企業管理、內部審計與風險管理關系研究

楊應杰

（河南農業職業學院 河南 鄭州 451450）

企業管理、內部審計與風險管理關系研究

楊應杰

（河南農業職業學院 河南 鄭州 451450）

本文研究了企業管理和內部審計二者與風險管理的關系。研究發現,風險管理與企業現有的管理之間的關系是有機結合、密不可分的。風險管理對現有企業管理起到了提升、整合、強化的作用;而內部審計為了自身發展積極參與企業風險管理,通過參與拓展了內部審計的工作范圍,開闊了內部審計人員的視野,提升了內部審計的工作價值,并有效地防范了內部審計工作風險。

企業管理 內部審計 風險管理

2004年COSO頒布了《企業風險管理——整合框架》，該框架將風險管理和內部審計進行了整合，擴大了內部審計的范圍和領域，使內部審計真正參與到企業管理中來。在研究企業管理與內部審計的關系時發現，企業管理與內部審計通過共同參與風險管理，使內部審計將其工作范圍擴大到了企業管理的全部領域和過程，鞏固和提高了其在組織中的地位和發展。而管理層則通過設定戰略和目標有效地應對了不確定性及與之相隨的的風險，并在增長收益目標和相關風險之間取得最佳平衡，增強了企業風險應對決策，使企業高效率地配置資源，減少營運意外，降低損失。最終增強企業創造價值的能力并幫助企業實現績效目標和盈利目標，使企業價值達到最大化。

一、企業管理與內部審計的研究現狀

（一）企業管理研究現狀 （1）企業管理現狀。在企業經營管理過程中，各個企業都面臨不確定性，管理層的挑戰在于努力增加利益相關人價值的同時要確定應承受多大的不確定性。這個不確定性即為風險。風險在一定環境和限期內客觀存在，它能導致費用損失和損害產生。它具有客觀性、普遍性、必然性、可識別性、可控性等特點。近年來，隨著社會經濟的發展，特別是經濟全球化及國際化程度的加深，企業經營環境變得日趨復雜，企業經營風險也大大增加。知識經濟的到來，更使企業的風險雪上加霜。因此，減少企業面臨的風險成為組織實現目標的關鍵，也成為企業的管理人員十分關心的問題。這些年來.一系列財務失敗事件的發生以及對企業風險的關注，使人們越來越清楚地認識到需要一個強有力的管理框架來有效地識別、評估和控制風險。普華在最近的一份報告中提出了一個GRC（Governance，Risk，Compliance）模型。該報告認為，組織可以把GRC戰略性地整合進它們的經營中，以形成一個可以對企業進行管理的道德和經營框架。這個框架包括治理（Governance）、企業風險管理（Enterprise Risk Management）和遵守（Comphance）三個組成部分。在這個框架中，風險管理活動包括識別和評價那些可能會影響目標實現能力的風險，應用風險管理來獲得競爭優勢和確定風險應對策略和控制活動。在這個框架中我們看出風險管理可以幫助企業管理層實現組織的績效目標和盈利目標，防止資源損失；有助于保證有效的信息報告及更好地遵循法律法規，從而避免組織受損及其他相關后果。（2）企業管理中的風險管理。2003年頒布了《內部審計實務準則》，該準則指出風險管理是管理層的主要職責。管理人員應該保證機構擁有健全的風險管理過程并使其發揮作用。2004年9月，COSO發布了《企業風險管理—整合框架》，COSO在界定風險管理時，明確指出企業風險管理是企業管理過程的一個組成部分。所謂風險管理，是對影響公司目標實現的各種不確定事件進行識別和評估，并采取應對措施將其影響控制在可接受范圍內的過程，風險管理旨在為公司目標的實現提供合理保證。風險管理活動已經成為國際性大公司管理活動的重點，一些國家和組織也在致力于研究如何防范企業風險。風險管理理念是一套共享的觀念和態度，它標志著企業考慮風險時的特征，反映了企業的價值觀，影響著企業的文化和經營方式。企業風險管理包括八個相互關聯的構成要素，它們源自管理當局的經營方式，并與管理過程整合在一起。其分別是：內部環境，管理當局確立關于風險的理念，并確定風險容量。所有企業的核心都是人（他們的個人品性。包括誠信、道德價值觀和勝任能力）以及經營所處的環境，內部環境為主體中的人們如何看待風險和著手控制風險確立了基礎；目標設定，必須先有目標，管理當局才能識別影響目標實現的潛在事項。企業風險管理確保管理當局采取恰當的程序去設定目標，并保證選定的目標支持主體的使命并與其相銜接，以及與它的風險容量相適應；事項識別，必須識別可能對主體產生影響的潛在事？。它包括表示風險的事項和表示機會的事項，以及可能二者兼有的事項。機會被追溯到管理當局的戰略或目標制定過程；風險評估，要對識別的風險進行分析，以便確定管理的依據。風險與可能被影響的目標相關聯。既要對固有風險進行評估，也要對剩余風險進行評估，評估要考慮到風險的可能性和影響；風險應對，員工識別和評價可能的風險應對措施，包括回避、承擔、降低和分擔風險。管理當局選擇一系列措施使風險與主體的風險容限和風險容量相適應；控制活動，制定和實施政策與程序以確保管理當局所選擇的風險應對策略得以有效實施；信息與溝通，主體的各個層級都需要借助信息來識別、評估和應對風險。廣泛意義的有效溝通包括信息在主體中向下、平行和向上流動；監控，整個企業風險管理處于監控之下，必要時還會進行修正。這種方式能夠動態地反應風險管理狀況，并使之根據條件的要求而變化。監控通過持續的管理活動、對企業風險管理的單獨評價或者兩者的結合來完成。

（二）內部審計研究現狀 （1）企業內部審計的現狀。衍生于授權管理需要的企業內部審計，根植于傳統企業環境，經過幾十年的發展，已經基本形成了固有的模式和完整的體系格局。但當傳統企業演變為現代企業時，原有的內部審計理論和實務發生了碰撞，許多既定的內部審計內容和方法，顯得難以適應新的企業環境。內部審計的本質和基本功能是對經濟活動的監督和控制。20世紀40年代，隨著企業規模擴張、管理層次的增多和管理人員經濟責任的加重，現代內部審計應運而生。內部審計產生的理論基礎源于兩權分離下的受托經濟責任理論。內部審計最初在財務領域開展，主要是監督、鑒證受托財務責任，審計目的是查錯防弊；20世紀60年代至80年代，由于市場競爭加劇和大型跨國公司興起，企業管理者對于降低成本、提高經濟效益的要求更加迫切，迅速發展起經營審計和經濟效益審計，以實現幫助組織提高經營效率和經營效果的興利目標；隨著內部審計范圍向管理領域的延伸，1993年版的IIA內部審計實務準則將內部審計職能定義為監督和評價；而2001年根據最新版的《內部審計實務標準》規定，內部審計是用來增加組織價值和改善組織運營的獨立、客觀的保證與咨詢活動，它以系統化、專業化的方法對風險管理、控制及治理過程的有效性進行評估和改善，幫助組織實現目標。根據這一定義，現代內部審計的范圍已從傳統上的財務收支審計擴大到風險管理和公司治理層次上來，有效的風險管理機制和健全的公司治理結構已成為現代內部審計關注的焦點。內部控制與風險是我國《內部審計準則》的兩個核心概念，內部審計不僅是內部控制的重要組成部分同時也是風險管理的重要組成部分，它與風險管理的聯系日趨緊密。風險管理作為管理層的一項關鍵責任，企業管理層對其負有不可推卸的責任。內部審計部門則有職責定期評價并協助企業管理層進行風險管理，在改善管理層的風險管理流程效果和效率方面進行檢查、評價、報告和提出審計建議，幫助識別、評價和實施風險管理，從而為企業增加價值。（2）內部審計注入風險管理的內容。現代企業風險管理貫穿在企業生產經營的全過程，滲透到企業的各個部門各個環節。內部審計作為現代企業的重要管理部門之一，對企業的風險管理也承擔著重要的責任。國家審計署在2003年5月修訂生效的《審計署關于內部審計工作的規定》中對內部審計的基本職責作出明確規定，其中就包括“對本單位及所屬單位內部控制制度的健全性和有效性以及風險管理進行評審”。國際內部審計師協會也在關于內部審計的新定義中明確：“內部審計是一種旨在增值和改善機構運營狀況的獨立的、客觀的保證和咨詢活動。它通過引入系統化、嚴謹方法來評價和改善風險管理、控制和治理程序，幫助所在機構實現其目標。”從這些規定和定義及內部審計的職責和監督服務的基本功能可以看出，內部審計注入了企業風險管理的內容。一是在企業風險管理中擔負監督、評價責任。監督、評價是內部審計的一項基本職責，也是內部審計傳統的看家本領。企業風險管理過程也存在監督、評價職責，而且監督、評價是風險管理的起始和基礎。要管理風險，必先識別風險。企業的風險在哪里，形成風險的相關因素有哪些？內部審計在履行風險管理監督責任時，首先要學會分析判斷企業風險所在，在準確識別風險的基礎上，要堅持原則，勇于發現反映企業存在的風險，切實體現監督責任，因為許多企業的風險是同各級管理人員甚至領導人員的工作缺陷分不開的。企業風險管理中的監督和風險管理中的各項處置與承受也需要在不同的職能部門間分開，才能使風險得到充分的反映。因此內部審計往往成為體現企業風險管理監督責任的主要部門。企業風險在識別的基礎上需要進一步評價。內部審計應當掌握企業風險評價的系統方法，對企業風險形成因素、影響后果、發生頻率、損失程度等等作出分析，根據不同的指標對企業的風險級次進行排序，為進一步的風險處置提供決策基礎。這里值得強調的是，內部審計要承擔好風險評價責任，必須具備專業的系統化嚴謹評價方法，而不是簡單的主觀經驗判斷。無疑這對許多內部審計機構來講仍然是一個薄弱的環節，需要相應的專業人才配備和學習培訓，才能擔負起風險評價的責任。二是在企業風險管理中擔負咨詢服務責任。咨詢服務是現代企業內部審計體現創新和大力發展的新的功能，也是現代新型內部審計的重要責任。企業風險管理最終的目的是要對風險的相關因素采取措施，規避風險，化解和轉移風險，或權衡利弊分擔和降低風險損失的影響。內部審計應當對企業風險管理需要采取的措施提出建議，尤其是對需要通過改進內部管理、健全內控制度來進行風險管理的內容提出建設性的意見。咨詢服務是企業環境變化給內部審計帶來增加價值的極好機會，是內部審計提升地位和作用的嶄新平臺，而風險管理正是提供咨詢服務最多機會的重要管理活動。內部審計應抓住這個機遇，作到急企業所急，想企業所想，積極主動地在風險管理中開展幫助、促進健全管理活動，才能履行好咨詢服務責任。內部審計要在企業風險管理中盡其責任，是必須通過內部審計的具體工作來體現的，通過涉及風險管理的有關審計活動發揮其作用。在企業風險管理中，內部審計的本質特征并不發生改變。為了保證其獨立性和客觀性，內部審計并不對建立企業風險管理體系承擔主要責任，風險管理責任應由管理層承擔。內部審計可以對企業風險管理提供建議、咨詢和支持，但不能設定風險容忍度、強制施行風險管理流程、對風險提供管理保證、對風險問題進行決策和對風險實施管理職責的行動，內部審計對于企業風險管理的責任應當在審計章程中寫明并經審計委員會批準。

二、企業管理和內部審計及其與風險管理的關系

（一）企業管理與內部審計的交叉點——風險管理 風險管理是企業管理的一項職能，更是一種管理理念，它貫穿于企業管理的各個方面。在一個大型企業內，不同部門面臨的風險表現和種類存在顯著差別。這些來自企業內部的風險常常是由于內部控制系統有缺陷或雖有良好的管理控制系統卻未得到認真的貫徹執行而產生。在企業內部，現代企業建立了各級風險管理組織層次，包括風險控制委員會、內部審計部門、專職風險監管部門。但風險監管部門隸屬于管理部門，不具有獨立性，其意見有時會屈服于管理當局的壓力，這使得風險管理部門的作用受到限制。在現代企業中，內部審計部門獨立于管理部門，其風險評估的意見可以直接報送給董事會，提出的意見與建議更具權威性。他們以風險發生可能性大小為依據，深入經營管理過程和行為，在業務經營、財務管理、費用控制等各方面查找并防范風險，通過內部視角，敏銳觀察經營過程中不斷變化的風險因素，快速傳遞管理中存在的缺陷或失敗，促使董事會和高級管理層做出快速反應，及時采取措施，防范和糾正不當行為。（1）企業管理與風險管理的聯系。2004年，COSO在內部控制框架概念的基礎上，提出了企業風險管理（Enterprise Risk Management，ERM）的概念，COSO在界定企業風險管理時，明確了所屬關系:企業風險管理是企業管理過程的一個組成部分。企業風險管理框架的要素都是管理層經營一個企業所做的事情。但是，并非管理層做的事情都是企業風險管理的組成部分。在管理層的決策與相關管理行為中應用的許多判斷，盡管是管理過程的組成部分，但不是企業風險管理的組成部分。例如，確保有一個適當的目標設定過程是企業風險管理的一個關鍵組成要素，而管理層選擇的特定目標不是企業風險管理的組成部分；在適當風險評估的基礎上對風險做出反應是企業風險管理的組成部分，而所選擇的特定風險應對策略和相關的資源配置不是企業風險管理的組成部分；確定和實施控制活動以確保管理層選擇的風險應對策略得到有效的實施是企業風險管理的組成部分，而所選擇的特定控制活動不是企業風險管理的組成部分。（2）內部審計與風險管理的聯系。從上述企業管理與內部審計的研究中我們發現風險管理是企業管理的一種管理方法，它滲透到管理的各個環節，而內部審計也參與企業風險管理。二者都和風險管理相關，風險管理就是二者的交叉點。在市場經濟條件下，風險是普遍存在的，風險是企業的一種特殊資源，可以給企業帶來巨大市場商機，也可以給企業帶來巨大災難，關鍵是企業如何識別風險、評估風險、應對和規避風險（回避風險、防范風險、分散風險和轉移風險），從而實現企業目標。為了實現企業目標，需要制定發展戰略、人才戰略、營銷策略、改革措施等等，同時需要建立內部控制制度，加強企業風險管理。在企業風險管理中，企業管理層負責確定可接受的風險范圍，建立健全風險管理機制并使之有效運行。企業管理層對待風險的態度將直接決定企業風險管理的程度，什么情況下采用激進的冒險策略，什么情況下采用穩健的避險策略，是企業管理層的責任。盡管風險管理是全員的，但是風險管理的責任主體是企業管理層。現在風險管理已成為內部審計的重要領域。內部審計涉足風險管理領域是社會發展的客觀必然。在風險管理中，內部審計部門主要是對風險管理部門和其他相關部門所進行的風險管理進行再監督。但這絕不意味著內部審計部門不能作為直接的風險管理人，在必要的情況下，它可以直接進行風險管理。內部審計介入風險管理是一個嶄新的事物，對內部審計如何在風險管理中發揮作用是一個需要進一步深入探討的課題。

（二）風險管理對企業管理和內部審計的影響 （1）風險管理對企業管理的影響。全面風險管理對現有的企業管理起到的是提升、整合、強化的作用。現有的管理體系基本是對業務流程的管理，而所有的業務流程的管理中都應當有風險管理的內容。也就是說，全面風險管理為現有管理體系提供了基礎和操作平臺。從全面風險管理的角度審視現有的各種管理體系，可以看到許多應當改進的地方。因此，全面風險管理對現有的各種管理體系有提升的作用。現有的企業中的管理體系往往是互相重疊的、關系不清的。而全面風險管理體系的系統性強，覆蓋了企業管理的各個方面，表現了現代企業管理的核心內容。所以，實施全面風險管理能夠將現存的管理功能聯系起來，協調相互不一致、不連貫的地方，將其去粗取精。因此，在企業現有的管理體系中進行風險管理有利于提高企業的管理水平。在企業中，現有的管理體系中風險管理功能欠缺及整個企業層面上控制風險功能欠缺，我們通過實施全面風險管理來強化企業管理的功能，彌補現有管理體系的缺陷和不足。（2）風險管理對內部審計的影響。內部審計參與企業風險管理，是由企業經營管理環境變化和對內部審計的需求變化決定的。對內部審計而言，選擇積極參與企業風險管理，也是內部審計自身發展的需要，這一選擇對內部審計帶來了深遠的影響。一是參與風險管理，對拓展內部審計工作范圍的影響。內部審計參與企業風險管理必然會突破傳統的財務審計范圍，向企業管理的各個重要風險存在領域實施審計檢查，審計的對象會發生很大變化，會超越財務會計范疇，更多涉及生產經營業務的操作管理。這為內部審計向更高層次、更大范圍的發展提供了廣闊的舞臺。發達國家的企業內部審計已較早涉足企業的風險管理。內部審計參與企業風險管理涉足的寬廣范圍，使內部審計人員開闊了視野，豐富了知識，對提升內部審計的綜合性管理層次具有重要意義。二是參與風險管理對提升內部審計工作價值的影響。為企業提供增值服務是現代內部審計發展的重要方向之一，而參與企業風險管理就為內部審計實現增值服務創造更多機會。對于一些可以量化的風險，通過審計準確的檢查評價，揭示具體的風險并使企業及時采取措施，避免了風險和損失的發生，就可以直接為企業增加價值。對于制度、管理活動中的缺陷可能造成的風險，審計也應發揮建設性作用，幫助改善企業的內控管理系統，這也是一種間接的或難以量化的增值服務。內部審計切實在參與風險管理中為企業提供有效的幫助，它不僅會受到企業高層管理的重視，而且會得到廣大被審計單位的歡迎和支持，內部審計的價值就會得到進一步提升和體現。三是參與風險管理對防范內部審計工作風險的影響。風險導向審計方法在現代獨立審計業界普遍流行和得到重視，正是因為這種方法可以有效控制審計風險。它以審計風險評估為中心，哪里可能產生較大的審計風險，就在哪里投入較多的審計資源，進行詳細的審計檢查，使審計結果減少虛假錯漏的風險。內部審計參與風險管理也有助于審計在反映問題的方向和準確性方面防范審計風險。因為企業的風險是客觀存在的，通過審計如不能準確地反映企業的風險，事后企業的風險暴露造成損失，內部審計也會因失查而承擔一定責任，這也是審計的風險所在。再此，企業的風險和審計的風險是密切相關的，關注和化解了企業風險也就減少了審計的風險。現代企業管理是一種系統性社會行為。它必然是一個以領導行為為主導，領導、經營、管理、治理相互交叉、相互統一的行為過程；也一定是一個以績效為導向，結果、過程和目標相互交叉、相互統一的行為過程；是一個把內部審計作為有機組成部分的大管理系統行為。風險管理是企業管理的重要內容，內部審計參與風險管理是新形勢下企業生存與發展的客觀需要，也是企業管理層的內在需要。而企業內部審計是企業管理的子系統，企業內部審計的所有活動都要以改善管理績效和增加企業價值為目標。

［1］張健剛等：《論現代內部審計與風險管理的協調整合》，《山東財政學院學報》2007年第1期。

［2］劉霞：《關于企業風險管理框架的若干思考》，《經濟研究導刊》2007年第7期。

［3］張淑彗：《內部審計與風險管理》，《企業經濟》2005年第7期。

楊應杰（1967-），男，河南臨潁人，河南農業職業學院副教授

（編輯 聶慧麗）