文 李三喜
基于中國企業實踐的風險評估審計要點及方法
(一)公司目標
1.戰略目標確定審計
(1)審計要點：
董事會是否下設戰略規劃委員會，是否明確其主要職能;戰略規劃委員會是否對公司整體發展戰略目標進行規劃;是否根據經營環境變化對戰略目標及時予以調整;公司整體發展戰略目標是否經過可行性研究和論證;公司整體戰略發展目標是否報經董事會批準。
(2)審計方法：
使用調查問卷了解審計要點各項主要內容;查閱公司章程及戰略委員會議事規則，證實公司已建立戰略規劃委員會，明確了其人員組成;詢問戰略委員會相關人員，了解其主要職責;查閱戰略委員會制訂的各階段戰略目標及制訂戰略目標的相關文件記錄，證實其已制訂了戰略目標并定期進行了調整，同時已報經董事會批準;查閱制訂戰略目標相關文件記錄，詢問戰略委員會相關人員，證實其對戰略目標已進行了充分的可行性論證。
2.經營管理目標確定審計
(1)審計要點：
在制訂當年經營管理目標時，是否建立了科學的目標決策機制;在制定各項業務發展目標、預算考核目標時，是否充分考慮了現有資源對目標實現可能的制約;經營管理目標是否經過了管理層的審核與批準;是否每半年度對上半年目標的執行情況進行評估，對執行情況與預期偏離較大的目標是否及時進行修正。
(2)審計方法：
使用調查問卷，了解審計要點各項內容;查閱經營管理目標制定的相關文件記錄，證實是否建立了科學的目標決策機制來制訂經營管理目標;詢問管理層相關人員，確認經營管理目標已經過公司管理層審核及批準;查閱各級公司制訂的各項經營管理目標相關文件記錄，了解其所制訂的各項經營管理目標是否與公司戰略目標和上級公司經營管理目標保持一致;詢問管理層及相關人員，查閱相關記錄，了解是否每半年度對上半年目標的執行情況進行評估，對與預期偏離較大的目標及時進行修正。
(二)風險識別
1.風險識別范圍審計
(1)審計要點：
是否確定了管理層和各職能部門相應的風險識別責任;在確定風險范圍時，是否全面考慮在公司內部存在風險的各個重點區域，如財務報表信息、資產保全、信息系統、日常業務活動等。
(2)審計方法：
使用調查問卷了解審計要點各項內容;查閱已發生的風險損失事件有關文件記錄，分析評價 現有控制措施對風險識別范圍的有效性;詢問相關人員，了解管理層和各職能部門相關人員是否掌握其相應的風險識別責任;詢問相關人員，了解其在確定風險范圍時全面考慮了風險的各個重點區域。
2.風險識別方法審計
(1)審計要點：
是否建立了科學的風險識別方法體系;是否將風險識別方法及時傳遞至各級公司和部門;是否利用歷史事件、關注未來事件定期對風險進行趨勢分析和關注;是否建立了損失事件數據庫，通過事件列表、事件分類、內部分析、推動討論和會談、流程分析等方法確定風險因素發展趨勢和根源;是否定期評估風險識別方法的科學性和系統性，對不適用的方法及時進行修正和完善。
(2)審計方法：
使用調查問卷了解審計要點各項內容;詢問相關風險信息管理人員是否了解并使用了風險識別方法，證實風險識別方法得到了有效傳遞;查閱已發生風險損失事件的文件記錄，分析并評價風險識別方法的有效性和科學性;詢問相關風險信息管理人員，查閱風險識別方法的相關文件記錄，證實對風險識別方法進行了定期分析和反饋;詢問相關風險信息管理人員，查閱風險識別方法的相關文件記錄，證實對不適用的方法進行了及時修正和完善。
(三)風險評估
風險評估審計
(1)審計要點：
是否建立了科學合理的風險評估方法體系;是否建立了科學合理的風險評估模型。
(2)審計方法：
使用調查問卷對審計要點主要內容進行了解;詢問各級公司和相關部門的風險信息管理人員，了解其是否掌握科學合理的風險評估方法體系和評估模型;查閱各級公司和相關部門的風險評估文檔記錄，證實其運用了風險評估方法體系和模型對本部門風險進行了分析與評估;詢問部分員工，證實其是否了解本部門風險情況，對所了解風險是否進行了及時處理;查閱相關部門的風險評估與分析文檔記錄，證實遇到重大的外部環境變化時已及時向上級公司報送了風險信息。
(四)風險應對
風險應對審計
(1)審計要點：
是否確定了合理的風險應對措施程序和方法;是否對風險應對措施的成本與效益進行了充分評估;是否在選定風險處理措施后，重新校定剩余風險;是否確定了各級公司和各職能部門的風險處理權限，要求其對超出權限的風險處理應及時上報。
(2)審計方法：
使用調查問卷對風險應對措施的程序和方法建立情況進行調查;查閱已執行風險應對措施的相關文件記錄，證實其是否按成本效益原則決策風險應對措施;查閱風險應對措施的相關文件，了解是否建立了廣泛適應的風險決策判斷標準;查閱風險應對措施的相關文件，了解在選定風險處理措施后，是否根據剩余風險進行了重新校定;詢問各風險應對措施決策部門相關人員，了解其是否該按標準進行風險決策判斷;詢問相關風險管理人員，查閱各級公司和各職能部門的風險處理記錄，證實有無超出其權限的風險處理，是否已將超出其權限的風險處理及時報送上級公司。
(完)
