风险管理审计办法

第一篇：风险管理审计办法

***********公司

风险管理审计办法

编 号：TS-KP-XS-**

版 本: 2013 编 制：审计部 批 准：董事会

2013年**月**日

****************公司内部控制体系

风险管理审计办法

目录：共九章

第一章 总则

第二章 风险管理审计的目标

第三章 风险管理审计的思路

第四章 风险管理审计的主要分类

第五章 风险管理审计须遵循的原则 第六章 风险管理审计的程序

第七章 制定风险管理审计方案的主要内容

第八章 风险管理审计取证的评价标准

第九章 审计报告

第一节 整理审计发现的要求

第二节 风险管理审计报告的内容

第十章 附则

第一章 总 则

第一条 为了规范内部审计人员对公司全面风险管理的审查与评价行为，根据中国内部审计协会《内部审计具体准则第16号——风险管理审计》、公司内部控制体系文件、《企业内部审计制度》特制定本办法。

第二条 本办法所称风险管理险审计又称风险审计或风险导向审计。风险管理审计（或风险审计）是指公司内部审计机构根据公司全面风险管理的目标和政策，采用一种系统化、规范化的方法对公司风险管理过程中的风险评估、风险应对和风险控制活动进行评价和测试，以识别、预警和纠正公司在实施风险管理过程中可能存在的不适或缺陷，进而提高公司风险管理的效率和效果，保障企业战略目标的实现。

第三条 本办法所称风险管理，是指一套由董事会和经营管理层共同设立、与企业战略相结合的管理流程。它的功能是对影响公司目标实现的各种不确定性事件进行识别与评估，并采取应对措施将其影响控制在可接受范围内的过程。风险管理旨在为公司目标的实现提供合理保证。

第四条 本办法所称全面风险管理，是指公司围绕总体经营目标，通过在公司管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理风气，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

第四条 本办法适用******有限公司（以下简称“公司”）及所属各分公司、全资子公司的内部审计工作，控股子公司的内部审计部门参照执行。

第二章 风险管理审计的目标

第五条 风险管理审计的总体目标是依据公司战略目标和风险管理政策，评价公司是如何通过实施风险管理从而实现企业各类管理目标的，进而评价公司风

险管理的效率和效力，提出改进措施，以保障公司全面风险管理目标的实现，最终支持和保障公司总体战略目标的实现。

第六条 风险管理审计总目标的具体化就是风险管理审计具体目标。风险管理审计具体目标可分为一般风险管理审计目标和专项风险管理审计目标两个层次。

第七条 一般风险管理审计目标是对事项的关键风险管理的效率和效力评价，或者说特别关注被审事项的关键风险管理框架设计的合理性和运行的有效性。其审计内容一般包括：一是评价那些可能影响被审事项目标实现的关键性风险的管理缺口（关键风险被识别程度）；二是评价为保障被审事项目标实现而开展的风险管理活动的效率和效力（或者说是评价被审事项的风险管理框架设计的合理性和运行过程的有效性）

第八条 专项风险管理审计目标是按照每一个审计专项具体任务和具体内容而定的，以下列举一些常见的专项风险管理审计目标：

(一)有关风险管理要素的审计目标，例如包括：

1、风险范围确定的合理性：包括战略范围、组织与环境范围、业务范围；

2、风险评价标准与指标体系的科学性：例如评价基础、评价方法、评价内容、指标计算；

3、风险评估方法的合理性与科学性：主要审核如下方面：按照审计确定的风险范围，核实风险识别是否全面，风险各级分类的合理性，可控风险与不可控风险确定的科学性，风险分析方法选用的科学性，风险评估结果的可信性；

4、风险治理策略和措施的合理性；

5、风险理财组合方案的合理性。

（二）风险管理活动的充足性。

（三）风险管理制度的适当性。

（四）危机管理计划的合理性与可操作性。

（五）风险管理目标与企业管理目标的协调一致性。

（六）新项目和新市场的可进入性评价。

（七）对损失事件的原因调查性评价（真实性评价）。

（八）风险相关记录和风险信息的完整性/真实性评价。

（九）内部控制体系的有效性，内部控制措施的恰当性。

（十）其他。

第三章 风险管理审计的思路

第九条 依照ISO-31000框架，核验公司风险管理过程中针对每个关键的风险环节实施的风险管理是存在和合理的，且正常运行。这些环节包括：沟通与协商，识别与分析风险，风险评估，评价和选择策略，实施风险治理，监控，持续改进。

第十条 依照COSO-ERM框架，一方面，核验战略、经营、报告和合规四大目标确实存在，并且针对这些目标的管理都是有效的，如核验董事会和经营管理层：了解组织实现其战略目标的程度，了解组织实现其经营目标的程度，能保障组织的报告是可靠的，能保障组织遵循适用的法律和法规。另一方面，核验八大要素的存在，以及核验其正常运行情况。

第十一条 对照特别制定的风险管理框架和要求来衡量企业风险管理的有效性。如内控测试状态良好，机制对风险反应迅速，公司对风险的预测能力正在逐渐提高，事故发生率降低和损失明显减少，社会责任形象提升等。

第四章 风险管理审计的主要分类

第十二条 一般风险管理审计

这类审计主要目的是识别/确认被审事项的关键业绩影响因素和评价相应的风险管理效率和效力，可细分类为：

（一）针对公司各管理层级的风险管理审计：企业整体、分公司、业务或子公司。

（二）针对公司职能领域或特定关键风险的风险管理审计：战略审计、财务审计、信息系统审计、质量审计、安全审计、环境审计和内控审计等。

（三）针对项目的风险管理审计

（四）针对各类活动的风险管理审计

（五）针对产品或服务的风险管理审计

（六）针对过程或操作的风险管理审计

（七）针对资产的风险管理审计 第十三条 风险管理要素审计

风险管理要素审计是针对企业风险管理政策、方法、措施、手段等要素实施的审计

第五章 风险管理审计须遵循的原则

第十四条 审计人员风险管理专业水准原则：审计人员应熟悉ISO-31000 “风险管理原则和实施指引”和了解ISO-31010“风险管理-风险评估技术”；

第十五条 审计人员职业道德和具备审计专业基本水准原则；

第十六条 目标导向原则：清晰地理解被审事项的目标，识别影响目标实现的风险要素，提出将这些风险要素管理至公司可接受水平之内的改进建议；

第十七条 关键性（重要性）原则：在设计审计方案和实施审计时，应关注关键目标、关键业务、关键流程和关键风险点，识别影响关键业绩实现的关键要素，进而就关键风险点的管理缺口提出改进建议；

第十八条 审计规划/计划原则：充分了解风险管理审计的审计目标和审计任务，做足审计准备，设计周密、充足和合理的审计取证方案，制定合理与可操作的风险管理审计计划和方案；

第十九条 充分了解就被审事项所设定的风险管理期望和价值原则：了解被审事项（整体或局部）的风险管理政策或管理原则，这是对公司整体、局部、业务、项目、资产、过程或活动等事项实施风险管理审计的判别依据之一；

第二十条 风险管理审计过程组织原则：执行风险管理审计计划，调整计划，及时完成计划；

第二十一条 沟通和协商原则：各审计相关方在审计过程中应保持持续和畅通的磋商和沟通；

第二十二条 确保审计质量原则：应确保审计计划制定的质量，确保审计过程实施的质量，确保审计报告的输出质量；

第二十三条 风险管理审计报告应体现重要性、客观性、完整性、及时性和可靠性原则。

第六章 风险管理审计的程序

第二十四条 风险管理审计程序如下所示：

1、风险评估与确定审计域程序（通过风险评估识别关键风险分布从而确定审计域）

2、制定风险管理审计计划程序

3、按计划实施调查和测试（主要包括内部控制测试程序和实质性测试程序）

4、审计证据评价程序、审计报告程序（包括整理审计发现、审计报告和风险管理建议）。

5、风险管理审计的后续审计

第七章 制定风险管理审计方案的主要内容

第二十五条 风险管理审计方案就审计的组织方式、时间进度、资源分配、6 审计证据取证安排、审计质量保证措施等给出更为清晰和可操作的指引。一般来讲，一个整体和较全面的企业风险管理审计计划方案应当包括：

（一）审计目标；

（二）审计域；

（三）审计要点；

（四）审计准则以及其他参照指标；

（五）审计程序及其包含内容；

（六）审计调查与测试取证安排；

（七）审计负责人及其责任；

（八）确定审计所需信息和资料；

（九）主要审计方法和技术的选用（包括控制测试和实质性测试方法）；

（十）审计时间进度和审计顺序（例如审计顺序、何时与谁交谈、进行现场观察的时间安排、对每一种审计程序推进进度的时间安排、每个阶段需进展的审计深度、何时向谁提交审计结果等）；

（十一）审计资源需求；

（十二）审计组织与审计质量保障证措施；

（十三）审计团队的组成；

（十四）对被审目标的配合要求；

（十五）审计报告要点框架等。

第八章 风险管理审计取证的评价标准

第二十六条 审计人员对风险管理的评价可以用量化数字表示：1、2、3、4、5，或用字母表示如A、B、C、D、E，表示由低到高（或由轻到重）的程度。

第二十七条 风险的严重性（或影响）的评价具体尺度（除了表达为财务指标之外，也可以用声誉、资本、法律等方式来表述风险的影响）

1、不严重：既无战略影响，又无财务影响。

2、轻度严重：相对较小的战略和/或财务影响（一星期的利润）。

3、中度严重：显著地影响战略和/或财务目标的实现（一月的利润）。

4、严重：难以实现战略目标（可能需要战略上的一次改变），和/或重大的财务影响（一季的利润）。

5、高度严重：战略目标无法实现，导致严重的财务后果（一年的利润）并威胁公司的生存能力。

第二十八条 风险可能性（概率）评价的具体尺度

1、不发生：在特定的时期内不会发生（<5%）。

2、不太可能：在特定的时期内不太可能发生（<25%）。

3、可能：在特定的时期内或许会发生（<50%）。

4、很可能：在特定的时期内发生比不发生的可能性大（>50%）。

5、肯定：在特定的时期内已经发生或几乎肯定会发生（>90%）。第二十九条 风险的层次评价（扩展的尺度）

1、极小的威胁：几乎不可能严重地威胁组织。

2、轻度威胁：不太可能严重地威胁组织。

3、中度威胁：偶尔可能成为组织的严重威胁。

4、严重威胁：很可能成为组织的严重威胁。

5、灾难性的威胁肯定是组织的严重威胁。第三十条 风险承受限度的评价

1、避免：在任何情况下都不会允许此风险发生。

2、降低：必须拥有持续地管理此风险的政策、流程和程序，并把它的影响降到最低限度。

3、管理：必须能够预测此风险的发生，并采取前瞻性的行动以降低其影响。

4、检查：将允许此风险发生，但是必须能在其影响过大之前及时检查并报告此风险。

5、接受：风险的发生是可接受的。

第三十一条 风险管理/风险控制可扩展度（可管理性或可控性）评价

1、无风险管理：组织任由风险发生，并接受其后果。

2、低层次的风险管理：风险通常都可以检测到，但是组织更依赖于应急或恢复计划。

3、中等的风险管理：在有效的监督下，能识别风险的发生，并拥有充足的时间减小风险的影响/提高获利的机会。

4、扩展的风险管理：持续的监督和前瞻性的管理活动确保把风险的影响降到最低/增强获利的可能性。

5、持续的风险管理：一个全面的风险管理计划有助于确保风险得到了预防，或者所有可度量的影响/机会都得到了优化。

第三十二条 风险管理成熟度评价（采用风险管理成熟度模型评价）—A级：特定风险管理 —B级：初步风险管理 —C级：可重复性风险管理 —D 级：主动性风险管理 —E 级：前瞻性风险管理。

第三十三条 被审事项现有风险管理水平或效力评价，例如：

1、该事项的风险管理框架不适（其中包括风险管理政策不适），不能满足该事项目标实现的要求。

2、该事项有明确与合理的风险管理框架（其中包括合理的风险管理政策），然而风险管理政策的实施不力和无效。

3、该事项有较明确与合理的风险管理框架（其中包括合理的风险管理政策），且该事项的风险管理政策能基本落实。

4、该事项有较明确与合理的风险管理框架（其中包括合理的风险管理政策），且该事项的风险管理政策能较好落实，内部控制有效，风险管理过程运行有效。

第三十四条 其他风险管理相关指标评价 例如：

（一）公司风险管理过程合理性和有效性评价

（二）公司风险文化评价

（三）公司战略风险管理水平评价（包括风险偏好）

（四）公司风险溯源和风险揭示评价

（五）风险管理的关键绩效指标评价

（六）公司危机管理能力评价

（七）公司可持续性评价

第九章 审计报告

第一节 整理审计发现的要求

第三十五条 审计发现应该以具体而简洁的语言进行表述；多余或不必要的信息不应包括在内。

第三十六条 理解某一发现所必需的信息应该一一列举，比如说相关的测试结果（如失误、例外情况等等），或者该发现所识别出的缺陷（差距）实例。

第三十七条 应该一眼就能辨别出与某一发现相关的风险。如果不是这样的话，审计人员应该对该发现所反映的风险进行具体描述

第二节 风险管理审计报告的内容

第三十八条 立项依据。

第三十九条 背景介绍。在审计报告中，应当对有助于理解审计项目立项以及审计评价的以下情况进行简要描述：

（一）选择审计项目的目的和理由；

（二）被审计单位的规模、业务性质与特点、组织机构、管理方式、员工数量、主要管理人员等；

（三）上次同类审计的评价情况；

（四）与审计项目相关的环境情况；

（五）与被审计事项有关的技术性文件；

（六）其它情况。

第四十条 审计目标与范围。审计报告中应当明确地陈述本次审计的目标，并应与审计计划中提出的目标相一致；还应当指出本次审计的活动内容和所包含的期间。如果存在未进行审计的领域，应当在报告中指出，特别是某些受到限制无法进行检查的项目，应说明受限制无法审查的原因。

第四十一条 审计重点。审计报告应当对本次审计项目的重点、难点进行详细说明，并指出针对这些方面采取了何种措施及其所产生的效果，也可以对审计中所发现的重点问题做出简短的叙述及评论。

第四十二条 审计标准。与完成审计任务相适应的国家、部门或行业颁布的必须执行的标准或法则，以及企业自身制定的章程、管理流程制度或规则等。

第四十三条 审计依据。应声明审计是按照审计准则的规定实施，若存在未遵循该准则的情形，应对其做出解释和说明。

第四十四条 审计发现与风险之间的联系，风险与风险之间的联系及相互作用的可能结果。

第四十五条 审计结论。根据已查明的事实（例如已查明关键业绩影响要素，已获取得力的审计证据），评估企业整体（或被审事项）风险管理体系的运行效果，评估每一个风险应对策略的科学性、合理性和落实效果，评估关键风险现存的风险暴露水平，比较这种风险暴露水平与期望值之间的差距，提出缩小差距的建议行动步骤和实施方案。

第四十六条 审计建议。审计人员应该依据审计发现和审计证据，结合组织的实际情况和审计结论的性质，提出审计建议。审计建议可分为以下几种类型：

（一）现有系统运行良好，无需改变；

（二）现有系统需要全部或局部改变，包括改进的方案设计，方案实施的要求，方案实施效果的预计，未实施此方案的后果分析。

第十章 附则

第四十七条.本办法未尽事宜按国家法律、法规、规范性文件和本公司章程规定执行。

第四十八条 本办法与国家法律、法规、规范性文件和本公司章程规定不一致的，以有关国家法律、法规、规范性文件和本公司章程规定为准。

第四十九条 本办法由公司审计部拟定,自公司总经理办公会批准颁布之日起施行。

第二篇：企业风险管理和审计

摘 要

论文摘要：本篇论文通过先进的风险管理理念、理论、方法、技术以及国内部分学者关于风险管理的研究成果，以COSO2004年9月制定发布的《企业风险管理—整合框架》为理论基础，以某集团为案例研究对象，运用内部审计方法和程序对某集团风险管理要素进行审计分析和评价，对风险管理理论如何在集团企业实践运用进行了探索和研究，提出企业应逐步建立完善风险管理系统，为企业在市场经济的大潮中保驾护航。

论文关键词：企业风险管理；审计；案例研究

目录

1.企业风险理论………………………………………………………………………………………………………….(3)1.1企业风险管理定义„„„„„„„„„„„„„„„„„„„„„„„(3)1.2风险分类„„„„„„„„„„„„„„„„„„„„„„„(3)1.3风险管理的内容„„„„„„„„„„„„„„„„„„„„„„„(3)

2.风险管理审计………………………………………………………………………………………………….(4)2．1风险管理审计的目标„„„„„„„„„„„„„„„„„„(3)2.2风险管理审计的内容„„„„„„„„„„„„„„„„„(4)2.2风险管理审计的程序„„„„„„„„„„„„„„„„„(4)3.基于企业风险管理和审计的案例分析…………………………………………………………(4)3.1企业简介„„„„„„„„„„„„„„„„„„(5)3.2公司风险管理和审计评价程序及结论„„„„„„„„„„„„„„„(6)4.总结……………………………………………………………………………………………………………………………….(7)5.参考文献………………………………………………………………………………………………………………………..(9)6.谢辞…………………………………………………………………………………(10)

论企业风险管理要和审计

一、企业风险理论

（一）企业风险管理定义

（1）企业风险理论是对企业内可能产生的各种风险进行识别、衡量、分析、评价，并适时采取及时有效的方法进行防范和控制，用最经济合理的方法来综合处理风险，以实现最大安全保障的一种科学管理方法。

（2）企业风险是指由于企业内外环境的不确定性、生产经营活动的复杂性和企业能力的有限性而导致企业的实际收益达不到预期收益，甚至导致企业生产经营活动失败的可能性。

（二）风险分类

风险分类按照风险的来源不同，可以分为外部风险和内部风险。

（1）企业外部风险包括：顾客风险、竞争对手风险、政治环境风险、法律环境风险、经济环境风险等；

（2）企业内部风险包括：产品风险、营销风险、财务风险、人事风险、组织与管理风险等。

立足于企业的生产经营活动来进行企业风险评估，主要评估企业内部风险，兼顾企业外部风险。

（三）风险管理的意义

风险管理的意义有效地对各种风险进行管理有利于企业作出正确的决策、有利于保护企业资产的安全和完整、有利于实现企业的经营活动目标，对企业来说具有重要的意义。

（四）风险管理的内容

企业风险管理的内容包括企业风险识别、企业风险衡量和企业风险处理三个方面。

企业风险识别是风险分析和管理中的一项基础性工作，其主要任务是明确企业风险的存在，并找到主要的风险因素，为后面的风险度量和风险决策奠定基础。

在风险识别之后必须进行企业风险衡量，以便确定其对企业发展影响的严重性并采取相应的措施，它其实就是运用一定方法对风险发生的可能性或损失的范围与程度进行估计和衡量。

企业风险处理是针对不同类型、不同规模、不同概率的企业内外部风险，采取相应的对策、措施或方法，使风险损失对企业生产经营活动的影响降到最小限度。

二、风险管理审计

（一）风险管理审计的目标

风险管理审计是指胜任的专职机构和专业人员对组织内部风险管理程序、风险反应、管理制度及机制的合理性、有效性进行独立的审查和评价过程。风险管理审计的根本目的是最大限度地增加组织价值。

审计目标是回答“通过审计要证明什么”的理论问题，是审计行为的出发点，是审计工作的指南，也是审查和评价审计内容所期望达到的境地和最终结果。审计目标体系由总目标、一般目标和项目目标构建。

（二）风险管理审计的内容

审计内容是回答“审计什么”的问题。根据ERM框架中的要素，风险管理审计的内容主要包括：

1.风险管理程序的科学性和合理性，主要包括风险管理开发阶段所制订的风险管理框架结构的内容；风险管理试探阶段所实施风险管理框架结构的内容；风险管理回顾阶段所丰富并增强风险管理框架结构的内容；风险管理展开阶段所推广并实施风险管理框架的情况；风险管理支持阶段所需要提供的各种基础组织以及服务。

2.风险反应的周密性和可行性，主要包括风险反应计划的周密性（如有否考虑风险的可规避性、可转移性、可减少性、可接受性）；风险应对策略的可行性（如是否采取了风险控制、风险自留、风险转移）。

3.风险管理制度的合法性和完善性，主要包括风险管理制度的合法性（如建立风险管理制度是否经过充分论证）；风险管理体制的完善性（如考核评价体制和责任追究制度是否健全）。

4.风险管理机制的结构性和尽责性，主要包括高层管理人员和重要岗位业务人员的风险管理理念及对风险管理的重视程度；风险管理人员的结构和素质；全员风险管理的情况。

（三）风险管理审计的程序

1.审计规划阶段，包括选定被审计对象和制定风险管理审计计划。被审计对象选定工作包括识别被审计对象的策略、识别潜在被审计对象和排列被审计对象的顺序。制定风险管理审计计划包括制订财务风险管理、生产风险管理、市场风险管理、会计风险管理、人事风险管理和其他风险管理审计计划，确定风险管理审计的位置和背景。

2.审计测评阶段，包括风险的分析、评估和监控。（1）分析风险。审计人员应对风险迹象进行深入了解、描述和记录，并对风险的可能性和发生频率进行分类。风险可能性分析结果一般有“很少的”、“不太可能的”、“可能的”、“很可能”、“基本确定”等类别，风险发生频率分析结果一般可分为“高频率、高损害风险”，“高频率、低损害风险”，“低频率、低损害风险”，“低频率、高损害风险”等类别。（2）评估风险。审计人员应分析风险的成因及其影响，并确定风险程度及等级。风险程度一般分为“极高”、“高”、“中等”、“低”和“极低”等级别。风险概率用风险发生可能性的百分比表示，风险量＝风险概率×风险损失量。（3）监控风险。审计人员应对可能发生的风险和损失进行跟踪检查。跟踪已识别风险的发展变化情况，包括在整个项目生命周期内，风险产生的条件和导致的后果变化，作出减缓风险的方案，调整风险管理计划。

3.审计报告阶段，包括汇总审计结果、出具审计报告和追加后续审计。（1）汇总审计结果，包括审计现状、标准、差异、原因和建议等部分。如审计建议中对损失大、概率大的灾难性的风险要避免；对损失小、概率大的风险，可采取措施来降低风险量；对损失大、概率小的风险，可通过保险或合同条款将责任转移；对损失小、概率小的风险，可采取积极手段来控制。（2）出具审计报告，包括标题、收件人、正文、附件、签章、报告日期等基本要素。审计报告正文部分主要内容有：审计目标、风险概况、审计依据、审计结论、审计评价和审计建议等。（3）追加后续审计。ERM是一个动态的过程，审计测试应与之相协调，追加后续审计显得重要。后续审计应将重点放在最严重的问题上，相关部门是否予以纠正，若不纠正，责任和原因到底在哪儿；对一般事项可仅限于询问和简短的讨论。

二、基于风险管理和审计的案例分析

（一）企业简介

某集团有限公司是世界上最大的制药企业之一，产品包括了处方药、疫苗、营养品、消费保健品、动物保健品等。集团总部设于美国，拥有多处制药开发基地及生产基地。集团拥有最先进的生产设备和工艺技术，以其独有的技术方法，研制出世界先进药物。基于丰富的制药管理经验，创建于1849年，是世界领先的以研发为基础的生物医学和制药公司。每天，分布于90个国家的大约80,000名员工致力于探索、研发、生产和推广各种领先的处方药，为全球患者带来高质、安全的处方产品。2008年，公司年销售额为483亿美元，并投资75亿用于研发。

（二）公司风险管理和审计评价程序及结论

公司审计部作为监督检查部门，每年至少两次从集团层面对风险管理进行整体评价，并在每季度对分、子公司执行例行审计过程中，重点关注风险管理状况。以下试从集团公司层面，以《COSO风险管理——整合框架》（以下简称COSO框架）中所列八要素为线索对公司风险管理进行分析、设计审计评价程序、提出审计评价结论。

（一）内部环境

1.理论描述。内部环境包含组织的基调，它影响组织中人员的风险意识，是企业风险管理所有其他构成要素的基础，为其他要素提供约束和结构。

2.审计评价程序。

（1）设计风险相关文化调查表对风险管理的内部环境进行调查；

（2）审查公司经营决策、管理方针政策、规章制度、行为准则等是否反映了公司的风险管理理念、诚信和道德价值观

3.审计评价结论。公司的风险管理理念属于风险偏好型，提倡抓住机会，大胆开拓。但对风险管理理念没有一个书面的说明性的陈述，这些理念存在于董事会及高级管理层的头脑中，通过收购决策、发布政策、行为准则、各种规章制度反映出来并加以强化。

（二）目标设定

1.理论描述。设定战略层次的目标，为经营、报告和合规目标奠定了基础。每一个主体都面临来自外部和内部的一系列风险，确定目标是有效的事项识别、风险评估和风险应对的前提。

2.审计评价程序。

（1）获取管理层对目标的书面陈述；

（2）通过访谈、询问，获取公司员工对公司目标的知晓、理解程度的信息；（3）通过查阅管理层的述职报告，获取目标实现进展情况的信息。3.审计评价结论。

经审计调查总结，目标如下： 积极履行企业社会责任，并努力在卫生健康产品的研究、开发和制造过程中确立其质量、安全和价值基准。实践我们真诚合作、社区精神、客户至上、革新创造、道德观念、领导人才、力争上游、尊重他人和追求品质等企业核心价值观，来衡量我们的发展。我们将全身心地投入卫生健康事业，努力致力于人民健康状况的改善。

（三）事项识别

1.理论描述。管理当局识别将会对主体产生影响的潜在事项——如果存在的话，并确定它们是否代表机会，或者是否会对主体成功地实施战略和实现目标的能力产生负面影响。带来负面影响的事项代表风险，它要求管理当局予以评估和应对。

2.审计评价程序。

（1）查阅行业有关资料，询问、访谈高层、中层、一般职工，审查风险识别是否充分、全面；

（2）审查风险识别过程资料，判断是否根据内外部环境的变化定期进行修正。

3.审计评价结论。公司管理层根据调查分析、经验总结，识别、列出公司面临的四大类（行业风险，业务风险，财务风险，合规风险）十三种主要风险：

（1）新型病毒的产生和大范围疫情的爆发；（2）企业之间的不利竞争导致业务的干扰；（3）消费者对产品信任度和支持度的下降；

（4）产品质量出现问题而导致对人身的伤害；

（5）原材料价格波动；（6）产品未能迎合市场需求；（7）主要管理层的流失；

（8）其他实体误用、盗用本公司商号（商标）；（9）资金安全管理；（10）资产安全管理；（11）会计系统故障；（12）违反《上市规则》；

（13）违反食品管理、环保法规有关法律规定。

经审计调查，公司管理层对风险识别较为充分，且计划每年分两次（期中和期末）对公司面临的风险进行全面的核查，若发现风险变化，即使进行调整，但未能严格实施。而对于机会，管理层没有进行专门识别。

（四）风险评估

1.理论描述。风险评估使主体能够考虑潜在事项影响目标实现的程度。管理当局从两个角度——可能性和影响——对事项进行评估，并且通常采用定性和定量相结合的方法。

2.审计评价程序。获取管理层对风险进行定性评估的资料，评价其评估的合理准确性以及是否根据内外部环境的变化进行动态修正。

3.审计评价结论。公司管理层对识别出来的十三种风险根据多年的从业经验和过去的风险发生的记录进行了定性的评估，由于缺乏相关的人才、技术、资料，尚未对风险进行过定量分析。公司管理层计划每年分两次（期中和期末）对公司面临的风险进行全面的核查和平谷，若发现风险变化，及使进行调整修正，但未能严格实施。

（五）风险应对

1.理论描述。在评估了相关的风险之后，管理当局就要确定如何应对。应对包括风险回避、降低、分担和承受。在考虑应对的过程中，管理当局评估对风险的可能性和影响的效果，以及成本效益，选择能够使剩余风险处于期望的风险容限以内的应对。

2.审计评价程序。通过访谈、询问，了解管理层采取的风险应对策略及理由，评价其合理性。

3.审计评价结论。公司管理层对识别出来的重要风险制定了相应的防范措施，从风险应对的角度看多为预防性措施，以降低风险发生的可能性，而没有采取购买保险等风险分担措施。

（六）控制活动

1.理论描述。控制活动是帮助确保管理当局的风险应对得以实施的政策和程序。控制活动的发生贯穿于整个组织，遍及各个层级和各个职能机构。它们包括一系列不同的活动，例如批准、授权、验证、调节、经营业绩评价、资产安全以及职责分离。

2.十三种风险审计评价程序。公司管理层针对识别出来的十三种风险，制定了防范措施，审计部门相应地制订了审计评价程序。

3.审计评价结论。经审计调查，公司管理层对于风险管理的控制活动要素较为重视，制定的风险防范措施较为全面、严密、可操作，大部分得到了严格有效执行，但也有部分单位未能严格执行风险防范措施。

（七）信息与沟通

1.理论描述。有关的信息以保证人们能履行其职责的形式和时机予以识别、获取和沟通。信息系统利用内部生成的数据和来自外部渠道的信息，以便为管理风险和作出与目标相关的知情的决策提供信息。有效的沟通会出现在组织中向下、平行和向上的流动。

2.审计评价程序。

（1）走访公司IT部和公司内部报刊编辑部，了解评价公司的信息系统的建设和运转情况。

（2）访问公司网站，观察其运转情况；

（3）使用公司的局域网、内部电话网，阅读公司内部报刊，评价其运转情况和功效发挥情况。

3.审计评价结论。公司设立了IT部，建立了较为完备、先进的信息管理系统，通过因特网、内部局域网、内部电话网、内部报刊等手段将信息以文字、声音、图片等形式进行传递，并制定各种级别的会议制度进行面对面的信息沟通。但没有建立专门的风险信息生成及传递通道。

（八）监控

1.理论描述。对企业风险管理进行监控——随时对其构成要素的存在和运行进行评估。这些是通过持续的监控活动、个别评价或者两者相结合来完成的。持续监控发生在管理活动的正常进程中。

2.审计评价程序。

（1）审查内部定期（每天、每周、每月）上报的管理报表（报告），评价风险管理日常监控职能发挥情况；

（2）审查内部审计部门的审计计划、风险管理审计报告，评价其监控职能的发挥情况。

3.审计评价结论。公司管理层通过例行的控制活动、信息报告反馈系统对经营管理状况进行日常的监控；通过内部审计部门对公司所控制的所有单位、项目进行例行审计，报告中时常反映一些被审单位风险管理状况的信息，对风险管理的监控较为及时，但对公司总部层面的风险监控较为薄弱。

三、结语

企业要想在市场经济的大潮中基业长青，必须对面临的各种风险进行系统地、全面地管理，这已是不争的事实。借鉴先进的风险管理理念、理论、方法、工具，结合本企业具体实际情况，不断的创新。对内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控八个风险管理要素逐一进行分析和评价，查找问题和不足，对风险管理文化、风险管理组织体系、风险识别、评估、排序、风险管理策略与方法、风险管理监控与检查、风险管理沟通与咨询等关键的风险管理流程采取措施不断完善，逐步完善企业风险管理系统，是解决风险管理问题的最佳实务。企业应当增强风险意识，逐步建立险管理系统，为企业保驾护航，这样企业才能在市场经济的大海中劈波斩浪，扬帆远航。

［1］王晓霞，《企业风险审计》，第一版，中国时代经济出版社，2005。

［2］江苏省电力公司、南京大学会计系，《风险管理审计评价》，第一版，中国财政经济出版社，2005。

［3］孙班军，郝建新，《风险管理案例分析与公司治理》，第一版，中国财政经济出版社，2006。

谢辞

此论文得以顺利的完成.首先,感谢我的指导老师xxx,他为我的论文提供了不少宝贵的意见,也为我论文的整理和修改提供了大量帮助.在此感谢他的付出!其次,我要感谢我的实习单位,是她给了我创意的来源.也谢谢她!最后,感谢支持和帮助我完成该论文的各位朋友们!谢谢大家!

第三篇：内部审计与风险管理

内部审计与风险管理

摘要:近年来，风险管理已成为内部审计的重要领域。本文在阐述了风险、风险管理的涵义的基础上，对内部审计参与风险管理的动因、内部审计如何参与风险管理进行了探讨。

关键词:内部审计；风险管理；动因

内部审计是独立监督和评价本单位及所属单位财政收支、财务收支、经济活动的真实性、合法性和效益的行为，以促进加强经济管理和实现经济目标。近年来，有些内部审计组织开始介入风险管理，并将其作为内部审计的重要领域，这一做法得到了国际内部审计职业界的普遍认可。现就此问题进行阐述。

一、风险与风险管理

（一）风险

风险是在一定环境和限期内客观存在的，导致费用、损失与损害产生的，可以认识与控制的不确定性。它具有客观性、普遍性、必然性、可识别性、可控性等特点。在风险的形成过程中，要涉及到风险因素、风险事故和损失三个方面。

风险因素，是指能够引起或增加风险事件发生机会或影响损失严重程度的因素。有物理因素、道德因素、心理因素。

风险事故，是指在风险管理中直接或间接造成损失的事故，因此可以说它是损失的媒介物。

损失，是指非故意的、非计划的和非预期的经济价值的减少，通常以货币单位来衡量。损失分为直接损失和间接损失两种。直接损失是实质性的损失，间接损失则包括额外费用损失、收入损失和责任损失三种。

（二）风险管理

风险管理作为一种特殊的管理功能，它是为人类追求安全和幸福的目标，结合前人的经验和近代的科学成就而发展起来的一门新的管理科学。对什么是风险管理，一些学者提出了自己的看法，美国学者克里斯蒂（JamesC.Cristy）认为风险管理是企业或组织为控制偶然损失的风险，以保全所得能力和资产所做的一切努力；我国的陈佳贯认为，风险管理是企业通过对潜在意外或损失的识别、衡量和分析，并在此基础上进行有效的控制，用最经济合理的方法处理风险，以实现最大的安全保障的科学管理方法。根据以上风险管理的定义，可以得出以下几点认识：风险管理是一个系统过程，包括风险的识别、衡量和控制等环节；风险管理的目标在于控制和减少损失，提高有关单位或个人的经济利益或社会效果；风险管理是一种管理方法。

二、内部审计参与风险管理的动因

内部审计之所以涉足风险管理领域，主要有以下几个原因：

（一）企业面临的风险日益增大

近年来，随着社会经济的发展，特别是经济全球化及国际化程度的加深，使企业经营环境变得日趋复杂，企业经营风险也大大增加。知识经济的到来，更使企业的风险雪上加霜。因此，减少企业面临的风险是组织实现目标的关键，也是企业的管理人员十分关心的问题。

（二）内部审计对发展的渴求

内部审计部门为了不断地发展，为了在企业中担当更重要的角色和发挥更重要的作用，总是不断寻找新的对企业又十分重要的领域，企业经理人员对风险的空前重视，为内部审计发展提供了一个绝好的机会。内部审计对风险管理的介入，将会使内部审计在企业中成为一个重要的角色，并将其在企业中的作用推向一个新水平。

（三）内部审计能够在风险管理中发挥独特的作用

1、能够客观地、从全局的角度管理风险

风险在企业内部具有感染性、传递性、不对称性等特征，即一个部门造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而是会传递到其他部门，最终可能使整个企业陷入困境。正因为如此，有些部门可能会出现过渡道德风险，因为风险不是由你们来承担（至少不是单独承担），如，采购部门为节约采购成本，就会忽视对材料规格、型号、质量方面的检查，或者有意购买残次品，这种暗藏的风险会在生产车间或销售部门反映出来，最终给企业造成巨大损失。因此对风险的认识和防范、控制需要从全局考虑，而各业务部门又很难做到这一点。

2、控制、指导企业的风险策略

由于内部审计部门处于企业的董事会、总经理和各职能部门之间的位置，内部审计人员能够充当企业长期风险策略与各种决策的协调人。通过对长期计划与短期实现的调节，内部审计人员可以调控、指导企业的风险管理策略。

3、内部审计部门的建议更易引起重视

有些企业尽管也有风险管理部门，但它属于管理部门的一个职能部门，向总经理报告，不具有独立性，其意见有时会屈服于管理当局的压力。如风险管理部门对某投资项目分析后发现风险太大不适合投资，而总经理好大喜功，他会力促项目的实施。这使得风险管理部门的作用受到限制。内部审计部门独立于管理部门，其风险评估的意见可以直接报给董事会，这会加强管理当局对内部审计部门意见的重视程度。

（四）外部审计的影响

近年来，注册会计师的业务领域不断扩展，在其所扩展的新的保证服务业务中就包括了风险评估，且是主要业务之一。这不能不对内部审计界产生影响，因为，内部审计部门和内部审计人员在风险管理方面拥有注册会计师无可比拟的优势。

三、内部审计如何参与风险管理

与一般的风险管理部门进行的风险管理相比，内部审计部门所进行的风险管理既与其有紧密的联系，又有区别。他们的联系表现在，两者的目的是统一的，都是为了降低企业的风险；两者的区别在于他们在风险管理中的角色不同。正是上述的联系和区别，导致了内部审计部门进行的风险管理过程与一般风险管理过程具有相同点和不同点。

（一）评估风险识别的充分性

所谓风险识别是指对企业所面临的以及潜在的风险加以判断、归类和鉴定风险性质的过程，换言之，就是要确定企业正在或将要面临哪些风险。内部审计部门和人员要对原有的已识别风险是否充分进行评价，即企业所面临的主要风险是否被识别出来，并找出未被识别的主要风险。采用的方法包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。

（二）评价已有风险衡量的恰当性

风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，最终定量估计风险大小，找出主要的风险源，并评价风险的可能影响，以便以此为依据，对风险采取相应对策。内部审计部门和人员要对已有的风险的衡量结果进行再检验，以确定其是否恰当，对不恰当的估计予以更正。采用的方法主要有：调查和专家打分法、风险报酬法（又称调整标准贴现率法）、风险当量法、解析方法、蒙特卡罗模拟方法等。

（三）评估风险防范措施的充分性，并提出改进措施

风险的防范措施是指为降低已识别出并已衡量的风险所采取的措施，也称风险管理工具的选择。内部审计部门和内部审计人员对有关部门针对风险所采取的防范措施进行检查，检查其是否充分、得当。对于风险缺乏充分的控制措施的情况，内部审计部门和内部审计人员应提出改进措施和建议，已强化企业的风险管理，降低风险损失。采用的方法有：避免风险、损失控制、分离风险单位、非保险方式的转移风险（包括转移风险源、签订免除责任协议、利用合同中的转移责任条款）、保险等。

综上所述，内部审计涉足风险管理领域有其客观必然性，是环境因素和其本身因素使然。在风险管理中，内部审计部门主要是对风险管理部门和其他相关部门所进行的风险管理的再监督。但这绝不意味着内部审计部门不能作为直接的风险管理人，在必要的情况下，它可以直接进行风险管理。内部审计风险管理是一个崭新的事物，对内部审计如何在风险管理中发挥作用是一个需要进一步深入探讨的课题。

第四篇：内部审计与风险管理

内部审计与风险管理

编辑：凌月仙仙

作者：刘世谨 出处：中国论文下载中心 日期：2004-1-1

[关键词]内部审计；风险管理；动因

[摘要]近年来，风险管理已成为内部审计的重要领域。本文在阐述了风险、风险管理的涵义的基础上，对内部审计参与风险管理的动因、内部审计如何参与风险管理进行了探讨。

近年来，有些内部审计组织开始介入风险管理，并将其作为内部审计的重要领域，这一做法得到了国际内部审计职业界的普遍认可，以至于国际内部审计师协会在1999年通过的内部审计的最新定义把评价和改善组织的风险管理和控制的有效性作为内部审计的主要内容。本文将对此问题进行阐述。

一、风险、风险管理

（一）风险、风险因素、风险事故和损失

风险是在一定环境和限期内客观存在的，导致费用、损失与损害产生的，可以认识与控制的不确定性（赵曙明、杨钟，1998）。它具有客观性、普遍性、必然性、可识别性、可控性等特点。在风险的形成过程中，要涉及到风险因素、风险事故和损失三个方面。

风险因素，是指能够引起或增加风险事件发生机会或影响损失的严重程度的因素。风险因素可分成三类：（1）物理因素，是指增加风险发生机会或损失严重程度的直接条件；（2）道德因素，是指由于个人不诚实或不良企图，故意使风险事件发生或扩大已发生风险事件的损失程度的因素；（3）心理因素，是指由于人们主观上的疏忽或过失而导致增加风险事件的机会或扩大了损失严重程度的因素。

风险事故，是指在风险管理中直接或间接造成损失的事故，因此可以说它是损失的媒介物。

损失，是指非故意的、非计划的和非预期的经济价值的减少，通常以货币单位来衡量。损失分为直接损失和间接损失两种。直接损失是实质性的损失，间接损失则包括额外费用损失、收入损失和责任损失三种。额外费用损失措必须修理或重置而支出的费用；收入损失指由于该企业设备损毁以至无法生产成品而减少的利润；责任损失指由于过失或故意致使他人遭受体伤或财产的侵权行为而依法应当担负的赔偿责任。

对于风险因素、风险事故和损失之间的关系，有两种解释理论：一是亨利希（H.W.heinrich）的骨牌理论；二是哈同（W.Haddon）的能量释放论。他们都认为风险因素引发风险事故，而风险事故导致损失，但侧重点不同。前者强调三张骨牌之所以相继倾倒是由于人的错误所致。后者则认为之所以造成损失是由于事物所承受的能量超过其所能容纳的能量所致，物理因素起主要作用。

（二）风险管理

风险管理作为一种特殊的管理功能，它是为人类追求安全和幸福的目标，结合前人的经验和近代的科学成就而发展起来的一门新的管理科学。对什么是风险管理，一些学者提出了自己的看法，美国学者克里斯蒂（JamesC.Cristy）认为风险管理是企业或组织为控制偶然损失的风险，以保全所得能力和资产所做的一切努力；另外两位美国学者威廉斯（C.Arthur Williams.Jr.）和理查德。汉斯（Richard M.Heins）认为，风险管理是通过对风险的鉴定、衡量和控制，以最低的成本使风险所造成的损失控制在最低程度的管理方法；我国的陈佳贯认为，风险管理是企业通过对潜在意外或损失的识别、衡量和分析，并在此基础上进行有效的控制，用最经济合理的方法处理风险，以实现最大的安全保障的科学管理方法。根据以上风险管理的定义，我们可以得出以下几点认识：（1）风险管理是一个系统过程，包括风险的识别、衡量和控制等环节；（2）风险管理的目标在于控制和减少损失，提高有关单位或个人的经济利益或社会效果；（3）风险管理是一种管理方法。

二、内部审计参与风险管理的动因

内部审计之所以涉足风险管理领域，主要有以下几个原因：

1、企业面临的风险日益增大

近年来，随着社会经济的发展，特别是经济全球化及国际化程度的加深，使企业经营环境变得日趋复杂，企业经营风险也大大增加。知识经济的到来，更使企业的风险雪上加霜。因此，减少企业面临的风险是组织实现目标的关键，也是企业的管理人员十分关心的问题。内部审计的目的在于增加组织的价值和改善组织的经营，内部审计人员是企业的管理咨询师，因此，内部审计部门和内部审计人员参与企业的风险管理也就顺理成章了。

2、内部审计对发展的渴求

内部审计部门为了不断地发展，为了在企业中担当更重要的角色和发挥更重要的作用，总是不断寻找新的对企业又十分重要的领域，企业经理人员对风险的空前重视，为内部审计发展提供了一个绝好的机会。内部审计对风险管理的介入，将会使内部审计在企业中成为一个重要的角色，并将其在企业中的作用推向一个新水平。正因如此，内部审计师的职业组织——国际内部审计师协会才不遗余力地倡导内部审计师进军这一领域，把风险管理作为内部审计的重要领域直接写入了内部审计的定义。

3、内部审计能够在风险管理中发挥独特的作用

内部审计在风险管理中的独特作用有三：

（1）能够客观地、从全局的角度管理风险

风险在企业内部具有感染性、传递性、不对称性等特征，即一个部门造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而是会传递到其他部门，最终可能使整个企业陷入困境。正因为如此，有些部门可能会出现过渡道德风险，因为风险不是由你们来承担（至少不是单独承担），如，采购部门为节约采购成本，就会忽视对材料规格、型号、质量方面的检查，或者有意购买残次品，这种暗藏的风险会在生产车间或销售部门反映出来，最终给企业造成巨大损失。因此对风险的认识和防范、控制需要从全局考虑，而各业务部门又很难做到这一点。

内部审计部门不从事具体业务活动，独立于业务管理部门，这使得它们可以从全局出发、从客观的角度对风险进行识别，及时建议管理部门采取措施控制风险。

（2）控制、指导企业的风险策略

由于内部审计部门处于企业的董事会、总经理和各职能部门之间的位置，内部审计人员能够充当企业长期风险策略与各种决策的协调人。通过对长期计划与短期实现的调节，内部审计人员可以调控、指导企业的风险管理策略。

（3）内部审计部门的建议更易引起重视

有些企业尽管也有风险管理部门，但它属于管理部门的一个职能部门，向总经理报告，不具有独立性，其意见有时会屈服于管理当局的压力。如风险管理部门对某投资项目分析后发现风险太大不适合投资，而总经理好大喜功，他会力促项目的实施。这使得风险管理部门的作用受到限制。内部审计部门独立于管理部门，其风险评估的意见可以直接报给董事会，这会加强管理当局对内部审计部门意见的重视程度。

4、外部审计的影响

近年来，注册会计师的业务领域不断扩展，在其所扩展的新的保证服务业务中就包括了风险评估，且是主要业务之一。这不能不对内部审计界产生影响，因为，内部审计部门和内部审计人员在风险管理方面拥有注册会计师无可比拟的优势，比如：内部审计部门和内部审计人员对企业面临的风险更了解；内部审计部门和内部审计人员对防范企业风险、实现企业目标有着更强烈的责任感。既然外部审计可以从事此项业务，内部审计就更可以从事这一工作。

三、内部审计如何参与风险管理

与一般的风险管理部门进行的风险管理相比，内部审计部门所进行的风险管理既与其有紧密的联系，又有区别。他们的联系表现在，两者的目的是统一的，都是为了降低企业的风险；两者的区别在于他们在风险管理中的角色不同。正是上述的联系和区别，导致了内部审计部门进行的风险管理过程与一般风险管理过程具有相同点和不同点。

内部审计部门所进行的风险管理是在一般部门所进行的风险管理基础上的再监督，其风险管理过程应包括三个方面：（1）评估风险识别的充分性；（2）评价已有风险衡量的恰当性；（3）评估风险防范措施的充分性，并提出改进措施。

（一）评估风险识别的充分性

所谓风险识别是指对企业所面临的、以及潜在的风险加以判断、归类和鉴定风险性质的过程，换言之，就是要确定企业正在或将要面临哪些风险。内部审计部门和人员要对原有的已识别风险是否充分进行评价，即企业所面临的主要风险是否均已被识别出来，并找出未被识别的主要风险。采用的方法包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。

（二）评价已有风险衡量的恰当性

风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，最终定量估计风险大小，找出主要的风险源，并评价风险的可能影响，以便以此为依据，对风险采取相应对策。内部审计部门和人员要对已有的风险的衡量结果进行再检验，以确定其是否信当，对不恰当的估计予以更正。采用的方法主要有：调查和专家打分法、风险报酬法（又称调整标准贴现率法）、风险当量法、解析方法、蒙特卡罗模拟方法等。

（三）评估风险防范措施的充分性，并提出改进措施

风险的防范措施是指为降低已识别出并已衡量的风险所采取的措施，也称风险管理工具的选择。内部审计部门和内部审计人员对有关部门针对风险所采取的防范措施进行检查，检查其是否充分、得当。对于风险缺乏充分的控制措施的情况，内部审计部门和内部审计人员应提出改进措施和建议，已强化企业的风险管理，降低风险损失。采用的方法有：避免风险、损失控制、分离风险单位、非保险方式的转移风险（包括转移风险源、签订免除责任协议、利用合同中的转移责任条款）、保险等。

综上所述，内部审计涉足风险管理领域有其客观必然性，是环境因素和其本身因素使然。在风险管理中，内部审计部门主要是对风险管理部门和其他相关部门所进行的风险管理的再监督。但这绝不意味着内部审计部门不能作为直接的风险管理人，在必要的情况下，它可以直接进行风险管理。内部审计介人风险管理是一个崭新的事物，对内部审计如何在风险管理中发挥作用是一个需要进一步深入探讨的课题。

第五篇：审计风险

一、内部审计概述

随着经济一体化的进程，审计在维护秩序、提高经济效益方面发挥着越来越重要的作用。内部审计指部门或单位内部独立的审计机构和审计人员，依照律、法规、政策、程序和方法，对本部门、本单位的收支及其经济活动进行审核，查明其真实性、合法性和有效性，并提出建议和意见的一种经济监督活动。内部审计风险是指财务报告事实上存在重大错报、漏报，或者企业经营上存在的弊端，或内控制度存在重大漏洞缺陷，内部审计人员经过审计未能发现或失察，而提出不正确或不恰当的审计意见，审计对象及其相关方面遭受损失或损害，并由此引起审计主体承担责任的风险。为了有效地防范和避免审计风险，应对内部审计风险进行科学的分析和深入研究，从而保证内部审计事业健康发展。

二、内部审计风险的成因

（一）内部审计的主观风险

1、内部审计机构缺乏相对独立性。内部审计机构是单位内设机构，在本单位负责人的领导下开展工作，为本单位实现经营目标服务。因此，内部审计的独立性不如外部审计，不可避免地受本单位的利益限制。内部审计的组织形式也反映出其独立性的弱化，有的单位把审计机构设在财务部门中，有的把审计机构和监察部门合并在一起，有的单位由分管钱财物资及账目的人员兼任审计岗位，有的单位领导既领导财会工作，又领导审计工作。因此，企业的内部审计很难站在客观、公允的立场上对企业的财务状况做出客观、公允的评价。

2、内部审计人员的综合素质不能适应目前的工作需要。审计人员的素质包括思想素质、职业素质、业务技能素质、工作态度及素质，内部审计人员素质不像专业的审计人员那么高，很难客观地做出公正和无偏见的判断；另外，内部审计人员配备普遍不足，有的人员缺乏专业培训，人数也难以满足审计业务的需要。同时，相当一部分审计人员改革创新意识比较弱，审计理念还停留在传统审计上，大局意识和风险意识不强。

3、内部审计程序和方法本身隐含的审计风险。许多企业内部不完善，如审计机构缺少事前的审计计划，事中的审计程序和报告前的审计复核，审计工作底稿不完整，一般只记录审计问题事项，而未记录审计人员认为正确的审计事项，使得审计复核、控制无从入手，这都使内部审计质量得不到保证，风险防范意识薄弱。

（二）内部的客观风险

1、内部审计制度不健全。内部审计目前只有20世纪八十年代审计署颁布的《关于内部审计工作的规定》（1989年制定，2003年修订），法律级次明显偏低，可操作性差，存在着滞后现象。这样，内审人员在进行审计时，只有依据经验和知识进行分析判断，在某种程度上严重影响了审计结论的权威性和正确性，因而大大增加了。

2、审计对象的复杂及审计范围的扩展，加大了内审风险。现代组织由于经营规模的扩大，经营业务的日趋复杂，使得内审对象的范围逐步扩展，为内部审计带来了更多的困难。这里差错和虚假的资料掺杂其中，失察的可能性也随之增大；内部审计业务也已不再局限于收支审计，还包括责任审计、内审业务的拓展、使审计人员承担更多责任和风险。

3、企业的外部导致的审计风险。近年来，随着经济的发展，特别是经济全球化及国际化程度的加深，使企业经营环境变得日趋复杂，企业经营风险也大大增加。经营风险的存在往往引发更大的审计风险，对内部审计人员提出了更加严峻的挑战，加剧审计风险的产生。