内部审计部门的使命之一是确保组织围绕其风险进行有效的治理和管理。但内部审计部门自身呢?
内部审计部门面临与公司其他职能部门相似的风险。如果内部审计师不能适当地管理自己的风险,他们很难教给其他人如何有效管理风险。
内部审计的风险管理应该像其他风险管理项目一样处理风险。
审计职能需要确定所有相关风险,进行风险评估,设定其风险偏好,减轻、管理、避免、转移或接受风险,并不断监测风险。
内部审计背景下的风险可以被定义为一个不确定的事件或情况,如果这个事件或者这种情况发生,至少会对一个内部审计目标产生影响。
因此,内部审计应从董事会以及审计委员会批准的内部审计章程入手,检查审计任务和目标。
通过了解内部审计的主要目标,审计师可以辨别出可能阻止他们实现这些目标的风险。
最重要的风险之一是战略风险。对内部审计来说,一个风险是该部门在组织内是否具有战略位置,以实现公司目标。
其他考虑因素包括部门是否有权力,具有独立性和客观性来提供保证,并帮助组织改进其风险管理; 是否将重点放在确认服务或财务问题解决上?审计团队是否有合适的工作人员。
当审计策略不符合组织的整体战略时,也可能出现战略风险。
例如,这种情况可能发生在一个正在计划扩展到新兴市场的组织中,内部审计没有能力覆盖与扩张相关的反贿赂和外国腐败风险。
每个组织都是不同的,但是首席审计主管(CAE)通常可以通过内部审计章程来处理这个风险,与董事会,高级管理层和其他利益相关者进行沟通,并确保风险评估和审计计划是适时的。
诚信是任何审计职能的最重要的资产。声誉风险可能会给内部审计工作进行负面宣传,导致对内部审计部门信任度下降。
对内部审计的误解可能会损害内部审计实现其目标。此外,声誉风险可能来自操作或合规风险。
这种风险可以通过一些措施进行管理:维护利益相关者之间及时、高效的沟通,加强道德操守,提高全体员工的认知,制定全面的审计方法,重点关注风险和建立内部控制,及时、准确地向利益相关者作出反应,建立快速反应的团队以应对对该声誉产生负面影响的重大举措。内部审计职能的战略位置也可以更好地保护自己的声誉。
合规风险对内部审计师来说变得越来越重要,特别是在高度管制的行业,如大型银行。
例如,美国货币计量局制定了“加强标准”,其中包括有关内部审计的作用和职责的指导原则。联邦储备银行发布了关于内部审计职能及其外包的补充政策声明。
随着审计部门深入了解数据分析,遵守保护消费者数据和跨境隐私法可能成为一个问题。
管理这种风险的关键是完全依照法律法规,并通过内部审计自身的政策和程序解决问题,确保遵守规则的能力。
独立质量保证团队进行的内部审查可以帮助确定潜在问题并防止违规事件的发生。
除了以上风险,与内部审计日常活动最相关的风险是运营风险,包括人员,流程或技术缺陷引起的风险。像其他部门一样,内部审计具有明确的业务目标,例如完成年度审计计划,验证审计确定的问题,依据既定的预算维持成本,开发技术型员工。
内部审计部门应采取系统的方法来管理运营风险,包括创造运营风险偏好,发展关键绩效和风险指标,监测和采取行动减轻风险。
例如,为了确保审计计划的及时完成,密切监督审计准备工作,实地工作的完成和报告日期等,可能会有所帮助。
关于团队质量保证审查结果的图表还可以使CAE能够识别执行审计团队的问题,并提供培训以补救风险。
一旦识别和确定风险,内部审计应制定监测和减轻风险的数值。颜色代码可以突出重点。
例如,如果超过20%的审计需要延期超过30天,红色状态可能表明按时完成审计计划的风险。如果一个团队的指标超过20%,那么现在可能是将变成红色并采取措施的时候了。
上述的数值取决于CAE的风险偏好,但也应考虑主要利益相关者的投入。
例如,CAE可能希望指定不超过5%的审计计划可能会转交到下一年。如果该目标似乎处于危险之中,则CAE应采取行动减轻风险。
例如,如果一年中某个时间的指标提高,预先谈判的安排可能有助于减轻未完成审计计划的风险。
此外,内部审计师至少在原则上应适用本组织的企业风险管理政策。
例如,当内部审计活动发生诸如接近失误的事件(几乎发生的事件)时,内部审计应提交内部事件报告,分析根本原因,并防止将来发生类似事件。
除了风险指标,数值和事件跟踪之外,还存在其他有用的工具。
例如,内部审计可以使用风险控制矩阵来执行风险控制自我评估,评估部门内部所建立的内部控制的适当性。
通过定期创建风险图库和相应的控制和自我评估,内部审计部门可以更好地防范自身的风险。
管理内部审计的战略,声誉,合规性,运营和其他风险的整体方法可以带来更一致的绩效。
此外,它可以使内部审计部门更好地帮助组织改进其风险管理流程。
来源:注册风险管理师
联系客服