IIA立场公告内部审计在企业全面风险管理中的作用

IIA立场公告：内部审计在企业全面风险管理中的作用简介风险管理对于良好的公司治理的重要性已经越来越为人们所认识。组织承受的压力是识别所有面临的风险，诸如社会、道德、环境及财务和运营方面的风险，并解释如何管理风险使之降低到可接受的水平。同时，全面风险管理框架具备的优势被组织充分认识而日益得到普及。内部审计通过其确认和咨询作用，利用各种方式协助全面风险管理的实现。什么是企业全面风险管理？人们从事风险管理活动以识别、评估、管理和控制各类事项或情况。这些事项或情况涵盖单个项目或狭义的风险类型（如市场风险）以及整个组织面临的威胁和机遇。本立场公告所阐述的原则可以用于指导内部审计对各类风险管理的参与，但是我们特别关注企业的全面风险管理，因为这更有助于改善组织的治理过程。企业全面风险管理（ERM）是贯穿整个组织的具有结构性、一致性和持续性的过程，用以识别、评估并确定如何应对及报告影响组织实现目标的机遇和威胁。企业全面风险管理的责任董事会对确保风险得到管理负全部责任。实践中，董事会将风险管理框架的运作授权给管理团队来执行，由管理团队负责完成以下所列的各项活动。可以设立一项单独的职能协调和项目化管理这些活动，并利用专业技能和知识。组织中的每个人都在确保成功的企业全面风险管理中发挥作用，但管理层对识别和管理风险负主要责任。企业全面风险管理的好处企业全面风险管理框架能够在协助组织管理风险从而实现目标方面做出重大贡献，其好处包括：为实现组织目标提供更大的可能性；在董事会层面综合报告不同的风险；提高对主要风险及其广泛影响的认识；识别和分担跨业务风险；对重要事项集中管理；减少意外或危机；在组织内部更加关注用正确的方法做正确的事情；对将要采取的行动增加变更的可能性；具备为获取更高回报而承担更大风险的能力；更有依据的风险承受和决策。企业全面风险管理活动企业全面风险管理活动包括：说明和沟通组织目标；确定组织的风险偏好；建立适当的内部环境，包括风险管理框架；识别影响目标实现的潜在威胁；评估风险（如，威胁的影响和发生可能性）；选择和实施风险应对；采取控制和其他应对措施；组织中所有层级采用一致的方式进行风险信息沟通；集中监督和协调风险管理过程及结果；为风险管理的效果提供确认。烧对企业全面贩风险管理的矩确认跨董事会或同捡类机构的主对要要求之一意是确保风险独管理过程有洞效运作且主少要风险被控铃制在可接受兄的水平。对移全面风险管三理的确认源豪自不同的渠陆道，其中来愁自管理层的而确认是最基厕本的，应当与与客观确认纠相结合，而卵内部审计是扒客观确认的制主要来源；仍其它来源包棒括外部郑审计师和独亏立的专家检腿查。通常内颤部审计师对蜓以下三方面圣提供确认：头风险管理过悬程，包括其且设计和运行宵情况；对“托主要”风险幻进行管理，安包括控制的弹效果和其他日应对措施；慕可靠、适当坑的风险评估鹿及对风险和材控制情况的垒报告。计内部审计在屿企业全面风墨险管理中的扇确认作用合内部审计是巡一种独立客灿观的确认和让咨询活动，金其与企业全厘面风险管理塔相关的核心胞功能是为董马事会提供关鞭于风险管理且效果的客观猎确认。研究街表明，事实齐上董事会成户员和内部审怖计师均认可友内部审计为景组织增加价增值的两种最谁重要的方式碎是为主要业弯务风险已得零到适当管理艘提供客观确缸认及为风险焰管理和内部踩控制框架正签在有效地运肥作提供确认昆。本图1表示企芦业全面风险隔管理活动的梯范围，指出疮有效的专业睁内部审计活碍动应当及不梨应当（同样格重要）承担知的功能。确添定内部审计赶的作用时需隔要考虑的主水要因素是该挡活动是否对眨内部审计部貌门的独立性吩和客观性产踩生任何威胁涛，是否可能劝改进组织的扫风险管理、记控制和治理雀过程。章图1的左侧脾是所有确认垒活动。这些自活动从一个轰侧面为风险宰管理提供了捧更加客观的斧确认。遵循带《标准》的秋内部审计工式作能够并应锡当至少执行柜其中的某些未活动。吧内部审计在锈企业全面风相险管理中的径咨询作用驾内部审计能北为改进组织五的治理、风演险管理和控畅制过程提供犬咨询服务。赞内部审计师枝对企业全面随风险管理的萌咨询工作的对深入程度取础决于其他资忙源，包括董芹事会所能够箭获取的内部掠和外部的资芽源，还取决拦于组织的风焦险成熟度，难并且可能会金随时间而变打化。内部审粘计师在考虑喜风险、了解验风险和治理纱之间的联系暗及推动方面镜的专长，意犯味着内部审迈计部门完全椒有能力作为债企业全面风您险管理的推边动者，甚至毁项目的管理弊者，特别是犬在引入企业熊全面风险管俭理概念的早指期。随着组铜织风险成熟足度的增加和贴风险管理在雕业务操作中维的不断深入毯，内部审计耽对企业全面志风险管理的并推动作用可易能会减弱。以类似的，如开果组织雇用经了风险管理西专家或机构东服务，则内武部审计更可躁能通过专注火于确认作用锡来增加价值塘，而不是通哄过更多地掘开展咨询活真动。然而，时如果内部审谁计未采取图蜂1左侧确认刻活动所表明塔的以风险为巷基础的方法吓，就不可能币开展图1中沃间的咨询活轰动。闹图1中间部寨分说明了与临企业全面风松险管理相关茧的内部审计巩的咨询作用要。一般来说酸，越偏向转置盘右侧的内窑部审计咨询孤活动，越需妨要安全保障叨措施以维护灌它的独立性身和客观性。询内部审计部脊门可以承担案的一些咨询渠作用包括：粗将内部审计醉分析风险和隙控制所用的霸工具与技术绿提供给管理乳层；作为将瓜企业全面风俘险管理引入朴组织的倡导僚者，充分发悦挥其在风险镇管理和控制矿方面的专业第知识及对组各织的总体认翁知方面的优水势；提供建碎议，推动专详题讨论会，还指导组织风翻险和控制，协促进共同语岔言、框架和软理解的建立戒；作为协调作、监督和报颗告风险的中歼心；协助管奥理者确定降泽低风险的最篇佳方式。分确定咨询服竞务与确认作的用是否能够谅共处的主要千因素是确定辜内部审计师巡是否承担了酿任何的管理泥责任。在企失业全面风险胸管理中，只搂要内部审计挖没有实际管棍理风险的职热能（这是管听理层的职责忽），只要高拢级管理层积俊极认可和支违持企业全面顺风险管理，津内部审计就曲能够提供咨坦询服务。我闷们建议，无冈论何时内部揪审计部门都幼致力于帮助推管理层建立抖或改进风险问管理过程。迹内部审计参插与企业全面挤风险管理的以前提条件（启安全措施）趁如图1所示俊，在满足某晃些条件时，泪内部审计可炉能拓展其对宰企业全面风臂险管理的参剖与。这些条吊件包括：应蔬当明确管理赏层对风险管书理的职责；遭内部审计师屯职责的性质守应当写入内盟部审计章程诵并由审计委认员会审批通吗过；内部审买计不应当代怎表管理层管律理任何风险熊；内部审计笔应当提供建不议、挑战并翼支持管理层摘作决定，而搭不是他们自等行做出风险用管理决定。援内部审计不舟能同时为其夫所负责的风娃险管理框架跳的任何一部暗分提供客观甘确认。这种蚊确认服务应依当由其他适冠当的、有资膜格的人提供博；确认活动蜜之外的任何描工作应当被燃视为一种咨念询业务，应碰当遵循与此扁业务相关的以实施标准。能内部审计参娘与企业全面韵风险管理应狂具备的技能科和知识结构疤内部审计师洲和风险经理象共享某些知填识、技能和疤价值。例如纺，他们都了蓝解公司治理赚的要求，具傍有项目管理沫、分析和推尚进技巧，重叼视良好的风坐险平衡而不近是极端地承岭担或者逃避崭风险。然而坏，风险经理姑只为组织的野管理层服务片，不必为审刻计委员会提韵供独立和客全观确认。内暖部审计师在采介入企业全乱面风险管理豪时也不应该躁低估风险经旋理的专业知挎识（例如风尸险转移与风俯险量化和建根模技术），吩这些知识对联大部分内部伞审计师来说聪是陌生的。腊内部审计师侧如果不能证稿明自己拥有座适当技能和谦知识，就不掠应当承担风导险管理领域方的工作。另押外，如果内店部审计部门彩没有充分的床技能和知识毒可以利用，望也无法从其图他地方获得易，内部审计路负责人不应皱当提供此领初域的咨询服晚务。结论住风险管理是思公司治理的支基本要素。依管理旬层代表吸董事会负责芝建立和实施尝风险管理框叮架。企业全及面风险管理慕因其结构性北、一致性和潮持续性的方惨法带来很多卫好处。内部侧审计师在企狼业全面风险虫管理中的核洁心作用应当盗是为管理层候和董事会就邪风险管理的筋有效性提供躬确认，内部造审计在此核余心作用之外泉拓展业务活缴动时，应当狡采取一定的锋安全措施，辰包括将业务乘看作是咨询撤服务并因此我适用所有相毙关的《标准指》。内部审紫计通过这种区方式保护其决确认服务的漆独立性和客迈观性。遵从暑这些约束，冶企业全面风盛险管理就能译够帮助提高肯内部审计形旋象，增强内快部审计效果采。术语定义名确认服务：劣为独立评估简组织的治理难、风险管理粒和控制过程尝而对证据进雄行的客观检闸查，例如财亿务、绩效、猎合矩规盯性、系统安捐全和尽职调心查等业务。贝董事会：河泛指组织的浅治理机构。跟拥护者：析指支持和保柴卫某人或某杨事的人。因丛此，风险管肾理拥护者将摇提升其优势长、教育组织领的管理层和芽职员如何执副行那些他们鉴需要采取的泛措施并将在强这些措施的姐实施过程中诚鼓励并支持郊他们。衫咨询服务：匀指咨询特及相关的客辩户服务活动列，其性质和添范围需与客斜户协商确定诊，目的是在漏内部审计师耳不承担管理还职责的前提板下，为组织顺增加价值并篇改进组织的倚治理、风险购管理和控制滩过程。顾问浪、建议、推怀动、培训等华均属于咨询绞服务。竿控制：所指管理层、纠董事会和其吴他方面为管积理风险、增余加实现既定屋目标的可能旦性而采取的逃任何行动。迫管理玻层负责袄计划、组织燕并指导实施下充分的行动身，为实现目扁标和目的提匙供合理保证揪。辈企业：辞指为达成一稀定目标而建勾立的组织。树企业全面风赏险管理：柿指贯穿整个弟组织的具有穗结构性、一乱致性和持续蝶性的过程，造以识别、评厌估、决定如淋何应对及报厦告影响组织饥目标实现的柱机遇和威胁洽。随推动：航指与团体（咽或个人）合掠作使其更容陵易就会议或壶活动的目标优达成一致。道包括倾听、扛质疑、观察叛、提问和支厉持该团体及夜成员，但不源包括参与具狗体工作或决淘策。折风险：伙指对实现目另标有影响的兆事件实际发糖生的可能性染。风险通过坚影响程度和怠发生的可能峡性来衡量。该风险偏好：就指组织愿意怖承受的风险芹水平。糠风险管理框使架：椒指组织所选循的实施风险锐管理过程的皂结构、方法斥、程序和定吧义的总称。引风险管理过边程：差指识别、评层估、管理和眯控制潜在事展项或