【摘要】企业风险管理可以帮助管理层有效应对不确定性并处理与之相随的风险和机会，增强其创造价值的能力。本文主要讨论企业风险管理的概念和要素及其审计的目标、内容和程序。

【关键词】内部控制；企业风险管理；风险审计

一、企业风险管理

（一）企业风险管理概念

根据《企业风险管理框架》（简称erm框架），“企业风险管理是一个过程。这个过程受董事会、管理层和其他人员的影响。这个过程从组织战略制定一直贯穿到组织的各项活动中，用于识别那些可能影响组织的潜在事件并管理风险，使之在组织的风险偏好之内，从而合理确保组织取得既定的目标。”erm框架有三个维度，第一维是组织的目标，包括战略目标、经营目标、报告目标和合规目标；第二维是企业风险管理要素，包括内部环境、目标设定、事项识别、风险评估、风险反应、控制活动、信息和交流、监控；第三维是组织的各个层级，包括整个组织、各职能部门、各条业务线及下属各子公司。erm三个维度的关系是，企业风险管理的八个要素都是为组织的四个目标服务的；组织各个层级都要坚持同样的四个目标；每个层次都必须从以上八个方面进行风险管理。企业风险管理定义直接关注组织目标的实现，并且为衡量组织风险管理的有效性提供了基础。该定义强调：风险管理本身并不是一个结果，而是实现结果的一种方式；决定一个组织的风险管理是否有效是基于对风险管理要素设计和执行是否正确的评估基础上的一个主观判断；该过程应应用于组织内部每个层次和部门，可以从一个组织的总体来认识，也可以从一个单独的部门或多个部门的角度来认识；该过程是用来识别可能对组织造成潜在影响的事项并在风险偏好的范围内管理风险。

（二）企业风险管理要素

1.内部环境。内部环境包含组织基调，是组织员工如何看待风险、对待风险的基础，包括风险管理理念、风险偏好、正直和道德价值观及工作环境，是其他所有风险管理要素的基础，为其他要素提供规则和结构。管理当局是内部环境的重要组成部分，对其他内部环境要素有重要的影响，其职责是建立组织风险管理理念，确定组织的风险偏好，营造组织的风险文化，并将风险管理和相关的初步行动结合起来。

2.目标制定。组织先制定使命，在此背景下，管理层制定战略和目标，并把目标逐层分解为战略目标（高层次目标，和组织使命方向一致，并支持使命）、运营目标（有效且高效地使用资源）、报告目标（报告的可靠性）和合规目标（遵循适用的法律法规）。企业风险管理框架就是为实现组织目标服务，确保管理层参与目标制定流程，确保所选择的目标不仅和组织使命方向一致，支持组织的使命，而且能够保证制定的目标与组织的风险偏好相一致。

3.事项识别。事项既可能带来消极后果，也可能带来积极后果，或者带来混合后果。消极后果的事项意味着风险，它会阻碍价值创造或破坏现有价值。积极后果的事项会抵消消极影响，或者带来机会（所谓机会，就是事项如果发生，能促进目标的实现，能支持价值创造或价值的保存）。因此，管理者应识别影响组织目标实现的内外事项，分清风险和机会。企业风险管理能够改善对交叉影响的有效反应，并能为各种风险提供统一的风险反应对策。

4.风险评估。识别和分析风险，考虑可能性和后果，在此基础上决定应如何管理风险。风险评估可以使管理者了解潜在事项如何影响组织目标的实现。管理者应从两个方面对风险进行评估——风险发生的可能性和影响。风险发生的可能性是指某一特定事项发生的可能性，影响则是指事项的发生将会带来的影响。对于风险的评估应从组织战略和目标的角度进行。

5.风险反应。风险反应是管理层选择风险反应方式并制定一套措施把风险控制在组织的风险容忍度和风险偏好之内。风险反应可以分为规避风险、减少风险、共担风险、接受风险和利用风险。规避风险是指采取措施退出会给组织带来风险的活动。减少风险是指减少风险发生的可能性、减少风险的影响或两者同时减少。共担风险是指通过转嫁风险或与他人共担风险，降低风险发生的可能性或降低风险对组织的影响。接受风险则是不采取任何行动而接受可能发生的风险及其影响。利用风险是把风险看作机会，利用可能发生的风险及其影响。对于每一个重要的风险，组织都应考虑所有的风险反应方案。

6.控制活动。控制活动是帮助保证风险反应方案得到正确执行的相关政策和程序。控制活动存在于组织的各部分、各个层面和各个部门，通常包括两个要素：确定应该做什么的政策和影响该政策的一系列程序。

7.信息和沟通。识别、分析和沟通来自于组织内部和外部的相关信息，必须以一定的格式和时间间隔进行确认、捕捉和传递，以保证组织的员工能够执行各自的职责。有效的沟通包括组织内上传、下达和平行的沟通，还包括将相关的信息与组织外部相关方进行有效沟通和交换。

8.监控。监控是指评估风险管理要素的内容和运行以及一段时期的执行质量的一个过程。组织可以通过两种方式对风险管理进行监控——持续监控和个别评估。持续监控和个别评估都是用来保证组织的风险管理在组织内务管理层面和各部门持续得到执行。

二、风险管理审计

（一）风险管理审计的目标

风险管理审计是指胜任的专职机构和专业人员对组织内部风险管理程序、风险反应、管理制度及机制的合理性、有效性进行独立的审查和评价过程。风险管理审计的根本目的是最大限度地增加组织价值。

审计目标是回答“通过审计要证明什么”的理论问题，是审计行为的出发点，是审计工作的指南，也是审查和评价审计内容所期望达到的境地和最终结果。审计目标体系由总目标、一般目标和项目目标构建。

（二）风险管理审计的内容

审计内容是回答“审计什么”的问题。根据erm框架中的要素，风险管理审计的内容主要包括：

1.风险管理程序的科学性和合理性，主要包括风险管理开发阶段所制订的风险管理框架结构的内容；风险管理试探阶段所实施风险管理框架结构的内容；风险管理回顾阶段所丰富并增强风险管理框架结构的内容；风险管理展开阶段所推广并实施风险管理框架的情况；风险管理支持阶段所需要提供的各种基础组织以及服务。

2.风险反应的周密性和可行性，主要包括风险反应计划的周密性（如有否考虑风险的可规避性、可转移性、可减少性、可接受性）；风险应对策略的可行性（如是否采取了风险控制、风险自留、风险转移）。

3.风险管理制度的合法性和完善性，主要包括风险管理制度的合法性（如建立风险管理制度是否经过充分论证）；风险管理体制的完善性（如考核评价体制和责任追究制度是否健全）。

4.风险管理机制的结构性和尽责性，主要包括高层管理人员和重要岗位业务人员的风险管理理念及对风险管理的重视程度；风险管理人员的结构和素质；全员风险管理的情况。

（三）风险管理审计的程序

1.审计规划阶段，包括选定被审计对象和制定风险管理审计计划。被审计对象选定工作包括识别被审计对象的策略、识别潜在被审计对象和排列被审计对象的顺序。制定风险管理审计计划包括制订财务风险管理、生产风险管理、市场风险管理、会计风险管理、人事风险管理和其他风险管理审计计划，确定风险管理审计的位置和背景。

2.审计测评阶段，包括风险的分析、评估和监控。（1）分析风险。审计人员应对风险迹象进行深入了解、描述和记录，并对风险的可能性和发生频率进行分类。风险可能性分析结果一般有“很少的”、“不太可能的”、“可能的”、“很可能”、“基本确定”等类别，风险发生频率分析结果一般可分为“高频率、高损害风险”，“高频率、低损害风险”，“低频率、低损害风险”，“低频率、高损害风险”等类别。（2）评估风险。审计人员应分析风险的成因及其影响，并确定风险程度及等级。风险程度一般分为“极高”、“高”、“中等”、“低”和“极低”等级别。风险概率用风险发生可能性的百分比表示，风险量＝风险概率×风险损失量。（3）监控风险。审计人员应对可能发生的风险和损失进行跟踪检查。跟踪已识别风险的发展变化情况，包括在整个项目生命周期内，风险产生的条件和导致的后果变化，作出减缓风险的方案，调整风险管理计划。

3.审计报告阶段，包括汇总审计结果、出具审计报告和追加后续审计。（1）汇总审计结果，包括审计现状、标准、差异、原因和建议等部分。如审计建议中对损失大、概率大的灾难性的风险要避免；对损失小、概率大的风险，可采取措施来降低风险量；对损失大、概率小的风险，可通过保险或合同条款将责任转移；对损失小、概率小的风险，可采取积极手段来控制。（2）出具审计报告，包括标题、收件人、正文、附件、签章、报告日期等基本要素。审计报告正文部分主要内容有：审计目标、风险概况、审计依据、审计结论、审计评价和审计建议等。（3）追加后续审计。erm是一个动态的过程，审计测试应与之相协调，追加后续审计显得重要。后续审计应将重点放在最严重的问题上，相关部门是否予以纠正，若不纠正，责任和原因到底在哪儿；对一般事项可仅限于询问和简短的讨论。

【参考文献】

［1］ 朱荣恩，贺欣．内部控制框架的新发展——企业风险管理框架［j］．审计研究，2003，（6）.

［2］中国内部审计协会．内部审计理论与实务［m］．中国石化出版社，2004.

［3］王晓霞．企业风险审计［m］．中国时代经济出版社，2005.

［4］金日方，李若山，徐明磊．coso报告下的内部控制新发展［j］．会计研究，2005，（2）.