基于风险管理的企业集团内部审计体系研究

      关于风险管理和其影响下的内部审计的研究，国内外学术界都给予了普遍的关注。2004年9月，美国科索委员会（COSO）正式出合了著名的ERM框架，该框架的公布掀起了全面风险管理的热潮，同时也引起了国际内部审计协会的高度重视，国际内部审计协会（IIA）就此框架发表了题为《全面风险管理的内部审计角色》的职位说明书。根据国际内部审计师协会的导向，我国内部审计办会也于2005年发布实施了《内部审计具体准则第16号——风险管理审计》，通过发布准则的方式引导国内企业内部审计进入风险管理导向审计阶段。与此相对应，内部审计体系应在风险管理对内部审计的影响的基础上，及时做出调整，来保障和推进风险导向内部审计的开展。但是内部审计体系建设是一项综合性、专业性比较强、需要循序渐进的工程，不能一蹴而就。因此，对于大型企业集团可首先以集团整体为出发点，在明确企业战略发展重心、内部审计定位、职能，充分掌握其新的特征的基础上，合理制定中长期建设规划，再循序渐进推进建设工作。在此过程中，与风险管理和内部审计相关的企业文化、知识技能、审计模式和组织架构、资源分配、审计规范等问题将逐步改善，随着这些问题的逐步改善，企业内部审计体系建设也将进入一个良性的循环，进一步向其他业务领域推广也必将事半功倍、水到渠成。

      随着企业面临风险的多样化，要想使企业内部审计充分发挥其作用，就需要在企业内部尤其是集团企业内部建立起完善高效的内部审计体系。一般来说，一个完整的内部审计体系包括审计模式、机构设置、审计规范、资源配置、流程和方法、绩效考核等六个方面。

      选择与企业内部管控模式相匹配的审计模式

      按照目前的母子公司管控理论研究，集团管控模式一般分为三种类型，即财务管控型、运营管控型和战略管控型。在不同的管控模式下，因为企业的管控目标和手段不同，因此与其相匹配的内部审计的审计目的、审计方法和审计内容也都不尽相同。具体内容如下表1所示。

      

      企业应当在确定适合自身情况的管控模式后，选择并确定相应的审计模式。

      目前国内企业集团内部审计机构的设置，主要有以下几种模式：

      （1）审计部由财务负责人分管。在该种模式下，内部审计人员根据单位财务负责人要求开展工作，审计机构的独立性较弱，组织层级较低，职责范围一般为财务收支审计，很难实现内部审计的目标。

      （2）审计机构由总经理分管。在这种模式下，审计工作容易得到行政支持，便于审计工作开展，但同时容易缺乏权威性和独立性，无法监督管理层经济决策及经济行为。

      （3）审计机构由监事会分管。在这种模式下，审计机构根据监事会要求履行相关监察职能，审计机构独立性较强，组织层级较高，但在实践中往往不容易得到行政支持，不容易实现审计目的。

      （4）审计机构由董事会分管。在这种模式下，审计机构由董事会分管，并接受市计委员会的监督，组织层级较高，权威性和独立性较强，有利于审计人员开展工作。

      内部审计规范应当是为实现内部审计目标而建立的，由实践中形成，同时又指引着实践行动。般采说，作为根据目标而事前制定的行为依据，内部审计规范规定了哪些内部审计行为可行、应如何进行等各种问题，从而可以让内部审计行为能够规范进行，确保各类审计目标的实现。

      中国内部审计师协会颁布的《内部审计人员职业道德规范》将从事内部审计工作的专业人员职业道德规范明确定义为：“是内部审计人员职业素质、品德、专业胜任能力以及职业责任的总称”。

      资源配置主要包括人力资源配置和信息技术配置。

      （1）人力资源配置。现代内部审计对内部审计人员的要求越来越高，呈现出新的特点。首先，内部审计部门负责人必须能够获得董事会和经理层的绝对支持，满足内部审计工作利益相关者的不同预期，在有限的预算范围内改善企业业绩，为企业增加价值，为企业提供较高价值的咨询服务，并有良好的职业操守。其次，内部审计人员必须有丰富的行业知识背景、良好的沟通能力、项目管理经验、团队精神、信息技术能力、识别并评估风险的能力和良好的职业操守。

      （2）信息技术配置。目前ERP已经在大多数企业集团被广泛应用，在此基础上，要能够高效开展内部审计工作，就要给内部审计人员提供充分的软硬件方面的信息技术保障，开发符合企业运营实际的计算机辅助审计工具、审计业务管理系统，并且实现同企业现有的ERP和风险管理软件无缝对接。

      审计内容和流程

      现代内部审计在风险导向下增加了风险管理审计这一重要内容。

      基于这导向，内部审计的一般流程为：

      （1）在审计计划阶段，内部审计应从企业的战略分析入手，在对业务流程进行分析的基础上进行风险识别和风险分析，在充分考虑企业内部审计资源后，确定审计重点和审计频率，制定企业内部审计计划。

      （2）在制定审计计划后，内部审计机构应根据董事会和管理层关注的审计范围、监管部门的有关要求、经营环境的变化、流程或运营体系的改变等因素重新进行风险评估，对审计计划进行适度调整。