每個組織的存在都有其目標，在實現(xiàn)目標的過程中，存在著影響目標實現(xiàn)的不確定性因素。企業(yè)管理層的一項重要職責就是要建立一個良好的風險管理體系，來識別、評價和控制風險，為企業(yè)目標的實現(xiàn)提供合理的保證。內(nèi)部審計在風險管理中的作用就是監(jiān)控、檢查、評估、報告管理層風險管理過程的充分性和有效性，提出改進意見，幫助企業(yè)改進風險管理與控制體系，從而為企業(yè)增加價值。

　　企業(yè)風險管理體系簡介

　　要對風險管理過程的充分性和有效性進行評價，首先要對風險管理體系有一個初步的了解。根據(jù)美國COSO委員會《企業(yè)風險管理框架》的要求，建立風險管理體系包括相互關(guān)聯(lián)的八個風險管理要素，各要素貫穿在企業(yè)管理過程中，為實現(xiàn)企業(yè)目標提供保證。

　　第一是內(nèi)控環(huán)境。主要是在企業(yè)中樹立風險管理理念，營造一種風險管理文化，為其他風險管理要素打下基礎(chǔ)。

　　第二是目標制定。管理者必須首先確定企業(yè)的目標，才能夠確定對目標的實現(xiàn)有潛在影響的事項。根據(jù)企業(yè)確定的任務(wù)或預(yù)期，管理者制定企業(yè)的戰(zhàn)略目標，選擇戰(zhàn)略并確定其他與之相關(guān)的目標并在企業(yè)內(nèi)層層分解和落實。

　　第三是事項識別。下列事情可能給組織帶來風險：因使用不正確、不及時、不完整、不可靠的資料而導(dǎo)致決策錯誤；記錄有錯誤、會計核算資料不真實、不完整；資產(chǎn)保護不當；顧客不滿意，組織信譽受損；執(zhí)行組織決策、計劃、程序不力，或有違法違規(guī)行為；不經(jīng)濟地獲取或無效地利用資源；沒有完成組織的任務(wù)和目標。需要企業(yè)的管理者對其進行識別、評估和反應(yīng)。

　　第四是風險評估。風險評估可以使管理者了解潛在事項如何影響企業(yè)目標的實現(xiàn)。管理者應(yīng)從兩個方面對風險進行評估-風險發(fā)生的可能性和影響。對于風險的評估應(yīng)從企業(yè)戰(zhàn)略和目標的角度進行。

　　第五是風險反應(yīng)。風險反應(yīng)可以分為規(guī)避風險、減少風險、共擔風險和接受風險四類。對于每一個重要的風險，企業(yè)都應(yīng)考慮所有的風險反應(yīng)方案。有效的風險管理要求管理者選擇可以使企業(yè)風險發(fā)生的可能性和影響都在風險容忍度之內(nèi)的風險反應(yīng)方案。

　　第六是控制活動?？刂苹顒邮菐椭ＷC風險反應(yīng)方案得到正確執(zhí)行的相關(guān)政策和程序。控制活動存在于企業(yè)的各個部分、各個層面和各個部門，通常包括兩個要素：確定應(yīng)該做什么的政策和影響該政策的一系列程序。

　　第七是信息和溝通。來自于企業(yè)內(nèi)部和外部的相關(guān)信息必須以一定的格式和時間間隔進行確認、捕捉和傳遞，以保證企業(yè)的員工能夠執(zhí)行各自的職責。

　　第八是監(jiān)控。對企業(yè)風險管理的監(jiān)控是指評估風險管理要素的內(nèi)容和運行以及執(zhí)行質(zhì)量的一個過程。企業(yè)可以通過持續(xù)監(jiān)控和個別評估兩種方式，來保證企業(yè)的風險管理在企業(yè)內(nèi)務(wù)管理層面和各部門持續(xù)得到執(zhí)行。

　　從以上八個風險管理要素可以看出，企業(yè)風險管理是一個過程。是一個由企業(yè)的董事會、管理層和其他員工共同參與的，應(yīng)用于企業(yè)戰(zhàn)略制定和企業(yè)內(nèi)部各個層次和部門的，用于識別可能對企業(yè)造成潛在影響的事項并在其風險偏好范圍內(nèi)管理風險的，為企業(yè)目標的實現(xiàn)提供合理保證的過程。

　　內(nèi)部審計在風險管理中的作用

　　根據(jù)《內(nèi)部審計實務(wù)標準》對內(nèi)部審計的定義：內(nèi)部審計是一種獨立、客觀的保證與咨詢活動，目的是為機構(gòu)增加價值并提高機構(gòu)的運作效率。它采用系統(tǒng)化規(guī)范化的方法來對風險管理、控制及治理程序進行評估和改善，從而幫助機構(gòu)實現(xiàn)其目標。所以在風險管理中，內(nèi)部審計要發(fā)揮兩方面的作用：

　　第一是對風險管理過程的充分性和有效性進行評價，主要從以下幾個方面進行評價：1.評價企業(yè)戰(zhàn)略目標的制定是否是在分析組織和行業(yè)的發(fā)展情況和趨勢、企業(yè)的優(yōu)勢和劣勢、外部的機會和威脅的基礎(chǔ)上結(jié)合企業(yè)風險偏好來制訂；2.與相關(guān)管理層討論部門的目標，看分解到各部門的目標是否對戰(zhàn)略目標提供足夠的支持；3.評價管理層對風險的識別和評估是否準確；4.分析控制措施是否完善，是否可以使企業(yè)風險發(fā)生的可能性和影響都落在風險容忍度之內(nèi)；5.風險監(jiān)控是否持續(xù)得到執(zhí)行，監(jiān)控報告制度是否恰當，風險管理報告是否充分、及時。

　　第二是以咨詢顧問身份協(xié)助機構(gòu)確定、評價并實施針對風險管理的方法和控制措施。內(nèi)部審計在該方面的作用包括：1.進行控制和風險評估培訓。使風險意識貫穿于整個企業(yè)的各個層面，并且使每名員工能夠有效識別風險并提出有效控制措施，實施企業(yè)全員、全過程、全方位、全天候的風險管理。2.召開控制和風險評估專題討論會。針對重大風險隱患，要集合企業(yè)內(nèi)外部的專家進行專題研討。審計人員既是組織者，又是參與者，同時也是學習者。3.開發(fā)自我評估工具。對風險管理進行深入研究，利用現(xiàn)代技術(shù)開發(fā)適合本企業(yè)的評估工具。

　　將企業(yè)風險管理融入內(nèi)部審計程序

　　在風險管理中，內(nèi)部審計部門主要是對風險管理部門和其他相關(guān)部門所進行的風險管理進行再監(jiān)督。因此內(nèi)部審計程序與機構(gòu)的風險管理之間應(yīng)該協(xié)調(diào)一致，使這兩項工作產(chǎn)生協(xié)同增效的作用。

　　1.在編制審計計劃時，應(yīng)該在對可能影響機構(gòu)的風險進行評估的基礎(chǔ)上，制定內(nèi)部審計部門的審計計劃，確定審計項目。

　　2.確定審計范圍時，要考慮并反映整個公司的戰(zhàn)略性計劃目標，并每年對審計范圍進行一次評估，以反映機構(gòu)的最新戰(zhàn)略和方針。

　　3.編制審計方案時，通過風險因素分析來確定審計業(yè)務(wù)工作重點；在審計實施過程中，通過評價內(nèi)控制度，查找其中的疏漏和薄弱環(huán)節(jié)；在更新審計范圍與計劃的內(nèi)容時，要反映管理層的方針、目標、工作重心出現(xiàn)的變化。在選擇檢測、證實風險的技術(shù)與方法時，應(yīng)該能夠反映出風險的重大性與發(fā)生的可能性。

　　4.在編制審計報告時，應(yīng)對風險管理狀況進行評價，指出風險管理中存在的漏洞和不足之處，提出加強管理的建議。

　　5.追蹤審計時，將風險確定為決定追蹤審計范圍的重要因素，風險越大，追蹤審計的范圍就越廣。追蹤審計應(yīng)該將注意力集中于最嚴重的潛在的問題上，通過持續(xù)追蹤，確保對于重大的審計發(fā)現(xiàn)，相關(guān)部門采取措施予以糾正。