一、內部審計在風險管理中的角色和作用
國際內部審計師協(xié)會（IIA）主席伍頓•安德森博士（2004）指出，IIA《內部審計實務標準》認為內部審計在風險管理中的角色和作用有兩個方面：一是對風險管理程序進行評價，對風險管理的恰當程度做出保證；二是協(xié)助實施風險估算( 王曉霞,2005)。
1.對現有的風險管理狀況進行評價由于當今企業(yè)面臨的風險日益增加，許多企業(yè)職能部門在從事具體業(yè)務的過程中要進行風險管理，有些企業(yè)還有專門的風險管理部門。內部審計部門進行風險管理，是對這些部門進行的風險管理的再評價或監(jiān)督，既要評價風險管理的過程，也要評價風險管理的效果，發(fā)現風險管理中的薄弱環(huán)節(jié)，提出改進措施。由于內部審計部門相對獨立，其評價結果比較客觀。此外，內部審計可以從總體角度對企業(yè)的風險作出評價。
2.協(xié)助實施風險估算，直接參與風險管理在有些情況下，內部審計人員可以直接參與風險管理。比如，在未設立風險管理部門的企業(yè)中，參與全面風險管理，或者參與企業(yè)的重大項目和重大決策的風險管理。有時內部審計部門也可以與風險管理部門及業(yè)務部門一起進行風險管理。內部審計在企業(yè)風險管理中的角色和作用也不是一成不變的，而是一個逐步變化和延續(xù)發(fā)展的過程。在企業(yè)缺乏風險管理程序的情況下，內部審計可以向管理層提出建立企業(yè)風險管理的建議；在組織實施風險管理的初期，內部審計可以發(fā)揮很大的協(xié)調作用，有時可以直接擔任風險管理項目經理；而當企業(yè)風險管理逐步成熟，運作穩(wěn)定以后，內部審計可轉化為監(jiān)督者和咨詢者。內部審計的報告的關系層次越高，獨立性越強，內部審計就越能夠從全局和戰(zhàn)略角度參與企業(yè)風險管理；反之，則只能從局部和流程角度參與企業(yè)風險管理。
二、內部審計參與風險管理面臨的困境
1.內部審計直接參與風險管理的缺陷IIA《內部審計實務標準》認為內部審計可以協(xié)助實施風險估算程序，直接參與風險管理，但是在實務操作中卻面臨著一定的困境。如果一個規(guī)模不大的企業(yè)沒有建立起相應的風險管理機構，可以由內審部門直接參與風險管理。但是，這種由內部審計直接參與風險管理，負責建立風險管理機構的做法也會面臨不可避免的矛盾。首先，在內部審計資源本來就比較稀缺的情況下，抽調人力開展風險管理工作，可能會因為其他工作的干擾，而不能及時地實施風險評估；其次，按照 IIA 《內部審計實務標準》，內部審計還要對現有的風險管理進行評價，并提出改進風險管理有效性的建議。這導致兩項職務同時集中到了一個部門甚至是一個人的身上，由于熱的視角存在主觀性，結果影響到其客觀性和獨立性。缺少必要的控制，也失去了審計的獨立性，很容易出現錯誤或舞弊現象。這種情況下，內部審計直接參與風險，可能會給企業(yè)帶來更大的風險，導致更大的損失。
2.審計人員參與風險評估可能缺乏專業(yè)知識內部審計參與風險管理經常會碰到審計人員欠缺專業(yè)知識。例如企業(yè)為了規(guī)避風險，可以把某些風險通過保險、套期保值、衍生工具等方式轉移給他人，而審計人員不一定具備這些相應的專業(yè)知識。由于審計人員沒有相應的專業(yè)知識，也就無法合理的、準確的評價。如果勉強給出一份評估報告，可能帶來更大的風險；再如許多企業(yè)內部有許多基建工程，內部審計在參與其風險管理過程中，碰到復雜的技術本 論文 出自 無憂論文網上的風險規(guī)避問題，是無法勝任的，無法給出一個令人滿意的評估報告；今天信息技術和網絡化辦公日益普及，當內部審計人員對企業(yè)內網絡信息系統(tǒng)的安全性進行風險評估時，可能面臨著專業(yè)知識不足的情形。沒有專業(yè)人才的參與，在專業(yè)性很強的風險管理項目中，審計人員很難發(fā)現重大風險的隱患，因此提出的指導意見針對性不強，內部控制缺陷也無法得到及時糾正。
3.內部審計參與風險管理可能得不到業(yè)務和風險管理部門的配合早期的內部審計人員為了實現查錯防弊的目標，常常扮演內部警察的角色，這容易導致被審計部門的抵觸，也就談不上與被審計部門進行交流和溝通。內部審計要參與風險管理，提供建設性的意見，就需要深入調查內部控制和經營管理的現狀，找出薄弱環(huán)節(jié)和經營不善之處，并尋求改進的措施。這樣內部審計人員就必須深入企業(yè)的具體管理環(huán)節(jié)，業(yè)務和風險管理部門會認為內部審計“手伸得太長”，管的事太多，可能會產生抵觸的情緒, 不愿給予配合。
4.風險管理部門和內部審計部門對同一風險存在不同認識由于風險管理部門和內部審計部門對同一風險的認識可能存在差異，導致風險管理部門對內部審計部門出具的評估報告產生異議，引起部門之間的矛盾，進而引起其他部門對內部審計部門專業(yè)權威性的懷疑。不利于內部審計在風險管理領域開展工作。例如，專家可能比新手或那些沒有接受過風險管理培訓的人更擅長風險評估。同樣，一個員工可能會把與其責任領域相關的特定事件風險定的很低，因為高的評估值意味著員工的業(yè)績不佳，而內部審計部門面對同樣的風險，估計的可能值會高得多。在有些組織中，因為有較高的預期收益，管理層或為組織本身，或為其他相關目標，愿意承擔相當大的風險；而內部審計部門可能因為是“風險厭惡者”，可能對同一風險評價較高，而不愿意承擔該風險。這種對風險的不同認識，是由于對風險偏好的程度不同造成的。
5.內部審計部門可能無法系統(tǒng)地審查各種風險由于大多數人不熟悉經營戰(zhàn)略與經營計劃中內在的威脅，所以風險識別是一項很困難的任務，內部審計人員通常也是不太熟悉戰(zhàn)略及威脅的群體之一。對風險進行識別和評估，理想狀態(tài)是能夠識別所有風險，但這在現實工作中是不可能的。然而，企業(yè)對各種風險都有一個風險容忍度。我們要做的是識別出超出企業(yè)風險容忍度的風險，對之加以管理和規(guī)避，對于這一部分風險是否能在風險識別環(huán)節(jié)被完全識別顯得尤為重要。由于經營合作的加強，企業(yè)有許多業(yè)務是外包的，如現在IT 行業(yè)，有許多品牌計算機的各種部件都是貼牌生產，代工廠完成了本該由企業(yè)自己來做的工序。內部審計在對風險評估進行評價的時候，可能因為空間上的原因無法系統(tǒng)地審查各種風險。在這種業(yè)務外包的經營模式下，企業(yè)面臨的風險很大程度上取決于供應商的信用、經營生產能力、交貨能力。因為供求雙方的信息不對稱，企業(yè)內部審計部門對供應商的生產經營情況很難做到透徹了解，對該類風險進行評估時，內部審計部門會顯得力不從心，無法給管理當局一份有效的風險評估說明，管理層在做決策的時候就可能預料不到影響供應商進而影響自身的風險事件，無形之中就也就擴大了企業(yè)生產經營的不確定性，擴大了企業(yè)所要承擔的風險。除此之外，還有其他許多問題急待解決，如管理層和內部審計人員怎樣才能系統(tǒng)的將組織戰(zhàn)略和商業(yè)模式與對實現目標構成威脅的風險聯(lián)系起來？內部審計能否做到將管理層風險管理失敗的信息及時有效的轉遞給獨立董事？內部審計對企業(yè)風險管理監(jiān)控有什么局限性等等。
三、內部審計如何參與企業(yè)風險管理
內部審計在參與風險管理時應建立一套科學的運行體系，并盡量利用較先進的信息技術構建審計作業(yè)平臺，此外，還必須提高內部人員的專業(yè)勝任能力，具體說來，內部審計參與風險管理應注意以下問題：1.合理設定內部審計機構的職能內部審計直接參與風險管理這種情況一般發(fā)生在規(guī)模較小的組織中，這樣組織的經濟業(yè)務和組織結構一般比較簡單，風險管理的工作可以直接由內部審計部門負責，但是一定要有獨立于內部審計部門的人員行使監(jiān)督職能，以便進行控制。小企業(yè)中這種監(jiān)督的工作可以指派一個分管領導專門負責或者直接由主管領導負責。內部審計部門在制定年度工作計劃的時候也要把風險管理作為一項任務，按照企業(yè)的年度工作計劃為風險管理安排一定的人力和時間，避免由于時間和人力上的沖突影響風險評估。
2.多渠道彌補審計人員專業(yè)知識的不足內部審計人員參與風險評估時，可能會因為缺少專業(yè)知識而無法勝任，對此可有三個方案可供考慮：第一種方案是內部審計可以依靠外部專家或者審計事務所、咨詢公司等類似的服務機構，即實施內部審計外包。企業(yè)管理當局在評價這種方案時，應進行成本與效益比較。即先比較維持內部審計部門成本和支付職業(yè)服務機構費用的高低，然后再決定是否采用此種方案。第二種方案是引入本單位其它部門中擁有特定專業(yè)技術技能的人員。他們沒有審計技能，但是專業(yè)知識和技能可以幫助審計人員做出專業(yè)的判斷。內部審計部門需要建立一個人才數據庫，通過數據庫追蹤內部審計人員、專業(yè)技術人員的現有技能、已參與的培訓和未來所需要的培訓。內部審計部門在開展審計工作時，可以根據業(yè)務性質的需要在人才數據庫中抽調一定的專業(yè)人員加入審計小組，配合審計評估，通過該數據庫還便于實施審計安排和時間安排。第三種方案是從培養(yǎng)角度看，內部審計部門應加大對現有審計隊伍全方位、多層次的培訓力度，有針對性地培養(yǎng)具有復合知識結構和多學科專業(yè)勝任能力的優(yōu)秀人才。
3.努力溝通，取得風險共識可以通過風險管理人員之間的溝通，共同參加學習，來取得風險共識；如果是因為每個部門所處的角度不同，代表的利益不一致，首先進行協(xié)商，協(xié)商不成可上報上一級部門解決，因為風險管理部門和內部審計部門工作目的都是幫助組織實現目標。由于各方面的原因，管理層對于有些風險采取接受的態(tài)度，這些風險一般稱為剩余風險。內部審計師在實施風險管理、控制和治理等流程和機制評價時，如果發(fā)現高級管理層接受的剩余風險水平不恰當，審計執(zhí)行主管應就此與高級管理層進行討論。如果無法協(xié)商一致，審計執(zhí)行主管和高級管理層應將此事報告給董事會加以解決。
4.開展實務研究，建立風本 論文 出自 無憂論文網險清單有不少企業(yè)組織模式，其風險主要來源于組織的外部，所以在建立風險清單時要結合企業(yè)的實際情況，建立一個企業(yè)適用的風險清單。如企業(yè)的產品外包生產，企業(yè)負責貼牌銷售這一模式。這種情形之下，企業(yè)的風險主要就是來自于供應商。管理層在確定供應商的時候一定要加強對供應商的調查，內部審計部門要關注管理層確定供應商這一過程，確保選擇過程的合理性和合規(guī)性。管理層必需對供應商的情況了解到位，諸如行業(yè)內的口碑，生產能力，外界審計對其出具的審計意見等等；其次，要完善各種合同，通過合同來規(guī)避風險；其三企業(yè)應制訂應急計劃，避免完全依賴一個外包生產商，以分散風險?？傊?，內部審計通過對企業(yè)風險管理程序的充分性與有效性進行檢查、評價和報告，并提出改進建議，可以協(xié)助管理層和董事會更好地監(jiān)控和管理風險，并使內部審計在促進企業(yè)價值增長中發(fā)揮持續(xù)作用。
