国际内审师考试内部审计实务标准(红皮书)(22)-国际内审师.doc

实务公告2100—4：内部审计在尚未建立风险管理过程的组织中的作用解释《国际内部审计专业实务标准》中的第2100条标准本实务公告性质内部审计的定义要求应用“系统的、规范的方法，评价并改善风险管理、控制和治理程序的效果。

”为了依据《国际内部审计专业实务标准》开展内部审计，内部审计师应该在组织的风险管理过程中起关键作用。

但是，有些组织可能尚未建立风险管理过程。

本实务公告希望为内部审计师确定其在尚未建立风险管理过程的组织中应起的作用提供指导。

内部审计师需要考虑本实务公告以外的其他要求。

1．风险管理是一项重要的管理责任。

要实现其业务目标，管理层应该保证组织拥有健全的风险管理过程，并能发挥作用。

董事会和审计委员会应该在确定组织是否建立恰当的风险管理过程以及这些程序适当有效运作等方面起监督作用。

内部审计师应该通过检查、评价、报告风险管理过程的适当性和有效性并提出改进建议来协助管理层和审计委员会的工作。

但是，以咨询顾问身份开展工作的内部审计师可以协助组织确定、评价并应用处理风险的管理方法和控制措施。

2．一般来讲，对组织的风险管理过程进行评价和报告是审计的重点。

评价管理风险程序有别于审计师应用风险分析进行审计的计划工作。

但是，来自全面风险管理过程的信息(包括对管理层和董事会所关心问题的确认)有助于内部审计师制定审计工作计划。

3．首席审计执行官应该理解管理层和董事会期望内部审计活动在组织的风险管理过程中发挥的作用。

这种理解应该在内部审计活动和审计委员会各自的章程中得到规定。

4．如果组织尚未建立风险管理过程，内部审计师应该提请管理层注意这种情况，并同时提出建立风险管理过程的相关建议。

内部审计师应该就内部审计活动在风险管理过程中应起的作用获得管理层和董事会的领导支持。

内部审计活动和审计委员会的章程应该规定各方在风险管理过程中的作用。

5．如果有关方面提出要求，内部审计师可以积极协助初步建立风险管理过程的工作中发挥积极作用。

内部审计师更为积极的作用是通过咨询方式改善基础过程，以此作为对传统确认活动的补充。

如果这些协助活动超出了内部审计师正常的确认和咨询工作范围，审计的独立性就会受到损害。

在这些情形下，内部审计师应该遵守《国际内部审计专业实务标准》的披露要求。

《实务公告1130.A1—2：内部审计在其他(非审计)领域的作用》为此问题提供了进一步的指导。

6．内部审计师在建立和管理风险管理过程中所起的积极作用有别于在“风险所有者”的作用。

为了避免起到“风险所有者”的作用，内部审计师应该要求管理层证实其在确定、防范、监测风险以及风险“所有者”的责任。

7．总之，内部审计师可以促进风险管理过程的建立或使风险管理过程的建立成为可能，但是，他们不应该“拥有”已确认的风险或负责对这些风险的管理。

实务公告2100—5：在评价合规程序时的法律考虑解释《国际内部审计专业实务标准》中的第2100条标准本实务公告性质在评价组织的合规程序时，内部审计师应该考虑以下建议。

本实务公告无意囊开展与合规性有关的综合性确认或咨询业务需要考虑的所有方面。

警告：鉴于不同司法制度的要求可能会大相径庭，鼓励内部审计师就所有涉及法律事务的事项咨询法律顾问。

本实务公告的指导内容主要以美国法律制度为基础。

1．合规程序可以协助组织防止雇员过失违法，发现违法行为并打击雇员的故意违法行为，还可以协助证明保险索赔，确定董事和高级职员的义务，建立或提高组织认同，决定相应的惩罚性赔偿。

内部审计师应该按照以下建议步骤评价组织的合规程序，促进合规程序的有效执行。

2．组织应该制定合规性标准和程序，供其雇员和其他有可能合理减少犯罪概率的代理机构或代理人遵守。

组织应该制定书面的、明令禁止某些活动的业务行为道德规范。

这种规范应该用所有雇员都能理解的语言撰写，避免深奥难懂的法律术语。

良好的行为道德规范可以在相关方面为雇员提供指导。

检查清单、问题解答和参考信息都能使行为道德规范更便于使用。

组织应该建立机构图，明确董事会董事、高级管理层、合规程序高级管理人员和各部门负责执行合规程序的人员的职责和关系。

被雇员视为教条主义和“有偏见”的行为道德规范可能会增加雇员进行不道德或违法行为的可能性；而被视为简单易懂的行为道德规范则有助于降低雇员参与此类行为的可能性。

有些公司采用的用物质手段鼓励明显的不道德或违法行为的奖励制度，会造成极坏的合规环境。

进行国际经营活动的公司应该在全球范围内建立合规程序，而不仅仅是为所挑选的几个地方建立合规程序。

这些程序应该恰当反映当地的实际情况、法律制度和有关规定。

3．组织高层的特定人员应该总体负责监督对标准和程序的遵守情况。

组织的高层人员是指能对组织进行实质性控制的个人，或在制定组织内部政策方面起实质性作用的个人。

组织的高层人员包括：董事、执行官员、负责主要业务或执行部门(如：销售部门、行政管理部门或财务部门)的个人和拥有实质性权益的个人。

要全面有效地开展工作，首席执行官和其他高级管理层必须实质性参与合规程序。

在有些组织，将主要合规责任分配给公司的法律顾问可能给雇员造成以下印象：管理人员并没有真正参与到程序中，程序的重要性仅限于法律部门而非整个公司。

而在其他组织，情况可能正好相反。

在拥有多个业务部门的大型公司，每个部门的高层人员都负责合规性事项。

公司仅仅设立首席合规官的职位并选择合规部门的其他人员是远远不够的。

公司还应该保证这些人员拥有恰当的权力，并取得履行职责必需的资源。

负责合规事项的人员应该有充分的途径接触高级管理层。

而首席合规官应该直接向首席执行官报告。

4．组织应该审慎度事，避免将实质性的自主决策权授予组织已知道或通过审慎度事应该知道有违法乱纪企图的人员。

公司应该对所有职位的申请人进行筛选，以寻找关于申请人犯错记录，尤其是在组织所在行业犯错记录的证据。

就职申请表格应该问询申请人过去的犯罪记录。

对于申请职位的专业人士，应了解他们是否有过被所在专业执照委员会处分的历史。

公司应该谨慎行事，避免侵犯有关法律赋予雇员和职位申请人的隐私权。

许多司法制度有专门的法律，限制公司在对雇员开展背景调查时可以获取的信息数量。

5．组织应该采取步骤将其标准和程序向所有雇员和其他有关代理人进行有效宣传。

如：要求雇员参与培训项目，或散发对有关要求进行解释的出版物。

合规程序的有效性取决于将程序向雇员传达的方式。

一般而言，交互式形式比讲座更有效。

由有关人员亲自沟通的程序比完全通过录像或游戏形式沟通的程序更有效。

定期重复的程序比一次性程序更有效。

最好的合规程序一般包括使雇员能够练习新技术并应用新信息的雇员培训。

这些活动特别适合管理培训，但对所有层次的雇员都有效。

组织行为道德规范和雇员手册所应用的语言应该易于理解。

在向没有受过正式教育的雇员宣传行为道德规范和雇员手册内容时应该寻找并彩其他合适的方法。

组织应该通过通讯、宣传栏、电子邮件、问卷和讲解等方式向雇员宣传关于合规程序的内部信息、声明和警告。

组织应该在多种场合将合规程序向各层次的雇员进行讲解，并针对不同部门的雇员强调程序的不同重点。

信息应该适合各组雇员的工作要求。

比如，环境合规信息应该主要向制造部门或不动产管理人员宣传，因为他们违反或发现违反相关法律和规定的可能性正日益加大。

在另一方面，为不承担这方面责任的部门提供此类培训则会起反作用，容易引起雇员的反感或使雇员相信程序没有得到良好设计。

新雇员应该得到基本的合规培训，这种培训应该成为上岗培训的一部分内容。

此后，这些雇员可以参加他们所在部门的持续合规性培训活动。

组织应该要求其代理机构或人员参加特别为他们准备的讲座。

组织还应该将其核心价值告知其代理，并且对代理开展与组织有关的行为进行合规程序监督，这点是非常重要的。

组织应该准备随时终止与那些未能遵守组织合规性标准的代理组织的业务关系。

组织应该定期要求雇员证明他们已经阅读、理解并遵守了公司的行为道德规范。

这些信息应该每年向高级管理层和董事会报告。

所有与行为道德有关的文件(行为道德规范、人力资源政策／手册，等等)都应该向所有雇员公开。

积极鼓励组织通过内部网络等手段使雇员能够不断地获取这方面的信息。

6．组织应该采取合理步骤促成对其标准的遵守。

如：运用经过合理设计、用以发现雇员和代理组织犯罪行为的监督和审计系统，建立并公开宣传使雇员和代理机构能够毫无顾忌地揭发组织内部其他人犯罪行为的举报系统。

组织应该将相当的资源用于编制与组织规模和审计任务难度相适应的内部审计计划。

审计计划应该关注组织每个业务领域的活动。

审计计划还应该包括对组织合规程序及其步骤的检查，包括为确定以下内容而开展的检查：--书面材料是否有效；--雇员是否已接到通报的信息；--处分是否公平；--举报犯罪行为的人是否受到报复；--合规部门是否履行了职责。

审计师应该检查合规程序，确定程序是否得到改善，并应该在此方面争取雇员的投入。

每个程序都应该开设“热线”或其他报告系统，以便雇员举报他们认为不道德的、违反法律或违犯组织行为道德规范的行为。

雇员必须能够在毫无顾虑的情况下自由举报这些情况。

虽然监督热线的律师更能保护律师-客户和工作-产品的隐私权，一份研究发现，雇员对由法律部门或外部服务组织答复的热线几乎不抱信心。

同一份研究表明，雇员对于以群众来信形式撰写的报告或不深入实地的调查官所抱的信心更小，但最相信由本部门代表回答的并得到不报复政策支持的热线。

如果调查官直接向首席合规官或董事会报告，如果调查官能够为举报人保密，如果调查官为举报人提供指导，如果调查官采取跟踪检查措施保证不发生报复行为，那么，使用实地调查官享有一定的拒绝泄露内情权，以防止泄露举报人向他反映的秘密信息。

揭发不道德或违法活动的有效工具是道德问卷。

组织的每名雇员都应该收到一份问卷，问卷询问的内容包括：雇员是否了解组织内部存在收受回扣和贿赂或其他错误行为。

为了保护拒绝泄露内情权，问卷应该：--由组织法律顾问发出；--包括关于问卷受到拒绝泄露知情权保护的声明；--要求雇员在完成问卷、署名和送回问卷时都不对问卷进行复印；--包括关于组织保留向政府组织或在遇到法律诉讼时披露信息的权利的声明。

请注意，如果将问卷向外部方面披露，拒绝泄露内情权就会丧失。

7．应该通过恰当的纪律机制(包括：在恰当情形下对未能发现违法乱纪行为负有责任的人员进行处分)连贯一致地实施标准。

对违法行为的负责人进行适当的纪律处分是实施标准的必要内容。

但是，处分的形式则视情况而定。

合规程序应该包括恰当的处分制度，使违反组织道德规范的人员受到与其违法行为相当的惩罚，如：警告、扣工资、暂停职务、调职、停职等。

但是，如果发现雇员有了违法行为，组织可能需要开除此类人员，因为组织有责任“审慎度事，避免将实质性的自主决策权授予组织已知或通过审慎度事应该知道有违法乱纪企图的人员。