内部审计应如何参与企业全面风险管理

李彦春 张媛媛

1.内部审计应参与推动企业全面风险管理体系的建设

内部审计师在考虑风险、了解风险并加以治理方面的专长，意味着内部审计有能力作为企业全面风险管理体系的推动者。具体而言，内部审计可以承担的工作包括：将内部审计分析风险和控制所用的工具与技术提供给管理层；充分发挥自身在风险管理和控制方面的专业知识，指导组织风险和控制框架的建立；协助管理者确定降低风险的最佳方式。

结合具体实践，内部审计在推动全面风险管理体系建设方面能进行的工作主要包括：制定中长期工作规划；进行风险评估和诊断，通过风险辨识、风险分析和风险评价，提出企业面临的重大风险；建立风险管理体系，明确风险管理组织机构、工作流程、风险管理考核机制等。

2.内部审计应对风险管理活动进行定期审计

内部审计是一种独立客观的确认活动，其与企业全面风险管理相关的核心功能是为董事会提供关于风险管理效果的客观确认。在参与风险管理审计时，内部审计应主要以下问题：评估并认定单位的严重风险；认定单位的风险管理是否着眼于主要目标；认定风险管理措施是否符合单位的文化、管理风格和工作目标；如果管理当局未对某些重要风险采取管理措施，应提请注意并提出管理建议。

结合具体实践，内部审计的风险管理审计工作主要体现在以下三个方面：（1）评估风险识别的充分性。所谓风险识别是指对企业所面临的以及潜在的风险加以判断、归类和鉴定风险性质的过程，换言之，就是要确定企业正在或将要面临哪些风险。内部审计部门应对原有的已识别风险是否充分进行评价，即企业所面临的主要风险是否均已被识别出来，并找出未被识别的主要风险。采用的方法一般包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。（2）评价已有风险衡量的恰当性。风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，最终定量估计风险大小，找出主要的风险源，并以此为依据，对风险采取相应对策。内部审计应对已有的风险衡量结果进行再检验，以确定其是否恰当，对不恰当的估计应予以更正。采用的方法一般有：调查和专家打分法、风险报酬法（又称调整标准贴现率法）、风险当量法、解析方法、蒙特卡罗模拟方法等。（3）评估风险防范措施的充分性，并提出改进措施。对有关部门针对风险所采取的防范措施，内部审计应就其充分性和得当性进行检查。若出现风险缺乏充分控制措施的情况，内部审计人员应提出改进措施和建议，以强化企业的风险管理，降低风险损失。采用的方法一般有：避免风险、损失控制、分离风险单位、非保险方式的转移风险（包括转移风险源、签订免除责任协议、利用合同中的转移责任条款）、保险等。

3.将风险管理的理念融入到传统审计项目中

近年来，企业经营规模越来越大，业务越来越复杂，面临的风险越来越多，这就要求内部审计必须从单纯的财务收支审计向财务收支审计和管理审计并重转型，将风险管理理念融入到传统审计项目中，及时识别、评估风险，提出防范和控制风险的建议，增强企业免疫力。

在审计实践中，内部审计应积极推行基于风险评估的年度审计计划，并在常规审计过程中提升风险的识别、分析、评估技术方法和手段，将风险管理的理念融入到传统审计项目中。一方面，在审计实践中，应根据风险因素的特征、性质、程度确定审计对象，合理配置审计资源，并将审计资源集中在重要性风险的测评和审核上。另一方面，在传统审计项目中，应加大对风险的识别和关注，并参与内控评审。例如任期经济责任审计项目中，要重点关注公司战略风险、市场风险、财务风险、运营风险及法律风险等风险领域；在工程项目审计项目中，应重点关注工程项目的合同风险、市场风险、财务风险和工程招投标风险等风险领域。内部审计可以充分借鉴全面风险管理工作成果，以公司风险识别和评估为基础，确定审计项目的审计重点。

来源：《财务与会计》2011年第6期

责任编辑：奇奇