基于《企業風險管理——與戰略和績效的整合》（ERM 2017）的風險管理持續審計評價模型

張曉東 鄔奕強

[摘? ? 要] 風險管理審計評價是針對企業風險管理設計與運行的有效性進行評價。本文以美國反虛假財務報告委員會下屬的發起人委員會（以下簡稱COSO）的2017新版《企業風險管理——與戰略和績效的整合》（ERM 2017）的要素、原則等為基礎，建立了“目標層+要素層+指標層+評價層”的風險管理評價架構，提出了公司風險管理評價的方式方法，建立了風險管理評價模型。

[關鍵詞] ERM 2017;風險管理;評價模型

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2019. 17. 007

[中圖分類號] F239? ? [文獻標識碼]? A? ? ? [文章編號]? 1673 - 0194（2019）17- 0017- 03

0? ? ? 引? ? 言

2018年，審計署正式將風險管理列入內部審計職責范圍。風險管理審計是針對企業風險管理設計與運行的有效性進行審計，是參與企業全面風險管理的重要手段。孟焰和潘秀麗（2006）認為企業風險管理的有效性主要取決于風險管理的監督和評價，風險管理的審查和評價是內部審計的新領域。劉李福和鄧菊香（2014）認為，風險管理審計更注重對企業風險管理及其效率的評價，是現代審計的重要發展方向。風險管理審計評價是企業風險管理的最后的環節，是實現企業風險管理閉環運行的關鍵。在實踐中，黃慶惠等（2016）基于ERM 框架，提出了持續審計為導向的內部控制審計模式;盧俊峰（2018）遵循ERM框架，構建了基層央行風險管理審計評價框架，建立了風險管理審計評價模型。但是，上述企業風險管理實踐多是基于COSO 2004版ERM框架開展的，ERM 2017在當前企業風險管理實踐中應用不足。本文在總結了公司風險管理持續審計實踐的基礎上，基于COSO 2017版ERM框架，提出企業風險管理評價的方式方法，建立風險管理審計評價模型。

1? ? ? 風險管理的內涵

2004年，COSO結合《內部控制整合框架》和《薩班斯—奧克斯利法案》，頒布了《企業風險管理整合框架》（ERM），首次將內部控制與風險管理結合。ERM對風險管理的定義為：企業風險管理是一個過程，受企業董事會、管理層和其他員工的影響，包括內部控制及其在戰略和整個公司的應用，旨在為實現經營的效率和效果、財務報告的可靠性以及法規的遵循提供合理保證，并將風險管理分為內部環境、目標制定、事件識別、風險評估、風險反應、控制活動、信息與溝通、監督8個要素。

隨著企業經營環境發生了巨大變化，COSO于2017年正式發布新版《企業風險管理——與戰略和業績的整合》（ERM 2017）。ERM 2017將風險管理定義為“組織在創造、保持和實現價值的過程中，結合戰略制定和執行，賴以進行管理風險的文化、能力和實踐”。ERM 2017將原有的8個要素整合成為5個要素，即治理和文化，戰略和目標的設定，績效，審閱與修訂，信息、溝通與報告，并明確提出20項原則。

ERM 2017在風險管理的定義、框架、要素、原則等方面變化明顯，厘清了風險管理與內部控制框架的邊界，從使命、愿景和核心價值觀出發，強調風險與價值的關系（即風險不再都是“負面”的，風險也意味著機會），為企業開展全面風險管理實踐提供了理論依據。

2? ? ? 風險管理審計方式方法

在風險管理審計時，首先要開展符合性測試，確認各關鍵點風險管理措施是否存在，并得到貫徹執行，根據測試部位可信賴程度的分析，找出風險管理的薄弱點和失控點，同時確認審計重點，從而決定實質性測試的范圍、重點和方法等。如果在初步了解、調查后發現組織風險管理制度缺失或非常薄弱，或沒有得到遵守，則可直接進入實質性測試，同時必須擴大實質性測試的范圍。

在此基礎上，結合連續與間歇模擬方法和嵌入式審計模塊技術等持續審計方法和技術，應用關聯規則、分類、聚類、預測分析法等數據挖掘技術以及大數據集成和管理技術，在數字化審計平臺開展風險管理持續審計（如圖1所示）。例如，在工程管理中，常存在“未批先建”的情況，通過數字化審計平臺的模型實驗室，建立審計程序自動查找已領料的工程項目，并比對相關可研批復或核準信息，若領料時間早于批復、核準時間的，作為審計疑點輸出。

3? ? ? 公司風險管理持續審計工作流程

將風險管理審計與持續審計理論、技術和模型相結合，公司圍繞風險管理的關鍵環節確定風險管理審計主題，根據各個主題特點，由公司審計部統一組織，各級審計部門分層實施。公司風險管理持續審計工作流程包括主題確定，數據獲取，模型搭建，疑點核實，問題整改，工作報告和成果應用等。

公司風險管理持續審計的工作過程如下：由審計部統籌制定風險管理持續審計范圍和審計主題;各級審計部門根據持續審計主題，明確風險管理審計關鍵要素和指標，成立審計工作組;審計組搭建自動審計程序，利用數字化審計平臺，結合數據挖掘、持續監控和風險評估等方法，查找經營管理中存在疑點和風險，判定疑點風險水平，下發疑點核實工單;被審計單位進行疑點的核查和反饋，并提供說明和佐證材料;公司審計部下達審計意見，各級審計部門負責具體的問題整改工作，提出整改計劃和方案;被審計單位向上級單位提交整改報告，上級單位對問題整改情況進行跟蹤督導;各級審計部門定期向公司審計部報送風險管理持續審計工作報告。

4? ? ? 公司風險管理持續審計評價體系

本文以ERM 2017的要素、原則為基礎，建立“目標層+要素層+指標層+評價層”的風險管理審計評價架構（如表1），目標層是實現公司發展戰略和經營目標。要素層包括治理與文化，戰略和目標，績效，審閱與修訂，信息、溝通與報告5個要素。指標層是針對要素層各個要素的進一步細分，以績效為例，績效是在風險偏好的背景下，識別風險，并按照嚴重程度和發生可能性排序，選擇風險應對措施，并采取風險組合的視角，包括風險識別、風險評估、風險排序、風險應對、風險組合5個指標。指標層可進一步分為次級指標，以風險排序為例，可分為風險發生的可能性和影響的嚴重程度2個次級指標。

5? ? ? 公司風險管理審計評價模型

在上述風險管理評價指標體系的基礎上，根據相關次級指標的權重值以及評價實施階段對相關次級指標評分進行計算，獲得指標評價值;根據指標權重計算出各要素評價值，進而計算出風險管理評價值。具體的審計模型如下：

式中，EV為公司風險管理評價值;Ei為第i個要素的評價值;Wi為第i個要素的權重值。

上述模型中，為保證風險管理評價結果的合理性，在確定各要素所對應的評價指標后，對各指標的權重分配也需通過科學的方法來確定。本文采用模糊判斷矩陣法、層次分析法，計算各要素及指標的權重（見表1）。

5.1? ?指標權重賦值

通過向風險管理專家發放問卷，對每組指標與上一層級的指標間的重要程度進行打分，即如果指標與若干個次級指標有聯系，通過次級指標的兩兩比較，得到次級指標相對于上一層級指標的重要性，采用1-9的標度，構造兩兩比較判斷矩陣。

運用幾何平均法，計算判斷矩陣每一行指標的乘積，并計算該乘積的5次方根，求得特征向量，并對向量Wi規范化。計算判斷矩陣的最大特征根和一致性指標，得到平均隨機一致性指標。如果該值小于0.1，說明矩陣具有滿意的一致性，可以確定該層指標的權重。

5.2? ?風險管理評價值計算

根據上述企業風險管理評價指標體系，運用專家意見法進行評分，對每個次級指標，評估小組進行討論確定分值，結合層次分析法所確定的要素權重，采用加權平均法，計算企業風險管理評價值。

根據計算出的企業風險管理評價值，將公司風險管理水平等級由低至高分為不同等級，如簡單級、規范級、優秀級等，并根據5個要素評價值，繪制的企業內部控制和風險管理審計評價蛛網圖，對企業風險管理進行綜合評價。

6? ? ? 結? ? 論

當前，公司已建立了基于大數據、云計算的數字化審計平臺，形成平臺支撐的風險管理持續審計新局面。本文總結了公司開展風險管理持續審計的方式方法和實踐，以ERM 2017的要素、原則等為基礎，建立了“目標層+要素層+指標層+評價層”的風險管理評價架構，提出了企業風險管理評價的方式方法，建立了企業風險管理評價模型。

主要參考文獻

[1]黃慶惠， 何黎萍， 劉輝成， 等. 以持續審計為導向的內部控制審計模式探討[J]. 中國內部審計， 2016 （7）： 20-27.

[2]孟焰， 潘秀麗. 企業風險管理審計研究[J]. 審計研究， 2006（3）： 61-63.

[3]舒偉，左銳，陳穎，等.COSO風險管理框架的新發展及其啟示[J].西安財經學院學報，2018，31（5）：41-47.

[4]劉李福，鄧菊香.風險管控與風險管理審計：研究評述與框架[J].中國內部審計，2014（5）：24-27.

[5]盧俊峰.基層央行風險管理審計評價研究[J].中國內部審計，2018（11）：30-36.