2.4 設(shè)計(jì)適當(dāng)?shù)膶徲?jì)業(yè)務(wù)步驟以應(yīng)對(duì)重要的舞弊風(fēng)險(xiǎn)
內(nèi)部審計(jì)師在實(shí)施審計(jì)過程中，應(yīng)保持應(yīng)有的職業(yè)審慎性。即：只要內(nèi)部審計(jì)師接受并實(shí)施二項(xiàng)內(nèi)部審計(jì)委托業(yè)務(wù)，就應(yīng)考慮發(fā)生實(shí)質(zhì)性違規(guī)或不守法行為的可能性。因此，在計(jì)劃實(shí)施審計(jì)階段，內(nèi)部審計(jì)師應(yīng)該依據(jù)客戶的經(jīng)營宗旨、市場(chǎng)、文化、運(yùn)營、職員和管理來確定最可能發(fā)生的舞弊風(fēng)險(xiǎn)。在辨別出最可能發(fā)生的舞弊類型后，內(nèi)部審計(jì)師要制定適當(dāng)?shù)臉I(yè)務(wù)步驟來確定控制制度是否適當(dāng)、是否發(fā)揮作用阻止舞弊的發(fā)生、認(rèn)定的舞弊行為是否正在發(fā)生。為有效確認(rèn)對(duì)某一特定客戶來說的具體舞弊風(fēng)險(xiǎn)，要求內(nèi)部審計(jì)師像犯罪分子一樣地思考，即自我提問“如果我管理公司或在公司中工作，我會(huì)為了公司利益或者為了損害公司利益（為了個(gè)人）而努力實(shí)施什么樣的舞弊行為？如果我決定實(shí)施那樣的舞弊行為，我將如何盡力保證獲得的成功？”
根據(jù)《實(shí)務(wù)公告》1210.A2，內(nèi)部審計(jì)師要具有足夠的能識(shí)別舞弊跡象發(fā)生的知識(shí)，但不應(yīng)該期望內(nèi)部審計(jì)師擁有的舞弊知識(shí)與專職負(fù)責(zé)發(fā)現(xiàn)和調(diào)查舞弊的人員所具備的知識(shí)一樣豐富和嫻熟。同時(shí)，審計(jì)程序本身，即使是遵循了應(yīng)有的職業(yè)審慎性，也不能保證一定會(huì)發(fā)現(xiàn)存在的舞弊問題。
內(nèi)部審計(jì)師應(yīng)該充分考慮成本與效益因素。沒有任何組織能夠完全擺脫舞弊風(fēng)險(xiǎn)。建立控制制度只是將舞弊風(fēng)險(xiǎn)降低到一個(gè)合理的最低水平。在控制制度的建立成本與其產(chǎn)生的效果之間應(yīng)該取得平衡。例如，建立需要耗費(fèi)100萬資金的程序僅僅是為了減少鉛筆丟失的風(fēng)險(xiǎn)是不符合成本效益原則的。
2.4.1 內(nèi)部審計(jì)師通過檢查和評(píng)估內(nèi)部控制系統(tǒng)的適當(dāng)性和有效性，來確定這些系統(tǒng)與組織中各個(gè)部門內(nèi)存在的潛在風(fēng)險(xiǎn)范圍是否相適應(yīng)，能否阻止舞弊的發(fā)生。
為完成這一重要責(zé)任，內(nèi)部審計(jì)師應(yīng)該確定：
· 組織環(huán)境能否促進(jìn)控制意識(shí)的增強(qiáng)；
· 組織是否建立了切實(shí)可行的目標(biāo)；
· 是否制定了書面政策，對(duì)明令禁止的活動(dòng)以及發(fā)現(xiàn)違法現(xiàn)象后所要采取的措施進(jìn)行了說明；
· 是否建立和維護(hù)了適當(dāng)?shù)慕灰资跈?quán)政策；
· 是否制定了有關(guān)政策、程序，編制了報(bào)告以及采取了其他手段來監(jiān)督各種活動(dòng)，保護(hù)資產(chǎn)，尤其是高風(fēng)險(xiǎn)區(qū)域的活動(dòng)和資產(chǎn)；
· 溝通交流渠道能否為管理層提供充分可靠的信息來源；
· 是否需要提出有關(guān)建立和強(qiáng)化控制制度（符合成本效益原則）的建議。
2.4.2 如果內(nèi)部審計(jì)師注意到某些舞弊已經(jīng)發(fā)生的征兆或注意到控制弱點(diǎn)之后，應(yīng)決定是否需要采取進(jìn)一步的行動(dòng)，例如擴(kuò)展審計(jì)程序，擴(kuò)大審計(jì)范圍，或提出進(jìn)行調(diào)查的建議，以確定是否有理由懷疑發(fā)生了舞弊。這些征兆可能來源于管理層已建立的控制系統(tǒng)的實(shí)施結(jié)果，也可能來源于內(nèi)部審計(jì)師所實(shí)施的檢查結(jié)果；既可能來源于組織內(nèi)部，也可能來源于組織外部。
《實(shí)務(wù)公告》2100-6“電子商務(wù)活動(dòng)的控制和審計(jì)實(shí)施”中列舉了內(nèi)部審計(jì)師在審計(jì)電子商務(wù)運(yùn)營情況時(shí)應(yīng)該關(guān)注的活動(dòng)：
· 未經(jīng)授權(quán)的資金往來；
· 重復(fù)支付資金；
· 拒絕簽發(fā)或接收訂單，拒絕接收貨物或支付貨款；
· 例外報(bào)告或程序，以及后續(xù)活動(dòng)的有效性；
· 數(shù)字式簽名：是否用于所有交易事項(xiàng)？誰授權(quán)的簽名？誰可以接觸到這些簽名？
· 病毒和黑客襲擊防護(hù)（例如歷史文件、工具的使用）；
· 接觸權(quán)：是否定期進(jìn)行檢查？在職員變動(dòng)后是否及時(shí)修改？
· 未經(jīng)授權(quán)的人員介入交易的歷史記錄。
2.4.3 如果內(nèi)部審計(jì)師已經(jīng)具有足夠的證據(jù)懷疑存在舞弊行為，這時(shí)要通知組織內(nèi)適當(dāng)?shù)臋?quán)力機(jī)構(gòu)。內(nèi)部審計(jì)師可以建議實(shí)施在此環(huán)境下被認(rèn)為是必要的任何舞弊調(diào)查程序。此后，內(nèi)部審計(jì)師還應(yīng)采取后續(xù)程序來檢查內(nèi)部審計(jì)職責(zé)是否得到履行。
《標(biāo)準(zhǔn)》不僅要求內(nèi)部審計(jì)師在實(shí)施審計(jì)業(yè)務(wù)時(shí)，精通業(yè)務(wù)，保持職業(yè)審慎性，而且還明確管理層也要承擔(dān)責(zé)任。管理層不僅要負(fù)責(zé)在組織內(nèi)部建立一種良好的道德氛圍，制定適當(dāng)?shù)目刂浦贫龋疫€要授予審計(jì)師某些權(quán)限，否則審計(jì)師無法承擔(dān)發(fā)現(xiàn)舞弊征兆的責(zé)任。具體來說，內(nèi)部審計(jì)師必須得到授權(quán)有：
· 檢查和評(píng)論年度報(bào)告；
· 審計(jì)所有咨詢合同（合同方面尤其容易出現(xiàn)多支付款項(xiàng)問題。合同中應(yīng)該包括審計(jì)權(quán)力的條款）；
·分析組織程序；
· 檢查經(jīng)理批準(zhǔn)的交易事項(xiàng)；
· 獲得接近董事活動(dòng)委員會(huì)的權(quán)利；
· 檢查與分支機(jī)構(gòu)和關(guān)聯(lián)組織的交易；
· 測(cè)試支持財(cái)務(wù)報(bào)告的文件；
· 監(jiān)督組織文件保存政策的遵守情況；
· 詢問管理層有關(guān)非法政治捐款的事；
· 檢查費(fèi)用賬戶；
2.4.4 內(nèi)部審計(jì)師實(shí)施舞弊調(diào)查時(shí)，應(yīng)該采用一些審計(jì)測(cè)試技術(shù)及方法，收集與被發(fā)現(xiàn)舞弊征兆相關(guān)的足夠證據(jù)和材料。一般來說，內(nèi)部審計(jì)師通常采用分析性程序來發(fā)現(xiàn)舞弊征兆，包括趨勢(shì)分析、比率分析和檢查交易事項(xiàng)。
2.4.5 在得出審計(jì)調(diào)查結(jié)論后，要及時(shí)報(bào)告發(fā)現(xiàn)的問題、結(jié)論、建議和所應(yīng)采取的糾正措施。
內(nèi)部審計(jì)師在實(shí)施審計(jì)過程中，應(yīng)保持應(yīng)有的職業(yè)審慎性。即：只要內(nèi)部審計(jì)師接受并實(shí)施二項(xiàng)內(nèi)部審計(jì)委托業(yè)務(wù)，就應(yīng)考慮發(fā)生實(shí)質(zhì)性違規(guī)或不守法行為的可能性。因此，在計(jì)劃實(shí)施審計(jì)階段，內(nèi)部審計(jì)師應(yīng)該依據(jù)客戶的經(jīng)營宗旨、市場(chǎng)、文化、運(yùn)營、職員和管理來確定最可能發(fā)生的舞弊風(fēng)險(xiǎn)。在辨別出最可能發(fā)生的舞弊類型后，內(nèi)部審計(jì)師要制定適當(dāng)?shù)臉I(yè)務(wù)步驟來確定控制制度是否適當(dāng)、是否發(fā)揮作用阻止舞弊的發(fā)生、認(rèn)定的舞弊行為是否正在發(fā)生。為有效確認(rèn)對(duì)某一特定客戶來說的具體舞弊風(fēng)險(xiǎn)，要求內(nèi)部審計(jì)師像犯罪分子一樣地思考，即自我提問“如果我管理公司或在公司中工作，我會(huì)為了公司利益或者為了損害公司利益（為了個(gè)人）而努力實(shí)施什么樣的舞弊行為？如果我決定實(shí)施那樣的舞弊行為，我將如何盡力保證獲得的成功？”
根據(jù)《實(shí)務(wù)公告》1210.A2，內(nèi)部審計(jì)師要具有足夠的能識(shí)別舞弊跡象發(fā)生的知識(shí)，但不應(yīng)該期望內(nèi)部審計(jì)師擁有的舞弊知識(shí)與專職負(fù)責(zé)發(fā)現(xiàn)和調(diào)查舞弊的人員所具備的知識(shí)一樣豐富和嫻熟。同時(shí)，審計(jì)程序本身，即使是遵循了應(yīng)有的職業(yè)審慎性，也不能保證一定會(huì)發(fā)現(xiàn)存在的舞弊問題。
內(nèi)部審計(jì)師應(yīng)該充分考慮成本與效益因素。沒有任何組織能夠完全擺脫舞弊風(fēng)險(xiǎn)。建立控制制度只是將舞弊風(fēng)險(xiǎn)降低到一個(gè)合理的最低水平。在控制制度的建立成本與其產(chǎn)生的效果之間應(yīng)該取得平衡。例如，建立需要耗費(fèi)100萬資金的程序僅僅是為了減少鉛筆丟失的風(fēng)險(xiǎn)是不符合成本效益原則的。
2.4.1 內(nèi)部審計(jì)師通過檢查和評(píng)估內(nèi)部控制系統(tǒng)的適當(dāng)性和有效性，來確定這些系統(tǒng)與組織中各個(gè)部門內(nèi)存在的潛在風(fēng)險(xiǎn)范圍是否相適應(yīng)，能否阻止舞弊的發(fā)生。
為完成這一重要責(zé)任，內(nèi)部審計(jì)師應(yīng)該確定：
· 組織環(huán)境能否促進(jìn)控制意識(shí)的增強(qiáng)；
· 組織是否建立了切實(shí)可行的目標(biāo)；
· 是否制定了書面政策，對(duì)明令禁止的活動(dòng)以及發(fā)現(xiàn)違法現(xiàn)象后所要采取的措施進(jìn)行了說明；
· 是否建立和維護(hù)了適當(dāng)?shù)慕灰资跈?quán)政策；
· 是否制定了有關(guān)政策、程序，編制了報(bào)告以及采取了其他手段來監(jiān)督各種活動(dòng)，保護(hù)資產(chǎn)，尤其是高風(fēng)險(xiǎn)區(qū)域的活動(dòng)和資產(chǎn)；
· 溝通交流渠道能否為管理層提供充分可靠的信息來源；
· 是否需要提出有關(guān)建立和強(qiáng)化控制制度（符合成本效益原則）的建議。
2.4.2 如果內(nèi)部審計(jì)師注意到某些舞弊已經(jīng)發(fā)生的征兆或注意到控制弱點(diǎn)之后，應(yīng)決定是否需要采取進(jìn)一步的行動(dòng)，例如擴(kuò)展審計(jì)程序，擴(kuò)大審計(jì)范圍，或提出進(jìn)行調(diào)查的建議，以確定是否有理由懷疑發(fā)生了舞弊。這些征兆可能來源于管理層已建立的控制系統(tǒng)的實(shí)施結(jié)果，也可能來源于內(nèi)部審計(jì)師所實(shí)施的檢查結(jié)果；既可能來源于組織內(nèi)部，也可能來源于組織外部。
《實(shí)務(wù)公告》2100-6“電子商務(wù)活動(dòng)的控制和審計(jì)實(shí)施”中列舉了內(nèi)部審計(jì)師在審計(jì)電子商務(wù)運(yùn)營情況時(shí)應(yīng)該關(guān)注的活動(dòng)：
· 未經(jīng)授權(quán)的資金往來；
· 重復(fù)支付資金；
· 拒絕簽發(fā)或接收訂單，拒絕接收貨物或支付貨款；
· 例外報(bào)告或程序，以及后續(xù)活動(dòng)的有效性；
· 數(shù)字式簽名：是否用于所有交易事項(xiàng)？誰授權(quán)的簽名？誰可以接觸到這些簽名？
· 病毒和黑客襲擊防護(hù)（例如歷史文件、工具的使用）；
· 接觸權(quán)：是否定期進(jìn)行檢查？在職員變動(dòng)后是否及時(shí)修改？
· 未經(jīng)授權(quán)的人員介入交易的歷史記錄。
2.4.3 如果內(nèi)部審計(jì)師已經(jīng)具有足夠的證據(jù)懷疑存在舞弊行為，這時(shí)要通知組織內(nèi)適當(dāng)?shù)臋?quán)力機(jī)構(gòu)。內(nèi)部審計(jì)師可以建議實(shí)施在此環(huán)境下被認(rèn)為是必要的任何舞弊調(diào)查程序。此后，內(nèi)部審計(jì)師還應(yīng)采取后續(xù)程序來檢查內(nèi)部審計(jì)職責(zé)是否得到履行。
《標(biāo)準(zhǔn)》不僅要求內(nèi)部審計(jì)師在實(shí)施審計(jì)業(yè)務(wù)時(shí)，精通業(yè)務(wù)，保持職業(yè)審慎性，而且還明確管理層也要承擔(dān)責(zé)任。管理層不僅要負(fù)責(zé)在組織內(nèi)部建立一種良好的道德氛圍，制定適當(dāng)?shù)目刂浦贫龋疫€要授予審計(jì)師某些權(quán)限，否則審計(jì)師無法承擔(dān)發(fā)現(xiàn)舞弊征兆的責(zé)任。具體來說，內(nèi)部審計(jì)師必須得到授權(quán)有：
· 檢查和評(píng)論年度報(bào)告；
· 審計(jì)所有咨詢合同（合同方面尤其容易出現(xiàn)多支付款項(xiàng)問題。合同中應(yīng)該包括審計(jì)權(quán)力的條款）；
·分析組織程序；
· 檢查經(jīng)理批準(zhǔn)的交易事項(xiàng)；
· 獲得接近董事活動(dòng)委員會(huì)的權(quán)利；
· 檢查與分支機(jī)構(gòu)和關(guān)聯(lián)組織的交易；
· 測(cè)試支持財(cái)務(wù)報(bào)告的文件；
· 監(jiān)督組織文件保存政策的遵守情況；
· 詢問管理層有關(guān)非法政治捐款的事；
· 檢查費(fèi)用賬戶；
2.4.4 內(nèi)部審計(jì)師實(shí)施舞弊調(diào)查時(shí)，應(yīng)該采用一些審計(jì)測(cè)試技術(shù)及方法，收集與被發(fā)現(xiàn)舞弊征兆相關(guān)的足夠證據(jù)和材料。一般來說，內(nèi)部審計(jì)師通常采用分析性程序來發(fā)現(xiàn)舞弊征兆，包括趨勢(shì)分析、比率分析和檢查交易事項(xiàng)。
2.4.5 在得出審計(jì)調(diào)查結(jié)論后，要及時(shí)報(bào)告發(fā)現(xiàn)的問題、結(jié)論、建議和所應(yīng)采取的糾正措施。