呆呆呆cat
作者：李岑岩律师 现代风险管理认为，风险管理是一个系统工程，需由主体内的一个有机的组织来实施并执行各自的职责，才能实现风险管理的目标。但是，对于风险管理的组织构成层级及范围没有统一的标准，同时，各个企业大小不等规模不一，风险管理组织也会有较大的区别。但现代风险管理的理念是，在一个主体内，风险管理必须由最高层从战略上把控，而在基层组织，风险管理人人有责。COSO认为，风险管理由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中。在这个风险管理组织内，各部分人员的职责如下：董事会通过下列方式提供针对企业风险管理的监督：了解管理当局在组织中建立有效的企业风险管理的范围；知道并同意主体的风险容量；审核主体的风险组合观，并对照主体的风险容量对其进行考核；知悉最重大的风险以及管理当局是否恰当地应对。首席执行官（CEO）对企业风险管理有着最终所有者的责任。其责任主要包括恰当地建立企业风险管理的所有构成要素。CEO通常通过下列方式来实现这项职责：为高级管理人员提供领导和指引；定期与负责主要职能领域——销售、营销、生产、采购、财务、人力资源的高级管理人员进行会谈，以便对他们的职责、包括他们他们如何管理风险，进行核查。掌管组织单元的高级管理人员有责任管理与其单元的目标相关的风险。他们将战略转变成经营、识别事项和评估风险，并影响风险应对。高级管理人员通常将企业风险管理具体程序的责任赋予特定流程、职能机构或部门的管理人员。管理人员的职责应该既包括权利，也包含义务。每位管理人员应该就他份内的企业风险管理对上一个层级负责，而最终由CEO向董事会负责。尽管不同的管理层级有着不同的企业责任和职能，但他们的行动应该行动应该融入主体的企业风险管理之中。风险官员（风险总监）的职责包括：建立企业风险管理政策、包括确定职能与责任，以及参与设定执行目标；确定各业务单元对于企业风险管理的权力和义务；提高整个主体的企业风险管理能力，包括推动企业风险管理专门技术的发展，以及帮助管理人员协调风险应对和主体的风险容量，并建立恰当的控制；指导企业风险管理与其他经营计划和管理活动的整合；建立一套通用的风险管理语言，包括围绕可能性和影响的共通的测试指标，以及通用的风险类别；帮助管理人员制定报告规程，包括定性和定量的下限，以及对报告过程的监控；向首席执行官报告进行和暴露的问题，并建议必要的措施；风险总监一般也负责风险政策制定、资本管理、风险分析与报告，以及领导各业务单位的风险管理主任。总而言之，风险总监办公室直接负责：提供对企业全面风险管理的统一领导、设想和指引；对整个机构的所有风险建立综合的风险管理框架；研发风险管理策略，包括通过利用特别的风险限制来量化管理层的风险倾向；执行整套的风险指标和报告，包括损失与事故、主要风险敞口和早期预警指标；基于风险程度把经济资本配置给各项业务活动，并且通过业务活动和风险转移策略来优化公司的风险组合；向主要的权益方通报公司的风险特征，这些权益方包括董事会、监管机构、股市分析专家、评级机构和商业伙伴；提高分析、系统以及数据管理能力以支持企业全面风险管理。首席财务官、首席会计官、审计长和财务职能机构的其他人员对于管理当局执行企业风险管理的方式至关重要。在考察企业风险管理的构成要素时，很明显首席财务官和他的下属员工起着重要的作用。这个人在制定目标、确定战略、分析风险和作出如何对影响主体的变化进行管理的决策时是一个关键的角色。他提供有价值的投入和指引，而且其职责在于关注监控和追踪所决定的行动。内部审计师在评价企业风险管理的有效性以及提出改进建议方面起着关键作用。内部审计师协会所制定的准则规定，内部审计的范围应该包含风险管理和控制系统。它包括评价报告的可靠性、经营的有效性和效率以及符合法律和法规。在履行这些职责时，内部审计师通过对主体企业风险管理的恰当性和有效性进行检查、评价、报告和提出建议，来协助管理当局和董事会或审计委员会。主体中的其他人员。企业风险管理在某种程序上是主体中所有人的责任，因此应该成为每个人的职位描述的一个明显的或隐含的部分。这可以从以下两个方面来证实：事实上所有人员在实现风险管理中都起着某种作用；所有人员都有责任支持企业风险管理中所固有的信息与沟通流程。外部人员。COSO还重视外部人员在企业风险管理中的作用职责。外部审计师为管理当局和董事会提供一个独特的、独立的和客观的看法，它有助于主体实现其对外财务报告目标以及其他目标。立法者和监管者通过建立风险管理机制或内部控制的要求，或是通过对特定主体的检查，影响着许多主体的企业风险管理。立法者和监管者通过两种方式影响主体的企业风险管理：他们制定规则以促使管理当局确保风险管理和控制系统满足最低的法定或监管要求；根据对特定主体的检查，提供对主体应用企业风险管理有用的信息和建议，有时还向管理当局提供与所需的改进有关的指引。与主体互动的各方也有重要的职责。客户、卖主、商业伙伴和其他与主体开展业务的人，是企业风险管理活动中所使用的信息的一个重要的来源。除了客户和卖主之外，其他方面，如债权人，也能够针对实现一个主体的目标提供监督。总之，在COSO看来，企业风险管理的组织架构应是严密和广泛的。企业风险管理的职责应落实在每一个人的头上。我国《中央企业全面风险管理指引》认为，企业应建立健全风险管理组织体系，主要包括规范的公司法人治理结构，风险管理职能部门、内部审计部门和法律事务部门以及其他有关职能部门、业务单位的组织领导机构及其职责。企业应建立健全规范的公司法人治理结构，股东（大）会（对于国有独资公司或国有独资企业，即指国资委，下同）、董事会、监事会、经理层依法履行职责，形成高效运转、有效制衡的监督约束机制。国有独资公司和国有控股公司应建立外部董事、独立董事制度，外部董事、独立董事人数应超过董事会全部成员的半数，以保证董事会能够在重大决策、重大风险管理等方面作出独立于经理层的判断和选择。企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。各组织单元在全面风险管理中的职责分别如下：董事会就全面风险管理工作的有效性对股东（大）会负责。董事会在全面风险管理方面主要履行以下职责：（一）审议并向股东（大）会提交企业全面风险管理年度工作报告；（二）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；（三）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；（四）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；（五）批准重大决策的风险评估报告；（六）批准内部审计部门提交的风险管理监督评价审计报告；（七）批准风险管理组织机构设置及其职责方案；（八）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；（九）督导企业风险管理文化的培育；（十）全面风险管理其他重大事项。具备条件的企业，董事会可下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需有熟悉企业重要管理及业务流程的董事，以及具备风险管理监管知识或经验、具有一定法律知识的董事。风险管理委员会对董事会负责，主要履行以下职责：(一)提交全面风险管理年度报告；(二)审议风险管理策略和重大风险管理解决方案；(三)审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；(四)审议内部审计部门提交的风险管理监督评价审计综合报告；(五)审议风险管理组织机构设置及其职责方案；(六)办理董事会授权的有关全面风险管理的其他事项。企业总经理对全面风险管理工作的有效性向董事会负责。总经理或总经理委托的高级管理人员，负责主持全面风险管理的日常工作，负责组织拟订企业风险管理组织机构设置及其职责方案。企业应设立专职部门或确定相关职能部门履行全面风险管理的职责。该部门对总经理或其委托的高级管理人员负责，主要履行以下职责：(一)研究提出全面风险管理工作报告；(二)研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；(三)研究提出跨职能部门的重大决策风险评估报告； (四)研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；(五)负责对全面风险管理有效性评估，研究提出全面风险管理的改进方案；(六)负责组织建立风险管理信息系统；(七)负责组织协调全面风险管理日常工作；(八)负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；(九)办理风险管理其他有关工作。企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。审计委员会和内部审计部门的职责应符合《中央企业内部审计管理暂行办法》（国资委令第8号）的有关规定。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。
家装e站邯郸站
导语：风险管理审计是对传统审计方式的突破和创新，是融风险管理、审计为一体的新兴审计模式，本文对银行风险的界定及类型、银行风险管理审计存在的问题以及银行风险管理审计的优势等问题进行了阐述。
风险管理起源于20世纪60、70年代，20世纪80年代在金融、保险、制造业等行业的大企业有了发展，从风险管理内容的规范性来看当属银行和保险业。风险管理审计是在20世纪末2l世纪初，随着风险管理导向内部控制时代的来临，风险管理成为内部审计关注的重点。它不仅关注传统的内部控制，更加关注有效的风险管理机制。内部审计人员通过对当前的风险分析确保其审计计划与经营计划相一致。风险管理成为组织中的关键流程，促使内部审计的工作重点不仅是测评控制，而且包括确认风险及测试管理风险的方法，风险管理审计是内部审计发展的新阶段。
一、银行风险的界定及类型
1.银行风险的界定
关于银行风险现有两种说法。一是指商业银行在经营中由于各种不确定因素而招致经济损失的可能性。二是指在货币经营和信用活动中，由于各种事先无法预料的不确定因素的影响，使银行的实际收益与预期收益发生背离，有蒙受经济损失或获得额外收益的双重机会和可能。本人同意第二个观点。
银行风险存在于银行价值链的每一个环节，可以说，银行自成立之日起就是在风险管理的过程中谋取收益的。对银行风险的正确理解须注意以下几点：
(1)银行风险不等于银行损失。风险指的是发生不利或有利事件的可能性;而损失是消耗或丧失的东西，是原来不确定事件形成的一种事实。两者的着眼点不同，风险着眼于未来，损失着眼于现在和过去。
(2)风险既是一种挑战又是一种机遇，它具有双重性。
(3)它包含多层次风险内容且有动态性的范畴。多层次的风险包括法律风险、政策风险、决策风险和操作风险等。
(4)商业银行风险更多的是经济运行中风险的反映，与经济主体的行为目标、决策方式和经济环境相联系，并不单纯是银行自身的问题。
2.银行风险的类型
我国银监会制定并于2005年2月1日起实施的《商业银行内部控制评价试行办法》指出，商业银行的主要风险包括信用风险、市场风险(含利率风险)、操作风险、流动性风险、法律风险以及声誉风险等。
从实践来看，对于银行影响比较大的风险主要有四种：信用风险、操作风险、市场风险和流动性风险。
二、内部审计在风险管理中的定位、职责与作用
内部审计是一种独立、客观的确认与咨询活动，它通过应用系统的、规范的方法，评价并改善风险、控制和治理过程的效果，帮助组织实现其目标。由于其自身的特点，内部审计参与风险管理拥有一定的优势。内部审计部门和人员熟悉本单位情况，对单位面临的风险更了解;内部审计部门和人员是组织内部成员，其利益同组织发展、兴衰密切相关，对防范各种风险、实现经营目标有着更强烈的责任感;内部审计部门不同于其他部门，不从事具体业务，其职能独立于业务管理部门，可以跳出业务各环节的圈子，从全局出发、综合、客观地对风险进行识别和评价，采取有效的风险控制措施。
1.内部审计在风险管理中的定位
现在我们所说的风险管理越来越趋向于广义的概念，公司治理也好、内部控制也好，实际上都属于风险管理的范畴，只是风险管理所涉及的层次有所不同，而内部审计一直都担任着重要的角色。2002年美国国会通过的'《萨班斯一奥克斯法案》指出，董事会、高层管理者、外部审计师与内部审计师作为有效公司治理的基石，成为开展公司治理、内部控制必须职责的重要组成部分。因此，内部审计在风险管理中扮演的角色对组织机构整体风险控制是至关重要的。现在内部审计在风险管理过程中的定位应该是参与者、协作者和监管者。
2.内部审计在风险管理中的责任
风险管理是内部审计的一条主线。因此，内部审计应当也必须参与风险管理。随着风险管理导向内部控制时代的来临，内部审计的工作重点也发生了变化，现代内部审计除了关注传统的内部控制之外，更加关注有效的风险管理机制和健全的公司治理结构。但内部审计不等同于风险管理。IIA指出，内部审计师在建立和管理风险过程中所起的积极作用有别于“风险所有者”的作用。为了避免起到“风险所有者”的作用，内部审计师应该要求管理层证实其在确定、防范、监测风险以及风险“所有者”的责任。2004年9月，IIA针对COSO委员会新发布的全面风险管理框架，以《全面风险管理的内部审计角色》为题发表了一份职位说明书，指出，内部审计的核心职能有五项：为风险管理流程提供保证、确保风险得到正确评价、评估风险管理流程、评估关键风险的报告体系以及审核关键风险的管理活动。其次，职位说明书对内部审计在风险防范方面的职责也进行详细的描述：协助识别和评价风险、培训管群层如何应对风险、协调全面风险管理活动、完善风险报告体系、维护开发全面风险管理框架、支持建立全面风险管理、为决策层拟定风险管理战略。最后，也明确内部审计不应承担以下责任:
(1)设定风险额度;
(2)强加风险管理流程;
(3)向管理层提供风险保证;(4)做出风险应对决策;(5)以管理者名义执行风险应对方案;(6)风险管理的受托责任。
3.内部审计在风险管理中的作用
国内外企业，特别是世界知名企业，如杜邦公司和微软公司的风险管理体系都比较完善，内部审计在企业风险管理体系中发挥了重要的作用。风险管理是一项重要的管理责任。要实现其业务目标，管理层应该保证拥有健全的风险管理过程，并能发挥作用。董事会和审计委员会应该在确定组织是否建立恰当的风险管理过程以及这些程序适当有效地运作等方面起监督作用。内部审计师应该通过检查、评价、报告风险管理过程的适当性和有效性并提出改进建议来协助管理层和审计委员会的工作。还需要指出的是，内部审计部门在组织风险管理过程中的作用可以随着时问的推移而发生变化，并可能有不同的作用：即从无任何作用，到作为内部审计工作计划的一部分对风险管理过程进行审计，到积极持续地支持并参与风险管理过程，到管理和协调对风险的管理过程。
总的来说，内部审计在风险管理中的作用概括为以下四个方面:一是检查与评价，内部审计部门运用审计手段对银行风险管理体系的充分性和有效性进行评估;二是管理与协调，内部审计利用自身优势，积极参与银行风险管理体系建设，对各种风险要素进行识别、分析、协调、管理，并提出控制风险的有效建议;三是顾问与咨询，内部审计师以咨询顾问身份协助企业确定针对风险进行管理的方法和控制措施，并评价其合理性与有效性;四是报告与防范，内部审计部门通过及时传递并督促落实风险审计的成果，使各类风险因素得到有效的控制和防范。
三、银行风险管理审计存在的问题
中国工商银行、中国建设银行等都有针对性地组织了风险管理与审计等课题的研究。但是银行内部审计在风险管理中还存着以下问题：
1.内部审计理念落后
相对于一般的工商业企业来说，银行风险管理在其价值链中占有重要位置，是银行成立以来一直倍受关注的问题。因此，其风险管理相对比较好，这就使得业内外的一些认为银行风险管理是完善的，这也造成了内部审计对风险管理认识的不充分，内审人员不能积极主动地去关注风险，制约了内部审计作用的发挥。
2.内部审计方法手段不能适应银行风险管理的需求
我国银行内部审计尚处于查错防弊、开展合规性审计阶段，局限于对经营部门及营业机构执行各项规章制度的事后审计上，主要进行的还是现场审计，非现场审计开展不够。而银行风险管理系统要求进行系统的、全面的风险管理，不仅要进行事前防范、事中控制、事后管理，还要进行信息处理，大力开展非现场审计。
3.内部审计在风险管理中的作用和地位不明确
商业银行对风险的管理分为风险管理部门和内部审计部门。风险管理部门负责总的风险管理，内部审计部门根据风险管理部门的风险评价结果实施内部审计。而实际上风险管理部门与内部审计部门的关系并未得以明确。
4.风险审计开展力度不够
内部审计部门有责任对业务主管部门所面临的外部和内部风险进行归纳、整理和分析，并向高级管理层提交风险分析报告，为高级管理层的经营决策提供参考。而现在的审计工作基本上是根据总、省行的工作部署来展开，独立开展审计工作不充分，对风险的规避效果不佳。
四、银行风险管理审计的优势
银行风险管理审计是建立在全面风险管理基础之上的一种内部审计技术方法，这种方法作为成功的全面风险管理规划的一个重要组成部分，更加关注企业的经营目标、管理层的风险承受、关键风险衡量指标等。目前银行风险管理审计还具有以下优势：
1.有利于内部审计从全局角度评价风险管理
由于银行是经营货币的特殊的金融企业，决定了银行业务流程上的任一环节都有风险因素存在，并且由于风险具有感染性、传染性、不对称性等特征，链上某一主体造成的风险或疏于风险管理带来的后果有时并不是由其直接承担，而是会通过一定的联系传递到其他主体，最终会导致银行陷入困境。内部审计，可以将每一个环节及周围环境来的风险因素考虑在内，有利于从战略高度全面评价银行风险管理。
2.有利于加强银行风险管理
风险管理审计作为风险管理的组成部分，都是为了实现组织战略目标、实现银行增加价值的目的。但是，二者的责任并不相同。风险管理需要对风险管理的措施和方法进行设计并负责执行，而风险管理审计则是负责对风险管理设计与执行情况进行测试、评价，并为管理层提供有关风险管理信息适度确认的责任。因此，在某种程度上可以说，风险管理审汁是更高层次的风险管理。当局者迷、旁观者清，所以风险管理审计可以从“局外人”的角度，跳出风险管理来对价值实现过程中的风险管理过程进行系统地、客观地评价，有利于银行加强风险管理。
3.更加有利于实现审计的价值
风险管理和风险管理审计的目的都是为了实现战略目标，实现银行价值增加。风险管理审计侧重于风险管理过程的评价，通过评价风险管理过程来减少由于风险造成的经营成本的增加，并且风险管理审汁作为一种内部审计，并不局限于风险管理的审计，因此通过对业务流程及周围环境分析，不仅可以提供一些经营管理等其他方面的建议，起到一举多效的作用，而且也有利于实现内部审计的价值。
4.有利于信息沟通，树立银行风险管理文化
银行内部各部门之间需要及时的信息沟通，才能有效地、及时地解决银行面临的风险问题。但是，各部门之间有时是不能做到这一点的。内部审计的独立地位使得内部审计需要了解所有部门的信息，通过询问、观察、调查问卷等审计技术综合掌握银行信息资料，将信息在不同部门传递、沟通，从而加深了各部门之间的相互了解，有利于各部门从全局角度考虑风险问题，树立良好的风险管理文化。
优质审计师问答知识库
