ERM框架下企业风险导向内部审计

　　摘要：内部审计历史源远流长，经历了一系列的发展过程，风险导向内部审计是近几年来企业为适应经济发展产生的最新的内部审计模式。在面临激烈竞争的市场环境，企业逐渐地把风险作为核心，怎样有效发现、分析及控制风险成为了重中之重。ERM框架也就是在这样的背景下发展起来并糅合了内部治理及内部控制。本文将风险导向内部审计及ERM框架联合起来进行分析，找到两者的联系并试图取得两者在运行流程中的衔接点，构建一个综合的以风险为轴心的流程图从而更好地进行企业风险导向内部审计及风险管理工作。
　　关键词：风险导向内部审计；ERM框架
　　一.前言
　　风险导向内部审计是将关注点放在企业各个层面包括整体风险上，并且促进企业能够增加价值的一项新的内部审计模式。国内众多学者对风险导向内部审计的目标、特点、对象等给予了较多的关注。随着当前经济的迅速发展，企业外部环境的不稳定性增强，对风险导向内部审计的需求更加迫切。而ERM框架的提出，也是在基于一系列的财务丑闻曝光，越来越多企业看到了内部控制、公司治理的重要性，并且将其纳入到了风险管理当中。风险导向内部审计和ERM到底存在怎样的关系，是一个很好的思考点。
　　二.ERM框架和风险导向内部审计产生背景
　　为适应经济发展，管理理论和实践也随着时间的推移在逐渐丰富和复杂。在20世纪90年代，公司治理、内部控制和风险管理的研究进入一个百家争鸣的阶段，各个国家都出台了各种规范。在1994年，COSO委员会发布了《内部控制-整体架构》，帮助企业更好地改善其内控体系。此后，该框架被充分运用到了政策、规则制定当中，许多企业也将该框架作为标杆纳入到了企业的内控体系中，从而更好地控制为实现企业目标所进行的活动。作为响应，COSO委员会（反欺诈财务报告委员会）颁发了新的报告《企业风险管理-整合框架》（简称ERM）。
　　ERM包括了内部环境、目标设定、事件识别、风险评估、风险回应、控制活动、信息沟通及监督八项基本要素，这些要素构成了风险管理机制。不过风险管理覆盖到了企业的所有层面，包括了业务单位、子公司、分支机构和公司的整体层次。它是一个过程，由企业董事会、管理层和其他员工共同参与，应用于企业战略制定和企业内部各个层次部门，用于识别可能对企业造成潜在影响的事项，并在其风险偏好的范围内管理风险，为实现企业的目标提供有效保证的过程。
　　三.风险导向内部审计产生背景及相关概念
　　风险导向内部审计并非是内部审计的唯一模式，按照历史顺序，内部审计的模式发展大致经历了四个阶段：财务导向内部审计阶段、业务导向内部审计阶段、管理导向内部审计阶段和风险导向内部审计阶段。这四个阶段中每个审计模式，其审计目标、范围、技术及职能都有所不同，从最初只对财务账簿和具体财务事项的查错纠弊再到对业务和管理控制的分析评价再到以完成受托管理责任为目标给管理人员在实现企业目标进程中提出建议，最终发展到了更符合当今企业经营发展要求的风险导向内部审计。
　　在对风险导向内部审计的定义中，目前还没有一个统一的定论。笔者认为，综合当前学术界对风险导向审计内涵的不同解释，认同以下观点：风险导向内部审计是指在审计过程中始终以风险分析评估为工作指引，对风险进行量化评估并排定审计项目的优先次序，根据风险确定审计具体范围和重点，再综合评价企业风险管理、内部控制和治理程序，提出建设性意见，帮助企业实现价值增值目标，并在整个过程中保持独立客观的一项确认和咨询的活动。
　　四.风险导向内部审计与ERM相互交叉融合
　　区别于传统的内部审计，风险导向内部审计遵循了"目标-风险-控制"的逻辑顺序，确认企业战略或者是某个项目的目标，分析对这些目标产生影响的风险以及能够管理这些风险的控制活动或者措施，通过测试这些控制活动或者措施是否切实实施来管理风险。而ERM包含了内部治理、内部控制、风险管理，应用于企业战略制定和各个层次部门，用于识别可能对企业造成潜在影响的事项，从而为实现企业目标做保证的过程。它也是包括了整个企业所有的风险。因此，可以看出，风险导向内部审计的审计对象就是ERM，帮助ERM确认风险，在确认过程中根据具体的事项不断调整审计战略、确定审计重点；而企业内部人员通过向内部审计人员咨询的方式，也能够更有效率地参与到ERM中来。
　　监控方式改进，完善企业内部控制。内部审计的一项工作就是评估风险管理系统对已确认的风险所提出的防范和控制措施的适当性及其有效性，也就是说，内部审计部门在进行审计时候，不但对有关部门所采用的控制手段的充分适当性进行检验，对于那些缺乏充分地风险控制的部分，要提出来并给出合理建议。同时还需要评价高级管理层制定风险控制程序的有效性，能否将剩余风险降低在董事会可接受水平，这些步骤的施行能够使得管理层更好地改善风险管理和内部控制。
　　风险导向内部审计监督企业更好进行内部治理。企业管理层在进行战略决策的时候，需要充分地分析企业内部的风险，针对风险做出决策。但是能够做出有效决策的前提是所识别到的风险必须真实完整，这就依靠风险导向内部审计能够给管理层提供可靠的信息。同时，风险导向内部审计符合ERM所提出的全局观念，不但要检查本企业的风险情况，还要观察行业内其他企业的经营状况乃至整个市场的经营风险水平。各个业务管理部门由于其本身职能的局限性，无法有效识别风险。而内部审计人员由于其本身独立于其他部门，可以从全局出发、苦干地对风险进行识别并且及时建议相关部门采取措施控制风险。因而内部审计人员可以作为企业长期风险和决策的协调者，帮助管理层更好做出决策，有效实施公司治理。