特別報告：內部審計的價值

內部審計職能無論是由企業內部人員組成還是外判團隊支援，他們的角色並不只是事後查找問題，而是透過全面審視業務流程和監控機制，幫助企業有效地提升公司管治和管控。本特別報告剖析內審這個專業領域的會計師如何協助企業在日益複雜的商業環境中實踐卓越營運。

撰文：Nicky Burridge
插圖：Gianfranco Bonadies

隨着企業逐漸意識到內部審計職能對業務的重要價值，近年內部審計的角色也演變起來，從合規檢查的角色變為獨立顧問。鄭廸偉（會計師）是香港一家大型企業的集團審計及管理服務高級經理，他解釋內部審計師的主要作用，是為機構的風險管理和內部監控措施提供獨立觀點，確保企業在符合法規和風險偏好的範圍內經營業務。又或如南豐集團內部審計主管羅愛生（會計師）所說：「我們的主要目標是讓高級管理團隊晚上能放心安睡。」

然而，內部審計師的工作並不止於此，他們其中一項重要職能就是作為值得信賴的合作夥伴，為企業提供客觀持平的建議，從而保護企業並為企業增值。救世軍內部審計師鄺曉桓（會計師）解釋道：「內部審計是提供獨立、客觀保證及諮詢的工作，旨在為機構增值並改善機構的營運。內部審計透過有系統及規範的方法來評估、以及提高風險管理、監控和管治流程等方面的效率，從而協助機構達成目標。」

畢馬威合夥人兼香港區治理、風險及合規服務主管李懿玲（資深會計師）表示贊同，她指出由於內部審計師的工作範圍涉足整個機構，相比只在某一部門工作的員工或較專注提升業績表現的管理人員而言，他們能更宏觀審視監控措施和流程。她說：「企業愈來愈依賴內部審計師根據所收集的數據而提出的見解，他們可以找出不同主題及關鍵問題。企業對內部審計的工作期望亦日漸提高。」

內部審計師與外部審計師的工作有很大分別。鄭廸偉解釋道，外部審計師主要關注公司財務報表的數據，並要確保這些報表的編制過程公正、透明；而內部審計師則要真正了解企業的營運和策略方向。鄭廸偉說：「我們要提供實際及具有成本效益的建議，幫助機構妥善管理風險。外部審計師必須應用審計準則，而內部審計師則要運用批判性思維和商業觸覺。」

鄺曉桓贊同說：「內部審計師不單只關注年報財務業績，還須檢視性質上的因素，例如系統、程序和工作流程等。外部審計師關注財務報表中有沒有任何重大誤報，而內部審計師則幫助企業維持良好的內部監控措施、管治及風險管理，協助企業實現目標。」

李懿玲補充道，外部審計師通常與企業的首席財務官或財務部門密切合作，而內部審計師則除了財務部門外，有更多機會與企業的不同部門的同事共事。

東亞銀行有限公司集團總稽核、國際內部審計師協會（IIA）香港分會會長李深（資深會計師）以審查庫存為例子，說明內部和外部審計師工作之別。她說：「假如庫存餘額降至零，對於外部審計師來說，這不存在財務報告風險，但在內部審計師眼中，結餘為零的結果並不表示庫存管理是沒有問題的，因為我們最關心是控制流程機制而非一個時點上的結果。」

羅愛生稱內部審計師為機構的第三道防線。他解釋說，第一道防線是營運管理部門，第二道防線是風險控制或合規部門：「第三道防線就是內部審計師。我們必須確保第一和第二道防線能發揮應有功用、他們清楚自身的角色及職責，並嚴格遵循風險評估及預防風險程序。」

鄺曉桓補充道，除了確保企業的風險管理系統和程序有效運作外，內部審計師還負責幫助維持企業的道德標準及誠信。他說：「機構設有完善的內部審計部門，有助於維持良好的制衡機制。內部審計對於受嚴謹監管及講求合規的行業尤為重要。」

角色日重

對許多企業來說，內部審計師已經從錦上添花的角色演變成為不可或缺的崗位。羅愛生表示，內部審計師給人的印象亦由監督者變成可以信賴的合作夥伴。

李深補充道，他們的職能已從機械式地檢查內控和法規遵從情況，轉變為站在更高視野地審視整體業務控制機制的有效性。她說：「即使具規模的內部審計團隊可能僅佔員工總數的1%，所以內審團隊必須清楚輕重緩急，而非重複檢查其他人的工作。因此，內部審計師將工作重心放在核查整體監察機制是否穩健，當中包括管理層如何應對不斷變化的風險。我們以宏觀的角度審核點到點的流程，並按情況作深入查究。」

鄺曉桓指出，內部審計工作的重要性獲香港聯交所認同，上市公司必須按規定設有內部或外判的內部審計團隊。他更表示，內部審計職能必須在機構中具有獨立地位，才能給予投資者信心。

鄭廸偉贊同說，內部審計師在確保企業實踐良好管治上扮演重要角色。「現今商業環境較以往複雜得多，投資者、公眾和其他持份者不僅關注財務業績，還着重機構的整體管治狀況，以及業務決策和營運方式是否與企業的願景、使命和價值觀保持一致。」

儘管上市規則規定發行人須設有內部審計職能，但李深表示目前尚未有關於內部審計師資歷認證或遵守國際內審標準的要求。與此同時，許多香港上市公司的內部審計部門仍十分側重檢查歷史交易的操作合規性。她指出：「作為機構中的獨立職能，內審同時擁有企業內部知識和局外人的觀點，能提供獨到的見解，因此是公司管治的重要一環。但是內部審計職能的定位不是由於內部審計團隊自己決定的，還要取決於其他重大持份者，例如監管機構、董事會和高級管理層，因此我們要明確展示內審所能發揮的價值。」

鄭廸偉補充道，內部審計師還有一個重要角色，就是要讓公司管理層充分明白內部審計師真正的工作範疇以及如何創造價值。

內部團隊或外判服務

李深表示，每家公司在選擇建立內部審計團隊、還是將內審職能全部外判或是兩者中間的協力式各有取態。她說，儘管東亞銀行擁有一定規模的內部團隊，但是她仍然很樂意採用與外部事務所合作外判或合作部分內審項目。「這主要是基於如何以最具成本效益的方式來實現目標。我很支持協力式外判，由於銀行是受嚴格監管的行業，我們不能選擇全部外判的方式，但是協力式外判可以讓我們在需要時善用外部資源和了解行內的更佳實務。」

羅愛生贊成擁有內部團隊，並表示內部審計師需要深入了解企業的營運、文化和各項業務。「對於維繫長遠關係，企業最好是擁有自己的內部審計團隊。」但他亦認為外判或協力式外判讓專業人士執行一次性的任務，例如道德黑客操作，也有好處，並且更具成本效益。

鄭廸偉指出，對於在全球不同地方擁有業務的公司來說，出於成本考慮，外判是可取的，因為要建立能涵蓋各地的內部審計團隊的成本可能十分高昂。「如果外判給四大會計師事務所之一，則可以善用它們的環球資源，成本效益較高。」他亦補充道，自建團隊的話，內部審計師是企業的員工，其他員工，特別是高級管理層，可能會更願意向他們分享狀況及視內部審計師為業務夥伴。「外判團隊很難與高級管理層建立動態關係。內部團隊則可以更靈活地應對高級管理層的臨時和緊急要求。」

鄺曉桓指出，從零開始自建內部審計部門的成本可以很高，因此企業可以在最初外判該項職能，同時逐步聘請人才組成自己的內部團隊。

畢馬威的李懿玲表示，小型機構或就業吸引力較低行業的企業，可能會面對難以招聘和維持內部審計團隊人才穩定的挑戰。她補充說，對於小規模團隊而言，人員流失率還可能導致知識嚴重流失。她說：「如果機構選擇外判，儘管相關會計師事務所或會有人員流失，但是總有些機制確保知識及資訊能妥善保留。」李懿玲更表示，由於外判團隊會接觸到不同公司，他們較能掌握行業整體的市場趨勢和最佳實務。

她還指出，內部團隊與外判內部審計師之間亦有不同之處：「內部團隊較專注企業自身環境，而外判內部審計師則較熟悉不同的企業和商業環境。」

建立內部審計團隊

內部審計事務涵蓋的範疇因行業而異，例如購物中心要審計租賃業務或製造商要審計生產流程等。南豐集團的羅愛生表示，房地產發展商的內部審計師還要進行安全、健康和環境審計。他說：「這種審計的目的，是評估工程團隊在建築項目中所採取在安全、健康及環境管理流程等方面的控制措施是否充分有效。」鄭廸偉表示，為了全面履行內部審計的職能，對於內部審計師來說，是要與高層人員定調，確保他們符合高級管理層的期望。他說：「內部審計師必須了解高級管理層的期望，並且得到高層人員的支持，究竟高級管理層希望內部審計師純粹擔任合規檢查角色，還是希望超越這種角色，為公司增值並為策略計劃提供見解或保證。」

明確了解管理層的期望後，接下來內部審計師應進行評估，設計基於風險的審計，並根據風險程度等級優先分配資源給重點領域。救世軍的鄺曉桓指出，深入了解企業的營運和不同業務部門的職能十分重要：「內部審計師參考企業的風險紀錄和風險偏好來制訂審計計劃時，必須仔細研究企業的目標和相關風險。」畢馬威的李懿玲表示，外判團隊更應花時間了解機構的業務營運、策略、風險以及近期發展情況，這點尤為重要。她說：「內部審計師在制訂計劃時，必須了解公司業務的獨特之處，以及公司是否有獨有的項目需要多加考慮。」

羅愛生將內部審計師的工作分為四個部分：目的、流程、審計結果和人際。他解釋道，第一步是內部審計師界定內部審計的目的，其中包括內部審計團隊的願景、使命和價值。第二步（即流程）是指內部審計管理，其中包括規劃、實地工作、匯報和跟進等階段。內部審計師提交的結果可能包括審計報告，其中說明了他們的調查結果、確認的潛在風險以及有關解決問題的建議。

羅愛生強調稱，在整個流程中，內部審計師應關注人的因素，這一點十分關鍵。他說：「內部審計師需要界定持份者是誰，並與他們定期舉行會議。在處理審計項目時除了進行正式會議外，他還會與公司各業務部門的負責人以喝咖啡或吃午餐等非正式方式交流。他說：「如果想成為他們信賴的合作夥伴，不能每隔一兩年才面會一次，然後提交報告了事。我們需要建立長期的友好關係。」

駕馭科技

新科技對內部審計師的工作帶來重大影響。IIA香港分會會長李深解釋說，內部審計師能夠利用人工智能（AI）和數據分析技術檢視某些事情的全貌，不再只依賴抽樣檢查。這些技術還可以檢測出異常情況或領域，方便相關人員進行深入調查。

她以對熱線中心員工服務質量檢查為例。她說：「傳統上抽樣檢查只能涵蓋3%至5%的通話內容。如運用語音識別技術，可以輕易將語音轉換為文字，並可檢查所有通話內容。此外，透過測算通話時間的長短及員工的語氣語調，還可以利用數據分析來識別出模式或找出異常情況。」

李深補充道，有效使用科技不僅能更大大提升審計工作的效率效果，還能推動員工的行為轉變。她說：「因為大家意識到無法再靠運氣躲過抽樣審查、成為那幸運的95%。」

羅愛生對此表示贊同：「數據分析技術令我們的工作變得輕鬆。以前我們要審查很多文件，但現在可以使用IT系統為我們審查文件中的數據。」他補充道，這些工作自動化亦代表了內部審計師有更多時間調查潛在的異常情況，同時他們亦憑着數據分析的結果提供建議，從而提高業務營運效率和成效。

鄭廸偉表示，新科技也對審計流程產生了重大影響。他說：「以機械人流程自動化為例，機械人可以處理乏味或重複性的工作，例如從總分類賬中抽出數據，並按照預設時間進行對賬。這大大節省了內部審計師的時間，讓他們能夠專注於其他重要事務，例如從管治角度為公司的策略計劃提供見解，或者參與更多管理層會議，了解公司最新情況，從而更有效地分配資源。」

鄭廸偉表示，科技雖然能協助內部審計師處理工作，同時也帶來挑戰。他指出，在企業推行數碼化轉型的過程中，內部審計師有責任確保企業不會出現重大問題或新風險，並仍能夠實現其業務目標。

李深預計，科技將對內部審計工作發揮越來越重要的作用，因此內部審計師必須具備駕馭新技術的能力，並掌握最新發展趨勢。

鄭廸偉補充道，在業務流程應用新技術越來越普及，內部審計師有必要了解技術應用的最新進展，並確保採取適當的監控措施管理不斷湧現的風險。羅愛生預測，在五至十年後，市場再不會有專門的IT審計師，因為到那時所有內部審計師都會成為科技專家，IT技能也將是他們職業能力的一部分。

識別欺詐

正如大家所知，內部審計師的一項重要職能，就是幫助企業識別和儘量降低欺詐風險。來自大型企業集團的鄭廸偉表示，為了降低欺詐風險，他們利用數據分析技術來審查交易及找出異常情況的模式。他表示：「傳統的抽查方法無法對高風險交易進行更深入集中的審查，已不能滿足業務的需求。」

畢馬威的李懿玲指出，內部審計師憑着知識識別出承受最高欺詐風險的領域或交易，還可以利用數據分析技術來確認需要作深入調查的潛在問題。

此外，內部審計的審查工作還可以確定流程出現問題的時間。鄺曉桓說：「三年前，我發現一名員工挪用公司的現金收入。我是通過多項測試才發現，包括開展趨勢分析、審查職責分工，以及核對收入記錄和銀行存款記錄。」但他補充道，內部審計師沒有什麼標準流程可用來檢測欺詐風險。他認為最重要是保持專業懷疑精神。鄺曉桓說：「內部審計師不可能發現所有欺詐行為，我們並不是警察或法證會計師。但是，我們應當能夠識別欺詐風險並提出潛在欺詐行為。」

羅愛生指出，在三道防線中，第一道和第二道防線的作用是監察和防範欺詐行為，而作為第三道防線的內部審計師，則應關注現行整體欺詐風險管理和機制。他補充道，內部審計師還應發起預防欺詐的培訓，幫助企業制訂相關舉報政策。

東亞銀行的李深也認為，內部審計可以透過檢討公司的整體欺詐風險管理框架來防範欺詐。她說：「欺詐行為是很難杜絕的，但企業應把欺詐風險管理在可控制程度內。為了幫助企業預防欺詐行為，我們既應考慮硬性的監控措施，例如系統、政策和程序；也要採用軟性的控制措施，例如管理基調。」

她補充道，內部審計師需要留意一些警號，例如，有人藉具爭議的行為走捷徑。她說：「這未必會即時帶來財務影響，但如果不及時糾正這種不恰當行為，機構可能因此付出沉重代價。對於內部審計師來說，真正要關注的課題是行為風險、文化和道德，這些部分更難於審核。」

各類挑戰

鄭廸偉認為，爭取管理層對內部審計職能的認同是最困難的事。他說：「如果高級管理層不視內部審計師為業務合作夥伴，他們不會給內部審計師所需的資源執行工作，也會抱防範之心認為內部審計師是找問題的警察。在這種情況下，內部審計師很難為企業增值。然而這種文化在香港卻相當普遍。」

鄺曉桓認為科技進步對內部審計師而言是當前最大的挑戰。他指出：「新系統和科技日新月異，企業會利用這些新技術來提高營運效率。因此，內部審計師必須擁有很強的學習能力，迅速應對新技術。」

羅愛生認為主要挑戰是要在瞬息萬變的商界中與時並進。他指出：「我的公司過去專注於房地產開發，因此我的團員有些擁有工程和測量背景。現在公司的業務已經拓展至物業租賃（例如購物中心），以至金融和生命科學投資領域。作為內部審計師，我們需要持續進步，掌握所有業務行情。」

李懿玲表示贊同：「從新冠疫情的影響到業務轉型和新技術冒起，商業環境急速地轉變。持份者都期望我們能緊貼這些變化。」

勇氣與專業懷疑

雖然內部審計師要具備與外部審計師相若的專業技能，但他們不一定要擁有會計專業背景。對於內部審計師而言，擁有商業洞察力和多種軟技能更為重要。鄺曉桓表示：「為了有效地履行內部審計職能，內部審計師必須充分了解他們的公司、各個部門以及各種業務職能。因此，良好的理解能力和溝通技巧十分重要。」

他補充道，沒有一套所謂必備技能適用於所有內部審計師，他們所需的技能因行業和企業營運方式而異，但他們必須具備扎實的財務和會計知識、良好的寫作及演講技巧，以及抱有專業的懷疑精神。他說：「此外，內部審計師還要學習得快、靈活變通，能夠適應各種變化。」

鄭廸偉贊同說：「為了能理解業務背景、識別監控的不足或缺失情形，從而提出平衡成本和監控效能的實用建議，內部審計師需要具有批判性思維和商業洞察力，同時要精通科技，以了解不同的技術如何影響業務並識別相關風險。」

羅愛生還認為，內部審計師須具備良好的軟技能，尤其是說服力和與人有效協作的技能。他說：「舉例說，剛入職幾週的內部審計師要向一位服務公司30年的工地經理提出問題，可能要花很多時間來說服他，幫助他理解需要作出改變的原因，因此擁有這些軟技能尤為重要。」羅愛生補充道，由於很多問題不能靠一人或一個團隊就能解決，所以協作能力也很重要。他認為：「有時候，內部審計師需要IT團隊、人力資源團隊和工程團隊的幫助。因此，內部審計師要能與所有團隊通力合作。」

李懿玲認為，為獲得管理層的支持，內部審計師必須是優秀的溝通者，能撰寫簡潔有力的報告，清晰地表達調查的結果、所發現問題的潛在影響以及補救建議等。她說：「由於內部審計師需要檢視各種各樣的流程和職能，內部審計師需要有良好的適應能力和學習能力。即使我們成為一個行業的專家，但不同的機構也會有不一樣的狀況。」

李深指出，商業觸角、批判性思維、數據分析能力和IT知識都是內部審計師應有的重要技能。在軟技能方面，她表示：「我們需要優秀的溝通者，要勇於發聲，而且要坦誠懂變通。此外，內部審計師也需要具備良好的人際技巧，因為我們的工作是與不同的人打交道。」

若會計師有興趣成為內部審計師，可考慮考取註冊內部審計師（CIA）資格，這是這行業的國際專業機構IIA所頒授的專業資歷。李懿玲表示：「參加考試以獲取註冊內部審計師稱銜，讓有志於成為內部審計師的會計師掌握內部審計的基礎知識。實際上，IIA與其他專業會計機構（例如香港會計師公會）組織了多次註冊內部審計師挑戰考試，為擁有會計師資歷的人士提供獲得註冊內部審計師資歷的快速途徑。」

鄭廸偉表示在審計或諮詢事務所從事內部審計工作是不錯的起點，而李深表示若公司有推行工作輪換的計劃，不妨客席參與審計項目。她說：「許多機構為了培訓人才，會以短期借調方式安排員工加入內部審計團隊，有興趣者可以透過此類計劃來嘗試內部審計師的工作。」

本文為編譯版本，原文Special report: Providing greater clarity首發於香港會計師公會會員雜誌《A Plus》第8期。