內部審計與風險管理

王園

[摘要]本文稿源來自國際內部審計協會（IIA）研究機構——全球內部審計知識共同體（CBOK），該機構于2015年開展了一項全球內部審計師的調查，該調查受訪者14518人，涉及166個國家，23種語言，并發布了一系列的研究報告，為內部審計一些關鍵問題提供了更深的思考。本譯文即為其中的一篇，旨在探討內部審計在風險管理中承擔角色的轉變。

[關鍵詞]內部審計 風險管理 角色

最近更新的國際內部審計實務框架為內部審計增添了一項新的任務：“通過利益相關者提供以風險為基礎的，客觀、可靠的鑒證服務，建議和見解，來加強和保護組織價值。”因此，內部審計必須將風險作為審計內容、審計方式以及報告內容的基礎。

一、風險管理趨勢綜述

在全球范圍內，風險管理持續發展。2008年金融危機證明，良好的風險管理實踐具有重要的價值。自此，相關法規陸續頒布，要求進行風險管理。其中有不少法規提出了在變化的外部環境中做好風險管理的一些方法。

（1）時間變量對風險管理水平的影響。盡管很少有研究會涉及風險管理水平的發展，但仍然有一些資料可以為我們提供參考。對比可發現，在走出全球金融危機的過程中，正規的風險管理有了顯著的發展。

（2）區域因素對風險管理水平的影響。2015年CBOK調查顯示，67%的歐洲首席審計執行官認為其組織有正式風險管理流程，只有35%的中東、北非受訪者和42%的拉丁美洲、加勒比地區受訪者認為有正式的風險管理流程。對于此項調查結果，有觀點認為，歐洲金融服務部門的法規促使獨立風險管理職能的發展，但在中東、北非、拉丁美洲和加勒比地區這樣的法規尚未普及。

（3）行業因素對風險管理水平的影響。調查顯示，75%的金融和保險公司建立了正規的風險管理流程，非金融行業只達到45%，這種差異與監管水平有關，全球金融危機后，金融行業頒布了大量的法律法規，強化了金融和保險公司實施風險管理的預期。

（4）規模因素對風險管理水平的影響。大公司比小公司有更高的風險管理水平，究其原因：一是大公司可以投入更多的資源加強風險管理，二是大多數金融機構規模較大。

二、內部審計在風險管理中的定位

三線防御模型中，風險管理為第二道防線，內部審計為第三道防線。在這個模型中，值得探討風險管理與內部審計的關系。

（1）內部審計與風險管理的關系。在全球的受訪者中，有66%認為內部審計和風險管理在他們的組織中是獨立的職能部門，但卻互相合作、信息共享。另外的14%認為內部審計和風險管理是獨立的職能部門，且沒有聯系。即80%的受訪者都認為內部審計的功能和風險管理的功能是不同的。這表明，人們能夠區分第二道防線和第三道防線的界限。但另一方面，20%的受訪者認為內部審計承擔著風險管理的責任。因此，有必要對這兩者的功能差異進行區分。

（2）三線防御模型。然而，66%受訪者認為內部審計和風險管理互相合作并共享信息，但該觀點也模糊了第二道防線和第三道防線的界限。認為組織中存在三線防御模型的受訪者中，13%的人認為第二道防線和第三道防線之間界限并不明顯。

區域視角。內部審計和風險管理的差異因地域的不同而有所區別。歐洲有86%的組織將內部審計和風險管理兩者分離，為全球最高比例的地區，與此相對應，歐洲也有著較高水平的正規風險管理。東亞和太平洋地區有84%將二者相分離，他們的企業中正規的風險管理實際上是要低于全球的平均水平的。日本東京AIG控股公司的執行總裁兼首席審計執行官內赫柔·毛利解釋，東亞太平洋地區，雖然正規的風險管理低于全球的平均水平，但它著重強調的是本地區整體水平符合IIA的國際內部審計執業準則和其他標準，這進一步拉開了內部審計和風險管理的區別。

產業視角。從產業的角度看，93%的金融和保險行業的受訪者認為在他們公司中內部審計和企業風險管理之間存在分界。由于在所有的受訪者中，從事金融和保險行業的占了33%，因此將全球的平均水平拉高至80%。實際上，其他的行業部門并沒有在80%以上。這表明在其他的行業中，第二道和第三道防線的區別也許并不明顯。

規模視角。大規模公司中，其內部審計和企業風險管理相分離的尺度要比小公司大得多。

（3）小結。總體來說，內部審計和風險管理之間有著一定的分界，尤其對于管理嚴格的金融服務部門。組織規模越大，這種分界就越明顯。2014的職業調查和其他一些數據都表明，第二道防線和第三道防線之間的界限仍然難以明確區分。明確區分這兩道防線中重要的角色，將會保障鑒證服務的質量和可靠性，這還需要我們關注未來幾年的情況。

三、結論

風險是內部審計的基礎，隨著組織中風險職責不斷變化，內部審計一直扮演著風險中的關鍵角色。全球經濟危機后，強化監管加速了正規風險管理進程。雖然區分防御模型中的二線和三線仍存在一定困難，但將風險管理從內部審計中分離出來是一種趨勢。另外，實施聯合鑒證模型的組織仍然比較少，這表明風險管理鑒證的效率并未達到最優化。內部審計與風險管理應更好的協調風險評估活動來保證雙方合適的利用彼此的資源。最后，內部審計師的風險能力在不斷提高。