内部审计与风险管理
内部审计与风险管理
多年来,人们在风险管理实践中逐渐认识到,一个企业内部不同部门或不同业务的风险,有的相互叠加放大,有的相互抵消减少。因此,企业不能仅仅从某项业务、某个部门的角度考虑风险,必须根据风险组合的观点,从贯穿整个企业的角度看风险。即要实行全面风险管理。然而,尽管很多企业意识到全面风险管理,但是对全面风险管理有清晰理解的却不多,已经实施了全面风险管理的企业则更少。为了改变这种状况,从2001年起开始进行这方面的研究,于2003年7月完成了《全面风险管理框架》,并公开向业界征求意见。根据《全面风险管理框架》,“全面风险管理是一个过程。这个过程受董事会、管理层和其他人员的影响。这个过程从企业战略制定一直贯穿到企业的各项活动中,用于识别那些可能影响企业的潜在事件并管理风险,使之在企业的风险偏好之内,从而合理确保企业取得既定的目标。”
《全面风险管理框架》有三个维度,第一维是企业的目标;第二维是全面风险管理要素;第三维是企业的各个层级。第一维企业的目标有四个,即战略目标、经营目标、报告目标和合规目标。第二维全面风险管理要素有八个,即内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控。第三个维度是企业的层级,包括整个企业、各职能部门、各条业务线及下属各子公司。
《全面风险管理框架》三个维度的关系是,全面风险管理的八个要素都是为企业的四个目标服务的;企业各个层级都要坚持同样的四个目标;每个层次都必须从以上八个方面进行风险管理。该框架适合各种类型的企业或机构的风险管理。从此框架和内部控制框架可以看出,全面风险管理与内部控制既相互联系又有重要差异。
从二者的框架结构看,全面风险管理除包括内部控制的三个目标之外,还增加了战略目标;全面风险管理的八个要素除了包括内部控制的全部五个要素之外,还增加了目标设定,事件识别和风险对策三个要素。因此,全面风险管理涵盖了内部控制。
从二者的实质内容看,两者存在以下几项重要差异。一是内部控制仅是管理的一项职能,而全面风险管理属于风险范畴,贯穿于管理过程的各个方面。二是在全面风险管理框架中,由于把风险明确定义为“对企业的目标产生负面影响的事件发生的可能性”(将产生正面影响的事件视为机会),因此,该框架可以涵盖信用风险、市场风险、操作风险、战略风险、声誉风险及业务风险等各种风险;内部控制框架没有区分风险和机会。三是由于全面风险管理框架引入了风险偏好、风险容忍度、风险对策、压力测试、情景分析等概念和方法,因此,该框架在风险度量的基础上,有利于企业的发展战略与风险偏好相一致,增长、风险与回报相联系,进行经济资本分配及利用风险信息支持业务前台决策流程等,从而帮助董事会和高级管理层实现全面风险管理的四项目标。这些内容都是内部控制框架中没有的,也是其所不能做到的。
审计风险已成为国家审计机关,社会审计组织和内部审计机构及广大审计人员需要重视并加以研究的问题。现代审计是建立在对内部控制制度评审的基础上,运用抽样审计的理论和方法来解决大量的审计实务问题。
一、风险及风险管理
(一)风险:风险因素、风险事故和损失
风险是在一定环境和限期内客观存在的,导致费用、损失与损害产生的,可以认识与控制的不确定性。它具有客观性、普遍性、必然性、可识别性、可控性等特点。在风险的形成过程中,要涉及到风险因素、风险事故和损失三个方面。
风险因素,是指能够引起或增加风险事件发生机会或影响损失的严重程度的因素。风险因素可分成三类:
1、物理因素,是指增加风险发生机会或损失严重程度的直接条件;
2、道德因素,是指由于个人不诚实或不良企图,故意使风险事件发生或扩大已发生风险事件的损失程度的因素;
3、心理因素,是指由于人们主观上的疏忽或过失而导致增加风险事件的机会或扩大了损失严重程度的因素。
风险事故,是指在风险管理中直接或间接造成损失的事故,因此可以说它是损失的媒介物。
损失,是指非故意的、非计划的和非预期的经济价值的减少,通常以货币单位来衡量。损失分为直接损失和间接损失两种。直接损失是实质性的损失,间接损失则包括额外费用损失、收入损失和责任损失三种。
1、额外费用损失措必须修理或重置而支出的费用;
2、收入损失指由于该企业设备损毁以至无法生产成品而减少的利润;
3、责任损失指由于过失或故意致使他人遭受体伤或财产的侵权行为而依法应当担负的赔偿责任。
对于风险因素、风险事故和损失之间的关系,有两种解释理论:一是亨利希的骨牌理论;二是哈同的能量释放论。他们都认为风险因素引发风险事故,而风险事故导致损失,但侧重点不同。前者强调三张骨牌之所以相继倾倒是由于人的错误所致。后者则认为之所以造成损失是由于事物所承受的能量超过其所能容纳的能量所致,物理因素起主要作用。
(二)风险管理
风险管理作为一种特殊的管理功能,它是为人类追求安全和幸福的目标,结合前人的经验和近代的科学成就而发展起来的一门新的管理科学。对什么是风险管理,一些学者提出了自己的看法,美国学者克里斯蒂认为风险管理是企业或组织为控制偶然损失的风险,以保全所得能力和资产所做的一切努力;另外两位美国学者威廉斯和理查德汉斯认为,风险管理是通过对风险的鉴定、衡量和控制,以最低的成本使风险所造成的损失控制在最低程度的管理方法;我国的陈佳贯认为,风险管理是企业通过对潜在意外或损失的识别、衡量和分析,并在此基础上进行有效的控制,用最经济合理的方法处理风险,以实现最大的安全保障的科学管理方法。根据以上风险管理的定义,我们可以得出以下几点认识:
1、风险管理是一个系统过程,包括风险的识别、衡量和控制等环节;
2、风险管理的目标在于控制和减少损失,提高有关单位或个人的经济利益或社会效果;
3、风险管理是一种管理方法。
二、内部审计参与风险管理的动因
(一)企业面临的风险日益增大
近年来,随着社会经济的发展,特别是经济全球化及国际化程度的加深,使企业经营环境变得日趋复杂,企业经营风险也大大增加。知识经济的到来,更使企业的风险雪上加霜。因此,减少企业面临的风险是组织实现目标的关键,也是企业的管理人员十分关心的问题。内部审计的目的在于增加组织的价值和改善组织的经营,内部审计人员是企业的管理咨询师,因此,内部审计部门和内部审计人员参与企业的风险管理也就顺理成章了。
(二)内部审计对发展的渴求
内部审计部门为了不断地发展,为了在企业中担当更重要的角色和发挥更重要的作用,总是不断寻找新的对企业又十分重要的领域,企业经理人员对风险的空前重视,为内部审计发展提供了一个绝好的机会。内部审计对风险管理的介入,将会使内部审计在企业中成为一个重要的角色,并将其在企业中的作用推向一个新水平。正因为这样,内部审计师的职业组织