論文關鍵詞:內部控制;風險;風險管理
論文提要：本文在分析內部控制整合框架與企業風險管理整合框架關係的基礎上,分析現行風險管理審計準則的侷限性,並提出開展風險管理審計的建議。
一、我國風險管理審計準則的內容及侷限性
隨着形勢發展及我國內部審計自身發展的需要,我國內審也開始重視風險管理內部審計。2005年中國內部審計協會頒佈了《內部審計具體準則第16號—風險管理審計》(以下簡稱風險管理審計準則)並要求於2005年5月1日起實施,該具體準則的出臺爲我國內部審計人員對組織內部風險管理狀況進行審查和評價提供了規範。
風險管理審計準則第2條對風險管理做了如下定義:是對影響組織目標實現的各種不確定性事件進行識別與評估,並採取應對措施將其影響控制在可接受範圍內的過程。風險管理旨在爲組織目標的實現提供合理保證;第6條則描述了風險管理包括的主要階段:風險識別、風險評估以及風險應對;在該準則的第4條中,還特別強調:風險管理是組織內部控制的基本組成部分,內部審計人員對風險管理的審查和評價是內部控制審計的基本內容之一。
可以看出,該準則所稱的“風險管理”是從狹義上理解的風險管理,即風險管理活動的具體實施過程:風險識別、評估及應對。而廣義的風險管理不僅包括上述的具體實施過程,還包括其他起輔助作用的要素:內部、控制活動以及監督。按目前狹義前提下制定的準則去執行,風險管理審計就會忽略這些起輔助作用的要素,以至於發現不了組織風險管理活動中可能存在的潛在問題。中航油案例就是一個很好的例證。
中國航油(新加坡)股份有限公司(下稱中航油新加坡公司)曾聘請國際著名的安永師事務所爲其編制《風險管理手冊》,設有專門的風險管理委員會及軟件監測系統,實施交易員、風險控制委員會、審計部、總裁、董事會層層上報,交叉控制,按照《風險管理手冊》的規定,任何導致50萬美元以上損失的交易將自動平倉。中航油新加坡公司共有10位交易員,損失的最大限額應是500萬美元(10×50萬=500萬)。但是,中航油新加坡公司的衍生品交易最終虧損額高達5.5億美元,以至破產保護。中航油事件的核心問題並不在於雲譎波詭,而在於該公司從表面上看似乎已實施了風險管理的流程:風險識別、風險評估、風險應對;但缺少對風險管理系統中的其他輔助要素的'合理關注,最終導致企業整體風險管理失敗。這一案例也再次說明:風險管理不僅僅只包括風險識別、評估及應對,更包括內部環境、控制活動、資訊和溝通以及監控;風險管理系統的有效運轉依賴於各要素的通力協作,對風險管理不應停留於狹義上的理解;風險管理審計準則應指導內部審計人員從廣義上理解風險管理的涵義,全盤考慮風險管理的構成要素及其運作方式,及時有效地發現企業風險管理實踐中存在的短板。
二、重新認識內部控制與風險管理的關係
對風險管理審計的認識依賴於企業進行風險管理時所採取的企業風險管理框架或風險模型(用來反映風險管理過程和內容的程序圖)。截至目前,已經有如下風險管理模型:1995年澳大利亞-新西蘭聯合委員會的AS/NZE4360;1998年的加拿大標準委員會模型;1997年全國虛假報告委員會下屬的發起人委員會(下稱COSO委員會)內部控制-整合框架的“目標—風險—控制”模型;2004年COSO委員會的企業風險管理-整合框架(簡稱ERM框架)模型。風險管理審計準則中出現的問題根源就在於準則中的“風險管理”概念採納了COSO委員會1997年的內部控制-整合框架中的觀點。然而,理論界和實務界還是認爲該內部控制框架有些侷限性,如對風險強調不夠,使得內部控制無法與企業的風險管理相結合。COSO委員會2004年的ERM框架就是在1997年的內部控制-整合框架的基礎上,結合《薩班斯——奧克斯利法案》的相關要求擴展得到的。相比內部控制框架,ERM框架在多個方面都有所發展和深化,具體表現在以下幾個方面:
[1]
