内部审计与企业风险管理

摘要：近年来，企业风险管理已成为内部审计的重要领域。本文在阐述了风险、风险管理涵义的基础上，对内部审计参与风险管理的动因、内部审计如何参与风险管理进行了论述，并就金川集团有限公司内部审计在企业风险管理中发挥的积极作用和大家一起探讨。
　　
没有任何企业愿意遭遇风险，犹如没有人愿意得病那样，然而在经济管理领域，风险不仅种类繁多，而且无所不在。也许唯一能让企业游走于危机边缘的因应之道就是风险管理。近年来，有些内部审计组织开始介入风险管理，并将其作为内部审计的重要领域，这一做法得到了国际内部审计职业界的普遍认可，以至于国际内部审计师协会在1999年通过的内部审计的最新定义把评价和改善组织的风险管理和控制的有效性作为内部审计的主要内容。
　　一、风险与风险管理
风险是在一定环境和限期内客观存在的，导致费用、损失与损害产生的，可以认识与控制的不确定性。它具有客观性、普遍性、必然性、可识别性、可控性等特点。
风险管理作为一种特殊的管理功能，它是为人类追求安全和幸福的目标，结合前人的经验和近代的科学成就而发展起来的一门新的管理科学。对什么是风险管理，一些学者提出了自己的看法，美国学者克里斯蒂（JamesC.Cristy）认为风险管理是企业或组织为控制偶然损失的风险，以保全所得能力和资产所做的一切努力；另一位美国学者汉斯（Richard M.Heins）认为风险管理是通过对风险的鉴定、衡量和控制，以最低的成本使风险所造成的损失控制在最低程度的管理方法；我国学者陈佳贯认为，风险管理是企业通过对潜在意外或损失的识别、衡量和分析，并在此基础上进行有效的控制，用最经济合理的方法处理风险，以实现最大的安全保障的科学管理方法。根据以上风险管理的定义，我们可以得出以下几点认识：
（1）风险管理是一个系统过程，包括风险的识别、衡量和控制等环节；
（2）风险管理的目标在于控制和减少损失，提高有关单位或个人的经济利益或社会效果；
（3）风险管理是一种管理方法。
随着对风险管理意识的增强，各界对于企业内部控制与风险管理的联系也展开积极讨论。美国COSO委员会1992年发布《内部控制框架》已经被世界上许多企业所采用，新的企业风险管理框架是在《内部控制框架》报告的基础上，结合《萨班斯一奥克斯法案》在报告方面的要求，进行扩展研究得到的。但由于风险是一个比内部控制更为广泛的概念，因此，新框架中的许多讨论比1992年报告的讨论要更为全面、更为深刻。此外，COSO在其风险管理框架讨论稿中也说明，风险管理框架建立在内部控制框架的基础上，内部控制则是企业风险管理必不可少的一部分。风险管理框架的范围比内部控制框架的范围更为广泛，是对内部控制框架的扩展，是一个主要针对风险的更为明确的概念。
    企业风险管理分为内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息和沟通、监控等八个相互关联的要素，各要素贯穿在企业的管理过程之中。其中的“目标制定”、“事项识别”和“风险反应”三个风险管理要素是企业风险管理框架新增的。此外，针对企业将管理的重心移至风险管理，风险管理框架更加深入地阐述了其他要素的内涵，并扩大了相关要素的范围。新的框架强调在整个企业范围内识别和管理风险的重要性，强调企业的风险管理应针对企业目标的实现在企业战略制定阶段就予以考虑，而企业在对其下属部门进行风险管理时，应对风险进行加总，从组织的顶端、以一种全局的风险组合观来看待风险。此外，根据风险管理的需要，对企业目标进行重新的分类，明确战略目标在风险管理中的地位。
二、内部审计参与风险管理的动因
内部审计是企业内部一种独立客观的监督和评价活动，是现代企业风险管理的重要组成部分。它通过审查与评价企业本身及所属单位财务收支、经济活动的真实性、合法性及有效性，促进企业加强业务管理，实现经济目标。
　　内部审计之所以涉足风险管理领域，主要有以下几个原因：
　　1、企业面临的风险日益增大
　　近年来，随着社会经济的发展，特别是经济全球化及国际化程度的加深，使企业经营环境变得日趋复杂，企业经营风险也大大增加。知识经济的到来，更使企业的风险雪上加霜。因此，减少企业面临的风险是组织实现目标的关键，也是企业的管理人员十分关心的问题。内部审计的目的在于增加组织的价值和改善组织的经营，内部审计人员是企业的管理咨询师，因此，内部审计部门和内部审计人员参与企业的风险管理也就顺理成章了。
　　2、内部审计对发展的渴求
　　内部审计部门为了不断地发展，为了在企业中担当更重要的角色和发挥更重要的作用，总是不断寻找新的对企业又十分重要的领域，企业经理人员对风险的空前重视，为内部审计发展提供了一个绝好的机会。内部审计对风险管理的介入，将会使内部审计在企业中成为一个重要的角色，并将其在企业中的作用推向一个新水平。正因如此，内部审计师的职业组织——国际内部审计师协会才不遗余力地倡导内部审计师进军这一领域，把风险管理作为内部审计的重要领域直接写入了内部审计的定义。
3、内部审计能够在风险管理中发挥独特的作用
内部审计在风险管理中的独特作用有三个方面：
（1）能够客观地、从全局的角度管理风险
　　风险在企业内部具有感染性、传递性、不对称性等特征，即一个部门造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而是会传递到其他部门，最终可能使整个企业陷入困境。正因为如此，有些部门可能会出现过渡道德风险，因为风险不是由你们来承担（至少不是单独承担），如，采购部门为节约采购成本，就会忽视对材料规格、型号、质量方面的检查，或者有意购买残次品，这种暗藏的风险会在生产车间或销售部门反映出来，最终给企业造成巨大损失。因此对风险的认识和防范、控制需要从全局考虑，而各业务部门又很难做到这一点。
内部审计部门不从事具体业务活动，独立于业务管理部门，这使得它们可以从全局出发、从客观的角度对风险进行识别，及时建议管理部门采取措施控制风险。
　　（2）控制、指导企业的风险策略
　　由于内部审计部门处于企业的董事会、总经理和各职能部门之间的位置，内部审计人员能够充当企业长期风险策略与各种决策的协调人。通过对长期计划与短期实现的调节，内部审计人员可以调控、指导企业的风险管理策略。
　　（3）内部审计部门的建议更易引起重视
　　有些企业尽管也有风险管理部门，但它属于管理部门的一个职能部门，向总经理报告，不具有独立性，其意见有时会屈服于管理当局的压力。如风险管理部门对某投资项目分析后发现风险太大不适合投资，而总经理好大喜功，他会力促项目的实施。这使得风险管理部门的作用受到限制。内部审计部门独立于管理部门，其风险评估的意见可以直接报给董事会，这会加强管理当局对内部审计部门意见的重视程度。
　　4、外部审计的影响
　　近年来，注册会计师的业务领域不断扩展，在其所扩展的新的保证服务业务中就包括了风险评估，且是主要业务之一。这不能不对内部审计界产生影响，因为，内部审计部门和内部审计人员在风险管理方面拥有注册会计师无可比拟的优势，比如：内部审计部门和内部审计人员对企业面临的风险更了解；内部审计部门和内部审计人员对防范企业风险、实现企业目标有着更强烈的责任感。既然外部审计可以从事此项业务，内部审计就更可以从事这一工作。
　　三、内部审计如何参与风险管理
　　与一般的风险管理部门进行的风险管理相比，内部审计部门所进行的风险管理既与其有紧密的联系，又有区别。他们的联系表现在，两者的目的是统一的，都是为了降低企业的风险；两者的区别在于他们在风险管理中的角色不同。正是上述的联系和区别，导致了内部审计部门进行的风险管理过程与一般风险管理过程具有相同点和不同点。
　　内部审计部门所进行的风险管理是在一般部门所进行的风险管理基础上的再监督，其风险管理过程应包括三个方面： 
　　（一）评估风险识别的充分性
　　所谓风险识别是指对企业所面临的、以及潜在的风险加以判断、归类和鉴定风险性质的过程，换言之，就是要确定企业正在或将要面临哪些风险。内部审计部门和人员要对原有的已识别风险是否充分进行评价，即企业所面临的主要风险是否均已被识别出来，并找出未被识别的主要风险。采用的方法包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。
　　（二）评价已有风险衡量的恰当性
　　风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，最终定量估计风险大小，找出主要的风险源，并评价风险的可能影响，以便以此为依据，对风险采取相应对策。内部审计部门和人员要对已有的风险的衡量结果进行再检验，以确定其是否恰当，对不恰当的估计予以更正。采用的方法主要有：调查和专家打分法、风险报酬法（又称调整标准贴现率法）、风险当量法、解析方法、蒙特卡罗模拟方法等。
　　（三）评估风险防范措施的充分性，并提出改进措施
　　风险的防范措施是指为降低已识别出并已衡量的风险所采取的措施，也称风险管理工具的选择。内部审计部门和内部审计人员对有关部门针对风险所采取的防范措施进行检查，检查其是否充分、得当。对于风险缺乏充分的控制措施的情况，内部审计部门和内部审计人员应提出改进措施和建议，以强化企业的风险管理，降低风险损失。采用的方法有：避免风险、损失控制、分离风险单位、非保险方式的转移风险（包括转移风险源、签订免除责任协议、利用合同中的转移责任条款）、保险等。
综上所述，内部审计涉足风险管理领域有其客观必然性，是环境因素和其本身因素使然。在风险管理中，内部审计部门主要是对风险管理部门和其他相关部门所进行的风险管理的再监督。但这绝不意味着内部审计部门不能作为直接的风险管理人，在必要的情况下，它可以直接进行风险管理。
四、金川集团有限公司内部审计在风险管理中的积极作用
金川集团有限公司作为国有大中型企业，近年来企业发展速度很快，成为中国有色行业的排头兵。企业非常重视内部风险控制，设立了独立的内部审计机构，并且在董事会下设立了审计委员会。
2005年金川集团公司内部审计工作以集团公司六届三次职代会提出的“合规检查、效率（效益）评价、督促整改”为重点，紧紧围绕公司生产经营目标和改革发展战略，创新思路，转变观念，改进审计模式，拓宽审计领域，扩大审计覆盖面，加大审计监督力度。同时以开展“保持共产党员先进性教育”和“制度•效率管理年”活动为契机，不断改进工作作风和工作方法，逐步提高审计的深度、层次、质量和水平，在做好经营管理审计、离任经济责任审计等的基础上，加大了风险监控、重点工程、专项调查等的审计力度，将审计范围进一步拓展和延伸到公司生产经营管理的方方面面，积极有效地发挥了内部审计监督、评价和服务的职能作用。
内部审计在风险管理中的积极作用主要表现为：加大对公司各单位遵守国家法律法规和公司规章制度的合规检查，防范和化解经营管理风险。
2006年内部审计工作仍将紧密围绕集团公司“十一五”发展规划的目标和重点，结合“节能降耗管理年”和“学先进、找差距、加快公司全面进步”活动，以“风险监控、工程核审、物资采购、后续跟踪”为重点，把对重大经济行为的“合规监督、风险防范”作为一项重要的审计任务，在做好传统审计项目的同时，积极探索风险审计、工程跟踪审计、投资效益审计的新路子，加强专项审计调查，继续扩大审计覆盖面，突出审计重点，提高审计质量，促进集团公司生产经营和改革管理快速协调的发展。
（一）按照现代企业风险管理的要求，加大对高风险领域的监控力度，切实防范和化解经营风险
1、加大对期货交易的监控力度。期货作为一种独特的交易方式，风险的存在具有客观性和放大性。合规的套期保值是转移、分散和规避风险的有力工具，但违规的套期保值同投机一样，蕴涵着巨大的风险性。所以，公司期货监控的目标就是督促期货管理和操作人员执行公司《期货交易管理制度》，防止交易人员越权操作、违规操作。
2、加大对外埠控股子公司的监督力度。外埠子公司远离本部，有独立的资金调动权和成本费用开支权，相对于集团本部的子公司和分公司来说，是风险较高的单位，以往的审计实践也证明了这一点。通过审计以监督检查上述单位自上次审计以来，资产、负债和所有者权益的真实性，内控制度的建立、健全及有效性，财务管理和会计核算的合法、合规性，促进子公司改进、完善和加强管理。
3、加大对外购原料、材料、备品、备件采购的监督力度。随着集团公司生产规模的扩大，外购物资项目在公司成本和资金流中的比重大幅度提高，对公司经营成果具有重大的影响。2006年将其作为审计监督检查的重点之一
（二）高度重视重点工程项目的审计监督，实行重大项目的审计早期介入，把好项目开工关，防范和降低过程风险
1、为适应公司做大、做强、快速发展的战略，重点工程仍是2006年公司的重点工作，也是公司审计重点监督的内容。
2、在对完工项目进行竣工审计的同时，实行重大项目的审计早期介入，对公司确定的重点工程项目，审计要在项目论证时即进入，审查项目前期的合法性、合规性，把好项目的立项关和开工关，变事后监督为事前和事中的监督，防范和降低建设过程中的风险。
 
结束语：内部审计介入风险管理是一个崭新的事物，金川集团有限公司内部审计工作对内部审计在企业风险管理中的作用进行了初步尝试，并取得了一定的效果，但是内部审计如何在风险管理中发挥作用仍然是一个需要进一步深入探讨的课题。