1、內部審計的在風險管控中的職能定位從內部審計與風險管控的邏輯關系說起南通中遠重工有限公司劉元慶內容摘要：當前，國內很多企業都在如火如荼地推行內部控制和全面風險管理，這給國內內部審計的發展提供了契機。然而，正是在這樣的浪潮中，由于對自身的職能定位不明確，國內相當一部分企業的內部審計機構漸漸迷失了自己，錯位現象相當嚴重。那么，內部審計與風險管控到底是什么關系，內部審計在風險管控中又應當扮演什么角色呢？本文將對上述問題進行探索，希望能為企業內部審計部門在風險管控體系建設的進程中找準自身角色定位、正確發揮自身作用提供一些思路。關鍵詞：內部審計，企業風險管理，內部控制當前，國內很多企業都在如火如荼地推行內

2、部控制和全面風險管理，這給國內內部審計的發展提供了契機。然而，正是在這樣的浪潮中，由于對自身的職能定位不明確，國內相當一部分企業的內部審計機構漸漸迷失了自己，錯位現象相當嚴重。比如，有些企業的內部審計機構同時是企業的風控部門，不但要負責風險管控體系的建設，還要針對該體系進行“自我審計”；有些企業的內部審計機構是紀檢監察部門或者監督部門的一部分，他們把工作重心放在監督職能上，卻忽略了其本應承擔的確認和咨詢職能；有些企業的內部審計機構直接參與企業的日常業務活動中，身兼運動員和裁判員雙重身份。上述這些錯位現象均會導致內部審計喪失其獨立性和客觀性，使內部審計失去生存之根本。那么，內部審計與風險管控到底

3、是什么關系，內部審計在風險管控中又應當扮演什么角色呢？下文將從內部審計的概念出發，探索內部審計與風險管控的邏輯關系，進而對內部審計在風險管控中的職能定位進行論述，希望能為內部審計機構在風險管控中找準自身的角色定位、正確發揮自身作用提供一些思路。一、內部審計的概念現代企業內部審計，最初是以財務審計為主，重點關注合規性審查，目的在于糾正錯誤、防止舞弊；從20世紀50年代開始，內部審計不斷向經營審計和管理審計拓展，審計的重點也逐漸轉變為對經營活動和管理控制的審查和評價；20世紀90年代后，內部審計引入了風險導向審計理念，重點關注阻礙組織目標實現的風險和威脅，審計理念也從監督型向服務型轉變，咨詢服務開

4、始發展，內部審計逐步由被動審查向主動提出解決問題的建議轉變，這使得內部審計更具有前瞻性和建設性。隨著上述內部審計理念的轉變和拓展，內部審計的概念也在不斷發展。國際內部審計師協會（IIA）在其 2001年1月發布的新版國際內部審計專業實務框架中，將內部審計全新定義為：“內部審計是一種獨立的、客觀的確認和咨詢活動，旨在增加組織的價值和改善組織的運營。它通過應用系統的、規范的方法，評價并改善風險管理、控制及治理過程的效果，幫助企業實現其目標見國際內部審計師協會于2001年1月發布的國際內部審計專業實務框架。此為中國內部審計協會譯本，原文為：“Internal Auditing is an indep

5、endent, objective assurance and consulting activity designed to add value and improve an organizations operations. It helps an organization accomplish its objectives by bringing a systematic, disciplined approach to evaluate and improve the effectiveness of risk management, control, and governance p

6、rocesses.”。”這一定義一直沿用至今。 上述定義的基本要點有：（1）明確內部審計的職能是“確認”與“咨詢”，刪除了以往定義中的“監督”職能；（2）明確內部審計的工作內容是“評價并改善風險管理、控制及治理過程的效果”；（3）明確內部審計的目標是“增加組織的價值和改善組織的運營”以及“幫助企業實現其目標”。二、從內部審計的概念，看內部審計與風險管控的邏輯關系首先說明一下，本文所稱“風險管控”，是企業風險管理與內部控制的統稱。之所以沒有使用企業風險管理與內部控制這兩個更為常見的名稱，是因為本文認為企業風險管理是內部控制的升級版，它們僅僅是風險管控在不同發展水平的不同名稱而已，二者并無本質區別

7、，沒有必要進行人為的區分。比如，COSOCOSO是“The Committee of Sponsoring Organizations of the Treadway Commission”的英文縮寫，即美國反虛假財務報告委員會下屬的發起人委員會。在1992年、2004年分別發布了堪稱風險管控教科書的內部控制整合框架和企業風險管理整合框架，后者在其第一章中就明確寫到“雖然本框架僅僅引用了內部控制整合框架的部分原文，但是本框架通過參考的方式把內部控制整合框架整體融合了進來”見COSO于2004年9月發布的企業風險管理整合框架第一章，其原文為：“While only portions of the

8、 text of Internal Control- Inergrated Framework are reproduced in this framework, the entirety of Internal Control- Inergrated Framework is incorporated by reference into this framework.”。關于內部審計與風險管控的邏輯關系，其實上文內部審計的定義已經一言道出了內部審計與風險管控的區別和聯系，即內部審計的工作內容是“評價并改善風險管理、控制及治理過程的效果”。1、內部審計與風險管控是各不相同的兩種管理活動既然內部

9、審計的工作內容是“評價和改善風險管控的效果”，可見內部審計是風險管控的再管控,它以風險管控為管理對象，與風險管控是各不相同的兩種管理活動。因此，內部審計機構應當認清自身“再管理”的本質，不宜直接參與風險管控體系的建設，更不應直接參與企業的日常業務活動或者職能部門的日常監督。 2、內部審計是提升風險管控水平的重要手段和核心動力之一根據企業風險管理整合框架，企業風險管理由8個要素構成，其中，“監控”要素是指通過持續性的監控活動和個別評價隨時對上述構成要素的存在和運行進行評估，該要素對提升風險管控水平至關重要。當然，此處監控的主體，不僅僅是內部審計機構，也可以是紀檢監察部門或者職能部門。但盡管如此，

10、內部審計在評價企業風險管理的有效性以及提出改進建議等方面仍然起著關鍵性作用，甚至可以說是最有效的監控手段，是提升風險管控水平的重要手段和核心動力之一。三、從內部審計與風險管控的邏輯關系，看內部審計在風險管控中的職能定位根據上文對內審審計與風險管控的邏輯關系的分析，本文得出如下結論：內部審計是一項確認和咨詢活動，它在風險管控領域的工作內容是評價和改善風險管控的效果。因此，本文將內部審計在風險管控中的職能定位于“確認”與“咨詢”兩大職能。1、內部審計的確認職能評價風險管控的有效性所謂“確認”，即對風險管控的有效性進行評價。借鑒中國內部審計協會內部審計具體準則內部控制審計中“本準則所稱內部控制審計，

11、是指內部審計機構對組織內部控制設計和運行的有效性進行的審查和評價活動”的提法，本文將風險管控的有效性解釋為“風險管控系統設計和運行的有效性”。其中，設計有效性的評價要點有：（1）完整性，即風險管控系統是否完整，內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通、監控等構成要素是否齊全，控制點是否準確，有沒有應設置而未設置的控制點等等；（2）合理性，所設定的風險容量、風險容限其中，風險容量（risk appetite），是指主體在追求價值的過程中所愿意承受的風險的數量，也有人將其翻譯為風險偏好；風險容限（risk tolerance），是指主體為實現其目標而設定的其所能接受的

12、偏離程度。參見COSO于2004年9月發布的企業風險管理整合框架。與企業發展戰略的期望報酬是否相適應，是否有控制成本大于控制效益的情況，風險應對措施能否平衡控制與效率之間的關系、是否具有操作性等等。運行有效性的評價要點有：（1）風險管控系統是否按照設計要求實際運行；（2）實際運行是否達到了預定的效果，比如經營活動是否能達到預期目標等；（3）執行人是否有相應的勝任力并獲得相應授權。2、內部審計的咨詢職能改善風險管控的效果所謂“咨詢”，即在上述評價的基礎上，進而提出改進建議,以期改善風險管控的效果。該職能是內部審計展現自身價值的重要手段，它是當前內部審計的發展方向，也是內部審計在未來相當長時期內的

13、核心職能。我國的內部審計發展到現在，大部分企業的內部審計機構仍然深陷于“管理層不理解內部審計機構內部審計機構錯位、越位、失位，無法體現自身價值內部審計機構抱怨管理層”的惡性循環中；另外，很多企業的內部審計機構都被整合在紀檢監察部門、監督部門或者風控部門，雖然沒閑著，但卻一直種著別人家的地，地位相當尷尬。之所以產生這些問題，是因為內部審計人員總是在單方面地抱怨自己得不到管理層重視，或者一廂情愿地向管理層提出內部審計理念應當如何如何，而從未思考過自身的核心價值到底是什么。而要找到自身的核心價值，內部審計機構就得從管理層的需求出發，發掘和滿足管理層需求。有一則公益廣告曾經說過：“沒有買賣，就沒有殺害

14、。”這句話的重點當然是動物保護，但它同時也給我們講述了一個基本道理，即“有需求才有市場”。因此，內部審計機構應當越來越多地了解管理層需求，不斷深入到企業經營層面進行審計，查找提高收入、節約成本的機會，發現存在的問題并避免可能發生的損失，讓內部審計產生出實際效益，這樣才能讓管理層覺得他們為內部審計所付出的成本是有回報的，才能讓管理層重視內部審計機構并且愿意提高內部審計人員地位和薪酬，從而形成內部審計工作的良性循環。綜上，確認職能僅僅是基礎，具有預防性、建設性的咨詢職能才能體現內部審計的核心價值，是內部審計當之無愧的核心功能，是內部審計部門和內部審計人員理所應當的核心定位。四、對我國內部審計的展望要想發展內部審計，內部審計機構必須首先找到自身生存的根本，即“發掘和滿足管理層需求”。而要做到這一點，內部審計機構就必須準確定位自身職能，以確認為基礎，以咨詢為核心，發展服務型內部審計；在此基礎上，內部審計機構應當進一步謀求內部審計機構的獨立性以及審計人員的專業性，提高審計結果的可靠性和客觀性，提升從管理視角為管理層提供咨詢建議的能力，這樣才能使內部審計產生出實際效益，從而促成內部審計發展的良性循