浅谈内部审计在企业风险管理中的作用

江文

摘要：国际内部审计师协会对内部审计作了新的定义：“内部审计是一种独立的、客观的确认与咨询活动，它的目的是为机构增加价值并提高机构的运作效率。它采取系统化、规范化的方法来对风险管理、控制及治理程序进行评价，提高它们的效率，从而帮助实现机构目标。” 该定义表明了内部审计在企业风险管理中应该需要发挥哪些作用和如何发挥的作用。文章就内部审计在企业风险管理中应该发挥的作用进行了简要分析。

关键词：内部审计；风险管理；作用

每个企业在经营发展过程中均会发生各种各样的风险，如何减少和降低风险及风险带来的后果是企业经营管理者必须考虑的问题。内部审计的定义明确了内部审计在风险管理中的应该发挥的作用和如何发挥作用。应该发挥的作用：提高企业的效率，从而帮助企业实现目标。如何发挥作用：内部审计要采取系统化、规范化的方法来对企业的风险管理、控制及治理程序进行评价，

一、企业风险管理

风险是指未来事项发生的不确定性，包含两个方面的内容：一是未来事项发生与否不确定，二是事项发生后的结果如何不确定。在企业的每一个环节、每一个阶段、每一个领域均有可能发生，他具有普遍性、随机性、突发性、多变性和可控性等特点。

企业风险管理是指企业在充分认识本单位面临的风险的基础上，采取的各种科学有效的方式方法和手段，对各种风险进行识别、衡量、评价、控制和治理。COSO风险管理框架将风险管理的要素分为八个：内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息和沟通、监控。由此可见，企业风险管理贯穿于企业经营管理全过程，贯穿于企业各个部门和每个员工。

二、内部审计与企业风险管理的关系

内部审计与企业风险管理之间的关系是辩证统一的。内部审计机构是企业的一个内部管理部门，是企业风险管理体系的一个重要组成部分，而企业风险管理是内部审计工作的一项重要内容。内部审计是风险管理的有效工具，属于企业风险管理的第三道防线。内部审计参与企业管理的全过程，应更加关注企业的风险管理体系和效益。

1. 内部审计是企业风险管理体系的重要组成部分

内部审计为企业的经营管理活动提供独立客观的确认和咨询服务，是企业内部控制与监督的关键环节，是企业风险管理体系的一个重要组成部分，贯穿于企业生产经营管理的全过程。但由于内部审计部门的相对独立性，可以站在独立的立场去对待和客观公正的评价企业生产经营过程中的风险管理。

2. 风险管理是内部审计工作的重要内容

随着内部审计工作业务的开展，企业的风险管理已经成为内部审计工作的重要内容。在开展内部审计时，需要对企业管理层的决策进行分析评价，需要对企业经营管理过程中产生的风险进行揭示，需要对企业某个事项的风险后果进行预测。

3. 内部审计是风险管理的有效工具

企业风险管理是企业管理层的职责所在，管理层应该确保企业具备风险管理能力，能够对风险进行分析、控制和治理。由于内部审计在企业内部的相对独立性，内部审计可以采取系统化、科学化、程序化、规范化的手段和方法，对企业的风险管理体系是否建立健全，风险控制措施是否有效恰当，风险治理是否有效等进行评价和测量。

三、内部审计在风险防范中的作用

根据COSO风险管理框架，将组织风险管理的要素分为八个：分别是内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息和沟通、监控。下面对内部审计在这个八个要素中的作用进行逐一浅析。

1. 内部环境，是组织内部物质、文化、制度建设和控制措施的总称，是企业生产经营管理的基础，内部环境影响企业战略目标的制定，影响企业战略方案的制定，影响企业业务活动的组织和开展，影响企业风险的识别、评估和控制。

内部审计首先需要评价企业的固有风险和剩余风险（控制后的风险），需要了解企业内部环境情况。内部审计还需要分析内部环境因素的变化，内部环境因素的变化会导致风险的变化，内部审计就要关注企业是否根据风险的变化采取了合适的应对方法。比如企业为了降低生产成本和内部管理风险，将某项业务进行外包，但企业会面临着外包单位能否完成外包业务的风险。内部审计就需要对风险变化情況进行分析，并考虑企业是否采取了恰当的风险防范措施。

2. 目标制定是指企业根据企业的内部环境和企业确定的想要达到的预期，企业管理者确定企业的战略目标，并制定为了实现战略目标的战略方案。企业将战略目标分解为若干个子目标，各子目标应该为实现企业的战略目标服务，并要与战略方案相一致。

首先，内部审计需要客观评价企业战略目标以及相关子目标设定的合理性，是否符合企业确定的想要达到的预期，各子目标是否与战略目标相一致，是否有利于战略目标的实现；其次，内部审计需要评价企业制定的战略方案的合理性和合法性，战略方案是否有利于战略目标的实现；最后，内部审计需要对目标实现情况进行跟踪评估，评价企业是否实现了目标，在目标未实现时，是否及时采取了改进措施或对不合理的目标进行修订。

3. 事项识别是指企业管理者意识到了企业生产经营管理风险的存在，但管理者不能确切地知道风险是否会发生、何时发生和其结果如何。在这个时候，企业管理者应考虑会影响风险发生的各种内外部的事项，不论大小均要进行识别。

内部审计可以采用通用的风险分析方法包括COSO提供的分析方法来识别企业的风险事项，包括内部风险和外部风险；并对识别的风险进行分类别分层级。内部审计通过分析判断企业管理层是否完全识别了所有风险，是否对识别的风险进行分类别分层级的进行管理，如果没有，内部审计人员应该提醒管理层对未识别的风险采取一定的措施加以控制。

4. 风险评估是指企业管理层了解潜在事项如何影响企业目标的实现和影响的大小。企业管理者应该从风险发生的可能性和影响两个方面对风险进行定性分析和定量分析。

风险分析是一件复杂困难的工作，在很多情况下需要管理层进行主观判断不同结果发生的可能性和影响。不同的学历、知识结构、背景、职位以及工作经验，对同一个风险发生的可能性和影响的判断均会不同，会有个人的偏见和喜好。内部审计机构作为一个相对客观独立的部门，可以采取风险分析方法从客观独立的角度分析和评价风险，向企业的管理层提供专业意见。

5. 风险反应是指企业管理者对待风险的容忍度，根据不同的风险容忍度制定不同风险反应方案。有效的风险管理要求企业管理者选择一个可以使企业风险发生的可能性和影响都落在风险容忍度范围之内的风险反应方案。通俗地讲，就是企业在面对不同的风险时，决定要采取策略和方法，是避免风险接受风险还是降低风险。

内部审计人员在进行风险反应评价时需要结合企业管理层的风险偏好来进行，分析评价风险回报的合理性；分析评价风险减少措施的有效性；分析评价风险反应方案的恰当性。在评价避免风险时，需要评价避免这个风险是否会产生新的风险，避免风险的措施是否恰当，避免风险的成本是否最经济。评价接受风险时，需要评价接受风险的措施是否恰当，评价风险的结果企业能否承受。评价降低风险时，内部审计人员需要对内部控制制度的健全性、执行的有效性进行测试和评价。

6. 控制活动是指企业为了实现企业战略目标和保证风险反应方案得到贯彻落实所采取的措施。控制活动贯穿于企业生产经营管理的全过程，存在于企业的各个层面和各个部门。所以控制活动是企业实现其价值和战略目标的过程的一部分。

内部审计需要分析评价控制活动，这项工作是内部审计工作的重要环节，控制活动评价具体包括分析评价是否建立健全内部控制措施、分析评价内部控制措施是否得到有效实施、分析评价内部控制措施是否与企业环境以及生产经营管理相匹配、分析评价内部控制措施是否有效、风险评价内部控制措施是否合理合法等方面。

7. 信息和沟通通俗地讲是企业及时准确地收集与企业相关的各种信息，并在企业内外部进行有效沟通。信息和沟通是实施内部控制的重要条件。收集到的各种信息必须以一定的格式和时间间隔进行确认和传递。

审计报告是内部审计工作的成果表达的一种方式，是内部审计机构和企业管理层进行沟通的桥梁和纽带。内部审计可以通过审计报告或审计意见书的形式，向企业管理层传达风险是否得到有效管理控制，并将分析结果和建议提供给管理层以便改进。内部审计机构的设立也向外部利益相关者提供了企业进行规范管理和有效风险管理的保证。

8. 监控是企业管理者对企业风险管理的监控，通过风险监控可以发现企业在生产经营管理过程中是否发生新的风险因素，这些因素是否会对企业战略目标的实现产生影响。企业管理者可以通过两种方式对风险管理进行监控——持续监控和个别评估。持续监控是指企业管理者需要持续的关注企业的风险管理是否发生变化进行评估。个别评估是指企业管理者针对特殊时期的特殊事项进行评估。

内部审计需要经常性的检查分析企业的内外部环境和风险的变化，对内外部环境和风险变化进行监控；内部审计需要时刻监控企业战略目标和子目标的实现达成情况，在过程中是否会发生影响企业战略目标和子目标实现的因素；内部审计需要监控企业的风险反应是否恰当，是否在风险容忍度范围之内，是否会影响企业战略目标的达成；内部审计需要监控风险应对方案和风险控制措施是否恰当；内部审计需要监控内部控制部门是否对新产生的风险进行管控。

随着当今世界经济发展的瞬息万变，各种不确定因素越来越多，企业面临的风险环境越来越复杂，企业的风险管理也就越来越重要。内部审计作为风险管理的重要组成部分，在企业风险管理中发挥的作用也将会越来越大，内部审计人员应该充分运用风险管理知识，采取系统化、规范化的手段和方法，从独立客观的角度为企业管理层提供有质量的确认和咨询服务，提高企业风险管理水平。

参考文献：

[1]方红星.企业风险管理——整合框架[M].东北财经大学出版社，2005.

[2]李定安，易沙.淺谈内部审计风险及其防范机制[J].新会计，2003（02）.

[3]冷琳.浅析内部审计在风险管理中的作用[J].经营管理者，2014（27）.

[4]中国内部审计协.国际内部审计专业实务框架[M].西苑出版社，2013.

[5]中国内部审计协会.中国内部审计准则[M].中国时代经济出版社，2005.

（作者单位：安徽省烟草公司安庆市公司）