内部审计与企业风险管理的全面结合

1、内部审计与企业风险管理的全面结合 自美国 COSO 委员会于20XX 年4月颁布企业风险管理框架(Enterprise Risk Management Framework,以下简称ERM框架)后,理论界对ERM的研究风起云涌,监管机构对于ERM的规范不断推出,实务界对ERM的尝试不断增多,如北美、欧洲有11%的组织拥有了完全实施的ERM,90%的组织正在建立或者想建立ERM (James Roth,20XX);财宝世界500强企业截至20XX年底有近40%实施了ERM,30%部分实施了ERM;我国20XX年针对部分先进企业和ERM探索者的一项调查显示,7.89%的企业建立并实施了ERM,15.

2、79%的企业已经建立但是尚未运作,71%的企业在一定程度上建立但流程缺乏相互约束,5.26%的企业没有建立(王雅婷,20XX)。可见,ERM受到了越来越多的重视,如何促使企业尽快建立ERM,保证企业顺当实施和完善已经建立的ERM,成为当务之急。 ERM的精髓之一在于全员参与,如何清楚地界定各参与方的职责打算着ERM的实施成效。内部审计作为组织治理结构四大支柱之一,在ERM建立和实施中发挥着重要作用。IIA(国际内部审计师协会)在内部审计在企业全面风险管理中的作用意见书中将内部审计在ERM中能够开展的活动划分为三类,第一类是核心性保证活动,包括:就风险管理过程供应保证;就风险被精确评估供应保证;

3、评价风险管理过程;评价关键风险的报告;审读关键风险的管理。第二类是合理性咨询活动,包括:促进风险识别与评价;指导管理层作出风险反应;协调风险管理相关活动;加强风险报告;保持和开发ERM框架;促进ERM的建立;经董事会批准制定ERM战略。第三类是不适当的活动,包括:设立风险偏好;对风险管理过程施加影响;供应管理层风险保证;对风险反应作出决策;以管理层立场做出风险反应;对风险管理担当责任(Russell A.Jackson,20XX)。 上述分类对于指导内部审计合理定位、供应适当形式的服务、保持独立性具有一定的意义,却无助于指导内部审计实现与风险管理过程的有机结合,简单导致内部审计与ERM脱节,或

4、者重视ERM单一环节而忽视整体。为此,应设计一种能够将内部审计与ERM实现对接的方式,使内部审计能够在ERM循环中实现跟踪式全程审计,实现内部审计对于ERM的全程监督,为持续审计奠定基础,该种模式称为“ERM基础审计”。 ERM基础审计模式以COSO委员会在企业风险管理框架中设计的内部环境、目标设定、事件识别、风险评估、风险反应、掌握活动、信息与沟通以及监控八要素为基础,考虑内部审计在ERM中能够开展的活动,将两者进行有机结合,形成了ERM基础审计模式(George Matyjewicz等,20XX)。 外围各项要素中,以建立和沟通组织目标为起点,依次经历打算组织的风险偏好、建立适当的风险管理

5、框架、识别阻碍目标实现的风险或事件、评价风险发生的影响和可能性、选择和实施适当的风险反应、实施掌握和其他反应活动、进行风险信息全都性沟通、监督和调整风险管理过程和结果八个环节,形成了ERM的一个运行系统。在此基础上,由管理层供应对ERM过程的首要保证,进而由内部审计实施对ERM的独立客观保证和咨询,最终各方履行对董事会服务的职责,董事会对ERM担当最终责任,形成了ERM的一个保障系统。该模式将ERM与内部审计融合在一个完整的循环中,两者实现了无缝对接;明确了内部审计和管理层在ERM中的职责地位;同时,也便于内部审计通过深入各个业务环节开展对ERM的全程审计。 1.建立和沟通目标。CEO负责制订

6、组织的整体战略目标,处于不同管理层次、不同地域分布中的各业务单位、分部和子公司管理层负责制订各自的子目标,子目标必需与组织整体目标保持全都,并与组织文化、价值观、使命和愿景相协调,在整个组织员工中得到全面的沟通、清楚的解释和正确的理解。内部审计应为下列各个方面供应保证:审查组织目标得到有效建立(如检查目标建立依靠的信息、采用的程序、参与者的素养等);审查子目标与组织整体目标协调全都;审查目标在组织员工中得到全面的沟通和全都的理解。审计人员可以采用访谈关键人员、获取和审读相关资料、向不同层次人员发放调查问卷、实施掌握自我评估等方法来开展审计工作,其中问卷设计应当供应可以由回答者进行评论的空间,以

7、便于收集员工对目标理解状况的软性信息。 2.确定风险偏好。组织的风险偏好打算了组织能够承受的风险水平。风险偏好与目标设定有着直接的关系,体现在组织交易形式审批、资本预算限制、职责权限划分、购买事项确定等各项活动中。确定风险偏好是董事会和管理层的责任,内部审计不能设定组织风险偏好或容忍度,但可以就风险偏好和容忍度水平的确定、量化、沟通,在政策、程序和实务中的有效实施状况供应保证。 3.建立风险管理框架。在不同组织之间甚至在同一个组织不同部门之间,由于文化氛围、管理理念、工作目标、组织规模、业务复杂性以及与业务目标和风险容忍度相关的固有风险水平不同,ERM框架可能会存在很大差别。例如,信息技术部门

8、因为其工作的性质需要有完整的风险识别、评价框架,而人力资源部门可能仅需要一个明确的政策和程序性审读。从事常规交易的部门一般具有相对成熟的ERM框架,该框架中有明确界定的风险指示,与日常的业务运行过程相结合;而战略管理部门却不具有这样正式的框架,需要进一步加以开发。某些组织拥有了较成熟的ERM框架,而其他一些组织却仅处于ERM的计划阶段、萌芽阶段甚至无知阶段。 董事会和高级管理层负责建立和管理ERM框架。审计人员不能参与设计ERM框架,但是需要依靠他们的推断,结合组织的实际对ERM框架的适当性做出结论,发觉框架结构和功能中的缺陷。详细的审查内容包括:审查ERM框架的组成要素;审查在组织政策、治理

9、框架、实务操作中所体现出来的风险观点和价值;审查风险管理政策和指南的实用性、敏捷性和自我引导性;审查员工对风险管理含义的理解和对风险管理技术的把握状况;审查管理层对风险管理的支持、对公司文化的培育状况;审查风险管理实务按框架期望持续运行状况;审查框架动态调整、监督和自我评价管理状况。 4.识别风险。识别风险是对组织正在和将要面临的风险加以推断、归类和鉴定风险性质的过程,换言之,即确定组织正在或将要面临哪些影响组织目标实现的风险。风险识别是管理层的职责。内部审计在风险识别中的主要工作包括:审查风险识别的充分性,即与组织整体目标和战略相关的、涉及组织整体和分部层次的主要风险是否均已被识别出来,是否存在未被识别的风险,并提示管理层留意;审查风险识别的全都性,风险定义、分类是否在组织中得到统一的运用。对于发觉的风险识别不完全、不全都、忽视风险等状况,内部审计应采用特别审计程序并加以报告。 5.评估风险。评估风险是指采用定性与定量相结合的方式,估计风险影响的大小和发生的可能性,在二者结合的基础上,对风险进行排队,进而实施不同关注。实施风险评估是管理层的责任。内部审计应就风险是否被精确评估供应保证。详细可以采取两种方式:(1)对管理层的风险评估结果进行再检验,即把握风险评价的系统方法,对风险成因、影响后果、发生频率等作出综合分析,依据“风险值=风