IIA(国际内部审计师协会)在《内部审计在全面企业风险管理中的作用》意见书中将内部审计在ERM中能够开展的活动划分为三类，第一类是核心性保证活动，包括：就
企业风险管理过程提供保证；就风险被准确评估提供保证；评价
企业风险管理过程；评价关键风险的报告；审阅关键风险的管理。第二类是合理性咨询活动，包括：促进风险识别与评价；指导管理层作出风险反应；协调
企业风险管理相关活动；加强风险报告；保持和开发ERM框架；促进ERM的建立；经董事会批准制定ERM战略。ERM的精髓之一在于全员参与，如何清晰地界定各参与方的职责决定着ERM的实施成效。内部审计作为组织治理结构四大支柱之一，在ERM建立和实施中发挥着重要作用。第三类是不适当的活动，包括：设立风险偏好；对
企业风险管理过程施加影响；提供管理层风险保证；对风险反应作出决策；以管理层立场做出风险反应；对
企业风险管理承担责任。
上述分类对于指导内部审计合理定位、提供适当形式的服务、保持独立性具有一定的意义，却无助于指导内部审计实现与
企业风险管理过程的有机结合，容易导致内部审计与ERM脱节，或者重视ERM单一环节而忽视整体。为此，应设计一种能够将内部审计与ERM实现对接的方式，使内部审计能够在ERM循环中实现跟踪式全程审计，实现内部审计对于ERM的全程监督，为持续审计奠定基础，该种模式称为“ERM基础审计”。
ERM基础审计模式以COSO委员会在企业风险管理框架中设计的内部环境、目标设定、事件识别、风险评估、风险反应、控制活动、信息与沟通以及监控八要素为基础，考虑内部审计在ERM中能够开展的活动，将两者进行有机结合，形成了如图1所示的ERM基础审计模式。
外围各项要素中，以建立和沟通组织目标为起点，依次经历决定组织的风险偏好、建立适当的
企业风险管理框架、识别阻碍目标实现的风险或事件、评价风险发生的影响和可能性、选择和实施适当的风险反应、实施控制和其他反应活动、进行风险信息一致性沟通、监督和调整
企业风险管理(风控网)过程和结果八个环节，形成了ERM的一个运行系统。在此基础上，由管理层提供对ERM过程的首要保证，进而由内部审计实施对ERM的独立客观保证和咨询，最终各方履行对董事会服务的职责，董事会对ERM承担最终责任，形成了ERM的一个保障系统。该模式将ERM与内部审计融合在一个完整的循环中，两者实现了无缝对接；明确了内部审计和管理层在ERM中的职责地位；同时，也便于内部审计通过深入各个业务环节开展对ERM的全程审计。
1.评估风险。
评估风险是指采用定性与定量相结合的方式，估计风险影响的大小和发生的可能性，在二者结合的基础上，对风险进行排队，进而实施不同关注。实施风险评估是管理层的责任。内部审计应就风险是否被准确评估提供保证。具体可以采取两种方式：(1)对管理层的风险评估结果进行再检验，即掌握风险评价的系统方法，对风险成因、影响后果、发生频率等作出综合分析，根据“风险值=风险概率×风险影响”的计算结果，对风险级次进行排序，对不恰当的风险评估予以更正；(2)对管理层的风险评估能力进行审查，如审查管理层的风格(激进与稳健的管理者对于相同风险的赋值往往存在较大差别)、采用的风险评估方法、对相关信息的掌握程度、对成本效益的考量、对相关部门或人员意见考虑的幅度，等等。
2.建立企业风险管理框架。
在不同组织之间甚至在同一个组织不同部门之间，由于文化氛围、管理理念、工作目标、组织规模、业务复杂性以及与业务目标和风险容忍度相关的固有风险水平不同，ERM框架可能会存在很大差别。例如，信息技术部门因为其工作的性质需要有完整的风险识别、评价框架，而人力资源部门可能仅需要一个明确的政策和程序性审阅。从事常规交易的部门一般具有相对成熟的ERM框架，该框架中有明确界定的风险指示，与日常的业务运行过程相结合；而战略管理部门却不具有这样正式的框架，需要进一步加以开发。某些组织拥有了较成熟的ERM框架，而其他一些组织却仅处于ERM的计划阶段、萌芽阶段甚至无知阶段。
董事会和高级管理层负责建立和管理ERM框架。审计人员不能参与设计ERM框架，但是需要依赖他们的判断，结合组织的实际对ERM框架的适当性做出结论，发现框架结构和功能中的缺陷。具体的审查内容包括：审查ERM框架的组成要素；审查在组织政策、治理框架、实务操作中所体现出来的风险观点和价值；审查
企业风险管理政策和指南的实用性、灵活性和自我引导性；审查员工对
企业风险管理含义的理解和对风险管理技术的掌握情况；审查管理层对风险管理的支持、对公司文化的培育情况；审查
企业风险管理实务按框架期望持续运行情况；审查框架动态调整、监督和自我评价管理情况。
最近更新