爱华网与外部审计主要起监督作用不同的是，国际内部审计师协会制定的标准明确指出，“内部审计是一项独立、客观的保证和咨询活动，其目的在于增加价值和改进组织的运作。它通过系统化和规范化的方法，评价和改进风险管理、控制和管理的有效性，帮助组织实现目标”。由此可见，企业内部审计并不仅仅行使经济监督职能，还担负着经济评价和促进企业经济增值的重任，而这些，无一不与企业经营风险紧密相关。因此，“风险导向”的理念近年来正逐步向企业内部审计渗透。 这样一来，现代企业中基于风险导向的内部审计就应该具备以下几个特征： 以内部控制为基础，企业内部管理层及其他相关人员制定并执行内部控制制度，目的便是保证财务报告的可靠性、保证经营的效率效果以及相关行为的合法合规性。既然内部控制的好坏与企业经营风险直接相关，内部审计的关注重点也应该在企业内部控制上。 以风险管理为内容，为了全面识别风险，内部审计人员应广泛涉猎企业经营管理知识、熟悉经营战略、企业管理结构等，并通过内部审计报告这一信息交流渠道，评价企业现有的风险防范措施、提供改进建议，从而达到风险管理的目的。 以经济增值为目标，基于风险导向而执行的内部审计，关注的是企业经营风险而非财务风险，因此，除了防止、发现并纠正财务报告可能存在的错报外，内部审计的最终目标还应该是通过降低组织风险、提高经营效率，为企业带来更大的经济利益。
风险导向内部审计与公司治理机制相结合 现代企业内部结构的复杂化不仅改变了企业的公司治理机制，从市场整体来看，企业面临的经营环境也随之复杂化。全面把握并控制风险、借助有效的风险管理来实现企业价值最大化的公司治理目标，成为企业提高竞争力的有利手段。两者若能在以下几个方面有效结合，必能相互促进，对企业持续发展有益。 一是识别风险，内部审计工作中需要了解的企业经营环境，不仅包括国家法律、政策、宏观经济等外部环境，还包括企业经营风格、风险偏好、企业文化等内部环境。在搜集相关信息、辨别企业风险并予以定性时，内审部门可以将该企业特定的公司治理机制，如大股东股权制衡程度、独立董事人数占董事会比重、或严谨或宽松的内部控制制度、股东大会重大决议记录等作为切入点，分析企业现有风险和潜在风险。 二是评估风险，定量估计出识别的风险需要借助各种评级方法，但遇到难以客观量化的风险，内审人员往往就需要依靠主观职业判断。此时，公司治理结构是否完善、公司治理环境是否规范，便可成为分析该风险主要来源，评价其影响程度等的参考因素。 三是应对风险，内审工作还需要针对评估出的风险，检查企业是否采取相应应对措施，该措施是否充分适当。若该措施得当，现有的公司治理机制便是可以接受的；若不得当，内审人员则可以直接就治理机制中的漏洞提供改进建议，既强化了风险管理水平，又能达到完善公司治理机制的目的。 风险导向内部审计的未来发展 理论上讲，基于风险导向的内部审计着眼于企业风险管理，若能与现代企业公司治理机制结合，应该能成为公司内部治理的又一有效手段。但从实际来看，我国大量企业虽然也设置内部审计部门，但内部审计普遍不受企业重视。除了由于刚刚引入“风险导向”而导致相关法律体系尚不健全外，笔者认为，实际运用时还可以从以下几方面对现有状况予以改进： 首先，强化内部审计人员的知识储备。现有内部审计人员大多只具备相关财务背景，若要在“风险导向”的理念下开展内审工作，经营、管理、战略等方面知识的欠缺，将阻碍他们对企业整体经营风险的识别与评估，则全面风险管理的预期效果得不到体现，更不用说完善公司治理机制。因此，企业内审部门在选拔人才时应更注重知识结构的多样化；定期职业培训将有助于相关人员的知识更新，而定期轮岗则在资源相对有限的条件下让内审人员尽可能熟悉各项业务流程，从而提高了他们的胜任能力。 其次，淡化内部审计人员的“监督”角色。现代内部审计的职能并不局限于监督，相反，应该是通过监督这一手段来实现经济价值增值。若内审人员在企业里跳不出警察这一角色的禁锢，则很容易将内审部门与企业其他部门对立起来，工作阻力显而易见，短期内达不到内审的预期效果，长期来看更是阻碍企业的健康发展。 因此，内审部门应注重与其他部门多建立支持与合作关系，不仅监督其他部门的行为，更重要的是提供好的解决方案，帮助企业达到预期的经营目标。 这也从侧面强调了企业内审人员交流的技巧性。风险的不确定性及风险管理的全局性、时效性要求内审人员要学会与被审计人员站在同一目标起跑线，学会耐心倾听和理解，消除被审计人员的抵触情绪，这样才能赢得与同伴的更多合作机会，也有利于共同分析和探讨出更多可行的改进方案。 还应树立全员风险管理意识。若不是企业文化中强调风险意识，抑或内审相关人员有管理的理论或实践背景，企业就很难要求基层操作人员具有全局风险管理意识及相应技能。这样一来，“风险导向”便流于形式。更糟糕的是，若重心过分偏移于某方利益，利益制衡的平衡点将被打破，更不利于企业长期发展。 由此看来，营造具有风险意识的企业文化氛围就很重要，而适时引进国外先进风险管理经验和审计技术，也有利于企业跟上国际化发展的步伐。 作者单位华东师范大学商学院 谈风险管理与内部控制的区别与联系 王寅入/文 风险管理项目与内部控制项目应互为补充、相辅相成 近些年，国内上市公司都根据资本市场的要求不同程度地开展了内部控制工作，普遍对COSO I 《内部控制整体框架》的理念有了深入的认识。这些上市公司如果还同时隶属于国资委，还需要按照国资委的《中央企业全面风险管理指引》的要求，实施全面风险管理，于是也了解和熟悉了COSO II 《风险管理整体框架》。有些认真执行的企业，即开展了内控实施项目，也启动了风险管理项目，这些项目推动往往落到了企业的内审部、财务部或者法务合规部头上。自然而然，企业里的相关管理层都在思考：这两项工作到底有什么区别？它们的联系又在哪里？落实在具体工作中，如何避免重复，从而提高工作的效果？ 回答上述实务中关心的问题之前，先听听理论界怎么说。 理论界关于这个问题的争论 有关风险管理与内部控制关系的辨析，理论界不乏争论，一直是一个热门话题。争论的观点主要分为以下两类： 观点1：企业风险管理的范围要比内部控制的范围更广泛，内部控制涵盖在企业风险管理范围内而且是其不可分割的一部分。国际权威机构美国的COSO委员会持此观点，中国审计署总审计师孙宝厚也曾表达过相同的观点。 观点2：内部控制与企业风险管理相互包含,将会融为一体。持此种观点的包括国际学者Blackburn，中国内部审计师协会会长王道成等。 从实务层面进一步探讨两者之间的区别与联系，不妨先引用两个案例来剖析。 案例一：一家全国性知名集团的失败案例 这是一家曾经产值近百亿元的集团，下属企业多达600余家，行业分布横跨药业、房地产、进出口贸易、工程、食品、酒业、酒店、旅游、文化、金融租赁等各种领域。数年前，该公司爆发了全面的财务危机，走到了破产的边缘。分析该公司经营失败的原因，既存在风险管理的失误，也存在内部控制的不足。
