基于SIPOC模型的企業供應鏈審計模式創新研究

楊悅 王瑤瑤

[摘要]外部環境的突變性和內部環境的復雜性都催促企業進行風險管理模式變革。無論是制造型還是服務型企業，在經營過程中形成的供應鏈，作為企業價值鏈的重要一環，是企業風險管控的主要對象。于企業而言，對供應鏈風險進行全面管理有助于實現降本增效目標。本文在分析目前企業供應鏈審計缺陷的基礎上，結合SIPOC模型，進一步研究企業應如何順應數字經濟時代發展，實現供應鏈風險全覆蓋審計，為企業完善和創新自身供應鏈審計模式提供相關借鑒。

[關鍵詞]供應鏈風險? ?審計模式? ?SIPOC模型數字化

本文系浙江省審計廳審計科研課題（20210472）基金項目“國企管治中三審協同模式創新研究”階段性研究成果

一、引言

隨著企業內外部環境的變化，降本增效成為多數企業的重要運營目標之一。企業力求通過流程再造和供應鏈重塑等途徑實現經營低成本和高效率，最終達成盈利目標。內部審計作為企業運營保駕護航的重要力量，一直將供應鏈作為主要審計對象。隨著數字經濟時代的迅速發展和業務規模的不斷擴大，傳統的供應鏈審計模式已無法滿足企業供應鏈風險全覆蓋和全面管控的需要。在此背景下，為更好地發揮“十四五”期間內部審計助力企業高質量發展的護航作用，需要對企業的供應鏈審計模式進行創新。

二、企業供應鏈審計存在的缺陷分析

供應鏈的優化是實現企業降本增效的關鍵。無論生產、制造，還是服務型企業，采購業務、運營（或生產）業務和銷售業務這供應鏈上的三大價值鏈環，是供應鏈審計的主要內容。就目前企業供應鏈審計的現狀來看，仍存在風險覆蓋面有限、風險審計能力不足等缺陷。

（一）深耕熟悉領域，新風險挖掘能力不足

就供應鏈審計而言，多數企業內審部門在制訂年度審計項目計劃時，易傾向優先安排對前期已熟悉的風險領域進行跟蹤審計，之后再針對其他領域規劃審計項目。在做供應鏈新風險審計項目計劃時，內審人員會局限于熟悉的業務模塊進行新風險的挖掘。比如，相較于采購業務模塊，內審人員更偏好于銷售業務模塊的新風險挖掘，主要是因為采購業務中時常存在的收受回扣和采購價格虛高等風險一般較難通過采購數據分析挖掘出相關線索，其舞弊問題往往因采購制度較大的自由裁量權和采購人員業務能力等因素而被合理化解釋，導致內審人員在獲取和固定審計證據時存在一定難度;而在銷售業務中，調價和定向批發等舞弊行為往往較易被發現，相關審計證據易被獲取和固定。長此以往，內審人員難以跳出舒適圈，在采購業務審計工作中較難實現突破。就目前企業內部審計現狀看，一些內審人員主要依靠內外部舉報等方式獲取供應鏈采購環節問題線索，其在采購業務端的新風險自主挖掘能力是不足的。

（二）審計方式傳統，風險監管融通性不足

企業供應鏈審計方式大致可以分為兩類：一類是“被動式”項目制，即完全依賴舉報和投訴等外部信息進行分組立項審查;另一類是“被動式+主動式”項目制，即除了“被動式”項目制審查方式外，還包括項目組自立專項進行審查。隨著內部審計發現問題能動性的不斷提升，越來越多的企業采取“被動式+主動式”項目制的審計方式。實踐證明，這種傳統審計方式對單個問題審查來說較為適用，但其風險監管的融通性是不足的。比如，當企業在核查銷售端舞弊事件時，常常伴隨挖掘出與采購端相關的問題線索，但為了滿足案件核查時間要求，項目組往往僅圍繞銷售舞弊方面問題進行審計證據的深入鎖定，而將采購相關線索轉交給其他管理采購端問題的內審人員。而企業供應鏈是包含采購、生產和銷售的完整鏈條，鏈條中各環節的風險環環相扣，若采用傳統的項目制審計方式，未能打破項目組間的壁壘，則較難最大化利用審計成果。

（三）管理對象復雜，風險監控不全面

供應鏈審計是企業內部審計工作中較為復雜的一個業務。企業的供應鏈業務覆蓋面較廣，采購、生產（運營）、銷售（含售后）各環節產生的違規操作和舞弊等風險給企業全面風險管理帶來挑戰。隨著審計全覆蓋概念的提出，越來越多的企業管理者開始意識到推行全面風險審計的重要性。但就多數企業的供應鏈審計現狀看，內審人員對企業供應鏈風險的監控是不全面的。受審計慣性思維影響，內審人員對供應鏈運營銷售端的問題查處較多，對該部分風險管理規劃較為細致全面;而對采購端，由于風險場景較為復雜，審計證據較難固定，很多企業內審部門在實際開展工作中雖對采購業務模塊的風險進行了羅列，但并未有效執行采購風險全面審計。此外，在進行工作規劃時，內審部門往往未留出適當的時間進行突發事件處理，導致一旦非規劃內風險發生，部門原有工作規劃被打破，從而影響部門整體的年度工作進度。由此可見，無論從內容還是時間上看，目前很多企業的全面風險管理規劃是不全面的，執行效果與預期存在偏差。

（四）審計資源局限，信息化管理能力不足

隨著管理層對內部審計和內部控制重視程度的不斷提升，越來越多企業在設置內審部門時采用內審內置的模式，即自行成立內審部門或者內控部門。但是，由于企業內審力量和工作模式的參差不齊，很多企業仍處于制度流程建設和流程執行審查等內審常規化工作中，所能創造的有形價值較少。鑒于此，基于成本效益原則，很多企業在內審部門的人力資源安排仍較為薄弱，審計資源存在一定局限性。此外，企業在招聘審計人才過程中，往往偏向審計和財務會計專業的人才，這類專業人才雖擁有一定的信息化概念，但其信息化技術水平存在局限性，在開展內審工作過程中很難自主融入、運用大數據審計技術。受信息化審計人才資源的匱乏及審計負責人數字化管理思維和能力局限等因素影響，目前大多數企業的審計信息化管理水平仍存在較大提升空間。

三、數字經濟時代企業供應鏈審計的挑戰與機遇

隨著數字經濟時代的到來，企業在開展供應鏈作業和管理過程中越來越多地融入信息化技術。Python、SQL、Java等技術在業務管理中的不斷深化運用，區塊鏈技術的提出與嘗試使用，都使企業供應鏈審計面臨前所未有的挑戰與機遇。

（一）數字經濟時代企業供應鏈審計的挑戰

1.信息爆炸與信息不足的矛盾。數字經濟時代最為明顯的特征是信息爆炸，無論在企業采購、生產、運營，還是銷售環節，但凡通過系統進行溝通和執行的信息，便會在系統中留下痕跡，以數據的形式儲存在系統后臺中。然而，這些數據所反映的信息很多都是無效或無用信息，真正存在操作不規范和舞弊的信息數據含量非常少。因此，對于內審人員而言，如何運用恰當的審計技術，從海量的數據中提取出有效信息，是數字經濟時代所面臨的一大技術挑戰。若企業內審部門仍沿用傳統審計技術，采用excel進行數據關聯和分析，那么當數據條超過100萬條時，excel的使用便會存在局限性，對互聯網企業而言這一問題尤為明顯。此外，通過風險建模，從海量的數據中挖掘到風險數據，再對風險數據進行進一步論證時，往往會因后臺關聯數據的存儲缺失等原因導致風險無法進一步追責到人。追根究底，業務數據流的閉合性缺失和審計技術創新性的匱乏，是企業供應鏈內審人員所需要攻克的兩大問題，也是數字經濟時代產生信息爆炸與信息不足矛盾的根源。

2.風險形式的變異性和隱蔽性。技術是一把雙刃劍，一方面，各種新興技術的發展為企業提高了作業效率和管理效率，另一方面，多樣的技術也為舞弊人員提供了更多手段和機會。比如，惡意批發者通過收買公司內部人員進行優惠券的定向發放，而后通過多個賬號進行批發購買，使得數據表面呈現出零售的規律，從而隱藏其舞弊行為。此外，隨著互聯網對各種舞弊手段的傳播，企業供應鏈上的舞弊風險也隨之不斷變異，愈發隱蔽。內審人員若要發現其中的風險問題，一方面需要對企業業務有更為深入的了解，另一方面則需要運用更多的審計技術進行數據的清洗和關聯分析，綜合多維度因素搭建更為精準的風險模型，以縮小核查范圍。供應鏈舞弊風險形式的隱蔽性還受業務本身的特性影響。就目前企業的業務風險查處情況看，相對于銷售端和運營端，采購端風險的自主挖掘能力仍較弱，主要因為采購價格不僅受采購量、采購方話語權因素影響，還與付款方式、采購人員職業能力等因素相關，因此采購人員通過拿回扣謀取不正當利益的風險較難被察覺。如何從海量的合同條款中提取有效影響因素，分析問題數據，發現隱形風險，這對數字化時代的內審人員也提出了更高的要求。

（二）數字經濟時代企業供應鏈審計方式變革的機遇

1.大數據管理理念的沖擊。大數據管理較早應用于金融行業和電商行業等數據量較大的行業中。隨著大數據管理技術的發展和管理成效的突顯，越來越多的行業也開始接受大數據管理理念，布局大數據管理所需的基礎設施建設。對企業而言，大數據審計必須建立在數字化運營和管理的基礎上，因此，在數字經濟時代背景下，受大數據管理理念的沖擊，企業管理層重新布局供應鏈業務開展模式，優化供應鏈管理模式，為內審部門開展大數據審計提供了數據來源和保證，為實施大數據審計提供了支撐。

2.智能風控技術的運用。會計電算化的普遍實施促進了企業財務智能化的實現，從財務運營的物理集中，到財務共享專業化作業鏈的拆分，再到可視化的財務智慧共享，財務的管理職能在不斷深入的財務分析報告和建設性改進建議中得到體現。內部審計作為企業風險防控的重要職能部門，深入挖掘財務數據，在工作開展中不斷融入新的風控技術手段，使企業風險的智能化監控成為可能。從最初的單表數據分析，到多表聯合分析，再到如今很多大型企業智能化監控平臺的搭建，通過大屏進行各類風險指標的實時監控，并將異常數據發送給相應的內審人員。智能風控技術的成功運用大大提高了企業內部審計的工作效率，供應鏈智能化風控體系打造的成功案例也讓越來越多的企業意識到改革供應鏈審計模式的重要性和必要性。

四、SIPOC模型在企業供應鏈風險全面審計中的應用分析

就企業供應鏈風險管理現狀看，很多企業因審計資源和審計技術的局限性，對供應鏈環節往往存在“厚此薄彼”的情況，無法實現供應鏈風險審計的全覆蓋。內審人員對部分業務節點的風險識別不足，無法進行數據分析或制定合理的業務流程控制制度，無法充分實現企業內部審計的管理效益。為了改變這一現狀，內部審計過程中首先應對企業供應鏈風險進行全面識別、全面分析及全面管控。

（一）SIPOC模型的適用性分析

SIPOC模型最早由戴明提出，用于優化流程管理，其將整個流程劃分為五個節點：供應者（Supplier）、輸入（Input）、流程（Process）、輸出（Output）、客戶（Customer）。從審計對象看，使用SIPOC模型有助于內審人員跳出供應鏈業務單一環節局限，從整體業務流的角度去審視可能存在的業務風險，SIPOC模型的供應鏈分節點分析也有助于內審人員實現點到面、面到點的全面審計對象識別。此外，從審計目的看，內審人員通過對企業供應鏈審計發現和整改問題，促進企業流程再造和流程管理的優化，這與SIPOC模型運用的目標也是一致的。最后，從審計方式看，很多企業的審計過程中采用了“逆查法”，即通過對財務指標異常、內外部舉報線索的核查，倒推分析至業務問題。該種模式往往僅能實現對供應鏈風險的點狀管理，難以實現對供應鏈風險的全面管理。SIPOC模型的運用，使企業內部審計過程中實現從業務到財務的“主動順查法”，深入到業務本身進行問題審查，較好地體現了“業審融合”理念。綜上可知，SIPOC模型適用于企業供應鏈審計工作的開展。

（二）供應鏈風險識別中SIPOC模型的具體運用

為了對企業供應鏈風險進行全面管理，內審人員需對供應鏈風險進行全面識別。在運用SIPOC進行風險識別時，內審人員首先應梳理企業的供應鏈業務流程，將所有業務分為供應商引進與管理（S）、原材料（商品）采購（I）、生產與庫存管理（P）、產成品（商品）銷售（O）和客戶管理（C）這五大環節，然后從業務流的角度去分析每個環節可能存在的業務風險，并采用羅列法或圖表法將這些業務風險點進行羅列（如圖1所示）。在供應商引進與管理環節，可能存在的風險主要有企業內部人員引進資質造假或資質不符的供應商以及供應商品牌授權存在瑕疵等;在采購付款環節，基于業務流要點分析，業務風險主要由采購價偏高、超量采購、質量瑕疵、合同條款利好賣方及結算方式不合理等因素引起;在生產與庫存管理環節，主要包括費用管理、資金管理和庫存管理等風險;在客戶管理環節，則有可能由于額外增加物流費用和售后服務而提高企業運營成本，存在一車多裝及虛假退貨等舞弊風險。

運用SIPOC模型，從供應鏈業務流切入分析每個業務環節的控制關鍵點，從而識別出每個控制點存在的合規風險及舞弊風險，有助于內審人員對供應鏈風險形成概覽。內審人員結合自身經驗對已識別出的風險進行評估，針對每個風險點具體描述其風險場景、風險危害、風險模型和風險應對措施等，并將這些要素整合輸出，形成較為完整的風險圖譜，實現對供應鏈風險的全面識別，為后續的供應鏈審計工作開展明確方向。

（三）供應鏈審計中SIPOC模型的具體運用

在運用SIPOC模型進行風險全面識別的基礎上，內審人員可以根據風險圖譜制訂審計工作計劃。由于審計資源的局限性，在制訂審計工作計劃時需突出重點、避免盲點，結合上述初步形成的風險圖譜，采用ABC分類法（最初用于對存貨按其價值和價格分級分類管理），對風險圖譜中的所有風險點進行等級劃分，對于重大風險點（標注為A類風險）優先開展審查并重點關注，對于重要風險點（標注為B類風險）規劃相應資源進行審計，對于一般風險點（標注為C類風險）則結合當年的資源分配情況決定是否審計，若不實施具體審計工作，則采用道德文化宣貫和訪談等措施對該類風險點進行跟進。基于上述風險圖譜的風險點分類，內部審計部門可制訂年度審計計劃，并明確具體的內部審計項目。

目前，大多數企業的內審工作開展采用項目制。在制訂審計計劃時，內審人員應遵循“新舊風險兼顧，重點風險優先”原則，在對已查處風險進行跟蹤審計的基礎上，聚焦新風險的審計。在進行工作安排時優先審查A類風險，重視B類風險（相對于A類風險，可排在次優級），積極跟進C類風險，合理分配審計資源。其次，在對供應鏈風險進行審計時，適宜運用大數據分析，對同類型業務的某個環節進行批量審查，對于有問題的審查對象進行“全鏈式”審查。比如，在對供應商授權進行審查時，若發現某供應商的品牌授權存在瑕疵，則可圍繞該供應商審查其與本公司發生的所有交易，分析這些交易是否存在采購價過高、采購量過多、結算條款不合理和售后投訴較多等其他風險。通過“由點到鏈”的審查方式，內審人員不僅能將發生的業務問題，尤其是舞弊問題追責到人，還能通過風險點輻射到整條供應鏈，從而提出更具建設性的問題整改建議。最后，結合每個業務環節存在的漏洞，內審人員需與相關環節的負責人進行溝通訪談，對提出的整改建議進行優化，協助并監督相關業務部門共同推進落實整改工作。

五、企業供應鏈風險全面審計模式創新實施建議

在數字經濟時代，為了將SIPOC模型更好地運用于企業供應鏈風險全面審計，企業的審計模式需要進一步創新。綜合來說，內審人員需在審計規劃、風險防控和審計技術等方面加速創新，從而使供應鏈審計中SIPOC模型的運用成效得以突顯。

（一）統攬全局，實現“三流合一”式風險審計計劃

每個企業的正常運營都離不開“三流”——物流、資金流和信息流，隨著數字經濟時代的到來，越來越多的企業實現了“三流合一”，將這三流合成了數據流。因此，內審部門管理人員在進行審計計劃時應統攬全局，以數據化思維制訂風險審計方案。此外，對于風險圖譜中的風險，或是假設而來或是已然發生，但其在實際案件中的發生方式并不是完全符合預設的，風險可能變異，也可能更為隱蔽。因此，在進行供應鏈風險審查時，內審人員應從多個維度進行數據分析，論證供應鏈風險發生的概率及危害。綜上可知，無論是內部審計管理者還是內審人員，在制訂審計計劃時均需盡可能多地進行場景風險假設和舞弊手段假設，從物流、資金流和信息流這三個維度思考風險發生的方式，并通過數據流進行風險驗證。

（二）逐一突破，構筑“一體多翼”式風險防控高地

受工作經驗積累、風險審查偏好及業務風險的明顯性等因素影響，內審人員在進行供應鏈風險審計時往往傾向于自己熟悉的和便于進行數據審查的風險領域，而難以在其他業務風險領域有所突破。比如，就互聯網零售企業而言，較為明顯的異常風險就是銷售端的風險，內審人員在進行新風險挖掘和舊風險跟蹤審計時都傾向于銷售領域，即便銷售端風險的發生率及影響范圍更大，但并不意味著企業供應鏈其他業務環節不存在缺陷。故內審人員應適時跳出舒適圈，運用SIPOC模型進行風險全面識別，對業務環節的控制關鍵點風險進行深度審計，逐一突破，構筑“一體多翼”式風險防控高地（此處的“一體”指的是成熟的風險群，適合采用風險建模進行智能化跟蹤審計，“多翼”指的是多個供應鏈環節上對不同風險的挖掘與探索），實現風險全面覆蓋，為企業高質量發展運營保駕護航。

（三）技術創新，加速“智能風控”理念的落地實施

審計資源的投入并不是一蹴而就的，當內部審計工作的開展受到人、財、物等資源局限時，內審人員必須變革審計理念和創新審計技術。面對海量的供應鏈數據，為了提高審計效率，內審人員應熟悉從數據的初分析和風險模型的搭建到大數據分析這一數據化工作流程，通過數據的批量處理和風險模型指標的不斷優化來縮小審查對象范圍，篩選出最為異常的業務數據，而后再有針對性地逐一進行排查，在實際工作中實踐全覆蓋審計下運用大數據分析進行重點審查的理念。此外，為了將有限的審計資源分配到更為重要和未被發掘的風險領域，對于熟悉的供應鏈業務風險，內審人員可通過搭建智能風控平臺，利用成熟的風險模型進行定期跟蹤監控，當業務事件觸發風險模型時，相關的業務數據便會實時傳輸給風險模型監控人員，幫助監控人員及時進行業務核實和審查，避免屢審屢犯問題發生。目前，很多企業內審部門都認識到智能風控的高效性，但在實際建設過程中，底層數據與風險模型不夠豐富、投入資金的階段性產出效益不明顯等因素導致很多企業存在較大畏難情緒，將智能風控僅僅當作未來內審工作的發展方向和理念，難以真正落地實施。

六、結語

數字經濟時代已經到來，傳統的企業供應鏈審計模式在為快速發展的企業保駕護航過程中已顯現出后勁不足的缺點。為實現“業審融合”，使內部審計進一步深入業務，服務于業務流程再造及優化，企業內審部門在新時代亟須改變舊的供應鏈審計模式，積極運用SIPOC模型進行供應鏈風險的識別，并在此基礎上制訂審計計劃，開展大數據審計，創新跟蹤審計模式，提高企業供應鏈審計效率和效果。

（作者單位：寧波財經學院? 杭州網易嚴選貿易有限公司，郵政編碼：315175，電子郵箱：747841328@qq.com）

主要參考文獻

[1] 黃浩嵐，梅青.綠色協同目標下供應鏈企業內部控制評價問題及相關思考：汽車供應鏈信息披露視角[J].中國管理信息化， 2020（17）：62-65

[2] 危經華.審計視角下構建農發行供應鏈金融風控體系[J].農業發展與金融， 2021（6）：77-79

[3] 吳強，張亞明.基于供應鏈風險管理的商貿流通企業績效分析[J].商業經濟研究， 2020（24）：114-116

[4] 徐鵬.基于結構方程模型的農產品供應鏈金融風險防范研究[J].西南政法大學學報， 2018（6）：128-135

[5] 徐曉莉.供應鏈核心企業4E績效審計評價指標體系研究[J].會計之友， 2019（17）：77-85

[6]袁峰.同業網絡視角下跨境電商企業供應鏈風險分析[J].商業經濟研究， 2021（14）：98-101

[7]張江朋，張璞，呂躍聰，李慶社.供應鏈模式下核心企業應收賬款風險的形成：以西部欠發達地區制造業為例[J].財會月刊， 2018（17）：23-31