吉宁博士观点
IIA(国际内部审计师协会)在《内部审计在全面企业风险管理中的作用》意见书中将内部审计在ERM中能够开展的活动划分为三类，第一类是核心性保证活动，包括：就企业风险管理过程提供保证；就风险被准确评估提供保证；评价企业风险管理过程；评价关键风险的报告；审阅关键风险的管理。第二类是合理性咨询活动，包括：促进风险识别与评价；指导管理层作出风险反应；协调企业风险管理相关活动；加强风险报告；保持和开发ERM框架；促进ERM的建立；经董事会批准制定ERM战略。ERM的精髓之一在于全员参与，如何清晰地界定各参与方的职责决定着ERM的实施成效。内部审计作为组织治理结构四大支柱之一，在ERM建立和实施中发挥着重要作用。第三类是不适当的活动，包括：设立风险偏好；对企业风险管理过程施加影响；提供管理层风险保证；对风险反应作出决策；以管理层立场做出风险反应；对企业风险管理承担责任。
上述分类对于指导内部审计合理定位、提供适当形式的服务、保持独立性具有一定的意义，却无助于指导内部审计实现与企业风险管理过程的有机结合，容易导致内部审计与ERM脱节，或者重视ERM单一环节而忽视整体。为此，应设计一种能够将内部审计与ERM实现对接的方式，使内部审计能够在ERM循环中实现跟踪式全程审计，实现内部审计对于ERM的全程监督，为持续审计奠定基础，该种模式称为“ERM基础审计”。
ERM基础审计模式以COSO委员会在企业风险管理框架中设计的内部环境、目标设定、事件识别、风险评估、风险反应、控制活动、信息与沟通以及监控八要素为基础，考虑内部审计在ERM中能够开展的活动，将两者进行有机结合，形成了如图1所示的ERM基础审计模式。
外围各项要素中，以建立和沟通组织目标为起点，依次经历决定组织的风险偏好、建立适当的企业风险管理框架、识别阻碍目标实现的风险或事件、评价风险发生的影响和可能性、选择和实施适当的风险反应、实施控制和其他反应活动、进行风险信息一致性沟通、监督和调整企业风险管理过程和结果八个环节，形成了ERM的一个运行系统。在此基础上，由管理层提供对ERM过程的首要保证，进而由内部审计实施对ERM的独立客观保证和咨询，最终各方履行对董事会服务的职责，董事会对ERM承担最终责任，形成了ERM的一个保障系统。该模式将ERM与内部审计融合在一个完整的循环中，两者实现了无缝对接；明确了内部审计和管理层在ERM中的职责地位；同时，也便于内部审计通过深入各个业务环节开展对ERM的全程审计。
1.评估风险。
评估风险是指采用定性与定量相结合的方式，估计风险影响的大小和发生的可能性，在二者结合的基础上，对风险进行排队，进而实施不同关注。实施风险评估是管理层的责任。内部审计应就风险是否被准确评估提供保证。具体可以采取两种方式：(1)对管理层的风险评估结果进行再检验，即掌握风险评价的系统方法，对风险成因、影响后果、发生频率等作出综合分析，根据“风险值=风险概率×风险影响”的计算结果，对风险级次进行排序，对不恰当的风险评估予以更正；(2)对管理层的风险评估能力进行审查，如审查管理层的风格(激进与稳健的经理人对于相同风险的赋值往往存在较大差别)、采用的风险评估方法、对相关信息的掌握程度、对成本效益的考量、对相关部门或人员意见考虑的幅度，等等。
2.建立企业风险管理框架。
在不同组织之间甚至在同一个组织不同部门之间，由于文化氛围、管理理念、工作目标、组织规模、业务复杂性以及与业务目标和风险容忍度相关的固有风险水平不同，ERM框架可能会存在很大差别。例如，信息技术部门因为其工作的性质需要有完整的风险识别、评价框架，而人力资源部门可能仅需要一个明确的政策和程序性审阅。从事常规交易的部门一般具有相对成熟的ERM框架，该框架中有明确界定的风险指示，与日常的业务运行过程相结合；而战略管理部门却不具有这样正式的框架，需要进一步加以开发。某些组织拥有了较成熟的ERM框架，而其他一些组织却仅处于ERM的计划阶段、萌芽阶段甚至无知阶段。
董事会和高级管理层负责建立和管理ERM框架。审计人员不能参与设计ERM框架，但是需要依赖他们的判断，结合组织的实际对ERM框架的适当性做出结论，发现框架结构和功能中的缺陷。具体的审查内容包括：审查ERM框架的组成要素；审查在组织政策、治理框架、实务操作中所体现出来的风险观点和价值；审查企业风险管理政策和指南的实用性、灵活性和自我引导性；审查员工对企业风险管理含义的理解和对风险管理技术的掌握情况；审查管理层对风险管理的支持、对公司文化的培育情况；审查企业风险管理实务按框架期望持续运行情况；审查框架动态调整、监督和自我评价管理情况。
3.建立和沟通目标。
CEO负责制订组织的整体战略目标，处于不同管理层次、不同地域分布中的各业务单位、分部和子公司管理层负责制订各自的子目标，子目标必须与组织整体目标保持一致，并与组织文化、价值观、使命和愿景相协调，在整个组织员工中得到全面的沟通、清晰的解释和正确的理解。内部审计应为下列各个方面提供保证：审查组织目标得到有效建立(如检查目标建立依赖的信息、采用的程序、参与者的素质等)；审查子目标与组织整体目标协调一致；审查目标在组织员工中得到全面的沟通和一致的理解。审计人员可以采用访谈关键人员、获取和审阅相关资料、向不同层次人员发放调查问卷、实施控制自我评估等方法来开展审计工作，其中问卷设计应该提供可以由回答者进行评论的空间，以便于收集员工对目标理解情况的软性信息。
4.确定风险偏好。
组织的风险偏好决定了组织能够承受的风险水平。风险偏好与目标设定有着直接的关系，体现在组织交易形式审批、资本预算限制、职责权限划分、购买事项确定等各项活动中。确定风险偏好是董事会和管理层的责任，内部审计不能设定组织风险偏好或容忍度，但可以就风险偏好和容忍度水平的确定、量化、沟通，在政策、程序和实务中的有效实施情况提供保证。
5.识别风险。
识别风险是对组织正在和将要面临的风险加以判断、归类和鉴定风险性质的过程，换言之，即确定组织正在或将要面临哪些影响组织目标实现的风险。风险识别是管理层的职责。内部审计在风险识别中的主要工作包括：审查风险识别的充分性，即与组织整体目标和战略相关的、涉及组织整体和分部层次的主要风险是否均已被识别出来，是否存在未被识别的风险，并提醒管理层注意；审查风险识别的一致性，风险定义、分类是否在组织中得到统一的运用。对于发现的风险识别不完全、不一致、忽视风险等情况，内部审计应采用特殊审计程序并加以报告。
