一、引 言
资金运用业务是保险公司的主要盈利来源.近年来,保险公司业务快速发展,保费收入迅猛增长,资金运用规模随之不断扩大.同时,随着监管机关对保险资金运用限制的逐步放开以及我国资本市场的不断发展, 保险公司资金运用取得了不俗业绩,对保险公司持续经营发展做出了重大贡献. 然而,资金运用是一项高风险业务,尤其是对于保险公司而言,资金运用的安全、合规是首要前提.随着保险资金运用渠道逐步拓宽、技术不断创新、业务种类日益增多,伴随而来的风险防范、合规操作方面的要求也日益提高,成为保险公司风险控制的重要内容.
内部审计是公司内部控制体系的重要组成部分, 是内部控制的第三道防线, 对保险公司资金运用情况进行内部审计是提高保险公司资金运用管理水平、增强保险公司偿付能力、维护被保险人利益的重要保障. 随着内部审计理论与实务的不断发展, 风险导向内部审计已经成为内部审计的核心理念和重要模式. 如何通过实施有效的内部审计来防范保险公司资金运用风险、尤其是证券投资业务风险,是保险公司面临的重要课题,也是本文的核心内容.
二、理论内涵:企业风险管理与风险导向内部审计
(一)风险导向内部审计释义
风险导向内部审计突出"风险"二字,要求内审人员在整个审计过程中都要以降低风险为导向,在审计项目计划制定阶段对被审计机构进行风险分析,确定审计范围和审计重点;在审计项目实施阶段,以降低风险为导向实施各类审计程序,对企业各类业务和控制实施独立评价,并针对发现的重大风险和内控缺陷提出审计建议.风险导向内部审计与企业内控体系建设相伴相生,它以风险管理为基本理念,既是基于降低审计风险,又是为了降低企业的经营管理风险,是企业总体风险管理的重要组成部分.
归纳而言,风险导向内部审计主要有以下特点:
(1)风险导向审计的首要目标是评估与改善风险,不仅关注风险管理,同时也是风险管理的重要组成部分,试图通过风险规避、风险转移、风险控制等有效的风险管理手段来提高组织整体的效率和效果.
(2)风险导向审计的视野较为宽阔,从被审计机构经营风险分析入手,全面剖析被审计对象的风险水平、经营环境和诚信程度等,审计范围、深度和广度都大大扩展.
(3)风险导向内部审计重心前移,把审计起点设为风险评估,并将风险评估作为重心工作,全面了解被审计单位的基本情况及面临的经营环境.
(4)风险导向内部审计要求更高的审计技术,引入风险管理工具和最先进的审计技术,并要求在审计程序和方法上与特定审计环境相适应,针对不同的风险领域和业务环节以及特定的审计目标实施个性化的审计程序.
(二)企业风险管理与风险导向内部审计的关系
风险贯穿于企业经营管理的各个环节.企业内外部经营环境千变万化,业务流程和经营管理错综复杂, 任何偏离预期的变化都会导致企业生产经营活动失败. 而企业风险管理,正是根据决策管理层的风险偏好,结合风险承受度及风险预警能力,对企业内可能产生的各种风险进行识别、评估和分析,并及时采取有效措施加以防范和控制, 以最大限度为企业提供安全保障的一种管理方法.那么,企业风险管理的效果如何呢? 这就需要专业的监督、评价与改进.
现代风险导向的内部审计承担了这一职责, 其实质就是在企业风险管理基础之上的再监督, 其目的是强化并促进企业风险管理更加规范有效. 可以说,风险导向审计与企业风险管理是相辅相成的,风险导向审计是企业风险管理的一个重要手段, 通过评价和发现风险管理方面存在的问题并促其有效整改,进一步促进风险管理的规范和发展;反之,风险管理内容的不断丰富和风险管理手段的不断创新, 也推动着现代风险导向内部审计和手段的提升与发展.
根据英国与爱尔兰内部审计协会颁布的 "风险导向内部审计" 立场公告(Position Statement),在风险管理水平的较低级别,如未采取任何正式风险管理方法的风险暴露阶段,内部审计只能以协助采用风险管理方法为目标,并在审计风险评估的基础上开展内部审计;在风险管理融合的较高阶段,内部审计完全可以将风险管理过程作为审计对象, 在管理层对风险评估的基础上进一步推进内部审计,具体详见下表:
可见, 以风险为导向的内部审计应该结合企业的经营特点和风险管理水平,合理确定具体的审计目标和方法,从而更有效地发挥内部审计在企业风险管理方面的作用.
三、实证分析:风险导向内部审计在保险公司证券投资审计中的应用
(一)保险公司证券投资业务风险特点与分析
1. 保险公司证券投资业务面临的内外部风险
保险公司证券投资业务具有较高的风险性, 对保险公司证券投资业务进行内部审计,首先就是要确定其面临的内外部风险,并逐一进行评价与分析.
从保险公司面临的外部环境看,证券投资业务面临的风险主要包括政治风险、市场风险、行业政策风险及信用风险等;从保险公司证券投资业务的内部环境来看,面临的风险主要包括资产风险、战略风险、操作风险、声誉风险及流动性风险等,如图 1 所示:
2. 保险公司证券投资业务风险的具体评估
在分析保险公司证券投资业务可能面临的主要风险后, 还应对其业务运行与管理过程的潜在控制点和风险点进行识别与分析, 并考虑风险的重大性和可能性. 表 2 列举了保险公司证券投资业务面临的最重要、 最具有投资业务典型性的重要风险领域及其主要风险因素.
在识别风险的基础上,还要通过分析判断各类风险发生可能性的大小、发生的条件、对实现工作目标的影响程度等,以综合确定风险等级. 风险评价可以采取定量与定性相结合的方法. 定量方法如可对风险程度进行 1、2、3 之类的评分,定性方法一般指文字描述. 表 3 列举了法律风险、声誉风险、操作风险、信息系统风险、资产风险的定量和定性影响程度描述方法.
接下来还应确定各类风险发生的可能性, 以便确定最终的风险程度. 同样,风险发生可能性可以用定量与定性两种方法来衡量,表 4 列举了一些可行的定量与定性分析方法.
在确定了风险影响程度与风险发生可能性之后, 就能运用各种计量方法计算每项业务活动的剩余风险,并据此确定审计策略.在对剩余风险进行排序时可以利用风险控制矩阵,将风险列入风险矩阵适合的区域,如下表 5 所示,其中列入①-③区的为可接受风险,将其纳入不予重点关注的范围,审计频率相对较长;列入④-⑥区的为采取缓解措施后可接受的风险;列入⑦-⑨区的为不可接受的重大风险领域,应重点关注,加强审计频率.
(二)以风险为导向实施保险公司证券投资业务审计的关键点
近年来,保监会、证监会等监管机关出台了一系列规章制度,对保险公司风险管理、合规管理及保险投资业务的具体操作要求进行了规范. 这标志着保险企业进入全面风险管理和合规经营阶段, 保险企业对于风险管理的认识提高到前所未有的高度. 目前国内大多数保险公司在外部合规监管部门的要求以及自身业务发展的需要下,搭建了全面风险管理的组织架构,设置了专门的风险管理部门,建立了更加完善的投资风险控制制度、业务管理规则等,逐步形成了事前风险控制、 事中风险控制防线与事后风险控制相结合的全面风险管理架构,内部审计也具备了充分发挥第三道防线作用的必要条件. 具体而言,以风险为导向对保险公司证券投资业务实施内部审计重点应关注以下内容:
1. 以风险为导向制定审计计划,明确审计项目和审计范围. 审计部门在制定审计计划时,应围绕保险投资发展战略,结合监管要点,重点关注董事会和公司管理层关注的流程和控制点, 并对保险投资面临的主要风险进行初步识别和综合评估,充分考虑组织风险、管理需要和审计资源等因素,在此基础上制定证券投资业务审计规划和计划.
2. 以风险为导向编制审计方案,明确审计方向和审计内容. 在制定证券投资审计方案时,应对保险公司证券投资的相关风险要素进行全面系统评估,了解证券投资的业务流程及其内外部环境,评估各流程、各环节风险点,据此确定重点审计内容.
3. 以风险为导向执行审计程序. 在执行审计项目过程中,审计人员应将风险导向理念渗透于审计实施的全过程,增强风险审计意识,把风险管理意识和方法融入到审计实施全过程中.在审计方案的引领下,审计人员可以将时间和精力集中于风险较大或可能存在重大问题的证券投资领域, 严格执行审计程序,以风险识别为基础,通过风险评估、分析性复核、控制测试、实质性测试等方法,发现证券投资过程中的风险控制的漏洞和薄弱环节,以便将审计风险控制在既定范围内.
4. 以风险为导向编制审计报告. 应对保险公司证券投资业务的内部控制和风险管理状况进行总体评价, 对发现的具体问题进行定性和定量的评估和分析,指出问题、分析原因、提出对策和建议.
四、审计实务探讨:保险公司证券投资业务内部审计实施要点
根据保险公司证券投资业务重要风险领域及其风险特征, 与前文第三部分风险分析所列五大内容相对应,内部审计应着重关注以下几方面内容:
(一)财务会计控制目标与审计重点
1. 是否建立并实施规范的会计核算流程 ,及时 、准确 、完整编制财务报表,确保会计信息的可靠性、真实性和对外披露的准确性.
2. 是否建立严格的审批制度和预算控制制度,明确预算的编制、执行、分析、考核,及时分析和控制预算差异,控制费用支出,确保预算的执行.
3. 是否妥善保管公司各类资产,及时登记,定期盘点,及时对帐,确保各项资产的安全和完整.
4. 是否对资金运用专户进行统一管理和运作,专户的设立符合资产委托方的要求,及时掌握资金头寸的变化,资金划拨是否符合专户资金运用的要求和具体投资业务的要求.
(二)投资决策控制目标与审计重点
1. 是否建立完善的投资决策组织架构 ,制定透明、规范的投资决策程序和议事规则,投资决策流程是否包括研究、论证、决策、实施和报告等内容.
2. 是否建立健全相对集中、分级管理、权责统一的投资决策授权制度,对授权情况进行检查和逐级问责.
3. 投资决策是否严格遵循国家法律法规和公司的规章制度,符合保险资金运用的投资范围、投资限制等要求.公司投资决策是否有充分的依据及书面记录,有关责任人是否在记录上签字,重要投资决策是否有详细的研究报告;投资品种的选择标准是否合理并定期评估调整.
4. 是否兼顾资产与负债的匹配.
5. 是否建立了相关的监督机制,保证投资的安全性与投资渠道、投资比例的合法合规性.
(三)投资操作控制目标与审计重点
1. 是否建立独立的交易部门和规范的投资操作流程. 所有投资指令是否都经交易部门审核,确认其合法合规后予以执行.
2. 是否对业务经办人员建立了有效的监督和制约机制,谈判、询价应与交易执行相分离,密切监控交易过程中的谈判、询价和签订等关键环节.
3. 是否建立交易监测系统 、预警系统和反馈系统,严格控制投资过程中各种交易风险,确保投资交易的顺利进行.
4. 是否建立并有效执行严格的公平交易制度,确保不同性质或来源的保险资金的利益能够得到公平对待.
5. 是否建立完善的交易记录制度,每日的交易记录应及时核对并存档.
6. 场内投资(股票、基金、债券)是否实现投资与交易职能相互分离,是否建立并实行集中交易制度,是否建立对日常投资比例的监控机制,保证投资比例符合相关监管部门和公司的规定.
7. 港股投资是否建立日常资金总额的监控机制,确保投资总额在相关监管部门的批复内.
(四)信息系统控制目标与审计重点
1. 是否建立健全信息技术管理和风险防范制度,明确计算机信息系统开发、管理与应用部门及相关人员的职责,对计算机信息系统的项目开发、测试、变更、运行和维护等实施控制.
2. 是否建立信息安全管理体系,对硬件、操作系统、应用程序和操作环境实施控制,确保信息的完整性、安全性和可用性;是否通过建筑设计、线路设计、出入控制以及必要的物理环境控制,确保计算机硬件、各种存储传输介质的物理安全;是否对系统数据资料采取加密措施,建立备份,异地存放;是否实施有效的口令管理和权限管理,定期更换用户使用的密码和口令;是否及时更新系统安全设置、病毒代码库、攻击特征码、软件补丁程序等,通过认证、加密、内容过滤、入侵监测等技术手段,不断完善安全控制措施;是否对数据库系统、应用程序等设置必要的日志.
3. 是否建立计算机安全应急系统,制定详细的应急方案,定期检查、维护应急的设施、设备和系统,确保其处于适用状态.
(五)风险识别与评估控制目标与审计重点
1. 是否建立健全风险管理体系,规范风险管理流程,采用先进的风险管理方法和手段,对保险经营中的风险进行持续有效的识别、计量、监测与评估,努力实现适当风险水平下的效益最大化.
2. 风险识别与评估是否覆盖公司经营的各个环节;是否运用适当的方法和技术对风险进行持续监控,对风险发生的概率、后果进行评估,确定风险级别;是否及时对风险进行再识别和再评估.
3. 是否定期评估已识别可接受风险, 对已识别且认为可接受的风险,持续监测并定期评估,以确保其持续可接受.
4. 是否针对明确已识别不可接受风险而制定风险控制方案,明确控制风险的相关职责与权限、控制策略、控制方法、资源需求和时限要求,制定重大、突发事项应急预案,明确责任人、处理流程和措施.
5. 是否制定和采取相应的应对措施, 以应对内部控制方案因组织结构、流程、信息技术等方面的重大变更而产生的新风险.
参考文献:
[1] 中国内部审计 协会.全国内部审计理论研讨优秀论文集 2008-2009 [C].北 京 :西苑 出版社 ,2009.
[2] 陈文辉.寿险公司内部控制建设与监督[M].北京:人民出版社,2005.
[3] 罗冬梅.风险导向内部审计在我国的应用研究[D].长沙:湖南大学,2007.
[4] 李良慧.企业实施风险导向内部审计研究[D].合肥:安徽农业大学,2010.
[5] 曹增强.风险导向审计在航天科工集团的应用研究[D]天津:南开大学,2010.
[6] 王迪.防范和化解保险投资风险[J].审计月刊,2005,(3).
[7] 李薇.美国金融危机对我国保险投资风险的警示[J].社会科学辑刊,2009,(2).
[8] 袁重德.我国保险资金投资渠道及风险控制[J].消费导刊,2008,(11).
[9] 牛芬云.风险导向内部审计初探[J].中小企业管理与科技,2010,(22).
[10] 徐重宾等.风险导向审计与人民银行风险管理[J].金融科技时代,2008,(10).
[11] 吴丹.浅析风险导向审计在风险管理中的应用[J].商业文化(下半月),2010,(5).
