企业风险评估报告大全11篇

绪论：写作既是个人情感的抒发，也是对学术真理的探索，欢迎阅读由发表云整理的11篇企业风险评估报告范文，希望它们能为您的写作提供参考和启发。

篇（1）

为配合《通知》要求，中国安全生产科学研究院（以下简称“中国安科院”）在广州、哈尔滨、天津等地开展了城市风险评估工作，查找城市风险源、加强风险源头治理，协助政府监管部门有的放矢地进行安全生产监管工作。

风险总体情况

2015年11月―2016年10月，经过近一年的调研，天津市滨海新区率先完成了城市风险评估工作，最终形成了《滨海新区城市安全风险评估报告》（以下简称《评估报告》）、《滨海新区城市安全风险电子地图》《滨海新区安全发展示范城市创建规划》《滨海新区创建安全发展示范城市实施方案》等成果。针对评估提出的问题和建议，滨海新区进行梳理，研究制定了《滨海新区城市安全风险评估报告涉及问题整治方案》，提出了19项问题、38条建议措施，并已针对部分项目开展了整治工作，预计将于2017年底完成全部整治。

自天津港“8・12”特别重大火灾爆炸事故（以下简称“‘8・12’事故”）发生后，滨海新区痛定思痛，及时启动风险评估。2015年11月，滨海新区政府与中国安科院签订了合作协议，共同成立了“滨海新区城市安全风险评估和城市安全规划工作领导小组”，有效推进城市安全风险评估的各项工作。

中国安科院组织7个调研组先后开展了9批次现场调研和3批次函件调研，涉及滨海新区辖区内的21个部门、18个街道（乡镇）、7个功能区、6个重点区域、天津港及大型中央企业。

通过收集滨海新区2010―2015年的事故统计资料，对其安全生产整体情况、不同行业领域、不同区域的安全生产情况进行了分析。

2010―2015年，滨海新区共发生各类生产安全事故768起，死亡1 061人，其中包括1起特别重大事故，即“8・12”事故。自2010年以来，各类事故起数总体呈下降趋势，2015年较2010年下降11.41%，死亡人数上升72.97%。

从事故行业类型来看，2010年以来，交通运输业死亡203人、占比59.01%，制造业死亡58人、占比16.86%，建筑业死亡55人、占比15.99%。即使不考虑“8・12”事故，上述三个行业依然是滨海新区生产安全事故多发的关键。

根据生产安全事故统计分析结果，调研组开始了现场调研评估工作。调研组将滨海新区城市安全风险划分为危险化学品工业风险单元、危险品运输风险单元、城市人员密集场所单元、城市其他风险单元进行评价，并将风险分级为一级特别高风险源、二级高风险源。

一级特别高风险源为个人风险或社会风险超出个人或社会容许标准的风险源，二级高风险源为一级以外构成危险化学品重大危险源的风险源。最终确认滨海新区存在一级特别高风险源企业30家，二级高风险源1 382家。

风险评估方法

以危险化学品工业风险单元评估工作为例。危险化学品工业风险源主要指危险化学品企业和涉及危险化学品的工业企业，主要包括危险化学品生产企业、危险化学品储存企业、涉氯企业、烟花爆竹仓库、加油站等目标。

通过查看资料及现场调研，发现滨海新区共有上述目标企业511家，在开发区、中塘镇、大港街、天津港地区的上述企业数量最多，共占全区企业数量的40.7%。风险评估辨识一级特别高风险企业17家，二级高风险企业120家，分别占全区的56.7%、8.68%。

调研发现，在危险化学品工业风险单元内，滨海新区的涉氨企业存在一级特别高风险源最多，为12家，占全部涉氨企业的17.4%，且其中8家位于寨上街。其他一级特别高风险源分别为危化品生产企业1家，位于大沽街；危化品经营企业1家，位于茶淀街；涉氯企业1家，位于塘沽街；烟花爆竹仓库2家，位于茶淀街和中塘镇。

从危化工业风险源潜在生命损失来看，塘沽街最高，占全区的19.73%，主要来源于天津塘沽中法供水有限公司新村水厂，由于其附近有河华里、长春里、福建里、碧海鸿庭等住宅区，一旦发生事故，最严重的可能导致7 000人死亡。

对以滨海新区辖区内企业为端点的危险货物运输规模进行统计，结果显示，滨海新区道路危险货物运输量约为3 148.39万 t（过路的有2 000多万 t）。按类别分，易燃液体、易燃气体和易燃固体道路运输量最大，占总道路危险货物运输量的84.16%；按区域分，天津港、临港经济区、海滨街等区域危险货物道路运输量最大，占总道路危险货物运输量的68.60%。

危险货物跨省际、跨区域的长距离运输主要选择高速公路，且原则上应该避免穿过人员密集场所。在滨海新区范围内，共有南北走向的海滨高速和长深高速及东西走向的京津高速、京津塘高速、京滨高速。

其中，海滨高速沿途经过南港危货运输集中区、临港危货运输集中区、天津港区、天津港南疆港^四大危货运输集中区，沿途还有很多零星企业分布。海滨高速在危货运输的过程中发挥了重要作用，承载的危货运输量十分巨大。

但海滨高速在南疆港区北侧越过海河后，途经住宅小区、体育场馆、商贸中心等人员密集场所，在临港经济区南侧路西途经天津塘沽机场（农用），且距离海滨大道的最小距离小于40 m，在到达这些目标前没有其他通路可以对这些集中区的危险货物进行分流，运输风险较大。当运输自来水厂用液氯钢瓶达到10 t时，其最大中毒半径可达到152 m。

结合火灾高危单位、火灾消防重点单位情况，在人员密集场所共辨识梳理出一级特别高风险13处，二级高风险1 262处。其中海滨街、大港街、开发区和塘沽街4个区域火灾潜在生命损失在全区处于较高水平，均超过1人/年。滨海街和大港街具有最高的个人事故死亡风险值和较多的人口数量；开发区虽然其个人风险值较低，但人口数量最多；塘沽街则是二者都处于较高水平。

问题与对策

城市风险评估结果表明，天津市滨海新区作为环渤海经济带和京津冀城市群的交汇点，人口规模和经济总量较大，生产经营单位众多，城市运行压力巨大，安全基础比较薄弱，正处于生产安全事故易发多发的高峰期，面临安全生产整体形势复杂、安全生产监管体制机制不到位、风险源管控仍需加强等3大类19项问题。

从调研过程中可以看出，当地中央企业、大型地方企业以及天津港集团在发展过程中存在大量企业办社会现象，由企业代行部分街道、政府的职能；目前行政管理职能正逐步向街镇移交，但由于政府人力、财力和监管水平的局限，移交过程缓慢，出现大量监管空白。

滨海新区部分区域还没有按照化工园区的模式管理，“化工围城”和“城围化工”的问题仍在不断发生并逐渐凸显。

大型易燃液体储罐、危险货物码头堆场、危险化学品管道、液氨液氯储罐等危险化学品生产、储存设施数量大且相对集中，发生重大事故的风险较高，企业分布范围广，缺乏针对危险化学品事故的专业应急装备储备库。

滨海新区危险货物道路运输量大，其安全管理涉及的环节多、部门多，各企业各单位的责任职责交叉，还不能实现危险货物运输信息采集的统一标准和集中平台。部门间信息不能互联互通，在实际监管中遇到信息掌握不全，监督执法手段缺乏，缺少危险化学品卸载基地和专业的滞留危险化学品运输车辆停车场，难以采取合理措施实施有效安全监管等。

针对上述问题，《评估报告》中提出了38条建议。

如：建议研究制定并落实天津港政企分离方案，落实天津港安全监管职责，加强天津港、海关、公安、市场监管等部门信息共享和部门联动配合，严格落实天津港区域内企业的安全监督管理，杜绝超范围、超量等违法违规经营，并严格港口危险货物堆场的安全准入条件。

针对滨海新区涉氨冷冻企业多的特点，建议推动全区涉氯企业开展安全设施强化和工艺升级改造工作，组织专家专题研究论证，为液氨装置加装紧急切断装置等安全设施、设备的可行性，减少液氨、液氯等有毒气体的使用，降低安全风险。

篇（2）

2煤炭企业财务风险管理存在的问题

煤炭企业财务风险管理中主要的问题有：第一，财务风险意识淡薄或者不正确。在实际发展建设过程中，企业的财务风险是客观存在的，任何企业的发展建设不可能不存在财务风险。但是，部分企业对财务风险的认识不正确，他们片面地以为可以彻底清除企业中的财务风险；部分企业对财务风险管理和控制工作的重要性认识不足，不仅缺乏财务管理意识，不正确的财务管理方式也在一定程度上阻碍了企业财务管理水平的提升；第二，财务管理投资不科学，企业存在较大的风险；第三，企业财务管理过程中资本结构不合理，负债资金比例较高；第四，企业财务管理系统很难满足不同环境喜爱财务管理工作的实际需求。

3控制财务风险，全面提高煤炭企业管理控制水平的措施

控制财务风险，全面提高煤炭企业管控水平要求企业从货币资金运营风险的控制、担保风险的控制、债权债务充足风险的控制以及资产处置的风险控制等方面出发，不断强化煤炭企业风险管控水平。

3.1货币资金运营的风险管控措施

货币资金运用风险控制要求企业从以下两方面着手：第一，强化结构性存款风险控制。企业要结合实际发展状况，在明确结构性存款的意向之后，应该在第一时间内将结构性存款的相关事项与有关部门汇报；煤炭企业还应该对结构性存款风险进行深入研究，对可能出现的风险进行分析和评价，力求形成精准度较高的评估报告；第二，煤炭企业还应该注重委托贷款及其他短期投资风险业务风险控制。首先，煤炭企业相关部门应该确定运营资金的实际使用方向，将货币资金可能使用的项目上报；相关部门应该集合煤炭企业发展的实际状况，制定可行性较高的调研报告；煤炭企业应该对承担事项进行分析和研讨，对可能存在的风险进行分析，并采取有效预防措施。

3.2担保风险的管控措施

担保风险的管控是提高煤炭企业风险管控水平的重要手段。第一，煤炭企业应该及时申请担保的项目，并制定担保项目的限制条件；担保项目负责人必须满足借款和贷款的要求，无论是借款还是贷款都应该符合国家法律规范要求；第二，煤炭企业还应该结合自身的经济实力和发展基础，预测可能出现风险的项目，并采取有效应对措施；第三，煤炭企业应该对担保单位的经营、担保业务和贷款状况进行审核；第四，煤炭企业的法律部门和相关岗位负责任人应该对担保项目的合同、对应的主合同等进行审核，为全面提高煤炭企业财务风险管控水平打下坚实的基础。

3.3债权债务重组风险管控措施

首先，煤炭企业应该向财务风险控制部门提交债权债务重组事项；其次，财务风险管控部门应该对煤炭企业的财务风险进行准确地评估，制定评估报告，并以此作为后期决策的依据；最后，债权债务重组风险管控还要求煤炭企业准确记录所有的借款条款明细，并对该数据进行相关处理，进而提高企业的财务风险管控水平。

3.4资产处置风险的管控措施

首先，煤炭企业应该向保管部门提出风险管控申请，表明申请的原因和后期处理意见，并上交审核文件；其次，煤炭企业资产管理部门应该高度重视财务风险文件的审查工作，相关部门不仅要深入现场了解实际状况，还应该将上报的项目进行审批；再次，煤炭企业财务风险管控部门还应该对项目进行风险评估，编制风险评估报告，作为后期的决策依据；最后，煤炭企业财务风险管控部门还应该履行相关的责任追究制度，进一步完善资产处置风险管控制度。

篇（3）

企业经营环境的不断变化,在成长发展和经营管理过程中的种种不适应都可能导致企业风险的发生。因此。企业必须根据自身特点、不同时期风险的不同状态,抓住重要环节和主要风险。围绕总体经营目标推行企业风险管理。同时,企业面临的风险不断增多,组织机构的重整愈加频繁。对内部审计在参与风险管理、完善治理结构以及加强内部控制等方面的需求也日益高涨。内部审计部门顺应时势,在越来越多的领域发挥着积极的审查、评价和促进作用,工作目标从过去的查错纠弊变为主动地帮助企业增加价值。此时,风险导向内部审计概念的提出满足了现代企业对内部审计在风险管理、内部控制和公司治理方面的更高要求。而在风险管理实践中,一个机构健全的企业除设置内部审计部门外,往往还专门组建了一个由风险管理专业人员构成的部门,即风险管理职能部门。由于内部审计部门和风险管理职能部门都要关注企业所面临的风险,却又在企业推行风险管理实践中扮演不同的角色,故两部门在开展各自业务时工作职责虽有不同,但必然会有一定的交叉和联系。文章首先对风险导向内部审计在企业风险管理中的作用进行剖析,在此基础上,就内部审计部门在开展风险导向审计业务时如何与风险管理职能部门进行协调与联系进行探讨。

一、风险导向内部审计和企业风险管理的概念

风险导向审计是把风险为导向的思想运用到内部审计领域,即内部审计人员在审计全过程中自始至终地关注风险,根据风险大小选择项目,以降低风险为导向,开展内部控制制度的符合性测试、实质性测试,并进行监督检查和评价,最终提出建设性意见和建议的审计方法。

而在企业风险管理方面,根据2004年9月颁布的ERM框架,“企业风险管理是一个过程,它由一个主体的董事会、管理当局和其他人员实施,应用于战略制定并贯穿于企业之中,旨在识别可能会影响主体的潜在事项,管理风险以使其在该主体的风险容量之内,并为主体目标的实现提供合理保证。”

二、实务中风险导向内部审计与企业风险管理的联系

风险导向内部审计既是基于降低内部审计人员的审计风险,同时又是为了降低企业经营风险、进行风险管理的一种有效工具。而企业开展风险管理目的也是全面识别企业风险并及时采取有效控制手段。两者有着十分紧密的联系,下面首先理清风险导向内部审计在企业风险管理中的作用。

(一)帮助企业直接有效地防范与规避风险

风险导向内部审计立足于对审计风险进行系统的分析和评价,并以此作为出发点,制定审计策略和与企业状况相适应的多样化审计计划,将风险考虑贯穿于整个审计过程。在风险导向内部审计实施过程中,内部审计人员首先对企业的经营战略进行分析。确定战略风险和重大交易;之后通过定量和定性结合的方法,进而评价企业风险管理中风险衡量的准确性:最后通过专门程序,审查企业职能部门采取的措施是否已将风险控制在可接受的范围内。对于不同类型的风险,向决策层建议采取风险回避、风险转移、风险降低等不同的策略和措施,从而帮助企业直接有效规避和防范风险。

(二)促进企业不断完善风险管理制度

风险导向内部审计是一种系统、规范的方法,对企业的风险管理体系及其运作进行监督和评价。通过定量与定性相结合的方法,就改进管理控制风险向决策层提出具体可行的建议和措施,并对企业生产、经营、管理的体制和机制提出调整,将这些建议和措施系统化、规范化,最终形成企业新的规章制度,进而周而复始地循环,使企业风险管理制度不断完善。

(三)为企业强化和规范风险管理运行机制提供重要支持

风险导向内部审计是企业风险管理运行机制的重要一环。一方面,风险导向内部审计的特定内容和方法有助于全面地识别风险,强化和规范企业风险管理。另一方面,风险导向内部审计关注会计报告的重大错报风险,对企业所处的宏观经济社会环境和行业环境、企业战略目标进行深入地了解和综合评估,落实实质性测试的范围和重点,这些都为企业强化和规范风险管理运行机制提供了重要的支持。

企业风险管理职能部门的主要责任是对整个风险管理过程进行认定,并评价其充分性与有效性,向管理层报告并提出管理建议,以此来保证风险管理的有效性。反过来,内部审计也是内部控制或者整个风险管理过程中不可或缺的重要组成部分。它既是内部控制的一种特殊形式,也是实现内部控制目标的重要手段。现实中的一些企业,董事会往往下设审计委员会、风险管理委员会,企业内部审计部门对审计委员会负责,风险管理职能部门对风险管理委员会负责。企业其他职能部门及各业务单位在全面风险管理工作中,同时接受风险管理职能部门和内部审计部门的组织、协调、指导和监督。

企业的风险管理职能部门所开展的风险管理实践可简要概括为四个步骤:第一步是风险识别;第二步是风险评估;第三步是风险应对;第四步是风险监察。而内部审计部门在开展风险导向审计业务时,相应的也要经过风险识别、评估、应对和监察阶段。其联系如图1所示。下面就各个阶段分别论述两部门的内在联系。

1　风险识别与评估阶段

根据ERM框架要求,企业风险管理职能部门在风险管理工作中,首先要识别出所有可能发生并对企业目标实现产生不利影响的重要情况;之后对风险发生的可能性及相对重大程度进行评估。而内部审计部门在开展风险导向内部审计业务时,首先要实施风险评估程序,通过分析性程序初步确定企业的风险,建立风险评估框架,对重要性做出初步判断并编制出整个审计计划;之后根据量化的风险水平确定审计项目的优先顺序,合理分配内部审计资源,目的是将有限的资源集中于高风险的领域,找出风险存在的根本原因,以寻求最好的解决方案。因此,内部审计人员为减少工作冗余,避免工作重复,可以先对风险管理职能部门的风险识别与评估报告的有效性和充分性进行审查和评价,并结合自身工作特点,有选择地加以利用。

2　风险应对阶段

在经过对企业风险的识别和评估后,企业风险管理职能部门都要对风险与收益进行权衡。当风险超出了企业的风险偏好,企业不能接受且无法经济有效地加以抑制,则须放弃该项目或计划,

从而避免风险带来的负面影响。对于大部分风险,需要企业采取一定的行动,转移或分散风险,以达到企业可接受的水平。为此。企业风险管理职能部门需要对风险进行控制。即将不可接受的“固有风险转化为可接受的“剩余风险”。而在内部审计部门开展风险导向内部审计业务时,内部审计人员通常要根据风险评估结果,设计与评估的重大错报风险相关联的、进一步的审计程序,开展控制测试与实质性测试,评估控制活动的有效性,使风险得以管理。由此可见,两部门都要在识别与评估风险之后,对重大风险及时做出回应,只是关注点和工作任务有所不同。风险管理职能部门需要根据企业总体目标,衡量风险的成本与收益,运用风险管理方法针对已评估的关键性风险予以控制。而风险导向内部审计要求内部审计人员运用审计抽样等技术,更加关注内部控制的测试与各个交易循环的实质性测试。

3　风险监察阶段

企业的生存发展是处在一个不断变化的竞争环境中的,故其所面临的风险也会不断变化,随时可能会有新的风险出现,也可能预期的风险会消失。根据ERM框架,风险管理职能部门要对风险进行监察,并根据风险变化情况及时采取相应策略进行风险管理。而在开展风险导向审计业务时,出具最终审计报告之后,内部审计人员还要进行后续的风险监控。一是为检查风险管理的效果,通常要开展跟踪审计活动,对需要管理层或风险管理职能部门马上采取纠正措施的事项进行适当的监督,以保证实现业务目标。降低组织风险;二是要对审计业务开始时所进行的风险评估结果持续关注,根据企业不断变化的内、外部环境随时进行调整,以帮助日后制定审计计划,确定审计重点。可见,两部门在风险监察阶段,都要对企业所面临的风险进行不断地监督。在实务操作中,两部门可以针对各自的工作侧重点,相互配合,紧密合作。

三、实务中风险导向审计业务与企业风险管理的协调

通过分析实务中内部审计部门在开展风险导向内部审计业务时与企业风险管理职能部门的联系,可知,无论是风险导向内部审计业务,还是风险管理部门进行风险管理实践,其根本目标都是为降低企业风险,维护企业利益,为企业的总体战略目标而服务。因此,内部审计部门在开展风险导向审计业务时需注意与风险管理职能部门及时协调、相互配合,最终形成合力,共同为企业服务。

(一)加强部门间合作,有效减少工作冗余

风险导向内部审计之所以要将审计资源集中于高风险的审计领域,对高风险点进行详细的实质性测试,原因在于审计资源是有限的,必须要将其优先使用在高风险领域,这也是它的本质要求。而企业风险管理职能部门的主要职责就是识别企业所面临的各种风险,并运用不同的风险管理策略开展风险控制活动,故内部审计部门在开展风险导向审计业务时,应充分考虑与风险管理部门的合作,积极应用风险管理部门的工作成果和专业意见,注意与其协调。以提高审计业务工作效率、完善审计工作成果。例如,风险管理部门每年组织开展的风险识别和评估可以帮助管理层识别想要实现组织目标所应关注的领域,在开展风险导向审计时,可以对此类信息有选择地加以利用,从而确认高风险领域,进而确定审计重点。此外,风险导向内部审计和企业风险管理根本目标都是要将企业所面临的风险降到最低,维护企业合法利益,故在很多时候,对某些重大风险领域,部门间应加强合作、联合调查。内部审计部门根据风险管理部门提供的风险评估报告进行进一步地分析复核,通过采取控制测试和实质性测试等程序来最终确定风险大小以及所带来的损失;之后。风险管理部门再根据内部审计部门最终出具的审计报告针对风险因素采取相应的措施。这样可以更加有针对性地对风险进行控制,从而将其降低到企业可接受的水平。

(二)要注意结合本部门工作特点对所取得的资料进行分析复核

虽然已经说明内部审计部门在开展风险导向内部审计业务时可以积极应用风险管理职能部门的专业成果,如其每年的风险评估报告,但必须强调的是,内部审计部门在应用其工作成果时必须要对其进行分析复核。对资料有选择地使用。因为风险导向内部审计最本质的要求是内部审计人员对企业的高风险领域进行识别和分析,进而采取有效的控制,而企业的风险多种多样,且随时随刻变化,风险管理职能部门有时难免由于某些原因导致其未能准确地识别企业的某一高风险点。这时如果内部审计部门在开展风险导向审计业务时也没有对其关注,即企业的风险识别出现了“盲点”,则很可能对企业的发展产生极大的冲击。这样,内部审计部门所开展的风险导向审计业务也就没能充分发挥其审计监督的作用。因此,在开展风险导向审计业务时,提倡借鉴风险导向职能部门的工作成果,减少工作冗余,但内部审计人员一定要对其工作成果进行再审查、再评估。

(三)分清职责,到位不越位

首先需要认清风险管理是管理层一项主要职责,通常由企业的风险管理职能部门具体负责实施,而对组织的风险管理过程进行评估和报告才是内部审计部门的工作内容。在企业风险管理框架下,内部审计是对风险管理的再管理,即内部审计人员并不参与风险管理的建立和运行过程,而是在企业已有风险管理的基础上实施再监督,以促进风险管理过程的建立健全或使风险管理的有效性成为可能,但是。不应该“拥有”已确认的风险或负责对这些风险的管理。风险管理的建立和运行过程应由管理层下设置的风险管理部具体负责,而内部审计在这一框架中应作为“监控活动”的角色而存在。此外,IIA在2004年发表的《内部审计在企业风险管理中的角色》意见书中也认为内部审计关于企业风险管理的核心角色是就组织风险管理的有效性向董事会提供客观保证。以帮助确信关键企业风险被正确管理及内部控制系统有效运行。因此,内部审计在企业风险管理框架中首要角色是监督者。包括对风险管理流程的评估和保证服务,对风险评估准确性的保证服务,而不是风险管理的创建者或实施者。在开展风险导向内部审计中,内部审计人员一定要在协调、合作的同时分清职责,到位不越位。

(四)交流沟通,促进双方共同进步

内部审计部门所开展的审计业务几乎都是以风险为导向。将有限的审计资源集中到高风险领域,而企业的风险管理职能部门又对企业的风险因素进行专业化的识别、评估、控制和监察。因此,及时建立两个部门之间的交流、沟通机制,促进双方共同进步。可以更加有效地为企业总体战略目标服务。在具体实施过程中,两部门可以通过开展集中讨论会、建立风险信息库等方式进行相互交流。而且。两部门工作所需的知识结构也存在互补关系,可以互相学习。内部审计人员通过学习风险管理知识,可以更加专业地识别和评估企业风险因素,从而更有侧重地设计审计程序;而风险管理部门学习审计知识,也能够了解风险导向审计工作的重点。从而相互配合,减少重复工作,确保风险管理活动的经济性和有效性。

[参考文献]

[1]吴容,风险导向整合型内部审计模式探究[J],中国内部审计,2009(9)

[2]王学龙,郝斯佳,论风险导向型内部审计在企业风险管理中的作用[J],中国内部审计,2010(2)

篇（4）

中图分类号：TP311 文献标识码：A 文章编号：1672-3791（2012）12（c）-0110-02

长期以来，电力企业始终坚持“安全第一、预防为主、综合治理”的方针，着力提升安全生产管理水平，安全生产总体平稳。但是，在安全稽查过程中发现的屡禁不止的违章行为表明，在“电网、作业、班组”三方面仍然存在较多安全风险隐患，安全生产管理仍然存在不少薄弱环节，离标准化、精益化的要求还有不小的差距，安全发展的基础仍然不够扎实。具体体现在以下方面。

（1）生产计划主要通过生产MIS进行管理，存在工作量大、临时变动大，未能与安全风险管控有效结合，计划的刚性管理欠缺。

（2）未建立统一的评估标准，评估人的主观影响较大，到岗到位计划，只能根据工作量的大小来判断，依据较单一，同时也不能进行全面统计分析。

（3）近年来，随着经济发展势头迅猛，作业现场点多面广，检修技改任务繁重。然而，保证体系和监督体系的人员不可能对全部现场进行督导和检查，作业现场的危险点预控措施落实情况不能很好的得到监控。

（4）班组安全生产的基础较薄弱，用工机制较多，人员安全意识、技能水平参差不齐，作业违章难以根除。班组安全生产承载力的分析，仅停留于某个周期内是否存在违章、是否受到过处分和班组的安全活动开展情况上，不能充分发现班组安全生产管理和过程中存在的危险因素。

为解决上述问题，上虞市供电局建立了基于PMS的作业项目安全生产风险管控系统，该系统建立了完善的风险评估库，评估人只要通过选择评估要素进行评估，评估分和风险等级由系统自动生成。系统在对风险评估过程进行规范的同时，还通过对班组的安全承载能力分析实现了检修计划的闭环管理，相关的风险管控措施被严格地规范在业务流程中，极大地提高了检修计划管理的效率和水平，以管理创新推动了安全生产水平的提升。

1 系统功能

1.1 风险评估库

风险评估库包括电网风险评估库、变电检修风险评估库、线路检修风险评估库、操作风险评估库、班组风险评估库等。每个风险评估库包括评价因素、评估项目、评估要素三个层次，风险评估库的设置遵循最大风险法则。风险等级用星级表示，从一星到五星，以分值衡量，星级越高，风险越大。在系统中，可对各风险评估库的星级评定标准进行管理，同时也可设置各个星级的同进同出、到岗到位的管理要求，以便在生成风险评估报告时，根据评估的星级生成同进同出、到岗到位的要求。对评估项目，可设置相关信息供风险评估时参考，可显示的信息包括设备台帐信息、缺陷和隐患、检修相关信息等。对评估要素，可设置自动判断的条件，这些条件来源于设备台帐、缺陷、隐患和检修相关信息，在进行风险评估时，系统将对评估要素进行自动判断。电网风险评估库内容如（表1）所示。

1.2 作业项目风险评估

在进行作业项目风险评估之前，生产班组需要进行作业项目三维风险辨识。为提高生产班组作业风险辨识的针对性，系统在生产班组进行作业项目三维风险辨识前，提供以下辅助：（1）根据作业设备从设备环境风险库中搜索与该作业相关的风险事件。（2）根据作业班组从班组风险库中搜索相关班组及人员素质风险。（3）根据作业内容从风险辨识范本库中搜索相关的风险辨识范本。（4）班组可根据类别等关键字搜索风险事件、班组风险、风险辨识范本。

班组导出打印所有相关的作业风险，进行现场踏勘，对风险事件、班组风险、风险辨识范本中的内容进行确认并评估风险等级。对于风险事件，其风险等级直接来自作业安全库LEC评估的结果，对于班组及人员素质风险和根据风险辨识范本辨识的动态风险，生产班组需要进行PR评估。工区或班组基于作业项目风险评估标准进行评估，对每项评估项目进行打分或者选择评估选项，系统自动根据评分规则计算作业项目的评估分和风险等级。同时，系统为作业项目风险评估提供以下支持：（1）基于作业项目风险评估标准库中的评估判据，对评估项目的得分进行自动计算或自动选择评估选项，如自动查找与作业项目相关的风险事件并计算得分，并且在此基础上，评估人可对风险事件库进行搜索，选择相关的风险事件，系统根据计分规则计算得分。（2）显示关联信息供评估人参考，如设备台帐、检修计划、班组及人员等相关信息。（3）系统根据评估结果自动生成风险评估报告，生产控制措施卡，指导作业班组的现场作业，现场作业完成后必须将安全措施执行情况反馈到系统中，完成闭环。

风险评估界面如图1所示。

1.3 安全承载能力分析

系统基于作业班组及人员安全承载能力评估标准和评估流程，实现作业班组、班组人员安全承载能力评估的闭环管理，同时实现作业班组、人员安全承载能力可量化的指标，为作业项目风险评估、安全承载能力分析和生成控制措施卡提供辅助支持。

安全承载能力分析界面如图2所示：

1.4 查询统计

通过系统，各部门可方便地对风险事件、班组风险、风险评估标准、风险辨识范本、作业项目风险评估、风险预警进行查询。同时，系统基于多维在线分析技术，实现对风险事件、班组风险、作业项目风险的全面统计分析，统计分析结果以表格、图表等形式展现。

2 系统实现

2.1 系统架构

本系统基于J2EE技术架构，用户无需安装客户端即可使用系统的所有功能，在极大程度上降低了系统的维护和管理成本。

系统实现了组件化设计理念，采用浏览器+中间件+应用服务器+数据库服务器的多层结构，显示逻辑、业务处理逻辑和数据访问逻辑分开，拥有完备的安全控制结构和通用的数据访问结构，运行稳定，性能较高，易于维护并具有良好的可扩展性和安全性。

2.2 流程引擎

为保证系统流程稳定、高效的流转，本系统实现了符合WFMC标准的通用工作流平台，实现所有业务流程的定义、驱动、监控的集中管理：（1）流程引擎支持图形化实现复杂业务逻辑，提供图形化流程组织结构，支持各种角色、关系、相对关系等功能，具有良好的易用性和扩展性；（2）系统管理器提供各种异常管理功能，比如重新激活停滞流程，重新指派，提供各种协同功能，支持流程动态功能，比如客户端支持指派、重新提交流程等：（3）工作流平台提供多层次的流程监控功能，流程参与人员、管理员可以图形化的形式直观地监控流程的状态和进度。（4）管理员可方便对地流程异常进行监控、干预。（5）高度可扩展及集成能力，支持图形化配置即可集成各种应用系统，支持包括客户端定制、表单定制、集成第三方系统等接口，流程规则、表单、步骤条件等均可调用XML、Web services等。

3 系统应用情况

经过1年的研究和开发，作业项目安全风险管控系统在2012年10月开始在上虞市供电局上线运行，同时根据用户的需求，系统功能不断得到改善和加强。通过本系统的实施和应用，上虞市供电局建立了完善的风险评估库和风险事件库，提高了风险评估的科学性、客观性；系统结合PMS生产计划，实现生产任务和班组人员安全承载能力的匹配和优化；构建了完善的风险管控体系，实现与电力企业安全管理相关制度的充分结合，充分发挥风险评估结果对安全生产管理和现场作业的指导作用。

4 结语

综上所述，上虞市供电局作业项目安全风险管控系统是一个全面、综合的作业项目安全风险评估和风险管控信息化解决方案，不仅为电网风险评估、作业风险评估、班组安全承载能力分析提供全面的智能化、信息化支持，实现科学、实时、准确的安全风险评估，同时PMS生产计划与安全风险管控有效结合，不断夯实了安全生产基础，提升了安全生产管理水平，真正实现了安全生产的可控、能控、在控。

参考文献

[1] 国家电网公司.供电企业安全风险评估规范[M].北京：中国电力出版社，2008.

篇（5）

中图分类号：F239.45 文献标志码：A 文章编号：1673-291X（2014）02-0193-03

风险导向内部审计是企业进行风险管理的一种有效工具，其目标是在全面评估企业风险的基础上，通过对风险进行事前评估与控制，对风险处于何种状态做出准确判断，为控制风险提供依据。与传统的审计模式相比，现代风险导向内部审计更注重从宏观上把握审计风险，审计工作重心从实施阶段前移到计划阶段，关注的核心从内部控制转向风险，在审计的全过程自始至终都关注风险，依据风险选择项目，识别风险，测试管理者降低风险的方法，并以风险为中心出具审计报告，协助企业进行风险管理。审计方法从以审计测试为中心转移到以系统化的风险评估为中心，即计划阶段对风险进行评估，实施阶段对相关风险进行持续监控和报告，报告阶段提出风险管理建议。2007年新审计准则要求全面实施风险导向审计，故本文对我国企业如何实施风险导向内部审计提出几点建议，与大家探讨。

一、建立全流程风险管控机制

建立审计战略计划、审计项目计划和具体审计项目实施的全流程风险管控机制。

一是年度风险导向战略计划的制订。年度风险导向战略计划要与企业目标相契合，建立在对公司重要领域的认定、风险自我评估的基础上，以重大风险和重要风险为导向，明确审计重点，确定年度审计项目。在充分调研的基础上，组织相关部门进行风险自我评估，识别各自存在的风险，排列风险次序，出具风险自我评估结果，以此为依据，确定本年度审计关注点，编制年度审计计划。风险导向内部审计中，风险评估贯穿于年度审计计划、项目计划、执行审计、总结发现和报告的各个阶段，企业要根据风险评估结果和以前年度审计情况，合理分配审计资源，将审计资源重点放在高风险领域。

二是建立风险管控标准，有效识别风险。就是按统一的标准梳理各业务环节的流程，审计部门牵头，各业务单元的内控负责人统一对采购与应付、生产循环、销售与应收、存货与仓储、营销管理等业务循环的流程图和业务流程的风险点进行全面梳理，对应将风险点、控制措施嵌入到流程中，建立清晰的业务流程图、明确的岗位控制标准和风险防范控制措施。

三是业务流程测试和风险评估。风险评估通过实施不同的测试程序识别审计风险，包括企业整体层面控制评估、信息系统一般控制评估、流程层面控制评估、控制测试以及实质性测试等。建立业务循环各个节点的穿行测试标准，指导各单位业务人员开展业务流程的穿行测试，通过全流程的穿行测试验证各业务层面风险受控情况，运用自审、互审和复审相结合的方法，推进全员、全流程的风险自我审计。

四是出具风险评估报告及风险地图。审计部出具企业各业务单元的风险评估报告和完整的风险地图，建立企业审计风险资源库，为相关部门提供风险关注和控制优化的依据。

风险管控机制将风险管理流程与审计基本程序有机融合，更多地从全流程的角度对企业进行全面风险评估。企业要根据自身的具体情况设计风险管理流程、风险评估项目和评估标准，并根据风险环境的不断变化及时调险评价标准，以适应管理需要。而且，风险管控是一个持续、循环的管理过程，不能将风险管理审计作为一次性的专项审计项目，在风险管控执行过程中，要不断地关注风险，针对问题制定有效的控制措施。

二、以风险为导向，优化具体审计项目实施程序

以固定资产投资风险导向内部审计为例。固定资产投资项目投资额大、建设周期长，管理环节复杂，管理风险和审计风险都较高，采用风险导向固定资产投资审计，识别和评估重大管理风险和关键控制节点，全面审计，突出重点，可以有效提高审计效率，降低审计风险。其审计程序如下：

一是制订固定资产投资风险导向项目审计计划。风险导向项目审计计划是对具体审计项目实施全过程审计所作的综合安排，需要明确审计目的、审计范围、审计方法和审计程序、项目风险评估、关键风险点、项目组人员分工、时间安排以及其他事项等。固定资产投资审计目标要与企业固定资产投资目标相联系，审计范围包括选定经营单位、选定业务及流程、相关信息系统测试范围、测试时间范围等。

二是业务经营单位初步评估和关键风险识别。审计人员要掌握固定资产投资项目整体情况，注重从宏观层面了解固定资产投资项目的基本情况，获取背景信息，包括行业状况、监管环境、建设模式、建设目标等信息，对固定资产投资项目面临的风险进行分析，识别和评估固定资产投资项目系统风险和关键风险。

三是业务流程分析。在全面评估固定资产投资风险基础上，从投资项目风险入手，进一步了解流程，更新识别的风险，对高风险项目和资金重点监控，从整体上把握审计重点。

四是评估流程有效性和流程重大风险。在了解固定资产投资项目业务流程的基础上，运用分析性程序，分析关键流程，评估固定资产投资项目重大风险，分析对目标产生影响的风险以及风险控制，测试实际的控制能否切实管理这些风险，这是风险导向审计关注的重点。

五是根据风险评估结果，确定项目审计范围和审计重点，制定相应的审计策略。具体是设计审计步骤，根据审计步骤进行审计抽样并对样本进行监督，实施实质性测试等审计程序。在审计实施过程中，要根据审计实施情况对项目方案进行重新评估，扩大审计范围或增加审计程序，实施进一步测试以修订审计方案，保证审计质量。

杜邦“沸腾壶”审计抽样模型就是一种常用的审计抽样方法。它以审计项目风险为对象，建立风险识别模型，对每一类风险进行排序，将其划分为不同的级别，即高风险、敏感风险、适中风险、低风险，直观地反映风险与审计面的关系。杜邦“沸腾壶”模型说明，在风险因素中，风险结构一般是高风险占10%，敏感风险占30%，适中风险占40%，低风险占20%。风险审计规划在审计资源配置时，要依据风险水平高低配置审计资源，对不同级别的风险因素需实行差异化审计。高风险因素要进行详细审计，对于处于敏感风险性质的风险因素一般抽样50%进行重点审计，对于适中风险因素一般抽样 25%，而对于低风险的风险因素只需要抽样10%进行一般审计。风险级别越高，配置的审计资源越多，根据风险评估结果，将主要的审计资源分配在高风险领域，有的放矢，提高审计效率。

六是根据对流程设计有效性测试结果得出审计结论，出具审计报告，提出管理建议。

三、建立以审计调查法为基础的风险评估机制

风险评估机制包括风险识别、风险评估、风险模型的建立及风险评估结果分析等。对确定的审计项目进行风险评估，主要是通过对业务流程的梳理，找出流程关键控制点，并选择科学的风险评估方法对控制点进行风险分析，以准确识别和正确评价风险。以审计调查法为基础的风险评估方法，能清晰揭示风险的高发区域和风险变化趋势，操作性强，评估结果具有很强的说服力。即选取一定比例的被审单位实施风险典型调查，采用审计调查法对风险发生频率和严重程度进行分析和预测，对风险进行分级分类管理，根据风险水平确定审计重点。步骤如下：一是确定评估范围。评估范围与审计范围相关，对风险评估结果的运用有直接影响。二是风险评估数据的采集。采集近几年的相关风险数据，这些数据可以是以往风险管理审计、综合性审计及专项审计的相关资料和数据等。三是对风险评估基础数据进行整理和加工。内部审计人员依据原始资料和专业判断对一些定性资料进行量化处理，确定各组风险数据的影响程度级别，据此对项目风险进行评估。四是进行风险评估和预测。根据事先界定的评估范围，分别对审计项目各类风险、各类子风险的概率和影响程度进行评估，对所采集的一定期间的风险数据，采用审计调查法分析历史数据，寻找各风险的变化趋势和集中趋势，建立能描述各风险变量未来变化态势的模型，运用数学方法对各类风险的主要变量——风险概率和影响程度进行风险变动趋势分析及预测，求出风险预估值，并运用政策分析法，整理和分析可能影响各类风险变量的政策因素，对固定资产投资风险预测值进行修正和完善，确定风险估测值浮动区间。五是风险评估结果的分析和利用。根据风险分布情况，布局安排审计资源，对风险多发区域进行重点审计。风险评估结果可以应用于企业的风险管理，包括：将风险评估结果与企业事先确定的风险管理策略（如各类风险的承受度等）进行对比，并分别采取不同的风险应对措施；协助企业建立风险预警机制，对达到风险预警线的风险发出预警信号，采取相应的风险控制措施；对风险发展趋势进行预测，帮助企业规避和防范风险。

四、建立风险自我评估和预警机制

建立风险预警机制，对风险进行实时监控，可以有效管理和预防重大风险。风险预警机制前移风险管理关口，使风险管理重点由事后监督向事前预防、事中控制转移，防患于未然。企业可以根据风险评估结果，针对风险高发区域建立预警机制，完善风险预警指标体系，如利用DCCS法、盈亏临界点法及财务比率法等有效捕捉企业风险征兆，对异常情况提前发出预警，帮助管理层完善风险管理程序，控制风险。在风险导向内部审计中，使用风险自我评估（RSA）法，可以有效提升风险预警效率。风险自我评估是指内部审计要监督：（1）风险环境分析的恰当性。主要是对企业固有风险和控制风险进行评估，分析风险性质和影响程度的变化以及控制措施是否能与环境变化相符，并在审计报告中反映分析结果。（2）风险事件识别的充分性。（3）风险评估的恰当性。风险评估要从风险发生的可能性和影响性两方面对已识别的风险事件进行定量分析和定性分析。（4）风险度以及风险预报合理性。主要是审核风险度的计算方法是否科学合理，是否反映企业实际风险水平。综合分析企业的内外部环境，审核风险预报的根据及预报的级别是否合理。（5）风险控制措施的有效性。主要是对业务控制程序进行测试，检查是否有效，是否能够控制风险，并对检查发现的问题提出改进措施和建议，帮助企业管理风险，降低风险损失。（6）风险信息沟通的有效性。内部审计人员要从风险识别、评估信息的获得，风险警报的及时发出等方面评估风险信息是否被准确及时地传达给所有相关人员，让管理层了解风险是否被有效管理。风险信息沟通评估也可以提高外界对企业风险管理的信任度。

此外，企业应建立风险审计信息系统，完善审计资源数据库，积极推进审计手段创新，加强内部审计队伍建设，合理配备审计项目组成员，有效提高内部审计效率和质量，提升风险导向审计的价值增值功能。

篇（6）

中图分类号：F273 文献标识码：A 文章编号：1672-3791（2014）10（c）-0133-02

盘锦供电公司认真贯彻国家电网公司安全风险管理要求，充分吸取国内外先进风险管理经验，在电力生产实际中开展了从安全风险工作探索，目标、理念明确，工作思路清晰，效果明显。下面总结一下该公司开展的风险管理工作。

1 安全风险管理的目标

1.1 理念

能够控制所有风险。

1.2 基本原则

注重实效、实事求是、以人为本、稳步推进。

1.3 工作思路

分层次、分专业、理流程、抓培训、建机制、搞落实。

1.4 工作目标

逐步建立基于闭环管理的安全风险管理体系，把安全管理由严格监督阶段转变成自主管理阶段，实现安全“三控”目标，即能控、可控、在控。

2 安全风险管理的内容

2.1 结构体系

（1）安全风险管理体系、事故调查体系、应急管理体系，这三个工作体系属于安全管理体系，安全风险管理体系只是其中一个。监督体系、责任体系、保证体系这三个组织体系是三个工作体系的执行主体，其管理对象是企业、电网、作业活动等。（2）分层次风险防控机制的建立。不同管理层次根据各自工作特点、管理职责负责和控制不同级别的安全风险，一步一步落实好安全责任。供电企业的主要目标是让员工安全意识和风险防范能力得到提高，供电中断、设备损坏、人身伤亡等是其重点防控的事故风险。其作业安全风险包括各个阶段的作业过程中的人身伤害、误操作、违章等。（3）分专业风险防控机制的建立。根据各部门的工作特点和管理职责，形成各专业既合作又分工的安全风险防控机制，同时发挥安全监督体系与保证体系两者的作用。公司安监部带头制定安全风险管理整体方案，同时制订实施方案的计划，积极组织宣贯培训，评估风险，让风险防控措施能够全面落实；按照“谁主管，谁负责”原则，各部门识别、分析、防控自己范围内的各类安全风险的工作（电网、设备、人等），认真履行自己的义务和职责。

2.2 安全风险管理的组织机构

（1）成立安全风险管理工作领导组。由行政正职任组长，分管副职任副组长，安全管理、生产管理、人力资源、教育培训和生产单位负责人为成员，其主要职责是：对安全风险管理工作进行部署和开展；对安全风险管理实施方案和工作计划审阅评定；确保人、财、物要投入到安全风险管理中；审定公司安全风险评估报告；布置风险控制对策及处理措施；评价、考核各单位安全风险管理工作开展情况。（2）成立生产安全风险管理工作组。由分管生产的副职任组长，安全、生产部门人员人副组长，相关部门负责人及专责人员为成员，负责风险管理工作的组织协调、检查指导、评价考核等日常管理。公司安监部牵头，负责组织风险管理工作的实施；各相关部门履行日常管理及风险管理制度所明确的职责。其工作职责是：安全风险实施方案和工作计划的制定；安全风险管理工作的检查和指导；安全风险管理规范与方法的完善；开展风险管理知识和应用方法的培训；审核各生产单位的风险管理上报材料；负责公司风险信息的统计、管理；开展风险评估工作；制定风险控制对策、风险处理措施；总结、改进安全风险管理工作。风险管理工作组下设变电、输电与配电、调度与二次三个专业组，各专业组职责是：审核各专业作业活动的风险分析结果；开展各专业作业活动的风险评估工作；计算各专业的作业活动风险度、固有风险度；编制评估报告，分析薄弱环节和变化趋势，提出处理措施。（3）各生产工区、所成立安全风险管理相应组织，其相应工作职责是：组织开展本单位安全风险管理工作；开展安全风险教育培训工作；开展作业活动风险分析工作；编制相应规范；开展静态危险因素辨识、风险评价和风险控制工作；负责本单位风险信息的统计、管理；编制本单位风险评估报告。

2.3 安全风险管理的基本流程

（1）主要工作内容。安全性评价、运行方式分析、事故隐患排查治理、作业安全风险管理、安全检查等是公司级安全风险管理的主要工作。

（2）基本流程。风险识别（分析）、风险预警、风险控制（整改、治理）、检查与改进等是安全风险管理的基本流程。实现PDCA循环的不断完善的工作机制，包括：制定工作计划和实施方案（Plan），严格执行工作计划和方案（Do），监督和纠正实施过程中的偏差（Check），总结前面工作，根据总结制定相应的完善措施，使下一轮工作得到改进（Action）。

（3）安全性评价。一般以2～3年为周期，按照“制定评价计划、开展自评价、组织专家查评、实施整改方案”过程，建立闭环动态管理工作机制，实现安全性评价工作的持续改进和提高。

（4）治理和排查隐患。要治理和排查不同领域、不同专业的隐患，就要依据“全面覆盖、全程闭环”和“谁主管、谁负责”的原则；事故隐患等级的确定首先要预评估，再评估，最后核定；隐患闭环管理的进行要遵循“发现、评估、报告、治理、验收、销号”的步骤；建立公司总部、网省公司、地市公司三级事故隐患排查治理工作机制，要遵循“落实责任、统一领导、分类指导、分级管理、全员参与”要求。

（5）运行方式分析。年度方式分析应全面评估本年度电网运行情况、安全稳定措施落实情况及其实施效果，分析预测次年电网安全运行面临的风险和生产运行实际需求，提出电网建设、技术改造等措施建议，指导次年电网规划、建设、生产和运行，提高电网安全工作的系统性、针对性和有效性。

（6）安全检查。按照“自查、互查、督查相结合”以及“边检查、边整改”原则，组织开展常规（季节性）安全检查和专项安全检查（督查）；按照“制定检查大纲、组织实施检查、通报检查情况、督促落实整改”环节，实施安全检查的闭环管理。

（7）作业安全风险管理。本部门作业风险管理和控制要策划好、落实好，就必须遵循“谁组织、谁负责”的原则。这项工作的任务很重，比如要认真审核工作计划、制定有效的措施、详细分析承载力、协调好重大事项、准确评估风险等。安监部门负责生产作业风险开展和执行情况的监督和检查。

计划编制风险管控：生产计划编制贯彻状态检修、综合检修的基本要求，严格计划管理，避免重复停电，减少操作次数，保证检修质量，提高安全可靠水平。分管生产领导牵头组织召开好运行方式分析会、检修计划协调会和停电计划平衡会，保证工作安排合理有序。下达的计划中应注明主要风险，并制定相应的防范措施和预案。

管理和控制作业组织风险：要严格按照月计划和周计划完成安排的任务，合理调配人、材、物，全面分析速度、质量、安全和时间的关系，合理安排每日的工作，安全顺利完成工作。安排人员要认真分析班组承载力，给每个部门安排的作业量要合理。各工作负责人能够按时且高质量地完成其任务，技术操作员的技术能力要达到工作需要，管理人员要按时上岗。组织统一办理停电手续，保证动态风险预警措施落实到位，做好与其他配合单位（包括外协单位）的联系工作。材料设备、机械、备件备品、作业机具、车辆、安全工器具等资源要配备齐全，以满足现场工作的资源调配。仔细勘察现场，准确填写现场勘察单，对停电范围、作业现场的条件或环境、保留的带电部位、其他作业风险都要全面掌握。制定科学严谨的方案。制订的作业指导书和施工“三措”要针对现场勘察情况，而且还要具有可操作性。有的项目作业非常危险，程序复杂，难度很大，此类项目作业要经过本单位总工程师（分管生产领导）批准后，才能根据现场情况执行。施工设计交底。由施工单位组织，在管理单位专业工程师的指导下，主要介绍施工中遇到的问题和经常性犯错误的部位，要使施工人员明白该怎么做、规范上是如何规定的，明确工作任务和范围、技术和安全措施、作业风险及其处理措施。

管理和控制现场实施风险：经过交底，作业前作业人员完全掌握方案。有的作业项目很危险，复杂程度高，难度大，作业前一定要勘察现场，认真填写现场勘察单，对作业内容、条件及注意事项要牢记。操作票制度要严格执行。只有经过审批手续，解锁操作才能执行，并且执行过程中要有专人监护。保证操作票、工作票与接地线编号一致。遵照工作票的要求，相应的工作人员要给带电设备四周（即工作地点）围上栅栏，隔开带电设备和停电设备，且要把安全警示标示牌竖在醒目的地方。工作票制度要严格执行，就要对工作票、二次安全措施票、动火工作票与事故应急抢修单正确使用。开工会由上级组织召开，组织要把工作内容、带电部位、人员分工、危险点、现场安全措施等全部交底。检测施工机械、作业机具、安全工器具，合格后，专业作业人员和专业设备操作人员方可持证上岗。总工作协调人要协调好各专业的工作，使多班组配合有序、高效，保证作业顺利进行；设立专职监护人员负责交叉、复杂、有触电危险或者地段危险等风险较大的工作。

3 安全风险管理取得的实效

盘锦供电公司坚持“安全第一、预防为主、综合治理”的安全生产工作方针，深入贯彻国家电网公司和辽宁省电力有限公司的各项工作部署，不断夯实安全生产管理工作基础，落实安全责任，强化安全风险管控，实现安全生产整体工作水平的持续提升。截至2013年12月31日，盘锦供电公司连续安全生产4315天，实现第10个安全年。创造历史最高纪录，并在全省地市公司中名列前茅。

4 结语

盘锦供电公司在电力生产实践中全面贯彻“安全第一，预防为主，综合治理”的方针，通过安全风险管控的一系列有效探索，充分证明风险管理是安全管理的实质，制定安全预控机制是风险管理的核心，预防风险失控、维持安全状态是风险管理的目的，最终确保安全“可控、能控、在控”。

参考文献

[1] 安全管理工作基本规范（试行）[M].北京：中国电力出版社，2011.

篇（7）

中图分类号：F270 文献标识码：A 文章编号：1004-5937（2016）08-0072-02

一、引言

企业风险管理是我国近年来较为热门的话题，尤其在现阶段国内经济下行压力加大、外部环境存在较大不确定性等诸多困难下，加强全面风险管理工作显得尤为迫切。研究成果表明，风险管理可以通过降低盈利和股价的波动性、减少额外的资本支出、增加资本效率和发挥风险管理策略的协同效应等方式来增加公司价值[1]。作为中国企业的佼佼者，上市公司集中了我国的优势企业和优质资产，是我国经济建设的主力军，在国民经济发展中发挥着中流砥柱的作用。风险贯穿于企业经营决策的全过程之中，如果上市公司风险大量积聚、显化及蔓延，不但会导致公司价值毁损，影响资本市场的健康发展，甚至还会危害到整个国民经济的稳定发展。尽管目前不少上市公司已经启动风险管理工作，然而，现有风险管理多是基于内控规范基础上的合规化的风险管理，还没有达到以企业价值最大化为目标的风险管控。由此，本文针对2007―2013年上市公司披露的《风险管理制度》中存在的不足进行分析，探讨如何完善上市公司全面风险管理制度建设，从而提高风险管理的有效性。

二、已披露上市公司《风险管理制度》概况

国务院国资委2006年开始在央企试点全面风险管理，2010年全面推行。自2007年以来，上市公司也开始关注和重视风险管理工作，制定了诸如《全面风险管理制度（办法）》《内部控制及全面风险管理办法》《风险评估管理制度（方法）》等规章制度（以下统一简称“风险管理制度”）。截至2013底，有74家上市公司自发对外披露了《风险管理制度》，其中有19家上市公司披露了《全面风险管理办法》，年份分布情况见表1。鉴于现阶段上市公司公布风险管理相关信息仍属于企业自发行为，目前披露风险管理制度的上市公司数量很少，但可喜的是呈逐年递增趋势，说明上市公司已从制度层面入手提高企业整体风险管理水平和效率。但从近四年披露的总家数占总样本的比例（87.8%），可以看出，我国当前上市公司风险管理制度的建立时间比较短，加上建立全面风险管理体系的企业只约占样本的25.6%，说明我国上市公司整体上处于风险管理的初级阶段。

在风险管理制度制定权上，为体现公司风险管理的战略性、整合性和全局性，一般是由董事会来制定风险管理制度并向股东大会负责。从样本可以发现，在披露了风险管理制度的74家上市公司中，有48家公司（占65%）是由董事会制定的，有15家公司（占20%）注明是由董事会下属的审计委员会制定的，说明董事会在风险管理中的重要地位，是企业风险管理管理的决策领导机构。

鉴于金融行业的特殊性，样本中的6家金融企业将予以剔除。

三、已披露上市公司《风险管理制度》重点内容解析

（一）风险管理组织架构体系

有效进行风险管理的前提是拥有一个职责清晰的风险管理组织架构体系[2]。风险管理是一个系统工程，需由主体内的一个有机的组织来实施并执行各自的职责，才能实现风险管理的目标。风险管理组织架构体系主要是明确风险管理相关部门、岗位及其相应的职责。从68家样本公司中，发现有33家上市公司采用的“三层级”的风险管理组织架构：各职能部门和业务为单位风险管理第一道防线；内部审计部门和董事会下设的审计委员会为风险管理第二道防线；董事会及股东大会为风险管理第三道防线。只有云煤能源一家公司设立“五层级”的风险管理体系：董事会为第一层级，全面风险管理委员会为第二层级，风险管理部门为第三层级，各职能部门为第四层级，各子、分公司为第五层级。风险管理体系设置的层级越多，职责划分越明确，越有利于风险管理工作的细化，但也可能会使得风险信息传递及风险处理的效率降低等等。

进一步分析发现，样本公司中有24家只说明公司各部门的风险管理职责，忽略了风险管理决策机构和核心管理机构的职责，7家公司没有涉及风险管理各层级的职责，这显然不利于企业对风险管理的具体实施和风险绩效考核。

（二）风险管理流程

风险管理流程是确保风险管理制度行之有效的重要基础。从风险管理流程与方式来看，68家样本公司存在一定的差异。其中，大多数公司借鉴了《中央企业全面风险管理指引》（以下简称《指引》）中风险管理流程的五个环节：收集风险管理初始信息；进行风险评估；制定风险管理策略；提出和实施风险管理解决方案；风险管理的监督与改进。有的公司设置了四个流程环节，是将风险管理策略纳入风险评估环节，如德赛电池、江南高纤、久立特材等；长春一东只设立了风险评估与应对两个流程。而出版传媒在其风险管理制度中介绍了筹资、采购等六项风险控制的重点，没有从整体上设立风险管理流程。整体来看，风险管理流程在形式上已初具雏形，但仔细研读每份风险制度后发现，很多公司对风险管理流程的内容是直接引用《指引》中相关指导，并没有根据公司自身特征对流程进一步强化和细化，在风险管理应对措施方面缺乏针对性，往往达不到事前控制的目标。

（三）危机与重大风险事件的应对

近年来，上市公司虽然整体实力明显增强，但重大风险事件时有发生，如投融资风险、生产安全风险等，给企业和股东带来巨大损失。重大风险的信息反馈、沟通机制有利于董事会有效及时地获取风险管理信息，从而提高企业风险预警能力。然而，在68家样本公司风险管理制度中，单独制定危机及重大突发风险事件应对处理程序的公司只有7家，通常由公司审计（法务或监察）部在接到公司其他部门或分、子公司的突发风险报告后，组织评价突发事件的影响，制定风险应对方案。重大风险应对措施都是常规性的管理改善，并没有很好地针对风险的特点，制定相应解决方案。

（四）风险管理辅助系统

风险管理制度的顺利实施需要相关辅助系统的配备与支持，如风险管理信息系统的建设、风险管理文化的形成、考核制度明确奖惩措施。很多公司风险管理文化还远远没有形成，大部分人员认为风险管理仅仅是形象工程，并没有将风险管理理念完全领会，最终导致诸多“低级风险”。没有考虑风险管理在实施过程中需要其他相关辅助系统的支持，这将不利于风险管理有效性的发挥。

四、完善上市公司风险管理制度的对策建议

（一）战略层面构建风险管理体系，厘清风险管理部门职责定位

风险管理是企业战略管理的重要组成部分，需要企业决策层给予充分的重视，应当由最高层自上而下从战略上把控，从全局观看待和处理企业面临的风险问题。为避免风险管理流于形式，有条件的企业可以考虑设立风险管理专职机构，作为传递、沟通风险信息和及时指令的平台和窗口，实现公司层面对风险控制的常规化和实时性。其次，风险管理是一个系统工程，需由主体内的一个有机的组织来实施并执行各自的职责，才能实现风险管理的目标。但是，对于风险管理的组织构成层级及范围没有统一的标准，同时，各个企业大小不等、规模不一，风险管理组织也会有较大的区别，但明确风险管理部门的职责定位和工作要求是成功实施风险管理的重要基础。为保证风险管理体系运行顺畅，风险管理职能部门的定位应与现有业务流程相融合。

（二）建立专项风险评估制度，动态监控重大风险管理

风险管理流程的制定尤其是应对措施需要结合公司自身情况，加强针对性，达到事前控制的目标。在根据风险评估的结果确定重大风险后，没有规定如何对重大风险预防、监控及动态管理。由此，企业要进一步健全风险评估机制，董事会负责督导企业进一步完善风险评估常态化机制，企业高风险业务以及重大海外投资并购等重要事项应建立专项风险评估制度，在提交决策机构审议的重要事项议案中必须附有充分揭示风险和应对措施的专项风险评估报告，风险管理职能部门要坚持对上述重要事项的风险评估进行程序性、合规性审核。另外，要逐步建立健全重大风险监测预警指标体系，实现对重大风险管理全过程的动态监控，确保重大风险可控。

（三）实施年度风险管理报告制度，加强价值与风险信息披露

虽然上市公司没有强制性实施《指引》，很大程度上只是“参照执行”，但要想进一步深入推动，可以鼓励开展风险管理的年度报告制度，将《指引》的相关要求细化到报告要求中去，推动和引导企业开展全面风险管理。另外，推动建立上市公司价值与风险管理信息披露制度，将价值管理和风险管理情况及时向社会公众披露，接受股东的监督和评价。

（四）注重风险管理辅助系统支持，培养全员风险管理意识

上市公司应当把风险管理工作建成一项长效机制，做到主动防范和预警风险，为企业的长远发展保驾护航。这就需要不断加强相关制度建设，如风险信息化管理，重大风险公开、风险管理考核、风险管理奖惩制度，真正落实全面风险管理工作。由于风险管理涉及各个部门、各个岗位、各个业务模块、各个管理流程，属于全员管理，需要全体员工都参与进来，如此，就需要公司具备风险管理的文化，这是一个长期而持续的建设过程。

篇（8）

商业保险公司在多年的经营过程中，积累了一些中小企业风险的管理数据，通过数据的应用分析，在为中小企业提供相关保险服务的同时，可以为其提供在生产经营、企业管理、资金调配和运用的过程中的各种风险管理服务，帮助其借鉴行业内好的风险防范经验，降低其生产经营风险。

（二）提供丰富的保险产品与风险补偿

商业保险公司拥有丰富的风险管理、控制等方面的技术与经验，是专门从事风险管理的企业，在其经营以各种风险保障为目的的销售及服务过程中，可以提供多款不同标的、不同保障的保险产品。从这一点上来说，保险公司完全可以针对不同的行业和企业设计不同的风险评估报告和保险建议书，为中小企业设计相关的风险管控技术系统，降低中小企业经营生产管理中存在的风险，销售不同组合的产品，多层次多角度地满足他们的需要。

（三）提升信用水平，获得融资保障

中小企业通过购买保险产品，获得保险保障，可以通过提高其风险管控能力，提升其信用水平，使其生产经营活动顺利有效开展，为社会稳定起到积极作用。同时中小企业通过与商业保险公司的合作，能够大大改善其融资条件，提高其融资能力，获得资本市场的有力支持。

二、新形势下商业保险对中小企业经营影响的对策

为深化保险行业自身的改革，服务国家的全面深化改革战略，必须加快发展现代保险服务业。在“新国十条”出台的大环境下，为中小企业提供保险服务的保险公司迎来了巨大的发展契机。当前，商业保险公司可以提供的较为成熟的保险产品与服务主要有四大类：企业财产保障类、员工福利类、融资保障类、责任保障类。本文将以化工行业为例，探讨新形势下商业保险对中小企业经营的影响及其解决的对策与建议。

（一）中小企业保险需求与产品方案———以化工行业为例

根据对100家化工企业的调研数据进行分析，发现化工行业的风险较为集中，且保险需求也接近，通过对化工行业中小企业风险分析和保险产品提供安排，可以帮助中小型化工企业在生产经营过程中规避相关风险，也为其在社会责任承担与员工福利解决方案中提供有效支撑。

（二）对策与建议

面对新国十条给保险业带来的机遇，保险公司应针对不同中小企业的需求，在已有成熟保险产品的基础上，开发创新更利于企业适应市场发展的新产品，发挥有力的保障作用。

1．强化管控，科学厘定承保条件保险公司拓展中小企业财产保险业务前必须首先了解中小企业的风险状况和保险需求，通过对中小企业风险和保险的基础数据进行收集、整理和分析，建立中小企业风险数据库，运用精算手段建立中小企业风险评估模型，对不同地区、不同行业和不同资产规模的中小企业的风险做出评估，同时结合多种因素，如投保的险种和保额、企业信用等，确定所适用的保险条款、保险费率和承保以及免赔的条件，使保险公司的销售人员有章可循，从而提升保险公司整体的风险识别和开拓业务能力。

篇（9）

中图分类号：C93文献标识码： A

风险管理（Risk Management，RM）最早是由美国学者威廉斯和汉斯提出的。他们在其著作《Risk Management and Insurance(1964)》中指出，风险管理是通过对风险识别、衡量和控制而以最小的成本是风险所致损失达到最低程度的管理方法。

传统的企业风险管理，管理对象局限于单个风险或各组织相关风险，在管理标准、政策、模式和手段等缺乏全企业范围内的一致性，在各项业务活动中是隔绝的。参与的部门也局限于财务部门、安全管理部门、纪律监察部门等有限部门，而且往往不是经营行为的第一行为人。在现代市场经济环境日益复杂，企业面临风险越来越多的情况下，传统企业风险管理模式下出现重大以外风险事项的可能性在不断增大。

如今，越来越多的企业主动开展整体风险管理，进行风险管理体系建设，在企业运作过程中，通过对风险确认和评估，采用合理的经济和技术手段对风险加以控制，或已将其提升公司治理及制定公司战略相结合，我们认为这些都是优秀的风险智能型企业的显著体现。但是整体风险管理的流程和措施写进规章制度里，并对员工加强企业风险管理的宣传和要求，但是这些是否能切实让风险管理的状态和正确的思考方式深入日常管理？本文从风险管理九个方面，阐述如何确保整体风险管理充分发挥其风险保障作用。

统一的风险定义

一个整体风险管理良好的企业，应该是在公司治理层面就设定了企业整体的风险治理基调，董事会应当支持和强调这一基调，并倡导风险文化，自上而下形成对风险统一的定义。企业认识到风险并非只有负面的影响，若能抓住机遇，创造实现战略目标的程序，抵消不利影响，创造有利机会，也可能会产生积极的影响。

企业内部通过定期执行风险评价的核心流程，逐步建立起明确的风险库。各个部门和员工在确定岗位职责中已考虑或能基本包含了风险管理因素，所有的部门及岗位设置均与风险管理理念匹配，且每个员工理解并参照执行。

建立风险管理框架

运用统一而且在业界领先的风险管理框架（如《企业风险管理-整合框架》、国资委《全面风险管理指引》，ISO31000风险管理原则和指引等）有助于企业沿着较为成熟的方式开展风险管理工作，因此应用统一的风险管理框架也是现代企业整体风险管理的特征，运用适当标准支持的统一的风险管理框架应贯穿于整个组织，以管理风险。

三、风险管理主要角色和职责

在治理层面科学地分配风险管理职责是企业风险管理工作能口顺利开展的基础之一。适当的风险管理组织，包括：风险管理委员会，由联合部门组成的风险管理领导小组及执行小组，或指定由审计部、风控部等负责风险管理的归口工作，并明确定义了风险管理的角色、职责和权限，以维护完善的治理结构，促进公司战略的有效实施。

四、治理层的风险管理职责

治理层（董事会及下属各专业委员会）应对公司风险管理实务保持适当的透明度和清晰度，以履行其风险管理职责。

同时，清晰治理层的议事规则及决策程序，也是避免发生越权及舞弊的重要手段。企业的重大决策由集体论证后决策，重大决策通过集体论证有利于全面地、辩证地、细致地分析问题，可避免出现独断或越权审批的情况。

董事会应该负责评估公司风险容忍度以及现行的风险管理的恰当性，而未成立董事会的大型国有企业，则由党政联席会议作为最高决策机构履行该职责。

五、管理层的风险管理职责

管理层需要对风险管理计划的设计、实施以及维护其有效性承担主要责任。管理层及风险管理的执行小组负责编制风险评估报告，并针对风险管理评估报告中所反应的问题，进行改进。公司应采取风险管理会议或编制风险管理报告的形式，确定工作改进计划及行动方案。

六、风险归口管理部门的职责

风险管理的归口部门应在管理层的领导下，定期执行风险评估核心流程，从风险影响程度、发生的可能性等不同评估维度开展风险评级，对重要、重大风险制定应对策略并执行。同时风控部门或审计部门等风险管理归口部门应针对公司的内部控制与风险管理进行自我评估，并形成专项评估报告。

为形成管理闭环，公司应采取一定的措施实现对风险管理的实施情况进行考核及监督。

七、业务部门的风险管理职责

业务部门应负责其经营业绩，以及在公司建立的风险管理框架中实施风险管理，是发现风险、评估风险以及应对风险的过程中的重要组成部分。

公司风险管理框架的建立离不开业务部门的支持及自上而下良好的沟通机制。各业务部门应该积极开展与国内外同行、先进企业的沟通学习等，通过了解行业标杆提升自身能力。

公司各业务部门应根据公司的经营目标、工作流程以及相关法律制度的变化情况，结合风险管理的内容，修订内部政策及程序，定期更新并修订相关制度。

八、职能支撑部门的风险管理职责

职能支撑部门（如财务部门/人力部门/法律部门/信息管理部门等）对主营业务提供支撑，能够在组织实施风险管理的过程中向业务部门提供支持，形成一个全员风险管理的能力和氛围。职能支撑部门对本部门日常运营中的风险承担责任，同时对与其职能相关联的业务风险也有监控责任，能对各业务部门制定的风险应对的政策、程序和控制，从横向层面提出参与意见，或与业务部门共同制定风险应对的各项政策和程序。

篇（10）

党的以来，我国实行对外开放政策，大量引进外资和国外的先进技术设备，使国内的生产力水平迅速提高，促进了经济的发展和科技进步，缩小了我国与世界上科技先进国家的差距，为加速四个现代化建设的进程起到了积极的作用。但是，这些引进的项目中无形资产为主的项目不足20%，我们应当更新投资观念，改变引进技术的结构，形成以无形资产投资为主的局面。同时，无论是企业界、科技界还是政府部门，也应该加大对无形资产的开发研究力度，促进国民经济的快速发展。但是，无形资产提供未来收益的不确定性、垄断性、交易中所有权与使用权的可分离性等特点，决定了无形资产的投资与有形资产相比具有一定的复杂性，同时也存在着一定的风险，特别是在无形资产的评估方面存在一些风险。

一、无形资产的评估风险

篇（11）

中图分类号：F239.2 文献标识码：A 文章编号：1001—6260（2012）04—0149—07

中国内部审计协会一直致力于建立一套以内部控制和风险管理为导向的内部审计准则体系。但是，由于内部控制与风险管理之间的关系还没有理顺，这直接导致风险导向审计中的风险定位问题存在较大争议。正因为如此，中国内部审计准则中与内部控制和风险管理相关的各审计准则之间的关系也有待进一步明确，譬如：第5号准则《内部控制审计》与第16号准则《风险管理审计》之间是何关系；第12号《遵循性审计》、第21号《内部审计的控制自我评估法》、第25号《经济性审计》、第26号《效果性审计》和第27号《效率性审计》等准则之间及其与第5号、第16号准则之间是何关系。在实务中，内部审计人员也产生了一些困惑：内部控制审计和风险管理审计究竟有何不同？风险导向审计与全面风险管理之间是何关系？因此，有必要在中国内部审计协会修订内部审计准则之际，对这些问题进行探讨①。

一、内部控制与风险管理之间的关系

在2003年6月实施的第5号准则《内部控制审计》中，中国内部审计协会提出，内部控制涵盖风险管理，风险管理是内部控制的五要素之一，并专门制订了《风险管理审计》准则。EOSO（2004）认为风险管理涵盖内部控制，其表述是：“内部控制是企业风险管理不可分割的一部分。”谢志华（2007）认为风险管理与内部控制虽表述不同，但涵义相同。

那么，二者之间究竟是何关系？问题的关键在于认清内部控制的本质。COSO（1992）指出：“内部控制是一个由企业董事会、管理层和其他员工实施的，为经营的效率效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现提供合理保证的过程。”这种将内部控制理解为“一个过程”的做法被2008年5月中国财政部、证监会、审计署、银监会、保监会等五部委（下称“五部委”）的《企业内部控制基本规范》（下称《基本规范》）所采用。但是，“一个过程”的提法只是说明了一个事实，即内部控制是与企业的经营管理活动交织在一起而发挥作用的过程，它并没有给内部控制定性。COSO（1992）对“一个过程”有如下解释：“组织中各单位或各职能部门内部或跨单位或职能部门所实施的经营过程，都是通过计划、执行和监控等基本的管理过程来加以管理的。内部控制是这些过程的一部分，并与它们整合在一起。内部控制能让这些管理过程发挥作用，并对其实施和持续的关联性进行监控。内部控制是一个管理工具，而不是管理的替代品。”从中可以看出，COSO是结合管理过程来论述内部控制过程的，它认为内部控制是管理过程的一部分，是其中履行监控职能的管理工具。

那么，如何理解作为管理工具的内部控制呢？我们需要从管理的职能谈起。法约尔（1982）认为，管理有计划、组织、指挥、协调和控制等五大职能，他指出：“在一个企业里，控制就是要证实一下是否各项工作都与已定计划相吻合，是否与下达的指示及已定原则相吻合。控制的目的在于指出工作中的缺点和错误，以便加以纠正并避免重犯。”美国著名管理学家Robbins（1994）在法约尔五职能说的基础上提出了管理四职能说，即：计划、组织、领导、控制等职能。他认为，控制职能是指监控计划执行、比较分析偏差、纠正错误，确保计划顺利实施。可以看出，COSO对内部控制的解释与管理学中对“控制”的解释并无不同，都指出要保证计划的实施，都提及要对偏差进行监控。这样看来，COSO所讲的内部控制就是管理学中的“控制”。

法约尔（1982）在论述“控制”职能时，就使用了“内部控制”的提法，他说：“这里，我只讨论管理问题，所以就不谈两个企业之间的控制问题了……我着重谈一下企业内部控制，这种控制的目的是专门为了有助于各部门的工作的顺利进行，而总的来讲也有助于企业运营的顺利进行”（法约尔，1982）。可见，法约尔认为在一个企业内部讨论管理中的控制问题，可以用“内部控制”的提法。

以上分析足以证明内部控制就是控制。应该说，我们之所以称“控制”为“内部控制”是相对于外部监管而言的，强调的是企业自身应该重视对其经营管理活动的有效监控。以COSO为代表所开展的内部控制研究丰富和发展了“控制”理论，使我们更深入地了解“控制”在管理过程中发挥作用的方式和内在机理。但内部控制并不是一个独立于“控制”之外的，或与“控制”并列的一个新事物，它就是“控制”。因此，内部控制的本质就是管理职能中的控制职能。

既然内部控制只是一项管理职能，那么只要是管理活动，它就应该涵盖内部控制，因此，COSO（2004）认为风险管理涵盖内部控制是有道理的。自然，内部控制就不可能涵盖风险管理。在中国的《内部控制审计》准则中，将风险管理作为内部控制的一个要素值得商榷。COSO（1992）和中国《基本规范》认为内部控制由五要素构成，即控制环境（内部环境）、风险评估、控制活动、信息与沟通和监控。其中，都用到“风险评估”的提法。而COSO（2004）认为，内部控制由八要素构成，将风险评估要素细化为“目标设定”、“事项识别”、“风险评估”和“风险应对”等四个要素。但是，无论是五要素观还是八要素观，都没有使用“风险管理”的提法。COSO（2004）的标题就是《企业风险管理——整合框架》，其认为，在内部控制的要素中用“风险管理”的提法容易产生歧义，不如用“风险评估”好。

内部控制职能论也可以解释谢志华（2007）关于内部控制与风险管理涵义相同的观点。企业是一个风险组织，不冒风险的企业是不存在的。企业为达成自身目标，要采取有效措施防范和化解其所面临的各类风险。因此，可以认为，企业管理就是风险管理，或是“全面风险管理”。企业在“全面风险管理”之中，要综合运用计划、组织、领导和控制职能。如果侧重于强调控制职能在“全面风险管理”中的重要性，则可以将企业管理称之为“内部控制”。这样看来，内部控制和风险管理是同义语。用内部控制，是从管理职能上来讲的，侧重于强调控制职能的发挥；讲风险管理则是从控制的对象上来讲的，侧重于强调风险控制的重要性。通俗来讲，内部控制，控制的是风险，风险管理，管理的也是风险，二者涵义相同。

二、风险导向审计中的“风险”定位

在风险导向审计方法引入中国后，理论界围绕风险导向审计中的风险定位问题进行了讨论：陈毓圭（2004）认为是经营控制风险（含企业的经营战略及其业务流程）；谢荣等（2004）认为是企业战略风险及相关经营环节风险（统称经营风险）；王泽霞（2004）认为是管理舞弊风险；许莉（2005）认为是指被审计单位的“重大错报风险”；赵德武等（2006）认为是治理系统风险（含公司治理和内部控制）。评述这些观点的立场有三个：一是将企业管理等同于风险管理；二是将内部控制等同于风险管理；三是要区分风险评估的对象和结果。风险导向审计中“风险”定位之争的焦点是审计人员在评估审计风险时，所评估的对象究竟应该是什么。至于评估审计风险后，得出评估对象“重大错报风险”的情况如何则是评估的结果，不能将“对象”与“结果”混淆。基于上述立场，可以将理论界对风险的不同定位统一于“企业全面风险”之中。具体分析如下：

1.经营风险就是企业全面风险

陈毓圭（2004）和谢荣等（2004）所述的经营控制风险和经营风险，实质上就是企业全面风险。他们将风险评估的对象定位为“企业的经营战略及其业务流程”和“企业战略风险及相关经营环节”。从中可以看出，都涵盖了企业战略层面和经营层面的风险，这就是“企业全面风险”。但是，用“经营风险”的提法容易产生歧义，以为仅指企业经营层面的风险，而不包括战略层面的风险，不如用“企业全面风险”好。并且，用“企业全面风险”还可以与“企业全面风险管理”直接对接。这在国资委《中央企业全面风险管理指引》、国际标准化组织《ISO 31000风险管理——原则与指南》、中国标准化委员会国家标准《GB/T 24353—200险管理——原则与实施指南》的背景下，显得更为必要。企业要实施“全面风险管理”，相应地，审计人员风险评估的对象就应该是“企业全面风险”，从而使得审计部门和审计人员在“企业全面风险管理”中发挥应有的作用。

2.管理舞弊风险是企业全面风险的一部分

王泽霞（2004）将风险评估的对象定位为管理舞弊风险。这一观点主要针对管理层财务报表舞弊提出，试图通过重点评估管理舞弊风险来降低审计风险，这一做法只能算是权宜之计。试想，如果迫于法律和监管的压力，管理层不敢进行财务报表舞弊了，那么，管理舞弊导向审计也就没有存在的理由了。从内部审计的角度看，审计的目标不仅仅是“防弊”的问题，而是“防弊、兴利、增值”三大目标。显然，王泽霞（2004）对风险评估的对象界定过窄。按照五部委（2008）《基本规范》中的规定，企业全面风险应该包括：战略风险、合规风险、资产安全风险、财务报告风险、经营风险等。按大类就是两类，即战略层面的风险和经营层面的风险。管理舞弊风险只是合规风险中的一个方面。将风险评估的对象定位为管理舞弊风险只能算是一种审计策略，只是注册会计师在管理层舞弊比较严重的情况下，在审计实务中运用的一种审计方法，不宜将其作为风险导向审计中的“风险”定位。

3.重大错报风险的提法混淆了风险评估的对象和结果

许莉（2005）认为，风险导向审计中的风险，无论是所谓传统的还是现代的，都是指被审计单位可能带来审计风险的风险，在现代风险导向审计中就是指被审计单位的“重大错报风险”。这一提法混淆了风险评估的对象和结果。是否存在重大错报风险是审计人员通过风险评估后进行职业判断的结果。将一个职业判断的结果作为风险导向审计“风险”的定位显然不妥。现代风险导向审计与传统风险导向审计的区分并不在于审计风险模型用“审计风险=重大错报风险×检查风险”取代了“审计风险=固有风险×控制风险×检查风险”，而是强调了“自上而下”和“风险导向”的原则，强调既要有“森林”也要有“树木”。不能就报表而审计报表，要站在企业全面风险管理的视角来看报表。作为风险评估的结果，“重大错报风险”的提法可以运用于注册会计师财务报表审计中。但是站在内部审计的视角，就不仅仅是错报的风险问题，而是企业全面风险的问题。在第17号准则《重要性与审计风险》第十七条中就有规定：“审计风险包括两方面内容：一是重大差异或缺陷风险。是指被审计单位经营活动及内部控制中存在重大差异或缺陷的可能性；——是检查风险。是指审计人员未能通过审计测试发现重大差异或缺陷的可能性。”这里的“重大差异和缺陷风险”可以对应于注册会计师审计风险中的“重大错报风险”，它也是内部审计人员风险评估后的结果。虽然内、外部审计在风险评估的结果上用词不同，但是风险评估的对象都是“企业全面风险”。基于此，建议将第17号准则中的“重大差异或缺陷风险。是指被审计单位经营活动及内部控制中存在重大差异或缺陷的可能性”表述改为“重大差异或缺陷风险。是指被审计单位全面风险管理中存在重大差异或缺陷的可能性”。

4.治理系统风险就是企业全面风险

赵德武等（2006）认为是治理系统风险（含公司治理和内部控制），并指出公司治理是针对企业高层管理人员，而内部控制针对的是企业中低层人员。根据内部控制职能论，公司治理也需要运用控制职能，不可能只是对企业中低层人员的管理才需要内部控制，只要是管理就需要控制。撇开此点不论，赵德武等（2006）的治理系统风险也涵盖了企业全面风险，企业全员参与并受控。一般而言，公司治理主要涉及公司高层管理，那么，可以认为企业管理涵盖公司治理。但事实上，企业管理与公司治理的边界并不清晰，在早期企业中，或者在现代小企业中，一般就叫企业管理，而很少称之为公司治理。只是自1932年伯利和米恩斯发表《现代公司与私有财产》提出“所有权和控制权分离”的命题以来，理论界才逐渐有了公司治理之说，公司治理才逐渐从企业管理中分离出来。但是公司治理从本质上讲仍是企业管理，管理的职能仍然适用于公司治理之中。如果把公司治理泛化，使其包括中低层人员参与的日常管理，则公司治理可以等同于企业管理。赵德武等（2006）采取的正是这一做法，而企业管理就是风险管理。因此，治理系统风险就是企业全面风险。

基于以上认识，风险导向审计中的风险应该定位为“企业全面风险”。相应地，就内部审计而言，风险导向审计是指内部审计部门和人员为有效履行其在风险管理中的职责，基于对企业全面风险的评估，针对重大差异或缺陷风险，制订和实施的一整套审计方法。

三、风险导向审计与全面风险管理的关系

1999年6月，国际内部审计师协会理事会批准了关于内部审计的新定义：“内部审计是一种独立、客观的保证与咨询活动，旨在增加价值和改善组织的运营。它通过应用系统的、规范的方法，来评价和改善风险管理、控制及治理过程的效果，帮助组织实现其目标。”与此同时，《国际内部审计专业实务框架》（IPPF），并于2001年正式实施。新的框架在内容上全面体现了风险导向审计的思想，内部审计进入风险导向审计阶段。2004年9月，COSO《企业风险管理——整合框架》，将其1992年、1994年修订的内部控制框架发展为企业风险管理框架，强调了全面风险管理的重要性。国际内部审计师协会立即做出反应，于当月29日，以立场公告（Position Statement）的形式《内部审计在全面风险管理中的作用》报告，明确指出：内部审计在企业风险管理中的核心作用在于，客观地保证董事会在企业风险管理活动的作用得以有效发挥，为保证关键经营风险被恰当地为管理提供帮助，并保证内部控制系统有效运行。具体包括：为企业风险管理过程提供保证；为正确识别风险提供保证；评估风险管理过程；评估关键风险报告和评价关键风险的管理。

中国内部审计协会从2005年底以来，力推内部审计从“以真实性、合规性为导向的财务审计为主”向“以财务审计与内部控制和风险管理为导向的管理审计并重”的方向全面转型。内部审计应在企业风险管理中发挥作用，为企业提供增值服务，这已日益成为中国内部审计理论界和实务界的共识。

那么，内部审计该如何有效发挥其在企业全面风险管理中的作用呢？如前所述，风险导向审计中的风险应该被定位为“企业全面风险”，这就为内部审计发挥其应有作用找到了切人点，也为风险导向审计与全面风险管理之间的联系建立了内在基础。风险导向审计与全面风险管理存在的联系和区别表现为：

1.二者之间的联系

企业全面风险管理的对象是企业全面风险，而风险导向审计中所评估的风险就是企业全面风险。企业推行全面风险管理是基础，而风险导向审计是保障。风险导向审计通过对企业全面风险的评估，提出进一步改进措施，为全面风险管理的有效实施出谋划策。同时，内部审计部门也可以通过对企业全面风险的评估合理分配审计资源，将审计的重点放在风险较大的领域，从而更好地提供增值服务。

2.二者之间的区别

（1）实施主体不同。全面风险管理是在企业董事会的战略决策和领导下，为实现企业战略和经营目标，由企业管理层组织实施、全员参与的经营管理工作。风险导向审计是在企业董事会的领导下，由内部审计部门组织实施的对企业全面风险管理工作的有效性进行监控的工作。

（2）内涵不同。全面风险管理是一个管理过程，而风险导向审计是一套审计方法。

（3）风险导向审计既以全面风险管理为基础，又具有相对独立性。风险导向审计中的风险评估对象是企业的全面风险。企业管理越规范，开展全面风险管理的水平越高，相应地，内部审计部门开展风险导向审计的基础也越好，对风险的评估会更为准确，审计工作更为有效。但是这并不意味着企业不开展全面风险管理，内部审计部门就无法开展风险导向审计工作。企业管理就是风险管理。因此，无论企业是否推行命名为“全面风险管理”的管理举措，事实上都是在进行风险管理，只不过推行“全面风险管理”会使得企业管理工作更加规范，更能全面识别和防范企业面临的各类风险。风险导向审计作为一种审计方法，不依赖企业是否推行全面风险管理制度而独立存在，这一方法的优点主要有：一是有利于合理配置审计资源；二是能为企业提供增值服务。当然，归根结底是第二点，因为只有通过风险评估找到“重大差异或缺陷风险”，才能合理配置审计资源，才能指出企业风险管理中存在的问题，并提出改进建议，从而为企业提供增值服务。内部审计提供增值服务的对象是企业的管理层，提供增值服务的水平如何体现的是内部审计人员的专业胜任能力。如果企业风险管理水平较差，内部审计人员将会很容易指出企业管理中存在的问题，从而实现自身价值；反之，则对内部审计人员提出了挑战，很有可能难以提出有建设性的意见。这就说明，风险导向审计方法运用的关键在于内部审计人员对企业全面风险管理的认识，而不在于企业推行全面风险管理的实际情况如何。每一个内部审计人员都应该形成一个对所在企业规范的全面风险管理的总体把握，这是开展风险评估的基准线。在此线之下的，就存在差异和缺陷，需要改进。当然，这条线如何定，体现了内部审计人员的专业胜任能力，因此，风险导向审计方法的实施给内部审计人员带来了挑战，其必须具有全面评估企业风险管理状况的水平。这样看来，风险导向审计方法中，内部审计人员对企业风险进行评估时，企业风险管理的标准自存在于内部审计人员心中，并随着企业规模的扩大和业务范围的拓展而改变；其标准只能比企业现行的全面风险管理水平更高，至少不能低，这样才能提供增值服务。因此，风险导向审计具有相对独立性。

（4）二者对风险的评估结果不完全相同。如表1所示，二者对风险的评估结果有四种组合。二者都评价为高，说明这是一个高风险的领域，管理部门和审计部门均认为需要投入更多的资源进行管理和审计。二者都评价为低，说明这是一个低风险的领域，管理部门和审计部门均认为不需要投入更多的资源进行管理和审计。在呈现高低组合的情况下，若风险导向审计评价为高，全面风险管理评价为低，有两种可能：一种是管理人员水平低，应该识别的重大风险没有识别出来；另一种是审计人员水平低，本无风险却认为有重大风险。若风险导向审计评价为低，全面风险管理评价为高，则一种解释与前同；另一种解释是，确实是高风险的领域，但通过管理部门的风险管理，风险降低了，审计人员认为风险管理有效，将其评价为低风险的领域。

风险导向审计与全面风险管理之间错综复杂的关系，使得人们产生了理解上的歧义，有必要对此加以分析。上述研究结论为进一步提出风险管理相关内部审计准则的修订建议打下了坚实的基础。

四、风险管理相关内部审计准则的修订建议

由于现行内部审计准则是以内部控制和风险管理为导向的，所以整个准则体系，从《内部审计基本准则》到《内部审计具体准则》和《内部审计实务公告》，都与风险管理相关。但是，限于篇幅，本文仅探讨其中与风险管理直接相关的几个具体准则，包括：第5号《内部控制审计》、第12号《遵循性审计》、第16号《风险管理审计》、第21号《内部审计的控制自我评估法》、第25号《经济性审计》、第26号《效果性审计》和第27号《效率性审计》等准则。

这些准则可以分为两个层次：一是总体层，包括第5号《内部控制审计》、第16号《风险管理审计》和第21号《内部审计的控制自我评估法》；二是具体层，包括第12号《遵循性审计》、第25号《经济性审计》、第26号《效果性审计》和第27号《效率性审计》。

1.总体层次风险管理内部审计准则修订的建议

首先，第5号《内部控制审计》和第16号《风险管理审计》这两个准则可以合二为一，因为内部控制与风险管理涵义相同，所以不需要分别制订两个准则，可以用一个准则来涵盖这两个准则所包括的内容。也可以考虑为新修订的《内部控制审计》准则制订一个《风险评估》实务公告，将现行《风险管理审计》准则中的内容涵盖在内。

其次，第21号《内部审计的控制自我评估法》与新修订的《内部控制审计》准则之间的关系要理顺。《萨班斯法案》颁布以后，美国上市公司管理层内部控制自我评估和会计师事务所的内部控制审计成为法定要求。依《萨班斯法案》成立的美国上市公司会计监管委员会（PCAOB）先后制订了第2号和第5号审计准则来规范会计师事务所对内部控制的审计。2007年6月的取代第2号审计准则的第5号审计准则命名为《与财务报表审计相结合的财务报告内部控制审计》。同年，美国证交会（SEC）《管理层财务报告内部控制指引》，对上市公司管理层内部控制自我评估进行规范。中国财政部等五部委为加强内部控制监管，也于2010年4月了《企业内部控制配套指引》（含《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》）。

PCAOB第5号审计准则和中国五部委《企业内部控制审计指引》，都是内部控制审计准则，是站在注册会计师审计的立场做出的规范。而SEC《管理层财务报告内部控制指引》则是对管理层内部控制自我评估的规范。与之对应的是中国五部委的《企业内部控制评价指引》，这一指引的正是为了规范审计部门开展内部控制自我评估工作。那么，在中国监管当局已经内部控制相关规范的背景下，第5号准则《内部控制审计》该如何修订？第21号准则《内部审计的控制自我评估法》该如何定位？

在中国五部委《企业内部控制配套指引》后，按要求必须执行的公司，其审计部门每年都要对内部控制进行自我评估，其董事会要据此出具内部控制自我评估报告。内部审计部门进行自我评估的标准就是《企业内部控制评价指引》。因此，中国内部审计协会对第5号准则《内部控制审计》修订时，有必要吸收和借鉴《企业内部控制评价指引》的规定，以便于内部审计人员同时遵循这两个规范的要求。而第21号准则《内部审计的控制自我评估法》则是规范企业内部管理人员进行内部控制自我评估的准则。评估的主体是企业内部管理人员，内部审计部门主要扮演组织者和咨询专家的角色，所以在标题中不宜突出内部审计的作用。建议将题目改为《内部控制的自我评估》，以示与《内部控制审计》准则相区别。同时，在行文中，要避免出现内部控制审计的说法。若有，相关条文也应该直接与《内部控制审计》准则衔接，不宜再行做出规定。

2.具体层次风险管理内部审计准则修订的建议

具体层次风险管理内部审计准则修订主要是要理顺它们与新修订的《内部控制审计》准则之间的层次关系。从层次关系来看，它们与新修订的《内部控制审计》准则之间是主从关系，《内部控制审计》准则居于主导地位，具体层次风险管理审计准则居于从属地位，其相关规定不能逾越《内部控制审计》准则。同时要明确，第12号《遵循性审计》准则是为了防范企业全面风险管理中的合规风险；第25号《经济性审计》、第26号《效果性审计》和第27号《效率性审计》准则是为了防范企业全面风险管理中的经营风险。也就是说，“3E”审计并非游离于《内部控制审计》准则之外，它是《内部控制审计》准则的延伸，是对《内部控制审计》准则中为防范经营的效率与效果风险和合规风险而开展的相关审计工作的具体规范。审计人员在年度内部控制自我评估时，应该运用具体层次风险管理审计准则的要求，全面评估企业风险管理中存在的问题。而在日常审计工作中，则可以就某一部门、某一业务、某一流程、某一项目分别运用《遵循性审计》、《经济性审计》、《效果性审计》和《效率性审计》等准则进行专项审计。

这样看来，新修订的总体层次的风险管理内部审计准则有两个，即《内部控制审计》和《内部控制的自我评估》；具体层次的准则有四个，分别是《经济性审计》、《效率性审计》、《效果性审计》和《遵循性审计》。同时，建议从总体层次到具体层次连续编号，或借鉴中国注册会计师审计准则的编号方式进行分类分层编号。此外，还可以制订几个相关的实务公告，如《风险评估》、《内部控制的自我评估》等。

参考文献：

伯利，米恩斯.2005.现代公司与私有财产[M].甘华鸣，罗锐韧，蔡如海，等，译.北京：商务印书馆.

财政部，证监会，审计署，银监会，保监会.2008.企业内部控制基本规范[S].

陈毓圭.2004.对风险导向审计方法的由来及其发展的认识[J].会计研究（2）：58—63.

法约尔.1982.工业管理与一般管理[M].周安华，林宗锦，展学仲，等，译.北京：中国社会科学出版社.

刘玉廷.2010.全面提升企业经营管理水平的重要举措：《企业内部控制配套指引》解读[J].会计研究（5）：3—16.

王泽霞.2005.论风险导向审计发展创新：管理舞弊导向审计[J].会计研究（12）：49—54.

谢荣，吴建友.2004.现代风险导向审计理论研究与实务发展[J].会计研究（4）：47—51.