导图社区 CIA-内部审计基础-CH2 内部审计在治理、风险和控制中的
- 203
- 30
- 1
- 举报
CIA-内部审计基础-CH2 内部审计在治理、风险和控制中的
国际注册内部审计师科目一《内部痕迹基础》第二章内部审计在治理、风险和控制的作用 介绍内部审计程序，侧重对审计过程的理解
编辑于2020-02-11 08:39:12
- 相似推荐
- 大纲
CH2 内部审计在治理、风险和控制中的作用
2.1组织治理与内部审计
2100工作性质
内部审计活动必须应用系统、规范、基于风险的方法，评估并协助改善组织的治理、风险管理和控制过程。当内审师积极主动开展工作，其评价结果提供新的深刻见解并考虑到未来的影响时，内审的可信度和价值就得到提升。
2110治理
必须评价并提出改进建议以改善目标治理
战略决策和运营觉此
监督风险管理和控制
推广适当的道德和价值观
确保组织开展有效的业绩管理、建立有效的问责机制
向组织通报风险和控制信息
协调董事会、外审、内审、其他管理层的工作和信息沟通
2110.A1内审部必须针对组织内与职业道德相关的目标、计划和业务，评估其设计、实施和效果
2110.A2内审活动必须评估组织的信息技术治理是否支持组织的战略和目标
2.1.1公司治理
治理的四大基石
①董事会--确保有效的内部控制系统，确定并监控经营风险和绩效指标
②高级管理层--实施风险管理和内部控制、日常计划、组织安排
③外部审计师--应保持独立性，审计与咨询业务分开
④审计委员会（内审师）--增强报告关系上的独立性
（1）目标和受托责任
以企业价值最大化作为公司治理的目标，企业价值最大化既考虑了利息相关者的利益，又体现了股东价值最大化的目标
根本要素在于受托责任。控制系统分为股东会VS董事会，董事会VS高级经理层
（2）相关主体
①利益相关者
②审计委员会
具体职责：
复核内审功能的章程、活动、人员配备以及结构
决定首席的任免、更替确保内审范围不受限制
复核内审功能的有效性
定期与首席会晤讨论重要事项
与管理当局及首席讨论与风险评估和风险管理有关的事宜
③管理层
④内部审计
管理层要求内审人员确认以下活动
有效地识别和监控风险
有效地控制组织过程
确保组织流程是有效的或有效果的
(3)风险和控制的监控
内审的基本治理活动分为“风险监控”和“提供控制确认”
与风险相关的关键活动是
监控风险（识别风险）
评估风险对组织的潜在影响
确定应对风险的策略
“监督”和“控制”是公司治理程序的核心内容
关键是保证控制措施处于正确的位置以处理组织风险
2.1.2董事会与审计委员会
董事会职责
监督风险管理和控制过程的建立、管理和评估，主要分为以下几点：
审查和批准组织的重大战略
监控公司经营
监控组织的发展和战略的执行
监控风险和组织的控制系统
监控组织的活动，并采取措施保证公平对待各股东和利息相关者
审计委员会职责
由独立于管理层的外部董事构成，必须有一名财务专家。具体职责如下:
讨论每一年度和季度的财务报表并提出质疑
评估公司对外发布的所有盈利信息和分析性预测
切实讨论公司的风险评估和管理政策
负责公司内部审计机构的建立及运行
负责聘请注册会计师事务所，给事务所做支付报酬并监督其工作，受聘直接向审委会报告
接受并处理本公司会计、内部控制或审计方面的投诉
有权雇用独立的法律顾问、其他咨询顾问和外部审计师
以上机构对内审实施监督的典型事项
批准内审章程
首席的任免
审核年度内审计划
审核内审的预算
听取首席审计结果报告并责成其对有关事项实施审计或审计调查
检查内审结果的采用情况
2.1.3内部审计在治理的作用
（1）强化风险管理
风险管理是管理管理层的职责，内审的职责是运用风险评估方法和控制措施对风险管理中的充分性和有效性进行检查和评价，并提出改进意见。具体职责如下：
①评价被审计领域的现有风险，并向管理层、审委会报告评估结果
②制定系统评价整个组织风险的计划
③当组织出现真空时领导风险管理活动
④用风险自我评估技术推进风险评价
⑤评价与计算机最新发展状况相关联的风险
⑥协助管理层推行贯穿整个组织的风险模型
风险管理责任传递
董事会应当制定战略目标
风险的所有权应当赋予高级经理层
执行管理层应接纳剩余风险
运营层应当负责持续的识别、评估、减轻和监督活动
内审机构应当定期评价并协助其他部门进行风险管理
（2）提供控制确认
内审人员的职责是保证控制措施处于正确的位置以及在关键位置建立有效的控制定，并将评价结果向相关人员进行报告，具体如下：
①职责范围内测试控制的遵循性
②协助管理层设计综合的评价方案，包括测试整个组织的控制
③协助管理层编制关于内部控制有效性的报告
④识别重大的控制缺陷，包括高层基调的要素
⑤推行计算机测试技术
⑥通过控制自我评估（CSA）技术帮助理解和发展职责领域的控制
待补充CSA内容
（3）评价遵循工作
①评估法律、法规和合同的遵守情况
②监督遵守公司行为规范和商业管理的情况
组织是否建立了关于行为规范和商业管理的到的规范
组织应在多种场合将道德规范向各层次的员工进行讲解，针对部门不同强调的重点不同
组织的代理要参加为他们度身定做的讲座，新员工要进行专门培训
组织保证员工已经阅读、理解并遵守了公司的行为规范和商业管理
组织采取合理措施促进行为规范和商业管理的遵守
高层人员应总体负责家督对行为规范和商业管理的遵守情况
公司行为规范和商业管理是否确认得到遵循
③评估组织向董事会报告的机制
是否建立相关报告机制
报告机制是否充分而有效
机制运转情况和效果如何
④评估业绩测评系统
是否建立业绩测评系统
业绩测评系统是否充分和可以接受
系统是否有效运行
（4）提供咨询服务
（5）报告主要工作
①沟通审计业务计划
工作业务框架报高级经理层审批，董事会备案
中期发生重要变化是，及时沟通
资源不足时，应反馈并告知不足的影响
②定期报告工作
每年至少一次
重要的审计发现和建议，审计工作计划、人才计划和财务预算在执行中出现的重要偏差及其原因
③报告重大审计事项
④报告控制框架的有效性
评价目标-充分性及有效性
评价标准
评价程序
（6）促进文化建设
①评估董事会的道德氛围
②评估组织的道德氛围
③培养良好的企业文化来防范舞弊
2.1.4《萨班期法案》与CIA考试相关条款【待补充更新】
2.2风险管理与内部审计
2120风险管理
内审活动必须评估风险管理过程的有效性，并对其改善作出贡献
2120.A1内审部必须评估下列与组织治理、运营及信息系统有关的风险
组织战略目标的实现
财务和运营信息的可靠性和完整性
运营和程序的效率与效果
资产的安全
对法律、法规、政策、程序及合同的遵循情况
2120.A2内审部必须评估发生舞弊的可能性以及所在组织如何管理舞弊风险
2120.C1在开展咨询业务是，内审师必须关注与业务目标相关的风险，并警惕其他重大风险的存在
2120.C2内审师必须将开展咨询业务过程中了解到的风险情况运用于评估组织的风险管理过程
2120.C3协助管理层建立或改善风险管理过程时，内审师必须避免在实际工作中对风险进行管理，从而承担任何管理层的责任
2.2.1风险术语
风险定义：可能对目标的实现产生影响的时间发生的不确定，并指出风险的衡量标准是后果和可能性
术语
风险事件：
可接受风险
假设某风险发生时所产生的影响可以被主体接受的风险
剩余风险
管理层采取了有关措施，包括应对某项风险的控制活动降低负面事件的影响和可能性之后仍然存在的风险。
审计风险
审计人员对实质上误报的财务资料可能提供不适当意见的风险。审计风险=固有风险*控制风险*检查风险
固有风险
假定不存在相关的化解风险的控制措施，信息或数据对重大错报的敏感性
控制风险
由于内部控制的局限性，不能通过内部控制结构、政策或程序及时被预防和发现的风险
检查风险
由于审计师不能保证100%的检查或审计程序不当而没有发现存在的某些风险
风险偏好
组织对风险的态度，对风险事件的容忍程度，分为爱好、中性、厌恶
风险容忍度
与实现一项目标相关的可承受的偏离程度
风险应对
管理当局为控制风险而采取的一系列程度，旨在把风险控制在主题的风险容限和风险容量以内
市场风险
市价波动对于企业营运或投资可能产生亏损的风险，如利率、汇率、股价等变动
会计风险
会计处理与税务对企业盈亏可能产生的风险，如账务处理的妥适性、合法性、税务咨询及处置是否完备。
2.2.2风险要素
风险要素指的是引起或增加风险事故发生的机会或扩大损失幅度的原因和条件。风险要素越多，风险越高
有形风险因素
物质方面的因素
无形风险因素
道德风险因素
以不诚实、不良企图、欺诈行为故意促使风险事故发生，或扩大已发生的风险事故所造成的损失
行为风险因素
由于行为上的粗心大意和漠不关心，易于印发风险事故发生的机会和扩大损失程度的因素
2.2.3风险管理
风险管理的定义
识别、评估、管理和控制潜在事件或情况的过程，目的在于为实现组织的既定目标提供合理保证
风险管理是管理成的一项主要职责，从职能来说，就是在对风险进行观察、评估的基础上控制风险可能造成的损失，保证组织目标的实现
（1）风险管理框架
①COSO的企业风险管理框架
四类目标
战略
运营
报告
合规
组织维度
主体层次
分部
业务单元
子公司
八大组成部分
内部环境
目标设定
时间识别
风险评估
风险应对
控制活动
信息与沟通
监督
②ISO31000全面风险管理
流程因素评价法
分7要素进行审计
沟通与咨询
确定环境
风险识别
风险分析
风险评价
风险应对
监控与检查
关键原则评价法
依据风险管理的11项主要原则进行评价
风险管理创造和保护价值
是业务流程的组成部分
是决策的组织部分
能够明确不确定性
是系统的、结构化的和及时的
依赖最有效并适合组织的信息
符合组织的运营
考虑人和文化因素
具有透明度和包容性
动态的、反复的，以及能应对变化
促进持续改善和组织强化
成熟度评级法
风险管理的演变进程从关注合规性到关注有效的风险处理，可以对照预期和发展目标衡量进度情况。
（2）风险管理技术
①回避风险（避免风险）
中止、放弃
②预防风险（控制风险）
预防措施
③保留风险（自留风险）
理性或非理性主动承担风险
④转移风险（分担风险）
外包、合并、多元化、套期、保险
2.2.4以风险为基础制定计划
2.2.5内部审计在风险中的作用
内审活动应当帮助组织识别并评价重要的风险暴露，并促进风险管理和控制系统的改进
（1）内审在风险管理中的角色
风险管理过程中，在一个组织内部应当有职责分工，战略方向的确定由董事会或委员会负责；风险的归属由管理高层分配；对剩余风险的接受可以由执行管理层决定；持续的确定、评价、减缓和检测活动可以由操作层人员决定；定期评价和保证工作由内审部负责
（2）尚未建立风险管理的情形
避免参与风险归属问题
2.3内部控制与内部审计
2130控制
控制的定义
管理层、董事会和其他方面为管理风险、增加实现既定目标的可能性而采取的任何行动。管理层负责计划、组织并指导实施充分的行动，为实现目标和目的提供合理保证。
内审部必须评估控制的效果和效率，并促进控制持续改进，从而协助组织维持有效的控制
2130.A1内审部必须针对下列组织内部治理、运营和信息系统等风险的控制的适当性和有效性
2130.C1内审师必须将开展咨询业务过程中了解到的控制知识运用于评估组织的控制过程
2.3.1控制类型
（1）时间分类
①前馈控制
事先的管理活动
培训
预测
预算
实时计算机系统
②同期控制
活动中的控制
监督视察
③反馈控制
事后与标准、预算对比后采取的措施
客户回访
完工产品检查
差异分析
监督退回
优点
提供真实信息
增强员工积极性（绩效反馈）
缺点
损失事后才获得
（2）功能分类
①预防性控制
信用审核
招投标
职责分析
检查单
密码
授权
②检查性控制
检查比较
银行对账单
实物清点
对账
③指导性控制
各种政策、指南和手册
胜任能力
要求最低利润率的保证
要求出勤率
④纠正性控制
事后报告
例外报告
纠错程序
⑤补偿性控制
（3）范围分类
①组织层面
②流程层面
③交易层面
（4）属性分类
①硬控制
可量化、客观
②软控制
定性、主观
（5）信息系统控制分类
①一般控制
②应用控制
输入控制
过程控制
输出控制
2.3.2管理控制技术
控制三重曲
一是衡量实质绩效
二是将实际绩效与标准进行比较
三是采取管理行动来纠正偏差
具体方法
（1）预算
（2）成本控制
①目标成本法
通过市场调研确定客户愿意支付的价格，客户收入-目标要求利润贡献=目标成本
②作业成本法（ABC成本法）
记录每项过程的单独成本，进行细化
（3）库存控制
①预防型控制
交易取消标记
预编号形式
有效性检查
双人控制
②检查型控制
批处理总数
限制检查
合理性检查
数位校验
③纠正型控制
例外报告
前后图像报告
日志
（4）项目控制
①范围变化控制
②质量控制
③工期控制
（5）财务控制
（6）因果分析法
（7）ABC时间管理法
A-必须做
B-应该做
C-可以做
（8）帕累托分析
二八法则
（9）直方图
（10）相关分析
2.3.3COSO内部控制框架
（1）COSO框架的概念
①一个过程
②人员
③合理保证
④目标
（2）COSO框架的目标
①运营的效果和效率
②财务报告的可靠性
③遵循适用的法律和法规
（3）COSO框架要素
①控制环境
董事会和管理层对组织内控重要性的态度和措施
包括以下
诚信和职业道德价值观
管理层的理念和经营风格
组织结构
权力和职责的划分
人力资源政策和事务
人员的胜任能力
②风险评估
在既定的经营目标下分析并减少风险（独特之处）
风险评估三方面
估计风险的重要性
评估风险发生的可能性或频率
考虑如何管理风险以及评估应采取哪些措施
③控制活动
④信息和沟通
内部沟通
外部沟通
⑤监控
风险评价
控制措施
（4）COSO原则
控制环境
①组织对正直和道德价值观作出承诺
②董事会独立于管理层，并对内部控制的推进和成效进行监督
③管理层在委员会的监督下，围绕其目标建立健全组织架构、汇报关系以及合理的授权和责任机制
④组织对吸引、发展和保留认同组织目标的人才作出承诺
⑤组织本着实现其目标的宗旨，让员工各自担负起内部控制的相关责任
风险评估
⑥就识别与评估与其目标相关的风险，组织作出清晰的目标设定
⑦组织对影响其目标实现的风险进行全方位的识别和分析，并以此为基础决定如何管理风险
⑧组织在对影响其目标实现的风险进行评估时，考虑潜在的舞弊行为
⑨组织识别和评估可能内部控制体系造成较大影响的改变
控制活动
⑩组织选择并开展控制活动，将风险对其目标实现的影响降到可接受水平
（11）针对信息技术，组织选择并开展一般控制活动以支持其目标的实现
（12）组织通过合理的政策和确保其得以贯彻执行的程序来开展控制活动
信息和沟通
（13）组织获取或生成信息，并使用相关的、优质的信息来支持内部控制发挥作用
（14）组织在其内部沟通传递包括内部控制的目标和责任在内的必要信息以支持内部控制发挥作用
（15）组织与外部相关方就影响内部控制发挥作用的事情进行沟通
监控
（16）组织选择、推动并实施持续和独立的评估以确认内部控制的要素是存在且正常运转的
（17）组织及时评价内控的缺陷，并视情况与那些负责采集纠正措施的相关方（董、高）进行沟通
2.3.4其他内部控制框架
（1）COCO模型
①宗旨
组织应建立目标并在组织内传达
组织应确定并评估在其实现目标的过程中所面对的各种内部和外部的重大风险
组织应制定、传达并执行那些能帮助组织实现其目标、管理器风险的各种政策。这样人们将会明白组织对他们的期待以及他们做事的自由度
组织应制定并传达并执行那些能帮助组织实现其目标的各种计划
目标和相关的计划应包括可以测量的绩效目标和指标
②约定
组织应建立并在组织内传达和实施共同道德价值观
人力资源政策和实务应与组织的道德价值观一致，并有利于实现组织目标
应明确界定权力、职责和责任，并与组织的目标相一致，并有利于实现组织目标
应该在组织中培育一种互信的氛围，以便信息能够在人们之间顺畅地传递，并有助于实现组织目标
③能力
员工应具备必要的指示、技能和工具来支持组织目标的实现
沟通程序应支持组织的价值观并有助于组织实现目标
应界定何为充分且相关的信息，并及时沟通信息，以使人们能够履行他们的职责
组织中不同部门的决策和行动应当相互协调
控制活动是组织中不可缺少的部分，在设计控制活动时应考虑组织的目标、实现组织目标的风险，以及控制要素之间的相关性
④监控和学习
组织应监控外部和内部的环境因素，以便获得哪些能够表明需要对组织的目标和控制进行重新评估的信息
应根据组织目标和计划中确定的目标和指标来对绩效进行监控
应定期对组织目标和制度建立的假设前提进行质询
当组织目标改变了或确定了报告缺陷时，应重新评估信息需求和相关的信息系统
应建立和实施跟踪程序，以确保进行适当的改变，采取适当的措施
管理层应定期评价组织中控制的有效性，并将评价结果告知对控制负责的人员
2.3.5信息技术控制模型
2.3.6内部审计在控制中的作用
（1）内审人员在控制中的作用
确认业务
目标完成情况
程序执行情况
咨询业务
关注业务与目标是否一致
过程中发现及评估中重大风险暴露
（2）不同的组织结构在控制中的作用
管理宽度
管理层次
2.4内部审计活动的其他角色和职责
2.4.1舞弊风险意识
舞弊定义
任何一欺骗、隐瞒或违背信用为特征的非法行为。这些行为不依靠暴力和胁迫。
（1）舞弊类型
①为组织谋利的舞弊
出手或分配虚构或误报的资产
进行非法政治捐赠、行贿、提供回扣，向政府官员或其代理人、客户或供应商支付酬金等不当行为
故意错报或错误评估业务交易、资产、负债或收入
故意对转移支付进行不当定价
进行故意的不当关联交易方交易
故意没有记录或披露重要信息，这些信息有助于外部团队更了解组织的财务情况
开展明令禁止的商业活动
税务诈骗
②为个人谋利的舞弊
收受贿赂和回扣
将在正常情况下给组织带来利润的交易转移给外部
贪污，挪用资金，篡改财务记录
故意隐瞒或错报事项或数据
要求为实际上并未提供给机构的服务或商品支付款项
（2）白领犯罪
有目的性的舞弊（偷窃、侵占和腐败）
破坏财产（产业破坏）
疏忽（产品责任）
违反国家关于环境污染的规定
违反公司规定
不恰当定价管理
不真实广告
不安全和不健康产品
股票舞弊
税务舞弊
（3）危险信号法（红旗标志法）
局限性
1.红旗并不意味着存在舞弊行为已经发生，而只是警示信号
2.如果不借助风险分析法，一些红旗标志难以被量化和评价
3.没有红旗标志的控制点或行为，也可能存在舞弊
4.红旗编制并非作为审计业务正常内容来收集
（4）危险信号类型
①审计循环危险型号
1.收益包括记录的应收账款和收到账款
不合理的异常增长
高运输量与低销售量的差异
缓慢的应收账款回收周期
有争议的应收账款核销记录
2.支出包括与业务运营成本有关的债务
采购部门、薪酬部门的较高的换人频率
一两个供应商的超常采购量
一个供应商对应多项汇款地址
未经授权的工资增长
容易接触空白工资支票或支票签发系统
大量手工工资支票
有计划地将退回货物登入明细账
允许采购员收取订单
3.生产集中在于生产与销售的产品或服务有关的成本
经常产量过剩
大量废料
对仓库和运输地点没有建立进入控制
反常地高维护和维修成本
存货周转率与生产周期不一致
标志运输标记却没有运走的货物
4.财务包括或有负债和发行流通的股票
采用新核算方法前重要数据的重大变化
销售额和应收账款不一致
申请贷款前拖迟发布财务报表
②环境危险信号
宏观环境
激烈竞争环境
刚被撤销管制或控制效率低下的企业
某行业或文化中存在的不诚实或违反法律法规的风气
微观环境
由于某一件事导致对资金的需要
重组
没有对所有人进行组织道德规范教育
③行业特有的危险信号
金融行业
虚假贷款
保险行业
欺诈索赔
向不存在客户支付
错用方式
制造业
成本虚高
能源行业
难评估资产及
④犯罪者危险信号
机会类
拒绝休假
自愿承担会计、记录有关的雇员
倾向于与某些客户建立亲密关系
存在不断危险的氛围
没有得到和解的案例或者没有对未能和解的案例进行调查
某管理人员在某一特定岗位时间过长
动机类
与家庭收入不一致的生活方式或财产
夸耀拥有的财产
高负债
满足公司或家庭目标带来的压力
挣大钱的强烈欲望
过多涉入挣钱计划（不动产购置）之中
合理化
低标准的道德意识
过去破坏法律或非正当地利用职业的精力
由于不良习惯或无恶意的性格缺陷而产生的违规行为
对雇主或上级不满
其他类
抱怨某位雇员的方式
雇员忠诚度或参与度突然下降
突然辞职或回答时闪烁
在审计过程中缺少合作态度
⑤管理舞弊
⑥财务报表危险信号
虚假利润
收入盈利异常增加
多次负现金流而收入增长
与不知名公司发生销售
已入营业收入但缺少证明性文件
不适当的资产价值
存货数量变化
费用性支出作为资产性支出
相信主观确认的价值
异常的低费用或采购开支
减少应缴纳税款的的错误
损失额度低于组织类似规定的
不适当的披露
权力过于集中
⑦舞弊实施方法危险信号
没有解释清晰的差异
现金或存货的异常短缺
文件丢失或对文件修改
发票上项目与收费代码或业务职能无关
多个不同供货商的邮箱地址一致
2.4.2道德建设
（1）内部审计师应当遵循以下步骤评价机构的遵循项目
①组织应该制定遵循性标准和程序让其员工和其他代理机构遵守
②机构高层的具体人员应该总体负责监督对标准和程序的遵守情况
③机构应该行使合理的审慎，避免将实质性的可控制权授予机构或通过职业审慎应该知道有违法乱纪企图的热源
④机构应采取步骤将其标准和程序向所有雇员和其他有关代理人进行有效宣贯
⑤机构应该采取合理步骤促成对其标准的遵守
⑥应该通过恰当的纪律机制连贯一直地实施标准
⑦在发现违法行为后，机构应该采取合理步骤对违法行为作出恰当反映并防止类似的错误再次发生。
（2）内部审计活动
内审活动至少应定期评估组织道德氛围的状态以及组织战略、战术、沟通的效果，以及在实现理想层面的法律和道德遵循性方面的其他过程的效果
2.4.3隐私
2.4.4信息安全
2.4.5电子商务
电子商务活动审计的主要内容有
评估内部控制结构，包括管理高层的基调设定
对目的和目标的实现提供合理的保证，确定是否可以接受风险
了解信息流动
审核接口问题，并评价业务持续和灾难恢复计划