內審通識：風險三級制

香港電影有三級制，內審也有一個三級制，主要用於風險管理，方便企業管理層及被審單位調配資源，以改善內控問題。未詳細探討前，首先解釋一下何謂風險。於內審和風險管理人眼中，風險高低主要取決於兩個要素，分別是「可能 ( Likelihood )」和「影響 ( Impact )」。

「可能」是指問題發生的機會有幾大。例如拋銀仔，出現「公」和「字」的機會都是50%，這就是機率。可是，現實中不是所有事情都能如此統計出來，不時需要依靠主觀判斷。舉個例子，我們每次開出支票，相信大部份朋友都會將日期、銀碼和抬頭等資料寫在支票簿存根上，方便日後查閱。若然沒有此習慣，就必需依靠記憶。當然，世上有不少人天生記性好，但大部份人卻不然，時間愈久，開出支票的數量愈多，忘記的機會就愈大。因此，我們可以推斷，沒有寫存根習慣的人，忘記已開出支票資料的機率屬於高。

為了將問題的排序，內審慣常將問題所屬的風險分成高、中、低三級

「影響」是指問題一旦發生所造成的影響。有一點需要留意，在判斷影響高低前，我們必先找出受影響的對象。就以上述支票簿為例，若果是私人賬戶，而且賬戶結餘不多，一般只會是已開出支票金額的總和，就算沒有寫下存根，即使忘記支票資料，帶來的麻煩也有個限度。反觀公司賬戶，每月開出的支票數以百張，就算戶口結餘不多，忘記支票資料就不能錄賬，雖然事後可以通過銀行月結單返查金額，也可支付手續費補領支票副本，但若然有支票遲遲未兌現就不成，是個內控漏洞，影響可算是高。

了解過何謂風險後，接下來講解風險三級制。為了將問題的排序，內審慣常將問題所屬的風險分成高、中、低三級。至於屬於那一個級別，就取決於問題的發生可能和影響。具體情況如下：

1. 可能高 及 影響高 = 風險高；

2. 可能高 及 影響中 = 風險高；

3. 可能高 及 影響低 = 風險中；

4. 可能中 及 影響高 = 風險高；

5. 可能中 及 影響中 = 風險中；

6. 可能中 及 影響低 = 風險低；

7. 可能低 及 影響高 = 風險中；

8. 可能低 及 影響中 = 風險低；

9. 可能低 及 影響低 = 風險低。

以上九個情況可以用以下圖表來表示：

如何應用？再拿上述支票簿做例子，假設涉及的是企業賬戶，每天開出幾百張支票，若然出納沒有即時寫存根的習慣，忘記開出支票資料導致不能錄賬的機會和影響斷定為高，所以風級級別定為高。

將所有發現到的問題按上述方法為風險分級，我們就可以建議管理層及被審單位優先解決高風險問題，然後再按資源解決中風險問題。至於低風險，如果管理層及被審單位認為其風險可以接受的話，他們可以考慮不作處理，但需要定期審視將來可能出現的變化，一旦風險變成中級或高級時便需要處理。

最後一提，三級制是最基本的分級方法，內審或風險管理人可按自身情況將風險細分，例如五級制 ( 極高、高、中、低、極低 )。

原文刊於：am730 2016-04-29

&&&&&&&&