隨著2007年剛開始，很多上市公司為了公司治理報告開始了他們的內部控制系統和風險管理制度的評估，在香港《企業管治常規守則》(《守則》)的規範下哪些因素須予以考慮以符合董事會和審計委員會職責呢？一個有效的企業風險管理制度有助於公司長期、持續的經營並保持獲利。而內部審計職能對於公司的董事會和審計委員會而言，在監控管理層是否建立並保持有效的風險管理制度和內部控制系統方面是最重要的工具之一。
《守則》第2.1章要求董事會每年對公司內部控制系統進行評估，同時第3.3章也要求審計委員會保持對公司財務報告系統及內部控制程序包括風險管理系統的監督。為了達到這些要求，其「建議最佳常規」內容包括：(a)2.2章，對管理層評估及監督公司業務風險與內部控制之審閱；(b)2.5章，公司如果不存在內部審計職能，應當對其需要性進行評估。遺憾的是，到目前對於評估的內容和如何執行上述評估方面還沒有具體的指南準則。
以下乃從內部審計協會(IIA)應用指南上摘錄的問題，將有助於評估公司風險管理制度與內部控制系統的有效性及如何改進。這對於必須遵循《守則》的上市公司、準備上市的公司、和希望在公司治理效率性方面建立聲望的公司而言，尤其有用。
-
管理層是否已建立一個正式的、已記錄的企業風險管理制度？
-
在一個非正式的風險管理過程中，管理層在作出決定時是否持續考慮風險水平？而有關的風險評估結果是否記錄在案？這些風險評估是否與董事會溝通過？
-
不論風險管理程式是否正式的，高級管理層是否把識別、監督、管理和報告企業風險的職責適當的分配給相關對此負有責任的人員，來讓他們識別自己所在風險環境况的職責？
-
相關與可靠的內部和外部資訊是否被識別、收集並且及時地傳遞到對此風險負有管理責任與識別責任的人員那况？
-
公司是否存在一個常規的程式用來識別與分析風險？同時採取了相關措施去控制與降低風險？
-
公司是否有適當的控制程式來保證管理層的決定得到適當執行?
-
是否有內部審計職能需要？
-
公司如果不存在內部審計職能，那麼管理層是否已為監督內部控制措施建立了常規的程式？這些常規程序是否包括建立在高級管理層之上的監督控制並且充分地報告了內部控制存在的所有缺陷？
-
非正式的內部控制過程是否充分地獨立於管理層？
-
如果不存在內部審計職能，管理層是否已把相關的責任在公司經營的每個領域賦予了適當的人員？
-
對內部控制人員是否已經得到公司治理層、審計委員會和董事局的支持？
-
是否有書面的文件用來規定對內部控制人員的責任範圍？這些書面文件是否是已經審計委員會審閱？
-
內部審計與高級管理層的整體關係是否合適？
-
對內部控制負責人員是否擁有並使用適當的溝通方式報告給所有高級管理人員和審計委員會？
-
公司內部控制的缺陷和問題是否已傳遞到適當的人員並被及時改進和處理？
-
對內部控制負責的人員是否擁有有關之專長？
如果您對上面問題的回答中存有“不”，請留意我們下期的客戶通訊，其將會討論如何以經濟有效的方式實施公司風險管理程序和如何建立內部審計職能。
CWCC的公司風險諮詢服務，本所將會提供獨立支援，在您的公司建立一個既有實質內容，又符合《守則》要求的風險評估管理程序和內部控制系統，以提高公司治理的有效性。
