欢迎来到内部审计流程！
欢迎来到 P3 – 风险管理课程中最实用的章节之一！你可以将内部审计 (Internal Audit, IA) 想像成公司的「健康检查」。就像你去看医生进行检查，确保在小毛病演变成危机之前一切运作正常，公司也运用内部审计来确保其流程、风险和控制措施处于健康状态。
如果刚开始觉得这些内容有点「企业化」或枯燥，请别担心。看完这些笔记后，你会明白内部审计的核心其实就是在问：「我们是否做到了我们承诺的事？这些事是否真的有效？」
1. 什么是内部审计？
根据官方定义，内部审计是一项独立、客观的保证与咨询活动，旨在为组织增加价值并改善其营运。
关键概念：内部审计的两面性
1. 保证 (Assurance)：让管理层和董事会相信现有的控制措施确实有效。
2. 咨询 (Consulting)：针对如何改进流程和更好地管理风险提供建议。
类比：想像一位专业的体育裁判。他们不代表任何一方（独立性），他们会根据所见来裁决犯规（客观性），并确保比赛遵守规则，从而使最终得分公平（保证）。
重点总结：
内部审计不仅仅是为了「抓出做错事的人」，而是通过担任建设性的「批判性朋友」角色，帮助组织实现其目标。
2. 有效内部审计的核心要素
内部审计职能若要发挥效用，必须具备三大核心要素：独立性 (independence)、人员配备 (staffing) 和资源配备 (resourcing)。
独立性与客观性：
审计若要有用，审计师必须保持公正无私。如果审查工作的人同时也是设计或执行该流程的人，客观性就会受到损害。内部审计师保持独立性的方式，是功能性 (functionally) 向审计委员会 (Audit Committee)（由独立非执行董事组成的辖下委员会）汇报，而仅在行政上 (administratively)（日常事务）向行政总裁 (CEO) 等高级管理层汇报。
人员与资源配备：
内部审计部门必须配备足够且具备胜任能力与专业资格的员工，他们须拥有评估组织营运所需的专业技术知识、商业敏锐度以及特定专门技能（例如 IT 审计或数据分析）。若部门资源不足，将无法有效审计高风险领域。
3. 内部审计章程 (Internal Audit Charter)
内部审计章程是一份正式文件，定义了内部审计活动的目的、权限和责任。它是经由审计委员会批准的「规则手册」。
章程里面有什么？
- 内部审计的工作范围（涵盖哪些营运、系统及实体）。
- 获授权查阅所有记录、会见人员及进入实体财产的权利。
- 向审计委员会及高级管理层的汇报路线。
4. 内部审计的形式
内部审计师根据组织目标与风险执行不同形式的审计：
合规审计 (Compliance Audit)：检查是否遵守内部政策、企业管治守则以及外部法律法规（例如环境法、职业安全健康、数据隐私保护条例）。
舞弊调查 (Fraud Investigation)：识别涉嫌的违规行为，评估舞弊如何发生，分析内部控制的失效原因，并提出预防性措施建议。
物有所值审计 (Value-for-Money, VFM Audit) / 管理审计 (Management Audit)：评估营运和管理决策的经济性、效率与效果：
- 经济性 (Economy)：在维持适当质量的同时，尽量降低资源成本（支出更少）。
- 效率 (Efficiency)：从既定投入中获取最大产出（支出得当）。
- 效果 (Effectiveness)：确保达到预期的营运和战略目标（明智支出）。
社会与环境审计 (Social and Environmental Audit)：评估可持续发展表现、碳足迹报告、废物管理以及社会责任承诺。
5. 审计风险与分析性复核
理解审计风险
内部审计师必须管理审计风险 (audit risk)——即审计师得出错误结论，或未能发现重大内部控制缺陷或违规行为的风险。
审计风险由三个要素构成：
\( \text{Audit Risk} = \text{Inherent Risk} \times \text{Control Risk} \times \text{Detection Risk} \)
1. 固有风险 (Inherent Risk, IR)：在不考虑任何相关内部控制的情况下，某项业务活动、交易类别或目标容易发生重大错误、舞弊或损失的敏感度。例如，复杂的跨境衍生工具合约或大量的现金交易，本身就具有很高的固有风险。
2. 控制风险 (Control Risk, CR)：组织的内部控制系统未能及时预防、或发现并纠正重大错误或失效的风险。如果控制措施设计不良或遭到忽视，控制风险就会很高。
3. 检查风险 (Detection Risk, DR)：审计师自身的程序、测试和抽样未能发现已存在的缺陷或错报的风险。固有风险和控制风险存在于企业业务内部，而检查风险则是由审计师通过审计规划、样本规模和实质性测试程序直接管理和控制的。
考试洞析：当审计师评估固有风险和控制风险较高时，必须通过执行更广泛、更深入的详细测试来降低检查风险，从而将整体审计风险维持在可接受的低水平。
分析性复核 (Analytical Review)
分析性复核涉及通过研究财务与非财务数据之间合理的相互关系，来评估财务和营运信息。常用技术包括比率分析、趋势分析、预算差异分析，以及营运部门之间的跨部门比较。
解读结果：分析性复核能够识别非预期的波动、异常差异，或预期关系的反常缺失。例如，若销售收入上升 25%，但交付运费成本却下降了 15%，这种不一致便凸显出异常，需要进行针对性的审计调查。
评估可靠性：分析性复核的可靠性取决于：
- 数据来源的独立性与客观性：由独立第三方生成或由具备健全内部控制的系统所产生的数据更加可靠。
- 可比性：行业基准或历史基准数据是否具备真正的可比性。
- 数据汇总程度 (Level of aggregation)：细分数据（例如按月、按分行划分的数据）在识别异常方面，远比高层次的公司汇总总额更可靠。
- 关系的可预测性：稳定的营运环境所产生的分析规律，远比波动不定、瞬息万变的市场更为可靠。
6. 内部审计流程：步骤详解
执行一项内部审计工作通常遵循四个结构化阶段：
第一步：规划与风险评估
审计师根据企业风险登记册 (Risk Register) 以及对固有风险和控制风险的评估，确定审计范围和目标。他们会厘定所需资源并安排审计任务时间表。
第二步：实地工作与测试
审计师通过以下方式收集审计证据：
- 分析性复核：评估趋势和差异。
- 询问与访谈：与营运人员沟通面谈。
- 观察：亲眼察看控制程序的执行情况（例如存货盘点）。
- 检查：审查记录、授权批准和对账单。
- 重新执行：独立重新执行计算或控制活动。
第三步：内部审计报告与发现
审计团队分析其调查结果并编写审计报告。一份有效的审计报告会明确列出：
- 现况 (Condition)：实际发现的情况是什么。
- 标准 (Criteria)：原本的标准、政策或预期是什么。
- 原因 (Cause)：为什么会发生控制失效或偏差。
- 后果/影响 (Consequence/Impact)：面临的风险，或潜在的财务、声誉及营运敞口。
- 建议 (Recommendations)：针对根本原因提出切实可行的整改措施。
审计发现会与营运管理层沟通以达成行动计划共识，最终报告将提交给高级管理层和审计委员会。
第四步：跟进
审计师会跟进已议定的管理层行动，以确保建议已得到落实执行，内部控制缺陷已获得有效修复。
7. 内部审计与外部审计的比较
理解内部审计与外部审计的区别是 P3 课程的核心重点：
内部审计：
- 委任及汇报对象：董事会 / 审计委员会。
- 主要目标：评估并改善风险管理、内部控制和管治流程。
- 范围：涵盖整个组织的所有营运、财务、合规及战略活动。
- 导向：具前瞻性且持续进行，专注于管理当前和未来的风险。
外部审计：
- 委任及汇报对象：股东。
- 主要目标：就年度财务报表是否按照适用的财务报告准则作出真实而中肯的反映（真实及公平反映）发表独立意见。
- 范围：仅限于与财务报表相关的财务记录和控制措施。
- 导向：定期进行且主要针对历史数据。
8. 与审计委员会的关系
审计委员会扮演着内部审计监督机构的角色。其在内部审计方面的职责包括：
- 批准内部审计章程以及年度以风险为本的内部审计计划。
- 确保内部审计团队拥有充足的资源配备、获取信息的权限，并保持独立于营运管理层。
- 审查内部审计报告，监控管理层对审计发现的应对措施，并确保各项建议落实执行。
- 在没有执行管理层列席的情况下，定期与内部审计主管举行独立会议。
成功检查清单
在进入下一章之前，请确保你能：
- 解释有效内部审计的三大核心要素：独立性、人员配备和资源配备。
- 区分内部审计的主要形式：合规审计、舞弊调查、物有所值审计以及社会/环境审计。
- 定义固有风险、控制风险和检查风险，并解释它们如何相互作用决定审计风险。
- 说明分析性复核的目的及影响其可靠性的因素。
- 概述内部审计流程的四个主要步骤，以及内部审计报告应包含的内容。
- 比较内部审计与外部审计的角色、目标和汇报路线。