内部审计与企业风险治理的全面结合
【摘要】 在理论界、监管层和实务界,企业风险治理已引起越来越高程度的重视。文章从内部审计与企业风险治理全面结合出发,设计了包含企业风险治理运行系统和保障系统在内的企业风险治理基础审计模式。在该模式中,内部审计能够实现对企业风险治理运行过程的持续跟踪,切实发挥内部审计在企业风险治理中的作用。【关键词】 内部审计;企业风险治理(ERM);保证;咨询
自美国 COSO 委员会于2004 年4月颁布《企业风险治理框架》(Enterprise Risk Management Framework,以下简称ERM框架)后,理论界对ERM的研究风起云涌,监管机构对于ERM的规范不断推出,实务界对ERM的尝试不断增多,如北美、欧洲有11%的组织拥有了完全实施的ERM,90%的组织正在建立或者想建立ERM (James Roth,2006);《财富》世界500强企业截至2004年底有近40%实施了ERM,30%部分实施了ERM;我国2006年针对部分先进企业和ERM探索者的一项调查显示,7.89%的企业建立并实施了ERM,15.79%的企业已经建立但是尚未运作,71%的企业在一定程度上建立但流程缺乏相互约束,5.26%的企业没有建立(王雅婷,2008)。可见,ERM受到了越来越多的重视,如何促使企业尽快建立ERM,保证企业顺利实施和完善已经建立的ERM,成为当务之急。
ERM的精华之一在于全员参与,如何清楚地界定各参与方的职责决定着ERM的实施成效。内部审计作为组织治理结构四大支柱之一,在ERM建立和实施中发挥着重要作用。IIA(国际内部审计师协会)在《内部审计在企业全面风险治理中的作用》意见书中将内部审计在ERM中能够开展的活动划分为三类,第一类是核心性保证活动,包括:就风险治理过程提供保证;就风险被正确评估提供保证;评价风险治理过程;评价关键风险的报告;审阅关键风险的治理。第二类是公道性咨询活动,包括:促进风险识别与评价;指导治理层作出风险反应;协调风险治理相关活动;加强风险报告;保持和开发ERM框架;促进ERM的建立;经董事会批准制定ERM战略。第三类是不适当的活动,包括:设立风险偏好;对风险治理过程施加影响;提供治理层风险保证;对风险反应作出决策;以治理层态度做出风险反应;对风险治理承担责任(Russell A.Jackson,2005)。
上述分类对于指导内部审计公道定位、提供适当形式的服务、保持独立性具有一定的意义,却无助于指导内部审计实现与风险治理过程的有机结合,轻易导致内部审计与ERM脱节,或者重视ERM单一环节而忽视整体。为此,应设计一种能够将内部审计与ERM实现对接的方式,使内部审计能够在ERM循环中实现跟踪式全程审计,实现内部审计对于ERM的全程监视,为持续审计奠定基础,该种模式称为“ERM基础审计”。
ERM基础审计模式以COSO委员会在企业风险治理框架中设计的内部环境、目标设定、事件识别、风险评估、风险反应、控制活动、信息与沟通以及监控八要素为基础,考虑内部审计在ERM中能够开展的活动,将两者进行有机结合,形成了如图1所示的ERM基础审计模式(George Matyjewicz等,2004)。
图示外围各项要素中,以建立和沟通组织目标为出发点,依次经历决定组织的风险偏好、建立适当的风险治理框架、识别阻碍目标实现的风险或事件、评价风险发生的影响和可能性、选择和实施适当的风险反应、实施控制和其他反应活动、进行风险信息一致性沟通、监视和调整风险治理过程和结果八个环节,形成了ERM的一个运行系统。在此基础上,由治理层提供对ERM过程的首要保证,进而由内部审计实施对ERM的独立客观保证和咨询,终极各方履行对董事会服务的.职责,董事会对ERM承担终极责任,形成了ERM的一个保障系统。该模式将ERM与内部审计融合在一个完整的循环中,两者实现了无缝对接;明确了内部审计和治理层在ERM中的职责地位;同时,也便于内部审计通过深进各个业务环节开展对ERM的全程审计。
1.建立和沟通目标。CEO负责制订组织的整体战略目标,处于不同治理层次、不同地域分布中的各业务单位、分部和子公司治理层负责制订各自的子目标,子目标必须与组织整体目标保持一致,并与组织文化、价值观、使命和愿景相协调,在整个组织员工中得到全面的沟通、清楚的解释和正确的理解。内部审计应为下列各个方面提供保证:审查组织目标得到有效建立(如检查目标建立依靠的信息、采用的程序、参与者的素质等);审查子目标与组织整体目标协调一致;审查目标在组织员工中得到全面的沟通和一致的理解。审计职员可以采用访谈关键职员、获取和审阅相关资料、向不同层次职员发放调查问卷、实施控制自我评估等方法来开展审计工作,其中问卷设计应该提供可以由回答者进行评论的空间,以便于收集员工对目标理解情况的软性信息。