IIA的CSA方法在企业风险管理中的初步运用

陈宁

2010年国家五部委联合发布了企业内部控制应用指引、评价指引和审计指引，并要求自2011年1月1日起在境内外同时上市的公司施行;自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行;自2013年起，要求中央企业于每年5月底前向国资委报送内部控制评价报告。开展内部控制的自我评估已是国内大中型企业的大势所趋。本文通过对笔者所在企业初步运用CSA的案例分析入手，介绍了该方法与传统审计方法的区别，给企业的带来的收获，以及应用该方法所需的前提和条件，以期对其他国内企业开展内部控制自我评估工作提供借鉴和参考。

国际内部审计师协会（Institute of Internal Auditors，简称IIA）推行的內部控制自我评估（Control Self-Assessment，简称CSA）方法，是企业的内部审计师在开展内部控制自我评价过程中运用的方法。

一、CSA方法与传统审计方法的区别

CSA提倡的基本理念是，内部控制的自我评估工作应该由实际实施具体业务工作的人员进行。这与传统的内部审计工作或企业内部各类监督检查工作的做法有所不同。

传统的企业内部审计或检查工作，开展具体审计或检查工作的是内部审计师，内部审计师是主动方;业务人员是被审计方，是被动者;业务人员的主要工作是为内部审计师提供资料，配合内部审计师开展审计或检查工作。内部审计师工作中主要采用查阅资料、检查等传统的审计方式。最后由内部审计师提出审计结论或评价结论，提出改进建议，并出具报告。

而CSA方法，内部审计师的角色是引导者、推动者，他们的作用是运用专业的技巧和方法，引导、帮助由业务人员组成的工作团队对自己所从事的业务工作开展自我评估，工作团队（即业务人员）才是这项工作的主动方。工作方式除了查阅资料外，通常主要采用专题讨论会，结合问卷调查和管理层分析法展开。工作团队通过自我评估形成结论，找出内部控制的不足，提出加强内部控制的措施方法，并编制评估报告。

二、CSA方法的初步运用

笔者所在的企业集团运用类似CSA方式在集团的中高层管理者中尝试开展了一次风险自我评估活动。整个活动遵循PDCA（即计划Plan、执行Do、检查Check、处理Act）管理循环理念开展：

（一）事前准备阶段

1.评估活动的组织者将参与者按其工作领域分成若干个小组，如财务审计组、生产制造组、市场销售组、研发团队组等。各小组人数基本在20人以内，涵盖集团总部业务部门经理、业务主管，二级单位领导人员、二级单位业务部门经理等不同级别的人员。每个小组由一名引导员来组织、推进整个评估活动，并设置一名小组长负责小组评估结果、一名联络员负责资料整理。

2.评估活动前，所有参与者均需填写一份风险调查评估表，列示在所从事工作范围内，自认为重大的风险事项，并从风险发生的概率和严重程度两方面进行初步评估。小组联络员汇总整理所有小组成员的风险调查评估表，由小组长从中选择出3项比较重大的风险。

（二）专题研讨阶段

1.各小组以组为单位分别进行专题研讨。小组引导员引导小组成员对小组长选出的3项风险进行释义，并进行简单的现状分析。随后小组成员再次从风险重要性、影响程度两方面对3项风险进行打分，根据打分结果选择出最重大的风险开展专题研讨。

2.针对列出的风险事项，小组讨论分析导致其发生的各类诱因，利用鱼骨图这一方式筛选出主要原因;针对主要原因，提出事前的预防措施和事后的解决措施，并列出各项措施的责任方，形成行动方案。

3.小组联络员整理小组讨论结果，经小组长审核后形成小组风险评估结论。

（三）事后落实阶段

1.评估活动组织者汇总整理所有小组的评估结论，利用专业判断形成公司重要风险事项清单;根据风险事项发生的业务领域，分别分发至各业务部门或单位，由其制定具体的风险控制目标和计划，予以落实。

2.风险管理部门每半年组织对风险管理情况进行评估，检查相关措施的执行结果是否达到了预定的目标，寻找未有效控制或新产生的风险，进入新的一轮PDCA循环。由此不断循环上升，形成管理提升的长效机制。

三、CSA实践运用中的不足与差距

笔者所在企业集团本次风险评估尝试与真正CSA相比，还存在以下差距：

1.小组引导员缺乏风险管理和内部审计专业知识。在小组研讨过程中，引导员只起到会议组织推进的作用;引导员没有参与讨论，未起到有效帮助小组成员进一步理解风险管理方式及内容的作用;在讨论出现方向性错误的时候，不能及时纠正。

2.对于小组组长在研讨会中的职责过于强调。在小组讨论出现分歧或不一致情况时，小组组长具有最终决定权，这使小组组长在研讨过程中与其他小组成员不是处于平等的地位，小组成员会碍于级别差异，而不能畅所欲言，导致讨论过程中难免发生以小组长的意见为意见的局面，影响讨论的充分性、公平性，。

3.小组的划分方法过于强调专业化。按照业务领域分组，不利于对风险成因的深入分析，研讨内容容易片面，形成的控制措施难免存在主观臆断的情况，甚至出现不同小组对于同一风险产生不同评估结论的情况。

4.评估活动的参与者为企业中高层管理人员，基层员工即业务真正的操作者、风险控制的实施者没有参与。

四、CSA为企业带来的益处

通过这次尝试，笔者从中也体会到了CSA方法较传统审计方法的优势：

（一）有利于责任进一步明确和落实。通过评估，管理层更加了解风险与控制对于企业经营的重要性;业务部门更加明确，其才是风险与控制的责任部门，是风险防范和实施控制的责任主体;员工更加理解风险管理和内部控制工作的意义和内容，帮助员工进一步掌握其作为程序及流程的执行者应掌握的技能，促进员工进一步落实岗位责任，真正实现企业经营管理整体责任的分解和落实。

（二）有助于各管理层级间的沟通。CSA主要采用的工作方式之一是专题研讨会，参加专题讨论会的人员可以跨地区、跨部门、跨各个管理层级，有时还会邀请业务领域的专家参与。多方的参与有助于问题的直接沟通，避免了信息层层传递导致的时间上的浪费和内容上的纰漏;更有助于找出问题的根源，找到有效的措施，提高了解决问题的效率和效果。

（三）促进评估结果更有针对性。因参与专题讨论会的是具体业务的实施者，他们更清楚工作内容和工作流程、更能识别出目前控制中的薄弱环节。通过CSA方法可以更快更精准的找到高风险领域，提出更有针对性的控制措施。

此外，CSA还带来了提升内部审计监督能力的附加效果：

一是提升了对于企业软控制的测试能力。目前企业的内部控制自评，基本着重于两方面硬性控制（或称刚性控制），一是是否存在设计缺陷（即缺少为实现控制目标所必需的控制，或现有的控制设计不适当），二是是否存在运行缺陷（即现有的控制没有按设计意图运行，或执行者没有有效地实施控制），评估过程均可以找到佐证材料（例如制度文件、审批表单等等）。但对于员工在内部控制的认知和了解、员工对于执行控制的意愿等软性控制的能力较弱。CSA提供了一个有效的方法来测试这类软性控制。

二是帮助内部审计部门角色转变。通过CSA，促使内部审计人员从对立于被审计方的检查者角色，转变为深入业务活动、帮助业务人员提升管理能力、寻找问题解决办法的伙伴角色。

三是有利于发现高风险领域，更有效使用审计资源。通过CSA方法，识别出了企业业务活动中的高风险领域、流程和控制点;为后续内部审计工作提供了线索，有利于将有限的审计资源集中到高风险领域、流程和控制点上，使审计工作更有的放矢。

五、运用CSA方法的前提条件和要求

（一）对企业内部控制环境的要求。一个开放、民主、互相信任、互相尊重的企业文化是CSA有效开展的基础。员工敢于说出自己的想法，员工与管理层之间能够开诚布公，管理层对于员工充分信任，并且鼓励并重视员工提出观点和建议。在此类民主化的環境下，员工才会在专题研讨会、问卷调查等类似活动中提出自己真正的想法，CSA才能得出真实的结论。

（二）CSA方法要求管理层、员工与内审人员之间有较好的合作和互动。

一是需要管理层与内部审计之间的合作，一方面，CSA方法需要一些额外的资源，这需要管理层的支持;另一方面，只有管理层予以足够支持和重视，员工才会重视，才会投入时间和精力保证工作的正常推进。

二是需要内部审计与员工之间的合作，员工需要了解其才是风险防范和实施控制的主体，需要对自己的工作进行自我评估，内审人员担任的只是评估工作的推动者的角色。员工只有理解了其关于内部控制的主体责任，才能真正确保CSA方法的有效开展。

三是需要内部审计与专业领域专家之间的合作，内审人员有时需要请某些领域的专家（例如财务管理、人力资源、供应链管理等）加入内部评估的工作团队，提供专业方面的支持，协助工作团队完成CSA工作目标。通过双方良好的配合，内审人员可以借此提高审计业务能力，业务领域专家可以借此更深入了解业务工作实际，提升业务管理水平。

（三）CSA要达到预期效果需要做好充分计划。在专题研讨会召开前，评估组织者需要确定评估活动参与者、采用哪种CSA技术方法;需要确定会议场地、会议设备物资等一系列组织工作，此外还要对整个工作所需投入的资源，如时间、人力等进行合理预计，同时充分考虑成本效益的原则。

（四）CSA方法还要求内审人员具备一定的资质、专业胜任能力;具备一定的适应能力、应变能力。内审人员除了需要掌握基本的审计方法、内部控制评估方法等技术手段外，对于企业经营管理、风险管理、以及所参与研讨的专业领域知识均需要一定的认知，同时作为专题研讨会的推动者，还需要具备组织能力、语言表达能力、临场应变能力等一系列综合素质。

综上所述，CSA方法要在国内企业中推广应用，还需要企业管理层、员工和内审人员各自不断地努力。需要企业管理层管理理念的转变，需要员工充分的理解和积极的投入，需要内审人员自我综合能力的不断提升。与国际一流企业相比，国内企业内部控制的自我评估还处于初级阶段，只有引进先进的手段和方法，才能早日与国际接轨，迈出国门，走向世界。（作者单位：中国商用飞机有限责任公司）