數據化驅動下基于DMAIC模型的企業內部審計模式變革探析

王瑤瑤　劉國城　龐艷紅

[摘要]數字化經濟的到來和大數據分析技術的成熟促使企業內審模式做出變革。本文探析了在數據化驅動下企業如何基于DMAIC模型，建立風險模型和審計發現問題整改模型，提高內部審計質效，以更好地反哺企業發展。

[關鍵詞]內部審計模式? ?變革? ?大數據? ?價值增值

本文系國家社會科學基金項目“大數據審計技術體系的構建與運行研究”（項目編號：19BJY035）

內部審計是三大審計的重要組成部分，是企業查漏補缺、防范風險的最后一道防線。整體而言，過激的內部審計容易限制業務發展，而松散的內部審計又形同虛設，把握好內部審計的度非常重要。內部審計作為企業的職能部門，職責不僅僅是查出問題所在，其最終價值的實現體現在問題整改、業務促進、增加價值上。對企業內部審計而言，其工作要領可簡單概括為“全覆蓋審計”“抓大放小”“復盤整改”等方面，但就目前情況而言，在上述方面都有欠缺。企業內部審計人員對業務的全面性了解不夠，在確定風險問題時猶如管中窺豹，難以做到全覆蓋審計;很難把握各類風險問題的嚴重性程度，難以抓大放小。此外，很多企業都不同程度地存在著問題整改不到位的情況，屢審屢犯、屢犯屢審現象頻發，內部審計的質效不高。筆者認為，在企業內部審計資源有限和大數據環境下，唯有變革審計技術和方式，才能有效破解上述難題。

一、企業內部審計中大數據技術運用文獻回顧

隨著數字化經濟的到來，各行各業都在提高自身的信息化水平，這為大數據在企業內部審計中的運用奠定了基礎。鑒于銀行業務“流水量”大，最初學者偏向于研究大數據技術在銀行內部審計中的運用。顏元柳（2016）認為大數據技術在銀行數據的采集、分析、核查方面能發揮較大的作用，應將商業銀行的大數據分析平臺分為審計數據、應用和管理三大模塊。單琳琳（2016）以應用計算機輔助審計技術（CAATs）在國庫會計數據集中系統（TCBS）的成功試驗為例，進一步論證了銀行業中大數據技術運用的可實踐性。大數據審計最初運用于國家審計，金融類國有企業作為該審計的對象之一，馮新衛、閆麗云、金彧昉（2018）在分析中國工商銀行上海分行等國企內部審計機制時發現其已運用大數據審計技術，在此情況下，當“上審下”時，國家審計也必須采用大數據審計以實現穿行測試。隨著大數據審計概念的不斷推廣，其他行業對大數據審計的青睞也逐漸明朗。段鳳霞（2019）提出了大數據技術在高校內部審計工作中的運用是一大發展趨勢，并將大大提高內部審計效率。

在以往的研究中，對企業內部審計中大數據技術的普及研究較少，且多是圍繞金融、高校等行業和單位展開。近年來，隨著越來越多的民營企業關注企業內部信息化建設，其內部審計中大數據技術運用的研究也不斷豐富。劉青松、張小有（2019）研究了如何將大數據運用到企業內部審計中去，以提高內部審計效率。諶燦霞、宋曉睿（2019）著重研究了內部審計中的財務審計模塊該如何運用大數據技術。同時，也有學者就大數據技術本身的固有優勢進行研究。秦剛（2019）分析了數據挖掘技術在內部審計工作數據采集中的作用。大數據技術在企業內部審計中的運用也為企業輸送了很多業務異常線索，提高了對舞弊違規的查處率。李世輝、楊麗、曾輝祥（2019）采用實證法研究了大數據審計下企業監察能力對企業規范運營的作用情況。

綜上所述，雖然對大數據技術在企業中的運用研究不斷豐富，但多是圍繞大數據技術本身在數據采集、分析方面的優勢展開，對如何利用大數據創新內部審計模式，克服企業內部審計固有缺陷，以及實際運用大數據技術存在的問題分析卻有所缺失，有待擴充及豐富。

二、DMAIC模型在審計風險建模中的運用

在數據化驅動下，內部審計模式的變革是必然趨勢，而變革必然帶來風險。然而，目前很多企業對已有風險都未能有效防控，這主要是因為風險的變異性和已有風險模型的不精準性。為讓大數據審計將內部審計人員從更多的重復勞動中解放出來，提高其工作質效，在使用大數據審計模式時，須引進一種新的建模方式，把握業務風險的動態變化以保證風險假設的有效性，不斷精準化風險指標以實現對風險的監控。

（一）風險建模中DMAIC模型的適用性

DMAIC是六西格瑪管理中流程改善的工具，而六西格瑪管理的出現是為了將業務流程中的問題放大觀察，以實現對業務流程更為精細化的管理。就企業管理方面而言，風險建模也是為了將業務風險細化為某些指標風險，這與六西格瑪管理理念具有一定的相似。再者，DMAIC模型從定義到控制，能將抽象的理念變得量化，從而能實現大數據分析，這與數據驅動下風險建模的智能化監控目標和實現路徑是相符的。此外，業務風險的動態變化，使得跟蹤審計過程中對原有風險模型的動態分析和調整改進成為一個循環向前的過程，而DMAIC模型的分析、改進環節也體現了循序漸進、不斷完善的理念。可見，在企業內部審計風險建模中，從風險建模的理念、智能化監控需求、模型動態更新三個維度來說，DMAIC模型非常契合。

（二）風險建模中DMAIC模型的具化

那么，在風險建模中如何具體使用DMAIC模型呢？DMAIC模型主要包括五大流程：定義（Define）、測量（Measure）、分析（Analyze）、改進（Improve）、控制（Control）。如圖1所示，風險建模工作相對于DMAIC模型而言，其主要工作流程包括了風險假設、風險指標設計、風險指標分析、風險指標優化、指標智能化監控這五大步驟，可以分別對應D、M、A、I、C五個方面。

在定義（D）階段，風險建模需明確風險假設問題，風險假設的形成可以是數據分析初探而來，也可以是業務分析所得，抑或是第三方舉報形成。在該環節，內部審計人員應對風險問題進行定義，在此基礎上考慮建立相關風險指標。風險假設的精細化，會直接影響風險指標設計的精準性，較為粗泛的風險假設往往需要結合多項指標進行綜合分析，在缺乏歷史問題經驗的情況下，往往會造成指標異常范圍較廣，從而導致審計工作量的加大。因此，在測量（M）階段，所選擇的風險測量指標不僅需具有可測量性，更應該具備精準化，即能較為精準地探測出問題所在。當然，指標的精準化是一個循序漸進的過程，在設計風險測量指標后，需對指標進行進一步分析，即進入分析（A）階段，在該階段可以通過大數據分析，進行指標有效性的論證，對于超出閾值的指標所對應的業務項目進行深入核查，以探究導致指標異常的具體業務場景，從而從進一步核查的業務項目數量和深入核查的場景合理性兩個維度去最終評估風險指標的有效性。對于低效或者無效的指標進行改進（I），具體改進方式可以采用更改指標、變化閾值、增設輔助判斷指標等。在風險建模初步完成后，需進行風險指標的定期監控（C），從而對風險進行持續跟蹤審計，直至該風險消失、風險指標失效。當指標監控工作失效時，內部審計人員應進一步考慮之前所假設的風險是否已發生變化，并進行新風險探索和挖掘。

三、DMAIC模型在審計發現問題整改中的運用

在很多企業，內部審計的組織架構已經健全，但內部審計的價值增值效應一直無法發揮或發揮得非常有限，這主要是因為很多企業都忽視對審計發現問題的整改。對于企業內部審計而言，其工作重心是否僅僅只是業務流程問題、管理問題的發現呢？答案是否定的，問題查處后如何促進整改才是實現其價值的路徑和目標。

（一）整改中DMAIC模型的適用性

六西格瑪管理最早由摩托羅拉公司提出，主要是為了降本增效，提高企業的管理效率。將低效問題放大化，將業務流程問題閾值最小化，從而做到業務流程問題的完美優化。審計發現問題整改也是如此，對于企業而言，問題或許是因流程制度存在缺陷所致，或許是因自動化控制存在紕漏所致，還可能是因執行人員存在疏漏或其他問題所致。企業須放大審計發現問題，“小題大作”，從而更為深入地審查問題本身及對相關問題進行剖析和應對，以最終從流程、執行等層面進行根本性的整改和解決。綜上可知，從六西格瑪的管理目標和管理方法來看，對企業審計發現問題整改無疑是適用的。而DMAIC模型作為六西格瑪管理的實現工具，在此方面同樣可以發揮作用。

（二）整改中DMAIC模型的具化

所謂的問題整改，首先應明確問題，并從多個維度進行表述，然后對其進行定義（D）。只有清楚問題的癥結所在，才能進一步確定評估指標，進行當前問題嚴重程度的測量（M）。當然，此處的評估指標可以沿用風險建模中的核心指標，或針對查處的問題進行指標的進一步細化，從而形成評估指標群，通過對問題發現前后的相關指標數據進行搜集和對相關人員的訪談、觀察、問卷調查等，對評估指標進行定期測量，統計分析其變化情況。針對各項評估指標的動態變化，內部審計人員需進一步協同業務人員分析（A）評估指標變動的原因，指標的好轉是內部審計的威懾力帶來的暫時性效應還是整改方案的作用發揮，指標的惡化是因為整改方案過于激進還是評估指標本身存在問題。針對問題分析結果，內部審計需推進整改方案優化，即進入改進（I）階段。就優化方案本身而言，這是一項較為復雜的工作，在整個整改過程中起承上啟下的作用，既是對上一階段整改的總結，也是對下一階段整改的規劃。因此，在這一環節，內部審計人員須協同問題涉及部門，推進確立下一階段的整改方案。對新方案的實施要進行持續跟蹤，以控制（C）其按預期執行。當新方案執行失控時，需進一步明確問題所在，是組織協調問題還是方案本身的可執行性問題等。整體而言，審計發現問題整改中，DMAIC模型是一個循環往復的存在，在一次次的方案落地執行、問題原因分析和方案優化過程中，不斷地將審計發現問題具化，使相應管理精細化。詳細流程如圖2所示。

四、大數據背景下內部審計模式變革的基礎

（一）提高內審工作數據化驅動理念

在內部審計模式變革中，首先，企業管理層應從理念上認可大數據審計，明確智能化風控是企業內部審計發展的方向。其次，內部審計人員應提升大數據審計意識，自主掌握相關大數據分析技巧，如SQL分析、Python分析等。雖然專業多元化后的內部審計團隊中會具備計算機專業相關人才，但在風險建模及業務整改過程中，項目組內的內部審計人員都應具備指標數據的簡單大數據分析能力，以此提高整個項目組的運作效率。最后，讓企業員工從認知上接受數據化驅動的內部審計模式。大數據內部審計雖屬內部審計層面的變革，但往往牽一發動全身，難免會遭到相關部門員工的抵觸，因此從認知上轉變員工對大數據的看法，增強其在行動上的認可與配合相當重要。

（二）加強數據化基礎設施建設

大數據審計的推廣，必然使越來越多的企業內部審計團隊認識到基于數據化驅動的內部審計工作模式的優勢，但并非所有的企業都可以立即投入運用，這主要是因為其數據化基礎設施建設的缺失和不完善。因此，首先，企業應加強數據化基礎設施建設，打通ERP系統、SAP等系統間的數據共享，完善大數據表的建設，為大數據審計奠定良好的數據基礎。其次，在數據即財富資源的時代，大數據表權限的管理應相應完善，防止因數據外泄給公司造成不必要的損失。最后，在大數據審計過程中，內部審計人員應具備數據保密意識，在數據權限的開設、數據表的傳發等方面均應建立相關操作守則，以守住數據安全的最后一道門。

（三）重視智能化監控工作的精細化

大數據在內部審計中運用時，若風險指標較為寬泛，導致指標變化的影響因素往往會較多。在這種情況下，即使通過大數據對風險異常指標進行了分析，也會發現指標的異常數據太多，無法精準辨別哪些數據背后真正存在問題，從而導致大數據審計目標無法實現。因此，企業內部審計在采用大數據分析時，應重視智能化監控工作的精細化。首先，需從風險建模中風險指標設計的精細化開始，結合業務實質及數據初探盡量設計細小指標，并在指標反復檢驗過程中適當增加輔助指標以剔除無效的問題數據。其次，內部審計人員應重視風險變異的精細化管理，在對成熟風險模型進行封裝后，若企業內部相關風險進行變異，應進一步構建升級版變異風險模型，以實現風險的持續跟蹤。最后，為實現企業風險的全覆蓋審計，在智能化監控工作過程中，應對風險的重要性進行分級管理，對于不同級別的風險，設定不同頻率的復核工作機制。

（作者單位：寧波財經學院 南京審計大學，郵政編碼：315100，電子郵箱：747841328@qq.com）

主要參考文獻

段鳳霞.新時代風險導向下高校內審工作的思考[J].會計之友， 2019（3）：136-138

李世輝，楊麗，曾輝祥.內部審計經理監察能力與企業違規：來自我國中小板上市企業的經驗證據[J].會計研究， 2019（8）：79-87

劉青松，張小有.大數據與企業內部審計融合發展探析[J].企業經濟， 2019（12）：61-67

潘春花，謝光安.大數據環境下內部審計的困境與對策研究：以行政事業單位為例[J].湖南社會科學， 2019（4）：123-126

顏元柳.大數據對銀行內審的影響[J].中國金融， 2016（19）：90