IIA立场公告-内部审计在企业全面风险管理中的作用

1、IIA立场公告：内部审计在企业全面风险管理中的作用简介风险管理对于良好的公司治理的重要性已经越来越为人们所认识。组织承受的压力是识别所有面临的风险，诸如社会、道德、环境及财务和运营方面的风险，并解释如何管理风险使之降低到可接受的水平。同时，全面风险管理框架具备的优势被组织充分认识而日益得到普及。内部审计通过其确认和咨询作用，利用各种方式协助全面风险管理的实现。什么是企企业全面面风险管管理？人们从事事风险管管理活动动以识别别、评估估、管理理和控制制各类事事项或情情况。这这些事项项或情况况涵盖单单个项目目或狭义义的风险险类型（如市场场风险）以及整整个组织织面临的的威胁和和机遇。本立场场公告所所阐述

2、的的原则可可以用于于指导内内部审计计对各类类风险管管理的参参与，但但是我们们特别关关注企业业的全面面风险管管理，因因为这更更有助于于改善组组织的治治理过程程。企业全面面风险管管理（EERM）是贯穿穿整个组组织的具具有结构构性、一一致性和和持续性性的过程程，用以以识别、评估并并确定如如何应对对及报告告影响组组织实现现目标的的机遇和和威胁。企业全面面风险管管理的责责任董事会对对确保风风险得到到管理负负全部责责任。实实践中，董事会会将风险险管理框框架的运运作授权权给管理理团队来来执行，由管理理团队负负责完成成以下所所列的各各项活动动。可以以设立一一项单独独的职能能协调和和项目化化管理这这些活动动，并

3、利利用专业业技能和和知识。组织中的的每个人人都在确确保成功功的企业业全面风风险管理理中发挥挥作用，但管理理层对识识别和管管理风险险负主要要责任。企业全面面风险管管理的好好处企业全面面风险管管理框架架能够在在协助组组织管理理风险从从而实现现目标方方面做出出重大贡贡献，其其好处包包括：为为实现组组织目标标提供更更大的可可能性；在董事事会层面面综合报报告不同同的风险险；提高高对主要要风险及及其广泛泛影响的的认识；识别和和分担跨跨业务风险；对重要要事项集集中管理理；减少少意外或或危机；在组织织内部更更加关注注用正确确的方法法做正确确的事情情；对将将要采取取的行动动增加变变更的可可能性；具备为为获取更更

4、高回报报而承担担更大风风险的能能力；更更有依据据的风险险承受和和决策。企业全面面风险管管理活动动企业全面面风险管管理活动动包括：说明和和沟通组组织目标标；确定定组织的的风险偏偏好；建建立适当当的内部部环境，包括风风险管理理框架；识别影影响目标标实现的的潜在威威胁；评评估风险险（如，威胁的的影响和和发生可可能性）；选择择和实施施风险应应对；采采取控制制和其他他应对措措施；组组织中所所有层级级采用一一致的方方式进行行风险信信息沟通通；集中中监督和和协调风风险管理理过程及及结果；为风险险管理的的效果提提供确认认。对企业全全面风险险管理的的确认董事会或或同类机机构的主主要要求求之一是是确保风风险管理理

5、过程有有效运作作且主要要风险被被控制在在可接受受的水平平。对全全面风险险管理的的确认源源自不同同的渠道道，其中中来自管管理层的的确认是是最基本本的，应应当与客客观确认认相结合合，而内内部审计计是客观观确认的的主要来来源；其其它来源源包括外外部审计计师和独独立的专专家检查查。通常常内部审审计师对对以下三三方面提提供确认认：风险险管理过过程，包包括其设设计和运运行情况况；对“主要”风险进进行管理理，包括括控制的的效果和和其他应应对措施施；可靠靠、适当当的风险险评估及及对风险险和控制制情况的的报告。内部审计计在企业业全面风风险管理理中的确确认作用用内部审计计是一种种独立客客观的确确认和咨咨询活动动，

6、其与与企业全全面风险险管理相相关的核核心功能能是为董董事会提提供关于于风险管管理效果果的客观观确认。研究表表明，事事实上董董事会成成员和内内部审计计师均认认可内部部审计为为组织增增加价值值的两种种最重要要的方式式是为主主要业务务风险已已得到适适当管理理提供客客观确认认及为风风险管理理和内部部控制框框架正在在有效地地运作提提供确认认。图1表示示企业全全面风险险管理活活动的范范围，指指出有效效的专业业内部审审计活动动应当及及不应当当（同样样重要）承担的的功能。确定内内部审计计的作用用时需要要考虑的的主要因因素是该该活动是是否对内内部审计计部门的的独立性性和客观观性产生生任何威威胁，是是否可能能改进

7、组组织的风风险管理理、控制制和治理理过程。图1的左左侧是所所有确认认活动。这些活活动从一一个侧面面为风险险管理提提供了更更加客观观的确认认。遵循循标准准的内内部审计计工作能能够并应应当至少少执行其其中的某某些活动动。内部审计计在企业业全面风风险管理理中的咨咨询作用用内部审计计能为改改进组织织的治理理、风险险管理和和控制过过程提供供咨询服服务。内内部审计计师对企企业全面面风险管管理的咨咨询工作作的深入入程度取取决于其其他资源源，包括括董事会会所能够够获取的的内部和和外部的的资源，还取决决于组织织的风险险成熟度度，并且且可能会会随时间间而变化化。内部部审计师师在考虑虑风险、了解风风险和治治理之间间

8、的联系系及推动动方面的的专长，意味着着内部审审计部门门完全有有能力作作为企业业全面风风险管理理的推动动者，甚甚至项目目的管理理者，特特别是在在引入企企业全面面风险管管理概念念的早期期。随着着组织风风险成熟熟度的增增加和风风险管理理在业务务操作中中的不断断深入，内部审审计对企企业全面面风险管管理的推推动作用用可能会会减弱。类似的的，如果果组织雇雇用了风风险管理理专家或或机构服服务，则则内部审审计更可可能通过过专注于于确认作作用来增增加价值值，而不不是通过过更多地地开展咨咨询活动动。然而而，如果果内部审审计未采采取图11左侧确确认活动动所表明明的以风风险为基基础的方方法，就就不可能能开展图图1中间

9、间的咨询询活动。图1中间间部分说说明了与与企业全全面风险险管理相相关的内内部审计计的咨询询作用。一般来来说，越越偏向转转盘右侧侧的内部部审计咨咨询活动动，越需需要安全全保障措措施以维维护它的的独立性性和客观观性。内内部审计计部门可可以承担担的一些些咨询作作用包括括：将内内部审计计分析风风险和控控制所用用的工具具与技术术提供给给管理层层；作为为将企业业全面风风险管理理引入组组织的倡倡导者，充分发发挥其在在风险管管理和控控制方面面的专业业知识及及对组织织的总体体认知方方面的优优势；提提供建议议，推动动专题讨讨论会，指导组组织风险险和控制制，促进进共同语语言、框框架和理理解的建建立；作作为协调调、监

10、督督和报告告风险的的中心；协助管管理者确确定降低低风险的的最佳方方式。确定咨询询服务与与确认作作用是否否能够共共处的主主要因素素是确定定内部审审计师是是否承担担了任何何的管理理责任。在企业业全面风风险管理理中，只只要内部部审计没没有实际际管理风风险的职职能（这这是管理理层的职职责），只要高高级管理理层积极极认可和和支持企企业全面面风险管管理，内内部审计计就能够够提供咨咨询服务务。我们们建议，无论何何时内部部审计部部门都致致力于帮帮助管理理层建立立或改进进风险管管理过程程。内部审计计参与企企业全面面风险管管理的前前提条件件（安全全措施）如图1所所示，在在满足某某些条件件时，内内部审计计可能拓拓展

11、其对对企业全全面风险险管理的的参与。这些条条件包括括：应当当明确管管理层对对风险管管理的职职责；内内部审计计师职责责的性质质应当写写入内部部审计章章程并由由审计委委员会审审批通过过；内部部审计不不应当代代表管理理层管理理任何风风险；内内部审计计应当提提供建议议、挑战战并支持持管理层层作决定定，而不不是他们们自行做做出风险险管理决决定。内内部审计计不能同同时为其其所负责责的风险险管理框框架的任任何一部部分提供供客观确确认。这这种确认认服务应应当由其其他适当当的、有有资格的的人提供供；确认认活动之之外的任任何工作作应当被被视为一一种咨询询业务，应当遵遵循与此此业务相相关的实实施标准准。内部审计计参

12、与企企业全面面风险管管理应具具备的技技能和知知识结构构内部审计计师和风风险经理理共享某某些知识识、技能能和价值值。例如如，他们们都了解解公司治治理的要要求，具具有项目目管理、分析和和推进技技巧，重重视良好好的风险险平衡而而不是极极端地承承担或者者逃避风风险。然然而，风风险经理理只为组组织的管管理层服服务，不不必为审审计委员员会提供供独立和和客观确确认。内内部审计计师在介介入企业业全面风风险管理理时也不不应该低低估风险险经理的的专业知知识（例例如风险险转移与与风险量量化和建建模技术术），这这些知识识对大部部分内部部审计师师来说是是陌生的的。内部部审计师师如果不不能证明明自己拥拥有适当当技能和和知

13、识，就不应应当承担担风险管管理领域域的工作作。另外外，如果果内部审审计部门门没有充充分的技技能和知知识可以以利用，也无法法从其他他地方获获得，内内部审计计负责人人不应当当提供此此领域的的咨询服服务。结论风险管理理是公司司治理的的基本要要素。管管理层代代表董事事会负责责建立和和实施风风险管理理框架。企业全全面风险险管理因因其结构构性、一一致性和和持续性性的方法法带来很很多好处处。内部部审计师师在企业业全面风风险管理理中的核核心作用用应当是是为管理理层和董董事会就就风险管管理的有有效性提提供确认认，内部部审计在在此核心心作用之之外拓展展业务活活动时，应当采采取一定定的安全全措施，包括将将业务看看作

14、是咨咨询服务务并因此此适用所所有相关关的标标准。内部审审计通过过这种方方式保护护其确认认服务的的独立性性和客观观性。遵遵从这些些约束，企业全全面风险险管理就就能够帮帮助提高高内部审审计形象象，增强强内部审审计效果果。术语定义义确认服务务：为独独立评估估组织的的治理、风险管管理和控控制过程程而对证证据进行行的客观观检查，例如财财务、绩绩效、合合规性、系系统安全全和尽职职调查等等业务。董事会：泛指组组织的治治理机构构。拥护者：指支持持和保卫卫某人或或某事的的人。因因此，风风险管理理拥护者者将提升升其优势势、教育育组织的的管理层层和职员员如何执执行那些些他们需需要采取取的措施施并将在在这些措措施的实

15、实施过程程中鼓励励并支持持他们。咨询服务务：指咨咨询及相相关的客客户服务务活动，其性质质和范围围需与客客户协商商确定，目的是是在内部部审计师师不承担担管理职职责的前前提下，为组织织增加价价值并改改进组织织的治理理、风险险管理和和控制过过程。顾顾问、建建议、推推动、培培训等均均属于咨咨询服务务。控制：指指管理层层、董事事会和其其他方面面为管理理风险、增加实实现既定定目标的的可能性性而采取取的任何何行动。管理层层负责计计划、组组织并指指导实施施充分的的行动，为实现现目标和和目的提提供合理理保证。企业：指指为达成成一定目目标而建建立的组组织。企业全面面风险管管理：指指贯穿整整个组织织的具有有结构性性

16、、一致致性和持持续性的的过程，以识别别、评估估、决定定如何应应对及报报告影响响组织目目标实现现的机遇遇和威胁胁。推动：指指与团体体（或个个人）合合作使其其更容易易就会议议或活动动的目标标达成一一致。包包括倾听听、质疑疑、观察察、提问问和支持持该团体体及成员员，但不不包括参参与具体体工作或或决策。风险：指指对实现现目标有有影响的的事件实实际发生生的可能能性。风风险通过过影响程程度和发发生的可可能性来来衡量。风险偏好好：指组组织愿意意承受的的风险水水平。风险管理理框架：指组织织所选的的实施风风险管理理过程的的结构、方法、程序和和定义的的总称。风险管理理过程：指识别别、评估估、管理理和控制制潜在事事