金融是现代经济的核心,商业银行则是金融体系的主体。一方面,商业银行对一国的金融和经济安全具有重要意义,世界各国对银行也都实施非常严格的监管,商业银行必须稳健经营,另一方面,商业银行也是公司企业,股东投入的资本需要回报,商业银行也要追求利润,这就需要风险和回报的平衡。在运作规范的公司治理机制下,商业银行的股东、利益相关者(存贷款客户等)和经营管理者之间的关系相当程度上“物化”为资本、风险和收益之间的关系,银行资本抵御风险的功能和追逐收益的本性形成一对矛盾的统一体:首先,银行必须满足监管当局的资本充足要求,使整体风险处于股东可接受水平;在此基础上,商业银行能否在相同回报下占用更少的风险资本即实际承担更小的风险,或者说,承担相同的实际风险(占用相同的风险资本)时获取更高的回报,则是关系商业银行竞争优势地位的中心问题。可以说,风险管理能力特别是风险和回报的平衡能力是商业银行的核心竞争力。内部审计是商业银行公司治理结构的重要组成部分,内审人员虽然不直接从事经营活动,但作为董事会对经营管理层的主要监督手段,通过发现风险提出建议可以为银行减少损失,通过发挥威慑作用可以制约经营者的违规违法行为并督促经营人员勤勉尽责创造更好的业绩,归根到底,内部审计本质上就是一个防范经营风险、增加银行价值的有效机制,这是它与风险管理的契合点。基于上述认识,本文选择商业银行风险管理和内部审计相结合的视角来审视银行风险,依从企业风险管理到企业内部审计、从银行风险管理到银行内部审计的研究思路,由一般到特殊,逐层递进,最终构成一个将银行风险管理和内部审计紧密结合的合理逻辑结构。除导论外,本文分三大部分,第一部分是基本理论篇,主要阐述了企业风险管理和内部审计的基本概念、定位、内容和作用,具体包括风险与风险管理的基本内涵、企业风险管理的发展历程、COSO全面风险管理的基本框架等内容,重点对风险管理、内部审计、内部控制、公司治理几个容易混淆交叉的概念进行了明晰,指出了彼此的区别和联系。文中对COSO风险管理八要素框架作了评价,并对其风险管理涵盖内部控制的观点提出了不同看法,提出风险管理和内部控制是一种交集的关系,两者统一于公司治理,但二者又各有侧重不能完全等同。文中还对内部审计机制对公司治理、风险管理和内部控制的促进作用作了阐述,并站在增加组织价值这一内部审计总目标的基础上,指出了大力发展以风险管理审计为主的增值型审计的意义,阐述了增值型审计发展潮流下审计人员对风险、独立性等传统审计问题新的认识发展,以及审计理念、方法和技术的一些新变化。第二部分是银行风险管理篇,主要从商业银行经营出发,阐述了银行风险的特殊性、巴塞尔委员会对银行风险的基本分类、银行风险管理的基本历程,以及银行风险管理的最新发展阶段——全面风险管理阶段。本部分重点讨论了《巴塞尔新资本协议》和其倡导的整合风险管理,尤其对以经济资本为中心的风险量化和风险回报管理,包括风险量化的基本原理、风险计量的具体技术、资本约束风险和风险平衡回报机制的具体运作过程都作了详细的释解,这是国际先进银行的风险管理理念,也是银行业风险管理领先于其他行业风险管理的根本所在。在此基础上,本文还提出了对我国银行实施全面风险管理的主要看法,即,在战略风险管理上要遵循COSO风险管理框架的内涵,在具体风险的量化和汇总方面要推进《巴塞尔新资本协议》整合风险管理的实施,把COSO和《巴塞尔协议》的长处结合起来推进,同时对我国商业银行全面风险管理体系的各项具体构成内容如风险文化、风险战略、风险管理体制等也提出了一些个人的具体看法。第三部分是银行内部审计篇,根据从业务到审计的思路,在对银行风险管理深入分析的基础上,首先从内部审计具体工作内容的角度,明确了内部审计在银行风险管理中的具体作用,这主要对应于内部审计实施的风险管理审计,同时,指出了风险管理反过来对内部审计的促进作用,这又对应于风险导向审计模式的发展。在此基础上,按照风险导向审计和风险管理审计两大线索展开,阐述在银行的具体应用,在阐述应用之前,先对审计风险和经营风险、风险重要性、风险专业判断等比较重要的几个概念进行了比较,其中对银行具体风险和审计风险间的关系图只是个人的看法,仅供参考。在风险导向审计部分,介绍了审计模式演进的几个阶段,由于风险导向审计的核心是按风险评估优化配置审计资源,本文主要介绍了该方法在审计计划阶段的应用,具体引用了国内某银行审计计划体系的主要流程和原理。在风险管理审计部分,首先比较了风险管理审计和风险导向审计、内部控制审计的区别。由于目前还没有比较成型的审计框架,笔者根据自己的实践经验,提出了银行风险管理审计的主要架构要素,其中的审计策略和审计内容两要素主要是个人的看法,其他要素参考了其他文章和书籍的观点。在此基础上,结合实际的一些案例和个人的审计经验积累,对信用风险、市场风险、操作风险和经济资本管理几个方面的薄弱环节和审计重点进行了归纳和分析,使风险管理审计更具有操作性。需要指出的是,对风险管理过程实施审计,是银行内部审计的新领域,尚处于探索阶段,需要不断的理论探讨和实践积累。与银行风险管理活动的不断发展相适应,对其进行审计也是一个不断发展的过程,现代银行的风险管理越来越向全面化、计量化、精细化发展,内部审计也必须朝这个方向迈进。目前内部审计无论是人员数量、人员的素质和对风险计量技术的掌握能力,还是现在的审计手段和技术,都无法满足对全面风险管理实施审计的要求,但这并不是说内部审计就无所作为,内部审计可以从不同的业务、产品、部门入手,分析不同业务、产品、部门面临的不同风险特点进行针对性的风险管理审计,提出改进建议,从细节入手,逐步积累经验,汇总,不断研发,最终形成比较完备的全面风险管理审计体系。限于时间仓促和本人学识有限,尽管本文也提出了一些新的认识和看法,但还很不成熟,甚至会有错谬之处,欢迎批评指正。