一、企業(yè)風(fēng)險(xiǎn)管理框架的提出

　　2004年，美國Treadway委員會(huì)下屬贊助委員會(huì)（COSO）在內(nèi)部控制框架概念的基礎(chǔ)上，提出了企業(yè)風(fēng)險(xiǎn)管理（Enterprise Risk Management，ERM）的概念，使內(nèi)部控制的研究發(fā)展到一個(gè)新的階段。COSO這樣定義企業(yè)風(fēng)險(xiǎn)管理，企業(yè)風(fēng)險(xiǎn)管理是一個(gè)過程，受企業(yè)董事會(huì)、管理當(dāng)局和其他員工的影響，包括內(nèi)部控制及其在戰(zhàn)略和整個(gè)公司的應(yīng)用。旨在為實(shí)現(xiàn)經(jīng)營的效率和效果、財(cái)務(wù)報(bào)告的可靠性以及現(xiàn)行法規(guī)的遵循提供合理保證。COSO認(rèn)為，ERM為公司董事會(huì)提供了有關(guān)企業(yè)所面臨的重要風(fēng)險(xiǎn)，以及如何進(jìn)行風(fēng)險(xiǎn)管理方面的信息，并進(jìn)一步提出企業(yè)風(fēng)險(xiǎn)管理由內(nèi)部環(huán)境、目標(biāo)設(shè)定、事件辨別、風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)反應(yīng)、控制活動(dòng)、信息和交流以及監(jiān)督等8個(gè)方面組成。

　　1.內(nèi)部環(huán)境（Internal Environment）。企業(yè)的內(nèi)部環(huán)境是其他所有風(fēng)險(xiǎn)管理要素的基礎(chǔ)，為其他要素提供規(guī)則和結(jié)構(gòu)，也為ERM的其他組成因素提供了框架。其中特別是管理當(dāng)局的風(fēng)險(xiǎn)偏好，決定了公司對可能出現(xiàn)的預(yù)料之外的事件的態(tài)度，管理當(dāng)局和董事會(huì)必須明確戰(zhàn)略及其執(zhí)行過程中的風(fēng)險(xiǎn)和回報(bào)。

　　2.目標(biāo)設(shè)定（Objective Setting）。即管理層必須基于目標(biāo)來識別成功的潛在因素。根據(jù)企業(yè)確定的任務(wù)或預(yù)期，管理者制定企業(yè)的戰(zhàn)略目標(biāo)，選擇戰(zhàn)略并確定其他與之相關(guān)的目標(biāo)并在企業(yè)內(nèi)層層分解和落實(shí)。其中，其他相關(guān)目標(biāo)是指除戰(zhàn)略目標(biāo)之外的其他目標(biāo)，其制定應(yīng)與企業(yè)的戰(zhàn)略相聯(lián)系。管理者必須首先確定企業(yè)的目標(biāo)。才能夠確定對目標(biāo)的實(shí)現(xiàn)有潛在影響的事項(xiàng)，而企業(yè)風(fēng)險(xiǎn)管理就是提供給企業(yè)管理者一個(gè)適當(dāng)?shù)倪^程，既能夠幫助制定企業(yè)的目標(biāo)，又能夠?qū)⒛繕?biāo)與企業(yè)的任務(wù)或預(yù)期聯(lián)系在一起，并且保證制定的目標(biāo)與企業(yè)的風(fēng)險(xiǎn)偏好相一致。

　　3.事件辨別（Event Identification）。在對企業(yè)目標(biāo)、戰(zhàn)略和計(jì)劃以及對企業(yè)所處的內(nèi)部和外部環(huán)境都有深刻了解的基礎(chǔ)上，企業(yè)風(fēng)險(xiǎn)管理要求辨別可能對實(shí)現(xiàn)公司目標(biāo)產(chǎn)生負(fù)面影響的所有重要情況或事件，事件辨別的基礎(chǔ)是將可能的風(fēng)險(xiǎn)與環(huán)境進(jìn)行對比。這一步要求綜合運(yùn)用各種專業(yè)知識，盡可能地了解企業(yè)當(dāng)前或?qū)淼沫h(huán)境和經(jīng)營情況。

　　4.風(fēng)險(xiǎn)評估（Risk Assessment）。一般用可能性（概率）和影響結(jié)果兩個(gè)維度度量風(fēng)險(xiǎn)，前者是一定的負(fù)面影響事件發(fā)生的可能性；后者是假設(shè)事件發(fā)生，對經(jīng)營、財(cái)務(wù)報(bào)告以及戰(zhàn)略產(chǎn)生影響的可能結(jié)果，潛在影響一般以對經(jīng)營、數(shù)量、金錢損失以及戰(zhàn)略目標(biāo)可能造成的損失進(jìn)行計(jì)算。風(fēng)險(xiǎn)評估的過程中根據(jù)不同的情況，采用定性、定量以及相結(jié)合的方法，若可以獲取充足的數(shù)據(jù)，一般采用定量的評估方法；若潛在的可能性及影響結(jié)果都較小，或者無法獲得數(shù)據(jù)，則一般采取定性的評估方法。

　　5.風(fēng)險(xiǎn)反應(yīng)（Risk Response）。企業(yè)對每一個(gè)重要的風(fēng)險(xiǎn)及其對應(yīng)的回報(bào)進(jìn)行評價(jià)和平衡，結(jié)果取決于成本效益分析以及企業(yè)的風(fēng)險(xiǎn)偏好。而平衡的反應(yīng)包括接受、規(guī)避或緩和這些風(fēng)險(xiǎn)，后者又包括風(fēng)險(xiǎn)分離、風(fēng)險(xiǎn)轉(zhuǎn)換或者減少（包括通過控制活動(dòng)）等形式。風(fēng)險(xiǎn)反應(yīng)是企業(yè)風(fēng)險(xiǎn)管理的整體重要組成部分。

　　6.控制活動(dòng)（Control Activities）?？刂苹顒?dòng)是管理當(dāng)局設(shè)計(jì)的政策和程序，為執(zhí)行特定的風(fēng)險(xiǎn)緩和反應(yīng)提供合理保證?？刂苹顒?dòng)包括在整個(gè)組織中使用的批準(zhǔn)、授權(quán)、注銷、確認(rèn)、觀察、查證以及對經(jīng)營業(yè)績復(fù)核、資產(chǎn)安全、職責(zé)分離等方法。

　　7.信息和交流（Information and Communication）。風(fēng)險(xiǎn)辨別、評估、反應(yīng)和控制活動(dòng)在組織的各個(gè)水平層次上產(chǎn)生有關(guān)風(fēng)險(xiǎn)的信息，與財(cái)務(wù)信息一樣，風(fēng)險(xiǎn)信息必須以一定的形式和框架進(jìn)行交流，使員工、管理層以及董事履行各自的責(zé)任。風(fēng)險(xiǎn)評估的信息系統(tǒng)可以產(chǎn)生定期或“例外基礎(chǔ)”的時(shí)時(shí)報(bào)告，報(bào)告使用趨勢指標(biāo)、業(yè)績矩陣及運(yùn)營或財(cái)務(wù)成果的形式，這些報(bào)告能夠引導(dǎo)出及時(shí)的決策。在公司層次，必須對各種數(shù)據(jù)和信息流進(jìn)行加工，形成關(guān)于公司風(fēng)險(xiǎn)組合輪廓的統(tǒng)一觀點(diǎn)，以利于交流。通常存在自上而下式、平行式和自下而上式三種有效的交流形式。自上而下式是管理當(dāng)局向員工傳遞風(fēng)險(xiǎn)信息；平行式是部門之間的信息交流和傳遞；自下而上式是一線員工向管理層匯報(bào)風(fēng)險(xiǎn)信息。員工的風(fēng)險(xiǎn)信息交流方面的意識是風(fēng)險(xiǎn)管理環(huán)境的重要組成部分，應(yīng)鼓勵(lì)員工就其意識到的重要風(fēng)險(xiǎn)與管理層進(jìn)行交流，管理當(dāng)局應(yīng)當(dāng)重視員工的意見。

　　8.監(jiān)督（Monitor）。與內(nèi)部控制一樣，企業(yè)應(yīng)通過持續(xù)的監(jiān)督和獨(dú)立的評價(jià)活動(dòng)，監(jiān)督企業(yè)風(fēng)險(xiǎn)管理的有效性。持續(xù)監(jiān)督以日常經(jīng)營中發(fā)生的事件和交易為對象，包括管理當(dāng)局和專門的監(jiān)督人員的活動(dòng)。獨(dú)立評價(jià)一般以定期檢查計(jì)劃為基礎(chǔ)，或者以日常監(jiān)督中發(fā)現(xiàn)的意外為起點(diǎn)，由于在獨(dú)立調(diào)查、風(fēng)險(xiǎn)評估和報(bào)告方面具備能力、技巧和經(jīng)驗(yàn)，內(nèi)部審計(jì)師是提供獨(dú)立評價(jià)的合適人選。

　　二、企業(yè)風(fēng)險(xiǎn)管理與內(nèi)部控制的融合

　　自1992年美國COSO委員會(huì)提出《內(nèi)部控制框架》報(bào)告（簡稱COSO報(bào)告）以來，該內(nèi)部控制框架已經(jīng)被世界上許多企業(yè)所采用，但理論界和實(shí)務(wù)界紛紛對內(nèi)部控制框架提出一些改進(jìn)建議，強(qiáng)調(diào)內(nèi)部控制框架的建立應(yīng)與企業(yè)的風(fēng)險(xiǎn)管理相結(jié)合。新的企業(yè)風(fēng)險(xiǎn)管理框架就是在1992年的研究成果——《內(nèi)部控制框架》報(bào)告的基礎(chǔ)上，結(jié)合《SOX法案》在報(bào)告方面的要求，進(jìn)行擴(kuò)展研究得到的。通過比較，我們可以發(fā)現(xiàn)，企業(yè)風(fēng)險(xiǎn)管理的定義采用了1992年內(nèi)部控制框架定義的模式，認(rèn)為企業(yè)風(fēng)險(xiǎn)管理與內(nèi)部控制同樣是一個(gè)程序，它不是靜態(tài)的，而是處于不斷的調(diào)整和變化之中，以適應(yīng)組織環(huán)境的變化。

　　企業(yè)風(fēng)險(xiǎn)管理除包括內(nèi)部控制的三個(gè)目標(biāo)之外，還增加了戰(zhàn)略目標(biāo)，并擴(kuò)大了報(bào)告目標(biāo)的范疇。內(nèi)部控制框架將企業(yè)的目標(biāo)分為經(jīng)營的效率和效果、財(cái)務(wù)報(bào)告的可靠性和現(xiàn)行法規(guī)的遵循。企業(yè)風(fēng)險(xiǎn)管理框架也包含三個(gè)類似的目標(biāo)，但是比內(nèi)部控制框架增加了一個(gè)目標(biāo)——戰(zhàn)略目標(biāo)。該目標(biāo)的層次比其他三個(gè)目標(biāo)更高。企業(yè)的風(fēng)險(xiǎn)管理在應(yīng)用于實(shí)現(xiàn)企業(yè)其他三類目標(biāo)的過程中，也應(yīng)用于企業(yè)的戰(zhàn)略制定階段。

　　另外，企業(yè)風(fēng)險(xiǎn)管理的8個(gè)要素除了包括內(nèi)部控制的全部5個(gè)要素之外，還增加了目標(biāo)設(shè)定、事件辨別和風(fēng)險(xiǎn)反應(yīng)三個(gè)要素，由于對象不同，風(fēng)險(xiǎn)管理更加針對組織面臨的“風(fēng)險(xiǎn)”，增加這三個(gè)要素，拓展了概念的深度和廣度。因此，風(fēng)險(xiǎn)管理框架建立在內(nèi)部控制框架的基礎(chǔ)上，內(nèi)部控制框架則是企業(yè)風(fēng)險(xiǎn)管理必不可少的一部分。

　　內(nèi)部控制與風(fēng)險(xiǎn)管理的融合很早就引發(fā)了人們的關(guān)注，經(jīng)過長期的爭論和實(shí)踐，人們對二者關(guān)系的認(rèn)識不斷深化，逐漸認(rèn)識到將兩者關(guān)系隔離的分析方法是不可取的，內(nèi)部控制與風(fēng)險(xiǎn)管理只有相融合，才能實(shí)現(xiàn)最佳效果。COSO企業(yè)風(fēng)險(xiǎn)管理概念的提出，將風(fēng)險(xiǎn)管理與內(nèi)部控制的融合大大地向前推動(dòng)了一步，這種融合必將極大地推進(jìn)內(nèi)部控制和內(nèi)部審計(jì)的發(fā)展。

　　三、風(fēng)險(xiǎn)管理對內(nèi)部審計(jì)的影響

　　內(nèi)部控制向風(fēng)險(xiǎn)管理領(lǐng)域擴(kuò)展，對內(nèi)部審計(jì)的發(fā)展產(chǎn)生了深遠(yuǎn)影響，這種影響集中體現(xiàn)在風(fēng)險(xiǎn)基礎(chǔ)內(nèi)部審計(jì)的產(chǎn)生。由于各國實(shí)務(wù)各不相同，尚未形成統(tǒng)一的最佳做法，國際內(nèi)部審計(jì)師協(xié)會(huì)目前還沒有標(biāo)準(zhǔn)的風(fēng)險(xiǎn)基礎(chǔ)審計(jì)定義，IIA的職業(yè)問題委員會(huì)認(rèn)為，風(fēng)險(xiǎn)基礎(chǔ)審計(jì)關(guān)注的焦點(diǎn)是組織對所面臨影響其目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)作出的反應(yīng)，與其他形式的審計(jì)不同，這種審計(jì)的出發(fā)點(diǎn)是風(fēng)險(xiǎn)，而非控制，其目的在于為風(fēng)險(xiǎn)管理提供獨(dú)立保證，并在必要時(shí)加以引導(dǎo)和改進(jìn)，審計(jì)業(yè)務(wù)的范圍和優(yōu)先次序應(yīng)由組織所面臨的風(fēng)險(xiǎn)所決定。

　　風(fēng)險(xiǎn)基礎(chǔ)內(nèi)部審計(jì)的特征可以總結(jié)為以下幾點(diǎn)：

　　第一，風(fēng)險(xiǎn)基礎(chǔ)內(nèi)部審計(jì)不僅關(guān)注風(fēng)險(xiǎn)管理，同時(shí)也是風(fēng)險(xiǎn)管理的重要組成部分。公司針對風(fēng)險(xiǎn)管理功能，設(shè)立一個(gè)分部，配置一位風(fēng)險(xiǎn)經(jīng)理，內(nèi)部審計(jì)人員建立風(fēng)險(xiǎn)評估模式，內(nèi)部審計(jì)工作成為企業(yè)風(fēng)險(xiǎn)管理的一個(gè)組成部分，整個(gè)審計(jì)工作根植于以未來為導(dǎo)向的風(fēng)險(xiǎn)分析。

　　第二，內(nèi)部審計(jì)的方法不再是強(qiáng)調(diào)確認(rèn)和測試控制的完整性，而是強(qiáng)調(diào)確認(rèn)經(jīng)營風(fēng)險(xiǎn)并測試這些風(fēng)險(xiǎn)是否得到有效管理，由交易事項(xiàng)和對政策的遵循，轉(zhuǎn)變?yōu)閷δ繕?biāo)、戰(zhàn)略和風(fēng)險(xiǎn)管理程序的關(guān)注，“控制是否適當(dāng)且有效”雖然仍被關(guān)注，但已不是關(guān)鍵。

　　第三，內(nèi)部審計(jì)的反應(yīng)方式不再是反應(yīng)式的、事后的、不連續(xù)的監(jiān)控，從以交易為基礎(chǔ)轉(zhuǎn)變?yōu)橐赃^程為基礎(chǔ)，對組織戰(zhàn)略計(jì)劃的創(chuàng)新也由觀察者轉(zhuǎn)變?yōu)閰⑴c者。

　　第四，內(nèi)部審計(jì)在組織中扮演的角色不再是獨(dú)立的評價(jià)者，更是風(fēng)險(xiǎn)管理與公司治理的集合者，內(nèi)部審計(jì)人員應(yīng)就戰(zhàn)略規(guī)劃、企業(yè)并購、合資經(jīng)營、戰(zhàn)略聯(lián)盟及環(huán)境保護(hù)等重大問題，及時(shí)、客觀、獨(dú)立地提供咨詢。

　　最后，內(nèi)部審計(jì)的建議不再是強(qiáng)化控制、強(qiáng)調(diào)成本效益配比以及提高控制的效率和效果，而是風(fēng)險(xiǎn)規(guī)避、風(fēng)險(xiǎn)轉(zhuǎn)移和風(fēng)險(xiǎn)控制，通過有效的風(fēng)險(xiǎn)管理提高組織整體管理的效率和效果。