IIA的CSA方法在企業風險管理中的初步運用

陳寧

2010年國家五部委聯合發布了企業內部控制應用指引、評價指引和審計指引，并要求自2011年1月1日起在境內外同時上市的公司施行;自2012年1月1日起擴大到在上海證券交易所、深圳證券交易所主板上市的公司施行;自2013年起，要求中央企業于每年5月底前向國資委報送內部控制評價報告。開展內部控制的自我評估已是國內大中型企業的大勢所趨。本文通過對筆者所在企業初步運用CSA的案例分析入手，介紹了該方法與傳統審計方法的區別，給企業的帶來的收獲，以及應用該方法所需的前提和條件，以期對其他國內企業開展內部控制自我評估工作提供借鑒和參考。

國際內部審計師協會（Institute of Internal Auditors，簡稱IIA）推行的內部控制自我評估（Control Self-Assessment，簡稱CSA）方法，是企業的內部審計師在開展內部控制自我評價過程中運用的方法。

一、CSA方法與傳統審計方法的區別

CSA提倡的基本理念是，內部控制的自我評估工作應該由實際實施具體業務工作的人員進行。這與傳統的內部審計工作或企業內部各類監督檢查工作的做法有所不同。

傳統的企業內部審計或檢查工作，開展具體審計或檢查工作的是內部審計師，內部審計師是主動方;業務人員是被審計方，是被動者;業務人員的主要工作是為內部審計師提供資料，配合內部審計師開展審計或檢查工作。內部審計師工作中主要采用查閱資料、檢查等傳統的審計方式。最后由內部審計師提出審計結論或評價結論，提出改進建議，并出具報告。

而CSA方法，內部審計師的角色是引導者、推動者，他們的作用是運用專業的技巧和方法，引導、幫助由業務人員組成的工作團隊對自己所從事的業務工作開展自我評估，工作團隊（即業務人員）才是這項工作的主動方。工作方式除了查閱資料外，通常主要采用專題討論會，結合問卷調查和管理層分析法展開。工作團隊通過自我評估形成結論，找出內部控制的不足，提出加強內部控制的措施方法，并編制評估報告。

二、CSA方法的初步運用

筆者所在的企業集團運用類似CSA方式在集團的中高層管理者中嘗試開展了一次風險自我評估活動。整個活動遵循PDCA（即計劃Plan、執行Do、檢查Check、處理Act）管理循環理念開展：

（一）事前準備階段

1.評估活動的組織者將參與者按其工作領域分成若干個小組，如財務審計組、生產制造組、市場銷售組、研發團隊組等。各小組人數基本在20人以內，涵蓋集團總部業務部門經理、業務主管，二級單位領導人員、二級單位業務部門經理等不同級別的人員。每個小組由一名引導員來組織、推進整個評估活動，并設置一名小組長負責小組評估結果、一名聯絡員負責資料整理。

2.評估活動前，所有參與者均需填寫一份風險調查評估表，列示在所從事工作范圍內，自認為重大的風險事項，并從風險發生的概率和嚴重程度兩方面進行初步評估。小組聯絡員匯總整理所有小組成員的風險調查評估表，由小組長從中選擇出3項比較重大的風險。

（二）專題研討階段

1.各小組以組為單位分別進行專題研討。小組引導員引導小組成員對小組長選出的3項風險進行釋義，并進行簡單的現狀分析。隨后小組成員再次從風險重要性、影響程度兩方面對3項風險進行打分，根據打分結果選擇出最重大的風險開展專題研討。

2.針對列出的風險事項，小組討論分析導致其發生的各類誘因，利用魚骨圖這一方式篩選出主要原因;針對主要原因，提出事前的預防措施和事后的解決措施，并列出各項措施的責任方，形成行動方案。

3.小組聯絡員整理小組討論結果，經小組長審核后形成小組風險評估結論。

（三）事后落實階段

1.評估活動組織者匯總整理所有小組的評估結論，利用專業判斷形成公司重要風險事項清單;根據風險事項發生的業務領域，分別分發至各業務部門或單位，由其制定具體的風險控制目標和計劃，予以落實。

2.風險管理部門每半年組織對風險管理情況進行評估，檢查相關措施的執行結果是否達到了預定的目標，尋找未有效控制或新產生的風險，進入新的一輪PDCA循環。由此不斷循環上升，形成管理提升的長效機制。

三、CSA實踐運用中的不足與差距

筆者所在企業集團本次風險評估嘗試與真正CSA相比，還存在以下差距：

1.小組引導員缺乏風險管理和內部審計專業知識。在小組研討過程中，引導員只起到會議組織推進的作用;引導員沒有參與討論，未起到有效幫助小組成員進一步理解風險管理方式及內容的作用;在討論出現方向性錯誤的時候，不能及時糾正。

2.對于小組組長在研討會中的職責過于強調。在小組討論出現分歧或不一致情況時，小組組長具有最終決定權，這使小組組長在研討過程中與其他小組成員不是處于平等的地位，小組成員會礙于級別差異，而不能暢所欲言，導致討論過程中難免發生以小組長的意見為意見的局面，影響討論的充分性、公平性，。

3.小組的劃分方法過于強調專業化。按照業務領域分組，不利于對風險成因的深入分析，研討內容容易片面，形成的控制措施難免存在主觀臆斷的情況，甚至出現不同小組對于同一風險產生不同評估結論的情況。

4.評估活動的參與者為企業中高層管理人員，基層員工即業務真正的操作者、風險控制的實施者沒有參與。

四、CSA為企業帶來的益處

通過這次嘗試，筆者從中也體會到了CSA方法較傳統審計方法的優勢：

（一）有利于責任進一步明確和落實。通過評估，管理層更加了解風險與控制對于企業經營的重要性;業務部門更加明確，其才是風險與控制的責任部門，是風險防范和實施控制的責任主體;員工更加理解風險管理和內部控制工作的意義和內容，幫助員工進一步掌握其作為程序及流程的執行者應掌握的技能，促進員工進一步落實崗位責任，真正實現企業經營管理整體責任的分解和落實。

（二）有助于各管理層級間的溝通。CSA主要采用的工作方式之一是專題研討會，參加專題討論會的人員可以跨地區、跨部門、跨各個管理層級，有時還會邀請業務領域的專家參與。多方的參與有助于問題的直接溝通，避免了信息層層傳遞導致的時間上的浪費和內容上的紕漏;更有助于找出問題的根源，找到有效的措施，提高了解決問題的效率和效果。

（三）促進評估結果更有針對性。因參與專題討論會的是具體業務的實施者，他們更清楚工作內容和工作流程、更能識別出目前控制中的薄弱環節。通過CSA方法可以更快更精準的找到高風險領域，提出更有針對性的控制措施。

此外，CSA還帶來了提升內部審計監督能力的附加效果：

一是提升了對于企業軟控制的測試能力。目前企業的內部控制自評，基本著重于兩方面硬性控制（或稱剛性控制），一是是否存在設計缺陷（即缺少為實現控制目標所必需的控制，或現有的控制設計不適當），二是是否存在運行缺陷（即現有的控制沒有按設計意圖運行，或執行者沒有有效地實施控制），評估過程均可以找到佐證材料（例如制度文件、審批表單等等）。但對于員工在內部控制的認知和了解、員工對于執行控制的意愿等軟性控制的能力較弱。CSA提供了一個有效的方法來測試這類軟性控制。

二是幫助內部審計部門角色轉變。通過CSA，促使內部審計人員從對立于被審計方的檢查者角色，轉變為深入業務活動、幫助業務人員提升管理能力、尋找問題解決辦法的伙伴角色。

三是有利于發現高風險領域，更有效使用審計資源。通過CSA方法，識別出了企業業務活動中的高風險領域、流程和控制點;為后續內部審計工作提供了線索，有利于將有限的審計資源集中到高風險領域、流程和控制點上，使審計工作更有的放矢。

五、運用CSA方法的前提條件和要求

（一）對企業內部控制環境的要求。一個開放、民主、互相信任、互相尊重的企業文化是CSA有效開展的基礎。員工敢于說出自己的想法，員工與管理層之間能夠開誠布公，管理層對于員工充分信任，并且鼓勵并重視員工提出觀點和建議。在此類民主化的環境下，員工才會在專題研討會、問卷調查等類似活動中提出自己真正的想法，CSA才能得出真實的結論。

（二）CSA方法要求管理層、員工與內審人員之間有較好的合作和互動。

一是需要管理層與內部審計之間的合作，一方面，CSA方法需要一些額外的資源，這需要管理層的支持;另一方面，只有管理層予以足夠支持和重視，員工才會重視，才會投入時間和精力保證工作的正常推進。

二是需要內部審計與員工之間的合作，員工需要了解其才是風險防范和實施控制的主體，需要對自己的工作進行自我評估，內審人員擔任的只是評估工作的推動者的角色。員工只有理解了其關于內部控制的主體責任，才能真正確保CSA方法的有效開展。

三是需要內部審計與專業領域專家之間的合作，內審人員有時需要請某些領域的專家（例如財務管理、人力資源、供應鏈管理等）加入內部評估的工作團隊，提供專業方面的支持，協助工作團隊完成CSA工作目標。通過雙方良好的配合，內審人員可以借此提高審計業務能力，業務領域專家可以借此更深入了解業務工作實際，提升業務管理水平。

（三）CSA要達到預期效果需要做好充分計劃。在專題研討會召開前，評估組織者需要確定評估活動參與者、采用哪種CSA技術方法;需要確定會議場地、會議設備物資等一系列組織工作，此外還要對整個工作所需投入的資源，如時間、人力等進行合理預計，同時充分考慮成本效益的原則。

（四）CSA方法還要求內審人員具備一定的資質、專業勝任能力;具備一定的適應能力、應變能力。內審人員除了需要掌握基本的審計方法、內部控制評估方法等技術手段外，對于企業經營管理、風險管理、以及所參與研討的專業領域知識均需要一定的認知，同時作為專題研討會的推動者，還需要具備組織能力、語言表達能力、臨場應變能力等一系列綜合素質。

綜上所述，CSA方法要在國內企業中推廣應用，還需要企業管理層、員工和內審人員各自不斷地努力。需要企業管理層管理理念的轉變，需要員工充分的理解和積極的投入，需要內審人員自我綜合能力的不斷提升。與國際一流企業相比，國內企業內部控制的自我評估還處于初級階段，只有引進先進的手段和方法，才能早日與國際接軌，邁出國門，走向世界。（作者單位：中國商用飛機有限責任公司）