如果管理层没有为组织建立风险管理流程，内部审计师应建议此类流程的

A.正确。风险管理流程充分关注管理层的计划和设计，它们对组织目标和目的的高效率、经济地实现提供了合理的保证。B.不正确，参照题解A。C.不正确，参照题解A。D.不正确，参照题解A。

A.不正确，工程师具备作业和成本程序的更多知识。B.不正确，信息系统专家具备有关信息需求和信息处理程序的更多知识。C.不正确，管理会计师具备更多当前产品成本的信息。D.正确。内部审计活动的工作范围扩展到了评价组织的风险管理流程。内部审计活动应帮助组织确认并评价重要的风险因素，帮助改进风险管理与控制系统。

战略风险管理的基本做法包括：明确董事会和高级管理层的责任、建立清晰的战略风险管理流程、采取恰当的战略风险管理办法。强化内部控制系统和流程是战略风险管理的益处。

A不正确，风险管理流程随组织业务活动的规模和复杂性而变化。B正确。内部审计师应该有责任就组织的风险管理流程的充分性向董事会与管理层提供确认。这种责任要求他们对风险管理流程是否充分到足以保护组织的资产、声誉与持续的经营形成意见。为了上述目标，内部审计师必须确信组织的风险管理流程是否着眼于五个关键目标，即：(1)找出业务战略与活动领域的风险并进行优先排序；(2)管理层和董事会已经确定了组织可以接受的风险水平，包括为实现组织的战略计划而接受的风险；(3)设计并开展了风险减轻活动，将风险降低、管理在管理层和董事会可以接受的水平；(4)开展持续的监督活动，定期对风险和控制的有效性进行再评估，以便管理风险；(5)董事会和管理层定期收到风险管理流程的结果报告。组织的公司治理过程应该包括定期向利益关系方传达风险、风险战略和控制情况。C不正确，管理层和董事会确定组织可接受的风险水平。D不正确，评价管理层的风险过程要区别于内部审计师在计划业务时所采用的风险评估，但在制订业务计划时所取得的综合性风险管理流程的信息是有用的。

答案A正确，如果有关方面提出要求，内部审计师可以积极协助组织风险管理流程的初步建立工作。内部审计师更为积极的作用是通过咨询的方式改进组织的基本流程，对传统的确认活动进行了补充。如果这些协助活动超越了内部审计师所开展的正常的确认和咨询活动，审计的独立性就会受到损害。在这些情形下，内部审计师应该遵守《内部审计专业实务标准》的披露要求。《实务公告1130.A1-2：内部审计在其他（非审计）领域的作用》对此问题提供了进一步的指导（实务公告2100-4）。答案B和C不正确，内部审计师在建立和管理风险管理流程中所起的积极作用有别于在“风险归属”问题上所起的作用。为了避免参与“风险归属”问题，内部审计师应该寻求管理层对其在确认、减缓、监督风险以及决定风险“归属”方面的职责进行证实。内部审计师可以促进风险管理流程的建立或使风险管理流程的建立成为可能，但是，他们不应该“拥有（own）”或负责管理已确认出的风险。答案D不正确，董事会和审计委员会对确定充分、有效的流程是否适当负有监督作用。

内部审计师可以促进、协助风险管理过程的建立，但不负风险管理的责任。风险管理是管理层的职责。

内部审计师必须避免在实际工作中对风险进行管理，进而避免承担任何管理层分责任。

A不正确，内部审计定义指出：内部审计的职责是评价并改善风险管理、控制和治理过程的效果。C正确。管理层是风险的拥有者并应承担风险管理的职责，如果组织尚未建立风险管理过程，内部审计师应该按照实务公告的要求提请管理层注意这种情况，并同时提出建立风险管理过程的相关建议。D不正确，尽管缺少风险管理流程是一个舞弊信号，但在没有进一步的证据证明舞弊可能发生的情况下去建立舞弊审计业务的日程表还为时尚早。在大多数企业中，虽然缺少风险管理流程，但并没有违反法律法规。

公司可聘请有资质、信誉好、风险管理专业能力强的中介机构对公司的全面风险管理工作进行评价，出具风险管理评估和建议专项报告。报告一般应包括以下几方面的实施情况、存在缺陷和改进建议：
(1)风险管理基本流程与风险管理策略。
(2)公司重大风险、重大事件和重要管理及业务流程的风险管理及内部控制系统的建设。
(3)风险管理组织体系与信息系统。
(4)全面风险管理总体目标。