國際內審師(CIA)紅皮書-實務公告(11)

　　實務公告1321-1 對“遵循《標準》”的應用

　　主要相關標準：

　　1321-對“遵循《標準》”的應用

　　只有在質量保證與改進程序的結果證實內部審計活動遵循了《標準》時，首席審計執行官才可以進行“遵循《標準》”的聲明。

　　1、對內部審計部門的持續監督以及內外部評估，應評價內部審計工作對“內部審計定義”、《職業到得規范》和《標準》的遵循情況，并出具意見，適當情況下還應包括改進的建議。

　　2、“遵循”的使用可以是“遵守了《標準》”或者是“與《標準》一致”。預使用上述短語之一，要求每五年至少開展一次外部評估，同時伴有持續監督、定期的內部評估，并且得出的結論是：內部審計工作遵循了“內部審計定義”、《職業到得規范》和《標準》。只有外部評估證明內部審計工作遵循了“內部審計定義”、《職業到得規范》和《標準》之后，方可首次使用“遵循”一詞。

　　3、首席審計執行官有責任向高級管理層和董事會披露影響內部審計工作的整體范圍和運營的為遵循情況，這包括五年之內未接受外部評估的情況。

　　4、在“遵循”的應用方面，如果通過自然評估（內部或外部）發現了不遵循的情況，而且這種情況有損內部審計部門履行其職責，則：

　　●必須對其進行適當糾正；

　　●應當記錄改進措施，并向相關評估者進行報告，獲取其對于不遵循情況已得到適當改進的認可；

　　●改進措施和評估意見應當反饋給高級管理層和董事會。

　　實務公告2010-1 審計計劃對風險和風險暴露的關注

　　主要相關標準：

　　2010-計劃

　　首席審計執行官必須以分享為基礎制定計劃，以確定與組織目標相一致的內部審計活動重點。

　　釋義

　　首席審計執行官負責以風險為基礎制定計劃。制定計劃時，首席審計執行官需考慮組織的風險管理框架，包括管理層針對不同的業務或部門確定的風險偏好水平。如果尚未建立風險管理框架，首席審計執行官可以與高級管理層和董事會磋商后，自行作出風險判斷。

　　1、在制定內部審計部門的審計計劃時，許多首席審計執行官發現，先制定或更新審計范圍是很有效的方法。審計范圍是指所有可能進行的審計。首席審計執行官可以聽取高級管理層和董事會關于審計范圍的意見。

　　2、審計范圍可以吸收組織戰略計劃的成分。通過吸收戰略計劃，審計范圍將考慮并反映出總體業務目標。戰略計劃也可能反映出組織對待風險和實現既定目標困難程度的態度。一般來說，風險管理過程的結果會對審計范圍產生影響。組織戰略計劃的制定會考慮到組織運營的環境，而環境因素很可能對審計范圍和對相關風險的評估產生影響。

　　3、首席審計執行官在準備內部審計部門的審計計劃時，要以從高級管理層和董事會獲取的審計范圍以及風險、風險暴露對組織的影響進行的評估為基礎。審計目標的關鍵常常是向高級管理層和董事會提供確認和相關信息，包括對管理層的風險管理活動效果的評估，以幫助他們實現組織目標。

　　4、審計范圍和相關審計計劃內容的更新，應該反映出管理層的方針、目標、重點和焦點出現的變化。建議至少每年對審計范圍評估一次，以反映組織的戰略和方針。在某些情況下，審計計劃需要進行比較頻繁（例如，每季度）的更新，目的是對組織的主管業務、程序、系統和控制等方面的變化作出反應。

　　5、應該在評估風險和風險暴露優先次序的基礎上安排審計工作。只有對風險進行優先排序之后，才能根據風險暴露的重要性分配相關的資源。多種風險模型的存在對首席審計執行官是很有幫助的。大多數的風險模型都利用了影響力、可能性、重要性、資產流動性、管理能力、內部控制的質量和內涵、變化或穩定程度、上次審計業務開展的時間和結果、復雜性、與雇員及政府的關系等風險因素。

　　相關鏈接：國際內審師(CIA)紅皮書2009年1月修訂版匯總