国际内审师(CIA)红皮书-实务公告(11)

　　实务公告1321-1 对“遵循《标准》”的应用

　　主要相关标准：

　　1321-对“遵循《标准》”的应用

　　只有在质量保证与改进程序的结果证实内部审计活动遵循了《标准》时，首席审计执行官才可以进行“遵循《标准》”的声明。

　　1、对内部审计部门的持续监督以及内外部评估，应评价内部审计工作对“内部审计定义”、《职业到得规范》和《标准》的遵循情况，并出具意见，适当情况下还应包括改进的建议。

　　2、“遵循”的使用可以是“遵守了《标准》”或者是“与《标准》一致”。预使用上述短语之一，要求每五年至少开展一次外部评估，同时伴有持续监督、定期的内部评估，并且得出的结论是：内部审计工作遵循了“内部审计定义”、《职业到得规范》和《标准》。只有外部评估证明内部审计工作遵循了“内部审计定义”、《职业到得规范》和《标准》之后，方可首次使用“遵循”一词。

　　3、首席审计执行官有责任向高级管理层和董事会披露影响内部审计工作的整体范围和运营的为遵循情况，这包括五年之内未接受外部评估的情况。

　　4、在“遵循”的应用方面，如果通过自然评估（内部或外部）发现了不遵循的情况，而且这种情况有损内部审计部门履行其职责，则：

　　●必须对其进行适当纠正；

　　●应当记录改进措施，并向相关评估者进行报告，获取其对于不遵循情况已得到适当改进的认可；

　　●改进措施和评估意见应当反馈给高级管理层和董事会。

　　实务公告2010-1 审计计划对风险和风险暴露的关注

　　主要相关标准：

　　2010-计划

　　首席审计执行官必须以分享为基础制定计划，以确定与组织目标相一致的内部审计活动重点。

　　释义

　　首席审计执行官负责以风险为基础制定计划。制定计划时，首席审计执行官需考虑组织的风险管理框架，包括管理层针对不同的业务或部门确定的风险偏好水平。如果尚未建立风险管理框架，首席审计执行官可以与高级管理层和董事会磋商后，自行作出风险判断。

　　1、在制定内部审计部门的审计计划时，许多首席审计执行官发现，先制定或更新审计范围是很有效的方法。审计范围是指所有可能进行的审计。首席审计执行官可以听取高级管理层和董事会关于审计范围的意见。

　　2、审计范围可以吸收组织战略计划的成分。通过吸收战略计划，审计范围将考虑并反映出总体业务目标。战略计划也可能反映出组织对待风险和实现既定目标困难程度的态度。一般来说，风险管理过程的结果会对审计范围产生影响。组织战略计划的制定会考虑到组织运营的环境，而环境因素很可能对审计范围和对相关风险的评估产生影响。

　　3、首席审计执行官在准备内部审计部门的审计计划时，要以从高级管理层和董事会获取的审计范围以及风险、风险暴露对组织的影响进行的评估为基础。审计目标的关键常常是向高级管理层和董事会提供确认和相关信息，包括对管理层的风险管理活动效果的评估，以帮助他们实现组织目标。

　　4、审计范围和相关审计计划内容的更新，应该反映出管理层的方针、目标、重点和焦点出现的变化。建议至少每年对审计范围评估一次，以反映组织的战略和方针。在某些情况下，审计计划需要进行比较频繁（例如，每季度）的更新，目的是对组织的主管业务、程序、系统和控制等方面的变化作出反应。

　　5、应该在评估风险和风险暴露优先次序的基础上安排审计工作。只有对风险进行优先排序之后，才能根据风险暴露的重要性分配相关的资源。多种风险模型的存在对首席审计执行官是很有帮助的。大多数的风险模型都利用了影响力、可能性、重要性、资产流动性、管理能力、内部控制的质量和内涵、变化或稳定程度、上次审计业务开展的时间和结果、复杂性、与雇员及政府的关系等风险因素。

　　相关链接：国际内审师(CIA)红皮书2009年1月修订版汇总