董大胜，经济学博士、研究员。现为中华人民共和国审计署副审计长、审计署高级审计师评审委员会副主任委员、财政部企业内部控制标准委员会副主席、财政部会计准则委员会委员、中国注册会计师协会常务理事、中国注册会计师协会审计准则委员会委员、中国资产评估协会委员、国家会计学院董事、美国艾森豪威尔基金会中国大陆访问学者、哈佛大学肯尼迪政府学院访问学者。长期从事财经和审计理论研究及实务工作，曾主编、编写著作二十余部，发表论文六十余篇；韩晓梅，管理学博士。现为南京理工大学经济管理学院会计学副教授、硕士生导师、中国会计学会财务成本分会常务理事、中国会计学会内部控制专业委员会委员、中国注册会计师协会审计准则起草组专家、中国注册会计师协会会计师事务所内部治理指导委员会委员、美国华盛顿大学foster商学院会计系访问学者。曾出版专著一部，主编和编写著作三部，主持省部级项目四项，发表论文二十余篇。

    《企业内部控制与风险管理工具箱·风险基础内部审计：理论·实务·案例》全面介绍了基于风险管理的内部审计的理念、方法和程序，为企业在充满风险的环境中实施风险基础内部审计、重塑内部审计职能提供指导和建议。本书共分九章，包括风险管理与风险基础内部审计、风险基础内部审计的方法与流程、风险识别与评估、制订风险基础审计计划、风险管理审计、公司治理审计、内部控制审计、审计报告、风险基础内部审计的管理等内容。

    （三）风险管理的过程<br>    风险管理包括识别风险和设计控制风险的方法，其核心是将没有预计到的未来事项的影响控制在可接受的范围内，从而提高企业的经济效益及社会效益。风险管理是一个系统的过程，主要包括以下三个阶段：<br>    1.风险识别。即根据企业的目标、战略规划等识别所面临的风险。在企业的内部和外部环境中存在各种各样的风险，尽管这些风险的轻重缓急程度以及发生的可能性各不相同，但都会影响企业目标的实现。为了确保风险管理的充分性，这一阶段必须识别所有影响企业目标实现的风险，并找出企业中高风险暴露的领域，进行重点分析。风险的识别要根据企业目标及战略规划等进行。企业目标自上而下可以分为不同的层次，如战略目标、经营目标、职能部门目标、岗位目标等。风险的识别应根据这些不同层次的目标分别进行，最终涵盖整个企业的各个层次。<br>    2.风险评估。对于已识别的风险，评估其发生的可能性及影响程度，同时将分析的结果与认为可接受的风险水平相比较。如前所述，企业所面临的各类风险对企业目标实现的影响程度并不相同，为了确保风险管理的针对性，要对不同的风险采取不同的控制措施加以管理。风险评估要从两方面同时进行，一是风险发生的可能性，二是风险的影响程度。这是风险的两个主要构成因素，有的风险发生的概率很大，但造成的影响却并不严重，有的风险后果很严重，但发生的可能性非常小。风险评估要针对可能性和影响程度这两方面进行，缺一不可。评估是对风险作出恰当的应对决策的基本前提。<br>    3.风险控制与应对。即根据风险的严重程度采取有针对性的应对措施，将风险控制在企业可接受的范围内，使企业的风险暴露水平与其所设定的目标相一致。基于成本效益原则，企业对不同程度的风险有不同的应对方式。根据风险评估结果作出的风险应对措施主要包括：回避风险，采取措施避免进行会产生风险的活动；承受风险，由于风险已在企业可接受的范围内，因而可以不采取任何措施；降低风险，采取适当的措施将风险降低到企业可接受的范围内；分担风险，采取措施将风险转移给其他企业或保险机构。<br>    （四）风险管理中的主观因素<br>    风险管理的过程除了一系列量化指标的对比外，还有部分主观判断的因素，这类主观因素与企业的风险容量（Risk Appetite）紧密相关。所谓风险容量，广义地讲，就是企业在追求其价值增值过程中所愿意接受的风险程度和数量。它反映了企业的风险理念和管理哲学，同时对企业的文化与经营风格产生影响。<br>    ……

第一章 风险、风险管理与风险基础内部审计<br>第一节 风险与风险管理<br>第二节 风险管理与风险基础内部审计<br><br>第二章 风险基础内部审计的方法与流程<br>第一节 风险基础内部审计的方法<br>第二节 风险基础内部审计的主要阶段<br><br>第三章 风险识别与评估<br>第一节 董事会、管理层与内部审计的职责<br>第二节 识别和评估风险<br>第三节 风险记录_<br><br>第四章 风险基础审计计划<br>第一节 将风险与审计相联系<br>第二节 制订审计计划<br><br>第五章 风险管理审计<br>第一节 确定风险管理成熟度<br>第二节 风险管理综合评价<br><br>第六章 公司治理审计<br>第一节 公司治理及其审计<br>第二节 公司治理审计的内容<br><br>第七章 内部控制审计<br>第一节 内部控制审计概述<br>第二节 企业整体层面的内部控制审计<br>第三节 具体业务层面的内部控制审计<br>第四节 信息系统的内部控制审计<br><br>第八章 审计报告<br>第一节 审计报告的编制<br>第二节 审计报告的内容与格式<br>第三节 审计报告的报送、追踪与后续审计<br><br>第九章 风险基础内部审计的管理<br>第一节 内部审计档案管理<br>第二节 内部审计质量管理<br>第三节 风险基础内部审计综合评估<br>参考文献