内容提要：银行实行内部审计业务外包策略，不仅能节约内部审计成本，而且还可以提高内部审计工作的质量和效率，但也会产生一定的风险。文中就银行在操作内部审计业务外包时，如何把握好风险评估、外包商选择、外包合同审查和事后监督控制等主要环节进行了探讨。  
     
　　（一）  

　　银行业务外包是一种商业战略，就是银行把自身内部业务的一部分承包给外部专门机构。外包的理论基础是企业再造理论。企业再造根本思想就是彻底摈弃大工业时代的模式，重新塑造与当今时代信息化、全球化相适应的企业模式。它是从另一个角度反映企业组织如何去适应不断变化的环境。随着信息化和全球化进程的不断发展，包括把内部审计业务等一些银行非核心业务外包出去已成为一种趋势。  

　　就银行方面而言，实行内部审计业务外包策略的主要好处不仅能节约内部审计成本，而且还可以提高内部审计工作的质量和效率。  

　　1、以优补绌。我国各家银行内部审计资源普遍不足，这种不足不仅表现在数量上，更表现在质量上。一是缺少普遍适用的专业实务标准和审计条例。二是内部审计人员的专业能力不能满足需要，特别是在收集信息、检查、评价和交流方面能力不够，审计的手段、方法落后，不能适应银行业务活动日益增加的技术复杂程度和内部审计部门需要承担的繁重任务。三是银行审计理论滞后。国内银行的内部审计人员是一个相当规模的群体，但尚无一成熟的理论和专业标准。从银行方面讲，内部审计业务外包能使银行利用自身所没有的专业技能，有机会利用外部先进的审计技术和理论，比如获得特别审计项目的专门技能和知识，而银行内部是不具备这种知识的。通过业务外包可扬长避短，以优补绌。对于某些规模和风险程度都不大的小银行来说，可以考虑将内部审计职能外包给外部专家，并由高级管理层负责监督实施审计师的建议，确定负责实施建议的人员。  

　　2、降低内部审计成本。国内银行的内部审计机构从总行→一级分行→二级分行或区域内部审计中心，估计银行系统的内部审计人员超过3万人。这样庞大的机构和众多的人员，银行系统每年为此需耗费数十亿元成本。内部审计业务外包可以部分削减这方面昂贵的招聘、培训和福利支出，从而可大大降低银行相应的成本。  

　　3、提高内部审计效率。作为银行内部审计业务外包商的会计师事务所，其注册会计师是审计领域的专家。他们所掌握的审计手段、技术、方法和专业水准具有明显的优势，由专家来做能更好地完成审计目标。  

　　4、提高内部审计质量。内部审计的质量主要体现在审计结果的客观性和公正性，而独立性是内部审计部门保持客观性和公正性的物质基础。我国银行的内部审计体制虽经近年改革，但仍没有实现真正意义上的独立。而外包商不涉及银行的经营活动或选择或实施内部控制措施，也可以避免和被审计银行机构发生任何利益冲突。所以，实行内部审计业务外包，可从根本上解决独立性问题，外包商可以向银行管理层和银行监管人提供高质量的审计信息。  
      
　　从社会方面看，银行内部审计外包可利用比较优势，使社会审计资源得到充分利用。从外包商----注册会计师及事务所（CPA）方面来说，银行内部审计不仅是一个专业问题，而且还是一个很大的产业，因为它是一个很大的市场。随着中国银行业走向世界，这个市场会越来越大。金融机构内部审计社会化是世界性的趋势，因为这样可以节约审计成本，提高审计质量。中国的银行内部审计市场，对CPA来说充满机遇，也充满挑战。目前，我国金融机构有20多万个，金融从业人员300万人，有待审计的银行资产达几十万亿元。这就是说，现在不是有没有金融审计市场的问题，而是中国的CPA有没有能量去占领这个市场的问题。对CPA来说，目前是一个千载难逢的机遇。中原逐鹿，不知鹿死谁手。竞争的对手不仅是国内同业之间，更多的还会来自国际上的知名会计公司。我国CPA业应作战略性的调整，将现有的审计资源向金融审计倾斜，作好充分的准备，以迅速占领这个市场。  

　　尤其值得一提的是，金融是现代经济系统的核心，谁掌握了中国未来金融审计的市场，谁就掌握了中国审计市场的未来。它的意义不仅在于银行审计本身的巨大市场，而且可带动整个审计市场；它不但是审计市场新的增长点，而且对传统审计业务可起到优化和催化作用。金融审计业务可提高我国CPA的整体素质，提高事务所的竞争能力，而银行内部审计业务是金融审计业务的一个重要部分。  

　　（二）  

　　内部审计业务外包在给银行带来上述诸多好处的同时，也带来了风险。银行在实际操作内部审计业务外包时，应当把握好风险评估、外包商选择、外包合同审查和事后监督控制等主要环节。  
     
　　1、风险评估。银行董事会和高级管理层应当负责了解与内部审计业务外包相关的风险，并确保有效的风险管理程序的充分到位。作为董事会职责的一部分，董事会应当就内部审计外包对银行战略目标和计划的支援情况、与外包商的关系管理情况进行评估。没有一个有效的风险评估阶段，内部审计外包就可能与银行的战略计划不一致，或代价不菲，或带来不可预见的风险。  

　　内部审计外包的风险评估应当考虑下列情形：金融机构的战略目的、目标和经营需要；评价和监督外包关系的能力；内部审计业务对金融机构的重要性和被外包的风险程度；对内部审计业务外包的明确要求；必要的控制和报告程序；外包商的合同义务和要求；内部审计的应急计划；对内部审计外包协议的持续评估，以评价是否与银行战略目标一致和外包商的工作业绩；是否符合监管要求和有关准则。  

　　2、选择外包商。一旦银行完成了风险评估，管理层就应当对内部审计外包商进行评估，以确定其运行情况和财务状况是否满足银行的需要。管理层应当将银行的需求、目标和必要的控制要求告诉潜在的内部审计外包商。管理层也应当对外包合同的有关规定进行讨论。在选择一个合格的内部审计外包商时，银行应当考虑外包商以下三个因素：即专业知识和技能、运行情况和控制情况、外包商的财务状况。  

　　在外包商的专业知识和技能方面，银行应当考虑：评估外包商提供内部审计服务的经验和能力；识别银行必须对外包商进行支援以全面管理风险的领域；评价外包商在未来预期的运作环境下提供内部审计服务的经验知识；必要的话，要进行现场督察，以更好地了解外包商是如何开展内部审计服务的。  

　　在外包商的运行和控制情况方面，银行应当考虑：确定外包商与内部控制相关的标准、政策和程序的健全性；审查外包商的审计报告，以确定内部审计范围是否全面，内部控制措施是否完备；评价银行是否能够完全、及时地获得外包商的内部审计信息。  

　　在外包商的财务状况方面，银行应当考虑：分析外包商最近被审计的财务报表和年报；考虑外包商在内部审计行业中的执业期限有多长、市场份额有多大。  

　　由此可见，一个良好的外包商必须是具备专业胜任能力和适当的知识技能、内部控制完备、财务状况良好的公司。他们应当是一批既精通国际银行游戏规则又熟悉国际审计游戏规则的人才。就我国国情而言，银行内部审计的外包商主体主要应当是会计师事务所及其注册会计师。我国注册会计师要通过审计实践和理论研究，总结、归纳和创造一套既符合国际惯例，又有自身特点的组织结构、企业文化、金融审计方法与理论。银行在选择内部审计外包商时除上述因素以个外，还要综合考虑：一是外包商的资质。经人行和财政部许可，目前国内有68家会计师事务所取得从事金融审计业务的资质。二是评价客户在社会上执业信誉如何。三是外包商在银行审计领域的专业水平如何。四是外包商的收费标准。  

　　3、审查外包合同。内部审计外包合同是银行机构与提供内部审计服务的外包商之间签订的一项契约。合同应当考虑银行经营需求和在风险评估、选择外包商阶段被识别出的重要风险因素。合同应当明确采用书面形式，内容应当具体详细，包括：内部审计的服务范围、业绩标准、安全保密、控制措施、审计条款、报告制度、争议解决等。  

　　（1） 服务范围：合同应当明确规定有关各方的权利和义务，包括外包商的任务和职责；外包商实施的风险分析和制定的计划必须事先得到银行高级管理层的批准。 
  
　　（2） 业绩标准：业绩标准规定了外包商最低的服务水平要求以及如果未能满足标准实施的补救措施。银行机构应当定期审查外包商的业绩标准，确保其内部审计服务与银行战略目标相一致。外包商必须亲自承诺将所需资源应用于根据审计计划有效地执行其任务  

　　（3） 安全保密：合同应当规定外包商有保守银行信息资源机密的义务，以防止银行商业机密的泄密。  

　　（4） 控制措施：银行应当考虑外包商的内部控制措施；遵循监管要求的合规性；外包商保持的有关记录；高级管理层或其代表、外部审计师或其代表及监管当局有权在任何时候接触与外包商任务有关的记录，包括审计工作计划和工作报告。  

　　（5） 审计条款：合同应当订明外包商提供的内部审计报告类型（如财务、内部控制和安全评估）。合同也应当订明内部审计次数、有关审计成本和银行获取内部审计结果的权利。银行应当特别关注对网上银行业务的内部审计服务。  

　　（6） 报告制度：合同条款应当规定银行收到的内部审计报告的类型和次数。  

　　（7） 争议解决：银行机构应当在合同中订立一个争议解决规定，以解决未来潜存的问题。 
  
　　银行管理层应当考虑合同是否具备足够的灵活性，以适应技术和金融机构运作的变化。所以银行与外包商之间也应当订立可以改变合同条款的协议，尤其是如果发现重大问题需要扩大审计工作的时候。在签字之前，应当由法律顾问进行审查。  

　　4、控制和监督。实行内部审计业务外包可以给银行带来很大的好处，但另一方面外包也可能给银行带来风险，比如丧失或减少对外包业务的控制。尤其是当银行将一项重要职能外包出去的时候，就需要对这些风险进行管理和监督。而且，外包也可能对监管当局收集信息或要求改变被外包的职能的运作方式的能力产生负面影响。  

　　高级管理层应当确保银行达成一项有效期较长的合同，同时确保外包商精通必要的专业知识，能够考虑到有关银行的特点。即使外包商提供了内部审计服务，银行董事会和高级管理层仍旧要负责确保内部控制系统（包括内部审计职能）得到有效的运作。 
  
　　银行机构应当让具资深和经验丰富的审计师担任内部审计部门负责人，并考虑维持一支少量精干的内部审计队伍。外包商协助审计人员确定要审查的风险，提出建议，实施经内部审计经理批准的审计程序，并与内部审计经理共同向董事会或其审计委员会报告其发现。银行内部审计部门应当十分精通银行各项重要业务，以检查和评估这些业务内部控制措施的功能、效率和有效性。但外部专家也可以承担某种内部审计部门不会或不十分精通的检查任务。另外，内部审计部门负责人应当了解外部专家的知识要融入其所在部门，有可能的话要让其一到几个部属参与外部专家的工作。  

　　当银行机构实施外包安排时，其运作风险就会增加。监管机构应当寄希望于银行就外包将对银行总体风险组合和银行内部控制系统所产生的影响进行分析。具体而言，银行应当在以下三个方面对外包商实施监督控制程序：  

　　（1）在监督外包商的财务和运作状况时，银行应当定期评价外包商的财务状况；审查审计报告和获取的监管检查报告，评价外包商系统和控制措施的完备性；跟踪检查审计报告所指明的任何缺陷；定期审查外包商与内部控制有关的政策；监督外包商在内部审计方面的人事变动；实施现场监督检查。  

　　（2）在评估外包商提供的内部审计服务质量时，银行应当定期审查有关外包商业绩的报告，确定这些报告是否准确；及时追查内部审计的任何问题，评估外包商加强内部审计水准的计划；评价外包商支持和增强银行战略导向的能力；定期与外包商会晤讨论业绩和运作问题。  

　　（3）在监督合同遵守情况和进行必要修改时，银行应当审查内部审计外包收费的发票；定期审查合同条款是否得到遵守，是否有必要根据银行需要和技术发展状况对某些条款进行修改；保留与合同遵守、修改和争议解决相关的档案记录。  

　　如果外包合同突然出现终止的情况，银行应当具备应急计划。假如在内部审计领域有许多可待选择的外包商，应急计划应当对一个候选外包商进行详细的调查。假如新外包商需要一段时间才能开展工作的话，银行就必须考虑临时增加其自身的内部审计努力。