论风险导向审计在风险管理框架中的应用

摘要：从风险导向审计的前提和过程，探讨在风险管理框架中的应用。
关键词：内部审计；风险管理框架；应用
中图分类号：F239文献标识码：A文章编号：1672-3198（2009）03-0237-02

1引言

2004年美国反虚假财务报告委员会（COSO）颁布了《企业风险管理——总体框架》中，企业风险管理的定义是，由董事会和管理层在制定战略及在整个企业中实施的、用于识别可能影响组织的潜在事件并根据风险偏好管理风险，为组织实现目标提供合理保证的过程。它强调企业风险管理和内部控制体系整合，使二者共同成为公司治理的强大工具。内部控制体系中核心环节之一的内部审计承担了监督、评价、检查、报告和改进等任务，是企业风险管理不可或缺的组成部分。
2004年国际内部审计师协会（IIA）内部审计的定义将风险管理和内部控制、公司治理列为内部审计的工作对象，明确要求内部审计参与风险管理和公司治理过程，IIA《标准》确定了风险审计的方向。

2风险管理框架下风险导向审计的应用前提

在风险管理框架下，要发挥风险导向审计的作用，必须以风险管理为基础，改变审计思路，改进审计流程和方法。
2.1以风险管理框架为理论框架
COSO提出的ERM框架首先增加了战略目标，将企业风险的关注点引向战略问题；其次，在内部控制五要素（内控环境、风险评估、内控活动、信息与沟通、监督）的基础上增加了目标设定、事件识别和风险评估三个要素，与原来的风险评估要素构成了一个完整的风险管理过程；最后，还强调风险管理覆盖所有层次，包括业务单元、子公司、分支机构和公司的整体层次等内部控制的全部领域。可见，ERM是一个整合公司治理和内部控制的框架，它关注包括公司治理领域和内部控制环节的一切风险。
IIA通过修改内部审计定义加速了它的发展并使其成为现代内部审计发展的趋势。它是传统审计的发展，赋予为企业的风险管理提供保证的重要任务，因此，应该让内部审计和风险管理框架直接联系，实现协同效应。IIA《标准》对风险审计的规范和指导，极力倡导内部审计在企业风险管理框架中发挥不可替代的重要作用，即内部审计要在风险环境分析、风险事件识别、风险评估、风险反应和控制、风险信息沟通和管理系统监控环节中发挥重要作用。
2.2以风险管理目标为审计过程的行动指引
全球化、技术更新、资本重组、变化的市场、竞争和管制等因素使企业经营面临着很多不确定性，现代企业管理的战略目标是增加企业价值，同时承受相应的风险。不确定性是对价值的破坏或增进，风险与机会并存，管理层把机会反馈到战略或目标制订过程中，以便把握住适合的机会。
COSO对企业风险管理定下四大目标：战略目标——高层次目标，与使命相关联并支撑其使命；经营目标——有效和高效率地利用其资源；报告目标——报告的可靠性；合规目标——符合适用的法律和法规。在这些目标指引下，风险管理过程就是要合理保证管理层及时了解企业实现目标的程度。依据IIA对内部审计的定义，风险导向审计的总目标是对企业所面临的风险进行管理，对内部控制和治理过程进行评估，将评估的结果反馈给管理层，从而帮助企业实现目标。其目标基本一致。
COSO风险管理框架扩展了风险管理的广度和深度，提高了企业管理层控制风险的地位，也提高了风险评估在企业经营中的地位，企业目标分为经营效果和效率、财务报告可靠性和法律法规的遵守程度，内部控制目标提升到企业战略的层次。风险导向审计对企业风险的监控是指对风险管理要素的内容和运行及一段时期内执行质量的评估，要求在企业风险控制监督过程中取得实效，广泛收集有关经营决策和风险状况的信息，评估各个待审计项目的风险，进而确定审计风险控制策略。风险导向审计的焦点体现在分析、确认和解释关键性的经营风险，使审计和企业风险管理策略紧密联系。