內部審計2035年愿景

編者按

2024年10月，國際內部審計師協會秘書長兼首席執行官安東尼·普耶茲以“內部審計2035年愿景”為題，在北京、上海和南京連續做了3場演講，現整理刊發，以饗讀者。

“內部審計2035年愿景”研究項目，這是國際內部審計師協會（IIA）花了一年多時間完成的一個非常復雜的研究，通過這個研究我們想了解：內部審計的現狀是什么？它的未來發展趨勢又是什么？有哪些機遇和困難？我們需要完成哪些工作才能達成這個愿景？通過這個研究，我們形成了五個方面的成果和認識：一是要轉變當前對內部審計的認識和看法；二是要積極地去擁抱先進科技；三是要拓展內審工作范圍；四是內部審計要服務組織戰略；五是要吸引更多的年輕人加入內審隊伍，建立人才輸送渠道。

在開始研究這個項目之前，我們預計需要有5000名受訪者參與研究，才能拿出一個有價值的研究成果。實際情況是大約有來自全球155個國家和地區的7200多名受訪人員參與了研究。從參與人員來看，80%是內審從業者，其中大部分是具有一定經驗的從業人員，從事內審工作平均年限在10至12年；剩下20%的受訪人員是內部審計利益相關者，包括董事會成員、高級管理層和監管機構成員等，還有高校等一些教育機構人員。

通過問卷調查和研究發現，超過半數的受訪者預計，內審職業在未來10年將會發生極大或很大的變化，只有9%的人認為未來不會有什么變化。在亞太地區的問卷調查也得出了相同的結論。同時我們也看到，來自于董事會或者審計委員會的代表認為未來內部審計會發生重大變化的比例最高。

正因如此，我們現在就必須立即開始轉型并做好準備，否則到2035年內部審計就有可能失去相關性，被邊緣化。如果內審職業不去選擇直面挑戰，僅僅專注于傳統職責，或者發展緩慢，跟不上瞬息萬變的全球形勢，那么我們將無法維持或提升自身的影響力及相關性。要實現這一目標，我們必須做到以下幾點。

一、必須轉變認識，成為具有戰略性的顧問和推動變革的“催化劑”

為什么這么說呢？想要弄清楚這個問題，我們首先需要了解內部審計面臨著哪些挑戰。所有地區的大多數受訪人員表示，內審職業面臨的最大挑戰是不被理解或不被重視，需要獲得領導或利益相關方的更大支持，以及內審人員缺乏必要的技能。

在此基礎上，我們還需要了解目前人們是如何看待內部審計的。在全球范圍內，當前的內部審計被認為“主要關注合規”（54%受訪者持此看法）、是“獨立”的（51%）、是“組織中的警察”（48%），其中既有我們樂于接受的觀點，也有我們不太喜歡的看法。比如，雖然警察是值得尊重的職業，但是與內部審計在組織內部開展確認和咨詢的角色顯然是有很大區別的。從調查結果來看，目前人們對內審職業的認識和我們對未來的期望還存在著很大的差距。

IIA推出的全新的《全球內部審計準則》，有助于內審人員轉變當下人們對內部審計的認識，幫助社會大眾和利益相關方認識到內部審計并不僅僅關注合規，而是期望在組織中扮演戰略顧問的角色。

2024年1月，IIA的國際準則委員會發布了《國際內部審計專業實務框架》（以下簡稱IPPF）的主要組成部分——《全球內部審計準則》。新準則具有以下作用：提升內部審計的質量，引領內審職業邁向未來；有助于內審職能部門更好地與董事會及高級管理層成為合作伙伴；為有效開展保證和咨詢服務提供指引；提供各項原則、要求及考慮因素，助力內審人員取得成功。

除了《全球內部審計準則》外，新的IPPF還包含了對內部審計的《專項要求》。《專項要求》是針對某一話題或者某一領域的專門指引，能夠幫助內審人員在相關領域開展審計工作時提升審計工作的質量和一致性。目前IIA全球指南理事會已經批準了網絡安全、第三方風險管理、組織文化、業務復原力、反腐敗/賄賂、人員管理、舞弊風險管理和可持續性、ESG這8個話題，有關的《專項要求》也將在未來陸續推出。其中網絡安全專項要求將于2024年年底發布。第二個專項要求，即第三方風險管理專項要求，正在制定當中，預計將于2024年12月對外發布征求意見稿。

IIA同時致力于在全球范圍宣傳和推廣內部審計的價值，助力我們的會員和廣大內審從業者成為推動變革的催化劑。例如，IIA發布的《全球公共政策立場公告》，目的就是為了幫助各個國家和地區完善有關內部審計的立法和監管規定。此外，IIA還與各分會開展深入合作，推動分會所在地將對IIA準則的使用和認可納入當地的法律法規。

IIA還為那些力求走在行業前沿、眼光敏銳的內審人員提供富有洞見、具有可操作性的研究成果；為處于職業生涯各個階段的內審人員提供一流的工具和資源。這些研究成果、工具和資源有助于加強從業者及其所在組織、學生與高校，以及整個行業之間的聯系。其中有許多資源都聚焦于快速變化的技術環境，以及內部審計作為一個職業如何接納新興技術，確保能在劇烈變化中保持領先地位，并持續為其所服務的組織創造價值。

二、必須充分擁抱科技，為迎接未來作出改變、做好準備

從調查結果來看，在全球范圍內，受訪者廣泛認可新技術將影響內審人員的工作方式，提升業務質量，并為創造價值提供新機會。亞太地區的受訪者設想了科技影響內部審計的方式，包括：97%的受訪者同意新技術將會強化有經驗的內審人員保持相關性的能力；93%的受訪者同意新技術將會提升可用于分析和評估的復雜數據總量；93%的受訪者同意新技術將會使內部審計的建議更有價值；91%的受訪者同意新技術是幫助內部審計為組織增加更大價值的關鍵。

我們已經看到了像人工智能（AI）這樣的新技術是如何為各類組織創造價值的。74%的受訪者認為人工智能對未來至關重要，然而只有19%的受訪者表示對其有所了解，這說明在我們努力擁抱科技以便朝著未來不斷發展的過程中，仍需極大提高對人工智能的理解和運用。

此次研究還嘗試了解當前內審人員在運用各種科技工具和方法方面的情況。從調查結果來看，全球范圍內，內部審計使用最廣泛的技術是審計管理系統/應用程序，而在亞太地區最常用的則是持續監督。大多數內審從業者表示，他們應用AI、機器學習以及自動化或對其進行審計的程度較低或根本沒有應用和開展相應的審計。

如果聚焦到對AI的運用上，在全球范圍內，超過半數（52%）的內審從業者表示，并未對AI進行研究、使用或審計，不到1/4（22%）的受訪者表示他們正在研究未來對AI進行運用，18%的受訪者表示已經在審計中開始使用AI技術，還有14%的受訪者已經對所在組織使用AI的情況開展了審計。大多數受訪者對內部審計中應用AI技術持樂觀態度：55%的受訪者對AI持謹慎樂觀態度，另有26%的受訪者表示他們完全接納AI在內部審計中的使用。

內審人員面臨的風險態勢在不斷變化，更新、更好、更快、更強的技術不斷涌現。不論是機器人流程自動化、區塊鏈、機器學習、腦機接口，還是沉浸式虛擬環境、大語言模型、量子計算、合成數據，每一項技術都有其風險與收益。

近期的研究表明，全球77%的企業正在使用或探索使用人工智能。83%的企業聲稱，人工智能是其商業計劃中的首要事項。人工智能在商業環境中最常見的用途是客戶服務（56%）以及網絡安全與舞弊管理（51%）。

自2022年11月ChatGPT推出以來，世界各國一直在試圖弄清楚如何對AI進行監管。歐盟的《人工智能法案》于2024年8月正式生效。專家表示，這項法規可能會為人工智能監管設定一個全球標準，它根據人工智能系統對人們的健康、安全和基本權利構成的潛在風險對其進行分類。風險分為四個等級：不可接受風險、高風險、有限風險、低風險。其他國家和地區也都在逐步推進有關AI的立法。

三、必須拓展工作范圍，不斷提升內部審計的影響力

“內部審計2035年愿景”的研究成果印證了我們一段時間以來的看法：為了保持相關性，內部審計有必要拓展工作范圍。從當前的情況來看，在開展審計業務時，通常被納入審計計劃的主要領域包括：監管合規（84%）和內部政策合規（82%）、舞弊和風險管理（64%）、治理和組織文化（55%）、信息技術（47%）。雖然網絡安全（31%）和可持續性（21%）目前的排名不高，但被認為在未來會成為審計計劃中更加重要的組成部分。在被問及未來的審計業務應當包含哪些內容時，60%的受訪者選擇了網絡安全，排名第1。

近年來，IIA開展的“聚焦風險”研究表明：網絡安全、業務連續性以及人力資本方面的風險居高不下。從全球層面展望未來，預計數字技術顛覆式創新（包括AI）在三年內將上升20個百分點，排名升至第2位。與此同時，氣候變化/環境預計在三年內將上升16個百分點，排名升至第5位。

研究過程中，我們對全球各地的內審負責人進行了訪談，總結和歸納出了六方面的風險驅動因素，這些因素共同影響了內審負責人如何對風險進行評級及應對風險，其中又包括了兩個類別：直接壓力和間接壓力。造成直接壓力的風險驅動因素包括監管規定、財務影響以及商業機會。這些因素對董事會如何確定優先事項以及內部審計范圍有著重大影響，尤其在短期內影響顯著。間接壓力則包括了政治、公眾意見和社會影響，可能需要更長時間才能對組織層面的風險水平產生影響。在此過程中，間接壓力也會引發直接壓力。例如，政治上的優先事項可能會催生法規，而公眾意見可能會轉變為市場壓力。直接壓力和間接壓力之間的相互作用會對風險水平和審計優先級產生長期影響。顯然，理解這些因素間的相互作用，對我們未來評價風險有著重要意義。

在當前和未來一段時間，網絡安全仍然是排名第一的風險。根據Cybersecurity Ventures的預測，到2025年全球將存儲200澤字節的數據，到2030年互聯網用戶將超過75億，占6歲及以上人口的90%。2023年網絡犯罪造成的損失高達8萬億美元，這意味著每秒損失超過25萬美元。2024年網絡犯罪造成的損失達到驚人的9.5萬億美元，這使得每秒的損失增至30萬美元。預計到2025年，年度總損失將增加至10.5萬億美元，也就是每秒33萬美元。

網絡安全的前路充滿挑戰。從AI將如何融入網絡安全，到新法規以及未來幾年全球立法格局會呈現何種面貌，都存在很多值得研究的課題。作為內審人員，我們有責任拓展業務范圍，幫助我們所在組織免受網絡安全威脅。通過隨時了解并緊跟最新趨勢及最佳實踐，我們能夠助力所在組織降低遭受網絡攻擊的風險，保護其資產、聲譽，應對各類威脅。IIA提供了大量有關網絡安全的資源，包括網絡研討會、文章以及培訓課程，以幫助內審人員和各類組織獲取相關信息并做好相應準備。

根據世界經濟論壇的觀點，在排名前五的關鍵全球性風險中有四項與環境、社會和公司治理（ESG）相關。內審人員可通過積累ESG審計方面的知識，為可持續發展以及負責任的商業實踐作出貢獻。

四、必須確保符合組織戰略，為利益相關方提供價值

內審人員主要為管理層和治理機構提供客觀、獨立的確認服務。隨著這一職業以及各類組織的不斷發展演變，我們不能停留在事后檢查，需要具備更具前瞻性的視角。這意味著內部審計要更多地扮演咨詢顧問的角色，我們不能僅僅局限于確認和合規工作，而是要確保內審工作符合組織的戰略，強化我們的價值。在深入探討IIA如何助力內部審計從事后轉向事前之前，讓我們先回顧一下“內部審計2035年愿景”研究對于在咨詢與確認服務之間實現平衡方面有哪些發現，以及這與理想的未來狀況有著怎樣的關聯。

根據調查結果，在被問及理想的未來時，79%的受訪者認為咨詢服務的比例將會進一步增長。內審人員愿意承擔更多咨詢服務，并預計這些服務對他們自身以及所在組織來說都將變得更為重要。但這并不意味著確認服務會消失，即便我們在未來會更加注重咨詢服務。從兩者的占比來看，受訪者普遍認為確認服務仍然應當占據更多的審計資源。通過研究我們也發現，持續提供確認服務依舊很有必要，此類服務能夠提振董事會和管理層的信心，并為加強治理、風險管理和管控提供機會。在所有地區，受訪人員都認為未來內部審計投入咨詢工作的時間占比會大幅增加。在亞太地區，持這種觀點的受訪者接近半數。因此，作為一個職業群體，我們必須超越確認和合規工作的范疇，為整個組織提供建議和戰略性的支持。

在獨立性方面，受訪者中幾乎所有的高級內審人員（首席審計執行官、內審負責人、經理及以上級別的審計人員）都認同內部審計能以積極的方式獨立于管理層開展工作。71%的首席審計執行官（CAEs）目前已經承擔了內部審計之外的其他職責，這些職責大多與舞弊調查、合規、企業風險管理（ERM）以及職業道德等相關。承擔內部審計以外職責的CAE們表示，他們通過獨立的匯報關系、確保運營決策不會干擾審計工作的方式，來維護內部審計的獨立性。盡管內部審計仍然是組織內部唯一針對治理和風險管理的充分性和有效性提供獨立、客觀確認的機構，但由于技能需求和成本考量，一些組織仍然將二線職能納入內部審計的工作范圍。許多CAE的職責正在不斷擴大，這表明CAE比以往任何時候都更迫切地需要與董事會及高級管理層建立直接聯系，以促進有效互動。二三線職能之間界限的模糊也意味著IIA需要啟動對三線模型的進一步研究。

眾所周知，為了保護內審人員以及CAE的獨立性，我們必須確保內部審計始終能以獨立于管理層的方式開展工作。內部審計的獨立性是一種獨特的屬性，能夠強化其咨詢角色的價值。這就是我們將其選為“內部審計2035年愿景”重點關注內容之一的原因。IIA投入了大量資源來保護內部審計的獨立性，新的《全球內部審計準則》中的原則7——“獨立地位”就是有力的證明。

獨立性對于內部審計的未來而言仍然是關鍵。隨著內部審計開展更多的咨詢業務、發揮更大的戰略性作用，內部審計獨立性也會面對更大的壓力。依據新的《全球內部審計準則》中原則7，當CAE具有適當的資格、直接向董事會匯報，且其在組織內的職級能使內審職能在不受干擾的情況下開展工作，那么內部審計獨立性就能夠實現。

五、必須建立人才輸送通道，保證內審職業可持續發展

目前內審人才輸送面臨著嚴峻的挑戰：預計在未來十年內，嬰兒潮一代、經驗豐富的內審人員將會大量退休，傳統上作為審計人才輸送渠道的會計職業正在快速萎縮，內審職能正在與數據分析、AI和網絡安全等熱門行業展開人才競爭，等等。

我們針對在校學生進行了一系列調研，了解有哪些因素阻礙了富有熱情的年輕人進入內審職業。排名靠前的包括對內部審計缺乏了解、內部審計不如其他行業或職業（如外審）看上去有吸引力、對內審職業發展和機會存在誤解等。

為了克服這些障礙，IIA主要做了以下幾個方面的工作：一是與已經有所建樹的組織合作，如推動花旗、埃克森美孚這樣的知名企業開展內部審計的校園招聘；二是推動內部審計被納入大學課程；三是與有關服務提供方合作，特別是會計師事務所；四是大力發展內部審計教育合作（IAEP）項目；五是鼓勵創造實習機會；六是在職業生涯早期為學生提供支持。

為了吸引更多的學生加入內審職業，IIA設置了兩個面向高校的合作項目。其中，IAEP項目是在高校學歷教育中加入兩門（或以上）內部審計方面的核心課程；內部審計認知項目（IAAP）則是與高校合作，開設獨立的內部審計課程。同時IIA還大力推動學生會員項目，免費為學生提供一系列資源。

然而，擴大人才輸送通道需要全體內審從業者的共同努力，只有通過內審職業形象的不斷提升，才能吸引更多優秀人才加入我們，實現職業的可持續發展。

不可否認的是，內審職業在未來10年內將會發生變化。我們是維持現狀，還是欣然接受改變？迎接未來、實現愿景將需要各級內審人員之間的通力協作，需要我們具備應對突發挑戰的適應能力和靈活性，需要外部利益相關者的大力支持，需要具備前瞻性思維，以及對成功堅定不移的決心。

在研究項目的最后，我們向受訪人員提出了一個問題，請他們用一個詞或者一句話來概括未來的內審人員，其中不乏令人激動的暢想。比如，內審人員成為戰略顧問，走在科技創新的前沿，自信地應對新風險和不斷變化的審計環境，等等。也希望全球的內審人員能攜起手來，為實現這一目標共同奮斗。