题目：风险管理审计的理论方法及实践
目录
1 引 言
2 风险管理审计
2.1 风险管理审计
2.2 风险管理八要素
2.3 风险管理主要阶段
3 风险管理审计的重要性
4 风险管理审计的基本程序和方法
4.1 风险管理程序与方法
5 风险管理审计案例分析
5.1 美国沃尔玛公司风险管理案例
致谢语
参考文献
以下是论文正文
[摘 要] 风险管理是公司实现持续经营的保证，风险管理审计是对公司风险管 理制度、风险管理活动以及风险管理报告进行的审计。风险管理审计能够客观地对组织整体的风险管理进行审查与评价；能够指导企业的风险策略，防止控制过度或不足的缺陷；能够发挥反馈作用，对企业的风险管理起预警功能。
[关键词] 审计；内部审计；风险管理审计
1 引 言
在今天的环境中，一个有思想、有远见的CEO可能会提出疑问：潜在外部环境的变化会威胁到公司战略目标的实现吗？哪些可能损害公司业务流程的因素是否在合理的限度内？公司的资产有可能被盗吗？能否通过内部流程、信息和报告恰当第计量和传递资产、营运过程及战略实现所构成的威胁？公司对外部群体的报告是否遵循了相应的法律、法规和准则？上述五个问题都与现实世界可能发生的事件相关，并且可能对企业构成严重的威胁，也是企业风险管理和内部审计监督的主题。
2 风险管理审计
2.1 风险管理审计
进入21世纪，“风险审计”“风险管理审计”“风险导向审计”等类似名词不断出现在审计者的视线中。根据《内部审计具体准则第17号——重要性与审计风险》的定义，即内部审计人员未能发现被审计单位经营活动及内部控制中存在的重大差异或缺陷而做出不恰当审计结论的可能性。审计风险不仅包括审计过程中审计人员主观因素造成的风险，同时也包括审计过程之外的非主观因素产生的风险。 站在内部审计的视角看，风险管理审计的含义是“对组织的风险管理进行审计”。对于企业来说，这里的风险，是指企业风险，主要涉及经营风险。在风险管理审计框架下，风险管理是审计的客体和对象。 风险管理是对影响组织目标实现的各种不确定性事件进行识别与评估，并采取应对措施将其影响控制在可接受范围内的过程。基本含义：是对风险管理的设计与执行情况进行测试和评价。并为管理层提供有关风险管理信息的适度保证。出发点：审核风险管理政策和经营战略方针。目标：风险管理政策设计的适当性、执行的有效性、风险损失处理的合理性。特有方法：风险管理因素优先性策略、预警分析、综合评价。
2.2 风险管理八要素
2.2.1内部环境 董事和管理层制定组织的目标、实现目标的战略、经营过程相互关联的商业模式，以及实施战略的短期经营计划。这些选择组成了ERM的环境要素，也提供了其他要素运作的框架。环境要素还包括所谓的“风险管理哲学”以及风险“偏好”，以确定组织将会如何应对可能出现的负面意外事件——总是会有一些意义事件将要发生。管理层（以及董事）必须决定如何处理战略及其实施过程中所隐含的风险与收益的权衡，对风险的态度将会影响到企业采取何种经营活动，只有将战略中固有的风险限定在一个可接受的水平时，这些活动才会有助于战略的实施。
2.2.2目标设定 即规定设定目标的程序，并确认目标、策略及风险承受之间的一致性。企业目标可以从以下几个方面确定：策略：有关企业整体的目标及使命。营运：有关效率、绩效及获利能力。报道：有关内部及对外部的报道。遵循：有关法令及规章的遵循。
2.2.3事件识别 在理解了组织的目标、战略和计划，以及当前组织外部与内部的情形之后，ERM要求识别出所有可能发生并对组织目标实现产生负面影响的重要状况。这一关键步骤需要具有组织及其经营方面的总体知识，以及了解当前和未来可能的环境因素，并知道如何将各种类型的知识结合起来。事件识别步骤非常重要，因为未被识别的事件不可能在风险反应及风险接受计划中得到处理，因而会导致意外的风险。
2.2.4风险评估 风险通常从两个维度来进行评估——某个既定不利事件发生的可能性和概率，以及如果该事件确实发生，对经营、财务报告产生的影响，和可能对战略产生的影响。一些风险是离散的，而另一些风险是连续的，它与事件相关的可能结果有一个变动范围，每个结果有一个发生的概率。可能性的计量可以是离散的，也可以是连续的。对潜在影响的计量可以按照对经营的破坏程度、数量、货币损失，或是对战略目标的损害等来进行。 对整个企业进行风险评估需要定性方法与定量方法的结合，当能够获取充足的数据时，可以采用定量评估的办法，当潜在的可能性及影响很低，或者无法获取数量数据以及数量评估的方法时，可以采用定性评估方法。定性方法也可以用于对影响很大但需要大量专业知识的事件进行评估。最后，不管单个事件的风险如何评估，许多事件往往一起发生，这就需要考虑两个或更多时间同时发生的风险。
2.2.5风险反应 针对每一重大风险，组织要做出风险/收益权衡的评价，在此基础上，再做出接受规避或缓解的风险反应。缓解措施包括分摊、转移和减少风险，这取决于风险/收益的比较、代价以及组织的风险偏好。风险反应是ERM不可缺少的一部分，但某些特定反应并非ERM的组成部分，如目标和战略的选择，这种由基层或高层管理者所做的选择，是比ERM更广泛的管理职能之一。但是，风险反应通常要根据过去的情形进行复核，以做出可能的改进。
2.2.6控制活动 控制活动是管理层设计的政策和程序，用以合理确保所选取的风险缓解反应措施得以实施。控制活动适用于整个组织，包括核准、授权、撤销、确认、观察、验证、调整、经营业绩审查、资产安全的保证以及职责分离。内部审计人员十分熟悉财务报告方面的控制活动，而ERM将这个概念扩展至所有风险的反应。
2.2.7信息与沟通 风险识别、风险评估、风险反应和控制活动能提供组织各个层面必要的风险信息，但是财务及其其他信息一样，风险信息必须以某种形式在一定期间传递，使员工、管理层及董事能各行其职。因为风险信息的复杂和难于捉摸，传递时不能仅仅只是列式。
2.2.8监控 有了内部控制，组织一般通过日常监督和单独评价来监控企业风险管理及其组成要素的有效性。日常监督在事项与交易发生时，就存在于日常的经营过程中，它包括交易行为中日常的管理和监督活动。ERM的“单独评价”或者基于有计划的定期检查，或者基于经营或日常监督过程中产生的例外事项的后续检查。因为内部审计人员在独立调查、风险评估及报告方面所具备的胜任能力、技能及经验，内部审计部门通常是ERM单独评价的首选提供者。
2.3 风险管理主要阶段
风险识别：辨别所有可能发生、影响单位目标实现的重要事件。风险评估：分析风险发生的可能性（概率）和影响（损失）。风险应对：避免风险、减轻风险、接受风险。外部风险因素考虑：法律、政治、经济、诚信。内部风险因素考虑：战略、经营、财务、信用。风险评估要素：可能性与影响程度。风险评估方法：定性与定量。回避：放弃、停止、拒绝。降低：外包、租赁等。接受：自己承担。
3 风险管理审计的重要性
随着经济全球化和资本市场自由化的发展，公司经营中面临的经营风险越来越大。汇率风险、竞争压力、产品缺陷的召回、分散失败、劳资纠纷等等都是国际化公司不得不重视对风险的管理。 对此，公司应该建立了完善的治理结构，可以在懂事会下设审计委员会，专门负责风险管理方面的事务，将风险管理与内部审计结合起来。 风险管理的使命就是对风险绩效识别、衡量、评价、控制的基础上，通过对风险时间的预测和备选方案优化，来确保公司目标的实现。要达到此目标，内部审计人员需要对企业的经营循环和模型有所了解。 对大型商业公司来讲，其核心的经营循环是从战略计划、人员招聘、商品采购、商品运输，到商品销售、经营运作、综合信息处理和非商品采购等，这些环节均有可能出现的风险点。 风险管理可以由风险管理委员会负责，将日常的风险监控与风险战略规划有机地结合起来，并着眼于未来。 随着社会主义市场经济的发展，市场竞争愈演愈烈，企业管理层为了正确预测、妥善回避、及时化解经营过程中可能存在的风险，开始积极主动地拓展目标市场，并在自身内部强化成本意识和推行绩效管理，以提高核心竞争力，取得行业竞争中的优势地位。部分领导干部欢迎内审人员积极“找茬”，不仅限于日常的财务收支方面，还有内控制度建设、对外合作项目效益、基建项目管理等，要求内审人员能够全面融入的各项管理之中。
4 风险管理审计的基本程序和方法
4.1 风险管理程序与方法
4.1.1企业风险管理涉及发范围 企业风险管理的范围包括：环境风险、战略市场风险、营运风险、新产品开发与品牌风险、财务风险、信息技术风险。
4.1.2 风险管理基本程序和分析方法 确定范围：分析环境、确定风险标准。识别风险：识别关键程序、确认风险领域、对风险分类、定义风险性质。分析风险：分析风险损失额、可能性和发生频率；
根据重要性原理划分风险等级。评价风险：识别可接受风险与不可接受风险，对各类风险由高到低排序。处置风险：规避，抑制与控制（损失额、可能性和发生频率），转移，接受，利用。监督与审核：过程、环境、组织、战略、利害人。沟通与协调：部门内部、其他部门、外部审计、利益相关者。 风险分析基本程序，第一，分析风险因素、风险事故、捕捉风险征兆。第二，确定风险存在。第三，确定可能性、频率、损失额。第四，评判风险性质、级别。第五，评估风险，与风险评价标准比较，排定风险次序。 风险评价程序，第一，测评、定性、风险排序。第二，鉴别风险管理措施。第三，评估风险管理措施。第四，准备风险措施计划。第五，执行风险措施计划。
5 风险管理审计案例分析
5.1 美国沃尔玛公司风险管理案例
5.1.1沃尔玛公司简介 沃尔玛是美国一家大型百货公司.它信奉“内部审计人员的员工使沃尔玛与众不同”的理念。 在2002年财富100家最受尊重的公司中排名第一、在最受欢迎的零售公司中排名第三，其年销售收入在2002年为2200亿美元。 沃尔玛在1996年进入中国，在全世界现有49家分支机构，管理着1200多个超级市场。沃尔玛率先在全世界推行旨在提高客户价值服务水平创建了SAM消费者协会。目前，每3个美国人中就有一人是沃尔玛SAM会员。 沃尔玛能取得这样子骄人的业绩，与其严格、科学的风险管理是分不开的。
5.1.2沃尔玛公司风险管理过程 风险管理包括风险识别、风险消除、行动计划、绩效评估和股东价值提升五个方面。风险识别与初步评价。 风险识别是建立在公司的战略基础上的。沃尔玛的战略思想理念是：要成为市场的领导者；在股东价值最大化的同时成为优质价廉商品的提供者；坚奉三个信条；沃尔玛的目标是：不断扩展商业机会，建立完善的营销网络，改进客户服务水平，维持和扩大分销同盟，并对分销同盟绩效培训。
基于此，沃尔玛确定了自己的风险框架，将风险分为战略性的、运营性的，财务性的和道德方面的四个方面。 在战略评估方面，重点在成长战略性、资本成本、收益率、市场份额、品牌形象方面；运营方面，重点在商品采购与分销、人力资源、仓储运输等方面； 财务方面，重点在投资、商品、利率和汇率等方面；道德方面，重点在非法行为、欺诈、行贿受贿方面。每次风险识别时，公司组成跨部门的专家小组，进行全面调查，然后由风险管理委员会进行数据分析，形成数据报告分发给专门小组成员，由小组成员进行具体的的风险识别研讨。
由于小组成员是来自不同部门的，大家可以从各自的角度对风险数据资料进行理解、综合、分析、讨论和加减，从而按照可能性和影响力对风险事件进行排队，最后确定予于关注的重大风险点。 经专家小组对公司2001年内控风险的环境讨论后认为，沃尔玛面临的最大风险是人力发展、国际增长的管理和网络基础建设，故将其列入“重大发生可能较大的风险事件”；尽管发生法律法规违规的可能性比较大，但考虑到沃尔玛是一家百货公司，其公司的影响力比较小，因此将其列为“不重大的风险事件”;对于公司品牌、竞争战略规划和竞争方面，由于沃尔玛存在绝对的优势，其出现风险的可能性较小，但一旦发生风险，对公司的影响是巨大的。风险消除及行动计划，在确定重点风险领域为人力发展、国际增长管理和网络基础建设后，接下来就是如何制定一个具体的消除和化解这些风险的方案。在制定方案前，先选定风险点的负责人和分组，然后对每一分组进行工作分工，明确各自分组的工作职责，最后确定完成的时间和评估标准。工作绩效衡量，在对小组2的工作成绩评估汇总，应该重点在3个方面：工作的结果、实际完成情况、今后的发展。绩效评估是一个动态过程，它通过监测、评估和报告来实现，最后的评估报告由打分出来反映。股东价值，股东价值的分析是将风险事件与股东的投资收益、股价等进行对比。
综上所诉，风险控制与管理是一个操作性极强的工作，需要综合运用各方面的资源共同来实现。进入21世纪以来，风险事件的发生往往带来很多 波及其他部门的影响事件。有时对一个简单孤立的事件，如果管理不好，很有可能成为一个重大的风险事件。
致谢语
在这次的毕业设计过程中，我得到了身边许多同学和老师的帮助。衷心感谢我的指导老师张文彩讲师，本课题的研究工作是在张文彩讲师的悉心指导和关怀下才得以顺利完成。从论文的选题、论文的内容设计过程、论文的结构到最后的定稿，都得到张文彩讲师细心的指导和提携。张文彩老师认真负责的工作态度，严谨的治学精神和深厚的理论水平都使我收益匪浅。她无论在理论上还是在实践中，都给予我很大的帮助，使我得到不少的提高，这对于我今后的学习和工作都是一种巨大的帮助。 在这次毕业设计中，我的同组同学曾给我很大的帮助和支持，我们共同协作，在此，一并向他们表示深深地感谢！
参 考 文 献
[1]中国内部审计协会.内部审计理论与实务.北京：中国石化出版社，2008.
[2]谢科范.企业风险管理.武昌:华中理工大学出版社，2009.
[3]王晓霞.企业风险管理审计.北京：中国时代经济出版社，2008.
