企业应如何开展风险管理审计

2014-03-31张涛

经济师 2014年2期

张涛

摘要：经济环境的复杂变化使各企业面临更多的不确定性因素，重视风险、主动管理风险成为现代企业经营管理的重要部分。为确保风险管理有效性，开展好风险管理审计逐渐成为一种内在需要。实施风险管理审计不仅有利于提高风险管理能力，更好地应对内外环境变化带来的不确定性，更有利于改进内部审计工作，并提高内部审计在组织治理结构中的地位。文章对如何开展风险管理审计进行了探讨，并对风险管理审计内涵、内容、程序和方法进行了综述。

关键词：风险管理风险管理审计评价

中图分类号：F239.6 文献标识码：A

文章编号：1004-4914（2014）02-117-02

一、引言

国资委2006年发布《中央企业全面风险管理指引》，极大地推动了风险管理工作在国内企业特别是在国有大中型企业的应用。风险管理属于新的管理活动，其理论在不断深化、方法在不断丰富，风险管理已成为组织治理必不可少的一部分。内部审计机构承担了风险管理职责，开展基础体系建设、业务风险管理等系列工作，以风险和内控为角度开展审计，发挥出对风险管理工作的监督、评价职能。为了确保风险管理的有效性，众多优秀企业已逐步开展风险管理审计，这一类型审计成为内部审计发展的一个亮点和趋势。

二、风险管理审计的基本概念、价值

我国内部审计工作正在从传统的财务账项审计向到现代管理审计转变，内部审计将更加贴近企业的各项管理，更加融入管理的过程之中。风险管理审计是内部审计的组成部分，是管理审计中新的审计类型。它是内审部门采用系统化、规范化的方法，对承担风险管理职责的部门所制定的应对程序、对策方案以及机制的合理性与有效性进行监督、评价和咨询，以改进企业对风险的管理、增进企业价值的一种审计类型。

风险管理审计的目标主要包括：范围的科学合理性；评价标准与指标体系的科学性；识别与评估的科学合理性；措施、方法与程序的合理性；风险应对的合理性等。与传统内部审计相比，风险管理审计的范围由内控审计扩展到所有风险管理技术审计，它更加注重确认和测试风险管理部门为降低风险而采取的措施及效果。

开展风险管理审计可以使组织利益相关者了解组织风险现状，保障各利益相关者共同利益最大化，也可以进一步提高风险应对方案效率、效果，提高内部审计工作的针对性，实现风险管理与组织整体经营战略的优化结合。

三、风险管理审计的主要内容

从风险管理审计的内涵可以看出风险管理审计的主要任务包括：检查、评价、报告风险管理过程的适当性和有效性，以提出改进风险管理工作的意见，为企业管理层、审计委员会的提供有用信息。

1.评价风险管理机制。良好的风险管理机制是风险管理是否有效的前提，因此，首先应审计、确定组织风险管理机制的健全性及有效性，包括但不限于组织体系、内控体系、报告体系和考核体系。（1）审计风险管理组织机构健全性。开展风险管理，做好组织和人员保障是一项重要内容。组织应根据自身实际特点，在统一领导、广泛参与下，搭建职责明确、有效运行的风险管理结构框架，包括风险管理责任人、专业和非专业管理人员、外部服务机构在内的组织体系。（2）审计风险管理程序的合理性。企业应当结合实际建立风险管理的程序流程，确保风险管理的有效性。（3）审计风险管理内控体系的健全性。内控体系在风险管理中占重要部分，属于核心内容。没有与组织管理实际相适应的、完整的内控体系，风险管理有效性无从谈起。审计人员需要审查被审计单位内控体系构建情况，可以《企业内部控制基本规范》为标准，考察对于各个要素的控制。（4）审查报告体系的存在性及运行有效性。考察日常报告体系及运行、突发风险报告体系及运行、预警报告体系及运行。（5）审查考核体系的执行性、有效性。考察考核体系覆盖程度及结果应用情况，评价考核体系是否能够有效推动风险管理工作。

2.审计评价风险识别的过程。审计人员在审计时应注意分析企业风险识别是否结合实际情况充分识别组织内外部所面临的各项风险。通常来看，应结合风险管理各项环境和内控要素，如就组织目标、经营情况、管理薄弱环节或问题等进行访谈、查阅资料、记录、历史案例，应了解风险识别过程中的相关记录材料并评价其充分性，必要时还应进行分析性复核，对企业经营管理活动与内部控制中所面临的缺陷进行分析、确认。（1）审计识别原则的合理性。风险识别是风险评估及进行应对的关键性第一步。只有采取合适的原则才能更充分地识别出各种风险因素。

（2）审计识别的充分性、全面性与否。风险管理审计需要评价相关风险资料是否涵盖了对组织各层次目标产生影响的所有内部、外部风险。内部风险主要来源于组织治理机构效能、管理的局限，业务控制失效、产品或服务销售策略、经营活动和业务特点、资产性质及其管理局限、人员知识结构、专业经验等方面。外部风险主要来源于国家法律法规政策变化、宏观经济环境变化、行业变化、竞争环境等方面。（3）审计识别方法的适当性。审计人员应对各种风险做系统地分析与归类，形成企业风险框架，并结合管理实际特点，对企业风险识别方法的适当性进行审查，评价该方法能否适当地识别出对各层目标有针对性的风险。

3.审计评价风险评估过程。风险评估是应用各种工具方法，定性或定量地估计风险发生的概率及其影响程度。审计人员应实施必要的审计程序，特别是要关注“风险发生概率”和“风险对企业目标产生的影响程度”两个要素确定的方法、记录、过程，并分析其合理性。（1）风险识别所反映的特征分析。不同企业所具有的风险具有一定的差异性，对风险评估过程进行评价，因不同的风险所应采取的评估方法不尽相同，审计人员应首先对企业风险识别结果所具有的特征进行了解，如哪些是内部原因所产生的，哪些是外部原因所产生的，哪些是与战略、核心业务、支撑性业务相关的风险，哪些是与企业价值链关系密切的风险。

审计人员在对风险评估方法审计时，应考虑风险特征来评价评估方法的适当性。如已识别风险可用定量方法评估风险的严重程度，审计人员需要判断描述风险事件影响的“数量”是否恰当；如无法定量表示，审计人员应判断管理层所定的“性质”是否合适合理。（2）历史资料的可信赖程度。企业（下转第119页）（上接第117页）管理层多数依据历史已发生的案例、风险事件为参照标准、参考对象进行风险评估，审计人员应考虑历史资料的充分性、可靠性，充分论证案例发生环境、各相关因素、结果发生条件等是否能够恰当地借鉴到当期的风险评估中。（3）判断企业开展风险评估的能力。开展风险评估的水平高低与企业管理层对风险评估方法的理解、运用有密切关系。审计人员应对企业管理层运用定量定性方法的能力、对所依靠的数量模型、信息技术、个人经历经验进行了解，考虑评估过程中企业管理层运用是否恰当。（4）对成本、效益进行权衡。管理层在运用定性或定量方法开展风险评估时应考虑评估方法成本、效益性。审计人员需要对管理层选用方法的成本效益性予以考量。endprint

4.审计评价风险应对措施。审计人员在评价企业风险应对措施的适当、有效性时，应考虑以下方面：（1）剩余风险是否在可接受的范围。一般企业对固有风险具有相应的管控措施，风险应对措施应主要针对剩余风险。因此，审计人员应评价在采取应对措施后剩余风险能否在组织可接受范围内。如果已将风险降低到企业可接受的范围，可以确认风险应对措施有效。（2）是否结合企业的经营管理实际。每个企业风险应对措施会有所不同，这是基于企业管理实际状况而定。如果不适合自身特点，就不是恰当的应对措施。审计人员应考虑企业经营管理特点，对所采取措施的适当性做出评价。

四、风险管理审计程序和方法

1.在计划阶段，识别经营风险，制定风险管理审计计划。通过了解被审计单位的经营，识别经营风险。如了解企业性质、管理机制、业务内容、经营范围、组织结构、人员组成等，建立对企业框架性的认识；通过查阅企业文件、规章制度，了解各项管理要求；访谈各级领导、骨干员工等主要人员，全面了解风险管理现状；现场查阅各种经营生产过程原始记录，审计审核、批准等管理控制程序。初步确定风险管理薄弱环节，编制审计工作计划。

2.在实施阶段，审查、评价风险管理状况。在实施阶段，围绕风险管理审计的主要内容，审查和评价风险管理状况，包括风险管理机制、风险识别过程、风险评估以及风险应对措施的审查和评价四个方面。

3.在审计报告阶段，出具风险管理审计报告，开展后续审计。按照审计过程中发现情况，依据《风险管理审计准则》出具风险管理审查和评价报告、或者出具详尽的专项审计报告，将风险管理审计的范围、内容、方式、时间以及发现的主要问题及建议报告给适当的管理层。

由于多数企业风险管理职能由内审部门承担，因此审计人员的审查评价结果可作为改进和完善风险管理工作的一项重要依据。为保证、监督风险管理审计提出的合理化建议能够得到有效落实，内审人员可以通过后续审计来复查管理层是否就报告中的建议采取合适的行动，是否取得预期效果，如果未采取行动，需要明确相应责任和原因。

4.审计过程中常用的方法。在风险管理审计不同任务阶段，可采用的审计方法有所不同。如，在制定审计计划时，可通过流程图法和文字表述法、问卷调查法（编制风险管理问卷调查表）、关键路线法确定风险管理审计开展的重点；在审查评价风险识别时，可采用决策分析、可行性分析、生产流程分析、投入产出分析、资产负债分析、排列图、因果分析、因素分解、经济活动分析法和统计分析法、鱼刺图、专家调查列举法等；在衡量风险管理措施时可使用专家调查法、风险报酬法、风险当量法、蒙特卡罗模拟方法；在后续审计阶段，可以通过座谈、查阅有关资料、现场观察等进行审计。

五、结语

风险管理审计处于发展探索阶段，很多企业还没有形成常规性审计类型，甚至尚未开展。当然，风险管理审计发展还面临很多问题。如组织结构及制度不健全，管理层对风险管理审计重要性认识不足，尚未建立科学合理的风险管理评价标准，开展风险管理审计的人员业务结构和经验等条件无法满足风险管理审计需要。

随着组织内外环境变化日益加快，风险管理工作逐渐提升到重要层面是一个重要趋势。作为风险管理的再管理，风险管理审计的广泛开展需要强化风险管理工作，制定切合实际的风险管理评价标准，明确审计部门开展风险管理审计的重要作用，提高审计人员胜任力，培养高素质审计人才，将风险管理审计常态化。

参考文献：

[1] 高东坡.内部审计如何参与企业的风险管理.商场现代化，2007（9）

[2] 靳建堂.风险管理审计初探.现代企业风险管理论文汇编，2005

[3] 李晓光.浅议企业风险管理审计.经济师，2011（5）

[4] 钱光明，陈德艳.论我国企业风险管理审计.商业会计，2011（33）

[5] 万文钢.对风险管理及风险管理审计的认识和理解.中国内部审计，2010（9）

[6] 汪振纲.风险管理审计理论述评.风险与内控，2010（2）

[7] 夏丹宁.推进风险管理审计的思路.中国内部审计，2004（12）

[8] 谢浩，尹珍丽.风险管理审计常用方法解析.时代经贸，2010（10）