歡迎來到內部審計流程！

歡迎來到 P3 – 風險管理課程中最實用的章節之一！你可以將內部審計 (Internal Audit, IA) 想像成公司的「健康檢查」。就像你去看醫生進行檢查，確保在小毛病演變成危機之前一切運作正常，公司也運用內部審計來確保其流程、風險和控制措施處於健康狀態。

如果剛開始覺得這些內容有點「企業化」或枯燥，請別擔心。看完這些筆記後，你會明白內部審計的核心其實就是在問：「我們是否做到了我們承諾的事？這些事是否真的有效？」

1. 什麼是內部審計？

根據官方定義，內部審計是一項獨立、客觀的保證與諮詢活動，旨在為組織增加價值並改善其營運。

關鍵概念：內部審計的兩面性
1. 保證 (Assurance)：讓管理層和董事會相信現有的控制措施確實有效。
2. 諮詢 (Consulting)：針對如何改進流程和更好地管理風險提供建議。

類比：想像一位專業的體育裁判。他們不代表任何一方（獨立性），他們會根據所見來裁決犯規（客觀性），並確保比賽遵守規則，從而使最終得分公平（保證）。

重點總結：

內部審計不僅僅是為了「抓出做錯事的人」，而是透過擔任建設性的「批判性朋友」角色，幫助組織實現其目標。

2. 有效內部審計的核心要素

內部審計職能若要發揮效用，必須具備三大核心要素：獨立性 (independence)、人員配備 (staffing) 和資源配備 (resourcing)。

獨立性與客觀性：
審計若要有用，審計師必須保持公正無私。如果審查工作的人同時也是設計或執行該流程的人，客觀性就會受到損害。內部審計師保持獨立性的方式，是功能性 (functionally) 向審計委員會 (Audit Committee)（由獨立非執行董事組成的轄下委員會）匯報，而僅在行政上 (administratively)（日常事務）向行政總裁 (CEO) 等高級管理層匯報。

人員與資源配備：
內部審計部門必須配備足夠且具備勝任能力與專業資格的員工，他們須擁有評估組織營運所需的專業技術知識、商業敏銳度以及特定專門技能（例如 IT 審計或數據分析）。若部門資源不足，將無法有效審計高風險領域。

3. 內部審計章程 (Internal Audit Charter)

內部審計章程是一份正式文件，定義了內部審計活動的目的、權限和責任。它是經由審計委員會批准的「規則手冊」。

章程裡面有什麼？
- 內部審計的工作範圍（涵蓋哪些營運、系統及實體）。
- 獲授權查閱所有記錄、會見人員及進入實體財產的權利。
- 向審計委員會及高級管理層的匯報路線。

4. 內部審計的形式

內部審計師根據組織目標與風險執行不同形式的審計：

合規審計 (Compliance Audit)：檢查是否遵守內部政策、企業管治守則以及外部法律法規（例如環境法、職業安全健康、數據私隱保護條例）。
舞弊調查 (Fraud Investigation)：識別涉嫌的違規行為，評估舞弊如何發生，分析內部控制的失效原因，並提出預防性措施建議。
物有所值審計 (Value-for-Money, VFM Audit) / 管理審計 (Management Audit)：評估營運和管理決策的經濟性、效率與效果：
- 經濟性 (Economy)：在維持適當質素的同時，盡量降低資源成本（支出更少）。
- 效率 (Efficiency)：從既定投入中獲取最大產出（支出得當）。
- 效果 (Effectiveness)：確保達到預期的營運和戰略目標（明智支出）。
社會與環境審計 (Social and Environmental Audit)：評估可持續發展表現、碳足跡報告、廢物管理以及社會責任承諾。

5. 審計風險與分析性覆核

理解審計風險

內部審計師必須管理審計風險 (audit risk)——即審計師得出錯誤結論，或未能發現重大內部控制缺陷或違規行為的風險。

審計風險由三個要素構成：

\( \text{Audit Risk} = \text{Inherent Risk} \times \text{Control Risk} \times \text{Detection Risk} \)

1. 固有風險 (Inherent Risk, IR)：在不考慮任何相關內部控制的情況下，某項業務活動、交易類別或目標容易發生重大錯誤、舞弊或損失的敏感度。例如，複雜的跨境衍生工具合約或大量的現金交易，本身就具有很高的固有風險。
2. 控制風險 (Control Risk, CR)：組織的內部控制系統未能及時預防、或發現並糾正重大錯誤或失效的風險。如果控制措施設計不良或遭到忽視，控制風險就會很高。
3. 檢查風險 (Detection Risk, DR)：審計師自身的程序、測試和抽樣未能發現已存在的缺陷或錯報的風險。固有風險和控制風險存在於企業業務內部，而檢查風險則是由審計師透過審計規劃、樣本規模和實質性測試程序直接管理和控制的。

考試洞析：當審計師評估固有風險和控制風險較高時，必須透過執行更廣泛、更深入的詳細測試來降低檢查風險，從而將整體審計風險維持在可接受的低水平。

分析性覆核 (Analytical Review)

分析性覆核涉及透過研究財務與非財務數據之間合理的相互關係，來評估財務和營運資訊。常用技術包括比率分析、趨勢分析、預算差異分析，以及營運部門之間的跨部門比較。

解讀結果：分析性覆核能夠識別非預期的波動、異常差異，或預期關係的反常缺失。例如，若銷售收入上升 25%，但交付運費成本卻下降了 15%，這種不一致便凸顯出異常，需要進行針對性的審計調查。

評估可靠性：分析性覆核的可靠性取決於：
- 數據來源的獨立性與客觀性：由獨立第三方生成或由具備健全內部控制的系統所產生的數據更加可靠。
- 可比性：行業基準或歷史基準數據是否具備真正的可比性。
- 數據彙總程度 (Level of aggregation)：細分數據（例如按月、按分行劃分的數據）在識別異常方面，遠比高層次的公司匯總總額更可靠。
- 關係的可預測性：穩定的營運環境所產生的分析規律，遠比波動不定、瞬息萬變的市場更為可靠。

6. 內部審計流程：步驟詳解

執行一項內部審計工作通常遵循四個結構化階段：

第一步：規劃與風險評估

審計師根據企業風險登記冊 (Risk Register) 以及對固有風險和控制風險的評估，確定審計範圍和目標。他們會釐定所需資源並安排審計任務時間表。

第二步：實地工作與測試

審計師透過以下方式收集審計證據：
- 分析性覆核：評估趨勢和差異。
- 詢問與訪談：與營運人員溝通面談。
- 觀察：親眼察看控制程序的執行情況（例如存貨盤點）。
- 檢查：審查記錄、授權批准和對賬單。
- 重新執行：獨立重新執行計算或控制活動。

第三步：內部審計報告與發現

審計團隊分析其調查結果並編寫審計報告。一份有效的審計報告會明確列出：
- 現況 (Condition)：實際發現的情況是什麼。
- 標準 (Criteria)：原本的標準、政策或預期是什麼。
- 原因 (Cause)：為什麼會發生控制失效或偏差。
- 後果/影響 (Consequence/Impact)：面臨的風險，或潛在的財務、聲譽及營運敞口。
- 建議 (Recommendations)：針對根本原因提出切實可行的整改措施。
審計發現會與營運管理層溝通以達成行動計劃共識，最終報告將提交給高級管理層和審計委員會。

第四步：跟進

審計師會跟進已議定的管理層行動，以確保建議已得到落實執行，內部控制缺陷已獲得有效修復。

7. 內部審計與外部審計的比較

理解內部審計與外部審計的區別是 P3 課程的核心重點：

內部審計：
- 委任及匯報對象：董事會 / 審計委員會。
- 主要目標：評估並改善風險管理、內部控制和管治流程。
- 範圍：涵蓋整個組織的所有營運、財務、合規及戰略活動。
- 導向：具前瞻性且持續進行，專注於管理當前和未來的風險。

外部審計：
- 委任及匯報對象：股東。
- 主要目標：就年度財務報表是否按照適用的財務報告準則作出真實而中肯的反映（真實及公平反映）發表獨立意見。
- 範圍：僅限於與財務報表相關的財務記錄和控制措施。
- 導向：定期進行且主要針對歷史數據。

8. 與審計委員會的關係

審計委員會扮演著內部審計監督機構的角色。其在內部審計方面的職責包括：
- 批准內部審計章程以及年度以風險為本的內部審計計劃。
- 確保內部審計團隊擁有充足的資源配備、獲取資訊的權限，並保持獨立於營運管理層。
- 審查內部審計報告，監控管理層對審計發現的應對措施，並確保各項建議落實執行。
- 在沒有執行管理層列席的情況下，定期與內部審計主管舉行獨立會議。

成功檢查清單

在進入下一章之前，請確保你能：
- 解釋有效內部審計的三大核心要素：獨立性、人員配備和資源配備。
- 區分內部審計的主要形式：合規審計、舞弊調查、物有所值審計以及社會/環境審計。
- 定義固有風險、控制風險和檢查風險，並解釋它們如何相互作用決定審計風險。
- 說明分析性覆核的目的及影響其可靠性的因素。
- 概述內部審計流程的四個主要步驟，以及內部審計報告應包含的內容。
- 比較內部審計與外部審計的角色、目標和匯報路線。