内部审计在风险管理中的职责和作用

梁云科

一、现代企业风险的特征及风险管理的必要性

在市场经济体制下，企业按照现代企业制度的机制运行，具有产权明晰、自主经营、自负盈亏、自我发展的自主权，完全具备了作为市场主体角色的资格。同时，企业所面临的内外部各种风险以不同于以往的方式和程度影响着企业目标的实现，从而使风险管理成为企业管理不可缺的一个方面。

(一)现代企业风险的特征

1、非预期性。相对于计划经济体制下的企业而言，现代企业风险更多地来自企业外部，而产生外部风险的各种因素均是企业不可控的，其发生与否以及何时发生，企业事先不得而知。对企业内部风险，由于外部风险波及，其不可预期性也有不同程度的加大。

2、非可控性。如上所述，企业风险多由外部不可控制的环境因素产生，并波及至企业内部。对企业风险的防范，从根本上来说主要是先从外部风险做起，在有效降低外部风险影响程度的基础上，减少其再向企业内部的波及的范围和程度。

3、综合作用。现代企业面对不仅有内部因素，更有外部环境因素影响；不仅有国内的；也包括国际的；在现代企业风险管理体系中，公司治理从企业整体角度理顺关系，内部控制程序则从执行层面对企业风险的防范发挥作用。内部审计作为内部控制的重要组成部分，与风险管理密不可分，其在风险管理中发挥着不可替代的独特作用。

二、内部控制与风险管理的联系日趋紧密

在决定内部控制政策，并在此基础上评估特定环境中内部控制的构成时，企业决策层应对诸多风险管理问题进行深入思考。比如：公司面临风险的性质和程度；公司可承受风险的程度和类型；风险发生的时间及可能性；公司自身防范风险的能力；实施风险管理的成本，以及从相关风险中可能获取的利益等。

管理层在执行企业风险控制政策过程中，应准确确认、评价公司所面临的风险，并执行决策层所设计的内部控制政策，对企业风险进行有效的管理。

三、内部审计理论的新发展

审计理论和方法在经历了详细检查、从详细检查转为初步抽样、以及测试内部控制并广泛采用抽样进行审计的三个发展阶段后，目前已发展到了以测试评价企业风险为主要方法的风险导向审计阶段。为顺应内部审计理论及实务的变化，国际内部审计师协会(IIA)在1999年对内部审计重新定义为：内部审计是用来增加组织价值和改善组织运营的独立、客观的保证和咨询活动。它以系统专业的方法对风险管理、控制及治理过程的有效性进行评价和改善，帮助组织实现其目标。

这一新定义又将内部审计的范围延伸到风险管理和公司治理层面，认为内部审计是针对风险管理，控制及治理过程的有效性进行评价和改善所必需的。

四、内部审计的主要职责就是风险管理

随着风险导向审计时代的来临，内部审计的工作重点也发生了变化。现代内部审计除了关注传统的内部控制外，更加关注有效的风险管理机制设计的合理性及其运行的有效性。在风险导向审计观念下，年度审计计划与公司决策层风险战略连接在一起。内部审计人员通过对当前风险的分析确保其审计计划与经营计划相一致，并使风险管理贯穿于审计计划执行的全过程。在风险导向审计观念中，内部审计的工作重点不仅是测试控制，而且包括确认风险以及测试管理风险的方法；控制仍然重要，但分析、确认、揭示关键性的经营风险等相关风险，才是内部审计的焦点。

五、内部审计在风险管理中的作用

内部审计在企业内部控制体系中处于独特的位置，有着其他内部控制组成部分所不具有的不可替代的独特的风险管理作用。

(一)能够以独立、客观的姿态，从企业全局角度对风险进行管理。

风险在企业内部所具有的感染性，传递性和不对称性等特征，即一个部门所造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而是沿着相关工作程序传递给其他部门，最终可能会使整个企业陷入困境。因此对风险的确认、防范和控制需要从全局角度考虑，而其他的业务部门较内部审计部门而言，很难做到这一点。内部审计人员不从事企业具体的业务活动，相对独立于相关业务活动和业务部门，而且直接隶属于企业高层管辖，这就使得他们可以从全局角度出发，以某种超然的姿态对企业风险进行客观地认别确认和评价，及时便捷地向企业高层汇报有关情况，便于企业从全局高度对风险进行有效管理。

(二)控制、指导企业的风险策略。

由于企业内部审计部门处于企业决策层和执行层之间，内部审计人员充当了企业长期风险策略与各种决策控制的协调人角色。通过对长期规划与短期计划的协调，以及对实际执行缺陷和成功经验的互动反馈，内部人员可以起到调控、指导企业风险管理策略的作用，使企业风险管理体系以良性循环的态势不断完善和发展。

内部审计部门的建议对企业风险管理系统直接发挥作用。内部审计部门独立于企业的业务部门，其对风险管理的确认评价以及所提出的建议具有全局性特点，符合风险管理的内在规律性，符合企业高层进行风险管理的全局性要求，而且，内部审计部门对风险的评估意见可以直接上报给企业决策层，这会加强企业管理当局对内部审计部门意见的重视程度。

目前，我国风险导向内部审计尚处于探讨和起步阶段，企业对风险管理也不够关注。为此，要逐步培养管理者的风险意识，形成内部审计的需求市场，为内部审计的发展创造良好的环境。同时，要顺应内部审计科学的发展规律，在实践中有意识的推动风险导向内部审计的发展。从强调确认的准确性和控制的有效性，逐步转向强调确认和测试企业风险是否得到有效管理。内部审计的建议应不仅体现在强化控制，提高控制效率和效果等方面，而且应该包括规避风险，转移风险和控制风险等内容，通过风险的有效化管理，评价并改进企业行为，为企业目标的实现充分发挥其应有的职责和作用。