

2.風險評級結果對于審計問題整改的作用

對風險預警級別為紅色的審計發(fā)現(xiàn)問題，作為重點事項，既要加強對被審計單位的整改督導，制定切實可行的整改實施方案，又要建章立制、堵塞漏洞、規(guī)避風險、杜絕問題再次發(fā)生;對風險預警級別為橙色的審計發(fā)現(xiàn)問題，制定切實可行的整改實施方案，查找問題根源和發(fā)生原因，做到徹底整改;對風險預警級別為黃色的審計發(fā)現(xiàn)問題，按照審計整改臺賬登記進行整改，不能馬上整改的可每季度向審計部門報送審計整改進展情況。

三、內部審計組織如何運用審計問題風險

評級機制

審計問題風險評價機制建立后需要與內部審計項目實施配合使用，發(fā)揮“1+1>2”的作用，風險評級結果在使用中不斷完善和提高評價準確性，實現(xiàn)實時更新、動態(tài)管理，最大程度形成風險管控協(xié)同防范合力。

（一）運用審計問題風險評價機制，有針對性地實施審計項目

以發(fā)現(xiàn)風險為導向開展內控審計，檢查、測試和評估企業(yè)管理重點內部控制環(huán)節(jié)制度的健全性、符合性、有效性，檢查內部控制系統(tǒng)是否更新，是否能控制新的風險，進一步揭示企業(yè)經(jīng)營風險并提出解決問題的對策，堵塞企業(yè)管理漏洞;以驗證效果為目的開展后續(xù)審計，通過對審計問題整改效果及對意外事項處理情況的再檢查、再審計，評價整改措施的合理性、有效性，評估企業(yè)風險隱患是否消除、管理漏洞是否堵塞、新的控制措施是否有效，以便改進風險管控措施[5]。

（二）運用審計問題風險評價機制，提升內審人員審計效率

從風險管理角度實施內部審計項目越來越多，內審人員需要具備準確識別、評估風險的能力，可以借助審計問題風險評價評級，在審計項目實施中以事實、數(shù)據(jù)為主要依據(jù)，“由點及面”歸納、分析、總結可能存在的戰(zhàn)略、營銷、運維、財務、法律、管理等風險因素，思考“是什么”“為什么”“怎么辦”，實事求是、有針對性地提出解決措施，發(fā)揮風險前瞻預警的作用。

（三）運用審計問題風險評價機制，有效推進審計問題整改工作

結合審計問題整改評價評級，制定統(tǒng)一的審計整改認定標準，將審計整改合格率納入企業(yè)對標與考核管理，以此嚴格把控審計問題整改質量。審計問題嚴格按照整改標準、規(guī)定、要求進行整改的，屬于風險消除，需要制度流程運行的不斷鞏固;審計整改措施已落實、審計問題已部分調整或糾正的，屬于風險未得到有效控制或排除，需要制度流程的嚴格執(zhí)行;審計問題未進行根源性整改、問題大概率再次發(fā)生的，屬于風險隱患，需要制度流程調整和完善。

四、結語

面對新形勢、新任務，評價和改進企業(yè)風險管控過程必然成為內部審計的重要職責，需要內部審計進一步轉變觀念和思路，要站得高、看得遠、看得細、看得深，對風險的估計要有整體把握，風險管控對企業(yè)的價值作用要有前瞻性，建立和使用審計問題風險評價機制是一種有效的方式，既審視了企業(yè)經(jīng)營過程中每個節(jié)點的風險，又理清了關鍵性的風險和風險的關鍵性環(huán)節(jié)，更好地發(fā)揮了內部審計在企業(yè)風險管控中的作用。

參考文獻：

[1]秦榮生.企業(yè)數(shù)字化轉型中的風險管控新模式[J].中國內部審計，2021（1）：9-11.

[2]袁敏.對內部審計職能拓展的思考[J].中國內部審計，2021（1）：17-20.

[3]王宏巍.國有企業(yè)內部審計職能定位與升級路徑研究[J].中國內部審計，2020（6）：15-21.

[4]汪珊.國有企業(yè)開展內部審計與全面風險管理的幾點思考[J].財經(jīng)界，2020（2）：187-188.

[5]周倩倩.對國有企業(yè)內部審計成果運用的探討[J].審計與理財，2019（7）：11-13.