企业内部审计与风控操作指引

企业内部审计与风控操作指引一、总则（一）目的与意义本指引旨在规范企业内部审计与风险管理控制（以下简称“风控”）活动，明确各相关主体的职责与流程，提升企业运营的合规性、稳健性与效率性，保障企业战略目标的实现。内部审计与风控是企业治理的重要基石，通过系统性、规范化的方法，识别、评估、应对各类风险，促进企业完善内部控制，提升治理水平。（二）适用范围本指引适用于企业及所属各级全资、控股子公司。企业各职能部门、业务单元均应遵循本指引的要求，配合内部审计与风控工作的开展。（三）基本原则1.独立性原则：内部审计部门应保持组织上的独立性和业务判断的客观性，不受其他部门或个人的不当干预。风控工作应融入业务流程，确保风险评估与应对的客观公正。2.系统性原则：内部审计与风控工作应覆盖企业经营管理的各个层面和主要业务流程，形成上下联动、左右协同的管理体系。3.重要性原则：在全面覆盖的基础上，应根据风险评估结果，对高风险领域、关键业务流程及重要事项予以重点关注。4.审慎性原则：风险评估与应对措施的制定应保持审慎态度，充分考虑潜在风险的影响。5.持续性原则：内部审计与风控是一项持续动态的管理过程，应根据企业内外部环境变化及时调整和优化。二、核心概念界定（一）内部审计内部审计是指企业内部独立的审计机构和人员，依据国家法律法规、企业内部规章制度，对企业经营活动、内部控制、风险管理的有效性进行检查、评价和建议，以促进企业目标实现的独立客观的确认和咨询活动。（二）风险管理与控制风险管理是指企业围绕战略目标，通过在经营管理的各个环节执行风险管理流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险识别、风险评估、风险应对、风险监控和风险报告，从而为实现风险管理的总体目标提供合理保证的过程和方法。内部控制是风险管理的重要组成部分，是企业为实现控制目标而采取的一系列政策、程序和措施。（三）内部审计与风控的关系内部审计与风控相辅相成，共同构成企业风险管理的防线。内部审计通过对风控体系的设计与运行有效性进行独立评价，识别控制缺陷并提出改进建议，促进风控体系的持续优化；风控体系为内部审计提供了关注重点和评价标准，保障审计工作的针对性和有效性。三、内部审计操作规范（一）审计计划1.年度审计计划：审计部门应根据企业战略目标、年度经营计划、以往审计结果、风险评估情况以及监管要求，于每年年初制定年度审计计划，明确审计项目、审计重点、时间安排和资源配置。年度审计计划需提交企业管理层审议，并报董事会（或其下设的审计委员会）批准。2.专项审计计划：对于突发重大风险事件、管理层关注的特定事项或临时交办的审计任务，审计部门应制定专项审计计划。（二）审计实施1.审计准备：*组建审计项目组，明确项目负责人及成员职责。*开展审前调查，收集与审计项目相关的背景资料、业务流程、规章制度等。*初步识别和评估审计风险，确定审计范围和重点。*制定详细的审计方案，包括审计程序、方法和时间节点。*向被审计单位发出审计通知书，明确审计目的、范围、时间及需配合事项。2.审计实施与证据获取：*召开审计进点会，与被审计单位管理层沟通审计安排及要求。*通过访谈、检查、观察、函证、重新计算、分析性复核等方法，获取充分、适当的审计证据。*对审计过程中发现的问题进行详细记录，形成审计工作底稿。审计工作底稿应清晰、完整、规范，记录审计轨迹。3.审计发现与沟通：*审计项目组定期召开内部会议，汇总审计发现，进行分析和讨论。*对于审计过程中发现的重大问题或疑点，应及时与被审计单位沟通确认，听取其解释和说明。4.审计报告：*审计项目结束后，根据审计工作底稿和相关证据，撰写审计报告初稿。*审计报告应客观、准确、清晰地反映审计发现、问题性质、产生原因、责任认定及改进建议。*就审计报告初稿与被审计单位进行沟通，充分听取其反馈意见，对合理意见应予以采纳。*审计报告经审计部门负责人审核后，提交企业管理层及董事会（或其下设的审计委员会）。（三）审计后续跟踪1.被审计单位应在规定期限内对审计报告中提出的问题制定整改计划，并组织落实。2.审计部门负责对整改情况进行跟踪检查，评估整改措施的有效性和整改目标的实现程度。3.对于未按要求整改或整改不力的，审计部门应及时向企业管理层报告。四、风险管理与控制操作规范（一）风险识别1.建立风险清单：各业务部门及职能部门应结合自身业务特点和管理职责，系统梳理经营管理活动中的各类潜在风险，包括但不限于战略风险、市场风险、运营风险、财务风险、法律合规风险、信息科技风险等，建立本部门风险清单。2.风险识别方法：可采用问卷调查、访谈、研讨会、流程图分析、历史数据分析、行业对标等多种方法进行风险识别。3.动态更新：风险清单应根据内外部环境变化、业务发展及风险事件发生情况进行动态更新。（二）风险评估1.风险分析：对已识别的风险，从发生可能性和影响程度两个维度进行定性或定量分析。分析风险发生的原因、条件，以及风险发生后对企业目标实现的潜在影响。2.风险评价：在风险分析的基础上，结合企业风险偏好和风险承受度，对风险进行排序和分级，确定风险等级（如高、中、低），识别出关键风险点。3.制定风险评估标准：企业应制定统一的风险评估标准和方法，确保评估过程的客观性和一致性。（三）风险应对1.风险应对策略：根据风险评估结果，针对不同等级的风险，制定相应的风险应对策略，主要包括：*风险规避：通过改变业务计划、停止某些高风险活动等方式，避免风险的发生。*风险降低：采取控制措施降低风险发生的可能性或减轻风险影响程度，如完善内部控制流程、增加检查频次、购买保险、对冲等。*风险承受：对于影响较小、在企业风险承受度范围内的风险，可选择主动承受，不采取额外控制措施，但需持续监控。*风险转移：通过外包、保险、合同条款等方式将风险部分或全部转移给第三方。2.控制措施制定与实施：针对确定的风险应对策略，制定具体的内部控制措施和行动计划，明确责任部门、责任人和完成时限，并确保有效实施。（四）风险监控与报告1.日常监控：各部门应建立常态化的风险监控机制，对关键风险指标（KRIs）进行持续跟踪和监测，及时发现风险预警信号。2.风险报告：建立健全风险报告机制，各部门定期向企业风险管理牵头部门（如风险管理部或指定的职能部门）报送风险状况及应对情况。重大风险事件应立即上报。3.风险预警：对于达到预警阈值的风险指标，应及时发出预警信息，并启动相应的应急处置预案。五、职责分工（一）董事会（或其下设的审计委员会/风险管理委员会）*审批企业内部审计章程、年度审计计划。*审议企业风险管理策略、重大风险解决方案。*监督内部审计与风控体系的有效性。（二）高级管理层*组织制定企业内部审计与风控相关制度和流程。*组织实施年度审计计划和风险管理策略。*审批重大审计发现的处理意见和重大风险应对方案。*确保内部审计与风控资源的合理配置。（三）内部审计部门*独立开展内部审计工作，出具审计报告，跟踪整改情况。*对企业内部控制的有效性、风险管理的充分性和有效性进行检查评价。*向董事会（或其下设的审计委员会）和高级管理层报告审计工作情况。（四）风险管理牵头部门*组织协调企业全面风险管理工作，推动风险识别、评估、应对和监控流程的标准化和常态化。*汇总、分析各部门风险信息，编制风险报告。*指导和监督各部门风险管理工作的开展。（五）各业务部门及职能部门*履行本部门风险管理的第一责任，负责本部门风险的日常识别、评估、应对和报告。*建立和完善本部门内部控制流程，并确保有效执行。*配合内部审计部门和风险管理牵头部门的工作。六、保障机制（一）制度建设企业应建立健全内部审计与风控相关的规章制度，明确工作标准、流程和责任，为内部审计与风控工作提供制度保障。（二）资源保障企业应为内部审计与风控工作提供必要的人力、物力和财力支持，确保专业人员配备，加强专业培训，提升人员素质。（三）沟通与协作建立内部审计部门、风险管理牵头部门与各业务部门之间的定期沟通机制，加强信息共享与工作协作，形成管理合力。（四）监督与考核将内部审计发现问题的整改情况