內部審計對組織重要創新的響應（二）

曾繁榮

[摘要]2019年8月，國際內部審計師協會（IIA）發布了研究報告《內部審計對組織重要創新的響應》，該報告基于對首席審計執行官（CAE）和內部審計師的專業調查，介紹了組織的重要創新現狀及內部審計對組織重要創新的響應情況、響應效果。因該報告篇幅較長，故分篇刊載。

[關鍵詞]內部審計? ? 組織? ? 創新? ? 響應

（承上篇）

二、內部審計如何應對十項常見的組織創新

（二）云計算

1.定義。即使用遠程服務器（而非使用本地服務器）網絡來存儲、管理和處理數據。

2.對組織/風險的影響。給組織帶來了一系列風險，包括隱私、安全、數據泄露、數據敏感性、聲譽和監管方面的風險。此外，向云計算的轉變從根本上改變了組織對數據存儲、使用和管理的方法。正如一家食品飲料公司CAE所述：“我們的IT戰略是建造自己的數據中心，開發與利用云，從而可以用更少的錢、更有效地完成這項工作，安全性更高。這將極大地改變IT部門，使IT人員減少三分之一。”

3.調查結果。云計算是報告次數排名第二的創新類型。內部審計人員在審查或確定該項創新方面比其他創新更積極（36%）。在所有創新中，云計算的得分最高，因為它要求審計人員在審計計劃中增加更多領域，并要求對這些創新進行培訓。內部審計參與云計算創新決策情況見圖1。

4.深刻見解。考慮到向云過渡普遍存在新風險，受訪者強烈建議將評估云計算控制作為最佳實踐，并建議雇傭具有IT技能的人才來評估云計算控制。因此，企業很可能改變內部審計人員的招聘方法，許多受訪者建議聘請外部專家進行滲透測試，并引入具有專業IT技能的人員。所有受訪者均認為，要想獲得成功，建議在轉向云計算之前與IT部門建立牢固關系。

5.最佳實踐。一是評估控制。除了評估數據安全、隱私等方面的內控，還要評估“軟控制”，因為關注企業文化和知識也十分必要。二是內部審計需要雇用具有IT技能的人才，增加內審人員的IT專業知識以促進對云計算控制的評估。部分企業的招聘重點已從會計轉向編碼、網絡安全、信息學和數據分析。三是指派員工密切監控云合作伙伴，以便清楚傳達測試結果，確保包含盡可能詳細的信息。四是注意成本。內審應幫助組織密切關注云供應商，因為云供應商不會預先披露真實成本，維護成本可能很高，但在協商階段并不明顯。

（三）敏捷過程

1.定義。即一種項目管理方法，其目標是以較低成本提供較高質量的產品。通常，它包括一個“沖刺”（Sprint）階段，這是一種增量、迭代的工作序列，逐步改進產品質量。這種方法專注于在短迭代中逐步交付測試過的產品。當敏捷過程在整個組織中實現時，內部審計必須認識到業務流程將發生變化，參與這些過程的員工也具有不同的項目管理思維和方法，內部審計可以通過敏捷過程來管理審計活動，內部審計工作性質將發生變化。

2.對組織/風險的影響。當組織或內部審計功能實現敏捷過程時，內部審計人員應意識到存在許多風險。敏捷需要轉變整個組織的文化和創建新的思維方式，這一轉變帶來更多的不確定性。因此，敏捷比過去需要更多紀律，因為沖刺期間的業務流程可能不關注內部控制，這將給內部審計帶來更多問題，由于沖刺階段是快速的，可能難以履行其職責并提供及時的建議。當組織轉向敏捷過程時，內部審計需要改變思維方式。以大型教育機構首席技術官（CIO）最近的經歷為例，雖然CIO的IT團隊已轉向敏捷過程，但內部審計仍延用傳統方式來審計——召開會議、評估流程或控制、審查所有材料、提供建議/發現。從CIO的角度看，所面臨的挑戰是，當內部審計提供建議時，IT團隊已發布了被審計流程的兩個新迭代。由于敏捷過程的快節奏性，使得內部審計結果無關緊要，因而內部審計此時是一種遵從性的實踐，沒有增加多少價值，因為未能跟上IT變化的速度。為了在敏捷過程中提供價值，內部審計必須做出重大調整，以更接近實時的方式來進行審計和報告結果。

3.調查結果。38%的受訪者表示所在組織或內部審計部門已實現了敏捷過程，這是一項重要創新（排名第4），但內部審計對整個組織實施敏捷過程決策的參與度低于所有創新的平均水平（見圖2）。在實現敏捷過程中，內部審計更有可能將新的審計領域添加到年度審計計劃中，響應創新的效率更高。敏捷過程改變了審計方式和審計重點，因此，當組織實施敏捷過程時，很可能改變整個審計過程。

4.深刻見解。由于工作節奏的變化，轉向敏捷過程可能導致員工耗費更多精力;敏捷的最大挑戰是缺乏資源，尤其在了解的過程方面，敏捷過程可能需要不同于年度計劃的思維方式。

5.最佳實踐。一是公開溝通。絕大多數受訪者認為高管和內部審計人員需要公開溝通，參與實施敏捷過程的決策，特別是應定期參加培訓。二是通過聯合采購/外包獲得專業知識，尤其在實施敏捷過程的早期特別有價值。三是認識學習曲線。內部審計需要有一個過程來適應敏捷過程，花費的時間先多后少，效率先低后高。

（四）移動技術

1.定義。即使用蜂窩技術連接電話、平板電腦或筆記本電腦進行通信的技術。其應用范圍很廣，從跟蹤人員和資產（如飛機、卡車等）到將基于紙張的文檔轉換為使用平板電腦的數字文檔，再到為客戶提供解決方案。

2.對組織/風險的影響。移動技術具有網絡風險（如隱私、資料完整性等）以及存在盜竊和未經授權訪問的風險，因為黑客可以利用更多的入侵點。此外，許多科技跨國公司和外國政府禁止本國公民攜帶私人或公司的智能手機或筆記本電腦到不同國家，否則會面臨風險。

3.調查結果。除了審查/確定實施移動技術的供應商外，內部審計很少參與這項創新（見圖3）。內部審計人員普遍認為，除了在年度審計計劃中增加審計領域之外，尚不需要改變審計程序來應對該風險。

4.深刻見解。有必要建立一套工作框架以監測來自移動技術的潛在風險，但創建工作框架是復雜的，因為各地各組織的移動技術不盡相同。在此背景下，組織必須整合所有影響其活動的內外部流程和資源，以有效管理移動技術。

5.最佳實踐。一是明確移動技術的戰略和運營目標。內部審計必須了解為什么以及如何實施移動技術，以便能夠識別潛在風險并進行必要控制。二是創建一種相向的企業文化。由于移動技術（尤其是移動設備）被用于許多目的，幾乎涵蓋組織的所有領域，因此有必要與其他相關功能（如IT、公司安全等）協作以協調所有活動。

（五）機器人處理自動化

1.定義。機器人處理自動化（RPA）是一種允許用戶設計執行常規系統任務的機器人或機器人的自動化。機器人本質上執行的步驟與人類完全相同，盡管研究團隊正在努力構建智能過程自動化（IPA），但它并未像人工智能那樣“智能”。

2.調查結果。55%的受訪者并未參與到實施RPA的決策中（見圖4）。在所有創新中，內部審計對編制RPA最有信心，RPA被認為是一種最不需要作出改變的創新，占比達45%，這可能是因為RPA的本質與人工審計方式相同。但由于RPA執行活動的效率很高，因而設置“壞”流程不能自動化就至關重要，以避免迅速加劇“錯誤”的結果。有受訪者認為，過去對RPA的審計并不十分有效，因為人們對這種“內審缺乏參與、自認為沒必要改變這項技術、對準備工作很有信心，但對其過去效力的評估卻很低”的現狀表示費解。這表明，內部審計要么沒完全理解該變化所涉及的內容，要么高估了自身能力而未能很好執行。

3.深刻見解。RPA主要用于與美國2002年《薩班斯—奧克斯利法案》相關任務和控制的自動化。該技術是強大的，若適當實施，投資回報會非常豐厚。比如，一個組織進行RPA試運行，方法是讓一名員工進行自我培訓，并將400個稅務報告實體的數據自動匯總到一個稅務實體中。該員工為該流程構建了一個機器人。之前的過程需要四個人花兩周時間才能完成，而機器人在不到24小時內就完成了整個任務。盡管該技術具有提高效率的巨大潛力，但與所有技術一樣，它可能被誤用并產生重大問題。RPA在整個組織中使用時也存在同樣風險。正如石油和天然氣行業的CAE所述，“讓機器人或無人機收集數據時，我們需要了解發生了什么。若一切都是自動化，就會有很多風險，因為它們一旦開始做錯事就會一直做錯事，直到人類大腦介入為止。這就是機器人的風險。而它們之所以偉大，是因為它們沒有人類的錯誤。審計的職責就是理解現有的控制，確保機器人按照設計運行。我們確實需要幫助客戶識別存在的風險和控制，判斷是否存在控制缺口。”

4.最佳實踐。盡管審計人員相信能對RPA進行有效審計，但也有受訪者認為不要過于自信。相反，內部審計應專注于過程的風險和控制，而不是試圖審計并不真正理解的技術。必要時，從RPA審計的主題專家或外包方面尋求專業知識是適當的選擇。

（六）連續審計

1.定義。即計算機技術在審計中的應用，使以前手工操作、經常執行的任務能以自動化、實時或近乎實時的方式執行。IIA在其2015年的《全球技術審計指南》（GTAG）中指出，“連續審計包括持續的風險和控制評估，該評估由技術支持并由新的審計范式推動，該審計范式已從基于交易樣本的風險和控制的定期評估轉變為基于較大比例的交易的持續評估。它還包括對其他數據源的分析，這些數據源可以揭示業務系統中的異常值，如安全級別、日志記錄、事件、非結構化數據以及對IT配置的更改、應用程序控制和職責控制隔離”。連續審計的概念并不新鮮，幾十年來，內部審計一直在努力實現連續審計。隨著復雜的數據分析工具的出現以及完整數據集的使用，更多組織能夠執行連續審計。對許多組織而言，它代表著一項重要創新，正在改變著審計方式。

2.對組織/風險的影響。它涉及以技術為基礎的審計活動的持續風險和控制評估，使內部審計可以更實時地查看組織的風險和控制措施，更快響應風險和應對風險。通過更實時的監視和響應，內部審計應更加了解風險，從而可通過將審計工作集中在需要的地方以更好提供價值。值得關注的是，它使內部審計人員陷入一種虛假的安全感。若對連續審計的設計不當或對流程有誤解，那么內部審計可能看起來有效實則對內部控制無效。

3.調查結果。在所有創新中，內部審計在這項創新中的參與度最高，僅7%的受訪者未以任何方式參與連續審計的實施。此外，71%的受訪者表示實施連續審計時需要對內審進行改變，鑒于連續審計必然涉及內審實踐的轉變，這一觀點不足為奇。令人驚訝的是，在實施連續審計時，內部審計人員數量通常會增加，而且增加員工人數的頻率更高。此外，受訪者在實施這項創新時相對有效且有所準備（見圖5）。

4.深刻見解。受訪者的定性答復顯示，連續審計影響員工規模的兩種相反意見：一種觀點認為它可以縮減員工規模、降低經費;另一種觀點認為它會擴大員工規模，以適應額外工作量，增加行政負擔。不同意見可能使不同組織進行連續審計的方式不同。

5.最佳實踐。一是與管理層保持密切關系。這有助于避免各運營單位在進行連續審計和持續監控時出現重復，有助于增加內部審計工作的感知價值，得到管理層的認可;有助于減少“審計疲勞”，即減少“三道防線”的重復性。二是與其他治理功能有效協調。由于可以通過第二道防線的職能來解決連續審計和連續監控的問題，因此治理職能之間的協調以及職責和任務的明確至關重要。

（編譯者單位：中國人民銀行贛州市中心支行，郵政編碼：341000，電子郵箱：315421032@qq.com）