Институт внутренних аудиторов

Если у аудитора есть обоснованная уверенность что система риск-менеджмента обеспечивает достоверную оценку рисков - то он может ей пользоваться, если нет - не может:), в любом случае по каким то из списка рисков аудитор может опираться на оценку менеджментом, по каким-то на собственное мнение.
Есть еще один момент - при отсутствии формальной и алгоритмизированной методологии оценки риска ( ну например как оценка кредитного риска банком) вряд ли кто-то может точнее оценить риск чем менеджер, в зоне ответственности которого риск находится, соответственно еще неизвестно, чья оценка будет точнее - аудитора или менеджера.

Владислав, привет!
Мы не найдём ответа, а с ним и единственно правильного решения, не определив, с какими рисками имеет дело внутренний аудитор.
Часто сваливаются в кучу риски, которые должны идентифицироваться и управляться специалистами (кредитные, ценовые, валютные, да мало ли, проектные, например, или инвестиционные) и риски, допустим, стратегические или риски, которые мы можем идентифицировать в бизнес-процессах для дизайна контроля.
Если исходить из моих наблюдений, то получается следующая ситуация.
Сидят специалисты, например, в подразделении коммерции и "разруливают" рыночные риски, определяют VAR (value at risk) и очень этим горды. Это - их дожностная обязанность. Про существование каких-либо других рисков они и знать не знают. Самое смешное - их оценка квалификации внутренних аудиторов: "да эти внутренние аудиторы даже не знают, как риск посчитать!"
И мнение руководителей внутреннего аудита: "Да эти...понятия не имеют, что такое риск!".
Сам был свидетелем. В одной уважаемой продвинутой компании.
Поэтому, мне кажется, что область внутреннего аудита - это стратегические риски (high level) для определения карты рисков и составления годового плана аудита. Это должно быть сделано в тесном контакте с менеджментом (не с рядовыми исполнителями, а с топами). И риски в бизнес-процессах, то есть связанные с действиями. Не то, как посчитан, правильно ли определен, риск, а считает ли кто-то, по какой методике, кто проверяет и т.д.
Может быть, несколько сумбурно, зато оперативно.

Если мы говорим, что в компании существует оценка рисков для целей управления рисками (так звучит вопрос в теме дискуссии) , то, надо понимать, это вещь не формальная, а реальная. То есть риски оцениваются и, что важно, с какой-то периодичностью переоцениваются. Как уже говорили коллеги, ВА совершенствует процессы риск менеджмента путем оценки их эффективности и достаточности, при чем с выдачей рекомендаций. Мне кажется, "подключение" службы ВА к процессу оценки менеджментом рисков, с выдачей своих рекомендаций, высказыванием своего мнения, больше отвечает целям ВА в повышении эффективности деятельности организации, чем самостоятельная оценка рисков службой внутреннего аудита. Оценка рисков менеджментом есть ничто иное, как "предвидение последствий принимаемых менеджером решений". Задача ВА способствовать , чтобы менеджмент этому ( "предвидению последствий принимаемых им решений") быстрее выучился. Наверное лучше менеджмент научить самостоятельно "ловить рыбу" , чем все время "кормить его выловленной тобой", имеется в виду оценивать риски за него.
И здесь "плюс" останется "плюсом", а "минус" ... превратится в "плюс".