《内部审计》讲义第六章.doc
- 文档编号:2580344
- 上传时间:2022-11-02
- 格式:DOC
- 页数:8
- 大小:55KB
《内部审计》讲义第六章.doc
《《内部审计》讲义第六章.doc》由会员分享,可在线阅读,更多相关《《内部审计》讲义第六章.doc(8页珍藏版)》请在冰豆网上搜索。
第六章风险管理与公司治理审计
COSO委员会决定通过有效的风险管理、内部控制及公司治理来改善企业管理的问题,并于2001年开始建立一个可被广泛接受的企业风险管理架构,于2003年7月完成了《企业风险管理框架(草案)》并公开向业界征求意见,于2004年4月颁布正式稿。
COSO希望新框架能够成为企业董事会和管理者的一个有用工具,用来衡量企业管理团队处理风险的能力,而内部审计人员可以通过运用ERM(EnterpriseRightsManagement,企业权限管理)框架来更好地理解、评价和管理组织以及内部审计工作中遇到的风险。
本章学习重点把握4456即4个名词(风险、公司治理、风险管理、风险评估)、4个论述(风险管理审计与内部控制审计的关系、内部审计在企业风险管理过程中的角色和责任、风险管理的要素、风险管理审计与风险导向审计的内涵是否相同?
为什么?
)、5个简答(国资委对企业风险的分类、风险回应的方式、制订基于风险评估的审计计划的步骤、公司治理的基本原则、风险分析审计的要点)、6个案例(围绕风险因素、风险类型、风险管理有效性及存在问题、审计风险进行分析)。
第一节风险管理审计的内容
一、什么是风险
(一)定义
国资委在《中央企业全面风险管理指引》中将企业风险定义为未来的不确定性对企业实现其经营目标的影响。
【名】IIA新颁布的IPPF将风险定义为:
“指对实现目标有影响的事件实际发生的可能性,风险通过影响程度和发生的可能性来衡量。
”【名】
(二)风险分类
风险在企业经营活动中有不同的表现,国资委将企业风险分为:
战略风险、财务风险、市场风险、运营风险和法律风险五个主要部分。
【答】
二、风险管理
企业风险管理是指围绕企业风险去管理策略目标,针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程,通过执行风险管理基本流程,制定并执行的规章制度、程序和措施。
【名】其含义是“识别、评估、管理和控制潜在事件或情况的过程,目的是为实现组织的既定目标提供合理保证。
”风险管理过程可以用下列模型表示。
三、企业风险管理的八大要素【论】
企业风险管理有八个相互关联的要素,这八个要素形成了一个全面性的行动架构。
(一)内部环境
企业的内部环境是风险管理的基础,内部环境不仅会影响到策略及目标的设定、活动的设置,而且影响到对风险的辨认、评估及回应。
内部环境由多种因素组成,如道德观、人员、管理者的经营理念及风险管理的态度和文化。
(二)目标设定
即规定设定目标的程序并确认目标、策略及风险承受之间的一致性。
企业目标可以从以下几个方面确定:
1.策略:
有关企业整体的目标及使命。
2.营运:
有关效率、绩效及获利能力。
3.报导:
有关内部及对外部的报导。
4.遵循:
有关法令及规章的遵循。
(三)事件辨认
企业经营环境充满不确定性,没有任何企业可以100%地确定特定事项是否或何时发生及其结果将会如何。
通过事项辨认的程序,管理者将思考所有会影响其策略及目标达成的内部及外部因素,并将潜在事项加以分类。
管理者还要对这些事项之间的相关性进行分析和了解,并且获得充足的资讯作为风险评估的基础。
(四)风险评估
风险评估是指辨认并分析影响目标达成的各种不确定因素。
【名】风险评估着重于对潜在事项发生的可能性及其影响程度进行分析和评估,并要分析和评估潜在事项对目标实现的影响。
虽然一个单一事项的影响可能很小,但是一连串的事件可能使影响程度增大。
风险评估同时使用定性与定量的方法来评估潜在事项的不确定性程度。
(五)风险回应
当风险被辨认及评估之后,管理者必须思考可能采取的风险回应方式及其影响,评估时应同时考虑风险承受度及成本效益。
为了达到有效的风险管理,所选择的风险回应方式不能超出企业所能承受的风险范围。
风险回应方式,主要有回避、降低、分摊及接受,当然还有转移、集中等其他方式。
管理者决定了管理风险的方式之后,必须将其转化为有效的行动,制订执行计划并且评估计划执行后的剩余风险。
【答】
(六)控制活动
内部控制的政策及程序是为了确保风险回应方式的有效执行。
每个企业的目标及达成目标的方法不同,所以控制活动也不相同,而且控制活动还反映了企业经营的环境、产业特征、内部组织、内部控制及文化等。
一般控制通常包括了对rr管理架构、软体的购置及维修、资料存取的安全等控制;而应用控制的目的则是确保资讯处理的完整、正确及有效。
(七)资讯及沟通
组织的每个层级在辨认、评估及回应风险口守都需要取得来自内部及外部的暹当资讯。
资讯取得后,应及时而详尽地提供给管理者,帮助他们快速而有效地拱行任务。
有效的沟通既包括内部从上至下或从卞奎上的沟通,也包括对客户、倒应商、政府单位及股东等外部团体的资讯沟通。
有效的企业风险管理必须依赖于历史资讯及现时资讯。
从历史资讯中可追踪实际经营结果与目标的差异并找出趋势,同时也能提前察觉到与风险相关的潜在事项。
而现时资讯则能够反映已存在于作业程序或作业单位风险的及时资讯,使企业能够依据风险承受度改变其所进行的营运活动。
(八)监督
监督的作用在于确保企业风险管理的各个构成要素在组织的每个层级一致执行。
监督进行的方式包括持续监督及个别监督。
持续监督是建立在营运活动之中,并且随时不断进行;个别监督是在事实发生之后才进行。
相比之下,持续监督的机制更能够迅速地发现问题。
所有可能影响企业目标实现的风险——不管这些风险所显现出的潜在问题或机会都应该让相关的决策者知道,所以建立一个适当的资讯传递机制,让执行决策的人员有效地执行决策是相当重要的。
企业风险管理是一个相互关联的程序,只有八个要素同时存在并能顺利地运作才能发挥其作用。
当然,任何一种风险管理程序,不论其设计及执行多好,都不能对结果加以保证,但一定有助于管理阶层增加实现目标的信心。
四、风险管理审计的内容
风险管理审计与风险导向审计的内涵截然不同。
风险管理审计的涵义是“对组织的风险管理进行审计”。
对于企业来说,这里的风险,是指“企业风险”,主要涉及“经营风险”。
在风险管理审计框架下,“风险管理”是审计的客体和对象。
风险导向审计是作为继账项基础审计、制度基础审计之后一种新的审计模式,其中的风险指的是“审计风险”,其含义更加倾向于审计主体。
【答】
根据我国《内部审计具体准则第16号——内部控制中的风险管理》的要求,基于风险管理过程主要包括风险识别、风险评估、风险应对三个主要阶段的考虑,对风险管理的审计亦应围绕这三个方面展开。
内部审计机构和人员应当充分了解组织的风险管理全过程,审查和评价其适当性和有效性,并提出改进建议。
(一)风险识别审计
内部审计人员应当实施必要的审计程序,对风险识别过程进行审查与评价,重点关注组织面临的内、外部风险是否已得到充分、适当的确认。
(二)风险评估审计
内部审计人员审查与评价风险评估过程时,应重点关注两个要素:
(1)风险发生的可能性,
(2)风险对组织目标的实现产生影响的严重程度。
(三)风险应对审计
内部审计人员应当实施适当的审计程序,对风险应对措施进行审查。
根据风险评估结果作出的风险应对措施主要包括以下几个方面:
1.回避,是指采取措施避免可产生风险的活动;2.接受,是指由于风险已在组织可接受的范围内,因而不采取任何措施;3.降低,是指采取可行措施将风险降低到组织可接受的范围内;4.分担,是指采取措施转移风险。
【答】
五、与内部控制审计的比较研究
不能单纯地从COSO的“五要素”或“八要素”角度简单确定内部控制审计与风险管理审计的关系,对于同一个企业来说,内部控制与风险管理的直接载体都是企业的经营活动,控制与风险管理的边界都是企业的法人边界,控制是管理的职能。
因此,可以推断,内部控制自然也是风险管理的一个机制,内部控制重心在企业的高管层之下(经营活动),风险管理的重心在高管层之上(战略设计、决策),内部控制主要关注不相容职务是否分离,风险管理主要关注经营目标实现过程中的不确定性;内部控制是风险管理的主要机制,但不是全部;合谋舞弊时内部控制无效,需要风险管理辅之。
在这样的基础上甄别内部控制审计和风险管理审计,可以得到如表所示之结论。
表:
内部控制审计与风险管理审计的关系【论】
比较的内容
内部控制审计
风险管理审计
审计内容
整体层面内部控制审计
业务层面内部控制审计
战略层面风险管理审计
业务层面风险管理审计
审计计划
更多地使用抽样方法确定
更多地使用风险评估方法确定
审计实施
描述内部控制、符合性测试、实质性测试
描述风险、测试风险、评价风险
审计报告
问题导向,关注牵制
风险导向,关注前瞻
审计方法
定性定量相结合,定量评价为主
定性定量相结合,定量评价为主
比较而言,风险管理审计与内部控制审计不是两个截然不同的事情,二者在整个审计系统框架中具有诸多相似之处,只是重点和审计角度在一定程度上有所不同而已。
可以说,风险管理审计是内部控制审计的发展和延伸。
六、内部审计在企业风险管理过程中的角色和责任【论】
内部审计在企业风险管理过程中的核心作用是就企业风险管理过程的有效性提供确认服务和咨询服务。
(一)确认服务。
主要包括:
1.对风险管理过程的确认服务,2.对正确识别风险的确认服务,3.评估风险管理过程,4.评估关键风险因素报告,5.评估关键风险因素管理。
(二)咨询服务。
在咨询服务方面,内部审计应充当企业风险管理过程中的咨询者、建议者、协调者角色,主要包括:
1.帮助识别和评估风险,2.指导管理层应对风险,3.协调风险管理相关活动,4.加强对风险的报告与披露,5.保持和完善企业风险管理框架,6.支持企业风险管理的建设,7.在董事会批准的前提下,协助制定风险管理战略。
第二节风险管理审计的途径与方法
风险管理审计从工作的第一步开始就要考虑可能影响企业目标实现的风险,并将这种风险意识一直贯穿于整个审计过程之中。
一、风险识别
风险识别是企业风险管理审计的第一步,是对企业面临的、以及潜在的风险加以判断、归类和鉴定风险性质的过程。
二、风险评估的内容与方法
(一)风险评估的主要内容
风险评估是对已识别内部和外部风险的分析确认和衡量。
其主要内容包括风险损失频率估计和风险损失程度估计。
(二)风险评估的方法
风险评估的方法有很多,但大体说来可以分为定性分析和定量分析两种方法。
三、基于风险评估的审计计划
制订计划分为两步:
评测可利用的资源、风险分析及风险排序【答】
风险分析审计的要点:
从因果两个方面去分析风险发生的可能性和影响程度;所采取的定性、定量分析标准和方法是否科学合理;是否根据风险分析的结果进行专业判断和风险排序。
【答】
四、基于风险矩阵图与风险测试的审计实施
(一)充分运用风险评估技术,估计风险严重程度和发生的可能性。
(二)数字化的风险测试与风险评价
审计测试是审计实施阶段的主要内容,意味着通过将选择的项目变成证据。
对内部控制制度进行测试,需要经过穿行测试和小样本测试两个主要阶段。
其中,穿行测试可以通过两种途径达到:
一是“凭证穿行测试”,即根据组织的记录来追踪整个活动过程;二是“程序穿行测试”,即由审计人员对活动的每一步进行一到两次的测试。
穿行测试是从控制点的分析开始的,审计人员针对项目建设活动中的控制点,对项目建设活动分层进行测试。
小样本测试的实质是选择少量的行为活动进行测试,其目的是检查内部控制制度实施的有效性程度,即实际活动效果是否达到了预期的目标。
(三)前瞻性的风险管理审计报告
与常规业务审计报告不同,因不确定性的存在,风险管理审计报告也存在“风险”。
如何突出审计报告的前瞻性和可用性?
如何体现不同使用者对风险管理审计报告的不同需求?
如何降低风险管理审计报告的风险?
诸多问题需要讨论和关注。
五、可以借鉴的工具方法
(一)风险坐标图(又称为风险矩阵图)
(二)蒙特卡罗方法
(三)关键风险指标管理、
(四)压力
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 内部审计 内部 审计 讲义 第六
![提示](https://static.bdocx.com/images/bang_tan.gif)