內部審計對組織重要創新的響應（一）

曾繁榮

[摘要]2019年8月，國際內部審計師協會（IIA）發布了研究報告《內部審計對組織重要創新的響應》，該報告基于對首席審計執行官（CAE）和內部審計師的專業調查，介紹了組織的重要創新現狀及內部審計對組織重要創新的響應情況、響應效果。因該報告篇幅較長，故分篇刊載。

[關鍵詞]內部審計 ? ?組織 ? ?創新 ? ?響應

業世界正面臨著前所未有的變革和創新。正

如美國商業作家布魯斯·塔根所述，“自工業革命以來，世界經濟正經歷著最深刻的變化。技術、全球化和不斷加快的變革步伐導致市場混亂、競爭激烈、員工要求難以預測”。對商業專業人士而言，管理所有這些變化、特別是突破性的變革相當于試圖“沖刺馬拉松”。

當組織嘗試創新時，重要的是要注意到許多創新會對傳統流程造成重大、破壞的顛覆。因此，隨著組織創新技術和實踐的激增，內部審計必須評估和管理一系列不斷變化的風險。內部審計作為第三道防線，有機會在維持有效控制和減輕這些新風險方面發揮關鍵作用。為此，內部審計師必須擁有前惠普CEO卡莉·菲奧莉娜所描述的戰略和愿景：“改變的步伐是如此之大，總會有其他事情發生。你必須具備戰略眼光和周邊視野。戰略眼光是展望未來的能力，周邊視野是環顧四周的能力，兩者都很重要。”

為幫助內部審計師加強引領以更好實現組織戰略愿景，本報告提出兩個主要問題：一是哪些重要創新影響了組織和內部審計師，二是內審如何努力回應這些創新。通過對CAE和內部審計師的深入訪談和調查，記錄內審部門對這些創新的回應和內部審計師的有用見解、最佳實踐，以確定組織及其內審部門所面臨的關鍵創新趨勢。

一、組織的創新及內部審計應對概況

由于各類組織對創新的定義有很大不同，因而本文不限定創新的定義。調查分為兩步，第一步是采訪來自各類組織的11位CAE（或同等職位），要求其確定所在組織當前或最近面臨的所有重要創新，并列出一級清單;第二步是在第一步的基礎上形成更詳細的二級清單，向更廣泛的參與者發放問卷，要求每位參與者在清單上選擇組織已實施或正在實施的三項最具創新性的選項。表1列出了經匯總排名前十的創新類型。

（一）內部審計參與組織創新決策的程度

創新動力因組織差異而不同，也因創新類型而不同。比如，組織可能根據客戶需求進行創新，試圖跟上或區別于競爭對手而采用新興技術。組織在執行創新決策的方式上也有所不同，特別是并非所有組織都將內審納入創新決策的討論中。圖1顯示，42%的受訪者反饋內審未參與創新決策，即組織實施創新或顛覆性變革的決定是在沒有任何內審人員參與的情況下作出的;34%的受訪者表示參與了識別和審查即將實施創新的供應商或產品，在創新項目或流程的初始階段，這種支持有助于降低潛在風險并明確潛在的改進空間;20%的受訪者參與了實施創新的最初決策;僅4%的受訪者參與咨詢了創新所涉及的風險并就風險或控制進行了討論。

雖然內部審計保持獨立性和客觀性很重要，但將內審完全排除在創新討論之外可能會存在問題。內審可以提供有關創新帶來的任何新風險的重要見解，解決現有控制是否到位問題，以減輕潛在的新風險，并有助于審查擬參與創新的潛在供應商或外部合作伙伴。至關重要的是，若內部審計沒有參與或沒有在創新的早期參與創新決策，那么就有可能在沒有準備好的情況下提供保證或咨詢服務，從而降低內審處理創新產生新風險的能力，將組織置于風險之中。

（二）內部審計應對組織創新的響應方式

調查顯示，用于滿足組織目標的技術發生較大變化時，內審可能需要相應改變其審計活動、人員或技能，以便在應對這些變化時能夠繼續保持增加價值并提供有效保證。圖2顯示了內審的相應變化，最常見的變化是為應對創新而增加培訓、拓展審計領域或調整年度計劃。

調查表明，多數內部審計師為創新提供有效保證。他們更可能通過增加培訓而不是通過外包或共同開發與創新相關的活動、雇用具有不同技能的新員工來改變人員組合，前者的比例是后者的3倍多;21%的受訪者認為目前不需要作出任何改變。

內審應對組織創新的關鍵是掌握審計方法、識別風險和有效控制。這一原則一直是內審工作的核心，這在不斷變化的工作環境中至關重要。在招聘新員工時，重要的是“讓更聰明的思考者進入內審行業”，因為審計人員不愿意僅僅被告知該做什么，而是更希望運用創意和創新方法來解決風險和問題。

數據顯示，僅2%的內審部門通過裁員來應對創新;10%的內審部門因為創新而增加員工。當前還沒有出現某些媒體和學術出版物預測的“世界末日”的結果，即對內部審計師的需求尚未顯著下降。

（三）內部審計進行組織創新的準備及效果

調查要求內部審計師確定其應對各項創新的準備程度和效果。這兩個問題都用7分制來評價，其中1分表示完全沒準備好或效果低下，7分表示已完全準備好或效果很好。調查顯示，在所有創新中，受訪者的平均分略低于中點，表明他們既未完全準備好，也并非完全沒準備好（3.8分）;在應對創新方面并非完全有效，也并非完全無效（3.9分）。這些中等的得分印證了德勤2018年對全球CAE調查的結果。正如IIA秘書長兼CEO理查德·錢伯斯在2018年12月12日的《內部審計人員在線》中所述：“如果你偶爾懷疑內審對公司的影響，你其實并不孤單。德勤2018年全球CAE調查顯示，高達60%的CAEs認為內審對公司內部沒有強大影響。雖然這對內部審計師來說是個壞消息，但仍比2016年調查的72%有所改善。”因此，內部審計在準備和應對創新時似乎面臨挑戰，每個內審部門在準備和應對組織創新方面都將發生較大改變。

二、內部審計如何應對十項常見的組織創新

為比較不同的創新類型，本部分提供了對各類創新的更詳細調查，其中圖3和圖4按具體的創新類型對結果進行分解，圖5顯示了應對每項創新的準備情況和有效評級，每項創新都按字母順序排列。對于每項創新，每個條形圖顯示了內部審計參與組織各類創新決策的受訪者比重（下同）。

（一）數據分析

1.定義。數據分析是一個含義廣泛的術語，是一種從原始信息源（即數據源）中獲取深刻見解的IT技術。2017年，美國注冊會計師協會（AICPA）將數據分析定義為“發現和分析模式、識別異常以及通過分析、建模和可視化提取與審計主題相關的數據中的其他有用信息，以規劃或執行審計的科學和藝術”。數據分析為組織帶來了變革，且使用范圍還在不斷擴大。在整個組織中，廣泛地進行數據分析，可以促進各項業務的決策。內部審計師必須理解這種新方法，并對管理層承諾，使其對分析過程放心。事實上，使用數據分析的審計在效率和有效性上已顯著提高。

2.對組織/風險的影響。首先，當被問及所在組織因實施數據分析而面臨的新風險時，最常見的回答是與數據完整性相關的風險，特別是當組織實現了數據分析時，員工很可能訪問各種系統并從中提取數據進行分析。但與此同時，因使用不完整或有缺陷的數據集進行分析并據此作出決策的風險也相應增加。因此，需要建立有效的治理流程，以確定誰有權訪問數據、如何使用數據以及如何保護數據。其次，受訪者也擔憂數據的透明度會帶來負面影響，因為更高的透明度意味著管理層和內部審計無法控制“壞”消息，更多人可以獲得原始數據，如員工離職時，由于所掌握數據的透明度，可能將潛在“機密”透露給競爭對手。再次，組織對數據分析的依賴可能給內部審計師帶來挑戰。金融行業多位CAE指出，組織中的數據往往是分散、不同的，這給有效使用數據分析帶來挑戰，并且組織在最初實現數據分析時并沒有應用一致的方法或規程，因此對組織及內審部門來說，將這些方法結合起來并有效使用可能具有很大挑戰。最后，當數據分析作為工具在內部審計中使用時，也會帶來挑戰。有受訪者警告說，專注于數據分析可能使內審人員沒有足夠時間來執行其他類型的審計，這讓利益相關者感到沮喪。此外，讓員工進行數據分析會提高人員的流動性，導致雇傭和留住熟練的數據分析師變得更加困難。

3.調查結果。調查顯示，54名受訪者將數據分析視為組織當前的主要創新，超過了其他創新類型。盡管如此，內部審計參與數據分析創新決策的程度與其他創新不相上下，受訪者也不認為內審更多或更少地準備好了或對該創新作出有效反應，如圖6所示。

4.深度見解。受訪者使用數據分析工具進行各種分析，最常用的工具是Tableau和ACL，接下來最值得推薦的工具是R、Python和SQL。內部審計師應避免僅因為Excel易于使用就依賴它，并且要對“免費工具”保持警惕。

5.最佳實踐。一是加強培訓。將學習和改進數據分析作為審計團隊績效目標的一部分。通過將培訓過程正式化并將其納入年度計劃，使內部審計人員能更好地利用數據分析來提高績效。二是強化數據治理。組織應嚴格執行數據庫，并以可控、有意義的方式構造數據。三是控制分析。數據分析的一個常見問題是無法有效控制所做的、所保存的、所共享的、所依賴的數據，因而會出現重復分析，進而出現不同的結果（也可能由于分析技術的錯誤或誤用）。此外，對誰可以執行分析以及如何審查、存儲這些分析進行有效控制也是至關重要的。

（編譯者單位：中國人民銀行贛州市中心支行，郵政編碼：341000，電子郵箱：315421032@qq.com）