关于对银行内部审计的调研报告

1、2007年8月30日上午市内部审计师协会*会长、*秘书长及秘书处全体工作人员赴*银行进行内部审计调研。协会同志一进入分局会议室，首先就被墙上“争创学习型组织，学做专家型员工，共建和谐型团队”几个大字所深深吸引，一个生气勃勃、富有时代特色的团队形象耀然眼前。*局长、*专员以推进职业团队建设，提升审计履职能力为题，分别介绍了*银行内部审计有关工作和经验。二位领导的介绍，从审计团队文化的建设到审计技术手段的提升，从内部审计体制改革以增强独立性为核心的主线到内部审计非现场审计分析技术的创新，从内部审计的全面转型到树立内部审计服务产品的理念。使协会同志获益匪浅，有耳目一新的感觉。*局长还就本单位内部审计

2、今后进一步发展的思考和对改进协会工作的建议，提出了十分中肯和有建设性的意见。 通过调研，我们感到他们的经验十分丰富，充分体现了时代的特色和审计署、中内协关于内部审计全面转型的要求。他们的经验主要有： 组织架构的设计与企业治理结构的合理组合保证和促进了内部审计的独立性。目前，*银行的内审体系是向董事会负责的独立垂直的内部审计体系，内部审计局直接向董事会负责并报告工作，内部审计局下属十个分局，分别负责有关区域的内部审计工作，行政系统则另设内控合规部。这种体系的设计是*银行在当前股份公司管理构架下，为完善公司治理结构的一项重要决策。在工作上，内部审计与内控合规部门也有所区别，一是在管辖区域上，实行适

3、度交叉，如*分局负责*、*、*、*二省二市，在管辖区域和领导关系上与*分行无任何关联，确保了内部审计独立开展工作；二是各分局都是受总行内部审计局领导，而内控合规部则是受各地分行领导；三是工作内容上，内部审计侧重于检查有关分行的资产质量、风险状况、内部控制系统的健全性、合理性和有效性、对各分行正职领导的经济责任审计（副职以下由内控合规部进行审计）以及其他专项审计等。而内控合规部则在各级行长、分行行长的行政管理系统领导下开展工作，工作上除了对副职及以下领导人员的经济责任审计外，比较侧重具体的违规及异常问题的检查和审计。整个银行系统内部审计局共计*余人，内控合规部*余人，总计约*人，构成了全行的内部

4、审计监督体系。 审计理念前卫，具有时代特色和符合审计署及中内协关于内部审计实行全面和战略转型的要求。 以内部审计信息化为主线推进内部审计的转型的理念。他们非常重视审计信息化的推进，按照*局长的说法，由于银行业务对信息化系统的高度依赖，以及信息处理的海量特征，IT系统的风险成为银行最大的风险，IT系统的安全是内部审计特别要关注的事项，由于银行的业务已经信息化，审计如果做不到信息化就无法开展工作。随着国内的内部审计标准不断与国际接轨，风险导向的审计模式已日益成为大型商业银行内部审计的主导工作模式。传统的审计手段已经不能适应信息化条件下的风险评估、内控测试与评价咨询的要求，因此迫切需要内部审计部门尽

5、快适应银行业务信息化的发展，加快审计信息化的建设，以提高审计效率，从而全面提高内审部门的履职能力。内审分局依据内部审计局规划的审计信息化发展方向，依托银行业务信息化的环境，结合审计队伍科技能力的现状和审计实践的需要，进行审计信息化的探索与应用。在实施过程中，整体规划，注重实效，稳步推进。 以内部审计的科学化、标准化促进内部审计质量和水平的提高的理念。他们认为内部审计与国外的差距主要就在信息化和标准化上，他们的目标是努力通过科学的内部审计工作流程和评价标准，达到对同一个审计对象，由不同的审计组进行检查，能够得到大致相同的结论，提高审计工作和审计报告的科学性。为此，他们一是设计了标准化的内部审计流

6、程，统一审计工作底稿、辅助审计手段的采用、审计复核的程序、审计报告编制的流程等，并且通过信息化手段将这些标准化的内部审计流程设计到计算机软件中，使得所有现场和非现场的审计人员都必须按照标准化的流程进行审计工作，不可能绕过某个流程保证了审计的质量；二是设计了符合银行特点的非现场监测指标体系，计：财务类195个指标、资产类242个指标、负债类189个指标，通过统一和规范的指标体系和Sourcesafe软件平台产生规范的监测报告，报告的格式和内容都尽可能与国际接轨；三是通过审计项目实践，创建审计知识库和应用网络技术开展远程复核、多级复核和对现场审计人员提供远程支持，利用审计专家集中处理疑难问题，确定

7、重要的审计结论；四是建立工作机制，形成制度管理，如分局内部审计管理手册、分局非现场审计管理办法、分局非现场开发需求、信息系统报名承诺书等。 重点防范系统性缺陷的理念。他们确定分局内部审计工作的重点是：发现全行在效益、风险、管理和发展等方面存在的问题，分析体制、机制与流程上存在的缺陷与薄弱环节；发现个案问题，进而发现可能存在的倾向性问题；发现局部问题，并进而追溯可能存在的系统性问题；发现各级高级经营管理者在经营理念、履职能力和决策能力等方面存在的欠缺与不足。由此可见，他们把内部审计工作定位在重点发现体制、机制与流程方面的问题，倾向性问题、系统性问题和高级经营管理者在经营理念、履职能力和决策能力等

8、方面存在的问题，而不是纠缠于具体的问题上，而后者主要是内控合规部的工作范围。这是与审计署与中内协关于内部审计转型的要求是吻合的。 确立服务的理念。强调内部审计要为组织提供服务，为企业增加价值服务。以审计项目为内部审计的产品，不断开发各种审计服务产品，据介绍分别有年度审计评价、重要管理人员离任和履职审计、财务信息披露审计、新增不良贷款责任认定、个人不良贷款转型审计等数十项；视审计对象为客户，通过创建互动式工作模式辖区行联席会议制度、提供规范的服务产品风险提示报告、建立信息沟通制度、尝试非现场审计合作模式等，还与外资咨询公司*公司合作开展了“客户满意度”调查。 内部审计团队职业化的理念。强调内部审

9、计团队由具有必要的职业资质、职业技能的员工和管理层组成，团队中的每一个成员应具有共同的价值取向、良好的职业素养、规范的专业水准、敏锐的判断能力和严谨的工作作风，能够将内部审计作为一种职业看待；各成员、各部门及相互之间文化认同，崇尚学习，制度先行，专业互补，团结协作，管理和谐；遵循内部审计实务准则、内部审计职业道德规范，客观、公正、独立、专业与持续地为组织提供确认与咨询服务。 内部审计国际化合作的理念。他们与多个国际中介组织合作，通过合作不断进行学习。如与普华永道合作开发风险评估和内部控制系统方案，前述与*公司合作开展 “客户满意度”调查，对有些内部审计事项进行外包等。当然，这些合作一方面是因为

10、银行业务庞大和复杂的需求，另一方面也是由于企业具有一定的开展合作的财力。但是，他们通过国际合作学习到的经验和知识，今后也可以通过协会的工作，为其他内部审计组织所共享。 内部审计团队朝气蓬勃，专业水平高，年龄和知识结构合理，形成了适应商业银行复杂、繁重工作的战斗队伍。 据介绍，目前分行内部审计在编人员共*名，平均年龄30余岁，共产党员占74%，。全部人员中，具有高级职称的*人，中级职称*人；具有研究生学历的占38.71%，其余均为本科学历；具有国际注册认证资格的专业人员占48%，其中已取得CIA资格（国际注册内部审计师）的*人，CIA资格考试已通过1门以上的还有*人。2007年参加CIA资格考试

11、的*人，报考CCSA（国际注册内部控制自我评估师，全英文考卷）的*人；分局对参加上述资格考试的人员给予各方面的支持和鼓励。年轻化、高政治素质、高学历、高资质的内部审计团队为开辟和完成各类审计项目提供了胜任工作的高素质人才基础。通过持续的培训、学习与相应的资格认证增强了自身职业特征以及团队属性，提高内部审计服务质量，推动公司治理和相关管理利益方对内部审计的期望，维持内部审计职业的生存和发展空间。 在职业化团队的建设中注意创造合适的环境和成长的“土壤”。他们把这个环境或者土壤归纳为一个氛围、一个理念、一个平台、一个精神、一个体系。一是营造职业化文化氛围，提出了“争创学习型组织、学做专家型员工、共建

12、和谐型团队”的成长要求。二是倡导职业化工作理念，始终把体现内审价值的理念融合在各项审计活动中，把服务作为内部审计创造价值的工作形式，强化员工是分局的一员，分局是内部审计局的一员，内部审计局是银行的一员的团队理念：三是构建职业化技术平台。依托信息技术、非现场审计技术，引进与开发“公文流转系统”和“分局信息园地”营造规范、高效、有序的企业文化气息。四是培育职业化员工精神。通过培养职业素养，合理进行定向培养和专业化发展，提升个人价值；培养学习能力。树立终身学习的职业理念，鼓励员工积极参加各种执业资格考试和技术职称考试，组织多种形式的专业学习；培养职业观念。倡导正确的道德观、职业观、价值观。五是遵循一

13、体化运作体系。统一安排审计计划，审计资源统一配置，统一运作审计项目，参与全局统一设计方案，统一标准流程，统一培训，统一制定工作手册，统一执行审计作业，完成非现场分析、符合性测试、实质性测试和现场审计等规定程序。 审计手段先进，审计工作富有特色。内审*分局在“信息先行、科技兴局”的指导思想下，依托先进的信息技术平台创建了各种有特色的审计和审计服务项目。 发展现场审计与非现场审计结合加规范化审计管理的工作模式，实现“三个转变”，即逐步实现从单一的事后审计转变为事中审计和事后审计相结合，从单一的静态审计转变为动态审计和静态审计相结合，从单一的现场审计转变为非现场审计与现场审计相结合的新型内审工作模式

14、。以非现场为现场审计提供线索和疑点，而通过现场发现的事实，又可以对非现场的结论加以验证，使现场与非现场审计形成良性互动。逐步形成非现场审计对现场审计的主导作用，非现场审计的工作时间占全部审计工作时间的比重由200*年的*%左右上升为200*年的*%左右。由于非现场审计触及了被审计行未知的风险领域，提交了被审计行未知的重要信息，分局内审职业团队的形象逐步为被审计行所认同；同时以Microsoft SourceSafe与RCAT表的组合应用，实现了现场信息交流与共享、文档管理和流程控制，支撑了主审人、主报告人、质量监督员、审计人员工作职责的细分，探索了前台、中台、后台相分离的审计模式，职业化审计作

15、业与项目管理的雏形初步形成；由于始终将非现场审计视为审计活动中的重要组成部分，要求开展现场审计项目时，前期必须实施非现场审计，实践证明，审计信息化的发展有助于确定审计重点、配置审计资源、降低审计成本、提高审计效率，促进审计管理的规范。由于*分局在发展非现场审计及时方面的成果，200*5年度获得“非现场审计分析组织推动奖”和“非现场审计分析优秀报告奖”。 开发出对辖区被审计行的“风险提示报告”的审计服务产品。通过前述非现场审计监测指标体系（财务类195个指标、资产类242个指标、负债类189个指标）对辖区被审计行的有关指标进行进行系统化监测和对比分析，提出由1个总报告和4个分地区报告的辖区被审计

16、行的“风险提示报告”。这项工作每年进行2次，风险提示报告的格式和内容以及文字等充分借鉴国际先进经验，例如以“风险提示”作为审计报告的名称，大大缩小了内部审计与辖区被审计行的距离；对存在的问题，表述为需要关注的事项；对需要整改的事项，要求被审计行及时进行整改情况反馈，只有对整改未落实的事项再向总行报告等等。 通过数据源的拓展与整合、数据的深度分析和挖掘、非现场监测指标体系的建立与运行以及现场RCAT风险控制评估工具的规范操作等工作，显著地提高了内审人员发现问题、捕捉疑点的能力和准确度，提高了现场审计的效率和可靠性，并大大缩短了现场工作时间，从而也相应减少了被审计单位的工作量，减轻了他们的工作压力

17、。通过信息化手段的运用，内审部门发现的问题、揭示的风险更具有针对性、准确性和系统性，使被审计单位更乐于、更主动地接受内审部门的审计方式、审计结果以及审计建议，有利于及时化解风险，消除隐患，也有利于形成和谐的审计文化和氛围。 应用网络技术，实现现场支持。计算机网络是审计信息化建设的环境基础。在审计时利用银行业务系统的网络优势实现现场组网，做到“信息传递，成果共享；现场数据，非现场分析；质量控制，后台支持”。通过组网，现场审计人员可以及时提交RCAT风险控制评估工作底稿的审计信息，共享审计成果；项目主审人可以在第一时间了解到项目的进展情况，修正工作计划，调整资源配置，指导审计方法；现场收集的数据即

18、刻进行非现场的分析，提高现场审计的效率；尝试在异地进行后台的质量控制和审计支持，为审计模式的创新奠定基础。通过网络化技术，实现了审计工作底稿的远程多级复核，当场处理现场工作中的问题，提高了效率，也使审计报告的生成过程更为简单快捷，报告平台更为透明畅通。这样，通过应用网络技术，实现以后台支持环境对前台审计工作的有力支持。同时他们还准备进一步安排部分审计专家通过远程网络集中处理疑难问题，负责确定重要的审计结论。 注重经验积累，以系统集成的方式，把个人的经验、思路、方法凝聚成全局性的审计智慧成果，固化为具体模型提供团队分享，团队整体的执业能力得到提高；一是要求员工在审计工作中注意把经验转化成指标，改

19、进和补充指标，用信息技术推动监测指标模型化、体系化，推动持续监测工作的开展；二是建立信息平台，强化知识管理。审计管理系统还开发了包含公文流转系统、审计信息园地、审计评价信息系统等功能单元，为审计人员提供了内容全面、信息共享、交流畅通的知识平台，促进了内部管理的规范、高效、有序；三是注意随时总结经验，要求每个项目完成后不仅要写项目总结，还要求写个人的体会式总结，完成一个项目，形成一个方案，形成一个新的平台，提高以后对同类项目的审计水平，实现“打一仗，提高一步”。信息化的审计思维方式，实现了把个人的经验、思路、方法通过数据分析、审计工具的使用，凝聚成全局性的审计思维。 他们在“审计信息系统”的应用

20、中强调项目驱动，创新审计手段；强调抓住任务契机，推动系统运用。在工作中形成了“1+3”（一个技术小组和三个业务小组）的沟通、协调和互动的工作模式，达到了“熟悉系统、锻炼队伍、完成任务”的良好效果。审计基本方式发生了根本性的变革，从以往通过在总体中抽样测试进行审计，以抽样审计的结果来推断总体的方法；变革为应用数据仓库和信息提取方法，使得对总体情况的测试成为可能，从而使得对整体审计的结论更为全面、准确和客观；从审计的信息源来看，直接从信息平台获得的数据，内容更直接、更真实、更全面，大大提高了审计效率和质量。通过有效的非现场风险评估，可以将有限的审计资源向风险程度更高的现场审计重点倾斜；随着业务管理

21、信息化程度提高，非现场审计逐步替代大量的现场审计，大大降低了审计成本，据统计从200*年到200*年，随着审计信息化程度的提高，在完成相同工作量的情况下，投入的人力成本下降了13。同时促进了审计过程的有效管理和审计能力的整体提升，提高了现场审计的效率；在向审计信息化的转型过程中，技术与业务人员的良好互动也正在形成。 内部审计局*分局虽然成立只有短短三年，已经取得了令人瞩目的成绩，但是他们不断进取、不满足于现状的精神也给我们留下了深刻的印象。在进一步发展审计信息化方面，他们提出了建立审计模型和审计标准的数据库，逐步实现风险评估的信息化；充分利用信息化手段提供对现场审计的不间断支持；将审计信息化的

22、应用外沿有效拓展到审计管理的范畴，开发问题跟踪库、开发审计项目管理系统；加强规章制度建设，建立配套的标准化作业流程：建立数据保密授权制度、应用系统的管理制度；加强专业人才和队伍建设等设想。他们认为现代商业银行是风险高度集中的经营场所，如何做好风险管理是商业银行工作的重中之重。作为内部审计部门，更应站在全行高度，认真分析、评估各类银行业务的风险环节，审计信息化必须要跟上甚至超越经营业务的信息化；必须要在实践中不断完善；需要由具体的项目来有效推动，加大对审计现场的支持力度。他们在进一步确定内部审计的独立性、客观性和权威性；进一步关注系统内重大风险、突发事件，增强敏感性；针对银行操作风险管理中最重要

23、的IT风险，进一步加强IT审计技术研究的问题等方面他们正在进行深刻的思考。 对进一步搞好协会工作和推进内部审计工作的设想和建议。 通过调研开了眼界，从*银行内部审计的卓越工作具体地感受到了内部审计实行全面战略转型的前景和效果。*会长在调研中表示，这次调研一是学习，二是服务，三是总结宣传经验。他说，工行的做法起点高，已经在转型方面领先了一步，有思路，有工作理念，有方向，经验很多，有些经验比较成熟。有些观念，如服务的观念，防范在先的观念等等很值得推广。秘书处要认真研究，认真总结。*局长提出上海要成为四大中心，服务业的发展。特别是包括审计业的咨询业将要有一个大的发展要在这个定位下发挥协会的作用，要在金融保险业大力发展会员，可以包括各外地银行、外资法人银行等建议很好。今后协会还要在开展高层次交流方面进行探索。结合在调研中*局长对协会工作提出的建议，对进一步搞好协会工作和推进内部审计工作提出以下初步设想和建议： 扩大会员的工作，在第一步先在市管企业中发展的基础上，可考虑逐步在有条件的中央企业、金融保险企业、上市公司中发展，主要是因为这些单位从目前现状来看，内部审计和内部控制一般搞得比较好，有些在内部