1、 隨著經(jīng)濟形勢的發(fā)展和內(nèi)部審計發(fā)展的需要，我國內(nèi)部審計也開始重視內(nèi)部審計的風險管理。2005年，中國內(nèi)部審計協(xié)會發(fā)布了《內(nèi)部審計具體準則第16號——風險管理審計》（以下簡稱《風險管理審計準則》），要求自2005年5月1日起實施。具體準則的出臺，為內(nèi)部審計師對我國組織內(nèi)部風險管理狀況進行審查和評價提供了規(guī)范性指導?！讹L險管理審計準則》第二條對風險管理的定義是：識別和評價影響組織目標實現(xiàn)的各種不確定事件，并采取對策將其影響控制在可接受范圍內(nèi)的過程。風險管理的目的是為組織目標的實現(xiàn)提供合理的保障。第六條描述了風險管理的主要階段：風險識別、風險評估和風險應對；本準則第四條特別強調(diào)了風險管理是組織內(nèi)部控制的基本組成部分，而內(nèi)部審計師對風險管理的審查和評價是內(nèi)部控制審計的基本內(nèi)容之一。

可以看出，《指引》所指的“風險管理”是狹義的風險管理，即風險管理活動的具體實施過程：風險識別、評估和應對。廣義的風險管理不僅包括具體的實施過程，還包括其他支撐要素：內(nèi)部環(huán)境、控制活動和監(jiān)督。按照目前制定標準執(zhí)行的狹隘前提，風險管理審計會忽略這些輔助要素，從而無法發(fā)現(xiàn)組織風險管理活動中存在的潛在問題。中石油的案例就是一個很好的例子。

中航石油（新加坡）有限公司（以下簡稱中石油新加坡分公司）聘請國際知名**會計師事務所為其編制風險管理手冊，設立專門的風險管理委員會和軟件監(jiān)控系統(tǒng)，并在交易員之間實行層層上報和交叉控制，風控委員會、審計部、總裁和董事會，按照《風險管理手冊》中的交易記錄，任何導致?lián)p失超過50萬美元的交易將自動結(jié)案。中石油新加坡分公司共有10名交易員，最大損失限額應為500萬美元（10×500000=500萬）。然而，中石油新加坡公司的衍生品交易最終損失高達5.5億美元，甚至申請破產(chǎn)保護。中石油事件的核心問題不是市場不可預測，而是公司似乎已經(jīng)實施了風險管理流程：風險識別、風險評估和風險應對。但由于缺乏對風險管理體系中其他輔助要素的合理重視，最終導致企業(yè)整體風險管理的失敗。這一案例也再次表明，風險管理不僅包括風險的識別、評估和應對，還包括內(nèi)部環(huán)境、控制活動、信息溝通和監(jiān)控，風險管理體系的有效運行有賴于各要素的配合，而對風險管理的理解不應停留在狹義上；風險管理審計準則應引導內(nèi)部審計師理解廣義風險管理的含義，考慮風險管理的要素和運作模式，并及時有效地找出企業(yè)風險管理實踐中存在的不足。第二，重新認識內(nèi)部控制與風險管理的關系。對風險管理審計的理解取決于企業(yè)風險管理框架或風險模型（用來反映風險管理過程和內(nèi)容的程序圖）。到目前為止，風險管理模式主要有：1995年澳大利亞新西蘭聯(lián)合委員會的as/nze4360；1998年加拿大標準委員會的模式；1997年COSO內(nèi)部控制一體化框架“目標風險控制”模式；2004年COSO委員會的企業(yè)風險管理一體化框架（ERM框架）模式。風險管理審計準則存在問題的根源在于準則中的“風險管理”概念采納了1997年COSO委員會內(nèi)部控制整合框架的觀點。然而，理論界和實務界仍然認為內(nèi)部控制框架存在一些局限性，如對風險的重視不夠，使得內(nèi)部控制無法與企業(yè)風險管理相結(jié)合。2004年COSO委員會的ERM框架以1997年的內(nèi)部控制整合框架為基礎，結(jié)合Sarbanes-Oxley法案的相關要求。與內(nèi)部控制框架相比，企業(yè)風險管理框架在許多方面得到了發(fā)展和深化，具體表現(xiàn)在以下幾個方面：

1。企業(yè)風險管理包括內(nèi)部控制。對原有要素增加新的要素或賦予新的含義，細化內(nèi)部控制框架下的風險管理要素。根據(jù)風險管理的過程，分為四個要素：目標設定、事件識別、風險評估和風險應對。同時在環(huán)境要素中增加了“風險管理理念”和“風險偏好”。通過對二者構(gòu)成要素的比較，我們可以發(fā)現(xiàn)風險管理框架的四個要素，即目標設定、事件識別、風險評估和風險應對，實際上是風險管理的過程，也可以理解為狹義的風險管理。這樣，內(nèi)部控制框架和風險管理框架的要素就完全一致了。然而，根據(jù)系統(tǒng)論，系統(tǒng)的性質(zhì)不僅取決于系統(tǒng)的要素，還取決于系統(tǒng)要素的安排。在內(nèi)部控制三大目標的基礎上，增加了戰(zhàn)略目標，擴大了報告目標的范圍。財務報告的可靠性發(fā)展為報告的可靠性。

2。企業(yè)風險管理越來越重視風險管理。企業(yè)風險管理框架強調(diào)在“組合”的基礎上考慮風險，強調(diào)風險集合與風險的相互作用，強調(diào)企業(yè)應采取的風險控制措施。在強調(diào)風險管理的環(huán)境下，企業(yè)風險管理框架明顯不同于內(nèi)部控制框架。簡而言之，企業(yè)風險管理框架擴展和闡述了與企業(yè)風險管理相關的內(nèi)部控制要素。從企業(yè)風險管理的要求和實施的角度來看，內(nèi)部控制是企業(yè)風險管理的主要組成部分，但不能等同于企業(yè)風險管理的范圍。企業(yè)風險管理的理論和實踐比內(nèi)部控制更為廣泛，更符合企業(yè)戰(zhàn)略風險管理的要求。因此，不能說風險管理審計是內(nèi)部控制審計的一部分?；谝陨戏治?，要實現(xiàn)真正意義上的風險管理審計，對風險管理審計準則中風險管理概念的理解必須建立在廣義的基礎上，即采用COSO委員會（2004）的ERM框架中的廣義風險管理概念。鑒于內(nèi)部控制與風險管理密不可分的關系，可以在現(xiàn)行標準體系下協(xié)調(diào)內(nèi)部控制審計準則與風險管理審計準則的關系，使風險管理審計準則得到更有效的實施。以上是關于這方面的法律知識，希望能對您有所幫助。如果你不幸遇到一些棘手的法律問題，你有委托律師的想法，我們有很多律師可以為你提供服務，我們也支持在指定區(qū)域網(wǎng)上選擇律師，他們都有相關律師的詳細信息。你知道嗎