對內部審計職能拓展的思考

袁敏

[摘要]本文以審計署和國資委等部門關于內部審計的相關文件為背景，結合國際內部審計師協會的調研結果，就內部審計的職能拓展進行了分析，認為內部審計的職能將從“監督、評價”逐步拓展至“建議、咨詢”，并進而帶來思維方式的轉變、工作內容的豐富以及人員素質要求的提升。

[關鍵詞]監督 ? ?咨詢 ? ?內部審計 ? ?職能拓展

審計署在2018年修訂發布的《審計署關于內部

審計工作的規定》（以下簡稱審計署11號令）中，將內部審計定義進行了修訂，尤其是將內部審計的職能進行了拓展，即在以前強調“監督、評價”的基礎上，開始與國際接軌，適當突出“建議、咨詢”的價值，體現在定義中增加了“建議”這項職能，并強調問題的整改落實，尤其是明確審計機關對內部審計機構發現且已經糾正的問題，可以不再在政府審計報告中予以反映，凸顯了容錯理念及內部審計的建設性功能。

伴隨著內部審計職能從“監督、評價”拓展至“建議、咨詢”的發展過程，內部審計的工作內容以及內審人員的素質能力要求，也理應有新的改變，真正將內審的“價值增值”效果體現在日常的審計工作之中。

一、思維方式的轉變

內部審計的職能定位在不同組織中可能有不同表述，從“經濟警察”到“保健醫生”“律師”“教練”“御史”等不一而足。顯然，這些定位可能不會在內部審計章程或制度中予以書面表述，但在描述內部審計的職責權限及審計內容時會真實體現出來。盡管國際內部審計師協會（IIA）和中國內部審計協會（CIIA）及審計署對內部審計的定義略有差異，但從審計對象上看，基本都保留了對“風險管理”的審計內容。作為治理現代化的標志之一，內部審計通常被看作是現代治理機制的支柱，其職能的發揮途徑之一，就體現在風險管理領域發揮積極正面的作用，包括識別出影響所在組織運營的內外部因素并能夠適應、快速應對這些因素，這就要求內部審計從“事后監督”的角色逐漸過渡到“事前提醒”和“建議、咨詢”上來。

首先，內部審計的眼光需要從“管理”過渡到“治理”上，即內部審計原來定位為“管理者眼睛和手臂”的延伸，管理者只有一雙眼和一雙手，看不到的管不到的，內部審計幫助管理層來看一看、管一管;現在的內部審計職能則進一步拓展到向董事會（或主要負責人）、黨組織（黨委）報告，在提升其獨立性的同時，更好發揮對依“法”行事方面的積極推動作用，通過制度的完善和實施，來幫助以董事會、黨委會為代表的治理層，以及以CEO、CFO為代表的管理層各司其職，內部審計需到位而不越位地履職盡責。其中治理層的角色也開始有所變化，從監督慢慢轉向參與，因此設立總審計師的單位，總審計師應考慮加強與董事會審計委員會和黨組織的開放、透明關系，并在審計計劃方面考慮治理層的需求。

其次，內部審計應該從“供給觀”轉為“需求觀”。黨的十八大以來，國家層面出臺了包括《關于加強審計工作的意見》《關于實行審計全覆蓋的實施意見》等在內的一系列規章制度，對審計工作進行了頂層設計，審計地位和作用得到了顯著提升。但不可否認的是，內部審計作為組織的內設機構，理應聚焦在推動組織實現目標、提升組織價值增值上來，因此內部審計在“有位”的基礎上，更應凸顯“有為”的作用，幫助組織“多打糧食”，并保證“顆粒歸倉”。因此，內審部門應加強與管理部門、治理層的溝通，幫助董事會、管理層更好地了解組織所面臨的風險，尤其是要了解高風險領域和關鍵風險環節等方面，幫助利益方更好地了解組織所擁有的優勢及不足，并通過充分溝通消弭管理層和內審部門在內部控制及風險管理領域的分歧。

最后，從“三道防線模型”過渡到“三線模型”。站在內部控制和風險管理的角度，業務部門（一線）、輔助部門（合規部、法務部、風控部乃至財務部等）、內審部門（獨立的確認部門）各司其職，充分體現了職責分工的理念，而國際內部審計師協會（IIA）在2013年推出的“三道防線模型”，在推進組織有效實施內部控制和風險管理方面發揮了重要作用。為更好地反映現代風險管理理論的進展以及公司治理領域的變革，IIA在2020年7月對原有模型進行了修訂，充分突出內部審計在治理中的職責和作用，尤其是修訂了治理層、管理層和內部審計各自應扮演的角色及應履行的職責，并從風險管理拓展到了組織的整體治理層面。事實上，發起組織委員會（COSO）在2017年對原有的風險管理框架進行了修訂，將“治理和文化”作為新框架的第一要素，已經凸顯了風險管理與治理、文化相融合的特征，并進一步將戰略、績效和風險整合起來，因此IIA對“三道防線模型”的修訂，從某種程度上反映了理論和實務的新進展，尤其是對治理的強調，能夠有力支撐價值保護和價值創造職能的發揮。風險本身具有正面、負面兩個維度的特征，正面的“機會”與負面的“損失”都存在一定的概率分布，因此組織需要認識風險管理的“進攻”和“防御”雙重屬性，進而在抓住機會的同時避免損失。基于此，原有的模型突出“防”的特征，過于注重價值保護職能，這也是舊模型遭受批評的主要原因之一，因為過于保守盡管能夠讓我們“活下來”，但缺乏“進攻”則可能讓組織丟失了發展壯大的機會。而新的“三線模型”則在一定程度上將治理層、管理層和內部審計的職責進行了重塑。一線、二線的職責由管理層負責履行，其目的是實現組織目標，其中一線職責是“多打糧食”，即向客戶交付產品或勞務;二線職責是保證在合規基礎上的“多打糧食”，即協助一線開展風險管理。內部審計仍然履行第三線職責，即針對治理和風險管理是否適當和有效發表獨立意見，新模型開始強調各項職能之間的相互配合，把利益相關者的利益放在首位的基礎上共同為組織創造價值。站在創造和保護價值的前提下，將組織目標和內審工作的目標協調起來。

二、工作內容的豐富

傳統的內部審計工作內容更多聚焦于合規領域，強調內部控制的缺陷發現及整改，并適當關注經營、風險、治理等領域。審計署11號令則將內審機構所履行的職責進行了拓展，審計內容包括貫徹落實國家重大政策措施、財政財務收支、固定資產投資項目、自然資源資產管理和生態環境保護責任的履行、經濟管理和效益，甚至包括發展規劃及戰略決策等，同時強調內部審計應該協助本單位主要負責人來督促落實審計發現問題的整改工作，這一修訂一方面豐富了內部審計的工作內容，另一方面也對內部審計提出了更高要求。

從理論上看，內部審計是向客戶（治理層如黨組織和董事會，管理層如單位主要負責人）提供確認和咨詢服務，因此，內部審計應該首先滿足客戶的需求，但實務中，內部審計的職能發揮似乎還與客戶的需求存在一定的“期望差”。以IIA（2020）發布的職業現狀調查結果為例，很多內部審計職能看起來并沒有在風險管理中發揮積極的作用，在某些特定的風險領域如數據倫理、組織的可持續發展能力等方面，仍然是消極的“旁觀者”，即在審計計劃的安排與風險評估的結果、投資者感興趣的領域等存在著資源錯配的現象。

就實踐而言，一方面，我國相關監管部門對內審的期望大部分集中在合規領域;另一方面，則在審計內容上結合國家政策及企業性質開始拓展和豐富。比如，國務院國資委2020年發布的《關于深化中央企業內部審計監督工作的實施意見》中，仍然將內審定位在“監督”角色，如在審計內容上強調經濟責任的聚焦、關鍵環節及重點領域的監督、境外審計以保障境外國有資產的安全完整、內部控制體系審計的加強以突出有效性等，但與此同時對體現風險的“關鍵環節及重點領域”進行了原則性的指導，如突出內部審計在提質增效穩增長、突出主責主業、混合所有制改革、大額資金管控、對賭模式并購投資、高風險金融業務等領域的監督，因此，內部審計在安排審計計劃時，應該考慮作為出資人的國資委的監管要求，顯然，企業的重要利益相關者——代行出資人權利的國資委將在內部審計的工作內容方面扮演重要角色。

此外，內部審計人員還應該在“低頭拉車”的同時保持“抬頭望路”的精神，將治理層、管理層、投資者等利益相關者的期望或感興趣的內容適當納入審計“雷達”。根據IIA的調研，現有的審計計劃安排可能錯失了一些關鍵風險。比如2018—2020年間的調查問卷顯示，網絡和信息技術風險都是利益相關者優先考慮或感興趣的領域，但內部審計人員仍然將大量資源配置在傳統的、低風險領域，如運營、合規或監管要求、財務報告等領域。以美國為例，2017年由于網絡黑客入侵，導致三大信用服務機構之一的Equifax公司信息泄露，但該組織的內部審計卻并沒有對其IT控制進行充分審計，體現出了審計計劃的資源錯配特點，更因為數據泄露帶來的隱私保護引起了實務界對“審計期望差”的討論。

因此，在現有的治理和風險管理理論都意識到獨立內部審計職能重要性的背景下，相關政府監管機構以及行業協會也在制度上保證了內部審計的獨立性，但內部審計工作似乎并沒有真正為治理層、管理層提供恰當水平的確認和咨詢服務。內審組織需要在“有為”的方向上體現更好的服務，在保護、創造價值方面體現出專業性，否則將會被拋棄。

一方面，合規是基礎，內部審計計劃中仍然應該將內部控制作為基本的計劃內容之一，在日常經營活動、財政財務收支、業務合法合規方面投入資源;另一方面，應該充分考慮利益相關者的需求，將投資者、治理層和管理層重點關注的風險領域納入審計計劃中，強調戰略風險領域的審計，包括網絡安全審計、IT審計、資本投資項目審計等，甚至包括文化和治理、可持續發展能力、第三方關系的審計等。以網絡安全審計為例，內部審計人員可能需要加強人際關系管理，與組織內外負責網絡安全戰略的人士保持接觸，并與IT、信息安全和風險管理團隊的人員進行協作，定期開展網絡安全方面正式的風險評估，必要的時候還可以借助第三方的力量，針對網絡安全戰略及關鍵事項等方面找出差距，加以改進并根據資源情況對彌補措施進行優先排序等。此外，就數字化轉型以及新技術領域而言，總審計師應該投入必要的資源，以更好地了解組織如何在一些新興領域內更好地運用數據和技術，確保公司的風險評估中考慮了有關數據和技術應用方面的風險，以免公司喪失運用數據及新技術來提升組織實現戰略目標的機會，并對新技術如何影響數據的收集、管理和保護等方面提供合理保證?？傊瑑炔繉徲嫷墓ぷ鲀热菁纫w現出利益相關者的需求，又要體現風險導向和靈活性的特征，在風險管理和治理等方面發揮更多的領導作用。

三、人員素質要求的提升

現有的制度規范中，往往對人員素質提出一些原則性的要求，但考慮到環境變化及審計內容的豐富，對內審人員素質要求的提升就成為現實的挑戰。

首先，單位在錄用內審人員時，應該有更嚴格的標準和要求。根據IIA的調研，很多單位在招聘時，開始尋求不同背景的候選人，除了傳統的財務、會計、金融背景之外，開始對IT相關的學位有更多的關注和需求，如要求候選人具有數據科學或信息系統、計算機方面的背景，并開始招聘那些具有運營或科技知識、有工程學或物理學學位的人才，因此內部審計人員的構成開始呈現多元化的特質。

其次，以風險為驅動來尋求內審人員的勝任能力。具體應包括：尋求外部第三方或專家的幫助，尋找專業的服務提供方開展合作，根據內部審計工作所要求的員工勝任能力靈活組建內審小組等，即只要認為某個審計項目“應該”納入審計計劃，就以所需要的員工能力要求為基準在更廣闊的市場上尋求匹配的員工，體現資源的調配能力和戰略導向思維。

最后，更加關注內審人員的后續教育。一些組織開始投入資源開展“面向未來”的培訓和開發項目，以培養特定要求的員工。事實上很多單位在招聘有勝任能力的內審人員方面仍然存在困難。根據風險評估的結果以及對內審人員素質框架的要求，單位在安排內審項目時，可能需要內審人員既具備網絡安全和隱私保護、數據挖掘和分析、戰略思維和業務敏銳性方面的硬技能，也需具備很強的溝通技能，變革思維乃至分析性、批判性思維的軟技能，但因為信息不對稱、人才培養周期等原因，一方面這些人才難得，另一方面合格的人才要價很高，很難留任，再加上信息保密等，有必要自行培養具有特定要求的員工。比如，某單位提出了“全面打造數字審計能力”的培訓項目，分階段提出了數據分析能力的要求，要求2022年底具備數據分析能力的人員占比達到50%、2023年底具備中級數據分析能力的人員占比達到30%、2025年底具備高級數據分析能力的人員占比達到15%，并將SQL、SAS、Excel VBA、機器學習算法、風險模型開發、遠程及聯網審計等納入具體的能力框架之中，但能否將這些數據分析能力與風險管理、治理、價值創造結合起來，還有待實踐檢驗?！霸囉褚獰諠M，辨材須待七年期”，單位應該在內審人員的后續教育上有長期投資的準備。

四、結語

“有位”才能“有為”。內部審計應該在領導和管理體制機制方面逐步完善，以體現其獨立性，并更有效地履行工作職責。無論是審計署還是國資委，諸多監管部門通過頂層設計的方式，開始協同一致地要求內部審計向黨組織、董事會（或主要負責人）報告，并在內審章程的通過、內審資源的配置、內審計劃的審批等方面提供便利，一些單位也開始試點設置總審計師來協助黨組織、董事會（或主要負責人）管理內審工作。經濟組織應根據監管部門的制度要求，修訂完善所在單位的內審制度，在組織架構、領導和管理體制機制方面構建更有利于內審職能發揮的制度體系。相信在黨組織、董事會的領導下，內部審計將在治理和風險管理等方面發揮更加積極的“監督、評價和建議”作用。

“有為”才能“有位”。內部審計應該充分考慮利益相關者的需求，站在創造和保護價值的基礎上，加強與黨組織、董事會、管理層、投資者、其他職能部門的溝通協調，并在審計計劃中盡量體現風險導向，尤其是在面臨網絡安全、數據倫理、可持續發展、第三方關系等高風險領域投入更多資源，在幫助董事會、管理層更清晰地識別、應對風險方面扮演領導角色。審計部門的負責人應該擁抱靈活性，能夠根據風險、資源來招聘并培養具有勝任能力的員工，以更好地履行監督、評價和建議職能。

在內部審計職能從“監督、評價”轉向“建議、咨詢”、審計計劃從“供給”轉向“需求”、審計理念從“管理”轉向“治理”的過程中，審計人員應具有擁抱變革、挑戰自身的胸懷，能夠通過學習盡快掌握先進的技術，將業務洞察轉化為創造價值的工具，并充分意識到“明天”的風險，據此來獲得或開發新的技能以迎接挑戰，更好地協助治理層、管理層在創造和保護價值等方面貢獻力量。

（作者單位：上海國家會計學院，郵政編碼：201702，電子郵箱：forym@snai.edu）