导图社区 CIA-内部审计实务-CH1管理内部审计职能
- 267
- 20
- 2
- 举报
CIA-内部审计实务-CH1管理内部审计职能
国际注册审计师 CIA-内部审计实务-CH1管理内部审计职能
提示: 本内容由社区用户上传并分享。平台不对内容的真实性、合法性、知识产权归属及是否侵害第三方权利进行事前审核或保证。本内容可能包含受版权保护的图片、字体或其他第三方素材，使用前请自行确认授权范围。
- 相似推荐
- 大纲
第1章 管理内部审计职能
1.1 内部审计的战略角色
1.1.0 一个健全的治理结构的四要素
(1)董事会
确保有效的内部控制系统，确定并监控经营风险和绩效指标；
(2)高级管理层
实施风险管理和内部控制，日常计划、组织安排；
(3)外部审计师
应保持独立性，审计与咨洵业务分开；
（4）审计委员会（内部审计师）
增强报告关系上的独立性。
1.1.1 三道防线的战略定位
（1）三道防线模型
一览图

①第一道防线：业务运营管理层
运营管理层对风险管理和控制承担直接的责任
他们也负责执行流程以及问题的纠正和改进
具体责任
识别、评估、控制和处理风险
监督内部政策和流程的执行
保证各项措施对企业或组织经营目标的有效支撑
②第二道防线：风格管理和其他合规部门
建立各种与风险管理以及控制相关的职能，来支撑第一道防线
具体责任
协助管理层制定政策、定义角色和职责，制定目标
提供风险管理框架
识别已知的或新兴风险
识别企业风险接受程度的变化
协助管理层设计管理风险和问题的流程、制度、控制机制
提供关于风险管理流程的指导和培训
促进和监督业务运营管理层执行有效的风险管理措施
提醒业务运营管理层新兴的业务风险和法律法规的最新变化
监督业务内部控制的充分性、报告机制的准确性和完整性、对法律法规的合规 性、内控缺陷纠正的及时性
③第三道防线：内部审计。
内部审计在组织中具备高度的独立性和客观性，可以为董事会和高级管理层提供综合的确认服务，这种髙度的独立性和客观性是第二道防线职 能部门所不具备的。
（2）三道防线的关联协助
笫一道防线 第二道防线 第三道防线 职能部门 业务运营管理者 风格管理和其他合规部门 内部审计 职资 风险的管理贵任人 风险控制和合规控制 风险确认 独立性 不独立 不完全的独立性 更高的独立性 报告关系 向高级管理层报告 向高级管理层报告 向公司治理机构报告
1.1.2 内部控制和风险管理成熟度评估
能力成熟度模型（CMM)常被用于评估内部控制和风险管理的成熟度。它以增量 方式逐步引人变化，并分为五个等级
成熟度等级 描 述 等级一：简易级 过程是临时性的。 结果通常有赖于个人的努力和技能。 等级二：可重复级 过程是: ，非正式的； ，没有良好沟通； ·没有良好执行。 等级三：已定义级 过程是： ·充分正式的； ·不总是被良好沟通； ，执行得不一致； ·不总是有效; ·不总是高效。 等级四：可持续级或已管理级 过程是： ·正式的； -良好沟通； ·良好执行； ·有效； ·不总是髙效； ·对于监控和关键绩效指标（KPI）而言，不总是优的。 等级五：优化级 过程是： 是最优的; ，有效.， ，高效; ·最佳实务的典范（设计和执行）； ·有效监控的典范。
1.1.3 变革管理
(1)促进变革
理想的情况是组织的管理人员成为变革的设计者和推动者，而不是变革的受害者
在一些咨询项目中，内部审计师可以充当变革促进者的角色
在确认业务中，内部审计师首先应该了解那些正在进行中的变革或者曾经参与过的变革
(2)变革模式
战略式变革
转变企业生产经营和长期发展的战略和目标
根本性变革
企业的战略变革往往具有创新性和革命性
组织结构变革
大多是由内部和外部环境因素引发的
外部因素
政治经济形势
市场环境
企业购并重组
客户需要
内部因素
新产品的生产和营销
人员结构和技术状况的变化
组织结构变革使得原有的金字塔形组织结构向扁平化结构转变
改变组织效率低下、 人浮于事
技术变革
技术变革是由于经济环境发生变化，导致需求变化而产生的，生产技术的变革必然引发管理技术的变革
流程再造
于对组织的一些基本问题（如组织的宗旨、组织的战略 目标和组织的市场KPI标等）的重新思考而进行的整体流程取新安排，以更加适应组织的宗旨和满足市场的耑要
强调重新开始做正确的事，而不是纠正已经发生或正在发生的错误的事
文化变革
落后的企业价值观往往以自我为中心，管理层次繁琐复杂、办事效率低、相互排挤和缺乏信任、个人利益高于一切
管理者必须为企业建立新的价值观，以团队精神为核心，建立团队导向、成采导向、相互信任、分工明确、企业利益高于一切的企业文化是企业成功变革的重要保证
(3)应对变革
造成阻力的原因
不确定性，变革会使已知的东西变得模糊不淸和不确定，会使人产生风险感并 可能怀有敌意
关心个人得失，变革会使人担心失去既得利益
变革不符合组织的目标或最佳利益
通过以下方式克服抵制行为，以推动变革
沟通和教育
向员工说明变革的必要性，及变革后个人角色的变化，对个人担 心的问题进行充分的交流，使员工理解变革方案
参与和投入
倡导员工在变革中参与讨论，并进行自我角色的转变和个人对新角色的设计等
协调和支持
对员工出现的积极行为和态度进行肯定，对员工在角色转换过程中出现的困难和努力给予支持和协助，安排时间进行培训指导，推动员工对新角色和新 任务的适应与熟练
谈判和协议
对员工反映强烈的问题，可以通过谈判与协商的方法，或妥善安排，尽可能降低冲突与矛盾
操纵和协作
对一些敏感问题可以分步骤、有计划进行披露，以免所有的矛盾都集中在一个时间一种场合爆发但必须对所有问题都有应对的方案和解决措施，以免员工产生受欺骗的感觉
明确或暗中胁迫
对难以达成协调意见的问题，只能采取组织的强制性来落实，当然要对抵触情况进行缓冲，对员工进行适当补偿
1.1.4 审计委员会
（1）治理角色
①董事会与审计委员会
总体职责
审查和批准组织的重大战略；
监控公司经营；
监控组织的发展和战略的执行；
监控风险和组织的控制系统；
监控组织的活动，并采取措施以保证公平对待各股东团体及其他利益相关者
审计委员对董事会的帮助
外部董事构成，其成员都是一些专门的、合格的外部董事群体，他们能理解、监控、协调和解释整个机构的内部控制和相应的财务活动。
第一，它明确了董事会的各种职责，提高了董事会效率；
第二，有利于董事会直接参与公司的重大决策，并获得经营信息；
第三，增加了非执行 董事对公司事务的参与。
②管理层
管理层显然是公司治理的推动者
高级管理层需要以个人名义在财务错弊、内部控制、道德规范等方面承担更大的法律资任
③内部审计
内部审计经常被要求服务于两个对象：负责治理的人和被治理者
管理层经常要求内部审计人员帮助提供下列确认活动：
有效识别和监控风险
有效控制组织过程
确保组织流程是有效率的或存效果的
（2）审计委员会的职责
审计委员会的主要职责包括：
讨论每一年度和季度的财务报表并提出质疑
评估公司对外发布的所有盈利信息和分析性预测
切实讨论公司的风险评估和管理政策
负责公司内部审计机构的建立及运行
负责聘注册会计师亊务所，给事务所支付报酬并监督其工作，受聘的会计师事务所应直接向审计委员会报告
接受并处理本公司会计、内部控制或审计方面的投诉
有权雇用独立的法律顾问、其他咨询顾问和外部审计师
对内部审计实施监督、指导的典型事项包括：
批准内部审计章程
批准以风险为基础编制的内部审计划
批准内部审计预箅和所需资源计划
与首席审计官就内部审计计划实施情况或其他事项进行沟通
批准关于首席审计官任免的决定
批准首席审计官的薪酬
听取首席审计官的审计结果报告并责成其对有关事项实施审计或审计调查
检查内部审计结果的采用情况
适当洵问符理层和首席审计官以确定是哲存在不适当的审计范围或资源限制。
首席审计师与审计委员会的沟通
协助审计委员会，确保其章程、内部审计活动和各项过程对于履行其职责是恰当的；
确保内部帘计章程、作用和各项活动得以清晰阐述，且能反映审计委员会和殖 祺会的耑求；
与审计委员会和主席保持开放、有效的沟通。
首席审计官（对上）提供有价值的咨询服务
至少每年评估一次审计委员会章程，审核章程是否充分体现了董事会有关审计委员会职贵的规定和相关条文，并将此情况告知委员会。
评估或保存一份详细列出所有规定开展活动的审计委员会会议日程计划，用来判断这些活动是否被完成。
起草审计委员会会议日程，呈交委员会主席审阅，帮助审计委员会将此资料分发给各委员，记录审计委员会会议内容。
鼓励审计委员会比照当前最佳实务，定期评估其工作和活动，确保该活动与最先进的实务保持一致。
定期与委员会主席会面，讨论向委员会提供的材料和信息是否满足委员会的需求。
征求审计委员会意见，判断是否需要培训性会议或报告。
征求委员会意见，判断为委员会分配的工作频率和时间是否充分。
（3）内部审计活动的作用
首席审计官（对下）组织开展工作
审计章程
请求委员会每年审核并批准内部审计章程；
与审计委员会一起评估内部审计的职能性和行政性报告关系，保证内部审计师拥有充分的独立性；
在章程中列入委员会审核任免决定的条款，包括任命、薪酬、评价、续任、解 雇首席审计官等；
在章程中列入由审计委员会审核并批准外包内部审计活动提议的条款；
年度计划
帮助审计委员会评估人员、预箅的充分性，以及内部审计活动的范围和结果， 确保不存在预箅和范围方面的限制，以免阻碍内部审计履行其职能；
报告与其他监督部门（例如风险管理、遵循性、安全、业务连贯性、法饼、道 德、环境、外部审计）的协调情况及对其监督的情况；
报告与本组织和下属组织活动的控制过程相关的重大亊项，包括对这些过程进 行改进的可能性，报告这些事项的处理情况；
报告年度审计计划情况和结果，以及部门资源对于高级管理层和审计委员会的 充足性；
通过适当的风险基础方法，制定灵活的年度审计计划，包括管理层关心的风险 和控制事项，将计划呈交审计委员会评估及批准，并进行定期更新；
报告所通过的年度审计计划的执行情况，适当情况下，还应包括管理层和审计 委员会要求的特別任务或项目；
舞弊监控
在内部审计章程中明确，及时向审计委员会报告与公司内部控制有重大关联的 管理层或雇员的可疑舞弊行为是内部审计活动的职责；
协助开展组织内部重大可疑舞弊活动调查，并将结果报告管理层和审计委员会
应该使审计委员会意识到，应该每五年开展一次内部审计活动的质量评估复核。
（4）与审计委员会的沟通
审计委员会应该定期与首席审计官单独会谈，讨论敏感的事项
针对与确定的审计任务和范围相关的审计活动的结果，每年提供一个总结性报 告或评估情况；
定期向审计委员会和管理层提交报告，总结审计活动的结果；
不断向审计委员会报告内部审计的新趋势和新的成功实务；
与外部审计师一起讨论委员会信息需求的满足情况；
复核提交给审计委员会的信息的完整性和准确性；
确认内部审计师和外部审计师之间工作的协调是有效率和有效果的；
判断内部和外部审计师的工作有无重复性，并指明出现重复的原因。
1.1.5 业务流程改进/经营审计
（1）审计业务流程
确认活动可能首先分析现有的流程图，然后比较流程图与实际绩效，并从效率和效果的角度来分析该流程
咨询活动可能用于创建流程图，或者当组织检测到问题时也可能开展咨询活动
（2）综合审计
综合审计对内部审计功能提出了一些要求：
①该审计可能需要使用多种审计技术，这将影响审计的预算和人员配备
②首席审计官必须根据组织的风险模型来权衡可用的预笕和资源，并在年度计划中 安排综合审计业务的优先次序
（3）内部部审计在业务流程中的职责
①为描述、分析和改进业务流程，内部审计部门应履行以下职责
创建流程文件
分析内部控制疏漏
测试
指导内部控制
②根据IIA对内部审计师独立性的界定，内部审计师不能承担如下职责：
起草、制定和实施流程
出任流程负责人
补救
1.1.6 评估和培养道德氛围
（1）评估董事会的道德氛围
董事会是否倡导并建立道德文化；
道德文化是否有清晰的道德规范和符合实际；
董事会执行道德文化的情况及效果如何；
是否定期对董事会的道德氛围进行检查和评估。
（2）评诂组织的道德氛围
有清晰易懂的道德规范及相关的说明、政策和其他道德理想的表述；
有加强道德文化的具体措施，经常宣传鼓励良好的道德文化；
有保护检举人的举报违反道德规范、政策和其他不当行为嫌疑的制度；
有要求廂员、供应商和顾客定期声明遵守组织道德规范的制度；
有学习机会，使员工都能成为良好道德文化的倡导者；
定期对雇员、供应商和顾客进行调查，以确定组织的道德氛围状况；
把背景调查和诚信测试作为招聘员工的一个内容；
鼓励每名员工为组织的道德氛围做出贡献，从而创造积极的人事管理实务。
（3）遵循公司行为规范和商业惯例
组织是否建立了关于行为规范和商业惯例的道德规范
组织应在多种场合将道德规范向各层次的员工进行讲解
组织的代理要参加为他们度身定做的讲座
组织应保证员工已经阅读、理解并遵守了公司的行为规范和商业惯例
组织应采取合理措施促进行为规范和商业惯例的遵循
组织高层的人员应总体负责监督对行为规范和商业惯例的遵守情况。
公司行为规范和商业惯例是否得到确实遵守商业惯例的遵守
（4）培养良好的企业文化来防范舞弊
1.1.7 提供治理、风险管理、控制和合规性的培训
首席审计官向高级管理层和董事会提供增值服务
如何制定风险管理策略，如何持续监测和改善组织的风险管理
影响组织的法律、法规和商业惯例，以及如何建立监督遵守相关政策的控制系统
开展与组织的业务环境相关的研讨会，促进识别新的风险
在董事会会议中阐述同行组织中所实施的治理和风险管理的最佳实务
1.1.8 向董事会和高级管理层报告
首席审计官向高级管理层和董事会报齿和沟通的信息必须包括：
审计章程
内部审计活动的独立性
审计计划和进度
资源需求
审计结果
对《职业道德规范》和《标淮》的遵循情况以及应对遵循《职业道德规范》和 《标准》方面重大问题的措施
首席审计官认为管理层应对风险的方式可能不被组织接受的情况
首席审计官对于内部审计活动的章程（如目的、权限、责任）和工作实施情况报告的频率和性质应当取得董事会的同意。
重大风险和控制事项（或称“重要审计发现”）是指那些根据首席审计官的判断， 可能对组织具有负面影响
如果首席审计官认为高级管理层接受了组织不能承受的风险，首席审计官必须按照《标准》第2600条的要求就此事项和高级管理层进行讨论。首席审计官应当了解管理层作出相关决策的基础，识别任何不同意见产生的原因，确定管理层是否具有接受该风险的权限。并向董事会报告
（1）职能性的报告
审计委员会应与首席审计官召开没有管理层参加的单方会议，以强化职能性报告关系的独立性，突出其实质
（2）行政性的报告
首席审计官的行政性报告应当面向CEO或另一位有充分权力的高级管理人员，使日常审计工作得到适当的支持
行政性报告关系应使高级管理层能够随时、直接听取首席审计官的报告
行政性报告关系应当实现适当的沟通和信息流通，使首席审计官和内部审计活动获得有关组织活动、计划和新业务方面的信息
1.1.9 协调
(1)确认图谱
①确认提供者。
董事会可以利用多个渠道获得可靠的确认
第一类：向管理层报告的人员或本身就是管理层的组成部分
第二类：向菹事会报告的人员，包括内部审计师
第三类：向外部利益相关者报告的人员提供确认
②编制确认图谱
包括以下栏目：
重大风险类别；
对风险承担责任的管理层角色（风险责任人
固有风险评定结果；
剩余风险评定结果；
外部审计覆盖面；
内部审计覆盖面；
其他确认提供者的覆盖面。
③首席的职责
组织确认图谱绘制完成后，可以识别出缺乏适当确认的重大风险，或存在重复确认活动的区域。
内部审计部门在制定内部审计计划时，需要考虑未被适当覆盖的领域
(2)协调流程
①采购服务
制定针对组织外部服务的恰当政策应该考虑以下内容：
首要考虑
董事会或审计委员会对政策的批准
政策所管辖服务的性质和种类
合同期限、正式提出服务请求的频率和/或保留现有服务提供者的决心
选择和评价小组的参与人员或成员
评价时应该考虑的关键或首要标准
对服务收费的限制以及批准政策例外情形的程序
具体行业或国家特有的符理或其他治理要求
次要考虑
税务服务
咨洵和其他非审计服务
从外部采购内部审计服务或联合采办审计服务
特别服务（如已达成协议的服务内容）
评估、评价和精算业务
招聘、簿记、技术服务等临时业务.
外部审计小组提供的法律服务
应当在聘用合同或协议中说明业务期望，最低期望应包括交付物的类型和所有权、 方法技术、程序类型及所使用的数据信息
②实施监督
内部审计师应当确定其他确认提供方的工作得到了适当的计划、监督、记录和复核。
内部审计师依赖或采用其他确认提供方的工作，应当考察其独立性和客观性。
③报告结果。
内部审计师应当将其他确认提供方的结果并入董事会或其他重要利益 相关方的总体确认报告中。
④后续跟踪
内部审计师 在检查针对外部确认提供方的建议而采取行动时，应当确定管理层已经采取了行动，或 愿意承担不采取行动的风险。
（3）协调外部审计
①内外部审计的协调
审计覆盖面
以确保审计工作范围的协调和最大限度地减少重复工作
互相接触审计方案和工作底稿
交换审计报告和管理建议书
审计技巧、方法及术语的共识
②对外部审计的评估
专业知识和经验
对组织所在行业的了解
独立性
专业服务的可获得性
对组织需求的估计和回应
重点业务人员的合理稳定
保持恰当的工作关系
合同承诺条款的实现
组织整体价值的实现
③对外部审计师提供服务的独立性要求
一般要求
审计师或其家庭成员有没有对审计客户投资；
审计师或其家庭成员和审计客户之间有无雇佣关系；
审计公司向典审计客户提供的服务范围
损害独立性事项
第一，外部审计师在任意一个财务年度提供的内部审计服务超过了在审计客户内部审计部门所花总时间的40%，除非审计客户的总资产少于2亿美元。
第二，外部审计师可以提供任何内部审计服务或与内部会计控制、财务系统或财务表无关的操作性内部审计服务。
④协调其他部门
①法规监管机构
②其他保证部门
1.1.10 评估业务测试系统
①是否建立了业绩测评系统
②业绩测评系统是否充分和可以接受
③业绩测评系统是否有效运行
1.2 内部审计的运行功能
1.2.1 制定政策和程序
1.2.2 风险管理中的职能
（1）风险管理基础
管理层和董事会负贵组织的风险管理和控制过程。
应该记录的活动和责任包括：
战略方向的确定由董事会或委员会负责；
风险的归屈可以甶管理高层分配；
对剩余风险的接受可以由运营管理层决定；
持续的确认、评价、减缓和监测活动可以由操作层人员分配决定；
定期评估和保证工作应该由内部审计活动负责。
内部审计师主要通过识别、评估并运用风险管理的方法和控制措施，帮助组织解决这些风险问题
（2）促进风险管理过程的建立
没有管控，就促成建立
有初步管控，通过改善基本程序的咨询方式对传统确认活动进行补充
避免参与风险归属问题
（3）识别和报告环境风险
首席审计官应该繁惕可能因环境审计的机构设置和报告关系造成的潜在风险。
①潜在风险
应当评估的风险暴露有：
组织的报告结构
造成环境危害的可能性
罚款、处罚
环境保护机构或其他政府部门授权的支出
伤亡记录
客户损失记录
负面公众影响
公众形象和名誉损失
②对首席审计官的建议
首席审计官应该建立同环境主管官员的密切工作关系
对审计计划和审计项目的实施进行检查
侧重遵循性（即核实是否遵守法律、法规以及单位内部的相关政策、程序和业 绩目标）；
侧重管理体制（即对管理体制作出评价以确保符合法律及内部要求，同时降低风险
（4）评估风险管理过程的适当性
内部审计师必须确认组织的风险管理过程是否着眼于以下五个主要目标，并从总体上对风险管理过程充分性发表总见：
①找出业务战略与活动领域的风险并进行优先排序。
②高级管理层和董事会已经确定了组织可以接受的风险水平，包括为实现组织的战略计划而接受的风险。
③设计、实施了降低风险的活动，把风险降低、管理在管理层和董事会可以接受的水平上。
④开展持续的监督活动，定期对风险和控制的有效性进行再评估，以管理风险。
⑤董事会和高级管理层定期收到风险管理过程的结果报告。组织的治理过程应该包括定期向利益关系方传达风险、风险战略和控制情况。
操作过程
①与研究、评估风险管理方法的参考资料和背景信息，评估是否恰当、是否行业最佳
②研究、评估与组织业务有关的当前发展情况、趋势、行业信息，确定是否存在影响组织的风险，用以解决、监督与再评估风险管控促使
③检查公司政策、董事会和审计委员会的记录，确定组织的经营战略，风险管理理念和方法，对风险的兴趣以及对风险的接收
④检查管理层、内审师、外审师以及其他方面发表的风险评估报告
⑤与行政经理和业务经理交谈，确定业务部门的目标，相关风险以及管理层开展降低风险的活动和控制及监控活动
⑥收集信息，独立评估降低风险、监督、风险报告和相关控制活动的有效性
⑦评估这对风险监督活动建立报告专线的恰当性
⑧评估风险管理报告的充分性和及时性
⑨评估观管理层的风险分析是否全面，评估为纠正风险管理过车合格中发现的问题而采纳的措施的完整性，提出改进建议
⑩确定管理层的自我评估过程的有效性
(11)评估与风险有关、可能你说明风险管理实务中存在薄弱环节的问题。【经理层对风险的接受能力、无法达成一致汇报董事会】
（5）企业全面风险管理
①责任
董事会对确保风险得到管理负全部责任
实践中，董事会将风险历框架的运作授权给管理团队来执行
②好处
为实现组织目标提供更大的可能性
在董事会层面综合报告不同风险
提高对主要风险及其广泛影响的认识
识别和分担跨业务风险
对重要事项集中管理
减少意外或危机
在组织内部更加关注用正确的方法做正确的事情
对将要采取的行动增加变更的可能性
具备为获取更高回报而承担更大风险的能力
更有依据的风险承受和决策
③实施步骤
说明和沟通组织目标
确定组织的风险偏好
建立适当的内部环境，包括风险管理框架
识别影响目标实现的潜在威胁
评估风险（如，威胁的影响和发生可能性）
选择和实施风险应对
采取控制和其他应对措施
组织中所有层级采用一致的方式进行风险信息沟通
集中监督和协调风险管理过程及结果
为风险管理的效果提供确认
④内部审计的确认作用【确认及评估风险管控】
⑤内部审计的咨询作用【改善过程提供咨询业务】
⑥实施前提条件
当明确管理层对风险管理的职责；
内部审计师职责的性质应当写入内部审计章程并由审计委员会审批通过；
内部审计不应当代表管理层管理任何风险；
内部审计应当提供建议、挑战 并支持管理层做决定，而不是他们自行做出风险管理决定。
⑦应具备的技能和知识结构
1.2.3 部门的行政管理
(1)规划
制定风险导向的审计计划
评估员工能力需求
招聘和发展规划
(2)组织
设计结构和流程以实现业务目标，达到总体效率和效果。 这可能包括：
①为特定的审计活动分配审计人员。
审计人员的选择可以根据他们与该审计活动的类似经验来决定。
②为独立的审计活动分配时间
计划、制定和实施审计方案
进行实地调查
撰写审计报告
(3)指导
在组织内以及与外部机构之间都必须 维持良好的沟通。
必须挑选外部审计服务提供者以及面试和雇佣新员工。
实施绩效管理系统，包括在审计活动结束时和年底进行的评估。
可以通过留意员工的压 力水平以及提供奖励和职业发展机会来维持积极性。
(4)控制
首席审计官负责确保遵循政策和程序，监控和评估预算，满足审计委员会、高级管理层和审计客户的要求
内部审计人员的数量
审计工作日程安排
内审机构的行政管理活动
内审人员的教育及培训要求
审计研究和发展工作
1.2.4 人力资源管理
（1）人力资源管理主要内容
①内部审计人员的聘用、培训、数量
②内部审计人员的工作任务安排
③内部审计人员知识、结构及专业能力分析
④内部审计人员的业绩考核与激励机制
（2）岗位职责说明
①工作目标
②职权和职责
（3）人员评价
评估分为两部分
每一项目完成后进行的评估
由首席审计官进行的年度检查
区别完成工作情况和个人特性
完成工作情况
工作量
计算机运用水平
工作质量
审计知识
审计才能
书面和口头表达能力
对企业程序的了解
与客户的关系
计划能力以及遵循公司指引情况
个人特性
态度
人格
领导品格
判断力
主动性
自信心
审计团队其他成员相处
1.2.5 人员招聘
判断一个应聘者能否成为成功的审计人员扱可能的标准是：这 位应聘者是否具备很好地组织并表达自己思想的能力
最不可能的判断标准是：大 学会计课程的平均学分，能否很好地融入一个团队的能力，以及对公司的了解程度
（1）面试
（2）测试
写作能力
思维逻辑能力
区分事实和猜想的能力
（3）就职培训
1.2.6 审计技能开发
（1）内审师的素质
要具备某些特定的个人素质以满足现代内部审计的需要
必须展现诚信、客观和负责的品质
必须具备想象力和创造力
必须能够进行有效的口头和书面沟通
（2）胜任能力框架
人际交往能力
工具和技术
内部审计标准、理论和方法
知识领域
1.2.7 质量保证与改进程序
【内部审计基础第一章】1.4.5质量保证与改进程序（1300）
首席应鼓励董事会监督质量保证与改进程序的实施
涵盖内审活动的全部内容
能够连续监控内审活动的效果
遵循《标准》和《职业道德规范》
为组织增加价值并改善组织的运营
包括定期和持续性的内部评估
包括至少每五年一次的外部评估，并向董事会报告评估结果
1310质量保证与改进程序必须包括内部评估和外部评估
1311内部评估
对内审活动执行情况的持续监督
定期自我评估或由组织其他充分了解内审事务的人员进行的评估
首席至少每年一次向高级管理层和董事会报告内部评估报告
1312外部评估
最少五年开展一次
必须有来自组织外部、合格且独立的评估人员负责实施
首席必须与董事会讨论
外部评估的形式和频率
外部评估人员的组织和独立性，包括任何潜在的利益冲突
1320对质量保证与改进程序的报告
首席必须向董事会汇报结果
内、外评估的范围与频率
评估人员的资质及独立性
评估人员的结论
整改计划
1321对“遵循《标准》”的应用
只有遵循了，首席才能发表声明
1322对为遵循情况的披露
向高级管理层和董事会披露未遵循事项及其影响
（1）内部评估
每年至少一次
①持续监督
②定期评估，抽样是否遵循《道德规范》《标准》
（2）外部评估
以下情况可免除外部评估
所属行业受到严格管理和监督
在治理和内部控制方面受到严格的外部监督
近期接受了外部检查或咨询服务，并与最佳实务进行了严格的对标
依据首席的判断，进行自我评估对员工益处以及内部质量保证与改进程序的优势超过了外部质量评估能给组织带来的收益。
（3）对遵循《标准》的应用
1.2.8 审计风险管理
(1)审计失效风险
内部审计活动可能是导致内部控制失效的因素之一，主要是由于：
未遵循《国际内部审计专业实务标准》
不恰当的质量保证与改进程序，包括用以监控内部诉计师独立性和容观性的程序
缺乏有效的风险评估流程，在战略性风险评估过程中未能识别关键审计领域， 在单个审计项目计划中未能识别高风险领域，结果导致未能正确的实施帘计， 或将时间浪费在错误的审计上
没有设计有效的内部审计程序来测试“真实的”风险和正确的控制
没有评价控制设计的适当性和控制效果，并将之作为内部审计程序的组成部分
在审计人员选用上，没有避于对高风险领域的了解或经验而采用恰当的胜任人员
没有根据审计发现或控制缺陷.提出职业怀疑并扩展审计程序
没有适当的内部审计监督
在棠握某些舞弊证据时，做出错误的判断和决定
没有与适当的人员沟通所怀疑事项
没有恰当地进行报告
应对措施
质证保证与改进程序
定期对审计领域进行审核
定期对审计计划进行审核
有效的审计规划
有效的审计设计
有效的管理人员审核和升级程序
适当的资源配置
（2）错误确认风险
“错误确认”是基于感知或假定而产生的，并非亊实
改善措施
①就内部帘计活动的作用和强制性积极地与审计委员会、高级管理层以及其他利益 相关者沟通。
②就风险评估、内部审计计划和内部审计业务中涉及的事项进行明确的沟通，对其 中没有涉及的工作范围更要明确。
③设立一个“项目认可”流程，对每个项目相关的风险级别以及内部审计在每个项目中的作用进行评估。
评估项包括
项同的范围
内部审计活动的作用
报告预 期
要求的胜任能力
内部审计人员的独立性。
④如果将内部审计师扩充到某项目的人员配备中，要对他们参与的角色和范围进行记录，还要对其客观性和独立性问题进行记录，决不能将内部审计人员看作是借调来的 资源，以避免导致错误确认。
（3）声誉风险
1.3 内部审计年度计划
1.3.1 建立评估风险的框架
（1）风险管理框架（COSO ERM）
建立了组织目标和企业风险管理间的直接联系
①董事会
董事会把监控和确认责任委派给管理层，自己仅保留主要的决策权
职责
了解管理层在组织内建立有效的企业风险管理的程度；
与组织的风险偏好保持一致；
审查组织的风险图谱，并比对组织的风险偏好；
评估最重大的风险以及管理层是否做出了适当回应。
②管理层
管理层主要负责识別和管理风险，并以一种结构化、一致和协调的方式来实施企业风险管理
风险偏好定义为“在广泛的层面上组织为追求价值而愿总接受的风险数量。”
CEO职责
为高级管理层提供领导和方向。
定期会见负责主要职能的高级管理者，以便理解运营中的固有风险、风险应对方案、所需的控制改进方面以及正在进行的计划的现状。
监测与组织的风险偏好相关的活动和风险。
③首席风险官
职责
建立相关的政策；
明确角色和职责，并帮助制定实施目标；
制定业务部门相应的权力和责任；
引导与其他业务规划和管理活动的整合；
建立共同的风险管理语言和常见的衡量标准；
向CEO汇报现状，包括推荐行动方案。
④财务经理
预算和财务规划、跟踪和分析绩效以及报告
⑤外部审计师
外部审计师能提供独立和客观的观点，有助于实现组织的外部财务 报告目标以及其他组织目标。
⑥立法者和监管者
⑦业务伙伴
⑧金融分析师等
（2）建立框架
风向评估对审计部门计划的重要意义在于明确审计范围或识别可审计的活动，具体
①在制定内部审计部门的审计计划
②审计活动领域可以吸收战略计划的成分
③首席在准备内审部的审计计划是，要以从高级管理层和董事会获取的审计活动领域以及风险、风险暴露对组织的影响进行的评估为基础
④审计活动领域和相关市计计划内容的更新，应该反映出管理层的方针、目标、重 点和关注点出现的变化
⑤应该在评估风险和风险暴辦优先次序的骓础上安排审计工作
1.3.2 识别审计业务来源
（1）审计域
组织战略计划。战略计划以一定程度的环境分析为基础，环境分析对组织内外可能发生与正在发生的
法律因素
监督因素
市场力量、行业趋势和竞争
股东群体
技术趋势和核心竞争力
客户
内部职能分析。
SWOT (优势、劣势、机会、威胁）分析
(2)管理层的要求
（3）法规要求
（4）其他来源
（5）收集定性和定量数据的重要性
①定性数据的获取
访谈
焦点小组
观察
会议
②定量数据的获取
研究
报告
调查
1.3.3 收集和分析资料
收集资料
之前的审计退否有重大发现；
之前的审计范围；
之前的审计是在多久前进行的；
系统中已发生了什么变化；
人事安排已发生了什么变化；
该实体提供的产品和服务是否发生了变化；
控制的资产的实际价值是多少；
该实体的交易金额是多少；
该实体对母公司的重要性是什么；
该实体资产的流动性如何；
该实体的职责分离如何；
该实体中信息的敏感性如何；
实现目标或其他业务标准的压力如何；
法律法规是如何影响组织的；
员工逍受非道德行为的潜在程度如何；
发挥该实体作用要求什么样的共识；
员工与该实体的顾客联系的频率；
该实体经营的复杂性如何。
制定计划过程的内容
目标
业务工作安排
人员配置计划和财务预算
行动报告
业务工作安排应该包括以下内容：
即将开展哪些活动：
何时开展这些活动
估计所需时间(进行估计时应考虑所计划的业务工作的范围以及其他人开展的 相关工作的性质和程度）
在确定业务工作安排重点时应该考虑的事项包括：
最近一次业务的日期和结果
对风险和风险管理/控制过程及其效果的最新评价
董事会和高级管理层的要求
当前与组织治理有关的问题
企业的业务、运营、程序、系统和控制发生的主要变化
实现营业利益的机会
审计人员的变化和能力
1.3.4 风险为导向制定计划
（1）风险识别和评估
风险评估的主要任务
识别组织面临的各种风险
评估风险概率和可能带来的负面影响
确定组织承受风险的能力
确定风险消减和控制的优先等级
推荐风险消减对策
操作程序
①风险识别
第一类：战略风险
关注内容：反映战略计划的因索
来源：查阅组织文献，例如任务、远景、价值和战略计划，以获取对组织目标的淸晰认识
效果：制定矩阵，根据时间范围对战略风险进行分类，将短期问题同中期和长期问题区分开来，选择创造性的方式识別最显著的战略风险
第二类：项目/方案/程序风险
关注内容：检查具体的项目、方案和程序
来源：从职能部门和外部客户处获取
效果：建立风险因素标准（例如：财务影响、管理层能力、内部控制质蛩、复杂 性、客户/顾客满怠度）
第三类：经营风险
关注内容：组织面临的日常经营风险及风险所有者
来源：健康风险、安全风险、外界（环境）风险、安全及系统功能
效果：辨认出员工、组织参与者、实物资产的风险（例如：设备和建筑）
②风险度量
本步骤以风险发生的可能性为基础来评估风险发生的潜在影响——风险能够对组织实现目标的可能性产生实质性影响。
可能性评估（例如：预期损失或年度损失）；
风险因素测试（例如：统计法或主观法）；
平衡矩阵。
③风险排序。
采用不同的方法对风险进行排序，判断其间的力]强弱以及潜在后 果。方法包括：
绝对排序一按照风险评价的分数进行排序，并将他们按照等级进行排列；
相对排序一将风险评价的分数分为自然的几类，分为高、中、低档；
矩阵排序一利用分析矩阵进一步分析风险及后果，分为高、中、低档。
（2）风险排序和确认
重要性因素分析
金额的重大性
资产的折现力
管理能力
内部控制的质量
变化或稳定程度
上次审计业务开展的时间
复杂性
与雇员及政府的关系
决定审计先后顺序的方法很多，如判断和直觉、计分法、德 尔菲法
（3）选择审计业务
①参与审计业务选择过程。
②选择审计业务。
影响因素
第一，组织的战略性计划。
第二，风险管理过程的结果。
第三，管理层的方针、目标、工作通心的变化。
外部限制
违反《内部审计章程》中关于审计范围的规定；
限制内部审计师在开展审计业务中接触相关的记录、人员和实物财产；
限制经批准的审计工作项目计划的开展；
限制必要审计程序的实施；
限制经批准的内部审计人员配孜计划和财务预算
1.3.5 识别内部审计资源需求
首席审计官应确保内部审计资源的适当性、充分性及有效利用，以完成所通过的计划
“适当性”是指实施计划所必需的知识、技能和其他能力的组合。
“充分性”是 指完成计划所必耑的资源数量。
“有效利用”是指资源以最优方式实现获得批准的计划。
首席审计官履行的职责主要有：
第一，确保内部审计人员的技能、能力和技术知识与计划的审计业务相匹配
第二，确保内部审计资源必须足以实现审计业务的广度、深度和及时性，以符合高级管理层和董事会的预期，并与内部审计章程保持一致
第三，首席审计官还要确保资源能够得到有效的利用
第四，从整体资源管理的角度来看，首席审计官耑要考虑后续接替计划、人员评估与发展规划和其他人力资源培训事宜
第五，由于资源的关键性，就内部审计部门资源的适当性，首席审计官要与高级管理层和董事会保持经常的沟通交流
1.3.6 获得董事会的批准
1.4 内部审计业务类型
1.4.1 确认业务
(1)风险和控制自我评估(Control Self-Assessment)
（1）CSA定义
定义
一个过程，即来自基层和行政执行层的员工小组和管理层，对影响组织目标实现的所有重要因素都能一致保持清醒认识，从而促使他们做出适当的调整，为提高整个过程的独立性、客观性和质量，内审师最好参与到过程中，并向高级管理层和董事会独立汇报过程结果
特征
关注业务的过程和控制的成效
由管理部门和支援共同进行
用结构化的方法开展自我评估
作用
①有效进行软控制的评价
②提升控制环境
③尽快找到并解决问题
④预测并控制风险
⑤是内审更加效率与效果
（2）CSA特点
最大特点为自我控制
评价内控的人员是业务员本身
（3）CSA方法
①促进小组研讨班法
运行方式
以风险为基础的方式，将注意力集中在确认实现目标的风险
以控制为基础的方式，将注意力集中在现行的控制制度是否有效运行上
以过程为基础的方式，将注意力集中在挑选构成过程链条组成因素的各项活动上
以目标为基础的方式，将注意力集中在完成业务目标的最佳方式上
②调查法
前提
预计评价参与者会很多货很分散，不能集中参加研讨班
企业文化不利于开展坦诚公开的讨论
管理人员希望最大限度地降低收集信息所花费的时间和成本
③管理部门分析法
（4）CSA应用
(2)第三方审计与合同审计
①合同审计
合同审计的共同点就是要求找出在人员成本、材料成本、设备成本和供应成本控制上存在的缺陷。
为了维护组织利益，内部审计师应该对合同谈判、合同签订、合同执行、合同完成的全过程进行监督。
合同类型
固定价格合同
当要求很明确、无不确定因索、成本可以估计时，固定价格合同是 恰当的
审计中应重点关注的是可能引起的额外费用的合同变更，以及长期性合同在执行过程中可能出现的复杂情况
风险因素
不充分的竞争
不充分的保险和合同覆盖面
在工程实际完工前就认定工程已完成
为没有收到的设备或没有完成的活动支付费用
加价条款（针对特殊惜况，如因物价上涨而增加费用的条款）
对增加权利和修改权利的授权
单独支付的经费支出
变更订单
没有对照条款进行充分检查
成本加总合同
成本加总合同通常用于成本不确定的情况，付款价格通常适成本加上一个固定金额或固定比例的金额
风险因素
经费成本直接列入账单
缺乏对承包人充分的成本控制，没有努力争取最适当的价格
为承包人自有设备支付不合理费用
雇用过多人员
将超出承包人成本的费用记人账单
缺少对折扣、退款和回收废料的审核和批准
总部与工作现场之间存在重复劳动
对工作现场的监督和检查不足
与总部的沟通和总部实施的后续检查工作不足
成本核算和成本报告不可缩
违反合同，将检查工作视为劳动力成本记人账单
租赁来的设备闲置
工作操作不熟练
工程质量较差
材料和补给材料的过度使用和提前到货
使用标准规格太高的材料或设备
缺乏对材料或设备良好的保护
缺乏对雇员缺席和超时的控制
不在乎成本的提高
成本补偿合同
主要是在要求非常复杂、成本不容易确定和评估时使用。一般用 于存在风险的项目。由于成本的不确定性，这种类型的合同对于客户来说是高风险的
单位价格合同
合同规定了雄位成本，合同总额为完成的工作量与单位成本的乘 积。内部帘计师应中底单对已完成的工作数量进行评测。
无限服务提供合同
无限服务提供合同也被称为无限责任交货合同，一般是在合同 签订时不知道未来应交付服务或货物的日期时采用。
②对公认标准执行情况的审计
（3）质量审计业务
质量审计业务是指内部审计师用一系列标准或控制来衡位、评价组织的控制质位, 确定控制是否随着组织活动、行业规则、技术的变化而更新，并且不断得到完善和强化
在实施质量审计时，内部审计师应该考虑：
质量问题是组织中所有各方都应该承担的责任；
如果缺乏质量标准，应该与管理层及相关部门合作建立一套标准；
如果组织中质量保证部门或质位管理团队定期实施审计，则应该与这些部门合 作，另外这些部门或本身也厲于内部审计范畴。
（4）尽职调查业务
（5）安全审计业务
安全审计涉及四个基本要素
控制目标
安全漏洞
控制措施
控制测试
安全控制
物理接触和环境控制是指对保护组织资源和信息系统以避免他人接触的硬件和软件实施的控制。
常见的物理接触控制有电子门锁、生物门锁、报咎系统、电子录像、安全 符卫、禁止公幵机耍设侪位没的规定等。
常见的环境控制有火警预警系统、灭火系统、 定期检丧制度、不间断电源、紧急断电装置等。
逻机接触控制是指为了避免未经授权接触、使用或更改信息系统的数据和程序，采用安企软件保护信息系统的资源、应用软件和数据的控制。
例如设立登录ID和密码、 系统日志、数据加密、建立生物安全接触控制（如视网膜扫描）、严格规定工作站应用管制措施（如限制进人的工作站数量)、设立回拨程序（使系统与用户联系时，只依据 以前授权的号码打电话）、数据分类（按照机密级别分类，不同类别数据根据授权采用 不同接触控制程序）等。
备份控制就是定期对程序或者数据文件进行备份，注怠备份应该远离原始文件的所在地。此外，对于计算机数据的备份圾好能采用刻盘封存。
（6）隐私审计业务
可以利用“能力成熟模型”(CMM)
（7）绩效审计业务
绩效审计（国外也称为3E审计）是指内部帘计师根据评价标准和绩效指标对组织经营活动的经济性、效率性、效果性进行审计评估和确认的一系列业务活动。
经济性是指组织经营活动过程中获得一定数量：和质设的产品和服务及其他成果时所耗费的资源最少，其核心是支出是否节约；
效率性是指投入和产出的关系，包括是否以最少的投入取得一定的产出或者以一定的投人取得最大的产出，其核心是支出是否讲究效率；
效果性是指多大程度上达到组织目标、经营目标和其他预期结果，其核心是能否达到目标。
绩效审计主要检查：组织在获得和使用资源的过程中是否符合成本效益的原则
计划目标的完成况；
组织为实现产出目标而采取的各项活动是否有效；
审计业务客户是否遵守其职能相关的法律法规情况。
（8）经营审计业务
理解经营审计的关键是理解内部控制，理解组织运营全过程控制程序主要用于确保：
财务和运营信息的可靠性与完整性
运营的效率和效果
资产的安全
对法律、法规及合同的遵守
经营帘计业务和绩效审计相近，但经营审计着重于内部控制的审计，关注通过讲求 经济性和效率性来节约成本的决策。
（9）财务审计业务
财务审计业务是指对组织的财务收支和经济活动实施的独立审查和评价。
财务审计业务主要关注组织财产的安全性、财务信息的可靠性和完整性。
外部审计师实施的财务审计主要关注组织的财务报表，目标是审查审计财务报告里面的信息是否遵守会计准则，是否公允地反映组织真实的财务状况和经营成果。
内部审计师开展财务审计业务时则主要集中在程序上的监督，检查涉及财务的程序、制度是否存在缺陷和漏洞，并对关键环节进行控制，从而不断提出完善制度的建议，确保支持编制财务报告的相关程序都是有效的。
运营管理层是控制环境和财务信息（包括财务报表附注和财务报告附加的披露信息）的所有者。
财务审计业务的目的是：
财务信息的揭示是否遵守已雄立的标准或准则；
组织是否遵守法律或法规的具体财务规定；
组织是否恰当地建立并实施了有关财务报告和资产安全的内部控制制度，以促进控制目标的完成
（10）遵循性审计业务
遵循性审计业务也称合规性审计，是指内部审计师审查组织在经锊过程中遵守 相关法规、政策、计划、预兑、程序、合同等遵循性标准的情况并作出相应评价的审计活动。
为了开展遵循性审计，内部审计师必须准确地知道有哪些政策、程序和标准等。
遵循性审计的内容包括
确定书面规章是否有效
雇员是否了解相关内容
发现的违规情况是否得到了适当控制
处罚是否公平
举报人是否遭受到报复
法律部门是否履行了职责。
最后，内部审计师还应该在审计后确认需要改进的方面，并设法获得雇员支持。
1.4.2 咨询服务
1.4.2.0 定义
咨洵服务是一种顾问及其相关的客户服务活动，自的是增加价值并提高组织的运作效率。
咨洵服务的性质和范围应该由内部审计师与客户在内部审计章程的范围内共同协确定，同时必须明确内部审计师不承担具体的管理资任。
实施步骤：
定义问题
提出建议
形成可供选择的方法
选定最佳的替代方法
及执行敁佳的替代方法
(1)咨询服务的指导原则
①遵循内部审计定义
②确认与咨询服务的相互关系
③内部审计章程授权实施咨询业务
④客观性
内部审计师在开展正式咨询业务后的一年内又对同一领域提供确认服务，其独立性 和客观性就会受损。采取以下措施可以趿小化受损影响：
安排不同的内部审计师对同一领域开展不同的服务；
建立独立的管理和监督机制；
为项目的结果确定各自的责任；
披露认定的受损情况；
管理层应该负责接受和实施这些建议。
⑤提供咨询服务的基础
⑥正式咨询业务
内部市计师在开展正式咨询业务时，对以下内容应该保持应有的职业审慎：
高级管理层的耍求，包括业务性质、时间安排和对业务结果的沟通；
要求开展咨询服务的可能动机和理由；
实现咨询业务目标需要的工作范围；
开展咨询业务需要的技能和资源；
咨询业务对审计委员会亊前批准的审计计划的影响；
对未来审计安排和业务的潜在影响；
可以为组织带来的潜在好处。
⑦首席审计官的职责。
咨询活动使首席审计官得以就特定的管理问题与管理层进行 对话。
⑧解决冲突或新问题的标准
（2）咨询服务类型
①正式的咨询业务。
有书面协议的计划内业务，适用一些谣要持续性进行的业务。
②非正式的咨询业务。
适合各种日常性活动，例如，参加常务会议、临时项目、专 门会议及日常信息交流。
③专项咨询业务。
一次性的特殊工作安排，例如，参加兼并和收购小组，流程再造 或是系统转换小组。
④应急时间咨询业务。
涉及紧急的非计划性咨询业务。例如，在发生灾难或其他特
（3）咨询服务的实施
内部审计师应该明确咨洵服务的工作范围和目标，与接受咨询服务的人员达成一致，确保内部审计活动保持其专业性、可信度和声誉。
在完成咨询服务后，咨询人员应该向荷关人员沟通咨洵服务的结果，并表明该次服 务的性质、存在的任何限制因索、限制条件或者其应该引起信息使用者关注的事实。
内部审计部门应该监督咨洵业务结果，以最大限度地满足客户要求。
（4）具体咨询业务
①内部控制培训
内部控制培训应该让客户了解以下内容：
控制环境（每个人都在各自岗位做正确的事）；
风险评估（为了实现目标，要充分考虑风险）；
控制活动（由于确认了风险，所以建立了适当的控制制度且正在发挥作用）；
信息和沟通（收集和讨论数据）；
监督（监督目标实现过程）。
培训内容
外部的法律、规定、政策和制度。雇员知道适用的公共安全制度吗？淸楚环境 安全的各项要求吗？
财务和认识制度。雇员了解准确报告工作时间和缺席情况的重要性吗？他们知道如何记录工作时间或者如果发生错误，如何纠正或报告发生的错误吗？
信息处理程序。组织建立了数据二次检查程序，或者数据接触控制和错误报告 程序了吗？
实务资产或财产的控制。雇员了解保卫和保护易受损畨资产的重要性吗？
制度和责任。廂员淸楚分配的责任吗？他们了解在程序中应该发挥的作用吗？
②业务流程检查
③标杆比较法
3.5.6标杆比较法
执行标杆管理的最好方法
分析业务流程
为标杆管理制定计划
执行标杆管理计划
执行标杆管理结果
基本点
寻找同本组织某一事项类似的最佳实务，并总结其特点、优势和经验
根据标杆评价组织自身水平，寻找差距
制定计划和方案，改进组织内部的工作
持续不断地寻找更先进的标杆
分类
（1）内部型标杆比较法
（2）职能型标杆比较法
（3）竞争性标杆比较法
（4）行业型标杆比较法
（5）一般性标杆比较法
（6）最高级别标杆比较法
（7）流程性标杆比较法
④信息技术和系统开发
⑤绩效测评系统的设计
1.4.3 确认业务与咨询服务的区别
（1）定义的区别
咨询服务的性质和范围是与客户协商确定的
确认服务立足于独立评估。
（2）参与的区别
咨询服务主要由内部审计师和客户共同完成，咨洵服务的工作是可选择的，可以拒绝审计人员不能胜任的工作
确认服务除了包括内部审计师和客户外，还需要结果使用者例如董事会、审计委员会和高级管理层的参与。
（3）结果的区别
咨洵服务的结果不是定性下结论，其产品通常是非正式的建议或怠见，客户对是否采用结采有最终决定权
确认服务是独立评价而不是建议，结果的使用者往往是审计委员会。与咨询服务相比，确认服务应遵守更严格的要求和更多的实施准则。