企业面临很多风险。风险是可能发生的坏事。这些坏事影响企业赚钱。企业需要管理风险。风险管理很重要。审计可以检查风险管理。风险管理审计是一个工具。这个工具帮助企业安全运营。我们研究风险管理审计。研究它的方法。研究它的作用。研究它的困难。研究它的未来。

风险管理是什么。企业每天做生意。做生意就有风险。风险种类很多。有市场风险。市场变化太快。产品可能卖不掉。价格可能下跌。有财务风险。钱可能不够用。可能借不到钱。汇率可能变化。有法律风险。国家可能出新法律。企业可能违法。有操作风险。机器可能坏掉。员工可能犯错。流程可能出问题。有自然灾害风险。火灾可能发生。洪水可能发生。地震可能发生。企业必须看到这些风险。企业必须准备应对办法。这就是风险管理。风险管理先要找风险。然后评估风险。风险有多大。风险有多急。接着处理风险。有些风险要避免。有些风险要减少。有些风险要转移。比如买保险。有些风险只能接受。最后要监督风险。风险情况会变。办法也要变。

审计是什么。审计是检查工作。企业有各种活动。这些活动对不对。好不好。需要有人检查。审计就是检查。审计看账目对不对。审计看操作合不合法。审计看效率高不高。审计人员独立工作。他们不参与日常管理。他们客观看问题。他们找证据。他们做记录。他们出报告。报告告诉管理层问题在哪里。报告建议怎么改进。审计让企业更健康。审计让投资者放心。审计让法律得到遵守。

风险管理审计是特别的审计。它不只看账目。它看风险管理好不好。风险管理审计问几个问题。企业找到所有重要风险了吗。企业评估风险的方法对吗。企业处理风险的措施有用吗。企业监督风险的工作连续吗。风险管理审计检查这些。它看文件。它问员工。它观察流程。它测试控制措施。它分析数据。最后它知道风险管理好不好。它告诉企业哪里弱。它告诉企业怎么补强。

风险管理审计很有用。它帮助企业看清危险。很多企业只注意眼前赚钱。它们忘记风险可能明天就来。风险管理审计提醒它们。它像一次体检。发现小毛病。防止大病。它帮助企业省钱。好风险管理减少损失。火灾预防比火灾赔偿便宜。它帮助企业遵守法律。现在法律要求企业管理风险。审计证明企业努力了。它让投资者信任。投资者知道企业安全。他们更愿意投资。它让银行放心。银行更愿意贷款。

风险管理审计怎么做。第一步是计划。审计人员了解企业。企业做什么生意。企业有什么特点。企业外部环境怎样。审计人员确定审计范围。哪些风险先检查。哪些部门先检查。审计人员制定方案。第二步是收集信息。审计人员与企业人员谈话。他们看风险清单。他们看会议记录。他们看政策文件。他们看报告资料。他们观察实际工作。他们可能发问卷。他们收集大量信息。第三步是评估控制。信息收集后要分析。企业说有风险控制。这些控制真的存在吗。这些控制设计得好吗。这些控制一直在运行吗。控制的效果怎么样。审计人员测试控制。他们抽查样本。他们跟踪流程。他们模拟情况。第四步是报告结果。审计人员写下发现。他们写风险管理的优点。他们更多写缺点和问题。他们写问题有多严重。他们提出改进意见。意见要具体。意见要可行。第五步是跟踪。报告不是结束。企业要整改。审计人员后来检查。企业改了吗。问题解决了吗。新问题出现了吗。

风险管理审计有困难。第一个困难是范围太大。风险太多太杂。审计时间有限。审计人员有限。可能漏掉重要风险。第二个困难是标准不清。怎么样算好风险管理。没有绝对标准。不同企业不一样。审计判断靠经验。可能有不同看法。第三个困难是未来不确定。审计看过去和现在。风险是关于未来的。未来很难预测。审计说控制今天有效。明天可能失效。第四个困难是企业不配合。有些部门怕审计。他们隐藏问题。他们不提供资料。他们不说真话。审计工作难做。第五个困难是成本高。好审计需要时间。需要专业人。企业可能舍不得花钱。它们只做表面工作。

技术改变风险管理审计。技术是电脑和网络。技术是软件和程序。技术帮了大忙。审计人员用数据分析。电脑处理大量数据。电脑快速找异常。电脑发现人看不到的模式。审计人员用自动化工具。软件自动收集信息。软件自动测试控制。软件自动生成报告。审计更全面。审计更及时。审计更准确。技术也有新风险。企业用电脑系统。系统可能被攻击。数据可能被偷。技术风险自己需要审计。审计人员要懂技术。他们学习新知识。他们用新技术审计新风险。

人会犯错。人会偷懒。人会欺骗。这是风险管理的大问题。审计必须考虑人。制度再好靠人执行。审计看企业文化建设。企业重视风险吗。企业鼓励说实话吗。企业惩罚违规吗。审计看员工培训。员工知道风险吗。员工知道怎么做吗。审计看激励机制。奖励制度让人忽视风险吗。审计看高层态度。领导认真对待风险吗。领导带头守规矩吗。人的因素最难审计。也是最重要的一点。

风险管理审计需要改进。审计要更灵活。风险变化快。审计方法也要快。审计要更深入。不能只看文件。要看实际效果。审计要更前瞻。不能只看过去。要猜想未来风险。审计要更融合。不和业务分开。要和业务部门一起工作。审计要更连续。不是一年一次。要一直监督。审计人员要学习。学新业务。学新技术。学新法律。他们才能跟上时代。

小企业也需要风险管理审计。小企业资源少。小企业风险不小。小企业可能更脆弱。一场事故就让小企业关门。小企业可以简化审计。抓住主要风险。用简单办法检查。成本可以控制。重点解决大问题。大企业做复杂审计。小企业做简单审计。有审计比没有好。

研究帮助我们理解。研究收集很多企业案例。我们看成功故事。我们看失败教训。我们比较不同行业。我们比较不同国家。我们找到好做法。我们找到常犯错误。研究发展新工具。研究设计新checklist。研究建立新框架。研究创造新模型。研究训练审计人员。大学开这门课。培训班教新技能。专业书提供知识。研究让风险管理审计进步。研究让企业更安全。研究让经济更稳定。

风险不会消失。世界越来越复杂。新风险不断出现。气候变化带来风险。网络攻击带来风险。全球疫情带来风险。政治变化带来风险。企业永远要和风险相处。风险管理审计是可靠帮手。它不完美。它有用。它需要坚持。它需要改善。企业认真做风险管理审计。企业更好生存。企业更好发展。员工工作更安心。社会资源更节约。经济整体更健康。这项工作值得做。这项工作值得研究。