摘要：風險管理是公司實現持續經營的保證，風險管理審計是對公司風險管理制度、風險管理活動以及風險管理報告進行的審計。本文簡要介紹了德國公司風險管理審計的主要內容，并指出其對我國公司在風險管理和風險管理審計上的啟示。

　　關鍵詞：風險管理；風險早期確認制度；風險報告；審計

　　1.前言

　　近10年來，公司治理和內部控制引起越來越廣泛的關注，越來越多的公司危機和失敗使公眾對公司治理、公司風險管理和報告提出嚴厲批評。回應這些批評，德國管理部門出臺規定要求公司設立風險早期確認制度(Risk early recognition system)。公司不僅要建立相應制度，還要對當前及預期狀況進行公開披露，從而產生了公司風險管理審計。

　　公司風險管理審計的內容包括：評價公司是否設立了適當的風險早期確認制度、措施是否適當、監測方法是否有效。但是對風險早期確認制度的內容及審計程序并沒有明確規定，因此審計不能按統一的標準進行。德國在1998年制定了“公司控制和透明度法”(Law of Corporate Control and Transparency)，對風險早期確認制度的內容和公司風險管理審計程序作了規定，可資借鑒。

　　2.德國公司風險管理審計的法律要求

　　2.1．風險早期確認制度和風險報告的內容

　　風險是在達到既定目標過程中信息缺失導致的，包括策略確定和信息不足兩個方面內容。信息不足緣于因果關系的模糊不清，策略確定是在實現一個或多個既定目標過程中基于對經濟行為的分析而采取的成功或失敗的策略。風險有廣義和狹義二種理解，廣義的風險指背離既定策略的多種可能性的綜合，狹義的風險僅指對既定策略的潛在的反向背離，德國的“公司控制和透明度法”采取的是狹義的風險概念。風險實質上危害了公司的持續經營，對凈資產、財務狀況和經營成果造成損害。

　　風險管理旨在保證公司的持續經營，它是一個持續的過程，包括風險的早期檢測(風險的界定、分析和評估)、相關信息的收集、風險測量方法的選擇和實施、風險控制實際效果的評價等環節。德國要求有限責任公司的管理者采取合適方法，尤其是要設立監測制度對可能危及公司持續經營的開發活動的風險進行早期確認。公司應設立有效的控制制度對風險早期確認制度的執行進行監督，控制制度由與業務緊密相聯的固定控制措施和獨立的控制方法(如內部審計)組成。母公司必須在整個集團內實施風險早期確認制度，因為危及持續經營的風險可能源自子公司。當局允許公司根據自身特點建立風險早期確認制度的結構和運行機制，審計職業界在風險早期確認制度的內容方面也為公司提供了多種方案。

　　在管理委員會的報告中披露公司未來開發方案的風險方面，風險早期確認制度是獲取、分析和評價風險的先決條件。按有關法律規定，公司必須提供這種風險報告，而且報告的內容必須詳細且準確，因為這樣可以提高公司經濟狀況的透明度。風險報告并無相應的國際標準，從2005年起歐盟也要求公司報告“面臨的主要風險和不確定性”。因為法規沒有具體規定，一些非官方的標準制定團體所作的聲明或陳述也可視為風險報告的格式和內容，包括德國注冊會計師協會的RSHFA 1、德國會計準則委員會的GAS5。GAS5適用于集團公司的管理報告，也推薦一般公司在風險報告中采用。按GAS5，風險報告的內容包括：風險管理過程的詳細描述、按風險種類分類的重大風險的定性和定量數據、風險政策實際或預計的測量表、公司風險狀況的預期結果。因此，風險報告應提供比風險早期確認制度能獲得的更多的信息。

　　2.2．審計人員在監督公司風險管理中的作用

　　德國的“公司控制和透明度法”的主要目的是加強對上市公司的治理。與英美公司的單層委員會不同，德國公司采取雙層委員會，至少德國的有限公司要設置監督委員會和管理委員會。監督委員會聘請審計機構履行監督職責，為保證審計機構與管理委員會無關，德國上市公司由監督委員會指定審計機構。

　　根據有關法規的規定，強制設立風險早期確認制度有兩個主要目的：首先，上市公司的風險早期確認制度必須由獨立的外部權威機構審計；其次，監督委員會通過審計報告獲取風險早期確認制度的相關信息以輔助其履行監督職責。審計機構也必須對風險報告的內容進行審核，寫出書面的審計報告或意見書表明審計結論。

　　在公司風險管理中，審計人員的主要作用是保證公司風險報告的可信性以及風險早期確認制度的遵循。雖然管理委員會或其他決策者對考慮到或了解到的與自身有關的風險的反映不是強制審計的范圍，但為了評估公司持續經營的能力，審計人員必須考慮相反措施來檢測風險。此外，審計人員在進行咨詢或在法律規定下可影響公司風險政策。實際上，檢測或了解到風險后的反映策略的選擇、執行和效果是由監督委員會評估的，監督委員會開會時可請審計人員參加以便對公司的風險管理進行更好的指導。

　　從理論上講，法律對審計主體和審計標準進行管制，但它既不能給審計人員提供風險早期確認制度和風險報告的具體內容，也不能提供具體的審計程序。德國的審計人員在風險審計中遵循德國注冊會計師協會的審計準則，但這樣的準則并沒有法律上的約束力，不能代替法院的司法解釋。

　　3．德國公司風險管理審計的內容

　　3.1．風險早期確認制度的審計

　　(1)審計方法和審計標準

　　風險早期確認制度和相應的內部控制體系都屬于審計的內容。審計測試的主要種類是內部控制測試，一般測試內部控制制度在設計和運行方面的有效性。法律和相應的立法文件即為審計標準，也是內部控制的設計是否合格、方法是否有效的標準。應對公司特定風險狀況以及公司管理者和雇員的風險習性進行分析評價，對固有風險和控制風險進行估算。通過對風險早期確認制度實施法定審計，審計范圍擴大了，不僅要考慮會計和內部控制，而且要顧及可能產生重大風險的生產經營活動。在檢測集團企業的內部控制制度時，如果遇到數據不足難以對整個集團公司的內部控制制度進行評價時，審計人員還可以利用其他審計人員的審計結論。為了減輕審計時的時間壓力，集中精力于財務報告的審計，可以對風險早期確認制度預先進行檢測或進行中期審計。

　　(2)審計程序

　　①風險早期確認制度內容的確定

　　公司風險早期確認制度的文本是審計人員主要的獲取審計信息的工具。審計人員應根據文本確定法規的規定是否已徹底全面地在公司存在，并編制風險早期確認制度的詳細目錄。文本的缺失或不完整都應引起對制度穩定運行的懷疑，公司不能提供相應文本時審計人員必須通過調查記錄下風險早期確認制度，也可拒絕審計。

　　②風險早期確認制度設計效率的測試

　　審計人員應就風險早期確認制度中立法者關注的相應措施的效率進行測試，內容主要有：制度覆蓋內部和外部風險范圍的完整性和彈性；通過合適指標對相應風險進行辨別的完整性、適當性和提前性；采取合適方法進行風險分析和風險估計的可理解性；履行法定責任披露必須報告風險的可核性和及時性；內部控制措施的充足性等。

　　③風險早期確認制度運行效率的測試

　　在理解風險早期確認制度的基礎上，審計人員應調查其運行效率和在整個審計期內的持續應用狀況。應使用分析性程序和抽樣方法檢測相關的風險處理規則是否一直得到遵守，尤其應評估：風險的識別、分析、估計和報告；以內部控制協會的審計程序和工作文件為基礎建立的風險控制系統。

　　3.2．風險報告審計的內容

　　雖然審計風險早期確認制度時并不需要單獨評價管理委員會在檢測和報告風險信息上的反映，但在審計公司作為管理報告組成部分的風險報告時這種評價是必需的，因為這樣可以確定：風險報告是否與財務報告一致、是否與審計人員在審計過程中形成的理解一致、是否對公司的狀況進行了公允的表述、是否公允地表述了公司未來發展的風險。

　　雖然精確地預測未來的數據是沒有可核性的，但審計人員也能保證風險報告中公布的數據是誠實的或慎重的。德國立法當局責令審計人員檢查預測數據是否有用，預測的前提是否現實，是否運用了正確的預測技術。風險報告審計旨在誠實性、擬真性和透明度，這對審計界無疑是極大的挑戰。

　　審計風險早期確認制度和審計風險報告之間的聯系是明顯的：一方面，要評價風險報告的公允性必須借助于對風險早期確認制度的理解；另一方面，風險報告又支持審計人員的風險評價。因為風險報告必須包含風險處理和預期效果的信息，從某種程度上講，風險報告審計涉及到風險管理所有方面。

　　3.3．審計結論

　　審計人員必須向監督委員會提交書面審計報告，隨同公司年報一起公開呈報。審計報告中應表明：公司是否能持續經營、對風險報告的修正、集團公司的風險報告是否符合法律規定、對公司風險早期確認制度的審計結論、是否采取必要程序改進風險早期確認制度。如果沒有反對意見，審計報告應簡潔。德國的法規和會計準則都不要求對風險早期確認制度進行描述，也不要求表述具體的改進意見。

　　審計意見應就公司管理當局履行法律規定的情況表述最終結論，必須對公司持續經營的不確定性和風險報告表述的公允性進行評價。對風險早期確認制度的異議不影響審計意見，除非風險早期確認制度的缺陷導致風險報告或其他財務報表出現令人誤解的表述。

　　4．德國公司風險管理審計對我國的啟示

　　德國的風險管理審計無疑起到了應有的作用，我們很少聽說德國公司因風險管理不力而導致公司失敗或陷入困境的事例。近幾年，我國上市公司或大中型企業因風險管理不力而陷入經營困境或財務困境的比例大幅升高，而且投資者等利益相關人由于公司風險管理信息缺失或滯后往往遭受巨額損失。要改變這種在風險管理方面的信息不對稱現象，促使公司提高管理水平，我們應在以下幾個方面吸收德國的經驗。

　　1．完善現代企業治理結構。目前，世界上主要有兩種公司治理模式：英美模式和德日模式。英美模式是市場競爭模式，股權高度分散，所有權與管理權高度分離，公司治理結構只由股東大會和董事會組成，不設監事會，董事會既是決策機構，也是監督機構。德日模式股權相對集中，公司治理結構中，股東會、監事會和董事會具有上下級層級關系：股東會下設監事會，監事會向股東會負責并報告工作，監事會下設董事會，監事會與董事會有上下位之別，前者是上位機關，后者是下位機關，董事會向監事會負責并報告工作。德日模式雖然在決策和經營效率上從理論上低于英美模式，但它使公司經營者接受多方位的監督并形成了一種良性制衡機制，這是德國公司丑聞很少的重要原因之一。在建立我國現代企業治理結構時，我們要吸收英美模式的經驗，更應借鑒德日模式的長處。比如在公司風險管理方面，像德國公司一樣將外部審計機構納入公司治理機構，顯然比美國公司單純依靠內部審計機構進行風險管理審計優越。

　　2．對風險管理審計的重新認識。我國目前的公司風險管理審計研究一般都把風險管理審計視為公司內部審計范疇，這與德國將其既視為內部審計又主要作為外部審計范疇是有重大區別的。我國公司風險管理審計研究的理論基礎是于2004年10月頒布的COSO報告：《企業風險管理——總體框架》，或是其前身，于1992年發表并于1994年修訂的《內部控制——整體框架》。COSO報告認為，風險管理建立在內部控制基礎上，內部控制是企業風險管理必不可少的一部分。COSO報告是由美國注冊會計師協會(AICPA)、美國會計學會(AAA)、財務經理協會(FEI)、國際內部審計師協會(IIA)和管理會計師協會(IMA)五個學會共同組成的Treadway委員會頒布，有極強的美國背景，與英美模式的公司治理結構相適應。如前所述，我國的公司治理結構不同于英美模式，基于COSO報告的我國公司風險管理審計自然存在許多不足，如不能充分利用外部監督資源、公司風險管理信息不對稱、公司治理失效導致的風險審計不作為等等。在完善我國公司治理結構的過程中，參照德國的公司風險審計理念重構我國的公司風險管理審計體系有其合理之處。

　　3．改進我國上市公司的信息披露制度。應增強上市公司戰略決策和經營管理的透明度，完善公司管理報告，增加風險報告內容，并將風險管理納入外部審計對象，以此促進公司決策的科學性，使公司及時有效地進行風險評估與風險監控，加強風險管理的動態性，實施全面風險管理，做到風險事前監控，提高對風險的防護性。

　　4．進行立法創新。我國的公司風險管理，既應立足于風險管理的效率，又應注重減低風險管理信息的不對稱程度，不能僅以COSO的報告作為理論依據，而應像德國一樣建立自己的公司風險管理和風險審計的法理基礎。為此，應進行立法創新，設立類似于德國的“公司控制和透明度法”，或對現有的“公司法”或“證券法”進行修訂，增加提高公司管理透明度方面的條款。