一、企業(yè)風(fēng)險管理框架的提出

　　2004年，美國Treadway委員會下屬贊助委員會（COSO）在內(nèi)部控制框架概念的基礎(chǔ)上，提出了企業(yè)風(fēng)險管理（Enterprise Risk Management，ERM）的概念，使內(nèi)部控制的研究發(fā)展到一個新的階段。COSO這樣定義企業(yè)風(fēng)險管理，企業(yè)風(fēng)險管理是一個過程，受企業(yè)董事會、管理當(dāng)局和其他員工的影響，包括內(nèi)部控制及其在戰(zhàn)略和整個公司的應(yīng)用。旨在為實現(xiàn)經(jīng)營的效率和效果、財務(wù)報告的可靠性以及現(xiàn)行法規(guī)的遵循提供合理保證。COSO認(rèn)為，ERM為公司董事會提供了有關(guān)企業(yè)所面臨的重要風(fēng)險，以及如何進行風(fēng)險管理方面的信息，并進一步提出企業(yè)風(fēng)險管理由內(nèi)部環(huán)境、目標(biāo)設(shè)定、事件辨別、風(fēng)險評估、風(fēng)險反應(yīng)、控制活動、信息和交流以及監(jiān)督等8個方面組成。

　　1.內(nèi)部環(huán)境（Internal Environment）。企業(yè)的內(nèi)部環(huán)境是其他所有風(fēng)險管理要素的基礎(chǔ)，為其他要素提供規(guī)則和結(jié)構(gòu)，也為ERM的其他組成因素提供了框架。其中特別是管理當(dāng)局的風(fēng)險偏好，決定了公司對可能出現(xiàn)的預(yù)料之外的事件的態(tài)度，管理當(dāng)局和董事會必須明確戰(zhàn)略及其執(zhí)行過程中的風(fēng)險和回報。

　　2.目標(biāo)設(shè)定（Objective Setting）。即管理層必須基于目標(biāo)來識別成功的潛在因素。根據(jù)企業(yè)確定的任務(wù)或預(yù)期，管理者制定企業(yè)的戰(zhàn)略目標(biāo)，選擇戰(zhàn)略并確定其他與之相關(guān)的目標(biāo)并在企業(yè)內(nèi)層層分解和落實。其中，其他相關(guān)目標(biāo)是指除戰(zhàn)略目標(biāo)之外的其他目標(biāo)，其制定應(yīng)與企業(yè)的戰(zhàn)略相聯(lián)系。管理者必須首先確定企業(yè)的目標(biāo)。才能夠確定對目標(biāo)的實現(xiàn)有潛在影響的事項，而企業(yè)風(fēng)險管理就是提供給企業(yè)管理者一個適當(dāng)?shù)倪^程，既能夠幫助制定企業(yè)的目標(biāo)，又能夠?qū)⒛繕?biāo)與企業(yè)的任務(wù)或預(yù)期聯(lián)系在一起，并且保證制定的目標(biāo)與企業(yè)的風(fēng)險偏好相一致。

　　3.事件辨別（Event Identification）。在對企業(yè)目標(biāo)、戰(zhàn)略和計劃以及對企業(yè)所處的內(nèi)部和外部環(huán)境都有深刻了解的基礎(chǔ)上，企業(yè)風(fēng)險管理要求辨別可能對實現(xiàn)公司目標(biāo)產(chǎn)生負(fù)面影響的所有重要情況或事件，事件辨別的基礎(chǔ)是將可能的風(fēng)險與環(huán)境進行對比。這一步要求綜合運用各種專業(yè)知識，盡可能地了解企業(yè)當(dāng)前或?qū)淼沫h(huán)境和經(jīng)營情況。

　　4.風(fēng)險評估（Risk Assessment）。一般用可能性（概率）和影響結(jié)果兩個維度度量風(fēng)險，前者是一定的負(fù)面影響事件發(fā)生的可能性；后者是假設(shè)事件發(fā)生，對經(jīng)營、財務(wù)報告以及戰(zhàn)略產(chǎn)生影響的可能結(jié)果，潛在影響一般以對經(jīng)營、數(shù)量、金錢損失以及戰(zhàn)略目標(biāo)可能造成的損失進行計算。風(fēng)險評估的過程中根據(jù)不同的情況，采用定性、定量以及相結(jié)合的方法，若可以獲取充足的數(shù)據(jù)，一般采用定量的評估方法；若潛在的可能性及影響結(jié)果都較小，或者無法獲得數(shù)據(jù)，則一般采取定性的評估方法。

　　5.風(fēng)險反應(yīng)（Risk Response）。企業(yè)對每一個重要的風(fēng)險及其對應(yīng)的回報進行評價和平衡，結(jié)果取決于成本效益分析以及企業(yè)的風(fēng)險偏好。而平衡的反應(yīng)包括接受、規(guī)避或緩和這些風(fēng)險，后者又包括風(fēng)險分離、風(fēng)險轉(zhuǎn)換或者減少（包括通過控制活動）等形式。風(fēng)險反應(yīng)是企業(yè)風(fēng)險管理的整體重要組成部分。

　　6.控制活動（Control Activities）?？刂苹顒邮枪芾懋?dāng)局設(shè)計的政策和程序，為執(zhí)行特定的風(fēng)險緩和反應(yīng)提供合理保證?？刂苹顒影ㄔ谡麄€組織中使用的批準(zhǔn)、授權(quán)、注銷、確認(rèn)、觀察、查證以及對經(jīng)營業(yè)績復(fù)核、資產(chǎn)安全、職責(zé)分離等方法。

　　7.信息和交流（Information and Communication）。風(fēng)險辨別、評估、反應(yīng)和控制活動在組織的各個水平層次上產(chǎn)生有關(guān)風(fēng)險的信息，與財務(wù)信息一樣，風(fēng)險信息必須以一定的形式和框架進行交流，使員工、管理層以及董事履行各自的責(zé)任。風(fēng)險評估的信息系統(tǒng)可以產(chǎn)生定期或“例外基礎(chǔ)”的時時報告，報告使用趨勢指標(biāo)、業(yè)績矩陣及運營或財務(wù)成果的形式，這些報告能夠引導(dǎo)出及時的決策。在公司層次，必須對各種數(shù)據(jù)和信息流進行加工，形成關(guān)于公司風(fēng)險組合輪廓的統(tǒng)一觀點，以利于交流。通常存在自上而下式、平行式和自下而上式三種有效的交流形式。自上而下式是管理當(dāng)局向員工傳遞風(fēng)險信息；平行式是部門之間的信息交流和傳遞；自下而上式是一線員工向管理層匯報風(fēng)險信息。員工的風(fēng)險信息交流方面的意識是風(fēng)險管理環(huán)境的重要組成部分，應(yīng)鼓勵員工就其意識到的重要風(fēng)險與管理層進行交流，管理當(dāng)局應(yīng)當(dāng)重視員工的意見。

　　8.監(jiān)督（Monitor）。與內(nèi)部控制一樣，企業(yè)應(yīng)通過持續(xù)的監(jiān)督和獨立的評價活動，監(jiān)督企業(yè)風(fēng)險管理的有效性。持續(xù)監(jiān)督以日常經(jīng)營中發(fā)生的事件和交易為對象，包括管理當(dāng)局和專門的監(jiān)督人員的活動。獨立評價一般以定期檢查計劃為基礎(chǔ)，或者以日常監(jiān)督中發(fā)現(xiàn)的意外為起點，由于在獨立調(diào)查、風(fēng)險評估和報告方面具備能力、技巧和經(jīng)驗，內(nèi)部審計師是提供獨立評價的合適人選。

　　二、企業(yè)風(fēng)險管理與內(nèi)部控制的融合

　　自1992年美國COSO委員會提出《內(nèi)部控制框架》報告（簡稱COSO報告）以來，該內(nèi)部控制框架已經(jīng)被世界上許多企業(yè)所采用，但理論界和實務(wù)界紛紛對內(nèi)部控制框架提出一些改進建議，強調(diào)內(nèi)部控制框架的建立應(yīng)與企業(yè)的風(fēng)險管理相結(jié)合。新的企業(yè)風(fēng)險管理框架就是在1992年的研究成果——《內(nèi)部控制框架》報告的基礎(chǔ)上，結(jié)合《SOX法案》在報告方面的要求，進行擴展研究得到的。通過比較，我們可以發(fā)現(xiàn)，企業(yè)風(fēng)險管理的定義采用了1992年內(nèi)部控制框架定義的模式，認(rèn)為企業(yè)風(fēng)險管理與內(nèi)部控制同樣是一個程序，它不是靜態(tài)的，而是處于不斷的調(diào)整和變化之中，以適應(yīng)組織環(huán)境的變化。

　　企業(yè)風(fēng)險管理除包括內(nèi)部控制的三個目標(biāo)之外，還增加了戰(zhàn)略目標(biāo)，并擴大了報告目標(biāo)的范疇。內(nèi)部控制框架將企業(yè)的目標(biāo)分為經(jīng)營的效率和效果、財務(wù)報告的可靠性和現(xiàn)行法規(guī)的遵循。企業(yè)風(fēng)險管理框架也包含三個類似的目標(biāo)，但是比內(nèi)部控制框架增加了一個目標(biāo)——戰(zhàn)略目標(biāo)。該目標(biāo)的層次比其他三個目標(biāo)更高。企業(yè)的風(fēng)險管理在應(yīng)用于實現(xiàn)企業(yè)其他三類目標(biāo)的過程中，也應(yīng)用于企業(yè)的戰(zhàn)略制定階段。

　　另外，企業(yè)風(fēng)險管理的8個要素除了包括內(nèi)部控制的全部5個要素之外，還增加了目標(biāo)設(shè)定、事件辨別和風(fēng)險反應(yīng)三個要素，由于對象不同，風(fēng)險管理更加針對組織面臨的“風(fēng)險”，增加這三個要素，拓展了概念的深度和廣度。因此，風(fēng)險管理框架建立在內(nèi)部控制框架的基礎(chǔ)上，內(nèi)部控制框架則是企業(yè)風(fēng)險管理必不可少的一部分。

　　內(nèi)部控制與風(fēng)險管理的融合很早就引發(fā)了人們的關(guān)注，經(jīng)過長期的爭論和實踐，人們對二者關(guān)系的認(rèn)識不斷深化，逐漸認(rèn)識到將兩者關(guān)系隔離的分析方法是不可取的，內(nèi)部控制與風(fēng)險管理只有相融合，才能實現(xiàn)最佳效果。COSO企業(yè)風(fēng)險管理概念的提出，將風(fēng)險管理與內(nèi)部控制的融合大大地向前推動了一步，這種融合必將極大地推進內(nèi)部控制和內(nèi)部審計的發(fā)展。

　　三、風(fēng)險管理對內(nèi)部審計的影響

　　內(nèi)部控制向風(fēng)險管理領(lǐng)域擴展，對內(nèi)部審計的發(fā)展產(chǎn)生了深遠(yuǎn)影響，這種影響集中體現(xiàn)在風(fēng)險基礎(chǔ)內(nèi)部審計的產(chǎn)生。由于各國實務(wù)各不相同，尚未形成統(tǒng)一的最佳做法，國際內(nèi)部審計師協(xié)會目前還沒有標(biāo)準(zhǔn)的風(fēng)險基礎(chǔ)審計定義，IIA的職業(yè)問題委員會認(rèn)為，風(fēng)險基礎(chǔ)審計關(guān)注的焦點是組織對所面臨影響其目標(biāo)實現(xiàn)的風(fēng)險作出的反應(yīng)，與其他形式的審計不同，這種審計的出發(fā)點是風(fēng)險，而非控制，其目的在于為風(fēng)險管理提供獨立保證，并在必要時加以引導(dǎo)和改進，審計業(yè)務(wù)的范圍和優(yōu)先次序應(yīng)由組織所面臨的風(fēng)險所決定。

　　風(fēng)險基礎(chǔ)內(nèi)部審計的特征可以總結(jié)為以下幾點：

　　第一，風(fēng)險基礎(chǔ)內(nèi)部審計不僅關(guān)注風(fēng)險管理，同時也是風(fēng)險管理的重要組成部分。公司針對風(fēng)險管理功能，設(shè)立一個分部，配置一位風(fēng)險經(jīng)理，內(nèi)部審計人員建立風(fēng)險評估模式，內(nèi)部審計工作成為企業(yè)風(fēng)險管理的一個組成部分，整個審計工作根植于以未來為導(dǎo)向的風(fēng)險分析。

　　第二，內(nèi)部審計的方法不再是強調(diào)確認(rèn)和測試控制的完整性，而是強調(diào)確認(rèn)經(jīng)營風(fēng)險并測試這些風(fēng)險是否得到有效管理，由交易事項和對政策的遵循，轉(zhuǎn)變?yōu)閷δ繕?biāo)、戰(zhàn)略和風(fēng)險管理程序的關(guān)注，“控制是否適當(dāng)且有效”雖然仍被關(guān)注，但已不是關(guān)鍵。

　　第三，內(nèi)部審計的反應(yīng)方式不再是反應(yīng)式的、事后的、不連續(xù)的監(jiān)控，從以交易為基礎(chǔ)轉(zhuǎn)變?yōu)橐赃^程為基礎(chǔ)，對組織戰(zhàn)略計劃的創(chuàng)新也由觀察者轉(zhuǎn)變?yōu)閰⑴c者。

　　第四，內(nèi)部審計在組織中扮演的角色不再是獨立的評價者，更是風(fēng)險管理與公司治理的集合者，內(nèi)部審計人員應(yīng)就戰(zhàn)略規(guī)劃、企業(yè)并購、合資經(jīng)營、戰(zhàn)略聯(lián)盟及環(huán)境保護等重大問題，及時、客觀、獨立地提供咨詢。

　　最后，內(nèi)部審計的建議不再是強化控制、強調(diào)成本效益配比以及提高控制的效率和效果，而是風(fēng)險規(guī)避、風(fēng)險轉(zhuǎn)移和風(fēng)險控制，通過有效的風(fēng)險管理提高組織整體管理的效率和效果。