風險是一個事項將會發(fā)生并給目標實現(xiàn)帶來負面影響的可能性(COSO,方紅星等譯,2005),它實質(zhì)上是指損失的不確定性。企業(yè)風險可以描述為企業(yè)目標不能得以實現(xiàn)的可能性(孟焰、潘秀麗,2006)。風險是影響企業(yè)經(jīng)營管理決策的重要因素。如何關(guān)注企業(yè)風險,實施有效地風險治理措施,是企業(yè)必須面對的重要議題。伴隨著企業(yè)風險意識的不斷加強,以及相關(guān)理論研究的持續(xù)深入,內(nèi)部控制、風險管理與審計之間的聯(lián)系逐漸引起理論界與實務界的重視,風險導向成為內(nèi)部控制和審計的主流思想。鑒于此,本文在梳理內(nèi)部控制、風險管理與審計之間關(guān)系的基礎(chǔ)上,試圖構(gòu)建由經(jīng)營者、所有者、內(nèi)部審計師和外部審計師組成的企業(yè)風險綜合治理體系,以期達到降低企業(yè)風險、增加企業(yè)價值的效用。
一、內(nèi)部控制的本質(zhì):風險控制機制
內(nèi)部控制是指企業(yè)為了實現(xiàn)控制目標,由董事會、監(jiān)事會、經(jīng)理層和全體員工實施的一系列政策和程序,它是企業(yè)加強經(jīng)營管理的有效工具和手段。內(nèi)部控制本質(zhì)上是組織的內(nèi)部風險控制機制(丁友剛、胡興國,2007),它是有助于降低企業(yè)風險的一種控制機制,內(nèi)部控制的最終目標是提高企業(yè)的經(jīng)營管理水平和風險防范能力。內(nèi)部控制源于企業(yè)管理中的內(nèi)部牽制思想,內(nèi)部控制理論的發(fā)展先后經(jīng)歷了內(nèi)部牽制、內(nèi)部控制制度、內(nèi)部控制結(jié)構(gòu)、內(nèi)部控制整合框架和企業(yè)風險管理整合框架五個階段。在內(nèi)部控制的演進過程中,內(nèi)部控制的目標從最初的確保實物資產(chǎn)安全,到提高經(jīng)營效率以及財務報告信息的可靠性,再到保證法律法規(guī)的遵循性,以至現(xiàn)階段對企業(yè)戰(zhàn)略風險的關(guān)注,無不體現(xiàn)出風險控制的理念。內(nèi)部控制就是控制風險,控制風險就是風險管理(謝志華,2007)。在企業(yè)風險管理整合框架階段,風險控制從基礎(chǔ)層面上升到戰(zhàn)略層面,戰(zhàn)略風險控制成為內(nèi)部控制的首要目標,經(jīng)營風險控制、財務報告風險控制以及合規(guī)性風險控制都服從于戰(zhàn)略風險控制。風險整合框架的發(fā)布,使內(nèi)部控制從一般意義上風險控制機制擴展至全面風險控制機制,成為企業(yè)加強管理、提高經(jīng)營效率和效果,從而實現(xiàn)戰(zhàn)略目標的有力手段(財政部會計司赴美國考察團,2007)。
二、內(nèi)部控制、風險管理與內(nèi)部審計
國際內(nèi)部審計師協(xié)會(IIA)在《內(nèi)部審計實務標準》中將內(nèi)部審計定義為:“是一種獨立、客觀的確認和咨詢活動,旨在增加組織的價值和改善組織的運營。它通過應用系統(tǒng)化、規(guī)范化的方法,評價并改善風險管理、控制和治理過程的效果,幫助組織實現(xiàn)其目標”;《企業(yè)內(nèi)部控制應用指引》(征求意見稿)將內(nèi)部審計定義為:“是指企業(yè)內(nèi)部的一種獨立客觀的監(jiān)督、評價和咨詢活動,通過對經(jīng)營活動及內(nèi)部控制的適當性、合法性和有效性進行審查、評價和提出建議,促進改善企業(yè)運行的效率效果、實現(xiàn)企業(yè)發(fā)展目標”。從其定義可以看出,內(nèi)部審計具有評價、監(jiān)督和服務等職能。內(nèi)部控制、風險管理與內(nèi)部審計之間的聯(lián)系日趨緊密,內(nèi)部審計是內(nèi)部控制體系的組成部分,風險管理是內(nèi)部審計的重要領(lǐng)域。
(一)內(nèi)部審計是內(nèi)部控制體系的組成部分
1986年4月,最高審計機關(guān)國際組織在第十二屆大會上發(fā)表的《總聲明》,把組織結(jié)構(gòu)、方法程序和內(nèi)部審計作為內(nèi)部控制的要素,內(nèi)部審計成為內(nèi)部控制的重要組成部分。內(nèi)部審計在企業(yè)內(nèi)部天然的監(jiān)督作用使其自然成為內(nèi)部控制方式之一,同時又是對內(nèi)部控制執(zhí)行情況的一種監(jiān)督形式,是對內(nèi)部控制的控制(曹偉、桂友泉,2002)。內(nèi)部審計是內(nèi)部監(jiān)督的主要形式,《企業(yè)內(nèi)部控制基本規(guī)范》把內(nèi)部監(jiān)督作為內(nèi)部控制的一個要素。根據(jù)《企業(yè)內(nèi)部控制基本規(guī)范》的要求,企業(yè)應當制定內(nèi)部控制監(jiān)督制度,明確內(nèi)部審計機構(gòu)和其他內(nèi)部機構(gòu)在內(nèi)部監(jiān)督中的職責權(quán)限,規(guī)范內(nèi)部監(jiān)督的程序、方法和要求。由此可見,內(nèi)部審計是內(nèi)部控制體系的組成部分。
(二)風險管理是內(nèi)部審計的重要領(lǐng)域
企業(yè)風險管理的有效性在一定程度上取決于企業(yè)對風險管理工作的監(jiān)督和評價(孟焰、潘秀麗,2006),對組織的風險管理過程進行檢查、評價和報告是內(nèi)部審計人員的重要工作。IIA實務公告2110-1規(guī)定:“內(nèi)部審計師應通過檢查、評價、報告與建議改進有關(guān)風險管理過程的適當性和有效性,來協(xié)助管理層和審計委員會。內(nèi)部審計師在充當咨詢角色時,可以協(xié)助組織確認、評價風險并執(zhí)行風險管理方法和控制來解決這些風險”。我國《內(nèi)部審計具體準則第16號——風險管理審計》第七條規(guī)定:“內(nèi)部審計人員應當實施必要的審計程序,對風險識別過程進行審查與評價,重點關(guān)注組織面臨的內(nèi)、外部風險是否已得到充分、適當?shù)拇_認。” 以上規(guī)定充分體現(xiàn)了風險管理是內(nèi)部審計的重要領(lǐng)域,內(nèi)部審計在企業(yè)風險管理過程中起到監(jiān)督、評價和咨詢等作用。
內(nèi)審部門作為內(nèi)部控制和風險管理的牽頭部門,只有通過其風險管理等各項增值服務,才能真正體現(xiàn)該機構(gòu)在組織中的存在價值(王斌,2009),內(nèi)部審計既是企業(yè)內(nèi)部控制和風險管理的監(jiān)督者,又是完善企業(yè)內(nèi)部控制和風險管理的重要推動力量。
三、內(nèi)部控制、風險管理與外部審計
(一)外部審計依賴于內(nèi)部控制
內(nèi)部控制是公司內(nèi)部治理機制的基石,有效的內(nèi)部控制,能夠保證公司的正常運作和發(fā)展;外部審計是現(xiàn)代公司治理不可或缺的組成部分,外部審計治理作用的有效發(fā)揮有賴于內(nèi)部控制的良好運作。內(nèi)部控制和審計分別是影響組織效率的內(nèi)在因素和外在因素之一,二者自身的產(chǎn)生、演進和彼此之間的互動、耦合,都是追求組織效率的必然結(jié)果(方紅星,2002)?，F(xiàn)代審計依賴于內(nèi)部控制。審計人員是內(nèi)部控制理論研究的發(fā)起者和推動者,也是該理論發(fā)展至今最大的使用者(張宜霞,2007)。
審計師關(guān)注與財務報告相關(guān)的內(nèi)部控制。正是由于資本市場對企業(yè)財務會計信息質(zhì)量的要求,才使得作為經(jīng)濟警察的注冊會計師對企業(yè)內(nèi)部控制制度的建立與執(zhí)行尤為關(guān)注(施先旺,2008)。風險導向?qū)徲嬍菍徲嬆Ｊ桨l(fā)展的最新階段,根據(jù)風險導向?qū)徲嫷囊?審計師首先要了解和評價被審計單位的內(nèi)部控制,通過對被審計單位的戰(zhàn)略及經(jīng)營風險進行識別和評估,來確定高風險的審計領(lǐng)域,以便進行重點審計,從而有利于提高審計效率,減低審計風險。在現(xiàn)代風險導向?qū)徲嫹椒▽嵤┻^程中,仍然需要用到制度基礎(chǔ)審計方法甚至詳細審計方法的一些程序,但它已不局限于對傳統(tǒng)企業(yè)內(nèi)部控制的分析,而將分析對象擴大到整個企業(yè)的風險管理范圍(審計理論研究課題組,2009)。但是,應當明確一點,在風險導向?qū)徲嬆Ｊ较?審計對內(nèi)部控制的依賴不是減弱了,而是得到了進一步加強,只是分析范圍擴大到整個企業(yè)的風險管理領(lǐng)域。
(二)外部審計是一種風險監(jiān)督機制
代理理論是解釋審計需求的主流理論,它是在Jensen和Meckling(1976)所倡導的委托代理理論的基礎(chǔ)上發(fā)展起來的。在企業(yè)的委托代理關(guān)系中,委托人和代理人的目標往往是不一致的,代理人為了追求自身利益的最大化,可能會損害委托人的利益。為了使代理人與委托人的利益保持一致,委托人通常會選擇適當?shù)募顧C制與監(jiān)督機制,來減少委托人與代理人之間的信息不對稱,而外部審計就是一種有效的監(jiān)督機制。
外部審計作為一種外部監(jiān)督機制,對于緩解代理沖突,促進資源的優(yōu)化配置具有重要的作用。由于股東收益因代理關(guān)系存在而可能受到損害,因此股東的風險控制愿望一直表現(xiàn)得非常強烈(王斌,2009)。外部審計是所有者(股東)檢驗經(jīng)營者經(jīng)營管理效率和效果的一種方式,它是所有者對經(jīng)營者實施的一種監(jiān)督機制。外部審計師需要實施風險評估程序,來了解被審計單位的目標、戰(zhàn)略以及相關(guān)經(jīng)營風險。因此,所有者可以從外部審計師那里獲得較多的關(guān)于企業(yè)的風險信息,這樣就可以有效地降低所有者和經(jīng)營者之間的信息不對稱,進而所有者可以通過影響經(jīng)營者的經(jīng)營管理決策,來降低企業(yè)風險。
經(jīng)濟監(jiān)督是審計的基本職能。審計的經(jīng)濟監(jiān)督職能,主要是指通過審計、監(jiān)察和督促被審計單位的經(jīng)濟活動在規(guī)定的范圍內(nèi)、在正常的軌道上進行;監(jiān)察和督促有關(guān)經(jīng)濟責任者忠實地履行經(jīng)濟責任,同時借以揭露違法違紀、稽查損失浪費,查明錯誤弊端,判斷管理缺陷和追究經(jīng)濟責任等(李鳳鳴,2006)。根據(jù)我國《獨立審計具體準則第24號——與管理當局的溝通》的要求,注冊會計師應當對已發(fā)現(xiàn)的重大錯誤、舞弊或可能性,與管理當局進行溝通?！镀髽I(yè)風險管理——整合框架》也指出,在進行財務報表審計時,審計師可以向管理當局提供有關(guān)風險管理方面的信息,以便管理當局更好地履行其風險管理職責,這些信息主要包括審計師所注意到的風險管理和控制所存在的缺陷,以及改進的建議。與管理當局進行溝通,有利于管理當局及時發(fā)現(xiàn)經(jīng)營管理中的漏洞,以便采取整改措施,防止風險的擴大。
由此可見,無論是從所有者角度來看,還是從經(jīng)營者角度來看,外部審計都是一種風險監(jiān)督機制。
四、企業(yè)風險綜合治理體系的構(gòu)建
本文論述了內(nèi)部控制、風險管理與審計之間的聯(lián)系,它們在各自的職能領(lǐng)域發(fā)揮著風險控制或者風險監(jiān)督的作用。內(nèi)部控制的本質(zhì)是一種風險控制機制,風險管理包含內(nèi)部控制,內(nèi)部控制是風險管理不可分割的一部分,風險控制是內(nèi)部控制和風險管理的根本目標;內(nèi)部審計是內(nèi)部控制體系的組成部分,風險管理是內(nèi)部審計的重要領(lǐng)域;外部審計依賴于內(nèi)部控制,對所有者和經(jīng)營者來說,外部審計是一種風險監(jiān)督機制?；趦?nèi)部控制、風險管理和審計之間的密切聯(lián)系,筆者構(gòu)建了由經(jīng)營者、所有者、內(nèi)部審計師和外部審計師組成的企業(yè)風險綜合治理體系,以期達到降低企業(yè)風險、增加企業(yè)價值的效用。圖1為企業(yè)風險綜合治理體系示意圖:
(一)經(jīng)營者是企業(yè)風險治理的實施者
本文所指的經(jīng)營者是指企業(yè)的經(jīng)營管理決策人員,主要包括董事會、監(jiān)事會和經(jīng)理層等。董事會應當確保風險管理過程的適當性、有效性,并最終對企業(yè)的風險管理過程負責;監(jiān)事會對董事會建立與實施的風險管理政策進行監(jiān)督;經(jīng)理層應當樹立風險導向的經(jīng)營管理理念,制定合理的風險管理政策,并且確保其能夠發(fā)揮應有的作用。企業(yè)應當根據(jù)不同的管理級層賦予相應的風險責任和職能,并且成立專門機構(gòu)(如風險委員會)或者指定適當?shù)臋C構(gòu)(如審計委員會)來負責組織與協(xié)調(diào)企業(yè)風險治理機制的建立實施以及日常工作。同時,經(jīng)營者還應當考慮向內(nèi)部審計師和外部審計師征求風險治理意見,以便能夠擴大視野,提高風險治理水平。
(二)所有者是企業(yè)風險治理的需求者
所有者(股東)是企業(yè)風險的最終承擔者,經(jīng)營者的不當行為所造成的損失要由股東來“買單”。因此,所有者具有強烈的風險控制愿望,他們往往會采取一些措施來控制企業(yè)風險。例如,股東大會對企業(yè)的經(jīng)營方針、籌資、投資、利潤分配等重大事項享有表決權(quán),所有者可以通過否決潛在風險較大的投資項目、撤換不稱職的經(jīng)營者等方式來規(guī)避風險。另外,王斌(2009)提出,要使股東有能力保持對公司風險的持續(xù)監(jiān)控,股東要做的事應當是:追加購買審計師的額外服務,即要求審計師在向股東提供年度審計報告的同時,追加提供“風險提示意見”這項服務功能,并將其與審計報告一起對外披露。筆者認為,股東追加購買審計師的額外服務,并不會增加審計師的負擔。因為外部審計師必須對被審計單位的風險進行評估,它只是外部審計師提供年度審計報告業(yè)務的“副產(chǎn)品”,并且能夠在一定程度上滿足股東風險控制的期望。盡管目前尚處于理論探索階段,但股東向外部審計師購買“風險提示意見”這項額外服務,將具有廣闊的發(fā)展前景。
(三)內(nèi)部審計師是企業(yè)風險治理的監(jiān)督者
內(nèi)部審計機構(gòu)是企業(yè)內(nèi)部控制和風險管理的監(jiān)督部門,內(nèi)部審計師理應成為企業(yè)風險治理的監(jiān)督者。內(nèi)部審計師通過對企業(yè)風險管理的恰當性和有效性進行檢查、評價、報告和提出改進建議,能夠使董事會和經(jīng)理層全面、系統(tǒng)地了解企業(yè)的風險治理狀況,從而有助于董事會和經(jīng)理層提高風險治理水平,實現(xiàn)對企業(yè)風險的有效控制。
(四)外部審計師是企業(yè)風險治理的咨詢者
現(xiàn)代風險導向?qū)徲嬍且员粚徲媶挝坏膽?zhàn)略風險為導向,審計師需要了解被審計單位及其環(huán)境,重點關(guān)注被審計單位的目標、戰(zhàn)略以及相應的經(jīng)營風險,根據(jù)風險評估的結(jié)果來實施進一步的審計程序。注冊會計師具有較強的職業(yè)判斷能力,能夠?qū)Ρ粚徲媶挝坏娘L險治理狀況作出合理的評估。因此,被審計單位的董事會和經(jīng)理層有必要與外部審計師進行溝通,征求外部審計師的風險治理意見。同時,外部審計師要與內(nèi)部審計師加強交流與溝通,尤其要針對內(nèi)部審計師咨詢企業(yè)在內(nèi)部控制和風險管理方面所存在的問題,利用內(nèi)部審計資源,充分識別風險較高的領(lǐng)域,進而提高審計效率。
【主要參考文獻】
[1] 財政部會計司赴美國考察團. 美國會計國際趨同、注冊會計師監(jiān)管和內(nèi)部控制考察報告[J]. 會計研究,2007(8):3-8.
[2] 曹偉,桂友泉. 內(nèi)部審計與內(nèi)部控制[J]. 審計研究,2002(1):27-30.
[3] 丁友剛,胡興國. 內(nèi)部控制、風險控制與風險管理——基于組織目標的概念解說與思想演進[J].會計研究,2007(12):51-54.
[4] 方紅星. 內(nèi)部控制、審計與組織效率[J].會計研究,2002(7):41-44.
[5] COSO.企業(yè)風險管理——整合框架[M].方紅星,王宏等譯. 大連:東北財經(jīng)大學出版社,2005.
[6] 賀密柱.內(nèi)部控制理論演進的中外比較及其思考[J].財會通訊(學術(shù)版),2008(2):101-103.
[7] 李鳳鳴,韓曉梅. 內(nèi)部控制理論的歷史演進與未來展望[J]. 審計與經(jīng)濟研究,2001(7):61-63.
[8] 李鳳鳴. 審計學原理(第三版)[M].上海:復旦大學出版社,2006.
[9] 孟焰,潘秀麗. 企業(yè)風險管理審計研究[J]. 審計研究,2006(3):61-63.
[10] 施先旺. 內(nèi)部控制理論的變遷及其啟示[J]. 審計研究,2008(6):79-83.
[11] 審計理論研究課題組. 審計基本理論比較:前后一貫的理論結(jié)構(gòu)[M].上海:立信會計出版社,2009.
[12] 王斌. 股東期望、全面風險管理與審計價值[J].會計研究,2009(5):87-93.
[13] 吳水澎,陳漢文,邵賢弟. 內(nèi)部控制理論的發(fā)展與啟示[J].會計研究,2000(4):2-8.
[14] 謝志華. 內(nèi)部控制、公司治理與風險管理:關(guān)系與整合[J]. 會計研究,2007(10):37-45.
[15] 張宜霞. 企業(yè)內(nèi)部控制的范圍、性質(zhì)與概念體系——基于系統(tǒng)和整體效率視角的研究[J]. 會計研究,2007(7):36-43.
[16] 國際內(nèi)部審計師協(xié)會.內(nèi)部審計實務標準——專業(yè)實務框架 [M].中國內(nèi)部審計協(xié)會編譯.北京:中國時代經(jīng)濟出版社,2005.
