企业内部审计调查报告书

2009年内部审计热点问题调查报告摘要 2008 年始于美国的金融危机席卷全球，它不仅重创了国际金融系统，并且对各国的实体经济产生了巨大的影响。可以预见这场金融危机将不仅深刻地改变国际政治、经济格局，同时也将改变处于微观层面的企业的经营模式、经营理念等，而作为公司治理结构中重要组成部分的内部审计，如何从这场危机中吸取经验，总结教训？如何使得作为风险防范的“第三道防线”的内审部门能够以此为契机更好地发挥“保驾护航”的作用是内部审计界共同关心的话题。为了及时了解本次金融危机对内部审计的影响，我们组织了这次调查。首先，金融危机以及由此带来的企业对风险控制的关注提高了内审在公司治理中的地位，调查显示，84%的受访者认为金融危机使得企业主要领导提高了对风险管理和内部控制的重视程度，而同时60%的受访者认为金融危机使得企业主要领导提高了对内部审计的重视程度，从中可以看出，越来越多的企业领导认识到内部审计在风险防范工作中的重要作用；其次，随着财政部等五部委企业内部控制基本规范的正式出台及相关应用指引（征求意见稿）的发布，内部控制体系建设逐步成为企业管理者关注的话题，92%的受访者认为企业将根据内部控制基本规范加速实施内部控制体系建设，88%的受访者同意内部控制基本规范将成为内部控制审计的重要工作标准和依据，同时，我们注意到，仅有33%的受访者认为企业的内部控制审计已经常规化、机制化；第三，在风险管理审计方面，由于受制于企业风险管理体系建设的滞后，风险管理审计普遍停留在理念层面，仅有17%的受访者认为本企业已经系统、全面地识别并评估了相关流程中的风险，仅有38%的受访者认为企业的内部控制的年度内部审计计划是以风险为基础制定的，仅17%的受访者很清楚风险管理审计的工作模式、工作流程并已经建立了技术方法和工具。上述结果表明，国内企业已经认识到内部控制及风险管理的重要性，并对内部审计提出更多的要求，内部控制审计的基础日趋成熟，正在向纵深发展，而风险管理审计尚处在萌芽阶段。一、调查背景在中国内部审计协会第五届理事会第六次（扩大）会议暨新中国内部审计制度实施25 周年研讨会期间，内部审计协会及德勤就有关金融危机对企业内部审计的影响、内部控制审计以及风险管理审计的一些热点问题开展了问卷调查。本次调查旨在实现以下几个目标： 了解金融危机对企业内部审计的影响； 了解自财政部等五部委企业内部控制基本规范颁布后，企业在内部控制审计以及风险管理审计等方面所开展的工作以及存在的问题。本次调查采取现场填列问卷表形式开展。问卷的设计主要关注了与内部审计相关的三个方面，即金融危机对内部审计的影响、内部控制审计以及风险管理审计，回收问卷100余份。二、调查结论概述本次调查涉及政府机关、企事业单位，其中企业广泛分布在七个行业，包括航空与交通运输服务行业、能源与资源行业、金融服务行业、制造业行业、房地产行业、科技传媒电信行业及其他行业，因此调查结果比较全面地反映出内审工作在各类型单位中的实际情况。具体问题及反馈情况可参见附件一。通过对调查结果的分析，我们可以看到内部审计工作在实际开展中既存在令人欣喜的“亮点”，又有催人深思的“难点”，具体来说，表现为以下两个方面：亮点1：金融危机为内审的地位提升和转型提供了良好契机内部审计作为企业自我约束机制的重要组成部分，其在企业风险防范的过程中理应发挥着重要的作用。国资委中央企业全面风险管理指引中对企业的风险管理工作提出三道防线，即“各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线”。而在现实中，由于我们国家的内审工作起步晚，部分企业对内审在促进企业发展、实现风险防范的作用认识不足，管理层“对内部审计职责和功能的认识仍然留在查错纠弊的层次上，或者将审计工作与纪检监察工作等同起来或相混淆，将其定位在查处违法违纪违规上，有的甚至将企业自主经营与加强内部审计工作对立起来”，而在本次调查中，84%的受访者认为，金融危机使得企业主要领导提高了对风险管理和内部控制的重视程度，而内部审计作为公司风险管控的重要的一环，对其重视程度也相应地提高，有60%的受访者明确表示因金融危机使得企业主要领导提高了对内部审计的重视程度，65%的受访者表示内审定位发生了转变，现在在审计工作中事前事中审计增多，内审人员更多地参与了流程前端的风险防范工作，这表明金融危机为企业管理层对风险控制以及内部审计的观念转变提供了良好的契机。亮点2：内部控制审计的基础日趋成熟，正在向纵深发展内部控制审计在国内的发展时间不长，在国内整体公司治理不规范，基础管理工作不到位的情况下，其发展受到比较大的影响。因此，内部控制体系的健全与否对开展内控审计工作具有重要的意义。德勤曾连续两年在上市公司中进行了有关内部控制体系建设的调查。在2007 年的调查中，大多数接受调查的上市公司的内控体系建设正处在初级阶段，仅有20%的上市公司认为自身现有的内部控制体系能够完全满足监管要求。2008 年的调查显示上市公司的内部控制体系建设有了显著的进步。有44%的公司非常自信地认为本公司已经建立了内部控制体系，包括完善了相关制度，落实了内部控制建设和监督检查的职责，并编写了完整的内部控制文档。而本次调查显示：有92%的企业表示会依据企业内部控制基本规范开展内控体系建设； 88%的受访人员表示考虑将基本规范及应用指引作为内部控制审计的重要工作标准和依据，已经有38%的受访者认为企业的内部控制年度内部审计计划是以风险为基础确定的。虽然调查展现出令人欣喜的亮点，但还是存在着一些问题或者说是难点，需要在今后的工作中予以关注，归纳起来，大至有以下两个方面：难点1：内部控制审计仍然缺乏可执行的标准和依据虽然绝大多数企业表示会将企业内部控制基本规范作为内部控制审计的基本框架，但无论是企业内部控制基本规范还是具体的应用指引（征求意见稿），从操作层面上看还是过于笼统，因此调查中仍有高达62%的受访者认为内部控制审计的最大难点是缺乏具体的标准和依据。并且就从内部控制审计的执行情况来看，仅有33%的受访者明确表示本企业的内部控制审计已经常规化和机制化，而有35%的受访者表示本企业的内部控制审计未常规化和机制化，其他的表示不清楚。这表明，虽然从管理层面内部控制审计的重要性已经得到认同，并且从理论层面也解决了方向性问题，但由于内控审计本身在国内还处于一个发展阶段，在实施的技术以及机制等方面还有很多工作需要完善。难点2：风险分析技术的运用以及风险管理审计工作的开展仍停留在理念阶段风险管理审计与传统的内审工作相比，在技术工具的使用上有较大的差别，特别是在风险识别和风险评估方面。而根据我们的调查，仅有21%的受访者认为本企业的内审人员在上述方面已具备了足够的能力。具体到内审部门对公司总体以及各业务活动的风险偏好/风险承受度等的了解，仅有37%的受访者认为，他们比较清楚地了解，其他人员则表示不清楚或不确定。这表明，快速提升内审人员自身在风险管理方面的知识和能力是未来推动风险管理审计工作的重要的一步。另一方面， 公司风险管理体系的建立相对滞后也对风险管理审计产生重要影响。风险管理审计作为企业风险管控体系的重要一部分，其发展成长是与企业整体的风险管理体系的发展密切相关的。但由于企业风险管理体系还处于初步阶段，如17%的受访者表示公司已经系统、全面地识别并评估了公司各项流程中的风险，37%的受访者认为企业已经建立了面对重大风险的风险预警及报告机制，以上数据表明，还有大量的企业未能建立完整的风险管理体系，因此也制约了风险管理审计技术的发展及应用。三、下一步工作建议在中国内部审计协会第五届理事会第六次（扩大）会议上，王道成会长提出内审协会09 年工作思路“-继续坚持以推进内部审计全面转型与发展、充分发挥内部审计免疫系统功能统领工作全局，以探索开展风险导向审计方式方法为重点，以宣传内部审计转型与发展良好实践、探索建立和实施内部审计准则执行机制为手段”。根据王道成会长讲话精神以及本次调查分析的实际情况，我们建议，针对企业在内部审计方面存在的难点，结合有关法规或标准，落实以下具体工作：工作建议1：以财政部等五部委的企业内部控制基本规范的实施为契机，进一步深入研究内部控制审计的工作模式和方法，加大内部控制审计在内部审计工作中的比重，促进公司内控体系建设，具体包括： 结合公司业务目标和风险以及企业内部控制基本规范，制定或完善内部控制审计标准，包括明确内部控制测试的方法、工具以及工作模板等； 明确内部控制审计范围，不仅应覆盖具体的产供销及人财物等业务流程，而且要对公司的战略、组织结构、企业文化、社会责任、公司治理等“软控制”进行评估和审计； 将内部控制审计与传统财务收支审计、经营绩效审计以及经济责任审计等有机结合，互为补充； 着力培养IT 控制审计人才、探索IT 控制的审计方法。工作建议2：在理念探讨的基础上，尽快探索风险管理审计的工作模式并逐步运用风险管理技术，具体包括： 正确定位内部审计在企业风险管理中的角色，从以下角度尝试开展风险管理审计，例如： 协助组织确定日常风险管理是否与其风险承受能力相匹配； 确定组织是否恰当考虑了风险的相互影响； 研究消除风险管理低效的手段； 提供主要风险领域（如并购、海外拓展以及舞弊等）的专业知识和意见； 参与风险控制的改善与设计，协助执行和诠释风险评估； 为公司员工提供风险管理技术培训。 优先推行风险评估基础上的年度审计计划，并在常规审计过程中，提升风险识别、分析、评估的技术方法和手段，研究企业风险应对策略和方案，逐步推进风险管理审计的开展； 对于已经开展企业风险管理体系建设的公司，内审应该考虑对企业风险管理的全流程进行定期审计。总之，内审人员要看到“危中有机”，以危机和风险管理为契机，实现内部审计的合理转型，并在改善企业成本、提升企业运营效率等方面发挥更大的作用。德勤企业风险服务部多年来致力于内部控制、风险管理以及内部审计的研究与专业服务，配合国内外监管机构、专业团体持续关注有关领域的动态及最佳实践，“经验分享、共同进步”，德勤力争为开创中国的内部审计事业新局面持续投入。附件一：调查问卷列表及反馈分析本次调查涉及18 个问题，包括：（一）金融危机对内部审计的影响1. 金融危机使得企业主要领导提高了对风险管理和内部控制的重视程度.2. 金融危机使得企业主要领导提高了对内部审计的重视程度.3. 未来两年，审计的工作重点将根据金融危机的影响进行调整.4. 金融危机发生后，内部审计的定位发生了变化（如事前事中审计增多，更多地参与流程前端的风险防范等）.5. 未来两年，舞弊风险是内部审计的重要关注点.6. 未来两年，IT 风险审计是内部审计重要发展的方向.（二）内部控制审计7. 企业将根据内部控制基本规范加速实施内部控制体系建设.8. 企业已经建立了内部控制体系，包括完善了相关制度，落实了内部控制建设和监督检查的职责，并编写了完整的内部控制文档.9. 内部控制审计最大的难点是缺乏有关标准和依据.10.内部控制基本规范将成为内部控制审计的重要工作标准和依据.11. 企业的内部控制审计已经常规化、机制化.12. 企业的内部控制的年度审计计划是