摘要：國際標(biāo)準(zhǔn)化組織ISO在經(jīng)濟(jì)全球化的新環(huán)境下，了一項普遍適用的國際風(fēng)險管理標(biāo)準(zhǔn)ISO31000:2009《風(fēng)險管理——原則與指南》。本文全面介紹了ISO31000國際風(fēng)險管理標(biāo)準(zhǔn)體系，分析了風(fēng)險管理框架與風(fēng)險導(dǎo)向內(nèi)部審計的內(nèi)在聯(lián)系,對如何做好風(fēng)險管理框架下的風(fēng)險導(dǎo)向內(nèi)部審計工作進(jìn)行了研究和探討。

關(guān)鍵詞：風(fēng)險管理;ISO31000:2009標(biāo)準(zhǔn);風(fēng)險導(dǎo)向;內(nèi)部審計

一、ISO31000:2009《風(fēng)險管理——原則與指南》

近二十年來國內(nèi)外各類風(fēng)險事件層出不窮，美國安然事情、英國巴林銀行事件、日本八佰伴事件、國內(nèi)的三鹿奶粉事件，這些事件存在風(fēng)險管控缺失、風(fēng)險意識淡漠、風(fēng)險應(yīng)對薄弱的共性原因。在這樣的大背景下，無論組織所在的區(qū)位，規(guī)模的大小，對完善風(fēng)險管理機(jī)制、提高風(fēng)險防范能力，促進(jìn)企業(yè)可持續(xù)發(fā)展，維護(hù)市場經(jīng)濟(jì)秩序，保障相關(guān)方利益等方面都產(chǎn)生了共同的、迫切的需求。國際標(biāo)準(zhǔn)化組織ISO在經(jīng)濟(jì)全球化的新環(huán)境下，了一項普遍適用的國際風(fēng)險管理標(biāo)準(zhǔn)ISO31000:2009《風(fēng)險管理——原則與指南》。ISO31000體現(xiàn)了全球范圍內(nèi)風(fēng)險管理最新理論和最佳實(shí)踐，指導(dǎo)組織運(yùn)用先進(jìn)的風(fēng)險管理理論來進(jìn)行風(fēng)險管理實(shí)踐。如何防范風(fēng)險，需要組織主動去管理風(fēng)險。管理風(fēng)險首先要厘清對風(fēng)險的認(rèn)識，對于風(fēng)險管理普遍存在著一些錯誤認(rèn)知。其一，認(rèn)為風(fēng)險只是財務(wù)或風(fēng)險管理部門擔(dān)心的事情。事實(shí)上，每個員工都要實(shí)現(xiàn)他的工作目標(biāo)，而風(fēng)險是目標(biāo)實(shí)現(xiàn)的不確定性，風(fēng)險是每個員工都應(yīng)該關(guān)心的事。其二，風(fēng)險管理似乎成為組織內(nèi)的一種例行公事，只是完成勾選風(fēng)險選項的活動。實(shí)際上風(fēng)險管理是一個不斷發(fā)展變化的過程，隨著組織的發(fā)展變化而相應(yīng)變化。其三，風(fēng)險管理是一個沒用的控制層次。其實(shí)不然，風(fēng)險管理可以通過識別不必要的控制、過度管理和過度控制來減少冗余的機(jī)制。ISO31000核心術(shù)語“風(fēng)險”一詞最新的定義為：不確定性對目標(biāo)的影響。這一定義賦予了風(fēng)險新內(nèi)涵，如下所述。（1）風(fēng)險具有未來性：風(fēng)險的兩個關(guān)鍵詞是不確定性和目標(biāo)。不可預(yù)知風(fēng)險發(fā)生的時間，不確定性是未來將要發(fā)生的事件才具有的屬性，目標(biāo)是制定并預(yù)期在未來某個時間將要實(shí)現(xiàn)的，同樣具有未來屬性。（2）風(fēng)險具有雙重性：風(fēng)險具有正面的影響即存在機(jī)會，負(fù)面的影響即存在威脅的兩種可能性。（3）風(fēng)險具有不確定性：不確定性是風(fēng)險一詞的內(nèi)核，風(fēng)險唯一的確定性，就是它的不確定性。（4）風(fēng)險具有事件性：風(fēng)險與事件直接相關(guān)，潛在事件會導(dǎo)致潛在的后果。（5）風(fēng)險具有二維性：風(fēng)險通常由事件發(fā)生的可能性及事件產(chǎn)生的后果這兩個維度來表示，一維是事件的后果，另一維是發(fā)生的可能性。（6）風(fēng)險具有信息性：一方面風(fēng)險體現(xiàn)形式本身就是以信息為載體的，另一方面由于缺乏對風(fēng)險發(fā)生的原因、風(fēng)險本身、造成后果等相關(guān)信息，無法對風(fēng)險進(jìn)行認(rèn)識和了解。組織全員對風(fēng)險定義有透徹的認(rèn)識，有利于運(yùn)用ISO31000標(biāo)準(zhǔn)開展風(fēng)險管理工作。ISO31000標(biāo)準(zhǔn)的主要作用：幫助用戶實(shí)現(xiàn)其目標(biāo)；為管理帶來更大的主動性；提高用戶全體成員的風(fēng)險認(rèn)知及管理能力；改善對風(fēng)險和機(jī)遇的把握能力；使用戶更遵守法規(guī)和國際規(guī)范；改善用戶的財會制度和報表；提高用戶的管理水平；提高股東等利益相關(guān)人的信任感和信心；建立更可靠的決策基礎(chǔ)；改進(jìn)高層的控制能力；提高抗風(fēng)險資源的配置和應(yīng)用效率；改進(jìn)組織運(yùn)作的成效；改善組織的健康性、安全性和環(huán)保性；改善防損和危機(jī)預(yù)案的管理；降低損耗；改進(jìn)組織的學(xué)習(xí)力；提高組織的生命力。組織風(fēng)險管理文化目前存在兩種固有的典型形態(tài)，現(xiàn)實(shí)中大多數(shù)組織介于兩種形態(tài)的結(jié)合之間。①厭惡型風(fēng)險文化：堅持已知的、穩(wěn)定的經(jīng)驗和知識，組織重視內(nèi)部管理，而不是關(guān)注客戶的需求；組織戰(zhàn)略不經(jīng)常變化，風(fēng)險管理較被動。一旦發(fā)生變化，肯定是由于風(fēng)險損失而造成的。將錯誤歸咎于具體的人，屬于典型的責(zé)難文化。②包容型風(fēng)險文化：組織的價值觀推崇創(chuàng)新、挖掘機(jī)會；組織重視員工積極創(chuàng)新，關(guān)注客戶需求；組織的戰(zhàn)略、內(nèi)部管理隨情況而變化；犯錯誤是可以包容的，但不準(zhǔn)掩蓋錯誤，屬于典型的鼓勵文化。組織通過實(shí)施ISO31000標(biāo)準(zhǔn)，不僅在具體的業(yè)務(wù)活動或過程中實(shí)現(xiàn)對風(fēng)險管理的改進(jìn)，還使組織風(fēng)險管理文化得到持續(xù)改進(jìn)，向著建立風(fēng)險管理機(jī)制的方向邁進(jìn)。ISO31000標(biāo)準(zhǔn)的核心內(nèi)容由風(fēng)險管理“原則、框架、過程”三個部分構(gòu)成。標(biāo)準(zhǔn)提出11項風(fēng)險管理原則，其風(fēng)險管理框架由總則、授權(quán)與承諾、管理風(fēng)險框架的設(shè)計、實(shí)施風(fēng)險管理、框架的監(jiān)測與評審、框架的持續(xù)改進(jìn)六個部分構(gòu)成。組織在明確標(biāo)準(zhǔn)要求的基礎(chǔ)上，結(jié)合自身情況建立相適宜的風(fēng)險管理框架。風(fēng)險管理過程是風(fēng)險管理框架的組成部分，由溝通與咨詢、建立環(huán)境、風(fēng)險評估、風(fēng)險應(yīng)對、監(jiān)測與評審五個子流程構(gòu)成。其中，溝通與咨詢、監(jiān)測與評審子流程覆蓋整個風(fēng)險管理流程，循環(huán)地進(jìn)行風(fēng)險管理的輸入、輸出。ISO31000標(biāo)準(zhǔn)結(jié)構(gòu)如下圖所示。運(yùn)用ISO31000標(biāo)準(zhǔn)實(shí)施風(fēng)險管理，要做好三個方面的準(zhǔn)備工作：①學(xué)習(xí)風(fēng)險管理的理論、流程和技術(shù)方法；②要明確組織的各個具體過程；③在流程中擴(kuò)展屬性信息的設(shè)置——風(fēng)險點(diǎn)編號、風(fēng)險事件、風(fēng)險源、風(fēng)險等級、風(fēng)險矩陣、控制措施等。風(fēng)險是由組織實(shí)施戰(zhàn)略目標(biāo)和業(yè)務(wù)活動而產(chǎn)生，風(fēng)險管理也不是獨(dú)立于組織的業(yè)務(wù)活動而開展的。風(fēng)險管理的成功取決于風(fēng)險管理框架的有效性，風(fēng)險管理框架嵌入到組織的所有層次，在特定環(huán)境下實(shí)施風(fēng)險管理框架，在風(fēng)險管理過程中獲得、報告風(fēng)險信息。ISO31000標(biāo)準(zhǔn)采用嵌入方式將風(fēng)險管理的理論、流程和技術(shù)方法融合于組織的資金活動、采購業(yè)務(wù)、資產(chǎn)管理、銷售管理、研究開發(fā)、工程項目、擔(dān)保業(yè)務(wù)、業(yè)務(wù)外包、財務(wù)報告、全面預(yù)算、合同管理、內(nèi)部信息、傳遞信息系統(tǒng)等決策活動、業(yè)務(wù)活動的過程中去。ISO31000標(biāo)準(zhǔn)組織風(fēng)險管理嵌入的重點(diǎn)：①由于組織的方針在組織中起著指導(dǎo)性作用，要將風(fēng)險管理嵌入到組織方針制定流程；②組織戰(zhàn)略決策、業(yè)務(wù)穩(wěn)定持續(xù)需要進(jìn)行事前的策劃、事后的評審，要將風(fēng)險管理嵌入到事前策劃及事后評審流程；③變更會帶來新的不確定性，對任何在原有狀態(tài)下發(fā)生的變化實(shí)施管理，需要將風(fēng)險管理嵌入變更管理流程，進(jìn)行事中管理。掌握上述這些嵌入的重點(diǎn)，再結(jié)合企業(yè)風(fēng)險管理與組織流程的融合特性，從嵌入性角度構(gòu)建風(fēng)險管理體系，對風(fēng)險管理做到事前、事中、事后的控制。

二、風(fēng)險管理框架下的風(fēng)險導(dǎo)向內(nèi)部審計

組織建立ISO31000風(fēng)險管理框架，使用完整的風(fēng)險識別、風(fēng)險分析、風(fēng)險評價、風(fēng)險控制等風(fēng)險管理程序和方法進(jìn)行風(fēng)險管理，為企業(yè)防范風(fēng)險，提高效益，實(shí)現(xiàn)組織目標(biāo)提供了合理保證。組織的進(jìn)步和發(fā)展離不開風(fēng)險管理框架的支撐，但是組織風(fēng)險管理框架的健全性、有效性、遵循性如何得到合理的保證呢？英國和愛爾蘭內(nèi)部審計協(xié)會和德勤會計師事務(wù)所在2003年聯(lián)合的研究報告《價值議程》（THEVALUEAGENDA）表明，董事會和內(nèi)審部門達(dá)成共識，內(nèi)部審計為組織增加價值的兩種方式：一是對主要業(yè)務(wù)風(fēng)險已適當(dāng)管理進(jìn)行客觀確認(rèn)；二是對風(fēng)險管理和內(nèi)部控制框架的有效運(yùn)行進(jìn)行客觀確認(rèn)。該報告強(qiáng)化了內(nèi)部審計的核心作用是向董事會提供對風(fēng)險管理有效性的客觀確認(rèn)。風(fēng)險管理框架在組織中的廣泛運(yùn)用，自然而然引領(lǐng)著內(nèi)部審計活動由傳統(tǒng)的財務(wù)審計、合規(guī)審計、績效審計發(fā)展到風(fēng)險導(dǎo)向?qū)徲嫛ｏL(fēng)險導(dǎo)向內(nèi)部審計的含義：是指內(nèi)部審計人員在審計過程中自始至終都以企業(yè)風(fēng)險分析評估為導(dǎo)向，根據(jù)量化的分析水平排定審計項目優(yōu)先次序，依據(jù)風(fēng)險確定審計范圍及重點(diǎn)，對企業(yè)的風(fēng)險管理、內(nèi)部控制和治理程序進(jìn)行評價，進(jìn)而提出建設(shè)性的意見和建議，協(xié)助企業(yè)管理風(fēng)險，實(shí)現(xiàn)企業(yè)價值增值的獨(dú)立、客觀的簽證和咨詢活動。風(fēng)險導(dǎo)向內(nèi)部審計是一種多維的、基于系統(tǒng)觀、戰(zhàn)略觀的新型內(nèi)部審計類型。傳統(tǒng)內(nèi)部審計主要關(guān)注合規(guī)性審查、內(nèi)控的有效性、遵循性，風(fēng)險導(dǎo)向內(nèi)部審計重點(diǎn)關(guān)注組織的風(fēng)險管理，風(fēng)險能否得到適當(dāng)?shù)墓芾砗涂刂?。傳統(tǒng)審計一般是事后提供控制保證，風(fēng)險導(dǎo)向內(nèi)部審計是伴隨著風(fēng)險管理的流程，事前、事中、事后全程覆蓋。審計方法得到了新的擴(kuò)充，風(fēng)險導(dǎo)向內(nèi)部審計采用了科學(xué)的統(tǒng)計分析方法、IT信息系統(tǒng)審計等技術(shù)。