企业风险管理和审计

第一篇：企业风险管理和审计

摘 要

论文摘要：本篇论文通过先进的风险管理理念、理论、方法、技术以及国内部分学者关于风险管理的研究成果，以COSO2004年9月制定发布的《企业风险管理—整合框架》为理论基础，以某集团为案例研究对象，运用内部审计方法和程序对某集团风险管理要素进行审计分析和评价，对风险管理理论如何在集团企业实践运用进行了探索和研究，提出企业应逐步建立完善风险管理系统，为企业在市场经济的大潮中保驾护航。

论文关键词：企业风险管理；审计；案例研究

目录

1.企业风险理论………………………………………………………………………………………………………….(3)1.1企业风险管理定义„„„„„„„„„„„„„„„„„„„„„„„(3)1.2风险分类„„„„„„„„„„„„„„„„„„„„„„„(3)1.3风险管理的内容„„„„„„„„„„„„„„„„„„„„„„„(3)

2.风险管理审计………………………………………………………………………………………………….(4)2．1风险管理审计的目标„„„„„„„„„„„„„„„„„„(3)2.2风险管理审计的内容„„„„„„„„„„„„„„„„„(4)2.2风险管理审计的程序„„„„„„„„„„„„„„„„„(4)3.基于企业风险管理和审计的案例分析…………………………………………………………(4)3.1企业简介„„„„„„„„„„„„„„„„„„(5)3.2公司风险管理和审计评价程序及结论„„„„„„„„„„„„„„„(6)4.总结……………………………………………………………………………………………………………………………….(7)5.参考文献………………………………………………………………………………………………………………………..(9)6.谢辞…………………………………………………………………………………(10)

论企业风险管理要和审计

一、企业风险理论

（一）企业风险管理定义

（1）企业风险理论是对企业内可能产生的各种风险进行识别、衡量、分析、评价，并适时采取及时有效的方法进行防范和控制，用最经济合理的方法来综合处理风险，以实现最大安全保障的一种科学管理方法。

（2）企业风险是指由于企业内外环境的不确定性、生产经营活动的复杂性和企业能力的有限性而导致企业的实际收益达不到预期收益，甚至导致企业生产经营活动失败的可能性。

（二）风险分类

风险分类按照风险的来源不同，可以分为外部风险和内部风险。

（1）企业外部风险包括：顾客风险、竞争对手风险、政治环境风险、法律环境风险、经济环境风险等；

（2）企业内部风险包括：产品风险、营销风险、财务风险、人事风险、组织与管理风险等。

立足于企业的生产经营活动来进行企业风险评估，主要评估企业内部风险，兼顾企业外部风险。

（三）风险管理的意义

风险管理的意义有效地对各种风险进行管理有利于企业作出正确的决策、有利于保护企业资产的安全和完整、有利于实现企业的经营活动目标，对企业来说具有重要的意义。

（四）风险管理的内容

企业风险管理的内容包括企业风险识别、企业风险衡量和企业风险处理三个方面。

企业风险识别是风险分析和管理中的一项基础性工作，其主要任务是明确企业风险的存在，并找到主要的风险因素，为后面的风险度量和风险决策奠定基础。

在风险识别之后必须进行企业风险衡量，以便确定其对企业发展影响的严重性并采取相应的措施，它其实就是运用一定方法对风险发生的可能性或损失的范围与程度进行估计和衡量。

企业风险处理是针对不同类型、不同规模、不同概率的企业内外部风险，采取相应的对策、措施或方法，使风险损失对企业生产经营活动的影响降到最小限度。

二、风险管理审计

（一）风险管理审计的目标

风险管理审计是指胜任的专职机构和专业人员对组织内部风险管理程序、风险反应、管理制度及机制的合理性、有效性进行独立的审查和评价过程。风险管理审计的根本目的是最大限度地增加组织价值。

审计目标是回答“通过审计要证明什么”的理论问题，是审计行为的出发点，是审计工作的指南，也是审查和评价审计内容所期望达到的境地和最终结果。审计目标体系由总目标、一般目标和项目目标构建。

（二）风险管理审计的内容

审计内容是回答“审计什么”的问题。根据ERM框架中的要素，风险管理审计的内容主要包括：

1.风险管理程序的科学性和合理性，主要包括风险管理开发阶段所制订的风险管理框架结构的内容；风险管理试探阶段所实施风险管理框架结构的内容；风险管理回顾阶段所丰富并增强风险管理框架结构的内容；风险管理展开阶段所推广并实施风险管理框架的情况；风险管理支持阶段所需要提供的各种基础组织以及服务。

2.风险反应的周密性和可行性，主要包括风险反应计划的周密性（如有否考虑风险的可规避性、可转移性、可减少性、可接受性）；风险应对策略的可行性（如是否采取了风险控制、风险自留、风险转移）。

3.风险管理制度的合法性和完善性，主要包括风险管理制度的合法性（如建立风险管理制度是否经过充分论证）；风险管理体制的完善性（如考核评价体制和责任追究制度是否健全）。

4.风险管理机制的结构性和尽责性，主要包括高层管理人员和重要岗位业务人员的风险管理理念及对风险管理的重视程度；风险管理人员的结构和素质；全员风险管理的情况。

（三）风险管理审计的程序

1.审计规划阶段，包括选定被审计对象和制定风险管理审计计划。被审计对象选定工作包括识别被审计对象的策略、识别潜在被审计对象和排列被审计对象的顺序。制定风险管理审计计划包括制订财务风险管理、生产风险管理、市场风险管理、会计风险管理、人事风险管理和其他风险管理审计计划，确定风险管理审计的位置和背景。

2.审计测评阶段，包括风险的分析、评估和监控。（1）分析风险。审计人员应对风险迹象进行深入了解、描述和记录，并对风险的可能性和发生频率进行分类。风险可能性分析结果一般有“很少的”、“不太可能的”、“可能的”、“很可能”、“基本确定”等类别，风险发生频率分析结果一般可分为“高频率、高损害风险”，“高频率、低损害风险”，“低频率、低损害风险”，“低频率、高损害风险”等类别。（2）评估风险。审计人员应分析风险的成因及其影响，并确定风险程度及等级。风险程度一般分为“极高”、“高”、“中等”、“低”和“极低”等级别。风险概率用风险发生可能性的百分比表示，风险量＝风险概率×风险损失量。（3）监控风险。审计人员应对可能发生的风险和损失进行跟踪检查。跟踪已识别风险的发展变化情况，包括在整个项目生命周期内，风险产生的条件和导致的后果变化，作出减缓风险的方案，调整风险管理计划。

3.审计报告阶段，包括汇总审计结果、出具审计报告和追加后续审计。（1）汇总审计结果，包括审计现状、标准、差异、原因和建议等部分。如审计建议中对损失大、概率大的灾难性的风险要避免；对损失小、概率大的风险，可采取措施来降低风险量；对损失大、概率小的风险，可通过保险或合同条款将责任转移；对损失小、概率小的风险，可采取积极手段来控制。（2）出具审计报告，包括标题、收件人、正文、附件、签章、报告日期等基本要素。审计报告正文部分主要内容有：审计目标、风险概况、审计依据、审计结论、审计评价和审计建议等。（3）追加后续审计。ERM是一个动态的过程，审计测试应与之相协调，追加后续审计显得重要。后续审计应将重点放在最严重的问题上，相关部门是否予以纠正，若不纠正，责任和原因到底在哪儿；对一般事项可仅限于询问和简短的讨论。

二、基于风险管理和审计的案例分析

（一）企业简介

某集团有限公司是世界上最大的制药企业之一，产品包括了处方药、疫苗、营养品、消费保健品、动物保健品等。集团总部设于美国，拥有多处制药开发基地及生产基地。集团拥有最先进的生产设备和工艺技术，以其独有的技术方法，研制出世界先进药物。基于丰富的制药管理经验，创建于1849年，是世界领先的以研发为基础的生物医学和制药公司。每天，分布于90个国家的大约80,000名员工致力于探索、研发、生产和推广各种领先的处方药，为全球患者带来高质、安全的处方产品。2008年，公司年销售额为483亿美元，并投资75亿用于研发。

（二）公司风险管理和审计评价程序及结论

公司审计部作为监督检查部门，每年至少两次从集团层面对风险管理进行整体评价，并在每季度对分、子公司执行例行审计过程中，重点关注风险管理状况。以下试从集团公司层面，以《COSO风险管理——整合框架》（以下简称COSO框架）中所列八要素为线索对公司风险管理进行分析、设计审计评价程序、提出审计评价结论。

（一）内部环境

1.理论描述。内部环境包含组织的基调，它影响组织中人员的风险意识，是企业风险管理所有其他构成要素的基础，为其他要素提供约束和结构。

2.审计评价程序。

（1）设计风险相关文化调查表对风险管理的内部环境进行调查；

（2）审查公司经营决策、管理方针政策、规章制度、行为准则等是否反映了公司的风险管理理念、诚信和道德价值观

3.审计评价结论。公司的风险管理理念属于风险偏好型，提倡抓住机会，大胆开拓。但对风险管理理念没有一个书面的说明性的陈述，这些理念存在于董事会及高级管理层的头脑中，通过收购决策、发布政策、行为准则、各种规章制度反映出来并加以强化。

（二）目标设定

1.理论描述。设定战略层次的目标，为经营、报告和合规目标奠定了基础。每一个主体都面临来自外部和内部的一系列风险，确定目标是有效的事项识别、风险评估和风险应对的前提。

2.审计评价程序。

（1）获取管理层对目标的书面陈述；

（2）通过访谈、询问，获取公司员工对公司目标的知晓、理解程度的信息；（3）通过查阅管理层的述职报告，获取目标实现进展情况的信息。3.审计评价结论。

经审计调查总结，目标如下： 积极履行企业社会责任，并努力在卫生健康产品的研究、开发和制造过程中确立其质量、安全和价值基准。实践我们真诚合作、社区精神、客户至上、革新创造、道德观念、领导人才、力争上游、尊重他人和追求品质等企业核心价值观，来衡量我们的发展。我们将全身心地投入卫生健康事业，努力致力于人民健康状况的改善。

（三）事项识别

1.理论描述。管理当局识别将会对主体产生影响的潜在事项——如果存在的话，并确定它们是否代表机会，或者是否会对主体成功地实施战略和实现目标的能力产生负面影响。带来负面影响的事项代表风险，它要求管理当局予以评估和应对。

2.审计评价程序。

（1）查阅行业有关资料，询问、访谈高层、中层、一般职工，审查风险识别是否充分、全面；

（2）审查风险识别过程资料，判断是否根据内外部环境的变化定期进行修正。

3.审计评价结论。公司管理层根据调查分析、经验总结，识别、列出公司面临的四大类（行业风险，业务风险，财务风险，合规风险）十三种主要风险：

（1）新型病毒的产生和大范围疫情的爆发；（2）企业之间的不利竞争导致业务的干扰；（3）消费者对产品信任度和支持度的下降；

（4）产品质量出现问题而导致对人身的伤害；

（5）原材料价格波动；（6）产品未能迎合市场需求；（7）主要管理层的流失；

（8）其他实体误用、盗用本公司商号（商标）；（9）资金安全管理；（10）资产安全管理；（11）会计系统故障；（12）违反《上市规则》；

（13）违反食品管理、环保法规有关法律规定。

经审计调查，公司管理层对风险识别较为充分，且计划每年分两次（期中和期末）对公司面临的风险进行全面的核查，若发现风险变化，即使进行调整，但未能严格实施。而对于机会，管理层没有进行专门识别。

（四）风险评估

1.理论描述。风险评估使主体能够考虑潜在事项影响目标实现的程度。管理当局从两个角度——可能性和影响——对事项进行评估，并且通常采用定性和定量相结合的方法。

2.审计评价程序。获取管理层对风险进行定性评估的资料，评价其评估的合理准确性以及是否根据内外部环境的变化进行动态修正。

3.审计评价结论。公司管理层对识别出来的十三种风险根据多年的从业经验和过去的风险发生的记录进行了定性的评估，由于缺乏相关的人才、技术、资料，尚未对风险进行过定量分析。公司管理层计划每年分两次（期中和期末）对公司面临的风险进行全面的核查和平谷，若发现风险变化，及使进行调整修正，但未能严格实施。

（五）风险应对

1.理论描述。在评估了相关的风险之后，管理当局就要确定如何应对。应对包括风险回避、降低、分担和承受。在考虑应对的过程中，管理当局评估对风险的可能性和影响的效果，以及成本效益，选择能够使剩余风险处于期望的风险容限以内的应对。

2.审计评价程序。通过访谈、询问，了解管理层采取的风险应对策略及理由，评价其合理性。

3.审计评价结论。公司管理层对识别出来的重要风险制定了相应的防范措施，从风险应对的角度看多为预防性措施，以降低风险发生的可能性，而没有采取购买保险等风险分担措施。

（六）控制活动

1.理论描述。控制活动是帮助确保管理当局的风险应对得以实施的政策和程序。控制活动的发生贯穿于整个组织，遍及各个层级和各个职能机构。它们包括一系列不同的活动，例如批准、授权、验证、调节、经营业绩评价、资产安全以及职责分离。

2.十三种风险审计评价程序。公司管理层针对识别出来的十三种风险，制定了防范措施，审计部门相应地制订了审计评价程序。

3.审计评价结论。经审计调查，公司管理层对于风险管理的控制活动要素较为重视，制定的风险防范措施较为全面、严密、可操作，大部分得到了严格有效执行，但也有部分单位未能严格执行风险防范措施。

（七）信息与沟通

1.理论描述。有关的信息以保证人们能履行其职责的形式和时机予以识别、获取和沟通。信息系统利用内部生成的数据和来自外部渠道的信息，以便为管理风险和作出与目标相关的知情的决策提供信息。有效的沟通会出现在组织中向下、平行和向上的流动。

2.审计评价程序。

（1）走访公司IT部和公司内部报刊编辑部，了解评价公司的信息系统的建设和运转情况。

（2）访问公司网站，观察其运转情况；

（3）使用公司的局域网、内部电话网，阅读公司内部报刊，评价其运转情况和功效发挥情况。

3.审计评价结论。公司设立了IT部，建立了较为完备、先进的信息管理系统，通过因特网、内部局域网、内部电话网、内部报刊等手段将信息以文字、声音、图片等形式进行传递，并制定各种级别的会议制度进行面对面的信息沟通。但没有建立专门的风险信息生成及传递通道。

（八）监控

1.理论描述。对企业风险管理进行监控——随时对其构成要素的存在和运行进行评估。这些是通过持续的监控活动、个别评价或者两者相结合来完成的。持续监控发生在管理活动的正常进程中。

2.审计评价程序。

（1）审查内部定期（每天、每周、每月）上报的管理报表（报告），评价风险管理日常监控职能发挥情况；

（2）审查内部审计部门的审计计划、风险管理审计报告，评价其监控职能的发挥情况。

3.审计评价结论。公司管理层通过例行的控制活动、信息报告反馈系统对经营管理状况进行日常的监控；通过内部审计部门对公司所控制的所有单位、项目进行例行审计，报告中时常反映一些被审单位风险管理状况的信息，对风险管理的监控较为及时，但对公司总部层面的风险监控较为薄弱。

三、结语

企业要想在市场经济的大潮中基业长青，必须对面临的各种风险进行系统地、全面地管理，这已是不争的事实。借鉴先进的风险管理理念、理论、方法、工具，结合本企业具体实际情况，不断的创新。对内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控八个风险管理要素逐一进行分析和评价，查找问题和不足，对风险管理文化、风险管理组织体系、风险识别、评估、排序、风险管理策略与方法、风险管理监控与检查、风险管理沟通与咨询等关键的风险管理流程采取措施不断完善，逐步完善企业风险管理系统，是解决风险管理问题的最佳实务。企业应当增强风险意识，逐步建立险管理系统，为企业保驾护航，这样企业才能在市场经济的大海中劈波斩浪，扬帆远航。

［1］王晓霞，《企业风险审计》，第一版，中国时代经济出版社，2005。

［2］江苏省电力公司、南京大学会计系，《风险管理审计评价》，第一版，中国财政经济出版社，2005。

［3］孙班军，郝建新，《风险管理案例分析与公司治理》，第一版，中国财政经济出版社，2006。

谢辞

此论文得以顺利的完成.首先,感谢我的指导老师xxx,他为我的论文提供了不少宝贵的意见,也为我论文的整理和修改提供了大量帮助.在此感谢他的付出!其次,我要感谢我的实习单位,是她给了我创意的来源.也谢谢她!最后,感谢支持和帮助我完成该论文的各位朋友们!谢谢大家!

第二篇：企业风险管理审计案例研究

某肉制品企业风险管理审计案例分析

工管5班

js0844549

黄薇

一、公司简介

某集团有限公司是中国最大的肉制品生产企业之一，其产品包括冷鲜肉、冷冻肉、以及以猪肉为主的低温肉制品、高温肉制品。集团总部设于中国江苏省南京市，拥有多处冷鲜肉、冷冻肉生产基地及深加工肉制品生产基地。集团拥有最先进的生产设备和工艺技术，以其独有的技术方法，研制出一系列符合消费者口味的优质产品。基于肉制品业务的经验，集团于1997年开展冷鲜肉和冷冻肉业务。2002、2003年，冷鲜肉、冷冻肉的市场占有率分别位列中国大陆第二名、第三名。低温肉制品，自2002年至2004年，其市场占有率连续三年位居中国大型零售商销售首位。对某集团而言，企业的迅速壮大是成功的标志，但更是企业所面临的挑战。作为一家迅速发展中的企业，集团深刻意识到专业化管理对于企业壮大的重要性。因此，集团时刻致力于强化企业的专业化管理，增强企业的核心竞争力。

二、某集团风险管理流程存在的问题及对策建议

（一）风险管理文化

1.存在的问题。某集团虽然在香港联合证券交易所上市，但其实质仍是一中国民营企业，该企业按照香港的《上市规则》建立了法人治理结构，建立健全了一系列“法治”的规章制度，但其“人治”的色彩非常浓厚。内部控制对高级管理层的约束力较弱。

2.对策建议。在风险管理方面，首先要做的工作是在全公司范围内自上而下进行一次风险管理的宣传、教育、培训，增强员工风险管理意识，董事和高级管理人员应在培育风险管理文化中起表率作用。重要管理及业务流程和风险控制点的管理人员和业务操作人员，应成为培育风险管理文化的骨干。与薪酬制度和人事制度相结合进行风险管理文化建设，增强各级管理人员特别是高级管理人员风险意识，防止盲目扩张、片面追求业绩、忽视风险等行为的发生。加强员工法律素质教育，制定员工道德诚信准则，形成人人讲道德诚信、合法合规经营的风险管理文化。

（二）风险管理组织体系

1.存在的问题。在公司现有的组织结构里，没有专职的风险管理机构。董事会下既没有设风险管理委员会，也没有设审计委员会。风险管理职能由其他部门（如总经办、审计部、投资发展部）根据需要分散承担，由于风险管理职责不明确，缺少对各种风险的整合管理。

2.对策建议。董事会就全面风险管理工作的有效性对股东大会负责。在董事会下设风险管理委员会，整合现有风险管理资源。明确总经理对全面风险管理工作的有效性向董事会负责。总经理委托的高级管理人员负责主持全面风险管理的日常工作，成立风险管理部，负责组织协调全面风险管理日常工作，除一至两个专职人员外，其他人员可暂由其他部门派人兼任。内部审计部门在风险管理方面主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。

（三）风险识别、评估、排序

1.存在的问题。现在进行重点管理的十三种风险，还是一年前管理层通过讨论识别、评估确认的，一年来没有重新进行识别、评估、排序。而一年来公司内外部环境都发生了很大的变化，原来识别的风险范围是否充分、评估排序是否恰当，亟需进行重新审视。

2.对策建议。在进行风险管理宣传的同时，设计、发放调查问卷，发动公司所有员工对公司面临的风险和机会进行识别，对调查结果进行统计、分析、总结，筛选出主要风险后，在管理层范围内对这些风险进行打分，评估重要性后排序。而对于识别出来的机会，管理层要考虑如何加以充分利用。

（四）风险管理策略与方法

1.存在的问题。公司现有的针对十三种风险采取的防范措施几乎全部可归结为抑制与控制策略，以期降低损失发生的可能性、频率，缩小损失程度。这十三种风险范围之外的风险可以说是采取了风险接受策略。而对于风险规避策略、风险转移策略、风险利用策略则极少采用。在风险管理策略与方法的选择上显得比较保守，缺乏灵活性。而对于机会，则没有明确的策略进行利用。

2.对策建议。在对公司面临的风险进行重新识别、评估后，在风险规避、风险转移、风险抑制与控制、风险接受、风险利用等策略上灵活选择，可通过保险、契约、合同、金融工具等形式将风险转移出去。同时要对机会加以利用，并反映到战略目标、经营目标的制定上。

（五）风险管理监控与检查

1.存在的问题。公司目前没有专职人员对风险管理进行监控，对风险管理的监控依赖于对日常经营活动进行监控的日报、月报系统，而在日报、月报内容中并无专门对风险管理情况进行报告。内部审计系统在执行审计任务时，偏重于财务审计、舞弊审计、经营管理审计，而对于风险管理审计尚处于探索阶段，尚未全面开展风险管理专项审计。高级管理层则没有对风险管理进行专门的监控与检查。

2.对策建议。内部审计部门开展风险管理专项审计，研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。可结合例行审计、任期审计或专项审计工作一并开展风险管理审计；在日报、月报系统中增加对各单位风险管理状况自查报告的内容。高级管理层每年至少一次对风险管理状况进行评估。

（六）风险管理沟通与咨询

1.存在的问题。公司缺乏专业的高水平的风险管理师，缺少专门的风险管理沟通渠道，而沟通与咨询存在于风险管理的各个环节当中，这也是风险管理难以有效开展的重要原因。

2.对策建议。公司公开招聘风险管理师，或聘请有资质、信誉好、风险管理专业能力强的中介机构对企业全面风险管理工作进行评价，出具风险管理评估和建议专项报告，培训风险管理人员；在现有的信息系统中开辟专门的风险管理沟通渠道。

三、结语

企业要想在市场经济的大潮中基业长青，必须对面临的各种风险进行系统地、全面地管理，这已是不争的事实。借鉴西方先进的风险管理理念、理论、方法、工具，结合本企业具体实际情况，对内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控八个风险管理要素逐一进行分析和评价，查找问题和不足，对风险管理文化、风险管理组织体系、风险识别、评估、排序、风险管理策略与方法、风险管理监控与检查、风险管理沟通与咨询等关键的风险管理流程采取措施不断完善，逐步建立企业风险管理系统，是解决风险管理问题的最佳实务。企业应当增强风险意识，逐步建立风险管理系统，为企业保驾护航，这样企业才能在市场经济的大海中劈波斩浪，扬帆远航。

第三篇：《现代企业风险管理审计》读书笔记

《现代企业风险管理审计》

读书报告

正如《现代企业风险管理审计》所述，审计业界并非尚未认识到其面临风险的真正根源，目前需要做的是研究并实施如何在审计行为中识别，控制风险，并使该理念和模式体现在审计各阶段具体的审计程序中，而不是仅仅在审计计划阶段对固有风险进行简单的分析。要做到这一点，传统的审计理念和模式，由于其更多的是为了关注财务报表风险而关注报表和企业帐目，而不是从企业经营风险，管理层风险管理的角度来关注财务报表，因而无法实现审计风险控制的有效性，也使审计在为整个财富价值链中的价值无法进一步得到体现。传统的审计方法除了在理念存有不足外，还欠缺足够的可以用来识别现代企业经营风险及其控制的审计工具，模型和方法;而企业风险管理审计模式，正是从企业经营风险，风险管理角度分析审计风险，实施审计程序，从财务报表风险的源头——企业经营风险角度去关注财务报表风险，从而为风险降至可接受水平提供有效保障，并实现审计目标同整个商业社会的共同目标达到一致。

《现代企业风险管理审计》是CPA视角的中国第一部现代企业风险管理著作。《现代企业风险管理审计》借鉴国内外风险管理方面的知识，在风险审计的概念、目标、程序以及专业判断等方面有一定创新和突破；在具体风险的审计上，精心编制国内外企业典型案例，具有可操作性。并提出了企业风险管理审计模式，从企业经营风险，风险管理角度分析审计风险，实施审计程序，财务报表风险的源头——企业经营风险角度去关注财务报表风险，从而为风险降至可接受水平提供有效保障，并实现审计目标同整个商业社会的共同目标达到一致。书中提供了大量的风险管理审计工具，模型和方法以使新的审计理念可付诸实践。

一、《现代企业风险管理审计》强调内部审计在企业风险管理中角色和作用

《现代企业风险管理审计》第2页对内部审计在企业风险管理中角色和作用

引用了《内部审计实务标准》的观点认为，内部审计在企业风险管理中角色和作用有两个方面：一是协助风险估算程序；二是对风险管程序的评价，对风险管理的恰当程度作出保证。这一观点在书中多次出现，反复强调。作者则认为“内部审计师通过对主体企业风险管理的恰当性和有效性进行检查、评价、报告和提出改进建议，来协助管理当局和董事会或审计委员会。内部审计师协会的准则还强调内部审计的适当作用，清楚地指出内部审计师应该对他们所审计的活动持客观的态度。”

我认为内部审计在企业风险管理中应当保持客观的态度，通过评价、报告和提出改进建议，来协助管理当局和董事会或审计委员会；在评价企业风险管理的有效性方面起着关键性作用。而不赞同《内部审计实务标准》对内部审计角色和作用的观点，内部审计要保持客观，就需要相对独立，不能又当裁判又当运动员，不能直接参与企业风险管理的风险估算程序。同时内部审计的资源难以实现“对风险管程序的评价，对风险管理的恰当程度作出保证”的作用。特别是“作出保证”更是不现实的；如果作为理论上的追求，也是无意义的。能作出“保证”的观点只能误导管理当局和董事会或审计委员会赋予内部审计不恰当的地位和权限，占用更多的资源。正如作者在书第3页的表述：客观地讲，要求每一位审计师者成为风险管理等各个方面的专家是不现实的。

二、企业风险管理模型

《现代企业风险管理审计》大都采用了澳大利亚—新西兰联合委员会的风险管理模型。在读了卓继民所著《现代企业风险管理审计》后，作为CPA的我比较认同《现代企业风险管理审计》选用的风险管理模型，即《现代企业风险管理审计》第77页所述的原安达信咨询公司经营风险管理框架图。

三、含混的风险审计重要性概念

《现代企业风险管理审计》第121页提出的风险审计重要性概念。“风险审计重要性是指被审计单位所处的环境、管理和业务活动，风险识别、分析评估及风险处理方法的任何方面，若存在影响组织基本目标实现的潜在可能，审计师则可判定该风险是重要的，否则，则可判定为不重要或判定为保留风险或剩余风险。”这一概念可能是由审计重要性在风险审计中的运用。审计重要性是指被审计单位会计报表中错报或漏报的严重程度，这一程度在特定环境下可能影响会计报表使用者的判断或决策。我认为风险审计重要性概念是含混的，将“重要性”定义为“潜在可能”很难理解。我认为，风险审计重要性是指被审计单位潜在的可能负面影响目标实现的严重程度，这一程度可以通过估计损失额、发生概率和发生频率进行界定。

四、具体风险管理审计

原安达信将风险定义为，环境风险、过程风险和决策所需信息风险三大类，细分七十三种常见的风险。《现代企业风险管理审计》在第三篇介绍了风险审计的理论与专业判断、规划策略和审计框架，第四至八篇介绍了营销风险、产品开发与品牌创立风险、企业财务风险、企业组织风险和企业内部控制系统风险等5种具体风险的审计，其审计思路受束于前述所选用风险管理模型和第42页所述的风险适管理的前提与基础研究：

《现代企业风险管理审计》，在了解企业经营识别经营风险时，提供了一个整体框架用于了解企业风险管理行为的有效性，并且分析企业的情况和信息流程。使用的主要分析工具包括：(1)企业分析框架；(2)企业风险模型；(3)企业信息流程；(4)企业绩效评价分析；(5)企业整体风险管理有效性评价。在企业风险控制评价时，提供了一个完整的框架用于评估管理层如何对信息流程和特定估计的相关风险进行控制。使用的主要工具包括：（1）风险控制流程框架；

（2）风险控制标准及控制矩阵；（3）信息可信度测试；（4）风险控制识别；（5）评价风险控制的设计；（6）测试风险控制；（7）控制信赖与否之决策树。作为一名学习了五年会计的学生，还是比较容接受《现代企业风险管理审计》的观点，同时认为《现代企业风险管理审计》介绍的工具能够全面地了解企业经营、识别经营风险；评估管理层如何对信息流程和特定估计的相关风险进行控制，为确定和管理剩余风险的供了支持。

第四篇：风险管理审计办法

***********公司

风险管理审计办法

编 号：TS-KP-XS-**

版 本: 2013 编 制：审计部 批 准：董事会

2013年**月**日

****************公司内部控制体系

风险管理审计办法

目录：共九章

第一章 总则

第二章 风险管理审计的目标

第三章 风险管理审计的思路

第四章 风险管理审计的主要分类

第五章 风险管理审计须遵循的原则 第六章 风险管理审计的程序

第七章 制定风险管理审计方案的主要内容

第八章 风险管理审计取证的评价标准

第九章 审计报告

第一节 整理审计发现的要求

第二节 风险管理审计报告的内容

第十章 附则

第一章 总 则

第一条 为了规范内部审计人员对公司全面风险管理的审查与评价行为，根据中国内部审计协会《内部审计具体准则第16号——风险管理审计》、公司内部控制体系文件、《企业内部审计制度》特制定本办法。

第二条 本办法所称风险管理险审计又称风险审计或风险导向审计。风险管理审计（或风险审计）是指公司内部审计机构根据公司全面风险管理的目标和政策，采用一种系统化、规范化的方法对公司风险管理过程中的风险评估、风险应对和风险控制活动进行评价和测试，以识别、预警和纠正公司在实施风险管理过程中可能存在的不适或缺陷，进而提高公司风险管理的效率和效果，保障企业战略目标的实现。

第三条 本办法所称风险管理，是指一套由董事会和经营管理层共同设立、与企业战略相结合的管理流程。它的功能是对影响公司目标实现的各种不确定性事件进行识别与评估，并采取应对措施将其影响控制在可接受范围内的过程。风险管理旨在为公司目标的实现提供合理保证。

第四条 本办法所称全面风险管理，是指公司围绕总体经营目标，通过在公司管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理风气，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

第四条 本办法适用******有限公司（以下简称“公司”）及所属各分公司、全资子公司的内部审计工作，控股子公司的内部审计部门参照执行。

第二章 风险管理审计的目标

第五条 风险管理审计的总体目标是依据公司战略目标和风险管理政策，评价公司是如何通过实施风险管理从而实现企业各类管理目标的，进而评价公司风

险管理的效率和效力，提出改进措施，以保障公司全面风险管理目标的实现，最终支持和保障公司总体战略目标的实现。

第六条 风险管理审计总目标的具体化就是风险管理审计具体目标。风险管理审计具体目标可分为一般风险管理审计目标和专项风险管理审计目标两个层次。

第七条 一般风险管理审计目标是对事项的关键风险管理的效率和效力评价，或者说特别关注被审事项的关键风险管理框架设计的合理性和运行的有效性。其审计内容一般包括：一是评价那些可能影响被审事项目标实现的关键性风险的管理缺口（关键风险被识别程度）；二是评价为保障被审事项目标实现而开展的风险管理活动的效率和效力（或者说是评价被审事项的风险管理框架设计的合理性和运行过程的有效性）

第八条 专项风险管理审计目标是按照每一个审计专项具体任务和具体内容而定的，以下列举一些常见的专项风险管理审计目标：

(一)有关风险管理要素的审计目标，例如包括：

1、风险范围确定的合理性：包括战略范围、组织与环境范围、业务范围；

2、风险评价标准与指标体系的科学性：例如评价基础、评价方法、评价内容、指标计算；

3、风险评估方法的合理性与科学性：主要审核如下方面：按照审计确定的风险范围，核实风险识别是否全面，风险各级分类的合理性，可控风险与不可控风险确定的科学性，风险分析方法选用的科学性，风险评估结果的可信性；

4、风险治理策略和措施的合理性；

5、风险理财组合方案的合理性。

（二）风险管理活动的充足性。

（三）风险管理制度的适当性。

（四）危机管理计划的合理性与可操作性。

（五）风险管理目标与企业管理目标的协调一致性。

（六）新项目和新市场的可进入性评价。

（七）对损失事件的原因调查性评价（真实性评价）。

（八）风险相关记录和风险信息的完整性/真实性评价。

（九）内部控制体系的有效性，内部控制措施的恰当性。

（十）其他。

第三章 风险管理审计的思路

第九条 依照ISO-31000框架，核验公司风险管理过程中针对每个关键的风险环节实施的风险管理是存在和合理的，且正常运行。这些环节包括：沟通与协商，识别与分析风险，风险评估，评价和选择策略，实施风险治理，监控，持续改进。

第十条 依照COSO-ERM框架，一方面，核验战略、经营、报告和合规四大目标确实存在，并且针对这些目标的管理都是有效的，如核验董事会和经营管理层：了解组织实现其战略目标的程度，了解组织实现其经营目标的程度，能保障组织的报告是可靠的，能保障组织遵循适用的法律和法规。另一方面，核验八大要素的存在，以及核验其正常运行情况。

第十一条 对照特别制定的风险管理框架和要求来衡量企业风险管理的有效性。如内控测试状态良好，机制对风险反应迅速，公司对风险的预测能力正在逐渐提高，事故发生率降低和损失明显减少，社会责任形象提升等。

第四章 风险管理审计的主要分类

第十二条 一般风险管理审计

这类审计主要目的是识别/确认被审事项的关键业绩影响因素和评价相应的风险管理效率和效力，可细分类为：

（一）针对公司各管理层级的风险管理审计：企业整体、分公司、业务或子公司。

（二）针对公司职能领域或特定关键风险的风险管理审计：战略审计、财务审计、信息系统审计、质量审计、安全审计、环境审计和内控审计等。

（三）针对项目的风险管理审计

（四）针对各类活动的风险管理审计

（五）针对产品或服务的风险管理审计

（六）针对过程或操作的风险管理审计

（七）针对资产的风险管理审计 第十三条 风险管理要素审计

风险管理要素审计是针对企业风险管理政策、方法、措施、手段等要素实施的审计

第五章 风险管理审计须遵循的原则

第十四条 审计人员风险管理专业水准原则：审计人员应熟悉ISO-31000 “风险管理原则和实施指引”和了解ISO-31010“风险管理-风险评估技术”；

第十五条 审计人员职业道德和具备审计专业基本水准原则；

第十六条 目标导向原则：清晰地理解被审事项的目标，识别影响目标实现的风险要素，提出将这些风险要素管理至公司可接受水平之内的改进建议；

第十七条 关键性（重要性）原则：在设计审计方案和实施审计时，应关注关键目标、关键业务、关键流程和关键风险点，识别影响关键业绩实现的关键要素，进而就关键风险点的管理缺口提出改进建议；

第十八条 审计规划/计划原则：充分了解风险管理审计的审计目标和审计任务，做足审计准备，设计周密、充足和合理的审计取证方案，制定合理与可操作的风险管理审计计划和方案；

第十九条 充分了解就被审事项所设定的风险管理期望和价值原则：了解被审事项（整体或局部）的风险管理政策或管理原则，这是对公司整体、局部、业务、项目、资产、过程或活动等事项实施风险管理审计的判别依据之一；

第二十条 风险管理审计过程组织原则：执行风险管理审计计划，调整计划，及时完成计划；

第二十一条 沟通和协商原则：各审计相关方在审计过程中应保持持续和畅通的磋商和沟通；

第二十二条 确保审计质量原则：应确保审计计划制定的质量，确保审计过程实施的质量，确保审计报告的输出质量；

第二十三条 风险管理审计报告应体现重要性、客观性、完整性、及时性和可靠性原则。

第六章 风险管理审计的程序

第二十四条 风险管理审计程序如下所示：

1、风险评估与确定审计域程序（通过风险评估识别关键风险分布从而确定审计域）

2、制定风险管理审计计划程序

3、按计划实施调查和测试（主要包括内部控制测试程序和实质性测试程序）

4、审计证据评价程序、审计报告程序（包括整理审计发现、审计报告和风险管理建议）。

5、风险管理审计的后续审计

第七章 制定风险管理审计方案的主要内容

第二十五条 风险管理审计方案就审计的组织方式、时间进度、资源分配、6 审计证据取证安排、审计质量保证措施等给出更为清晰和可操作的指引。一般来讲，一个整体和较全面的企业风险管理审计计划方案应当包括：

（一）审计目标；

（二）审计域；

（三）审计要点；

（四）审计准则以及其他参照指标；

（五）审计程序及其包含内容；

（六）审计调查与测试取证安排；

（七）审计负责人及其责任；

（八）确定审计所需信息和资料；

（九）主要审计方法和技术的选用（包括控制测试和实质性测试方法）；

（十）审计时间进度和审计顺序（例如审计顺序、何时与谁交谈、进行现场观察的时间安排、对每一种审计程序推进进度的时间安排、每个阶段需进展的审计深度、何时向谁提交审计结果等）；

（十一）审计资源需求；

（十二）审计组织与审计质量保障证措施；

（十三）审计团队的组成；

（十四）对被审目标的配合要求；

（十五）审计报告要点框架等。

第八章 风险管理审计取证的评价标准

第二十六条 审计人员对风险管理的评价可以用量化数字表示：1、2、3、4、5，或用字母表示如A、B、C、D、E，表示由低到高（或由轻到重）的程度。

第二十七条 风险的严重性（或影响）的评价具体尺度（除了表达为财务指标之外，也可以用声誉、资本、法律等方式来表述风险的影响）

1、不严重：既无战略影响，又无财务影响。

2、轻度严重：相对较小的战略和/或财务影响（一星期的利润）。

3、中度严重：显著地影响战略和/或财务目标的实现（一月的利润）。

4、严重：难以实现战略目标（可能需要战略上的一次改变），和/或重大的财务影响（一季的利润）。

5、高度严重：战略目标无法实现，导致严重的财务后果（一年的利润）并威胁公司的生存能力。

第二十八条 风险可能性（概率）评价的具体尺度

1、不发生：在特定的时期内不会发生（<5%）。

2、不太可能：在特定的时期内不太可能发生（<25%）。

3、可能：在特定的时期内或许会发生（<50%）。

4、很可能：在特定的时期内发生比不发生的可能性大（>50%）。

5、肯定：在特定的时期内已经发生或几乎肯定会发生（>90%）。第二十九条 风险的层次评价（扩展的尺度）

1、极小的威胁：几乎不可能严重地威胁组织。

2、轻度威胁：不太可能严重地威胁组织。

3、中度威胁：偶尔可能成为组织的严重威胁。

4、严重威胁：很可能成为组织的严重威胁。

5、灾难性的威胁肯定是组织的严重威胁。第三十条 风险承受限度的评价

1、避免：在任何情况下都不会允许此风险发生。

2、降低：必须拥有持续地管理此风险的政策、流程和程序，并把它的影响降到最低限度。

3、管理：必须能够预测此风险的发生，并采取前瞻性的行动以降低其影响。

4、检查：将允许此风险发生，但是必须能在其影响过大之前及时检查并报告此风险。

5、接受：风险的发生是可接受的。

第三十一条 风险管理/风险控制可扩展度（可管理性或可控性）评价

1、无风险管理：组织任由风险发生，并接受其后果。

2、低层次的风险管理：风险通常都可以检测到，但是组织更依赖于应急或恢复计划。

3、中等的风险管理：在有效的监督下，能识别风险的发生，并拥有充足的时间减小风险的影响/提高获利的机会。

4、扩展的风险管理：持续的监督和前瞻性的管理活动确保把风险的影响降到最低/增强获利的可能性。

5、持续的风险管理：一个全面的风险管理计划有助于确保风险得到了预防，或者所有可度量的影响/机会都得到了优化。

第三十二条 风险管理成熟度评价（采用风险管理成熟度模型评价）—A级：特定风险管理 —B级：初步风险管理 —C级：可重复性风险管理 —D 级：主动性风险管理 —E 级：前瞻性风险管理。

第三十三条 被审事项现有风险管理水平或效力评价，例如：

1、该事项的风险管理框架不适（其中包括风险管理政策不适），不能满足该事项目标实现的要求。

2、该事项有明确与合理的风险管理框架（其中包括合理的风险管理政策），然而风险管理政策的实施不力和无效。

3、该事项有较明确与合理的风险管理框架（其中包括合理的风险管理政策），且该事项的风险管理政策能基本落实。

4、该事项有较明确与合理的风险管理框架（其中包括合理的风险管理政策），且该事项的风险管理政策能较好落实，内部控制有效，风险管理过程运行有效。

第三十四条 其他风险管理相关指标评价 例如：

（一）公司风险管理过程合理性和有效性评价

（二）公司风险文化评价

（三）公司战略风险管理水平评价（包括风险偏好）

（四）公司风险溯源和风险揭示评价

（五）风险管理的关键绩效指标评价

（六）公司危机管理能力评价

（七）公司可持续性评价

第九章 审计报告

第一节 整理审计发现的要求

第三十五条 审计发现应该以具体而简洁的语言进行表述；多余或不必要的信息不应包括在内。

第三十六条 理解某一发现所必需的信息应该一一列举，比如说相关的测试结果（如失误、例外情况等等），或者该发现所识别出的缺陷（差距）实例。

第三十七条 应该一眼就能辨别出与某一发现相关的风险。如果不是这样的话，审计人员应该对该发现所反映的风险进行具体描述

第二节 风险管理审计报告的内容

第三十八条 立项依据。

第三十九条 背景介绍。在审计报告中，应当对有助于理解审计项目立项以及审计评价的以下情况进行简要描述：

（一）选择审计项目的目的和理由；

（二）被审计单位的规模、业务性质与特点、组织机构、管理方式、员工数量、主要管理人员等；

（三）上次同类审计的评价情况；

（四）与审计项目相关的环境情况；

（五）与被审计事项有关的技术性文件；

（六）其它情况。

第四十条 审计目标与范围。审计报告中应当明确地陈述本次审计的目标，并应与审计计划中提出的目标相一致；还应当指出本次审计的活动内容和所包含的期间。如果存在未进行审计的领域，应当在报告中指出，特别是某些受到限制无法进行检查的项目，应说明受限制无法审查的原因。

第四十一条 审计重点。审计报告应当对本次审计项目的重点、难点进行详细说明，并指出针对这些方面采取了何种措施及其所产生的效果，也可以对审计中所发现的重点问题做出简短的叙述及评论。

第四十二条 审计标准。与完成审计任务相适应的国家、部门或行业颁布的必须执行的标准或法则，以及企业自身制定的章程、管理流程制度或规则等。

第四十三条 审计依据。应声明审计是按照审计准则的规定实施，若存在未遵循该准则的情形，应对其做出解释和说明。

第四十四条 审计发现与风险之间的联系，风险与风险之间的联系及相互作用的可能结果。

第四十五条 审计结论。根据已查明的事实（例如已查明关键业绩影响要素，已获取得力的审计证据），评估企业整体（或被审事项）风险管理体系的运行效果，评估每一个风险应对策略的科学性、合理性和落实效果，评估关键风险现存的风险暴露水平，比较这种风险暴露水平与期望值之间的差距，提出缩小差距的建议行动步骤和实施方案。

第四十六条 审计建议。审计人员应该依据审计发现和审计证据，结合组织的实际情况和审计结论的性质，提出审计建议。审计建议可分为以下几种类型：

（一）现有系统运行良好，无需改变；

（二）现有系统需要全部或局部改变，包括改进的方案设计，方案实施的要求，方案实施效果的预计，未实施此方案的后果分析。

第十章 附则

第四十七条.本办法未尽事宜按国家法律、法规、规范性文件和本公司章程规定执行。

第四十八条 本办法与国家法律、法规、规范性文件和本公司章程规定不一致的，以有关国家法律、法规、规范性文件和本公司章程规定为准。

第四十九条 本办法由公司审计部拟定,自公司总经理办公会批准颁布之日起施行。

第五篇：内部审计与风险管理

内部审计与风险管理

摘要:近年来，风险管理已成为内部审计的重要领域。本文在阐述了风险、风险管理的涵义的基础上，对内部审计参与风险管理的动因、内部审计如何参与风险管理进行了探讨。

关键词:内部审计；风险管理；动因

内部审计是独立监督和评价本单位及所属单位财政收支、财务收支、经济活动的真实性、合法性和效益的行为，以促进加强经济管理和实现经济目标。近年来，有些内部审计组织开始介入风险管理，并将其作为内部审计的重要领域，这一做法得到了国际内部审计职业界的普遍认可。现就此问题进行阐述。

一、风险与风险管理

（一）风险

风险是在一定环境和限期内客观存在的，导致费用、损失与损害产生的，可以认识与控制的不确定性。它具有客观性、普遍性、必然性、可识别性、可控性等特点。在风险的形成过程中，要涉及到风险因素、风险事故和损失三个方面。

风险因素，是指能够引起或增加风险事件发生机会或影响损失严重程度的因素。有物理因素、道德因素、心理因素。

风险事故，是指在风险管理中直接或间接造成损失的事故，因此可以说它是损失的媒介物。

损失，是指非故意的、非计划的和非预期的经济价值的减少，通常以货币单位来衡量。损失分为直接损失和间接损失两种。直接损失是实质性的损失，间接损失则包括额外费用损失、收入损失和责任损失三种。

（二）风险管理

风险管理作为一种特殊的管理功能，它是为人类追求安全和幸福的目标，结合前人的经验和近代的科学成就而发展起来的一门新的管理科学。对什么是风险管理，一些学者提出了自己的看法，美国学者克里斯蒂（JamesC.Cristy）认为风险管理是企业或组织为控制偶然损失的风险，以保全所得能力和资产所做的一切努力；我国的陈佳贯认为，风险管理是企业通过对潜在意外或损失的识别、衡量和分析，并在此基础上进行有效的控制，用最经济合理的方法处理风险，以实现最大的安全保障的科学管理方法。根据以上风险管理的定义，可以得出以下几点认识：风险管理是一个系统过程，包括风险的识别、衡量和控制等环节；风险管理的目标在于控制和减少损失，提高有关单位或个人的经济利益或社会效果；风险管理是一种管理方法。

二、内部审计参与风险管理的动因

内部审计之所以涉足风险管理领域，主要有以下几个原因：

（一）企业面临的风险日益增大

近年来，随着社会经济的发展，特别是经济全球化及国际化程度的加深，使企业经营环境变得日趋复杂，企业经营风险也大大增加。知识经济的到来，更使企业的风险雪上加霜。因此，减少企业面临的风险是组织实现目标的关键，也是企业的管理人员十分关心的问题。

（二）内部审计对发展的渴求

内部审计部门为了不断地发展，为了在企业中担当更重要的角色和发挥更重要的作用，总是不断寻找新的对企业又十分重要的领域，企业经理人员对风险的空前重视，为内部审计发展提供了一个绝好的机会。内部审计对风险管理的介入，将会使内部审计在企业中成为一个重要的角色，并将其在企业中的作用推向一个新水平。

（三）内部审计能够在风险管理中发挥独特的作用

1、能够客观地、从全局的角度管理风险

风险在企业内部具有感染性、传递性、不对称性等特征，即一个部门造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而是会传递到其他部门，最终可能使整个企业陷入困境。正因为如此，有些部门可能会出现过渡道德风险，因为风险不是由你们来承担（至少不是单独承担），如，采购部门为节约采购成本，就会忽视对材料规格、型号、质量方面的检查，或者有意购买残次品，这种暗藏的风险会在生产车间或销售部门反映出来，最终给企业造成巨大损失。因此对风险的认识和防范、控制需要从全局考虑，而各业务部门又很难做到这一点。

2、控制、指导企业的风险策略

由于内部审计部门处于企业的董事会、总经理和各职能部门之间的位置，内部审计人员能够充当企业长期风险策略与各种决策的协调人。通过对长期计划与短期实现的调节，内部审计人员可以调控、指导企业的风险管理策略。

3、内部审计部门的建议更易引起重视

有些企业尽管也有风险管理部门，但它属于管理部门的一个职能部门，向总经理报告，不具有独立性，其意见有时会屈服于管理当局的压力。如风险管理部门对某投资项目分析后发现风险太大不适合投资，而总经理好大喜功，他会力促项目的实施。这使得风险管理部门的作用受到限制。内部审计部门独立于管理部门，其风险评估的意见可以直接报给董事会，这会加强管理当局对内部审计部门意见的重视程度。

（四）外部审计的影响

近年来，注册会计师的业务领域不断扩展，在其所扩展的新的保证服务业务中就包括了风险评估，且是主要业务之一。这不能不对内部审计界产生影响，因为，内部审计部门和内部审计人员在风险管理方面拥有注册会计师无可比拟的优势。

三、内部审计如何参与风险管理

与一般的风险管理部门进行的风险管理相比，内部审计部门所进行的风险管理既与其有紧密的联系，又有区别。他们的联系表现在，两者的目的是统一的，都是为了降低企业的风险；两者的区别在于他们在风险管理中的角色不同。正是上述的联系和区别，导致了内部审计部门进行的风险管理过程与一般风险管理过程具有相同点和不同点。

（一）评估风险识别的充分性

所谓风险识别是指对企业所面临的以及潜在的风险加以判断、归类和鉴定风险性质的过程，换言之，就是要确定企业正在或将要面临哪些风险。内部审计部门和人员要对原有的已识别风险是否充分进行评价，即企业所面临的主要风险是否被识别出来，并找出未被识别的主要风险。采用的方法包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。

（二）评价已有风险衡量的恰当性

风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，最终定量估计风险大小，找出主要的风险源，并评价风险的可能影响，以便以此为依据，对风险采取相应对策。内部审计部门和人员要对已有的风险的衡量结果进行再检验，以确定其是否恰当，对不恰当的估计予以更正。采用的方法主要有：调查和专家打分法、风险报酬法（又称调整标准贴现率法）、风险当量法、解析方法、蒙特卡罗模拟方法等。

（三）评估风险防范措施的充分性，并提出改进措施

风险的防范措施是指为降低已识别出并已衡量的风险所采取的措施，也称风险管理工具的选择。内部审计部门和内部审计人员对有关部门针对风险所采取的防范措施进行检查，检查其是否充分、得当。对于风险缺乏充分的控制措施的情况，内部审计部门和内部审计人员应提出改进措施和建议，已强化企业的风险管理，降低风险损失。采用的方法有：避免风险、损失控制、分离风险单位、非保险方式的转移风险（包括转移风险源、签订免除责任协议、利用合同中的转移责任条款）、保险等。

综上所述，内部审计涉足风险管理领域有其客观必然性，是环境因素和其本身因素使然。在风险管理中，内部审计部门主要是对风险管理部门和其他相关部门所进行的风险管理的再监督。但这绝不意味着内部审计部门不能作为直接的风险管理人，在必要的情况下，它可以直接进行风险管理。内部审计风险管理是一个崭新的事物，对内部审计如何在风险管理中发挥作用是一个需要进一步深入探讨的课题。