单选题拥有管理风险和风险管理，但如果组织没有风险管理过程，内部审计部门应设法引起管理层对该情况的关注，并建议建立这样一个过程。即使缺失风险管理过程是一个危险信号，安排讨论舞弊可能是不成熟的，没有进一步的证据表明舞弊可能会发生。在大多数企业，缺失风险管理流程不违反任何法律或法规。针对评估的风险，下列属于适当的内部审计行为的是：（）A 在确定年度审计活动计划中要进行风险评估；因此，风险评估应该只在年度审计活动计划基础上进行。B 高风险领域应纳入审计计划，同时也应引起管理者和审计委员会的高度重视和考虑。C 低风

内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。风险管理是管理层的职责。

内部审计部门业务的外包程度，不是高级管理层确定内部审计部门在组织风险管理过程中的作用时考虑的内容。即使审计职能被彻底外包，首席审计执行官也必须对每个审计项目的质量负责，所以不必考虑内部审计的业务是否外包。

D正确。管理拥有风险和风险管理，但是如果一个组织没有风险管理的过程，内部审计部门应该提醒管理者关注这一情况，并且对建议对这一过程提出建议。即使缺乏风险管理过程是一个危险信号，如果没有进一步的证据证明舞弊可能发生，安排舞弊审计业务可能是过早的。在大多数企业，缺乏风险管理过程不违反法律法规。

A、不正确。“对风险管理过程进行评估和编制报告”不仅是一项内部审计活动，而且具有较高的审计优先顺序。B、正确。“能动的作用”不代表“风险的所有者身份”，这是管理层的责任。C、不正确。这是内部审计师的一项责任。D、不正确。从事咨询工作的内部审计师可以协助管理层实施控制。

答案A正确，如果有关方面提出要求，内部审计师可以积极协助组织风险管理流程的初步建立工作。内部审计师更为积极的作用是通过咨询的方式改进组织的基本流程，对传统的确认活动进行了补充。如果这些协助活动超越了内部审计师所开展的正常的确认和咨询活动，审计的独立性就会受到损害。在这些情形下，内部审计师应该遵守《内部审计专业实务标准》的披露要求。《实务公告1130.A1-2：内部审计在其他（非审计）领域的作用》对此问题提供了进一步的指导（实务公告2100-4）。答案B和C不正确，内部审计师在建立和管理风险管理流程中所起的积极作用有别于在“风险归属”问题上所起的作用。为了避免参与“风险归属”问题，内部审计师应该寻求管理层对其在确认、减缓、监督风险以及决定风险“归属”方面的职责进行证实。内部审计师可以促进风险管理流程的建立或使风险管理流程的建立成为可能，但是，他们不应该“拥有（own）”或负责管理已确认出的风险。答案D不正确，董事会和审计委员会对确定充分、有效的流程是否适当负有监督作用。

A不正确，内部审计定义指出：内部审计的职责是评价并改善风险管理、控制和治理过程的效果。C正确。管理层是风险的拥有者并应承担风险管理的职责，如果组织尚未建立风险管理过程，内部审计师应该按照实务公告的要求提请管理层注意这种情况，并同时提出建立风险管理过程的相关建议。D不正确，尽管缺少风险管理流程是一个舞弊信号，但在没有进一步的证据证明舞弊可能发生的情况下去建立舞弊审计业务的日程表还为时尚早。在大多数企业中，虽然缺少风险管理流程，但并没有违反法律法规。

内部审计师不仅要关注风险高的领域，还要关注风险低的领域。

制定风险应对策略是管理层的职责。