第一章 總　則

　　第一條　為了規(guī)范內(nèi)部審計人員對組織內(nèi)部控制中的風險管理狀況進行審查與評價，根據(jù)《內(nèi)部審計基本準則》制定本準則。

　　第二條本準則所稱風險管理，是對影響組織目標實現(xiàn)的各種不確定性事件進行識別與評估，并采取應(yīng)對措施將其影響控制在可接受范圍內(nèi)的過程。風險管理旨在為組織目標的實現(xiàn)提供合理保證。

　　第三條　本準則適用于各類組織的內(nèi)部審計機構(gòu)、內(nèi)部審計人員及其從事的內(nèi)部審計活動。

　　第二章 一般原則

　　第四條　風險管理是組織內(nèi)部控制的基本組成部分，內(nèi)部審計人員對風險管理的審查和評價是內(nèi)部控制審計的基本內(nèi)容之一。

　　第五條　組織管理層負責確定可接受的風險范圍，建立、健全風險管理機制并使之有效運行。

　　第六條　風險管理包括以下主要階段：

　?。ㄒ唬╋L險識別，即根據(jù)組織目標、戰(zhàn)略規(guī)劃等識別所面臨的風險；

　?。ǘ╋L險評估，即對已識別的風險，評估其發(fā)生的可能性及影響程度；

　?。ㄈ╋L險應(yīng)對，即采取應(yīng)對措施，將風險控制在組織可接受的范圍內(nèi)。

　　第七條　內(nèi)部審計機構(gòu)和人員應(yīng)當充分了解組織的風險管理過程，審查和評價其適當性和有效性，并提出改進建議。

　　第八條　風險管理包括組織整體及職能部門兩個層面。內(nèi)部審計人員既可對組織整體風險管理進行審查與評價，也可對職能部門風險管理進行審查與評價。

　　第三章 風險管理的審查與評價

　　第九條　內(nèi)部審計人員應(yīng)當實施必要的審計程序，對風險識別過程進行審查與評價，重點關(guān)注組織面臨的內(nèi)、外部風險是否已得到充分、適當?shù)拇_認。

　　第十條　外部風險是指外部環(huán)境中對組織目標的實現(xiàn)產(chǎn)生影響的不確定性，其主要來源于以下因素：

　　（一） 國家法律、法規(guī)及政策的變化；

　　（二） 經(jīng)濟環(huán)境的變化；

　　（三） 科技的快速發(fā)展；

　　（四） 行業(yè)競爭、資源及市場變化；

　?。ㄎ澹?自然災(zāi)害及意外損失；

　?。?其他。

　　第十一條　內(nèi)部風險是指內(nèi)部環(huán)境中對組織目標的實現(xiàn)產(chǎn)生影響的不確定性，其主要來源于以下因素：

　?。ㄒ唬┙M織治理結(jié)構(gòu)的缺陷；

　?。ǘ┙M織經(jīng)營活動的特點；

　?。ㄈ┙M織資產(chǎn)的性質(zhì)以及資產(chǎn)管理的局限性；

　?。ㄋ模┙M織信息系統(tǒng)的故障或中斷；

　?。ㄎ澹┙M織人員的道德品質(zhì)、業(yè)務(wù)素質(zhì)未達到要求；

　?。┢渌?。

　　第十二條 內(nèi)部審計人員應(yīng)當實施必要的審計程序，對風險評估過程進行審查與評價，重點關(guān)注以下兩個要素：

　?。ㄒ唬╋L險發(fā)生的可能性；

　　（二）風險對組織目標的實現(xiàn)產(chǎn)生影響的嚴重程度。

　　第十三條　內(nèi)部審計人員應(yīng)當充分了解風險評估的方法。風險評估可以采用定性或定量的方法進行。

　?。ㄒ唬┒ㄐ苑椒?，是指運用定性術(shù)語評估并描述風險發(fā)生的可能性及其影響程度。

　?。ǘ┒糠椒?，是指運用數(shù)量方法評估并描述風險發(fā)生的可能性及其影響程度。

　　第十四條 內(nèi)部審計人員應(yīng)當對管理層所采用的風險評估方法進行審查，并重點考慮以下因素：

　?。ㄒ唬?已識別的風險的特征；

　?。ǘ?相關(guān)歷史數(shù)據(jù)的充分性與可靠性；

　?。ㄈ?管理層進行風險評估的技術(shù)能力；

　?。ㄋ模?成本效益的考核與衡量；

　?。ㄎ澹?其他。

　　第十五條　內(nèi)部審計人員在評價風險評估方法的適當性和有效性時，應(yīng)當遵循以下原則：

　?。ㄒ唬┒ㄐ苑椒ǖ牟捎眯枰浞挚紤]相關(guān)部門或人員的意見，以提高評估結(jié)果的客觀性；

　　（二）在風險難以量化、定量評價所需數(shù)據(jù)難以獲取時，一般應(yīng)采用定性方法；

　?。ㄈ┒糠椒ㄒ话闱闆r下會比定性方法提供更為客觀的評估結(jié)果。

　　第十六條 內(nèi)部審計人員應(yīng)當實施適當?shù)膶徲嫵绦?，對風險應(yīng)對措施進行審查。根據(jù)風險評估結(jié)果作出的風險應(yīng)對措施主要包括以下幾個方面：

　?。ㄒ唬┗乇堋Ｊ侵覆扇〈胧┍苊膺M行可產(chǎn)生風險的活動；

　?。ǘ┙邮?。是指由于風險已在組織可接受的范圍內(nèi)，因而可以不采取任何措施；

　?。ㄈ┙档?。是指采取適當措施將風險降低到組織可接受的范圍內(nèi)；

　?。ㄋ模┓謸Ｊ侵覆扇〈胧L險轉(zhuǎn)移給其他組織或保險機構(gòu)。

　　第十七條　內(nèi)部審計人員在評價風險應(yīng)對措施的適當性和有效性時，應(yīng)當考慮以下因素：

　　（一）采取風險應(yīng)對措施之后的剩余風險水平是否在組織可以接受的范圍之內(nèi)；

　　（二）采取的風險應(yīng)對措施是否適合本組織的經(jīng)營、管理特點；

　?。ㄈ┏杀拘б娴目己伺c衡量。

　　第十八條　內(nèi)部審計人員應(yīng)向組織適當管理層報告審查和評價風險管理過程的結(jié)果，并提出改進建議。

　　第十九條　風險管理的審查和評價結(jié)果應(yīng)反映在內(nèi)部控制審計報告中，必要時應(yīng)出具專項審計報告。

　　第四章 附　則

　　第二十條　本準則由中國內(nèi)部審計協(xié)會發(fā)布并負責解釋。

　　第二十一條　本準則自2005年5月1日起施行。