一、前言
所謂之內部稽核是指一種以有系統方法去蒐集、評估證據以驗證公司內部控
制有效性、營運活動之效果、效率及經濟性，並據以提出評估結果及改善建議以
幫助企業的管理者達成組織目的的過程。對於風險管理而言，風險越大的活動，
管控的需要就越大，同時對於內部稽核的需求性就越強，因為內部稽核可以為企
業找出存在的風險性活動及所面臨的風險程度，評估其內部控制制度的設計是否
可以有效遏止風險的發生及是否有被確實的執行，再對管理者提出改善與建議。
綜上所述，內部稽核為企業執行風險管理時，極為有力的一項輔助工具，然而，
誠如第一段之說明，保險公司所面臨的風險及財務報表的編製有一部份為其產業
所特有，具有產業的特殊性，因此其內部控制的設計及內部稽核的程式亦應有別
於一般的金融機構及商業。
二、內部稽核與風險評估
（一）研究背景
COSO 於1992 年發佈內部控制－整體架構，作為企業建立內部控制架構的
原則與典範，並提供企業評估內部控制系統工具。依據COSO 對內部控制的定
義：
“A process, effected by an entity’s board of directors, management and other
personnel, designed to provide reasonable assurance regarding the achievement of
objectives in the following categories: effectiveness and efficiency of operations,
reliability of financial reporting, and compliance with applicable laws and
regulations.”
（二）內部稽核的定義
關於內部稽核的定義有許多，端視從何種角度來看。依據The Institute of
Internal Auditors 對內部稽核的定義為：
“Internal auditing is an independent, objective assurance and consulting activity
designed to add value and improve an organization’s operations. It helps an
organization accomplish its objectives by bringing a systematic, disciplined approach
to evaluate and improve the effectiveness of risk management, control, and
governance processes.”
（三）內部稽核角色及職責
傳統上，內部稽核為內部控制的一環，內部稽核人員負責稽核企業各種作
業活動及內部控制制度的實施情形，對於偏離制度的情況，則適時向經理階層提
出報告與建議。
隨著以風險為導向的內部稽核時代的來臨，內部稽核的角色與職責亦漸
漸起了變化。除了傳統的角色與職責外，內部稽核人員亦開始要負起一部份的風
險管理之責任，向董事會及審計委員會（Audit committee）報告經理階層是否正
確而有效地辨認風險，及控制制度是否有效地減輕這些風險，至董事會可以接受
的水準（The Institute of Internal Auditors-UK and Ireland, 2003; Matyjewicz and
D’Arcangelo, 2004），並且在設計風險管理制度時，提供事前諮詢性的服務。
值得注意的是：企業的風險管理之責，仍然是落在管理階層的身上，內部稽
核人員不需要也不應該越俎代庖。The Institute of Internal Auditors （2004）在其
所發佈The Role of Internal Auditing in Enterprise-wide Risk Management 列出下列
數種內部稽核人員不應該扮演的角色：
􀂄 設定風險胃納。
􀂄 擬定風險管理過程。
􀂄 決定風險的回應（決定採用何種風險管理的方法）。
􀂄 以經理階層的名義執行風險回應。
􀂄 對風險管理的成敗負責。
（四）風險的定義與架構
1.風險的意義
風險（Risk）又稱為危險，廣義來說，係用來描述某事件發生結果的不確定
性（Uncertainty）。風險的定義有二：預期損失（Expected losses）及變異性
（Variability）。
2.保險公司所暴露風險的種類
與一般的公司相同，保險公司會暴露於常見的一般風險（General risks）之
中，例如：作業風險（Operational risk）與政治風險（Political risk）等等，保險
公司亦會暴露於其他金融機構所面臨的共同風險，例如：市場風險（Market risk）
與信用風險（Credit risk）等等，而且由於保險行業的特殊性，還需面對屬於這
個產業特有的風險，以產物保險公司為例，這些風險包括：核保風險（Underwriting
risk）、再保險人倒帳風險（Reinsurer default risk）、巨災理賠風險（Catastrophe
claims risk）及失卻清償能力的風險（Insolvency risk）等等。
（五）風險評估
內部稽核人員要能夠作到以風險為導向的內部稽核，首先必須協助管理階層
找出保險公司暴露在何種風險之中，及所暴露的風險大小為何，前者為事項辨
認，目的在於找出風險暴露的種類（Type）；後者為風險的評估，重點在於瞭解
風險暴露的可能性（Likelihood）與影響（Impact）。茲分別討論「事項辨認」、「風
險評估」及「風險記錄簿」如下：
1.事項辨認
依據COSO-ERM 之定義，所謂事項辨認，係指找出影響企業策略之執行與
目標之達成的事項，此事項倘若對於策略之執行或目標之達成，有負面的後果，
則此事項即稱為風險。辨認風險是管理階層的工作之一，此不僅對企業經營而言
很重要，對於以風險為導向的內部稽核工作的遂行，亦有重要影響。如何對風險
作正確而客觀的辨識，以便找出風險暴露的種類，並進而瞭解該風險的性質，是
進行以風險為導向的內部稽核工作與風險管理的第一步驟，也是最重要的步驟，
因為倘若所找出的風險不是真正所暴露的風險，後續的相關步驟的執行的成效，
將會大打折扣。
2.風險評估
透過上述事項辨認的方法找出風險暴露的種類後，即可對風險作進一步的評
估。所謂風險的評估，即為對風險之衡量（Risk measurement），實務上，對風險
之衡量主要係藉由對過去損失（Historical losses）的衡量，以便瞭解風險暴露的
程度（Extent）。風險之衡量的方式很多，包括下列常見指標：
3.風險記錄簿的建立
􀂄 風險記錄簿的完整與正確與否，攸關以風險為導向的內部稽核計畫之成敗。
所謂風險記錄簿，其實就是會影響企業達成經營目標的風險名單（A list of
risks），此一名單應由公司風險部門運用上述之事項辨認與風險評估所擬
定，內部稽核人員在進行以風險為導向的內部稽核計畫前，需先確認
（Confirm）風險記錄簿是否完整且正確，如果該記錄簿不夠完整或不甚正
確，內部稽核人員應協助風險管理人員找出完整且正確的企業風險暴露的種
類與程度。固有風險及剩餘風險與內部稽核計畫之關係
由於內部稽核計畫的目的在於：向董事會提供關於內部控制或風險管理措
施是否發揮應有的作用之獨立而客觀的意見，因此內部稽核人員在擬定內部稽核
計畫時，應參考固有風險而非剩餘風險（Griffiths, 2006），亦即對於在風險分級
中，得分較高的固有風險，應列入年度內部稽核計畫之查核的風險項目之一，並
檢驗是否此固有風險已因內部控制或風險管理措施而降低到企業可接受的程度。
• 成功大學企業管理學系助理教授
節錄自中華民國內部稽核協會第56 期季刊

3