企业风险评估报告例1

中图分类号：F272 文献标识码：A 文章编号：1001-828X（2014）010-00-01

风险评估工作与内部控制体系的建设相互促进、有机结合，是企业围绕总体经营目标，识别企业各业务单元、各项重要经营活动及其重要业务流程中的风险，并对风险发生的可能性和影响程度进行分析、评价和应对的过程。

总体而言，风险评估报告的结构至少应包括四部分内容：其一，企业情况概述，本部分就企业风险评估项目背景、定位与目标、理念与方案三大内容进行概括与总结，便于报告使用者理解本次风险评估工作的基本目标与方法；其二，风险评估实施过程，本部分是整个风险与内控体系建设工作的起点，旨在构建一个具有代表性又有扩展性的通用风险管理标准，从风险管理知识宣传、风险分类与定义、风险评估标准三大方面初步构建企业风险管理基础平台；其三，识别企业面临的重大风险，根据风险调查问卷和风险调研访谈，识别出企业面临的重大风险，以供企业管理层参考；其四，风险管理体系的建设，结合企业风险管理的现状，提出相应的改进措施，包括风险管理组织结构设置、职能设置、工作流程及工作防范建议。

以上四部分在风险评估报告中层层推进，构成完整的风险评估过程，以下作详细说明。

一、风险评估项目概述

（一）风险评估项目背景

本部分重点介绍企业的成立、发展沿革，行业背景，分子公司情况以及业务架构、组织结构等。编制企业风险评估报告的重要意义在于企业管理层希望借助风险评估项目，有效识别和评估影响本企业战略和经营目标的内外部风险源，并通过健全重大风险的应对与管控机制，有效地平衡好风险与收益，提高企业风险防范能力，从而防范和降低各类风险对企业经营的冲击，为企业实现战略和经营目标保驾护航。

（二）关于风险评估项目定位与目标

风险评估项目旨在达成三大目标：其一，建立风险管理基础，构建一个具有代表性又有扩展性的通用风险管理标准，统一企业的风险管理语言和标准；其二，明确重大风险领域，采用全面梳理与重点分析相结合的方式，识别和分析企业战略、经营、财务与合规领域中的重大风险，协助管理层统一对风险的认识；其三，团队能力建设与知识培养，加强和提高企业总部和各业务群管理团队对风险管理工作的参与度和认知，最大程度实现知识转移。

二、风险评估项目实施过程

（一）关于判断风险分类与定义

应从企业战略出发，参考COSO内部控制整合框架、行业风险数据库以及企业的风险管理实务，并结合企业的战略目标、实际情况等因素，建立适用于本企业的风险数据模型（即风险地图），从战略风险、运营风险、合规风险及财务风险四大方面对企业所面临的风险进行分类和定义，从而为统一公司的风险管理语言奠定基础。

（二）关于设立风险评估标准

为了对上述四大类风险的重要性进行评定并据此明确风险管理的优先次序和资源配置方向，应从风险发生可能性和风险影响程度两个维度建立符合企业实际情况的风险评估标准，以反映风险发生可能性由极低至极高，和风险影响程度由极轻微至灾难性的不同等级。

（三）关于实施风险评估过程

为了协助管理层更好地理解和评估风险，应以风险数据库和评估标准为基础，通过风险调查问卷的发放、收集与统计，风险调研与风险访谈等多种形式，在企业总部和业务群开展多层次、全方位的风险识别与评估工作。通过上述工作，不仅协助企业管理层评估重大风险领域所在，而且还能分析其可能影响的战略及经营目标，从而为企业明确风险责任，改进相关重点业务领域中的风险管控措施明确方向。

三、针对企业风险评估的调研结果

结合风险调查问卷与风险调研访谈的结果，企业管理层对影响本企业战略和经营目标实现的众多风险进行客观评估，并由此明确前几大风险的优先次序。这些风险可能是：产业（产品）战略和多元化、战略规划、市场营销、风险管理体系建设、公司高层的基调、品牌及声誉管理、销售模式、客户结构风险、人力资源规划及政策、组织结构等等。这些风险并不是独立存在，在实际经营环境中，各类风险往往互相影响、互相牵制，共同对企业实现经营目标产生影响。为此，还应对上述重大风险及其内在关系进行相应的逻辑分析，以协助管理层梳理各项重大风险之间的关系。

四、企业风险管理体系搭建

一套成熟完善的风险管理框架包括战略（目标）、风险以及流程与控制。企业战略处于企业管理及风险管理体系的最高层，是企业风险管理以及流程内控建设的出发点，风险管理体系必须紧紧围绕企业战略。风险则是影响企业战略管理体系的实施与战略目标达成的不确定因素，企业需要将外部环境、内部经营与战略目标进行对比，以识别出影响企业战略的重要风险。企业流程与管控体系则是风险管理体系的重要落脚点，完善的风险管理体系可以从企业的流程、制度等管控体系中识别出影响，并从风险管理体系的制度及流程建立风险应对措施。

（一）风险管理体系现状分析

一套完善的风险管理体系通常由业务部门、风险管理部门和内部审计部门组成的“三道防线”共同构成。通常，企业均能初步搭建起风险管控体系的三道防线，如：1.各业务部门负责关注各业务领域内的风险并采取相应的控制措施降低风险；2.企业管理部负责公司运营风险管理，对运营风险进行预警和控制，为公司的经营、管理决策提供可行性、合法性分析和法律风险分析；3.审计监察部主要负责集团的财务审计、经营活动审计及其他专项审计。

（二）风险管理工作规划

风险管理与内部控制体系的建设密切相关，相辅相成，没有完善配套的内控体系，风险管理就如同纸上谈兵、空中楼阁；而缺少风险管理的内控体系建设，会由于缺乏足够的针对性而效率低下、浪费资源。

无论是《企业内部控制基本规范》或是COSO ERM模型，都将企业的目标分为四大类别，包括：战略目标、经营目标、财务目标和合规目标。风险是影响企业目标实现的不确定性，而内部控制则是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。因此，企业有目标就会有风险，而针对每个风险就会有相应的内部控制，以管理风险，从而合理保证目标的实现。

风险评估项目实施过程中，应协助企业初步搭建结合先进理论基础、契合企业实际情况、符合国家监管要求的内部控制体系框架，将风险匹配到内控体系框架，并完成对该体系框架的评估、梳理和建设工作。

在此基础上，需要进一步开展风险管理工作，逐步完善风险管理和内部控制体系，依据风险分层管理、分类管理和集中管理的要求，建立符合企业自身特点的全面风险管理组织体系。另外，在充分考虑企业规模以及业务发展需要的基础上，针对近期及未来风险管理工作的重点，提出相应的参考及建议。如：完善企业风险管理组织架构中各管理层级的岗位职责。完善三道防线，其一，各风险责任部门的日常管理工作，包括，风险责任人、风险联络员等；其二，风险管理部门的管理工作，风险管理涉及公司的方方面面，建议由总裁、执行总裁等高级管理人员组成的风险管理委员会，负责公司整体风险管理工作，风险管理委员会下设风险管理部门，负责各业务部门风险管理工作的协调；其三，审计监督工作，审计监察部应对风险管理进行审查和评价，对风险管理工作进行监督，即对风险管理过程的设计和执行的有效性进行评价，并给出评价意见；审查和评价重大风险的评估和管理是否适当，将评价结果向审计委员会汇报。

风险评估工作结束后，形成风险评估报告，反映企业的风险及其分布状况，为领导决策提供支持。通过风险辨识、风险分析及风险评价，形成风险评估初步结果后，就风险评估结果的真实性、准确性向企业风险管理委员会征求意见，并根据反馈的意见，调整、修正企业的风险评估结果，编写出企业的风险评估报告，上报风险管理委员会或董事会进行审议。

参考文献：

企业风险评估报告例2

引言

现代风险导向审计明确了审计工作应以了解被审计单位环境，评估财务报表重大错报风险作为新的正确起点和导向，要求注册会计师全程关注财务报表的重大错报风险，并将风险评估作为整个审计工作的先导、前提和基础。但如何才能全面的了解企业所面临的风险，并评估其对财务报表重大错报的影响呢？本文拟建立一个基于企业风险管理框架理论的三维框架体系解决这一问题。

一、现代风险导向审计评述

随着现代企业规模的日益扩大，企业的经济活动和交易事项内容不断丰富复杂，审计工作的工作量和复杂度迅速增大。为了适应审计环境的变化和审计工作的需求，审计职业界逐渐改变了详细审计，代之以抽样审计，审计方法也从账项基础审计、制度基础审计发展到风险导向审计。根据对审计风险的理解和认识的不同，风险导向审计被划分为传统风险导向审计和现代风险导向审计两个阶段。

传统的风险导向审计运用审计风险模型“审计风险=固有风险×控制风险×检查风险”，将审计的视角确定于企业的管理制度，特别是会计信息赖以生成的内部控制制度。注册会计师通过了解企业及其环境、评价内部控制，对固有风险和控制风险做出评估，在此基础上确定检查风险，再设计和实施实质性程序，以将审计风险控制在会计师事务所确定的水平。由于固有风险的单独评估具有显知的难度，注册会计师往往不注重从宏观层面上了解企业及其环境，而将审计的起点定为企业的内部控制测试，只依赖对内部控制风险所作的粗放型评估来直接、大致确定检查风险水平，再据此规划实质性程序的性质、时间和范围。但是由于企业存在于整个社会经济生活网络中，所处的经济环境、行业状况、经营目标、战略和风险都将最终对会计报表产生重大影响，同时，当企业管理层通同舞弊，故意通过重大误导性的财务报表来伤害公司利益相关者时，企业的内部控制会失去效果。如果注册会计师不把审计视角扩展到内部控制以外，就很容易受到蒙蔽和欺骗，难于发现会计报表存在的重大错报和舞弊行为。

2003年10月，国际审计与鉴证准则理事会（IAASB）紧紧围绕如何提高审计人员评估风险、发现舞弊的能力，了4个修订和新起草的准则，其核心思想是合并原固有风险和控制风险，将审计风险模型修改为“审计风险=重大错报风险×检查风险”，同时修改审计业务流程，强调从宏观上了解被审计单位及其环境，以充分识别和评估会计报表重大错报的风险（风险评估程序），再针对评估的重大错报风险设计和实施控制测试和实质性程序（进一步审计程序）。

我国财政部也了《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风险》，并要求自2007年1月1日执行。该准则也明确了“了解被审计单位及其环境是必要程序”，要求“注册会计师应当了解被审计单位及其环境，以足够识别和评估财务报表重大错报风险，设计和实施进一步审计程序。”

二、构建财务报表重大错报风险评估的三维框架（图1）

经营风险与财务报表重大错报风险是相互联系又有区别的两个范畴。多数经营风险最终都会产生财务后果，从而影响财务报表，但并非所有经营风险都会导致重大错报风险。注册会计师需要通过一定的方法全面了解企业的经营风险并从中考虑经营风险是否可能导致财务报表的重大错报风险。

2004年9月，COSO的《企业风险管理――整合框架》，为人们提供了全面的企业风险管理框架。本文试图以此框架为基础，建立一个以风险管理目标为起点、审计业务循环为主线、风险管理构成要素为步骤的三维重大错报风险评估框架，以便从上向下的全面评估企业所面临的风险及其风险应对的有效性，同时以审计业务循环为主线，识别评估财务报表的重大错报风险。

（一）风险管理目标维度――起点

企业风险管理的目标是指主体力图实现什么。《企业风险管理――整合框架》将之划分为战略、经营、报告、合规四种类型的目标，认为主体应首先设定战略目标，并将战略目标分解成主体及其各单元努力实现的经营、报告、合规目标。

“注册会计师应当了解被审计单位的目标和战略，以及可能导致财务报表重大错报的相关经营风险”。注册会计师应了解：1.战略目标，包括被审计单位的行业状况及影响其经营的其他外部因素，与之相应的被审计单位的目标和战略；2.经营目标，包括企业为实现其战略目标所制定的次级经营目标，如市场占有目标、销售目标、采购目标、生产目标、投资目标、筹资目标等；3.报告目标，了解由企业编制的、向内部和外部散发的各种财务和非财务报告的内容及报告方式，特别是对财务报表报告有重大影响的企业的所有权结构、治理结构、组织结构，财务业绩的衡量和评价方式等；4.合规目标，了解被审计单位所处的法律环境及监管环境，包括适用的会计准则制度，影响经营活动的法律法规、政府政策、监管活动和环保要求等。

（二）审计业务循环维度――主线

业务循环是企业处理某一类经济业务的工作程序和先后顺序，一般可划分为采购与付款循环、销售与收款循环、存货与仓储循环、筹资与投资循环等。企业的经营业务流程与内部控制有着直接的联系，同时，循环审计也有利于审计分工，提高审计效率，因此业务循环审计被广泛应用于传统的内控导向审计中。

本文建立的三维模型，强调以业务循环为线，分循环了解企业风险管理目标和构成要素，以便于界定财务报表容易发生错报的领域及其错报的方式，主要原因如下：1.通过业务循环的划分，企业的所有交易和账户余额被分属于不同的循环，按照业务循环来解析企业风险，能够将风险评估的结果最终具体落实到账户的认定层次。2.“了解被审计单位及其环境是一个连续和动态的收集、更新与分析的过程，贯穿于整个审计过程的始终。”按业务循环来了解企业环境，评估财务报表重大风险，是与进一步审计程序中分业务循环设计和实施控制测试和实质性程序相一致的。

（三）风险管理构成要素维度――步骤

企业风险管理的构成要素是管理层经营一个企业所做的事情，是指主体应以什么样的方式来实现其目标。《企业风险管理――整合框架》将之划分为八个构成要素。注册会计师依照这八个构成要素可以全面了解企业面临的风险、采取的风险应对措施及其有效性，从而全面评估与经营风险相关联的企业财务报表的重大错报风险。

1.内部环境。内部环境是指管理当局确立的关于风险的理念，是企业组织的基调，影响企业组织中人员的风险意识。注册会计师应了解企业管理层的风险管理理念，风险容量，董事会的监督机制，企业中人员的诚信、道德价值观和胜任能力，以对企业的风险管理方式作总体的了解。例如，有效而独立的董事会运作机制能够有效的控制企业的经营风险，也将有效的降低财务报表错报的风险。

2.目标设定。目标设定是指企业管理当局在既定的任务和背景下，采取恰当的程序制定战略目标、选择战略，并制定相关经营目标，将其细分至企业的方方面面，从而确保所设定的目标支持切合企业的使命并与风险容量一致。注册会计师应以审计业务循环为线，了解企业的关键业绩指标、业绩趋势、预测预算、企业各部门单位的业绩目标等，从而推测相关人员的行为导向及可能导致的重大错报风险。例如，过高的销售目标易导致产生压货等各种形式的虚假销售，或使得企业对客户信用评估不重视，为了占领市场盲目扩大客户源，盲目赊销，最终导致销售收款循环的重大错报风险；本期及未来的融资计划，是企业为满足融资条件修改财务报表、管理关键财务指标的重要动机。

3.事项识别。事项识别是指企业管理当局必须能够识别可能对企业产生影响的潜在事项。注册会计师应询问管理层识别出的经营风险或与管理层讨论如何识别经营风险。例如企业各级部门是否实时关注与之相关的政策法规，企业是否具有常规的市场调研机制，是否聘请了法律顾问以规避法律风险，是否具备有效的内部审计机制，财务主管是否了解融资市场的利率及资金供应状况等等。

4.风险评估。风险评估是指企业应该考虑潜在事项如何影响目标的实现。注册会计师应与企业的管理层及各部门负责人讨论，以明确企业是否能够评估各领域的风险程度。例如，销售部门是否能够识别关键客户，采购部门是否有一定方法区分重要供应商，生产部门是否能够明确行业产品的发展方向并有与之相应的研究和开发活动等。

5.风险应对。风险应对是指管理者如何应对风险。注册会计师应了解企业的风险应对措施并评估其有效性。注册会计师应特别关注当被审计单位内部或外部对财务业绩的衡量和评价可能对管理层产生压力时，企业是否存在通过关联方交易、合并报表、会计政策选择等财务手段直接管理财务指标应对业绩评价风险的情况。

6.控制活动。控制活动是帮助管理当局实施风险应对方案的政策和程序。注册会计师可以以审计循环为主线，更多的关注企业为实现财务报告可靠性目标设计和实施的与审计相关的内部控制。

7.信息与沟通。管理者应当建立一套信息系统来处理和提炼大量的数据以形成可参考的信息，并在企业内部和外部恰当、及时、准确的传递。注册会计师应更多的关注“与财务报告相关的信息系统”。

8.监控―管理当局需要依赖监控确定企业风险管理的运行是否持续有效。“注册会计师应当了解被审计单位对与财务报告相关的内部控制的监督活动，并了解如何采取措施”。

【参考文献】

［1］ 中国财政部.中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风险［EB/OL］.http：//mof.省略，2006-2-15.

［2］ ［美］COSO.企业风险管理――整合框架［M］.方红星，王宏，译.大连：东北财经大学出版社，2005.

［3］ 陈毓圭.对风险导向审计方法的由来及其发展的认识［J］.会计研究，2004（2）：58-63.

企业风险评估报告例3

一、内部控制评估的涵义

根据COSO框架的定义，内部控制是受公司董事会、管理层和其他员工的共同作用，旨在为实现经营的效率和效果、财务报告的可靠性以及对适用法律法规的遵循，而提供合理保证的一种过程。其主要目的是合理地保证公司实现以下目标：遵守有关法律法规和组织内部规章制度；信息的真实、可靠；资产的安全、完整；经济有效地使用资源；提高经营效率和效果；实现企业战略。

内部控制包括控制环境、风险管理、控制活动、信息和沟通以及监督五个要素。内部控制评估就是围绕内部控制五个要素的健全性、合理性及有效性展开的，是指为保障内部控制系统的有效性，由相关机构和人员定期或不定期地审视内部控制系统的设计和执行情况，发现并改进内部控制缺陷的一系列过程。内部控制评估包括企业外部机构及人员（如事务所）进行的外部评估和企业内部机构及人员进行的内部评估。内部评估主要包括自我评估与独立评估两部分。自我评估是指公司相关机构和人员对所负责的内部控制有效性进行的自我审视和评价活动。独立评估是由企业内部审计机构和人员对内部控制所进行的一种独立客观的审查和评价活动。内部控制自我评估和独立评估是及时发现内控缺陷、促进内控有效执行和不断改进的重要机制，共同构成公司内部控制评估体系。

二、内部控制评估的目标、对象与原则

（一）内部控制评估的目标

内部控制评估的目标应从内部控制的目标出发，来对内部控制的设计和执行进行评价，考核内部控制所规定的目标实现与否。内部控制的目标包括合规目标、资产目标、报告目标、经营目标和战略目标。因此，内部控制评估的目标应是对以上五个目标的内控设计及执行的有效性进行全面评价。

（二）内部控制评估的对象

内部控制评价的对象是内部控制的有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度。从控制过程看，内部控制的有效性可分为内部控制设计的有效性和内部控制运行的有效性。内部控制设计的有效性是指为实现控制目标所必需的内部控制程序都存在并且设计恰当，能够为控制目标的实现提供合理保证；内部控制运行的有效性是指在内部控制设计有效地前提下，内部控制能够按照设计的内部控制程序正确地执行，从而为控制目标的实现提供合理保证。内部控制运行的有效性离不开设计的有效性，如果内部控制在设计上存在漏洞，即使这些内部控制制度能够得到一贯的执行，那么也不能认为其运行有效的。

从控制目标的角度来看，内部控制的有效性可分为合规目标内部控制的有效性、资产目标内部控制的有效性、报告目标内部控制的有效性、经营目标内部控制的有效性、战略目标内部控制的有效性。其中，合规目标内部控制的有效性是指相关的内部控制能够合理保证企业遵循国家相关法律法规，不进行违法活动或违规交易；资产目标内部控制的有效性是指相关的内部控制能够合理保证资产的安全与完整，防止资产流失；报告目标内部控制的有效性是指相关的内部控制能够防止、发现并纠正财务报告的重大错报；经营目标内部控制的有效性是指相关的内部控制能够合理保证经营活动的效率和效果及时为董事会和经理层所了解或控制；战略目标内部控制的有效性是指相关的内部控制能够合理保证董事会和经理层及时了解战略定位的合理性、实现程度，并适时进行战略调整。

（三）内部控制评估的原则

企业实施内部控制评估至少应当遵循以下原则：

1.全面性原则。评估工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

2.重要性原则。评估工作应当在全面评价的基础上，关注重要业务单位，重大业务事项和高风险领域。

3.客观性原则。评估工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

三、风险导向内部控制评估的程序

（一）确定风险领域，制定内控评估计划

内部控制审计人员应研究本企业内外部环境、经营状况、企业组织机构、行业特点等，结合企业管理目标，进行充分的调查，可采用问卷调查、座谈会等方式，初步确定企业所面临的风险，对重要性做出初步判断编制整体审计计划。

风险导向的内部控制审计把审计的焦点放在那些风险大、对企业实现目标影响大的事项上。在进行内控评估前，审计人员应对企业的风险进行识别、分析并分类，对组织目标实现有重要影响的风险事项进行重点评估。

（二）对确定的风险事项进行评估

评估中通常运用抽样、观察、分析、调查与评估等方法获取充分适当的有关风险及风险管理的证据，确认企业主要风险管理目标是否得到实现。将风险点与控制点结合起来进行评估。在风险导向内部审计理念下，在开展内控评估时，可采取先从重要风险领域分析判断可能对企业目标实现产生影响的风险点，进而在内控实施细则中寻找相应的控制点进行评估。在评估中如果有风险点而没有控制点，应及时对内控实施细则进行补充和完善，以确保及时防范重大内控风险，使内控评估成为一种积极、主动的全过程动态防范风险机制，为管理层进行风险管理提供有用信息，为公司治理提出建议和整改措施。

可以采取以下审计程序：（1）研究、评估与组织业务有关的当前的发展情况、趋势、行业信息及其他相关信息，确定是否存在可能影响组织的风险，是否存在监督、评价、管理这些风险的控制程序；（2）检查公司政策、董事会和审计委员会会议记录，确定组织的经营战略、风险管理理念、方法及风险偏好和风险接受程度；（3）检查管理层、内部审计师、外部审计师以及其他有关方面以前发表的风险评估报告；（4）与被审单位管理层及相关人员交流，了解被审单位存在的风险及采取的风险控制、管理措施；（5）独立评价被审单位风险管理程序的有效性，评估风险管理结果报告的充分性和及时性；（6）评估管理层风险分析是否全面、正确，风险管理措施是否适当，并提出改善建议，说明风险管理实务中存在薄弱环节的问题。

（三）得到评估结论，出具评估报告

内部控制人员在评估结束后，实施必要的审计程序后，以经过核实的证据为依据，形成评估结论与建议，出具评估报告。评估报告中一般包括单位内部控制工作组织安排，评估期间及范围，评估方法，所发现问题的表现、面临的风险、成因、影响、改进建议等，以及单位内控控制设计及执行是否有效的结论。

四、风险导向内部控制评估应注意的问题

（一）以风险管理理念为基准

进行内控评估时，应该以风险管理理念为基准。风险管理是企业经营管理的关键所在，内控评估的重点应该是确认风险及测试管理风险的方法，分析、确认、揭示关键性的经营风险，在评价标准、指标和权重的选择上均要把握风险管理理念，这是内控评估的焦点。

（二）应选取科学合理的标准

制定内部控制评价标准是进行内部控制评价的依据和前提。缺乏科学合理的评价标准而进行的内部控制评价，其结果可能不能真实反映企业内部控制的健全和有效与否。在对内部控制进行评价时，首先必须确定的是采用何种评价标准对内控整体乃至具体的内控项目进行评价。结合内部控制评估的目标，内部控制的评价标准可以选用结果评价标准和过程评价标准。结果评价标准就是要考核内控目标的实现程度，是基于内控目标而建立的一系列结果考核指标。过程评价标准的制定可以按照内控项目来进行，按照风险管理思想，根据风险管理框架的要素来设定控制标准。

（三）关注内部控制的经营与战略目标

内控评估目标包括合规目标、资产目标、报告目标、经营目标和战略目标五个方面，而在具体执行中，企业评估侧重点一般关注于合规目标、资产目标和报告目标，至于经营目标和战略目标受到的关注程度较少。从企业经营管理的角度，显然，经营与战略目标是最重要的。

在具体界定内部控制评价目标时，不同的评价主体可能对内部控制评价的目标界定也不同，如监管部门推动实施的内控评价，其目标可能更多地关注内控制度所达到的报告目标和合规目标；而企业自身进行的内控评估，其目标就不应局限于报告目标和合规目标，还应该包括内控对企业战略目标和经营目标实现的作用程度。

（四）完善内部控制评估的考核监督机制

我国许多企业根据有关规定制定了很多的内部控制条文，但多只注重制度的文字编写环节，以应付有关部门的检查、审计，而不管内部控制制度执行情况如何，使内部控制制度流于形式；同时发现的内控缺陷难以有效整改落实，大大降低了内控评估的风险防范作用。因此，建立健全内控评估的考核评价机制，对于强化内控执行、防范相关风险起着非常更重要的作用。对具体风险点与控制点流程中所有关键环节的内容建立目标和量化评价考核标准，细化内控考核细则；开展分类别内控评估工作质量评比，兑现考核奖惩，强化内控执行。同时，为保证内控缺陷的整改落实，可将内控执行情况、缺陷报告情况及整改情况与部门或个人的绩效考核挂钩，建立激励与约束机制。

参考文献：

企业风险评估报告例4

建议评估机构应在详尽了解企业改制目的及背景前提下，开展尽职调查，按操作规范进行职业判断。首先应尽可能制定详细、完善的评估方案，评估方法的采用应进行充分论证，并多和委托方特别是主管部门进行沟通，对评估的重点、难点做到心中有数。同时，各评估师应熟悉、掌握中央及深圳市关于国企改制的一系列法规及规章，严格依法评估。

二、评估机构进行整体资产评估时，将房地产评估机构评估结果并入评估报告的，评估报告所纳入房地产的评估范围与深圳市规划国土局的处置方案所确定的资产范围不一致，造成部分资产漏评，影响整个资产评估报告的使用。

建议评估机构应先核对资产评估明细表与深圳市规划国土局的处置方案所确定的资产范围是否一致。如有未纳入处置方案的房地产项目，应进行资产评估。对未经深圳市国土部门备案的非深圳地区房地产评估项目，评估机构应按规定实施评估程序并承担相应的法律责任。如果委托方已与房地产评估机构签订有关房地产项目评估业务合同的，特别提示资产评估机构，在与委托方签订业务约定书时要注意明确资产评估范围。

三、对于长期投资的评估，部分评估机构按照母子公司合并会计报表进行评估，不符合《资产评估操作规范意见（试行）》第四十九条和第五十条规定。

评估机构应按照规范的要求，先对被投资企业进行整体评估。根据拟改制企业占被投资企业股权比例，确定该项长期投资的评估值。控股和非控股的长期投资，都要单独计算评估值，并计到长期投资项目下，不要将被投资企业的资产和负债与投资方合并处理。

此外，评估机构应按照《资产评估报告基本内容与格式的暂行规定》的要求，简要介绍投资背景、被投资单位的概况，说明长期投资的种类、形成原因及对企业自身经营状况的影响；深入了解具体投资形式、收益获取方式和占被投资单位资本的比重，根据不同情况进行评估。建议评估机构着重说明长期投资以不同的方式评估的理由，并履行应有的资产评估程序。

四、在对国有企业产权转让项目评估中，部分评估机构未能在清产核资和审计的基础上进行评估，造成企业账面数，审计报告数与资产评估清查明细表数不一致，影响资产评估报告的合理使用。

建议评估机构在出具正式报告前，做好与审计机构的对接工作。企业申报账面值应与审计报告数一致，对评估需要调整的事项，应在清查调整值中进行调整，并需要企业予以确认。

五、评估机构擅自对应收款项评估为零。

对国企改制企业应收账款的评估，必须在恢复已计提的坏账准备的基础上进行。应严格按照深圳市国有企业改制有关文件的规定进行评估。对于按照有关规定可以核销的资产损失，经规定程序审批后方可予以核销。确保应收账款相关历史问题有案可查，防止有关责任线索灭失。

六、对于预计负债的评估，由于现有评估理论、评估准则及相关操作规范未有涉及，评估机构在评估中往往按企业经审计后的账面值予以确认，未能充分考虑预期可能获得的补偿及可能支付的确定金额。部分评估报告的前提条件和假设条件仍然为“未考虑现在及将来可能承担的抵押、担保事宜。”造成前提条件和假设条件与评估结果互相矛盾。

评估机构在具有充分理由对预计负债进行确认时，应考虑将前提条件和假设条件设定为“仅考虑上述担保事项，对资产评估结果的影响，未考虑其他现在及将来可能承担的抵押、担保事宜。”应特别关注企业在承担连带责任担保的情况下，担保单位享有的拒绝履行担保责任的抗辨权以及在履行担保义务后所拥有的向被担保单位的追偿权。并说明上述事项可能对评估结果所产生影响的程度。关注企业与被担保公司是否存在反担保合同，对企业为各子公司担保的预计负债，应核实被担保公司是否存在重复挂账问题，对预计负债的确认应保持职业谨慎态度，并做到所确认的预计负债证据充分、计量合理。

七、执业风险意识仍有待提高。部分机构未能充分关注资产评估目的行为与评估结果的对应关系，对重大事项未充分履行如实的告知义务，对重要事项影响企业净资产的程度揭示不深，对资产评估风险易发生区域把握不够准确。

企业风险评估报告例5

一、信用评价的利益链分析

(一)被评价单位和专业评估机构之问的利益链分析

被评价单位作为评价的客体，希望信用机构对其的评级提高，这样其发行的股票、债券等金融工具因为企业的信用好能够取得更好的报酬。所以被评价企业愿意拿出超预期报酬的一部分与专业的评估机构分享，通常采用超量购买评估报告的手段将所获得的利益转移给专业评估机构。当潜在的风险没有暴露时，评估机构还可以通过提高被评估企业的信用等级获得服务费和评估报告销售收入。这样就使得被评估企业和评估机构之间的利益链条非常紧密。

(二)专业评估机构和评估的监管部门的利益链分析

评估的监管部门为节省监管成本，通常依赖评估企业的评估报告，而评估机构的规模大小就成为监管部门选择评估机构的主要因素，如果评估机构规模越大，则监管部门使用其评估报告的几率越大，这样规模效应的影响就使得专业评估机构形成垄断经营，小的评估机构只能在夹缝中生存，破产、倒闭的风险是很大的。垄断经营就会产生超额的垄断收益，在给评估机构带来垄断收益的同时节省了政府监管部门的成本，所以评估机构和监管部门形成了稳固的利益链。

(三)专业评估机构和上市公司审计机构的利益链分析

一般注册会计师审计的主要依据是上市公司的凭证、账本和报表，而上市公司的证账表中反映的资产、净资产等很多情况是依据评估机构的评估报告而体现的价值，如果评估机构给的信用评级高，则被评估企业的股票价值就高，全部反映在股东价值的增加中。股东希望评估公司给出好的评估信用，当被评估企业聘请审计机构对其报表进行审计时，由于信息的不对称，审计机构在节约审计成本的基础上往往不会发现潜在的风险，所以审计机构对专业评估公司的评估报告依赖程度很大。专业评估公司的规模和信誉越高，风险越小，审计的成本越低，所以审计机构力挺垄断的专业评估公司，主要的利益途径就是出具审计报告和评估报告的时间越快，出具无保留意见的可能性越大。专业评估机构的风险就在审计机构里放大，使得两者息息相关。

(四)评估报告的使用者和专业评估机构的利益链分析

有些报表使用者对专业评估机构的规模很信赖，认为评估机构的规模越大，评估的信用就越真实，促进了专业评估机构的垄断地位的加强，垄断收益的增加，同时报表使用者的风险也被加大。当报表使用者由潜在的投资者成为真实的投资者时，如果买了债券就是债券人，如果债券的评级下降，则债权的价值下跌，如果成为企业的所有者，企业的评级下降，则权益的价值下跌，信用评级对转化了的潜在投资者还是至关重要的。他们不希望专业评级机构降低后续评估的信用等级。

所以专业评估机构和多方存在利益链关系，这种多方的利益需求均需要高结果的评估报告，最终这种高信用等级容易产生盲目投资，使得经济泡沫越来越大。

二、建立中国民族信用评价体系的必要性分析

中央财经大学做出的调研报告显示我国目前三分之二的信用评级市场是由美国的信用评级机构控制，美国的三大信用评级机构分别为标准普尔、穆迪投资服务公司和惠誉国际信用评级有限公司(除了惠誉有着欧资背景，是美国控股公司外，其余两家皆为纯粹的美国公司)。代表美国利益的国际三大评级机构在中国进行评估使用双重标准，对美国信用评估的结果高，对中国的信用评估结果低，这样中国的流动性货币就转移到国外，但是经济泡沫使得投资的风险加大，这种风险由中国的投资者承担。正是由于他们在中国市场上的垄断地位，使得美国政府的经济利益得以保护。

最近，在美国的两党为要不要进一步举债争执时，标准普尔借机下调美国债券的信用等级来维护自己的声誉，同时压缩经济泡沫，这种做法显示了外来专业评估机构的信用评级的不真实、不客观性。如果让国外的评估机构对中国的关键领域进行评估，则国家机密有可能被泄露，国家利益受损。综上所述，国外专业评估机构的不负责任的做法，及中国争取金融话语权的需求，使得建立中国民族信用评价体系的构建成为必然。

三、中国民族信用评价行业的缺陷

(一)评级市场过度开放

2005年央行通过对12家评级机构的各方面考察，确定了大公国际、中诚信、联合资信、上海远东、上海新世纪5家机构从事银行间债券市场的评级业务资格，但是随后美国以参股、控股的方式曲线控制了国内4家信用评估机构：2006年上海远东由于“福禧短融”事件信誉受损而被新华财经(美国控制)公司收购62％的股权；同年，穆迪参股中诚信49％的股份，并约定七年后持股51％达到控制；2007年，惠誉参股联合资信49％的股份取得了经营权，标准普尔也与上海新世纪开始了战略合作。穆迪、标准普尔、惠誉三大评级公司也都曾与大公商谈控股或控制问题，虽遭到拒绝，但中国目前五大机构证件齐全的信用评级机构也仅有大公在坚持民族品牌的发展，其余已经被美国控制。中国民族信用评估机构规模小，而且数量少、评级市场过度开放、无人监管或监管不到位的状态下面临被国外收购或夹缝中生存的状态。

(二)缺乏评估方法和模型的研发

中国民族信用评估机构多数在采用国外现有的评估模型，如表1所示。

每个模型都有自己的优缺点，而信用评估离开特定的评估机构和评估对象没有任何意义，应该结合被评估企业的宏观经济与监管环境、行业背景、企业基本经营与竞争情况、管理战略与公司治理、财务状况以及突发事件风险、支持协议与担保等方面进行综合分析；特别是信用风险与国家的政治、经济、文化等有密切关系，随着经济发展水平、法律体系、国民素质不同，信用风险会有很大的不同。不同国家、地区和企业形成信用风险的因素有极大的特殊性。信用评估企业应结合特定的评估主体的具体情况采用不同的方法，针对中国的特殊性开发研究自己的评估模型，建设民族信用评估机构。

四、中国民族信用评价体系建设的建议

(一)打造品牌开拓市场

中国的民族信用评价业虽然已经进入规范发展阶段，但是评估机构的准入较严，资质的发放也较困难，再加上对专业性人才的需求强、获利慢而少等特点使得社会资金投入较少。合格企业数量少、规模小等现象不利于中国民族信用评估企业的发展。中国需要打造自己的品牌在国际上争夺自己的金融话语权，在国内根据情况构建自己的评估模型，打造中国特色的信用品牌，开拓市场。国际信用评估企业的建立也是有其特定的背景和

特点的，例如政府特许经营、权威性、非市场竞争性等，我们可以按照这样的规律来帮助民族信用评价企业发展。

(二)解决信用评价利益链问题的方法探讨

构建中国民族信用评价体系，解决垄断地位下，信用评级背后的利益分配和风险承担是问题的关键。

1　被评价单位和专业评估机构之间的利益链问题

我国应建立相关法律规范，规定被评价单位对评估报告的购买量限制，若被评估单位超额使用评估报告的话，需要申请批准，同时给评估报告定价格范围。以避免被评估单位和信用评估企业之间的利益转移。

2　专业评估机构和评估的监管部门的利益链问题

为了实现对外争取金融的国际话语权，对内维护本国评估行业的生存，监管部门要扶持中国的评估机构。首先应划定信用评级企业的归属部门，针对目前评估机构难生存的局面，加强评估机构的相关立法，建立引进社会资金的机制，必要时适当建立补贴机制。在涉及国家机密的行业要使用自己的民族信用评价企业，在不涉及国家机密的行业可以采用国外的评估机构和国内评估机构的双重报告。

3　专业评估机构和上市公司审计机构的利益链问题

评级机构属于咨询公司，而不是鉴证机构，所以信用评级不承担评级结果的法律责任。它们以盈利为目的，在盈利和声誉之间求平衡，不对违约的时间、违约率做直接的预计，其信用等级是在经营风险和财务风险中平衡的结果，所以审计机构利用其出具的具有风险的评估报告会放大审计风险。为了维护审计报告使用者的利益，审计报告的风险应该在审计报告中披露。

(三)加强信用教育，提高信用意识

要想促进中国的民族信用评级企业的发展，必须改变对外国评级机构的依赖。国外大评估企业的信用评估结果不一定优于本国，要让投资者明白信用评价中介在资本市场的巨大作用，使投资者明白只有站在投资者立场考虑问题，并做公平、合理、及时的评估的信用评级机构才是可以真正信赖的。不断加强对国民的信用教育、提高国民的信用意识。

主要参考文献：

[1]延红梅，民族品牌与国际化：中国信用评级业的发展之路――访大公国际资信评估有限公司总裁美建中[J].中国金融，2006(16).

企业风险评估报告例6

由于企业在市场的复杂环境的影响下，随着供求关系以及各种因素的变化幅度变大，使得企业的生产目的和经过检验下的劳动成果之间存在不确定性，企业的收益以及付出的成本也无法确定，企业的生产和付出的代价能否获得回报和收益变得充满风险，风险也是由此而来，并且对于收益来说，一般与风险是正比的，但是风险不只与收益相关，企业的损失也要评估相应的风险，此时企业的经营活动很难获得收益，只能评估和尽量的减少损失。

企业出于安全性和稳健经营的考虑，也为了应对现如今愈加激烈的市场竞争，审计工作得到了更多人的重视和拥护，企业着重考虑投资和生产的安全性，就不得不依靠审计工作的风险导向方法来评估整个企业的运营风险，随着企业资金规模的扩大，财务报告的制定牵动着企业的总体发展形势，之所以会发生重大的风险，审计工作主要关注的就是财务报告中存在的大量不实和舞弊的现象，涉及到了严重的舞弊风险。企业迫切希望通过建立正确的领导层管理理念以及加强具体业务执行过程中的管控力度，最大限度的防止舞弊现象发生。这就需要审计部门的管理层高度的重视风险的导向以及发生的原因，从内部控制的角度发挥应有的作用，以应对企业组织形式和业务日趋复杂化带来的不同种类的利益和回报，审计人员的风险来自于针对财务报告的评估和建议，一些审计人员在明知财务报告出现了重大错误会导致舞弊风险的情况下，受到利益驱动而提供了虚假的评估报告以及不合理的意见，加剧了风险发生的概率，以致于企业内部审计控制机制受到巨大损害而无法运转。

一、风险导向审计相关的概念

企业财务报告的重大错报风险一直是企业主要的审计风险，风险导向审计及时以企业发展战略的角度，系统性的评估和指导重大错报风险的审计过程，通过风险导向的评估和检查，以此来降低企业由于错报风险导致的经营和舞弊等风险。

一般来说，企业由于常年的经营和不断的调整，会存在一些难以根除的固有风险，这些固有风险来源广泛，引起的原因也是多种多样，比如会计人员和管理人员的水平以及能力，会对会计报表或者财务工作产生不确定性的影响，还有企业处于何种行业发展环境、业务的种类以及资产资金周转所导致的风险，而内部审计控制机制难以对这些风险开展防治和纠错，存在巨大的审计风险，风险导向审计就是针对这种审计工作本身存在的风险进行检查和评估，合理的配置审计资源，建立审计风险的模型，确立并完善了风险导向审计方法的运用以及流程，在理论上解决了在审计工作中通常存在的一些问题，为审计工作保驾护航。

二、如何实施风险导向审计

使用风险导向审计包含三个步骤，首先是风险评估，在这个阶段主要是进行风险评估，根据可能存在的风险编制审计计划。其次是风险应对，这个阶段是获取审计证据设计和实施审计程序。最后是报告阶段，这个阶段是评价获得的审计证据，编制审计报告。

制定审计计划时，审计师应保持职业怀疑，认识到可能存在的重大错报的财务报表。审计师获取的审计证据应当充分、适当，从而将审计风险降低，直至能够接受，从而得出合理的审计结论。

主要包含以下步骤，风险评估是指导致财务报表发生错报的可能风险。风险应对是针对识别发生的事项，是最终的财务报表错项能够被识别。报告：根据获得的审计证据，哪种审计意见对财务报表是恰当的？

风险评估阶段审计组应根据经验对被审单的情况进行充分讨论，对管理层的诚实和诚信做出推断并保持职业怀疑，用以制定审计策略和具体审计计划，已确保审计人员为达到审计目标收集最关键潜在的错报领域的审计证据。

风险识别是制定审计计划的关键步骤，而导致风险的形成是因为审计人员没有在第一时间识别出经营风险和舞弊风险，导致对其不能进行正确有效的评估记录，也就设计恰不出恰当的审计对策。

风险应对，审计的目标主要是针对评估中出现的重大错报，通过恰当的设计和措施获取充分的审计程序，将审计风险降至可接受风险范围内。在执行审计程序过程中，可以融入不可预计性，例如，不宣布存货盘点时间等，用特别的审计程序处理管理层凌驾的可能性。

报告阶段，形成准确的审计报告是审计的最终结果。通过与被审计单位的员工或管理层进行沟通，评价获取的设计报告，形成已执行审计程序的结论，根据审计发现的情况形成审计意见，最终形成审计报告。

三、风险导向审计的优点

1.看待问题更加全面细致，有利于风险的评估

风险导向审计方法随着在审计工作中的应用和创新，已经改进了以往在评估财务报告时的重大错报风险的方法，创新了工作模式，可以帮助审计人员能够以更为全面和准确的视角开展风险的评估，从而就更加高效的实现审计的目标，而这种创新和改进式的方法是一种补充，是对传统的风险导向审计方法的扩展，并不是取而代之，使风险导向审计更加具有针对性和全面性。

2.审计人员可以灵活调配工作任务，提高审计工作效率

由于风险导向审计的对象不存在财务报告中的具体交易内容以及资金额度，那么在企业经营状况比较稳定的时期内，审计部门就可以科学合理的分配风险导向的相关工作，审计人员可以从容的布置工作任务，以更加合理的分配方式和通力合作高效完成审计工作，这不仅节省了审计工作职员的大量时间，而且提高了审计工作的准确性和效率。

3.及时发现问题，及时交流沟通，强化防范风险能力

风险导向审计方法注重检查关于内部审计管控中出现的一些问题和不足，能够清晰的掌握问题出现的原因，在此基础上听取和征询企业管理人员的意见和建议，为管理人员决策提供嗜返男畔⒆柿希并且起到督促和监督的作用，提高相关部门的执行效率和水平，及时的防范风险，并制约和限制容易出现的舞弊行为。

风险导向审计的关键作用在于及时的发现一些审计风险，特别是针对财务报告的错报风险，对于防止舞弊行为的发生起到了至关重要的作用，避免了审计工作及其相关制度的失灵，提高内部控制机制的权威性，有助于揭穿试图掩盖舞弊和造假的行为，能够净化企业的管理层团队，将害群之马清除出队伍，风险导向审计的出现，跳出了固有内部控制工作方法和理念的束缚，而以审计的风险评估为工作的基础，综合的分析影响企业开展正常经营和交易活动的多种因素，确定风险范围和审查要点。

四、风险导向审计发展的现状

风险导向审计方法不但提出了针对审计风险的防控方案，而且建立了风险防治的模型完善了方法的运用过程和程序，但是风险导向审计只能够对财务报告中的个别因素导致的风险进行有效的防控，不能全面的防止审计风险的发生，还存在一些缺陷和不足，不能以总体局势的角度做到面面俱到，而且也损害到了风险导向方法的准确性与可行性。

五、执行风险导向审计存在的问题

随着信息技术的发展，推动企业建立了信息化管理，而且还在开展进一步的完善和深化工作，审计工作要适应新的问题，风险导向审计的运用方法也要进行创新，但是在全球化背景下，形式以及整体态势的变化也波及到了审计工作，审计工作针对新信息系统和复杂变化还没有形成统一的、合理的标准化工作制度，风险导向审计的适用范围模糊不定，我国的很多工作标准还在借鉴一些发达国家的要求，以外来的标准为导向，大大制约了我国风险导向审计的创新发展，多数情况下也不适用于我们的本土企业和基本国情，还需要进一步的开展关于标准和规则的探索和制定。

六、结语

风险导向审计是在时代背景的深刻变化的影响下的产物，充分的体现了企业经营和组织形式的多变与复杂，对企业的会计核算工作和财务报告形成了不同种类的利益驱动力，加大了企业的可能性，也加大了企业经营的风险。本文以多个角度来阐释风险导向审计方法，包括风险导向审计的实施、优势、存在的问题以及发展的前景，充分表明舞弊的发生就来自于企业内部的控制不健全，是由于内控机制的缺陷所导致的严重后果，而且愈演愈烈。因此，随着企业的组织形式、经营方式和业务种类的变化或者增多，内部审计控制的机制也应该与时俱进，及时的做出反应，运用和创新风险导向审计方法，全力防范舞弊风险等经济和运营风险，以加强企业内控的目标，不断强化审计工作的重要性，更加注重风险导向审计在审计工作中的运用和实施过程。

企业风险评估报告例7

1.保证服务

内部审计主要提供以下几方面的保证：

1.1保证风险管理框架的设计合理

合理恰当的风险管理框架是风险管理活动有效运行的基础。合理的风险管理框架应至少包含以下内容：清晰的风险战略、政策以及标准；风险讨论和交流的讨论会；风险的责任以及管理风险的权威被清晰的确定以及分配给关键的员工；组织内有效的双向交流，从而保证政策在有效的被执行；适当的风险管理过程和程序；监控和审查风险的管理等。内部审计应当审查有关资料，确认企业是否存在风险管理框架，如果还没建立风险管理框架，内部审计应协助管理层建立合理的风险管理框架；如果存在，内部审计应继续审查现存的风险管理框架是否全面、合理的，如果不合理，内部审计提出相应的改进建议。

1.2保证风险被正确识别

风险被正确识别是进行风险管理的前提，即要确定企业正在或将要面临哪些风险。内部审计要对管理层识别风险的充分性进行评价，即审查企业所面临的主要风险是否均已被识别出来，并找出未被识别的主要风险。采用的方法包括决策分析、可行性分析、统计预测分析、投入产出分析、流程图分析、资产负债分析、因果分析、损失清单分析、保险调查法和专家调查法等。

1.3保证风险管理被恰当衡量

风险衡量是指应用各种管理科学技术，采用定性与定量相结合的方式，估计风险的损失程度和发生的可能性，并找出主要的风险源，以便以此为依据，对风险采取相应对策。内部审计对管理层进行的风险衡量结果进行再检验，以确定其是否恰当，对不恰当的估计予以更正。

1.4保证关键风险被有效管理

在管理层选定某一风险管理策略后，内部审计应在剩余风险的基础上对风险所采取的防范措施进行检查，即从企业总体的角度或者组合风险的角度重新计量风险，审查剩余风险是否在符合企业的风险偏好以及是否在企业的可容忍水平，从而评价风险管理策略是否充分得当。对于风险缺乏充分的控制措施的情况，内部审计人员应提出改进措施和建议，以强化企业的风险管理，降低风险损失。

1.5保证风险报告被恰当进行

风险管理要有效运行，必须保证风险被恰当、及时地报告，从而有关管理人员可以针对风险管理过程出现的问题及时采取恰当的措施，保证风险被有效管理。内部审计一是审查风险管理的报告线路设计的合理性，即是否能在企业内向上、向下和横向畅通地报告有关风险信息；二是审查风险报告的实施情况，即是否按照预期的方式进行风险报告和反馈。

2.咨询角色

为了增加企业价值，内部审计正从传统的保证角色向咨询角色转变，常常需要给予管理层关于运行风险管理过程的积极建议。这些咨询业务将改进企业的风险管理以及控制过程，特别是，当企业风险管理系统尚未建立或不完善时，内部审计可以提供更多咨询服务:

2.1协助管理层建立风险管理框架，发展企业共同的风险语言，并使之在全企业得到贯彻理解。

2.2与管理层分享内部审计在风险管理和控制中的专业技能和知识。把内部审计的技能和管理层的第一手资料结合起来，使内部审计使用的分析风险和控制的工具为管理层所用。

2.3对企业员工进行风险管理知识的培训，促进风险确认和估计研讨会，为管理层确定和评估风险提供建议。

2.4协助管理层确定管理风险的最好方法，促进管理者对风险做出恰当的管理。这主要通过企业和领导研讨会类型的讨论，而不是内部审计直接参与风险管理活动。

2.5协调整个企业风险管理过程，特别关注风险管理中的关键控制。内部审计可以积极协助企业进行风险管理过程的初步建立工作，但更为积极的作用是通过改善企业基本程序的咨询工作对传统保证业务进行补充。但这些协助工作不能超出正常的保证和咨询范围，以免损害独立性。也就是说，内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。因此，提供咨询服务时，内部审计为保持独立性和客观性，不应提供以下服务：（1）风险管理决策。内部审计的责任是提供建议以及支持管理层决策的制定，而不是自行进行风险管理决策。风险管理决策是管理层责任，内部审计不能越俎代庖。（2）设定风险偏好和风险容忍度。风险偏好和风险容忍度的制定是董事会和管理层的责任，内部审计的责任是根据企业设定的风险偏好和风险容忍度审查风险的管理是否恰当，风险是否被降低到可容忍水平之下。（3）基于管理者的利益监控风险管理活动。管理者的利益可能与企业整体利益冲突，因此内部审计不应基于管理者利益管理风险，而应根据整个企业的利益监控风险管理过程。

企业风险评估报告例8

全球企业社会责任发展新阶段要求企业将社会责任融入决策机制、日常运营管理。G4体现了这一趋势：指南新增指标中近三分之一为公司治理指标，强调公司治理结构要体现对环境和社会影响的管理，特别是最高治理机构在管理经济、环境、社会风险方面的决策机制应在报告中予以披露；新增商业道德和诚信议题；此外，指南要求企业在运营过程中对重点议题管理方法的披露更加细致。这要求企业真正将社会责任管理作为企业风险管控的工具，纳入公司战略决策，融入管理体系和业务流程。

二.强调供应链社会责任管理

G4要求企业披露更多的供应链管理信息，说明其在商业实践中促进和带动供应链企业履行社会责任情况，如供应商环境影响评估、劳工实践评估、人权评估、社会影响评估等。这要求企业要把供应商的潜在风险纳入自身风险管理体系中，建立健全供应链管理办法、监督体制，特别是在供应商筛选、进出机制方面将环境、劳工、人权、社会影响等因素纳入系统考虑，推进产业链健康良性发展。

三.突出对核心议题的披露

企业风险评估报告例9

则

第二条

集团公司负责培训外审和企业主要内审专家，参与和督导企业第一次风险控制评估工作;分、子公司生产领导和职能部门负责风险控制评估内审把关和外审组织工作；基层企业应组织相关人员学_和把握风险控制评估标准要求，组织做好内审工作。

第四条

未开展安全生产标准化达标的企业，应随安全风险控制评估外审工作同步开展。特许经营项目部应视同发电企业的一个部门（车间），并按要求同步开展内审工作。

第六条

企业安全风险控制评估工作应纳入企业年度“两措”计划，确保费用落实。

第八条

本细则适用于集团公司各上市公司、分公司、省发电公司以及基层发电企业。

第二章

第十条

体系运行效果评估

每个要素的目标、指标完成情况与流程节点管控情况应一并进行查评，各要素运行效果判定标准如下：

2.目标完成、指标部分完成、不存在重点问题且风险度小于50%，该要素为存在偏差状态。

（二）单元和本质安全型企业体系总体运行效果评估

（1）存在重点问题数超过查评项目的6%。

（3）风险度是否大于15%。

内审组织与管理

第十一条

内审工作的组织

（二）安监部牵头组织管理和环境单元内审，设备部牵头组织设备单元内审，发电部牵头组织人员单元内审，人资部、总经部等其他部门按责任分工负责相关要素内审。

安监部负责内审的归口管理。

（四）每个评审要素（节点或检查项）应结合企业机构设置、职责分工设置A、B角。

第十二条

内审培训

（二）内审人员培训应包括：集团公司《本质安全型发电企业管理体系规范》、《本质安全型发电企业安全风险要素管控重点要求》，《发电企业安全风险控制指导手册》（以下简称《指导手册》）、《发电企业安全风险控制评估工作管理办法》以及本细则对于评估工作的要求。

（四）培训结束后经考试合格方可担任内审员。

（一）每年第四季度企业应制定下年度内审计划，确定评估项目，评估内审时间至少一个月，但不超过三个月。

（三）内审员开展评估工作，将发现的问题进行分类，填入内审报告的“单元及要素评估明细表”中，依据标准进行评分，并提出整改建议。

（五）单元组长汇总本单元各要素存在的问题，核查重点问题和整改建议，编制本单元内审报告，按时向工作组组长提交。

（七）召开总结会，分、子公司职能部门负责人参加，其他要求同启动会。

第十四条

内审管理要求

（二）内审无问题的检查项要写出管控效果评估；

扣分项必须有实际存在的问题，要依据《指导手册》中的标准进行扣分，不得人为提升或压低分值。

（四）分、子公司要安排专人（或专家）对所属企业内审工作进行现场监督和指导。

第四章

（一）按照分、子公司年度外审计划，每年一季度，进行外审的企业与有资质的技术服务单位签订外审合同，内容应包括：

2.外审专家组长，外审专家和专业分工。

（二）根据外审企业总容量、机组数量、设备系统复杂程度，火电企业外审时间一般为7-10个工作日，专家组成员一般不超过22人；

风电和水电企业外审时间一般为7个工作日，专家组成员一般不超过13人。人员配备标准如下：

2.水电企业：组长1名、单元组长4名，设备专业组按专业配置（水轮机专业1名、电气一次1名、电气二次1名、自动控制1名、水工建筑1名）。

（三）外审专家组组成

2.专家组由专职专家和在职专家组成，原则上比例各占一半。企业分管生产副职、总工程师和发电部、设备部、安监部主任作为外审在职专家，其他由分、子公司推荐的在职人员，可参加学_评审。

第十六条

外审准备工作

（二）外审专家组长外审前，应对外审方案进行策划，方案应包括评审企业的状况、评审范围（确定不参评项）、评审时间、评审过程控制等内容，并经外审企业的上级公司批准。

（四）接受外审的企业根据外审方案和专家行程安排做好迎检工作，并提供相关记录、资料和规章制度。

第十七条

外审流程

（二）专家通过问询、文件查阅、现场取证、检验检测等方法开展工作，做好检查记录，并将汇总编制完成的检查表和重点问题及整改建议上报单元组长。

（四）专家组长组织召开专家组内部会议，综合分析评审结果，协调专业间共性问题，判别问题归属要素，对照标准确认外审不符合项以及重点问题。

（六）召开总结会，外审专家组单元组长、专家组长通报外审情况，其他要求同启动会。

（八）外审报告应由外审专家组长报上级公司直至分、子公司。

第__条

外审管理要求

（二）分、子公司应严格执行外审计划。

确因特殊原因需变更计划，分、子公司应书面说明原因，报请集团公司安全生产部同意后方可另行安排。

（四）任何人不得人为划定得分率。

第__条

对外审专家的要求

1.必须掌握与本专业有关的最新法规、规程、标准和反事故措施等，掌握外审评价方法、评审标准和依据；

3.坚持原则，实事求是，客观公正，评审发现的问题应准确、可追溯，提出的整改建议应有针对性、可操作性。

1.严格遵守外审时间安排，按时完成外审任务。

3.外审结束，如数归还企业的评审资料。

（三）安全要求

2.必须在企业配合人员陪同下进入生产现场。

评审报告及问题管理

第二十条

企业内、外审报告编写均应按照“四个凡事”要求，落实领导、技术、现场管理和监督责任，做到检查项目与对应的标准一致、实际工作管控效果和存在问题及所违反的规定描述清楚、存在问题对应的岗位人员责任准确。

第二十二条

内审报告及问题整改计划要以文件形式在本企业，并上报分、子公司；外审报告及问题整改计划由分、子公司以文件形式下发至外审企业，并上报集团公司安全生产部。

第二十四条

内、外审问题整改计划完成率在第二年（整改年）要力争达到100％;由于客观原因，不能按期完成整改的在第三年必须完成;因不可抗力等特殊原因不能进行整改的，企业应以文件形式提出变更或注销申请，上报分、子公司批准。

第六章

第二十六条

外审结束后，外审技术服务单位应组织专家对《指导手册》提出修改意见，随外审报告一并上报分、子公司。分、子公司汇总后，上报集团公司安全生产部。

附则

第二__条

水力、风力发电企业，由分、子公司按照具有完整安全生产管理体系的原则来确定安全风险控制评估的规模（不考虑资产归属）。

（一）50MW以下的水电厂或总装机容量100MW及以下的流域水力发电企业。

（三）天然气、太阳能发电企业的安全风险控制评估工作，待相对应的《指导手册》编制完成后进行。

第三十一条

本细则自之日起执行。

企业风险评估报告例10

中图分类号：F239.62 文献标识码：A 文章编号：1672-3198（2007）07-0139-02

每个组织的存在都有其目标，在实现目标的过程中，存在着影响目标实现的不确定性因素。企业管理层的一项重要职责就是要建立一个良好的风险管理体系，来识别、评价和控制风险，为企业目标的实现提供合理的保证。内部审计在风险管理中的作用就是监控、检查、评估、报告管理层风险管理过程的充分性和有效性，提出改进意

见，帮助企业改进风险管理与控制体系，从而为企业增加价值。

1 企业风险管理体系简介

企业风险管理（Enterprise Risk Management，简写为ERM）的实质是企业有效利用各种资源，以战略的方式管理风险，使企业在多变的环境下以稳健的方式运作，从而获得增加价值的机会。在全球竞争激烈的市场中，任何企业都处于动荡多变的环境之中。企业面临的风险越来越多，风险引发的损失规模也越来越大，这些都促使企业对风险管理给予高度的关注。要对风险管理过程的充分性和有效性进行评价，首先要对风险管理体系有一个初步的了解。根据美国COSO委员会《企业风险管理框架》的要求，建立风险管理体系包括相互关联的八个风险管理要素，各要素贯穿在企业管理过程中，为实现企业目标提供保证。

（1）内控环境。主要是在企业中树立风险管理理念，营造一种风险管理文化，包括建立企业的风险文化，制定明晰的战略、目标，明确企业的风险责任人和利益相关者，使用统一的风险语言，为其他风险管理要素打下基础。

（2）目标制定。管理者必须首先确定企业的目标，才能够确定对目标的实现有潜在影响的事项。根据企业确定的任务或预期，管理者制定企业的战略目标，选择战略并确定其他与之相关的目标并在企业内层层分解和落实。

（3）事项识别。下列事情可能给组织带来风险：因使用不正确、不及时、不完整、不可靠的资料而导致决策错误；记录有错误、会计核算资料不真实、不完整；资产保护不当；顾客不满意，组织信誉受损；执行组织决策、计划、程序不力，或有违法违规行为；不经济地获取或无效地利用资源；没有完成组织的任务和目标。需要企业的管理者对其进行识别、评估和反应。

（4）风险评估。评估风险是ERM执行中关键的步骤之一。在评估风险的过程中要注意选择合适的评估技术，评估风险事件发生的可能性和频繁度，风险事件的潜在影响及其成本的高低，最后绘制一张风险地图。评估风险事件的方法有很多，如定量方法、定性方法，企业可以根据自身的具体情况来制定自己的评估方法。

（5）风险反应。风险反应可以分为规避风险、减少风险、共担风险和接受风险四类。对于每一个重要的风险，企

业都应考虑所有的风险反应方案。有效的风险管理要求管理者选择可以使企业风险发生的可能性和影响都在风险容忍度之内的风险反应方案。

（6）控制活动。控制措施就是在接受风险的情况下，评估因接受风险所带来的额外费用和保险费用，评估因控制带来的管理成本和回报。在降低风险的情况下，明确所需的控制活动，评估这些控制活动所带来的成本费用。控制活动还包括评估目前组织、程序、系统和反馈系统管理风险的能力。最后通过控制行为，调整风险地图。风险发生的可能性和频率是很难改变的，最有效的就是通过对风险管理成本的控制，将风险尽量降低到企业可承受范围以内。

（7）信息和沟通。信息系统应当有效地追踪企业当前正在发生的事件以及已经避免的事件。同时企业还要保证有及时的关于企业各个层面的ERM报告。在风险活动中发生的成本费用和控制活动。其次要沟通ERM的有效性和成本费用。保证在企业中有定期的ERM报告，尤其是包括员工的责任义务完成状况以及对ERM的检查情况，CRO和其他重要的执行官要对ERM的有效性和成本加以测量和存档，同时明确向董事会和执行官报告的责任和途径。

（8）监控。对企业风险管理的监控是指评估风险管理要素的内容和运行以及执行质量的一个过程。企业可以通过持续监控和个别评估两种方式，来保证企业的风险管理在企业内务管理层面和各部门持续得到执行。风险不是静态的，风险的数量和可能性会随内外部环境的变化而变化，持续的监控对有效地管理风险是最基本的。通过持续的监控可以使企业明确在下一步的风险管理中应当改进的问题。通过这个环节可以明确ERM可以给企业带来的利益与价值，了解风险评估的正确性，为下一次的评估提供经验教训，明确风险回应决策的有效性，同时还有助于控制成本费用。

从以上八个风险管理要素可以看出，企业风险管理是一个过程。是一个由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，为企业目标的实现提供合理保证的过程。

2 内部审计在风险管理中的作用

根据《内部审计实务标准》对内部审计的定义：内部审计是一种独立、客观的保证与咨询活动，目的是为机构增加价值并提高机构的运作效率。它采用系统化规范化的方法来对风险管理、控制及治理程序进行评估和改善，从而帮助机构实现其目标。所以在风险管理中，内部审计可以发挥以下作用：

(1)内部审计人员熟悉公司业务并能够随时深入到生产经营的全过程去了解掌握具体情况，收集大量的第一手资料，从中发现存在风险的隐患问题，进行风险分析，提请管理层注意风险管理和控制等的相关建议。

(2)内部审计通过咨询服务方式积极协助公司进行风险管理过程的建立。风险管理是一个复杂的系统工程，在一个组织内部应当明确职责分工，各司其职。董事会负责制定战略目标，高层领导各负责一个方面的风险管理责任，其他管理人员由管理层分配一部分工作，操作人员负责日常监控，而内部审计人员则负责定期评价和保证工作。内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。

(3)内部审计通过将风险管理评价作为审计工作的重点，以检查、评价风险管理过程的充分性和有效性。内部审计主要从两个方面评估风险管理过程的充分性和有效性。

①评价风险管理主要目标的完成情况。主要表现在评价公司以及同行业的发展情况和趋势，确定是否可能存在影响企业发展的风险；检查公司的经营战略，了解公司能够接受的风险水平；与相关管理层讨论部门的目标、存在的风险，以及管理层采取的降低风险和加强控制的活动，并评价其有效性；评价风险监控报告制度是否恰当；评价风险管理结果报告的充分性和及时性；评价管理层对风险的分析是否全面，为防止风险而采取的措施是否完善，建议是否有效；对管理层的自我评估进行实地观察、直接测试，检查自我评估所依据的信息是否准确，以及其他审计技术；评估与风险管理有关的管理薄弱环节，并与管理层、董事会、审计委员会讨论。如果他们接受的风险水平与公司风险管理战略不一致，应进行报告。

②评价管理层选择的风险管理方式的适当性。由于各个公司的文化氛围、管理理念和工作目标不同，风险管理的实施也有很大差别。每个公司应根据自身活动来设计风险管理过程。一般说来，规模大的、在市场筹资的公司必须用正式的定量风险管理方法；规模小的、业务不太复杂的，则可以设置非正式的风险管理委员会定期开展评价活动。内部审计人员的职责是评价公司风险管理方式与公司活动的性质是否适当。

(4)内部审计应积极持续地支持并参与风险管理过程，对风险管理过程进行管理和协调。在现代企业制度下，公司全面建立了风险管理过程，内部审计因此能够担负起风险管理的职能。首先，内部审计从评价各部门的内部控制制度入手，在生产、采购、销售、财务会计、人力资源管理等各个领域查找管理漏洞，识别并防范风险，做出相关评价。其次，内部审计可以深入到企业管理的极细微的环节上查找问题，分析其合理性。内部审计人员更多的是以风险发生可能性大小为依据，深入到经营管理的各个过程，查找并防范风险。再次，内部审计在部门风险管理中还起着协调作用。不仅各部门有内部风险，而且各管理部门还有共同承担的综合风险，内部审计人员作为独立的第三方，可协调各部门共同管理企业，以防范宏观决策带来的风险。

3 将企业风险管理融入内部审计程序

在风险管理中，内部审计部门主要是对风险管理部门和其他相关部门所进行的风险管理进行再监督。因此内部审计程序与机构的风险管理之间应该协调一致，使这两项工作产生协同增效的作用。

(1)在编制审计计划时，应该在对可能影响机构的风险进行评估的基础上，制定内部审计部门的审计计划，确定审计项目。

(2)确定审计范围时，要考虑并反映整个公司的战略性计划目标，并每年对审计范围进行一次评估，以反映机构的最新战略和方针。

(3)编制审计方案时，通过风险因素分析来确定审计业务工作重点；在审计实施过程中，通过评价内部控制制度，查找其中的疏漏和薄弱环节；在更新审计范围与计划的内容时，要反映管理层的方针、目标、工作重心出现的变化。在选择检测、证实风险的技术与方法时，应该能够反映出风险的重大性与发生的可能性。