亞洲內部審計師協會聯合會問卷調查報告

嚴忠新 肖競編譯

[摘要]本問卷調查報告旨在通過反映亞太地區內部審計現狀、未來工作、新興風險和趨勢，以期幫助內部審計未來為組織發揮更大作用。

[關鍵詞]內部審計? ?受訪者? ?風險

一、前言

內部審計在為組織增加價值方面起著重要作用。新冠肺炎疫情對經濟和組織的商業職能已產生重大和廣泛的影響，組織識別、評估新興風險并對之實施有效管理面臨的壓力愈來愈大。亞洲內部審計師協會聯合會（ACIIA）將此次疫情視為內部審計重塑其角色和定位的契機，內部審計部門通過改變技術方法和運作模式，提高利益相關者的信任，進一步彰顯內部審計的作用，以期為組織提供更大價值。

二、關于問卷調查

（一）問卷調查的背景

2021年2月ACIIA與SyCip，Gorres，Velayo&Co

公司（以下簡稱SGV）聯合開展了題為“內部審計轉型：未來的工作、新興風險和趨勢”的線上問卷調查活動。問卷通過對“內部審計在組織中的新興角色”和“內部審計工作的未來”兩個主要方面的調查，了解亞太地區不同行業的內部審計在幫助組織應對疫情影響和日益加劇的風險時，如何轉變未來的工作重點和運作模式，提高人員的職業技能，適應未來工作環境和關注員工福祉等。SGV對調查結果開展了進一步研究，還在內部審計如何發展才能滿足和響應不斷變化的業務需求方面提供了富有價值的見解。

問卷收集了來自于亞太地區15個國家和地區的高級內部審計執行人員和利益相關者共376份回應。受訪者大多數來自中國內地（173人，占比46.0%）、日本（58人，占比15.4%）和菲律賓（57人，占比15.2%），其他少數來自澳大利亞、斐濟、印度、印度尼西亞、韓國、馬來西亞、中國香港等國家和地區。

受訪者所屬的行業具有一定的代表性。如圖1所示，金融和保險業參與人數最多（78人，占比20.7%），制造業次之（70人，占比18.6%）。

大多數受訪者來自大型組織，其中128人（占比34.0%）所在組織年度營業額在10億美元以上。

（二）受訪者內部審計的組織架構及其組成

80.3%的受訪者（302人）稱內部審計機構是由全職人員組成的獨立部門，只有少數受訪者稱其所在組織要么完全外包（19人），要么采用混合方式獲取內審資源（55人）。菲律賓和日本受訪者稱，其內審組織由全職或者部分外包人員組成，沒有完全外包的形式。在不考慮組織年度營業額的情況下，大多數受訪者（221人，占比58.8%）稱，內審部門由不到10人的團隊組成。

三、內部審計在組織中的新興角色

目前大多數組織的內審機構提供與合規、經營和財務審計等相關服務。為此，問卷調查了內審部門在過去5年和未來5年的主要任務。對于過去5年，大多數受訪者認為，主要任務按重要性和優先程度由高到低排序為：（1）向管理層提出建議，提升組織的內部控制有效性;（2）對現有控制措施、政策及其實施和落實情況進行監督;（3）為組織的內部控制提供鑒證和確認服務。當被問及未來5年將如何變化時，受訪者對內審任務進行了不同的排序，但對總體排序結果影響不大，都希望繼續參與提供管理建議，并在確認組織全面風險管理和業務連續性時，為內部控制和舞弊偵測提供服務。在使用分析技術處理重點關注的新興領域方面，也都擁有共同的預期。

調查結果也顯示了在一些特定行業或者國家（地區），受訪者的反饋呈現出獨特的趨勢。一是重要行業。（1）金融和保險業。預計將轉向數據分析，審查人工智能流程治理、控制和信息科技相關事項。（2）施工建筑業。與大多數行業的回應不同，施工建筑業過去5年尤其重視其他咨詢服務，如舞弊偵測，并將在未來5年持續進行。（3）公司和企業管理服務業。期望未來5年高度重視支持組織的業務連續性。（4）信息科技業。更加重視支持：組織的業務連續性工作;數據分析的應用;為人工智能和自動化流程/控制的治理提供確認服務。二是國家和地區。（1）菲律賓。除了對自動化流程和控制治理的確認審查上升外，其他任務排序與上述總體回應一致。（2）中國內地。受訪者預見未來工作重心將從確保組織的內部控制轉向支持組織的業務連續性工作。（3）日本。管理層期望內審繼續在內部控制方面提出建議，并對組織的全面風險管理方案提供指導。

雖然首席審計執行官認為內部審計的核心任務不會發生變化，但內部審計仍然需要不斷自我變革。內部審計需要提供確認之外的服務，并擴大重點，以應對不斷升級的風險。

（一）不斷加劇的風險領域

組織持續受到技術、全球化和環境等壓力的困擾，所面臨的風險也在不斷演變和加劇。大多數受訪者認為，網絡安全風險、信息科技風險和財務風險是未來幾年最有可能加劇的風險。雖然大部分國家（地區）、行業的組織中受訪者共同反映了這一觀點，但可能由于受訪者所屬行業的性質不同，菲律賓、中國內地和日本的受訪者的觀點具有更加鮮明的特點：菲律賓和日本的受訪者認為，與財務風險相比，業務連續性風險顯著增加;而中國內地的受訪者則普遍認為，與財務風險相比，戰略風險更為重要。從行業角度看，公司和企業管理服務業受訪者認為，戰略風險比網絡安全風險更為重要。可持續性/環境風險、第三方風險和社區/利益相關者關系風險是長期潛在不斷加劇的風險領域。隨著越來越多的組織繼續尋找更高效、更有效的工作方式，未來它們將專注于核心優勢領域，并將非核心業務委托給第三方和第四方。鑒于此，第三方風險將日益受到關注。同樣，對于業務連續性風險，由于投資者和監管機構不斷要求組織披露其在環境、社會和治理風險的管理等方面的工作，這些方面未來也將是潛在增加風險領域，這是各國（地區）、各行業和各個規模組織受訪者的普遍回應，但中國內地和日本受訪者認為聲譽風險是一個重要領域，其重要性預計今后將會增長。為了降低這些風險，每個組織都有其獨特的應對措施。

1.內部審計應對不斷加劇風險的準備情況。調查結果表明，總體來說，當前內審職能在財務風險相關領域的能力已經比較健全，但需持續加強在新興領域的專業能力、資源、工具和技術方法等。問卷設計了內審在應對不斷加劇風險所做的準備情況，包括：（1）做好了準備（內審具備應對這些風險的專業能力、資源、工具和技術方法）;（2）已做一些準備（個別領域仍有提升空間）;（3）未做好準備（大多數領域都有欠缺）三類。受訪者基本回應是“已做一些準備”，詳細占比情況如表1所示。

2.內部審計在應對新興風險中的作用。問卷專門設計了相關問題，試圖了解內審在幫助組織降低新興風險和實現組織商業目標時所扮演的角色和所發揮的作用，具體包括：（1）值得信賴的顧問，指內審持續引導管理層和相關部門采取措施;（2）咨詢專家，指內審定期提供有關如何應對關鍵風險的建議;（3）被動參與者，指內審僅在管理層提出需求時才會評估有關風險和提出建議。對于認為內審職能已做好應對新興風險準備的受訪者（平均16%—21%的參與者），其選擇扮演角色的情況如圖2所示。

3.內部審計作為值得信賴的顧問。組織在提供重要風險洞見方面對內審的依賴性持續增加。由于利益相關者希望內審向組織提供更多的戰略價值，內審職能成為關注焦點，受訪者更加關注和強調內審對組織有意義的風險領域，如戰略、信息科技和業務連續性風險。新冠肺炎疫情加速了商業環境變化，正在逐步實現流程自動化的組織必須快速推進數字化。每個人都得在數字環境下開展遠程工作，但并非都為此做好了準備。內審被視為值得信賴的顧問，旨在幫助組織從應對新興挑戰中獲得發展，確保業務流程仍然受控、合規和有效。內審作為轉型的推動者，如果想要滿足組織的戰略需求，就需要保持敏捷的特點，充分利用數字化賦能，同時將風險作為開展工作的基礎。

（二）內部審計關注點的變化

問卷調查了內審人員認為對業務影響最大的幾個因素：（1）合規仍是一個重點領域。組織期望內審繼續密切關注監管部門的要求和法律法規的變化，與經營部門進行積極溝通，幫助其遵循現行的標準。（2）信息科技和網絡安全的脆弱程度繼續上升。信息科技、網絡安全相關的威脅變得越來越復雜，內審被期望擴大其覆蓋范圍，不再局限于確認服務，而是幫助組織監控由于技術進步所帶來的一系列更為廣泛的風險。（3）需要更好地理解第三方風險。內審職能將擴大到幫助組織理解如何依賴第三方，從而能夠指導組織正確管理外包給第三方的業務流程。（4）工作場所的多樣性和包容性是一個不斷演變的話題。多元化和包容性的團隊能夠提供更具創新性的方法，這樣內審職能能夠更好地響應不斷演變的資源需求，利用個人的差異性加速轉型。

作為值得信賴的顧問，內審應當不斷改進自身工作，更好地了解和應對組織可能面臨的不斷變化的風險。

（三）內部審計新興趨勢和技術

在過去5年里，許多組織的一項重大舉措是業務數字化（即利用信息科技和電子資源優化組織的運營）。大多數受訪者認為，數字化進程不會停止，并將在未來幾年持續下去。鑒于此，內審應當利用這一趨勢，轉變其生態系統，承擔數字化、敏捷和高效的組織職能。

問卷咨詢了受訪者是否運用了以下新興技術或實務，回應情況如圖3所示。

一是機器人流程自動化（RPA）。在過去5年里，大多數受訪者雖然目睹了技術上的重大進步，但卻很少有人使用RPA，即使使用也僅限于流程的某些領域，如檢查數據的完整性和驗證數據的輸入。RPA技術的使用帶來了機遇和風險，當RPA應用于業務流程時，內審應查看流程的整個生命周期;在考慮將RPA嵌入審計流程時，應當設定明確的目標并在后續迭代中更好地使用。RPA對內審完成日常活動有很大幫助，如證據整理、報告和控制測試。

二是云計算。僅有26%的受訪者表示使用了云計算，云技術主要被用于數據的存儲、可用性和安全性方面，這一趨勢也變得越來越明顯。內審面臨的挑戰之一是如何制訂審計方案，使其能夠在云環境下評估控制情況。

三是敏捷審計。敏捷審計是指在內審業務開展過程中采取更加靈活的方式，利用不斷更新的審計任務清單取代難以調整的審計計劃，確保審計項目的優先程度根據風險的重要性和組織的需求進行排序，一旦資源到位，優先的審計項目可以立即展開。42%的受訪者提到在審計方案中綜合考慮了靈活性，而開展敏捷審計的用戶中有一半也考慮了數據分析。

四是治理、風險與合規（GRC）。71%的受訪者重視GRC流程的重要性，該流程允許跨部門的活動并及時進行適應性調整，在促進跨部門協作的同時仍能保持獨立性。技術可以為實現GRC的高效和有效性方面發揮關鍵作用。作為GRC使用者之一，內審部門將從中獲益，推進以風險為基礎的審計方法，并將審計重點聚焦到更需要關注的領域。內審對GRC的使用，還將通過減少第二線和第三線業務中的重復勞動來提高組織的運作效率。

五是數據分析。世界正日益數字化，新冠肺炎疫情越發加速了這一趨勢。由于擁有大量的在線實時信息，內審可以利用數據分析來管理審計項目全周期的活動，如風險評估、審計計劃及其實施、報告和監督。70%的受訪者表示已特別利用數據分析識別異常、趨勢，進行根本原因分析和錯誤的量化影響分析等。

（四）三線模型職能之間的互動

IIA在“三道防線”基礎上更新發布的“三線模型”能夠幫助組織確定最有助于實現其目標的組織機構和流程，促進強有力的治理和風險管理。大多數受訪者認為，作為組織的一部分，都通過設立獨立的風險管理、合規和內審部門以適應三線模型，這與IIA推薦的結構一致，即第二線部門對第一線部門風險管理方面的專業知識提供補充，并對第一線部門的工作提出合理質疑與職能監督，以支持第一線部門有效管理風險;第三線是獨立于業務管理的部門，負責對組織治理與風險管理有效性提供獨立、客觀的確認和咨詢。

有必要加強各線職能之間的溝通，理解三線各自的作用和責任，以及如何協同工作，從而最大限度地發揮這些重要職能的作用。通過整合GRC流程，利用監督和有意義的“決策”來增強股東價值，可以進一步增加這些角色之間的相互協同。

問卷調查了受訪者的組織是否設有獨立于內審團隊的風險管理與合規團隊。雖然一些受訪者指出，他們組織中沒有獨立的風險管理與合規團隊，但已經實施了保障措施和方案，以保持內部審計的獨立性。僅有50%的受訪者提出所在組織擁有獨立的內審、風險管理與合規團隊;13%的受訪者提出既有內審團隊，也有合規團隊，但沒有獨立風險管理團隊;12%的受訪者提出同時擁有內審和風險管理團隊，但沒有獨立的合規團隊。年度營業額1000萬—10億美元的組織大多數受訪者表示，其組織同時擁有獨立的內審、風險管理與合規團隊;未設風險管理與合規團隊的25%的受訪者回應，所在組織會經常采取措施，確保內審人員的客觀性不受損害。澳大利亞教育服務業的一位受訪者表示：“任何利益沖突或可能存在的沖突都必須向審計和風險委員會申報，利用共同組建審計團隊的形式滿足獨立性要求。”設立獨立風險管理的團隊受訪者回應，大多數內審在監督整個業務風險、報告與風險相關事項以及推動管理層應對風險時會與風險管理團隊互動。然而，內審與風險管理團隊在推動召開風險研討會方面卻很少互動。印度制造業的一位受訪者表示：“內部審計與企業風險管理職能進行密切交互，既可以向其提供在確認中洞察的業務風險，也能收集其對業務和戰略風險的見解，這有助于內審全面了解影響業務目標的企業風險，促進審計確認服務聚焦重點。”設立獨立合規團隊的受訪者回應，內審與合規團隊在監督內部流程、控制、風險和政策，以及評估和報告組織已識別風險時開展協作，在確定不合規將對組織內部某些業務活動造成的負面影響、建立控制和合規文化方面，也經常互動。菲律賓的一位金融與保險業受訪者這樣解釋雙方的分工：“合規團隊來監督合規情況，而內部審計對合規和業務部門使用的合規程序進行評價。”

（五）內部審計在變革過程中獲得信任

內審執行人員被期望具有遠見卓識，為組織應對感知到的威脅和變革做好準備。內審工作必須具有策略（更智能地使用技術和分析），并在組織中保持被信任。內審作為值得信賴的顧問，通過提供洞見、建議及合理的確認服務，保護組織免受顛覆性事件的侵擾。在針對如何保持利益相關者對內部審計的信任的回復中，由高到低排序結果是：46%受訪者認為最有效的方法是向利益相關者通報內審采用了新工具和策略，更新了風險評估方法;27%認為將風險情報整合到風險評估流程中，實現更具前瞻性和時效性的報告，推動符合戰略重點要求且更加“敏捷”的決策;14%認為在組織中推動風險管理的轉型，形成以客戶為中心和關系導向的業務和風險戰略;13%認為為適應變革的要求，推動風險評估和風險戰略的轉型。

內審人員應當對組織的運作和行業具有深刻理解，通過由外向內的視角，不僅要考慮帶來負面影響的下行風險，也應思考可從中受益的上行風險。此外，內審還需研究一種遠遠超出合規檢查或傳統確認服務之外更加綜合、全面的方法，通過灌輸風險優化模式和創新思維方式，利用新的和變革性的工具、新方法來驅動組織獲得更大效能、效率和價值，將風險轉化為信任。

內審可以成為幫助組織應對變革的推動者，內審作為一項職能，需要提高技能才能夠滿足這一期望。內審需要在方法上保持靈活性，重新審視人才、技術和運作模式。

四、內部審計工作的未來

組織正積極采用新技術，以轉變其商業模式、推動經濟增長和提高工作效率。組織的流程和控制目前在效率和效果方面都很理想，但在未來卻可能被淘汰，內審必須靈活地幫助管理層理解風險及其對組織的影響。

（一）內部審計團隊的技能

隨著內審職能的不斷發展和加速轉型，內審人員職業成功的技術技能和行為技能屬性組合也在發生變化。未來內審人員除了應當具備技術技能外，還應當具有廣泛的非技術勝任能力和行為技能屬性。受訪者評估了未來5年內審需要具備能力的重要性水平：（1）深厚的技術和商業技能，58%的受訪者認為非常重要;（2）批判性思維和數據分析技能，以數據分析驅動的批判性思維也是未來內審人員高度重視的技能;（3）軟技能，溝通技能在非技術/軟技能的調查結果中居于首位，72%的受訪者認為溝通技能非常重要。然而，隨著組織數據量和信息量的不斷增加，溝通正發生變化，這對內審職業的溝通方式提出了新的要求和期望。

（二）內部審計人員的工作方式和環境

在新冠肺炎疫情的背景下，組織被迫改變運作模式以適應“新常態”。調查結果顯示，內審組織的運作模式將更具有靈活性，內審人員可能由全職的和外包給第三方的服務提供商共同組成。大多數受訪者還傾向于利用內部輪崗平臺來增加內審人員對商業和行業知識的了解，63%的受訪者考慮來自其他部門的輪崗資源，57%考慮同時使用全職資源和第三方服務提供商，54%表示審計部門將由獨立于其他部門的全職人員組成。

關于未來5年內審人員的工作環境。大多數受訪者認為，內審將繼續采用靈活的工作安排——在居家辦公或辦公室辦公或在被審計單位辦公之間保持平衡，62%的受訪者預計將有分布式工作安排（被派駐到被審計單位辦公場所辦公），56%相信會更習慣于居家辦公，47%建議審計團隊更多依賴于使用共用工作空間。考慮到這些選項，當內審與第三方創建合同時，應當考慮關鍵領域（如保密條款、隱私等），同時，內審應當得到技術支持，能夠設置虛擬工作環境和保護組織數據免遭潛在破壞。

（三）內部審計人員的福祉

員工福祉不僅包括身體健康，還包括其他因素，如員工的職責和期望、壓力水平和工作環境等。調查結果顯示，48%的受訪者認為組織非常關心員工福祉，即便是在工作時間之外也不例外;38%認為組織很關心員工福祉，很少出現由于工作原因犧牲員工福祉的情況;13%認為組織關心員工福祉，但有時會出現由于工作犧牲員工福祉的情況。調查還了解到受訪者認為解決內審人員福祉時可以考慮以下方式：80%的受訪者認為提升工作進度和工作安排的靈活性將會有效改善員工福祉;53%認為擴大經濟扶助和加強醫療保險服務能夠支持員工福祉;43%考慮更多關注員工心理健康。心理健康和身體健康一樣需要被認知和關注，內審作為組織的一部分，應當采取必要的步驟認識員工的心理需求。

內審要進行真正的變革，需要得到管理層的支持。只有獲得適當層級的支持和資源，使得內審作用與組織的目標保持一致時，內審才能有效。另外，內審需要清晰闡釋變革的理由，并確定如何將內審作為幫助組織轉型的工具。

五、結論

內審人員在幫助組織管理和預測風險方面發揮著重要作用。未來內審必須調整其方法、運作模式、技術和人才結構，以靈活應對商業環境的迅速變化。目前，相當數量組織的內審職能僅限于傳統確認業務，在繼續開展這一業務的同時，主要利益相關者期望內審擴大覆蓋范圍，幫助其預測不斷升級的風險領域。內審應當持續深入了解組織運營的業務環境，尋找新的工作方法來提高效率，重新調整與組織總體需求相一致的技能。

隨著數字化和虛擬技術的快速發展，在定義正確的控制水平、管理與技術使用相關的風險方面，內審發揮著重要作用。內審應當跟上未來的技能要求，在可能需要特定經驗的領域（如網絡審計、云審計、區塊鏈、RPA）考慮使用主題資源、專家、數據分析師/科學家以建立一個支持靈活方法的生態系統。此外，創造力、溝通能力和數據可視化能力，正成為組織對內審人員的必要和基本的期望。技術在內審為未來做好準備的過程中發揮著重要作用，借助與商業運作整合并允許靈活審計響應的工具，將使內審能夠進行廣泛的數據分析，同時以更及時和敏捷的方式執行審計方案、提交有意義的審計報告。

員工對福祉的關注和認可程度也在不斷提高，特別是在世界突然轉向遠程控制環境以應對危機之際，我們必須接受這一將繼續演變和持續下去的趨勢。

內審還需要與第一線部門和第二線部門密切合作，通過允許跨部門的治理、風險與合規整合技術，適當地確定重點領域的優先級，從而在組織中有效發揮作用。隨著商業環境的日益復雜，內審最適合為商業領導者在應當考慮的風險畫像方面提出問題和建議，從而真正成為值得信賴的顧問。內審作用至關重要，轉型勢頭現已開始。（本文不是全文翻譯只是部分翻譯）

（譯者單位：中廣核工程有限公司? 中國內部審計協會，郵政編碼：518124，電子郵箱：yanzhongxin168@qq.com）