中国太平洋保险(集团)股份有限公司审计中心内控首席审计师 胡霜竹

  随着各国对于内部控制相关规范的不断出台，内部控制的内涵与外延在不断丰富，现代内部控制的内容已经从财务控制向全面控制进行转变，与此同时，内控审计的内容也日益宽泛。但是目前内控审计在实务操作中，普遍在审计目标、审计重点和审计技术方面存在理念与实践的误区，影响内控审计成效和价值的发挥。

  本文围绕内控审计的价值再造，结合企业内部审计的实践，探讨在“全面内控”形势下，如何厘清目标、明确重点，并配合恰当的审计技术与方法，开展行之有效的内控审计，使之紧贴公司经营特点，更好地服务于企业的可持续发展。

  一、内控审计的基础背景与特点

  1. 内部控制体系的发展概况

  内部控制是个广受国内外各界关注的问题。1992年，由美国COSO委员会发布的《内部控制—整体框架》得到了国际普遍认可，为全球范围内的内部控制提供了重要的理论基础和实践指导。其把内部控制的目标设定为三类：经营的效率和效果、财务报告的可靠性、适用法律法规的遵循性。

  2008年，我国财政部等五部门颁布了《企业内部控制基本规范》，将内部控制目标升级设定为“合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”。

  不难看出，在推行内部控制规范的道路上，我国既涵盖了国际普遍认可的合法目标、报告目标、经营目标、资产安全四项目标，还增加了战略目标，这是一种“全面内控”的要求。

  2. 内控审计的演进

  随着外部监管及资本市场对内部控制关注度的提升，一系列内部控制规范相继颁布，众多国家和地区都对内部控制的设计、评价进行了明确规范。我国提出，企业需要落实内部控制自我评价，也需要聘请外部审计机构对企业内部控制的有效性进行审计，出具审计报告。

  企业在内控审计方面的定位，逐渐转变为“全面内控”概念下的全方位审计。企业在内部控制领域的审计工作不仅是对外部审计的一种补充，更承担了“全面内控”目标下的主要审计工作。企业的内部审计部门除在传统的财务报告相关内部控制领域需要开展审计工作，对于战略、经营、合规、资产安全等领域也需开展审计工作，这对于企业内部审计人员不仅仅是审计范围与审计内容的拓展，更是对审计技能与方法的重大挑战，甚至可以说是审计思维的转变和审计实质的飞跃。

  二、内部控制审计实践中的常见误区

  随着内部控制规范体系的发展，“全面内控”的目标不仅为企业开展内部控制建设带来了新的要求，也为内部控制审计带来了新的思考与挑战。实践中，企业往往受限于现实条件及习惯性工作模式，落实情况与整体目标尚有差距。笔者基于过往项目情况及内审同业的体会，总结了内控审计实践中的常见误区。

  1. 审计目标：重问题发现，轻体系评价

  (1)现状分析

  内控审计实践中，普遍存在着过分强调问题发现、忽视体系评价的倾向。内审人员往往习惯性地沿用传统的合规性审计思维，将主要精力放在查找具体问题上，将发现问题的数量作为衡量审计成效的主要指标，过分强调对制度执行情况的检查。内审报告往往罗列大量具体问题，缺乏对问题背后系统性原因的分析。

  这种片面做法导致内控审计偏离了其本质目标，难以全面评估内控体系的有效性;且也容易使内控审计工作停留在表面，难以触及内控体系的深层次问题，导致审计建议往往局限于具体问题的整改，缺乏全局性和前瞻性，降低了内审的增值作用。

  (2)影响分析

  内控体系的整体有效性评估至关重要。组织需要了解内控体系是否能够有效防范风险、是否与战略目标相匹配、是否存在系统性缺陷。这些问题无法通过单纯的问题发现来解决，需要进行全面的体系评价。

  通过对内控体系的全面评估，可以发现制度设计缺陷、执行机制漏洞等系统性风险。这些问题往往比具体操作层面的问题更具危害性，需要引起管理层的高度重视。另外，全面的内控体系评估能够为组织提供战略性建议，帮助优化风险管理体系，提升运营效率，这种增值作用远超过具体问题整改带来的价值。

  (3)优化思路

  内控审计需要实现从问题导向到体系评价的转变，这不仅是审计方法的改变，更是审计理念的革新。只有这样，内控审计才能真正发挥其在组织治理中的重要作用，为组织持续健康发展提供有力保障。一是建立科学的内控评价指标体系。设计涵盖控制环境、风险评估、控制活动、信息沟通、监督等要素的评价指标，全面反映内控体系的有效性。指标体系应该具有可操作性和针对性，能够满足不同组织的需求。二是优化审计程序和方法。在传统问题发现方法的基础上，引入风险评估、流程分析、压力测试等体系评价方法。通过多种方法的综合运用，全面评估内控体系的有效性，发现系统性风险。三是提升内审人员体系评价能力。加强内审人员的专业培训，提升其风险评估、体系分析等方面的能力;培养内审人员的战略思维和系统思维，使其能够从全局角度评估内控体系的有效性。

  2. 审计重点：重财务合规，轻战略运营

  (1)现状分析

  传统的内控审计更多关注财务、资产安全、合规等领域，对应的内部审计资源往往向这些方面进行投入。但在“全面内控”的理念下，战略的落实及运营效率效果的提升，也是内控审计无法忽视的重要领域。实践中，相关内审人员往往受限于过往专业背景和项目经验，对于企业的战略以及运营管理参与有限，无法对相关内容进行有效的分析和规划，因此也无法实施较为深入的内控审计工作。内控审计往往给企业管理层的印象就是围绕业务流程和执行层面开展的。

  (2)影响分析

  从“全面内控”的视角分析，战略的落实与运营质效的提升，对于企业的发展与经营往往更为关键，发挥着引领作用。基于目前内控审计普遍实施的情况来看，其与全方位审计的目标相比还有相当的差距，既无法清晰体现内部审计与外部审计在内控审计方面的差异，起不到补充外审覆盖范围的作用，也无法从深层次挖掘企业的系统性、前瞻性问题，过多聚焦于执行层面的当下现状，虽覆盖面广，但更注重业务细节，整体站位和格局尚未能达到理想状态，不利于发挥内审的增值作用。

  (3)优化思路

  在开展了一些相关的内控审计项目后，笔者认为可以考虑调整审计方法，以弥补当前实践中的不足和内审人员能力的短板。调整后的审计方法总结为纵横法，即将审计工作分为纵向审计与横向审计，两种方法需要相互补充、有机结合。纵向审计，即从审计对象的某一内容向纵深方向进行深层次分析(如销售流程，从业务报价起至最终的收入入账)，从中评估审计对象各项内控措施的设计与执行情况;横向审计，即跳出单个审计主体，针对某些环节或内控措施，通过多个同类审计主体的横向对比，比较分析出内控措施的有效性。

  纵向审计法在内控措施实施比较成熟的环节运用较多，一般相应的评估标准也比较明确;横向审计法在内控措施较新领域运用较多，主要考虑到相关的运行经验或累计数据较少，很难得出一个让人信服的标准，因此汇总多个审计主体的实际运行情况，通过横向比较摸索出较为合理可行的评估标准，同时也为较差的审计主体后续整改提供明确的方向。

  笔者在实际运用纵横法后，总结了如下特点，以期较好地为战略、运营管理等领域的内控审计服务。一是互补性。开始具体审计项目时，审计工作如果侧重采用纵向审计，那么横向审计就能对纵向审计起到一定的补充完善作用;反之亦然。二是灵活性。进行审计时，可根据审计对象实际情况灵活应用，既可偏重于采用纵向审计，也可偏重于采用横向审计，二者可相互配合。三是全局性和局部性。可以在整个审计项目的全过程或全部内容中采用纵横法，也可以在审计项目的某一阶段或某一部分内容中采用。

  值得一提的是，横向审计与纵向审计对应的具体审计内容并非一成不变，会随企业战略目标及具体业务流程的变化发生动态调整。因此，审计人员需要贴合变化，动态调整审计方法，以期达到既定的审计目标，提升审计效率。

  3. 审计数字化：重模型技术，轻专业判断

  (1)现状分析

  当前，内部审计领域正掀起一场数字化革命。大数据分析、人工智能、区块链等新技术不断涌入审计领域，推动着审计方式和工作模式的深刻变革。在这场变革浪潮中，一些审计部门盲目追求技术应用，陷入了技术崇拜的误区，将数字化等同于先进，将技术应用程度作为衡量审计工作先进性的唯一标准，过分强调数据分析模型的复杂性和技术工具的先进性，忽视了审计专业判断的重要性，将技术手段误认为审计目标。

  审计资源配置方面也出现明显的失衡。大量资源投入到技术平台建设和工具采购中，忽视了审计人员专业能力的培养和提升。一些内审部门热衷于搭建昂贵的审计系统，却缺乏有效运用的能力，造成资源浪费，这种配置方式反而削弱了审计的核心竞争力。同时，这种失衡也会导致审计人员过度依赖技术工具，专业判断能力逐渐弱化，审计决策依赖数据分析结果，进而使其在面对复杂审计事项时，缺乏深入分析和职业判断，难以发现问题的本质，严重影响审计质量。

  (2)影响分析

  数字化审计的本质是通过技术手段提升审计效率和质量，而非替代审计专业判断。审计专业能力仍是核心。审计人员需要具备扎实的专业知识、敏锐的职业判断力和丰富的实践经验，这些核心能力是确保审计质量的关键，也是技术无法替代的。技术应该服务于审计目标，帮助审计人员更好地发现问题、评估风险、提供建议，并提升审计效率。正确认识技术的作用，是实现数字化审计健康发展的前提。

  技术与专业的融合是发展方向。数字化审计不是简单的技术应用，而是技术与审计专业的深度融合。审计人员需要既懂专业又懂技术，能够将技术手段与专业判断有机结合，发挥技术优势，提升审计价值。

  (3)优化思路

  内部审计需要回归监督与服务的本质，在数字化转型中保持清醒，实现技术与专业的有机融合。一是建立科学的数字化审计战略。内审部门需根据自身特点和需求，制定切实可行的数字化战略。战略规划应该明确技术应用的目标和路径，避免盲目跟风和资源浪费，同时要注重人才培养和能力建设，为数字化转型提供支撑。二是优化审计资源配置。在技术投入和专业能力建设之间寻求平衡，既要重视技术平台建设，也要加大人才培养投入力度。建立科学的资源分配机制，确保各项资源得到有效利用，提升整体审计能力。三是建立技术与专业融合的审计模式。探索技术应用与专业判断相结合的工作方法，将技术手段嵌入内审流程，提升审计效率，同时保持内审人员的专业判断力，确保审计质量。通过实践积累经验，持续完善数字化审计模式。

  三、内控审计价值的再思考

  1.内部审计独立性的提升

  内部审计独立性是内部审计工作的灵魂，对于确保审计工作客观公正、有效发挥监督作用至关重要。提升内部审计独立性，需从多个关键方面发力。一是组织架构方面，内审部门需直接向董事会或审计委员会报告，独立于其他业务部门，这样能减少干扰，使内审人员以客观公正的视角审视企业经营，及时发现并解决问题。二是人员配置方面，要选拔具备财务、审计、风险管理等专业知识，且职业道德过硬的内审人员。三是制度建设方面，要完善内部审计制度和流程，明确内审部门的职责、权限和工作程序，让审计工作有章可循;要强化审计结果的运用与跟踪，确保问题整改到位，提升内部审计的权威性。

  2.内审人员专业能力的提升

  内审人员的专业能力对内部审计工作的质量和效果起着决定性作用。为提升其专业能力，需要多管齐下。一是构建完善的培训体系。根据内审人员的实际需求和业务发展方向，制定系统性、针对性的培训计划;定期开展专业培训，让内审人员能够及时掌握最新的理论知识和行业动态，提升其业务能力和职业素养。二是鼓励内审人员参与实际项目，在实践中积累经验。通过参与各类审计项目，内审人员能够将理论知识运用到实际工作中，提高解决实际问题的能力;同时，在项目完成后，组织经验分享会，让内审人员相互交流学习，共同提升。三是支持内审人员参加外部专业交流活动和行业研讨会，有助于内审人员拓宽视野，了解行业内的先进理念和最佳实践，与同行进行深入交流，获取更多的灵感和启发。

  3. 推动审计结果的运用

  审计结果的有效运用，既是对审计价值的充分肯定，也为持续提升内审独立性奠定基础。一是推动审计建议落实。加强对审计建议落实情况的跟踪和监督，确保被审计部门按照要求及时整改问题，将审计建议转化为实际行动。二是定期总结与提炼。定期对审计工作中的发现进行总结分析，提炼出共性问题和典型风险，为持续完善内部控制、优化业务流程提供参考，避免类似问题再次发生。三是促进管理提升。从宏观层面分析审计结果，挖掘企业管理中存在的深层次问题和潜在风险，为企业战略决策、制度建设和流程优化提供有价值的建议，推动企业实现高质量发展。

  作者：中国太平洋保险(集团)股份有限公司审计中心内控首席审计师 胡霜竹