内部审计知识要素第一章治理与商业道德

Ⅰ.治理/商业道德

5%-15%

A.公司/组织治理原则

B.环境和社会保障

C.公司社会责任

一、公司/组织治理原则

1.概念

公司治理指的是对公司的统治和支配，它决定运营的目标和方向。具体来说，治理是指董事会实施的各种流程和架构的组合，用以告知、指导、管理和监督组织的活动，以实现组织目标。

2.公司治理中主要关系人

股东、董事会、由总经理领导的经理人员、公司员工、供应商、客户、债权人、政府和社区在内的其他利益相关者。公司治理就是要研究这些利益相关者的权利、责任及其互相关系。

良好的公司治理应该对董事会和管理层提供适当的激励，使其追求符合公司和股东利益的目标，并有利于有效的监督。

3.公司治理基础

控制权是公司治理的基础，公司治理是控制权的实现。

4.公司治理程序

公司治理的根本要素在于受托责任。“监督”和“控制”是公司治理程序中的核心内容。首先是以防止经营者对所有者利益的背离、保护所有者的权益为目的，反映公司所有者对经营者的一种监督和控制机制。

5.G公司治理 Governance

R风险管理 Risk management

C合规审查 Compliance

G——公司治理是高级管理层的责任，关注创建组织内部透明度，采取机制确保组织内所有成员都遵守流程。

R——风险管理是组织识别潜在的风险，根据组织的商业目标区分判断风险的优先级，进而通过内部控制来管理和减轻风险。

C——合规审查，确认符合法律规定、行业规范及组织的内部政策。

6.公司治理的基本框架

健全的治理结构应具备四大要素：

董事会——确保内部控制，并监控风险

高级管理层——实施风险管理和内部控制，日常经营

外部审计师——独立性，审计与咨询业务分开

审计委员会/内部审计师——报告关系上的独立性

7.公司治理的基本目标

传统公司治理基本目标——股东价值最大化

现代公司治理基本目标——企业价值最大化

（考虑了利益相关者利益+股东价值最大化）

引入利益相关者的意义：

创造良好的外部环境；形成更有效的制衡机制和公司长期绩效的提高；有利于公司社会责任的实现。

8.治理的相关主体

9.首席审计官CAE，也称首席审计执行官、审计总监，其职责包括但不限于以下：

1）将内部审计活动的计划和资源需求报告高级管理层和审计委员会，以便他们审查和批准；报告至少每年一次，这是定期工作。

2）与其他内部或外部的审计和咨询服务提供者进行协调，确保适当的覆盖面，最大限度地减少重复工作；

3）对管理层是否针对已经报告的重大风险采取了适当的行动进行跟踪检查；

10.利益相关者：公司治理程序界定的不仅仅是公司所有者与经营者之间的关系，而且包括公司与所有利益相关者，如公司员工、供应商、客户、债权人等。

11.审计委员会：应萨班斯法案要求，建立渠道和程序以接受及处理抱怨和投诉，处理值得怀疑的会计和审计事项的举报信息。

12.审计委员会的职责，包括但不限于：

1）监督公司内部审计制度及评价其实施情况；

2）代表董事会监督和审查公司内部的财务活动以及财务信息披露的情况；

3）审查公司的内部控制机制是否有效运行；

4）提议聘请或更换外部审计机构；--事务所任免权

5）负责连接内部审计和外部审计，加强它们之间的有效沟通等。

6）决定首席审计官的任免、更替，确保内部审计范围不受限制；--人事任免权

7）定期与首席审计官讨论与风险评估相关的重要事宜；

8）审计委员会应当每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。

为了提高内部审计部门的独立性和客观性，内部审计部门应该直接向董事会或者审计委员会负责。

典型试题：

1.哪项不应该属于审计委员会的职责有（）。

A.批准外聘会计师事务所的业务条款及审计服务的报酬

B.监察和评估内部审计职能在企业整体风险管理系统中的有效性

C.对重大的财务报告事项和判断进行复核

D.在内部审计完成后，依据有关工作目标、已实施审计程序、意见及建议编制审计报告

『正确答案』D

『答案解析』依据有关工作目标、已实施审计程序、意见及建议编制审计报告是由内部审计师具体执行的，不属于审计委员的职责。

13.内部审计 & 外部审计

所有上市公司都要求设立内部审计部门。

内审：内部审计人员，评估针对财务报告可靠性的内部控制、经营的效率和效果，及组织对适用的法律章程的遵循情况。

外审：外部会计师事务所，主要责任是向组织的董事会证明财务报表的准确性和公正性。

14.董事会

董事会职责主要包括：

（1）制定公司的战略规划、经营目标、重大方针和管理原则；（而非具体计划）

（2）挑选、聘任和监督经理人员，并掌握经理人员的报酬与奖惩，评价、任命和撤换管理层等方面的工作；

（3）协调公司与股东、管理部门与股东之间的关系；

（4）提出盈利分配方案供股东大会审议；

（5）坚持公司道德和价值取向；

董事会的职权也受到三个方面的限制：

（1）董事会作为公司的法定代表，不得从事与公司业务无关的活动；

（2）董事会不得超出股东授予他们的权限范围行事；

（3）股东大会的决议如果与董事会的决议发生冲突，应以股东大会的决议为准，股东大会有权否决董事会决议以致改选董事会。

15.管理层

公司治理的推动者，是指对被审计单位经营活动的执行负有管理责任的人员或组织，并受到治理层的监督。首要职能是经济效益和管理企业。

16.内部审计

服务两个对象：治理层和管理层

内审服务活动：

1）有效地识别和监控风险；

2）有效地控制过程；

3）确保流程是有效的；

内部审计在公司治理中的作用

1）监控、评价和分析组织的风险与控制；风险评估

2）检查和确认对政策程序和法律的遵循；遵循性

3）为董事会、审计委员会、高级管理层确认风险得到控制及确认公司治理是强而有效的；提供控制确认

4）就组织内控环节的问题提出改善的建议；咨询

内部审计活动必须评价并提出适当的改进建议，以改善组织为实现下列目标的治理过程：

（1）在组织内部推广适当的道德和价值观；

（2）确保整个组织开展有效的业绩管理、建立有效的问责机制；

（3）向组织内部有关方面通报风险和控制信息；

（4）协调董事会、外部审计师、内部审计师和管理层之间的工作和信息沟通；

（5）内部审计部门必须针对组织内与职业道德相关的目标、计划和业务，评估其设计、实施和效果；

（6）内部审计活动必须评估组织的信息技术治理是否持续支持组织的战略和目标。

信息技术治理包括确保企业的信息技术支持组织战略和目标的领导能力、组织架构和相关流程。

典型试题：

2.以下哪项对建立和维护组织的治理程序负责？

A.首席审计执行官

B.内部审计师

C.经理

D.董事会

『正确答案』D

『答案解析』董事会对建立和维护组织的治理程序负责。

3.董事会、管理层、外部审计师以及内部审计师在创建适当的控制过程中起着重要作用，高级管理层的首要职责是？

A.建立和保持组织文化

B.审核财务和经营信息的可靠性和完整性

C.确保内、外部审计师有效监督风险管理和控制系统

D.实施和监督由董事会设计的控制

『正确答案』A

『答案解析』BDC是具体层面的内容，A为最优选项。

17.风险管理责任

内部审计师可以促进、协助风险管理过程的建立，但不负责风险管理，这些协调工作不能超出正常的确认和咨询范围，以免损害独立性。

董事会—制定战略目标

高级管理层—拥有风险所有权

执行管理层—接纳剩余风险

运营层—持续的识别、评估、减轻和监督活动

内部审计—定期评价并协助其它部分风险管理

董事会—建立并维护组织的治理程序，并获取关于风险管理和控制过程有效性的保证

高级管理层—监督风险管理和控制系统的建立、管理和评价

内部审计机构—对相关的报告机制进行检查和评估

18.内部审计机构关注的重点

1）组织内是否建立了XXX政策/控制/规范（书面与否）

2）相关的控制和保证体系是否建立、是否充分、恰当和有效；

3）相关活动是否遵守，执行效果如何。

19.内部沟通

内部审计师应与管理层、审计委员会和董事会就风险中的薄弱环节进行讨论。

如果首席审计官认为高级管理层接受的风险水平与机构的风险管理策略和政策不一致，首席审计官应就此问题与高级管理层讨论，如果仍解决不了，首席审计官和高级管理层应将此事汇报董事会；若高级管理层出于某些原因不采取纠错行动并承担后果，首席审计官应向董事会报告这些情况。

20.报告重大审计事项的沟通

重大审计事项，指根据首席审计官的判断，可能对组织产生不利影响的情况，包括处理违章、违法、差错、低效率、浪费、无效、利益冲突和控制系统的薄弱环节。

首席审计官在向董事会报告重大审计事项前，应与高级管理层讨论，若结果满意，首席审计官也应报告，并将高级管理层对重大审计事项所做的决定通知董事会。

在报告重大审计事项后，若高级管理层和董事会决定不采取任何行动并承担由此产生的风险时，若组织、董事会、高级管理层或其它方面有变动时，首席执行官最好将原先报告的事项再次向董事会汇报。

二、环境和社会保障

1.环境管理

人类在长期的生产、生活活动过程中不可避免的对环境造成影响。环境问题由一国的严重污染和生态破坏发展到区域性的大范围污染和生态破坏，甚至演化为全球性的环境问题，也成为全世界面临的重大危机之一。

2.环境问题的表现

（1）气候变化；（2）臭氧层破坏（耗损）

（3）酸雨污染；（4）生物多样性锐减；

（5）淡水短缺；（6）森林破坏；

（7）荒漠化；（8）海洋污染；

（9）有毒化学品和危险废物越境转移。

3.环境和社会保障制度问题的应对

当环境和社会保障制度以法律、法规和组织政策的形式存在时，合规审计可以有助于评估组织是否符合相关法律规定或政策。具体内容包括：

1）遵守法律、法规和内部政策，尽量减少组织对环境的影响；

2）保护员工、客户和其他利益相关者的健康、安全、权利和隐私。

风险管理战略可以识别环境和社会保障风险，并能在组织的整体风险承受能力范围内针对每个确定的风险采取适当应对方案。

以风险管理为基础的审计可以确保这些领域的关键风险得到充分的管理。

组织内存在一些直接或间接地提供环境和社会保障措施的组织程序或功能部门。

4.环境标准

组织可以自愿采用国际标准作为他们的环境政策，如采用ISO 14000系列标准。

遵循ISO 14001的要求有以下优点：

a）降低废物管理成本；

b）减少运营中的能源和材料消耗；

c）降低分销成本；

d）提升企业在监管部门、客户和公众中的形象。

各国政府制定的标准，相当于是国家的法律法规，作为一种保障人体健康、人身、财产安全的标准，应属于强制性标准。

ISO14000是国际标准化组织于1993年针对巴西里约环发大会通过的全球21世纪议程和可持续发展战略，而采取的一项具体行动措施。ISO14000系列标准包括环境管理体系、环境审计、环境评价、产品生态标志、产品寿命周期分析和产品具体环境要求等各个方面，是目前世界上最为全面和系统的环境管理的国际化标准。它本身并没有规定环境保护的水平，而是指出了环境管理体系的要求。

ISO14000系列标准主要关注组织怎样使其活动对环境产生的有害影响最小化，并实现其环境绩效水平的持续提高。

ISO14000环境管理系列标准（了解）

ISO14001：2004《环境管理体系——规范与使用指南》

ISO14010：1996《环境审核指南——通用原则》

ISO14011：1996《环境审核指南——审核程序—环境管理体系审核》

ISO14012：1996《环境审核指南——环境审核员资格要求》

ISO14020：1998《环境标志和声明——通用原则》

ISO14040：1997《生命周期分析——原则和指南》

ISO14041：1998《生命周期分析——目标和范围界定清单分析》

ISO14050：1998《环境管理词汇》

ISO导则64：1997《产品标准中环境因素导则》

其中，组织依据ISO14001：2004《环境管理体系——规范与使用指南》建立环境管理体系（EMS）要求，并已通过第三方认证机构的认证，成为打破国际绿色壁垒、进入欧美市场的准入证，逐渐成为组织进行生产、经营活动及贸易往来的必备条件之一。

ISO14000环境管理系列标准具有以下特点：

1）强调污染的预防。ISO14000系列标准体现了国际环境保护领域由“末端控制”到“污染预防”的发展趋势。生命周期分析和环境表现评价则将环境方面的考虑纳入产品的最初设计阶段和企业活动的策划过程，为决策提供支持，预防环境污染的发生。

2）可操作性强。标准中没有绝对量和具体的技术要求，使得各类组织能够根据自身情况适度运用。

3）标准的广泛适用性。适用于任何类型、规模、文化和社会条件下的组织，包括企业、非营利组织和政府部门。

4）强调自愿性原则。ISO14000系列标准的应用基于自愿原则。国际标准只能转化为各个国家标准，而不等同于各国法律法规，不可能强制要求组织实施，组织可以根据自己的经济技术等条件选择采用。

5.环境监控与报告

环境监测和报告部门负责监控活动的环境影响，如空气和水的排放——包括温室气体排放。

环境监测和报告小组的输出信息通常包含在组织的企业社会责任报告中或作为综合报告的一部分，与组织的财务报表一起发布。

6.首席审计官的责任（4点）

1）在所有全面的组织风险管理评价中，对环境、健康和安全风险进行评估，并将其与组织经营过程中的其他类型风险联系起来进行评估。

应当评估的风险暴露有：组织的报告结构，造成环境危害的可能性，罚款、处罚，环境保护机构或其他政府部门授权的支出，伤亡记录，客户损失记录，负面公众影响，公众形象和名誉损失。

2）建立同环境主管官员的密切工作关系，就环境审计计划开展合作。

3）在环境审计职能不对首席审计官报告的情况下，首席审计官应当对审计计划和审计项目的实施进行检査。

4）如果环境审计职能在机构设置上独立于内部审计部门，首席审计官应当定期安排质量保证检查，以确定环境风险是否被充分揭示。

7.业务面上管理对环境/社会保障合规的促进

1）供应链管理

供应链管理部门是一个跨部门甚至是跨组织的职能部门，致力于提高设计、采购、生产、交付产品和服务的效率和效果，这些举措通常被称为面向环境的产品设计或面向供应链的产品设计，反映了从整体拥有成本的角度考虑产品的整个生命周期及其生产方法和地点。

供应链管理的好处

将环境和社会保障设计融入产品或服务可以：

1）更好地保护环境；

2）提升工人和消费者的健康和安全程度；

3）降低生产和运输成本或提升质量；

4）降低诉讼风险和声誉损害。

2）设备管理

设备管理部门是负责组织的建筑、工厂和地面的组织团体。例如通过投资于更好的隔热措施，或更高效和可靠的供暖、制冷和照明设备。

1.长期决策，从长远来看降低了能源成本和维护成本；

2.建筑设计也可以促进美学，造福大众。

3）人力资源管理

在社会保障方面，人力资源法律、法规及相关的组织政策包括众多的保护行为，来确保提供一

个安全、健康的工作环境，

例如：

平等机会就业

防止骚扰

公平的工资和补偿等等

4）行为规范和商业惯例

行为规范是由组织制定的、旨在规范员工行为、防止过失违法违纪的正式和书面的规章制度。行为规范强化了在经营决策中的道德要求和合规管理方面积极主动的制度要求，而并非来自于法律的强制。

商业惯例是在商业活动中形成的被广泛接受的通用做法，一般是非正式的，一旦违反，会给组织带来不利影响。

典型试题：

1.实务工作中，各国政府制定的环境标准作为一种保障人体健康、人身、财产安全的标准，属于（）。

A.强制性标准

B.指导性标准

C.参照标准

D.普遍适用标准

『正确答案』A

『答案解析』环境标准不同于产品质量标准，环境标准（环境质量标准和污染物排放标准）有其独特的法规属性。环境标准属于技术法规，具有强制性，必须执行。

2.下列属于ISO14000环境管理系列标准具有的特点是（）。

A.强调污染的治理

B.强制性

C.可操作性

D.指导性

『正确答案』C

『答案解析』因为ISO14000标准强调的是对污染的预防，故A不对；ISO14000是一种标准，并不是法律，是自愿选择，故B不对；D选项中的指导性并不如C选项的可操作性更明确，故答案选C。

8.隐私管理

隐私管理的最终责任取决于董事会和高级管理层。

有效的隐私保护实践有助于良好的治理和责任，董事会和高级管理层有责任建立必要的隐私制度并实施监督的措施。

内部审计部门可以通过评估管理层对于隐私目标相关风险识别以及把这些风险降低到可接受水平的控制建立的适当性，帮组织实现良好的治理和风险管理。

9.风险隐私信息包括：

1）个人隐私（生理的和心理的）

a）姓名、地址、身份号码、家庭关系；

b）员工档案、评价、意见、社会身份或违纪处分；

c）信用记录、收入、经济地位；

d）健康状况。

2）空间隐私（不受监视）

3）沟通隐私（不受监管）

4）信息保密（他人收集、使用和公布个人信息）

保护个人隐私的适当控制的失败会给组织带来严重后果。这种失败可能损害个人或组织的信誉，使组织面临承担法律责任在内的风险和破坏消费者或员工信任的风险，所以必须明智地处理隐私问题。

内部审计师在组织中处于良好位置，能够评估隐私制度、识别重大风险并提出降低风险的适当建议。

10.内部审计在组织的隐私管理中的作用

1）推动隐私方案的制定和实施；

2）评价管理层的隐私风险评估；

3）确定组织的需要和风险暴露情况；

4）确认组织的隐私政策、实务和控制的效果。

注意：如果内部审计师承担了任何制定实施隐私方案的责任，则内部审计师的独立性将受到损害。

11.内部审计师通常被期望做如下工作：

1）确认组织收集信息和收集方法的类型和适当性；

2）评价组织对这些信息的使用是否符合其原定的用途，是否遵守法律，是否限于信息收集、持有和使用范围；

3）鉴于隐私内容具有很高的技术和法律方面的特性，内部审计部门需要具备适当的知识和能力，以实施组织的隐私制度的风险和控制评估，内部审计师可能必须寻求第三方专家的帮助来评估组织的隐私框架。

3.隐私管理的最终责任属于（）。

A.股东会

B.监事会和高管层

C.内部审计部门

D.董事会和高管层

『正确答案』D

『答案解析』隐私管理往往是组织风险管理的一部分，其最终责任在于董事会和高级管理层。

4.在组织的隐私制度评估中，下列哪项内部审计师的哪项做法是合适的（）。

A.考虑遵循相关的法律法规或标准

B.企业隐私优先级控制措施

C.评估组织的隐私商业战略

D.以上都对

『正确答案』A

『答案解析』因为这里说的是对组织的隐私制度评估，并不是对战略的评估。

5.公司的内部审计部门在隐私管理中起到了积极的作用，下列各项不属于内部审计部门在隐私管理中的作用的是（）。

A.评价管理层的隐私风险评估

B.确认组织的隐私政策、实务和控制的效果

C.制定实施隐私方案并提交董事会备案

D.确定组织的需要和风险暴露情况

『正确答案』C

『答案解析』参与制定会破坏内部审计部门工作的独立性。

三、公司社会责任

1.企业的社会责任（也称社会责任/可持续发展）

企业社会责任是公司以透明和负责任的方式把社会、环境和经济问题整合到他们的价值观、文

化、决策制定、战略和运营中，从而在公司内部建立更好的实务，创造财富和改善社会。

定义强调了将企业社会责任融入组织每个环节的重要性。

这是一种自我治理的形式，旨在确保组织设置和实现与环境和社会可持续性相关的战略、目标、政策，所有这些都对组织的声誉、市场份额、吸引和留住人才的能力有强有力的影响。

企业社会责任是一种必须从上到下进行倡导的哲学。

2.

经济、社会、环境三重底线和可持续性

3.企业社会责任风险

声誉风险

股票市场风险

合规风险

责任风险

运营风险

人员配备风险

市场营销风险

供应链合作合办风险

4.企业社会责任过程（6步）

a）识别和考虑重大风险

b）制定详细的业绩目标和实施策略

举例：减少安全事件、鼓励志愿服务、建设透明文化、减少浪费和碳排放

c）对照目标

和基准加以管理和测量，提出改进建议

举例：追踪排放量和危害物，与行业基准和内部目标对比；用员工满意度作为自我评估工具d）定期与利益相关者进行沟通

例如：参与制定政策、实施调查、形成焦点小组和管理投诉流程

e）持续进行内部和外部的审计与合规

例如：关注是否符合法律、法规和政策

f）企业社会责任报告

例如：发布危险产品的材料安全数据表、资源提交碳排放量信息

5.最佳的做法

组织将企业社会责任原则嵌入其业务流程，以确保它们起作用，如通过使员工自下向上地参与制定使命和愿景声明以反映企业社会责任价值观，这需要在考虑环境和社会影响的情况下对项目或产品设计进行生命周期价值评估，或要求在审批项目之前对企业社会责任风险进行评估和处理。

6.企业社会责任框架

组织可能希望采用一个企业社会责任的政策和标准框架，而不是自己进行制定。

常见的企业社会责任框架包括：

（1）ISO 26000

（2）全球报告倡议

（3）“全球报告行动”（GRI）推出的G3报告框架

（4）“国际社会责任”公布的SA8000标准

（5）“社会和伦理责任协会”制定的AA1000系列

7.ISO 26000“社会责任”提供以下方面指南：

1）与社会责任相关的术语、定义和概念；

2）社会责任的特点，其背景和趋势；

3）与社会责任相关的原则和实务；

4）社会责任的核心问题和主题；

5）在整个组织中每个区域的影响范围，通过政策和实务，整合、实施和促进社会责任行为；

6）识别并与利益相关者接洽；

7）沟通承诺、业绩和其他信息。

ISO 26000旨在促进员工对社会责任的共同理解。受到激发和被授权的员工能为项目增加价值并在组织内外提供宝贵的口碑营销。

8.全球报告倡议组织

全球报告倡议组织是一个基于网络的组织，致力于产生一个可持续性行为和结果的报告框架。该报告框架不断改进，并在全球范围内被广泛采用。全球报告倡议组织报告可作为一个基准，很容易与来自其他使用了这个框架的组织报告进行比对。全球报告倡议组织还就如何根据关键绩效指标来衡量绩效提供了建议和标准。

9.企业社会责任报告

企业社会责任报告可以是独立的或是组织年度报告的一部分。

选定的企业社会责任信息也可以包含在发布的营销出版物，如股东会议宣传册、网页、商业广告或新闻发布稿中。监管机构也可能要求特定的文件。

公司社会责任报告是企业非财务信息披露的重要载体，是公司与利益相关方沟通的重要桥梁。没有统一的格式。

企业社会责任报告披露信息让潜在的投资者确定组织是否有资格成为一项社会责任投资，使得组织得到这类投资者青睐。

按照之前三重底线的讨论，报告可以提供关于组织是否在长期内是可持续的等方面的信息。

组织需要仔细考虑该报告应包括什么和忽略什么，不仅仅是因为这些信息存在责任风险，还因为收集这些信息的潜在收益必须大于生产信息的成本。

进行企业社会责任报告的组织也必须认识到，有时需要共享正面消息和负面消息。然而，持续报告正面和负面信息的组织将被认为是更值得信任的。

企业社会责任还没有一个公认的报告格式。ISO 26000或全球报告倡议组织可以提供这种常见的框架。

报告可能不被认为是值得信赖的，除非它们已经由第三方独立进行证实或受制于其他一些类型的确认过程。内部审计师是一个能够提供这种确认的潜在资源。组织也可以获得符合ISO标准的认证，这需要组织将报告提交给第三方检测机构进行审查。

10.社会责任收益

关注社会责任最终会提高公司长期生存的机会。仅仅狭隘地关注产品或服务的利润，而不考虑公司行为的后果，可能会削弱公司的长期业绩，最终导致公司被淘汰出局。研究表明，承担社会责任可以提高企业的财务绩效，并吸引更优秀的应聘者。

当公司的高层管理者持有的社会责任观与重要的利益相关群体（例如：环保主义者、消费者以及政府等）的目标一致时，这个利益相关群体可能会做出回报，影响群体中的成员去支持公司的产品。

11.社会责任成本

承担社会责任有两个最基本的方面：

第一，避免非法和不道德的行为。

例如种族歧视、性骚扰、环境污染和逃税。

第二，其他与社会责任有关的行为产生的成本。

例如参加社区大扫除活动、捐款及参加其他公益活动等。

管理层不应该把社会责任放在最重要的位置，但是管理层也不能完全忽视它，而是应该在重视社会责任的同时也不能忽视其他重要的东西，例如在市场竞争中获得成功。

管理者面临的挑战是争取在满足利益相关者和整个社会的利益之间取得平衡，始终铭记负责任的行为是企业长期发展的基石。

典型试题：

1.造成与保护隐私惯例有关的控制措施存在缺陷的一大原因是没有遵守（）。

A.财务会计准则

B.公司的内部隐私政策

C.《国际内部审计专业实务标准》

D.有关隐私的法律和法规

『正确答案』B

『答案解析』保护隐私惯例与财务会计准则、《国际内部审计专业实务标准》无关，选项A、C 不正确；造成与保护隐私惯例有关的控制措施，是指公司的内部控制措施，而不是国家法律法规的控制措施，所以B是正确答案。

2.首席审计官建议董事会建立企业社会责任政策并规划企业社会责任项目。董事会拒绝这个建议，说这不是他们的职责，并且组织不能同时向其股东及社会和环境履行其义务。首席审计官最好的回应是（）。

A.实施企业社会责任政策不需要投资太多时间和金钱

B.不建立企业社会责任政策会对组织构成重大风险

C.现在可以推迟创建政策和项目，但以后应考虑

D.建立企业社会责任政策是一个合规性问题

『正确答案』B

『答案解析』不建立企业社会责任政策会对组织构成重大风险，最符合题意，所以选B。

选项A，不是最有说服力的理由；选项C的做法，不符合首席审计官的立场；选项D合规性的表述，本身不正确。

3.大量证据表明，企业的社会责任与其长期利润之间有着（）关系。

A.没有明显关联

B.负相关性

C.正相关性

D.无法判断

『正确答案』C

『答案解析』企业的社会责任可以提高财务业绩，与其长期利润之间有着正相关关系。