内部审计的作用（内部审计的职能作用）

内部审计职能无论是由企业内部人员组成还是外判团队支援，他们的角色并不只是事后查找问题，而是透过全面审视业务流程和监控机制，帮助企业有效地提升公司治理和管控。本特别报告剖析内审这个专业领域的会计师如何协助企业在日益复杂的商业环境中实践卓越营运。

撰 文|Nicky Burridge

插 图| Gianfranco Bonadies

随着企业逐渐意识到内部审计职能对业务的重要价值，近年内部审计的角色也演变起来，从合规检查的角色变为独立顾问。郑廸伟（会计师）是香港一家大型企业的集团审计及管理服务高级经理，他解释内部审计师的主要作用，是为机构的风险管理和内部监控措施提供独立观点，确保企业在符合法规和风险偏好的范围内经营业务。又或如南丰集团内部审计主管罗爱生（会计师）所说：“我们的主要目标是让高级管理团队晚上能放心安睡。”

然而，内部审计师的工作并不止于此，他们其中一项重要职能就是作为值得信赖的合作伙伴，为企业提供客观持平的建议，从而保护企业并为企业增值。救世军内部审计师邝晓桓（会计师）解释道：“内部审计是提供独立、客观保证及咨询的工作，旨在为机构增值并改善机构的营运。内部审计透过有系统及规范的方法来评估、以及提高风险管理、监控和管治流程等方面的效率，从而协助机构达成目标。”

毕马威合伙人兼香港区治理、风险及合规服务主管李懿玲（资深会计师）表示赞同，她指出由于内部审计师的工作范围涉足整个机构，相比只在某一部门工作的员工或较专注提升业绩表现的管理人员而言，他们能更宏观审视监控措施和流程。她说：“企业愈来愈依赖内部审计师根据所收集的数据而提出的见解，他们可以找出不同主题及关键问题。企业对内部审计的工作期望亦日渐提高。”

内部审计师与外部审计师的工作有很大分别。郑廸伟解释道，外部审计师主要关注公司财务报表的数据，并要确保这些报表的编制过程公正、透明；而内部审计师则要真正了解企业的营运和战略方向。郑廸伟说：“我们要提供实际及具有成本效益的建议，帮助机构妥善管理风险。外部审计师必须应用审计准则，而内部审计师则要运用批判性思维和商业触觉。”

邝晓桓赞同说：“内部审计师不单只关注年报财务业绩，还须检视性质上的因素，例如系统、程序和工作流程等。外部审计师关注财务报表中有没有任何重大误报，而内部审计师则帮助企业维持良好的内部监控措施、管治及风险管理，协助企业实现目标。”

李懿玲补充道，外部审计师通常与企业的首席财务官或财务部门密切合作，而内部审计师则除了财务部门外，有更多机会与企业的不同部门的同事共事。

东亚银行有限公司集团总稽核、国际内部审计师协会（IIA）香港分会会长李深（资深会计师）以审查库存为例子，说明内部和外部审计师工作之别。她说：“假如库存余额降至零，对于外部审计师来说，这不存在财务报告风险，但在内部审计师眼中，结余为零的结果并不表示库存管理是没有问题的，因为我们最关心是控制流程机制而非一个时点上的结果。”

罗爱生称内部审计师为机构的第三道防线。他解释说，第一道防线是营运管理部门，第二道防线是风险控制或合规部门：“第三道防线就是内部审计师。我们必须确保第一和第二道防线能发挥应有功用、他们清楚自身的角色及职责，并严格遵循风险评估及预防风险程序。”

邝晓桓补充道，除了确保企业的风险管理系统和程序有效运作外，内部审计师还负责帮助维持企业的道德标准及诚信。他说：“机构设有完善的内部审计部门，有助于维持良好的制衡机制。内部审计对于受严谨监管及讲求合规的行业尤为重要。”

角色日重

对许多企业来说，内部审计师已经从锦上添花的角色演变成为不可或缺的岗位。罗爱生表示，内部审计师给人的印象亦由监督者变成可以信赖的合作伙伴。

李深补充道，他们的职能已从机械式地检查内控和法规遵从情况，转变为站在更高视野地审视整体业务控制机制的有效性。她说：“即使具规模的内部审计团队可能仅占员工总数的1%，所以内审团队必须清楚轻重缓急，而非重复检查其他人的工作。因此，内部审计师将工作重心放在核查整体监制机制是否稳健，当中包括管理层如何应对不断变化的风险。我们以宏观的角度审核点到点的流程，并按情况作深入查究。”

邝晓桓指出，内部审计工作的重要性获香港联交所认同，上市公司必须按规定设有内部或外判的内部审计团队。他更表示，内部审计职能必须在机构中具有独立地位，才能给予投资者信心。

郑廸伟赞同说，内部审计师在确保企业实践良好管治上扮演重要角色。“现今商业环境较以往复杂得多，投资者、公众和其他利益相关者不仅关注财务业绩，还着重机构的整体管治状况，以及业务决策和营运方式是否与企业的愿景、使命和价值观保持一致。”

尽管上市规则规定发行人须设有内部审计职能，但李深表示目前尚未有关于内部审计师资历认证或遵守国际内审标准的要求。与此同时，许多香港上市公司的内部审计部门仍十分侧重检查历史交易的操作合规性。她指出：“作为机构中的独立职能，内审同时拥有企业内部知识和局外人的观点，能提供独到的见解，因此是公司管治的重要一环。但是内部审计职能的定位不是由于内部审计团队自己决定的，还要取决于其他重大利益相关者，例如监管机构、董事会和高级管理层，因此我们要明确展示内审所能发挥的价值。”

郑廸伟补充道，内部审计师还有一个重要角色，就是要让公司管理层充分明白内部审计师真正的工作范畴以及如何创造价值。

内部团队或外判服务

李深表示，每家公司在选择建立内部审计团队、还是将内审职能全部外判或是两者中间的协力式各有取态。她说，尽管东亚银行拥有一定规模的内部团队，但是她仍然很乐意采用与外部事务所合作外判或合作部分内审项目。“这主要是基于如何以最具成本效益的方式来实现目标。我很支持协力式外判，由于银行是受严格监管的行业，我们不能选择全部外判的方式，但是协力式外判可以让我们在需要时善用外部资源和了解行内的更佳实务。”

罗爱生赞成拥有内部团队，并表示内部审计师需要深入了解企业的营运、文化和各项业务。“对于维系长远关系，企业最好是拥有自己的内部审计团队。”但他亦认为外判或协力式外判让专业人士执行一次性的任务，例如道德黑客操作，也有好处，并且更具成本效益。

郑廸伟指出，对于在全球不同地方拥有业务的公司来说，出于成本考虑，外判是可取的，因为要建立能涵盖各地的内部审计团队的成本可能十分高昂。“如果外判给四大会计师事务所之一，则可以善用它们的环球资源，成本效益较高。”他亦补充道，自建团队的话，内部审计师是企业的员工，其他员工，特别是高级管理层，可能会更愿意向他们分享状况及视内部审计师为业务伙伴。“外判团队很难与高级管理层建立动态关系。内部团队则可以更灵活地应对高级管理层的临时和紧急要求。”

邝晓桓指出，从零开始自建内部审计部门的成本可以很高，因此企业可以在最初外判该项职能，同时逐步聘请人才组成自己的内部团队。

毕马威的李懿玲表示，小型机构或就业吸引力较低行业的企业，可能会面对难以招聘和维持内部审计团队人才稳定的挑战。她补充说，对于小规模团队而言，人员流失率还可能导致知识严重流失。她说：“如果机构选择外判，尽管相关会计师事务所或会有人员流失，但是总有些机制确保知识及资讯能妥善保留。”李懿玲更表示，由于外判团队会接触到不同公司，他们较能掌握行业整体的市场趋势和最佳实务。

她还指出，内部团队与外判内部审计师之间亦有不同之处：“内部团队较专注企业自身环境，而外判内部审计师则较熟悉不同的企业和商业环境。”

建立内部审计团队

内部审计事务涵盖的范畴因行业而异，例如购物中心要审计租赁业务或制造商要审计生产流程等。南丰集团的罗爱生表示，房地产发展商的内部审计师还要进行安全、健康和环境审计。他说：“这种审计的目的，是评估工程团队在建筑项目中所采取在安全、健康及环境管理流程等方面的控制措施是否充分有效。”郑廸伟表示，为了全面履行内部审计的职能，对于内部审计师来说，是要与高层人员定调，确保他们符合高级管理层的期望。他说：“内部审计师必须了解高级管理层的期望，并且得到高层人员的支持，究竟高级管理层希望内部审计师纯粹担任合规检查角色，还是希望超越这种角色，为公司增值并为战略计划提供见解或保证。”

明确了管理层的期望后，接下来内部审计师应进行评估，设计基于风险的审计，并根据风险程度等级优先分配资源给重点领域。救世军的邝晓桓指出，深入了解企业的营运和不同业务部门的职能十分重要：“内部审计师参考企业的风险纪录和风险偏好来制订审计计划时，必须仔细研究企业的目标和相关风险。”毕马威的李懿玲表示，外判团队更应花时间了解机构的业务营运、战略、风险以及近期发展情况，这点尤为重要。她说：“内部审计师在制订计划时，必须了解公司业务的独特之处，以及公司是否有独有的项目需要多加考虑。”

罗爱生将内部审计师的工作分为四个部分：目的、流程、审计结果和人际。他解释道，第一步是内部审计师界定内部审计的目的，其中包括内部审计团队的愿景、使命和价值。第二步（即流程）是指内部审计管理，其中包括规划、实地工作、汇报和跟进等阶段。内部审计师提交的结果可能包括审计报告，其中说明了他们的调查结果、确认的潜在风险以及有关解决问题的建议。

罗爱生强调称，在整个流程中，内部审计师应关注人的因素，这一点十分关键。他说：“内部审计师需要界定利益相关者是谁，并与他们定期举行会议。在处理审计项目时除了进行正式会议外，他还会与公司各业务部门的负责人以喝咖啡或吃午餐等非正式方式交流。他说：“如果想成为他们信赖的合作伙伴，不能每隔一两年才面会一次，然后提交报告了事。我们需要建立长期的友好关系。”

驾驭科技

新科技对内部审计师的工作带来重大影响。IIA香港分会会长李深解释说，内部审计师能够利用人工智能（AI）和数据分析技术检视某些事情的全貌，不再只依赖抽样检查。这些技术还可以检测出异常情况或领域，方便相关人员进行深入调查。

她以对热线中心员工服务质量检查为例。她说：“传统上抽样检查只能涵盖3%至5%的通话内容。如运用语音识别技术，可以轻易将语音转换为文字，并可检查所有通话内容。此外，透过测算通话时间的长短及员工的语气语调，还可以利用数据分析来识别出模式或找出异常情况。”

李深补充道，有效使用科技不仅能更大大提升审计工作的效率效果，还能推动员工的行为转变。她说：“因为大家意识到无法再靠运气躲过抽样审查、成为那幸运的95%。”

罗爱生对此表示赞同：“数据分析技术令我们的工作变得轻松。以前我们要审查很多文件，但现在可以使用IT系统为我们审查文件中的数据。”他补充道，这些工作自动化亦代表了内部审计师有更多时间调查潜在的异常情况，同时他们亦凭着数据分析的结果提供建议，从而提高业务营运效率和成效。

郑廸伟表示，新科技也对审计流程产生了重大影响。他说：“以机器人流程自动化为例，机器人可以处理乏味或重复性的工作，例如从总分类账中抽出数据，并按照预设时间进行对账。这大大节省了内部审计师的时间，让他们能够专注于其他重要事务，例如从管治角度为公司的战略计划提供见解，或者参与更多管理层会议，了解公司最新情况，从而更有效地分配资源。”

郑廸伟表示，科技虽然能协助内部审计师处理工作，同时也带来挑战。他指出，在企业推行数字化转型的过程中，内部审计师有责任确保企业不会出现重大问题或新风险，并仍能够实现其业务目标。

李深预计，科技将对内部审计工作发挥越来越重要的作用，因此内部审计师必须具备驾驭新技术的能力，并掌握最新发展趋势。

郑廸伟补充道，在业务流程应用新技术越来越普及，内部审计师有必要了解技术应用的最新进展，并确保采取适当的监控措施管理不断涌现的风险。罗爱生预测，在五至十年后，市场再不会有专门的IT审计师，因为到那时所有内部审计师都会成为科技专家，IT技能也将是他们职业能力的一部分。

识别欺诈

正如大家所知，内部审计师的一项重要职能，就是帮助企业识别和尽量降低欺诈风险。来自大型企业集团的郑廸伟表示，为了降低欺诈风险，他们利用数据分析技术来审查交易及找出异常情况的模式。他表示：“传统的抽查方法无法对高风险交易进行更深入集中的审查，已不能满足业务的需求。”

毕马威的李懿玲指出，内部审计师凭着知识识别出承受最高欺诈风险的领域或交易，还可以利用数据分析技术来确认需要作深入调查的潜在问题。

此外，内部审计的审查工作还可以确定流程出现问题的时间。邝晓桓说：“三年前，我发现一名员工挪用公司的现金收入。我是通过多项测试才发现，包括开展趋势分析、审查职责分工，以及核对收入记录和银行存款记录。”但他补充道，内部审计师没有什么标准流程可用来检测欺诈风险。他认为最重要是保持专业怀疑精神。邝晓桓说：“内部审计师不可能发现所有欺诈行为，我们并不是警察或法证会计师。但是，我们应当能够识别欺诈风险并提出潜在欺诈行为。”

罗爱生指出，在三道防线中，第一道和第二道防线的作用是监察和防范欺诈行为，而作为第三道防线的内部审计师，则应关注现行整体欺诈风险管理和机制。他补充道，内部审计师还应发起预防欺诈的培训，帮助企业制订相关举报政策。

东亚银行的李深也认为，内部审计可以透过检讨公司的整体欺诈风险管理框架来防范欺诈。她说：“欺诈行为是很难杜绝的，但企业应把欺诈风险管理在可控程度内。为了帮助企业预防欺诈行为，我们既应考虑硬性的监控措施，例如系统、政策和程序；也要采用软性的控制措施，例如管理基调。”

她补充道，内部审计师需要留意一些警号，例如，有人藉具争议的行为走捷径。她说：“这未必会即时带来财务影响，但如果不及时纠正这种不恰当行为，机构可能因此付出沉重代价。对于内部审计师来说，真正要关注的课题是行为风险、文化和道德，这些部分更难于审核。”

各类挑战

郑廸伟认为，争取管理层对内部审计职能的认同是最困难的事。他说：“如果高级管理层不视内部审计师为业务合作伙伴，他们不会给内部审计师所需的资源执行工作，也会抱防范之心认为内部审计师是找问题的警察。在这种情况下，内部审计师很难为企业增值。然而这种文化在香港却相当普遍。”

邝晓桓认为科技进步对内部审计师而言是当前最大的挑战。他指出：“新系统和科技日新月异，企业会利用这些新技术来提高营运效率。因此，内部审计师必须拥有很强的学习能力，迅速应对新技术。”

罗爱生认为主要挑战是要在瞬息万变的商界中与时并进。他指出：“我的公司过去专注于房地产开发，因此我的团员有些拥有工程和测量背景。现在公司的业务已经拓展至物业租赁（例如购物中心），以至金融和生命科学投资领域。作为内部审计师，我们需要持续进步，掌握所有业务行情。”

李懿玲表示赞同：“从新冠疫情的影响到业务转型和新技术冒起，商业环境急速地转变。利益相关者都期望我们能紧贴这些变化。”

勇气与专业怀疑

虽然内部审计师要具备与外部审计师相若的专业技能，但他们不一定要拥有会计专业背景。对于内部审计师而言，拥有商业洞察力和多种软技能更为重要。邝晓桓表示：“为了有效地履行内部审计职能，内部审计师必须充分了解他们的公司、各个部门以及各种业务职能。因此，良好的理解能力和沟通技巧十分重要。”

他补充道，没有一套所谓必备技能适用于所有内部审计师，他们所需的技能因行业和企业营运方式而异，但他们必须具备扎实的财务和会计知识、良好的写作及演讲技巧，以及抱有专业的怀疑精神。他说：“此外，内部审计师还要学习得快、灵活变通，能够适应各种变化。”

郑廸伟赞同说：“为了能理解业务背景、识别监控的不足或缺失情形，从而提出平衡成本和监控效能的实用建议，内部审计师需要具有批判性思维和商业洞察力，同时要精通科技，以了解不同的技术如何影响业务并识别相关风险。”

罗爱生还认为，内部审计师须具备良好的软技能，尤其是说服力和与人有效协作的技能。他说：“举例说，刚入职几周的内部审计师要向一位服务公司30年的工地经理提出问题，可能要花很多时间来说服他，帮助他理解需要作出改变的原因，因此拥有这些软技能尤为重要。”罗爱生补充道，由于很多问题不能靠一人或一个团队就能解决，所以协作能力也很重要。他认为：“有时候，内部审计师需要IT团队、人力资源团队和工程团队的帮助。因此，内部审计师要能与所有团队通力合作。”

李懿玲认为，为获得管理层的支持，内部审计师必须是优秀的沟通者，能撰写简洁有力的报告，清晰地表达调查的结果、所发现问题的潜在影响以及补救建议等。她说：“由于内部审计师需要检视各种各样的流程和职能，内部审计师需要有良好的适应能力和学习能力。即使我们成为一个行业的专家，但不同的机构也会有不一样的状况。”

李深指出，商业触角、批判性思维、数据分析能力和IT知识都是内部审计师应有的重要技能。在软技能方面，她表示：“我们需要优秀的沟通者，要勇于发声，而且要坦诚懂变通。此外，内部审计师也需要具备良好的人际技巧，因为我们的工作是与不同的人打交道。”

若会计师有兴趣成为内部审计师，可考虑考取注册内部审计师（CIA）资格，这是这行业的国际专业机构IIA所颁授的专业资历。李懿玲表示：“参加考试以获取注册内部审计师称衔，让有志于成为内部审计师的会计师掌握内部审计的基础知识。实际上，IIA与其他专业会计机构（例如香港会计师公会）组织了多次注册内部审计师挑战考试，为拥有会计师资历的人士提供获得注册内部审计师资历的快速途径。”

郑廸伟表示在审计或咨询事务所从事内部审计工作是不错的起点，而李深表示若公司有推行工作轮换的计划，不妨客席参与审计项目。她说：“许多机构为了培训人才，会以短期借调方式安排员工加入内部审计团队，有兴趣者可以透过此类计划来尝试内部审计师的工作。”

内部审计师的一天

救世军内部审计师邝晓桓（会计师）表示，内部审计师的日常工作通常包括测试、分析、评估、与业务部门讨论以及撰写报告等。他说：“听起来好像很没趣刻板，但每项审计任务的内容和重点都可能截然不同。例如，一项审计任务可能关于采购及测试材料，而另一项则可能关乎个人数据保护。”

东亚银行有限公司集团总稽核李深（资深会计师）分享说，她日常要参与很多会议：“资深内审人员以观察者身分列席许多管理委员会会议，以及时掌握机构的最新发展动态，并适当及时地调整审计方法及重点。我还要经常和团队成员开会，在会上集思广益、制订计划，还会召开进度会议，讨论下一阶段的工作内容、方法和重点领域，以及检讨工作成果等。”她补充道，内部审计人员还要与不同业务部门紧密交流，以了解它们的重大变化或挑战。她说：“内部审计师可从中就管治和监控事宜及时提供建议。”

在香港一家大型企业担任集团审计及管理服务高级经理的郑廸伟（会计师）表示，内部审计师大部分时间都花在与人交流、了解业务流程上。他说：“为了进行内部审计，我们通常会检视政策和程序，对业务交易进行数据分析，并检查证明文件。但我们工作的有趣之处是与人交流，了解他们在业务中面对的实际挑战、遇到的问题及他们如何处理，以及有否采取适当的监控措施等。内部审计师必须懂得易地而处，批判性地评估自己提出的建议是否务实有用。”

毕马威合伙人兼香港区治理、风险及合规服务主管李懿玲（资深会计师）表示，在外判团队工作的内部审计师可能要同时处理多个项目。她说：“内部审计师可能一边为忙于执行一个项目，同时也等待着另一个客户的回复，还要为下一项任务做好规划，内部审计师时常要同时处理多项事情。”

除了日常工作外，南丰集团内部审计主管罗爱生（会计师）强调内部审计师还要抽时间了解行业的最新发展动态、监管变化和各类新闻（例如法庭案件），这些都可能对其公司带来影响。他说：“如果我们要成为企业值得信赖的合作伙伴，并在防范风险和监控措施方面发挥力量，以上所说都是我们的份内事。”

充分发挥内部审计师的价值

企业若希望充分发挥内部审计师的作用，先要视他们为值得信赖的企业顾问。李懿玲表示：“机构要认同内部审计职能的真正价值，并乐于接受有关改进营运的独立意见。”她补充道，管理层向内部审计师分享他们的业务战略和计划也很重要，以确保他们的审计重点与董事会的工作重点相符。

郑廸伟建议道，内部审计师应当与高级管理层密切合作，争取列席管理层会议以了解业务战略。他说：“我们需要了解企业的战略方向，明白企业的重要领域。如果得不到管理层的支持，内部审计师就只能审查过往交易或营运方式，无法为公司增值。”

邝晓桓认为，如果企业希望尽量发挥内部审计师的作用，则必须明确内部审计师在机构里的定位并加以重视。他补充说，高层对内部审计的定调，对于他们有效履行内部审计职能非常重要。

邝晓桓也指出，内部审计师在行政上向首席执行官报告，但在职能上则向审计委员会报告。表示：“经理或业务部门可能会对内部审计很抗拒，有些甚至认为内部审计师打乱他们的营运及利润。在这种情况下，领导层和管理层必须保持中立。”

罗爱生强调，管理层必须要信任内部审计师，并明白他们也是团队的一分子：“我们不是在挑错，而是作为团队中的一份子，协助企业解决问题及实现业务目标。”

李深认为，人员和机构应顺应环境变化而演变，而不是论资排辈、墨守陈规。她说：“我相信团队合作的力量，任何事情都有更好的处理方法。每人都要积极拥抱改变，抱开放的态度认真聆听学习，并要抱批判性思维，包括经常反思自己的工作方式和方法。”

李深还鼓励内部审计人员找机会到其他部门工作,从而深入了解其他部门日常运作中工作上的挑战，并让其他部门的人才到内部审计团队进行客席审计工作。她说：“批评很容易，事后诸葛亮更加容易。内部审计人员必须具有前瞻性、提出建设性建议。我认为互相交流的实践工作经验对每个人都有很大帮助。”

本文为编译版本，原文首发于香港会计师公会会员杂志 A Plus 第8期。

点击“”，浏览英文原报道：