内部审计实物标准.ppt

Standards for the Professional Practice ofInternal Auditing(SPPIA),内部审计实务标准,标准创立：Standard Board of The Institute of Internal Auditors,翻译编辑：CIA 中文站，西雅图,版权所有：2004 IIA,CIA 中文站,SPPIA 中文版内部审计实务标准(SPPIA)作为内部审计师协会(IIA)创立的审计标准之一，获得全球业界的广泛认可。本书为该标准的中文译本，对于注册内部审计师(CIA)考试和业内人士从事审计执业具有重要的参考价值。创立：内部审计师协会(IIA)译者：CIA 中文站(http:/)打印：西雅图，美国UPC:107-1630-N07046PN:IIA-CKS-06271X7,CIA 中文站,第 2 页,SPPIA 中文版Index属性标准.5工作标准.7术语表.11内部审计师职业道德规范.13实务文本.14实务公告 10001：内部审计章程.14实务公告 1000.C11：内部审计师开展咨询活动的原则.14实务公告 1000.C12：内部审计师开展正式咨询业务的其他考虑.16实务标准 11001：独立性与客观性.19实务公告 11101：机构的独立性.19实务公告 11102：审计执行主管的报告对象.20实务公告 1110.A11：披露要求获取信息的原因.22实务公告 11201：审计师个人的客观性.22实务公告 11301：对独立性或客观性的损害.23实务公告 1130.A11：评价内部审计师以前负责的运营工作.24实务公告 1130.A12：内部审计开展其他(非审计工作).24实务公告 12001：专业水平和应有的职业审慎性.26实务公告 12101：专业水平.26实务公告 1210.A11：获取有关服务为内部审计工作提供支持或补充.27实务公告 1210.A21：发现舞弊.29实务公告 1210.A22：发现舞弊的职责.31实务公告 12201：应有的职业审慎性.32实务公告 12301：继续职业发展.32实务公告 13101：质量项目评价.33实务公告 13111：内部评价.33实务公告 13121：外部评价.34实务公告 13201：质量项目的报告过程.35实务公告 13301：使用“内部审计工作依据标准开展”的声明.36实务公告 20001：管理内部审计部门.36实务公告 20101：为内部审计部门制定计划.37实务标准 20102：将审计计划与风险相联系.37实务公告 20201：内部审计部门计划的报告和审批.38实务公告 20301：资源管理.39实务公告 20302：美国证券监督委员会对外部审计师提供内部审计服务的独立性要求.39实务公告 20401：政策和程序.41实务公告 2050l：协调.42实务公告 20502：采购外部审计师的服务.44实务公告 20601：向董事会和高级管理层报告.46实务公告 20602：与审计委员会的关系.46实务公告 21001：工作性质.48,CIA 中文站,第 3 页,SPPIA 中文版实务公告 21002：信息安全性.50实务公告 21003：内部审计在风险管理过程中的作用.50实务公告 21004：内部审计.51实务公告 21005：在评价合规项目时的法律考虑.52实务公告 21101：评估风险管理过程的充分性.55实务公告 2120.A11：对控制过程的评价和报告.57实务公告 2120.A12：应用控制自我评价.59实务公告 2120.A13：内部审计在季度财务报告、披露和管理层证明方面的作用.61实务公告 2120.A41：控制标准.64实务公告 21301：内部审计部门.64实务公告 22001：审计业务计划.66实务公告 22101：审计目标.67实务公告 2210.A11：审计业务计划过程中的风险评价.67实务公告 22301：审计业务资源的分配.68实务公告 22401：审计工作方案.69实务公告 2240.A11：审计工作方案的审批.69实务公告 23101：收集信息.70实务公告 23201：分析与评价.70实务公告 23301：记录信息.71实务公告 2330.A11：对审计记录的控制.72实务公告 2330.A12：对授权接触审计记录的法律考虑.73实务公告 2330.A21：对记录的保留.75实务公告 23401：对审计的监督.75实务公告 24001：报告审计结果时的法律考虑.76实务公告 24101：报告标准.77实务公告 24201：审计报告的质量.79实务公告 24211：错误与遗漏.80实务公告 24401：发布审计结果.80实务公告 24402：对外发布审计报告.81实务公告 25001：对审计结果处理情况的监督.82实务公告 2500.A11：后续审计过程.82实务公告 26001：管理层对风险的接受.83读者反馈.84,CIA 中文站,第 4 页,SPPIA 中文版属性标准1000宗旨、权力和职责内部审计活动的宗旨、权力和职责应在章程中进行正式的界定，这样的界定应与标准保持一致，并须经董事会通过。1000.A1章程中应明确向机构和第三方提供的保证服务的性质。1000.C1章程中应对咨询服务的性质加以定义。1100独立性与客观性内部审计活动应该独立，内部审计师在开展工作时应做到客观。1110机构独立性审计执行主管在机构内应向能使内部审计活动实现其职责的阶层报告。1110.A1内部审计活动在确定内部审计范围、实施审计及报告审计结果时应不受干扰。1120个人的客观性内部审计师应有公正的态度，避免利益冲突。1130对独立性或客观性的损害无论独立性或客观性受损，都应将损害的具体情况向有关方面反映。反映的性质取决于损害的具体情况。1130.A1内部审计师应避免评价他们以前负责过的工作。审计师在上年度负责一项工作之后，本年度又对该工作提供保证服务，则可以假定客观性受到了损害。1130.A2对审计执行主管负责的工作提供保证服务时，应由独立于内部审计活动以外的有关方面进行监督。1130.C1内部审计师可以提供与他们以前负责过的工作相关的咨询服务。1130.C2在内部审计师本人可能损害所要提供的咨询服务的独立性时，内部审计师在接受这项工作之前，应向客户说明此情况。1200熟练性与应有的职业审慎性内部审计师应以熟练性与应有的职业审慎性开展审计业务。1210熟练性内部审计师应具备履行他们各自的职责所需要的知识、技能与其他能力。开展内部审计活动的全体人员应具有或获得履行其职责所需要的知识、技巧及其他能力。1210.A1当内部审计人员缺乏完成全部或部分的审计工作所应具备的知识、技巧或其他能力时，审计执行主管应向他人寻求有力的建议或帮助。1210.A2内部审计师应具有发现舞弊线索所需的足够知识。但并不希望内部审计师具备主要责任是发现和调查舞弊的人员的专门技能。1210.A3-内部审计师应该了解关键的信息技术风险和控制以及可用的审计技术使师审计业务。但不是所有的内部审计师都具备信息技术审计的专长。1210.C1当内部审计师缺乏完成全部或部分的咨询业务所应具备的知识、技巧或其他能力时，审计执行主管应婉言拒绝开展此项业务或向他人寻求有力的建议或帮助。1220应有的职业审慎性内部审计师应在工作中应用人们期望的谨慎、有能力的内部审计师所应具备的审慎与技能。应有的职业审慎性并不意味着永不出错。1220.A1内部审计师应考虑到以下几个因素，以应有的职业审慎性开展工作：为实现审计目标而需要开展的审计工作的范围；所要保证事项的相对复杂性、重大性和重要性；,CIA 中文站,第 5 页,SPPIA 中文版风险管理、控制与治理过程的充分性和有效性；严重错误、违规或不守法的概率；与潜在利益相对的审计成本。1220.A.2-在运用应有的职业谨慎时，内部审计师应该考虑使用计算机辅助审计工具和其他数据分析技术。1220.A3内部审计师应警惕可能影响目标、运营或资源的重大风险。但是，即使是以应有的职业审慎性开展工作，只依靠保证程序本身并不能保证发现所有的重大风险。1220.C1在开展咨询业务时，内部审计师应考虑到以下几个因素，以应有的职业审慎性开展工作：客户的需求与期望，包括咨询结果的性质、时间选择与报告。为实现咨询目标而需要开展的工作的相对复杂性与工作范围。与潜在利益相对的开展咨询业务的成本1230继续职业发展内部审计师应通过继续职业发展来增长知识、提高技能及他方面的能力。1300质量保证与改进项目审计执行主管应制定并坚持开展质量保证与改进项目，该项目应涵盖内部审计活动的方方面面并不断监督内部审计活动的效果。该项目包括定期的内部和外部质量评价和持续的内部检查。设计该项目要有助于内部审计活动增加价值、改善机构的经营状况、并确保内部审计活动遵循标准与职业道德规范。1310质量项目评价内部审计部门应采取一种程序，监督、评价质量项目的整体效用。该过程应包括内部与外部评价。1311内部评价内部评价应包括：不断对内部审计活动的开展情况进行检查定期的检察可以通过自我评价进行，也可以由机构内部了解内部审计实务与标准的人员进行。1312外部评价诸如质量保证检查的外部评价应至少每五年开展一次，由合格的、机构外部的独立评价员或评价小组来进行。1320质量项目的报告审计执行主管应把外部评价结果报告给董事会。1330使用“内部审计工作依据标准开展”的声明鼓励内部审计师以内部审计活动“依据内部审计实务标准开展”来报告他们的活动。但是，只有在质量改进项目的评价结果表明内部审计活动是遵循了标准的情况下，内部审计师才可使用此声明。1340披露违规行为尽管内部审计活动的开展应完全与标准保持一致，内部审计师也应充分遵守职业道德规范，但偶尔也会出现不能完全遵守的情况。当不合规的行为影响到全局或影响内部审计活动的开展时，就应向高级管理层和董事会进行披露。,CIA 中文站,第 6 页,，,SPPIA 中文版工作标准2000管理内部审计活动审计执行主管应有效地管理内部审计活动，确保内部审计活动为机构增加价值。2010制定审计计划审计执行主管应根据风险制定计划，来确定符合机构目标的、内部审计的工作重点。2010.A1内部审计活动的业务计划应至少一年进行一次，并在风险评估的基础上制定。在制定计划的过程中，应考虑到高级管理层和委员会的意见。2010.C1审计执行主管应根据以下标准考虑是否接受所提议开展的咨询工作，即该工作在改善风险管理、增加价值、改善机构的运营方面的潜在作用。应在计划中罗列出已经接受的咨询工作。2020报告与通过审计执行主管应把内部审计活动的计划与资源要求(包括重要的、临时性变化)提交高级管理层和委员会报告、审议通过。审计执行主管还应说明资源方面的限制可能带来的后果。2030资源管理审计执行主管应确保内部审计资源的适当性、充分性及有效利用，以完成所通过的计划。2040政策与程序审计执行主管应制定政策与程序，指导内部审计活动。2050协调审计执行主管应与提供相关保证与咨询服务的其他内外部人员分享信息、相互协调，以确保工作的全面性，最大限度地减少重复工作。2060向董事会与高级管理层报告情况审计主管应定期向董事会与高级管理层报告与计划有关的内部审计活动的目的、权力、责任与工作业绩。另外还应报告重要的风险揭示与控制问题、公司治理问题以及委员会和高级管理层需要或要求知晓的其他事项。2100工作性质内部审计采取系统的、规范的方法来评价并帮助改进机构的风险管理、控制和治理程序。2110风险管理内部审计活动应帮助机构发现并评价重要的风险因素、帮助改进风险管理与控制体系。2110.A1内部审计部门应监督、评价机构风险管理体系的有效性。2110.A2内部审计部门应评价机构的治理、运营及信息系统方面的风险因素：财务与运营信息的可靠性与完整性；运营的效果与效率；资产的护卫；法律、法规及合同的遵守情况。2110.C1在开展咨询业务时，内部审计师应根据业务目标解决风险方面的问题，还应对其他的严重风险保持警惕。2110.C2内部审计师应结合开展咨询服务时了解到的风险情况，查找、评价机构的重大风险因素。2120控制内部审计活动应该评价控制的效率与效果、促进控制的不断改善，以此来帮助机构保持有效的控制。2120.A1在风险评估结果的基础上，评价控制的充分性与有效性，范围包括机构的,CIA 中文站,第 7 页,SPPIA 中文版治理、运营及信息系统；此类评价应当包括：财务与运营资料的可靠性与完整性；运营的效果与效率；遵守法律、法规与合同的情况；资产的护卫情况。2120.A2内部审计师应检查运营与项目目标的确定程度、检查它们与机构目标的一致程度。2120.A3内部审计师应对运营与项目进行评价，检查其结果与既定目标的一致程度、判断这些运营和项目是否按计划得到执行或操作。2120.A4评价控制需要遵循适当的标准。内部审计师应检查管理层已制定的、用于判断目标是否实现的标准的适当性。如果此标准适当，内部审计师应在评价中加以应用。如果不适当，内部审计师应与管理层合作，制定适当的评价标准。2120.C1在开展咨询工作的时候，内部审计师应该解决与此工作目标相一致的控制事项，并且应警惕是否存在控制薄弱环节。2120.C2内部审计师应利用从咨询工作中了解到的控制情况，将其用于发现并评价机构的重大风险。2130治理内部审计活动应该评价并为改进机构的治理程序提出适当的建议2130.A1内部审计师应评价与道德相关的组织目标、计划和行动的设计、实施和效果2130.C1咨询业务的目标应与机构的整体价值和目标相一致。促进组织形成恰当的道德和文化；保证有效的组织绩效管理和相应责任向组织内适当的阶层有效地沟通风险和控制信息；有效地协调董事会、外部审计师、内部审计师和管理层之间的信息交流。2200-审计业务计划内部审计师在开展每项审计业务时都应制定并记录审计计划，包括范围、目标、时间和资源分配。2201计划制定过程中应考虑的因素在制定审计业务计划时，内部审计师应考虑到：被评估活动的目标及对活动的实施进行控制的方式。被评估活动存在的风险、目标、资源与运营以及将风险的潜在影响控制在可接受水平的方式。与相关的控制框架或模式相比较，该活动的风险管理与控制系统的充分性与有效性。对该活动的风险管理与控制系统进行重大改进的机会。2201.A1-内部审计师应与组织外部机构达成书面协议，内容包括业务目标、范围、各自的责任以及对其的期望，包括业务结果发送和获取业务纪录的限制。2201.C1内部审计师应与咨询业务的客户达成协议，内容包括业务目标、范围、各自的责任及其他客户的期望。对于重要的咨询业务，此类协议应制作成书面文件。2210-审计业务目标每个审计业务都要建立目标。2210.A1内部审计师应该对被检查活动相关风险进行初步评估。审计业务工作的目标应该反映风险评估的结果。,CIA 中文站,第 8 页,、,SPPIA 中文版2210.A2在制定审计业务计划时，内部审计师应考虑到存在严重错误、不合规、违规及其他风险的可能性。2210.C1咨询业务的目标是解决风险、控制与治理过程的有关事项，实现程度是以与客户达成的协定为准。2220审计业务范围划分的审计业务范围应足以实现审计业务目标。2220.A1确定审计业务范围时应考虑到相关的系统、记录、人力及包括受第三方控制的实物财产。2220.A2如果在保证业务过程中产生了重大的咨询业务，应该对要达到的目标、范围中各自责任和其他期望以及按照标准报告的咨询业无结果形成书面文件。2220.C1在开展咨询业务时，内部审计师应确保业务范围的充分性，以实现协定的目标。如果内部审计师在开展工作时对业务范围有保留，应与客户就这些保留进行讨论，决定是否继续进行审计工作。2230审计业务资源的分配内部审计师应确定适当的资源，以实现审计业务目标。人员的配置应依据对每项审计工作的性质和复杂性、时间限制以及可获得的资源的评价。2240审计业务工作方案内部审计师应制定实现审计业务目标的工作方案。应对这些工作方案予以记录。2240.Al工作方案中应规定在审计过程中查找、分析、评价和记录信息的程序。工作方案应在工作开始之前得到批准，方案的任何调整都应立即得到批准。2240.C1咨询业务的工作方案的形式与内容取决于咨询业务的性质。2300开展审计业务内部审计师应收集、分析、评价并记录足够的信息，实现审计业务目标。2310查找信息内部审计师应收集到充分、可靠、相关、有用的信息，实现审计业务目标。2320分析与评价内部审计师应在适当的分析和评价的基础上得出审计结论和审计结果。2330记录信息内部审计师应记录相关的信息，支持审计结论和审计结果。2330.A1审计执行主管应对审计业务记录的使用加以管理。审计执行主管在把这些记录适当向外界公布之前，应征得高级管理层或和法律顾问的同意。2330.A2审计执行主管应制定审计记录的存档规定。这些存档规定应与机构的方针和有关规定或其他规定相一致。2330.C1审计执行主管应制定政策，规定业务记录的保管以及对内对外公布这些记录的要求。这些政策应与机构的方针和有关规定或其他规定相一致。2340审计业务的监督应对审计业务进行适当的监督，以确保实现目标、保证质量、提高职员素质。2400报告审计结果内部审计师应及时报告审计结果。2410报告的标准报告内容包括审计的目标、审计范围及适用的审计结论、建议和行动计划。2410.A1在适当情况下，审计结果的最后报告中应包含内部审计师的总体意见或结论。2410.A2审计报告中应对令人满意的业绩予以承认。,CIA 中文站,第 9 页,SPPIA 中文版2410.A3在向组织外部发布业务结果时，报告中应包括发送限制和业务结果的使用限制。2410.C1咨询业务进展情况和结果报告的形式与内容可根据业务性质及客户需求的不同而变化。2420-报告的质量报告时要做到精确、客观、清晰、简洁、完整、及时、富有建设性。2421错误与遗漏如果最后报告中有重大错误和遗漏，审计执行主管应把更正后的信息传达给所有接到最初报告的人员。2430对违反标准的审计披露当违反标准的行为影响具体审计活动时，审计结果的报告中就应披露：没有得到完全遵守的标准条文；未遵守的原因；未遵守标准对审计活动造成的影响。2440发布审计结果审计执行主管应将审计结果发布给适当的对象。2440.A1审计执行主管负责将最终审计结果报告给那些能保证对审计结果进行应有考虑的人员。2440.A2 除了法律、法规、规章等法定要求，在向组织外发布业务结果前，审计执行主管应：评估对组织的潜在风险在适当适于高级管理层和/或法律顾问咨询通过限制结果的适用来控制发布。2440.C1审计执行主管负责向客户发布咨询业务的最终结果。2440.C2在开展咨询业务时，可能会发现风险管理控制及治理方面的问题。只要这些问题对机构是至关重要的，就应将其报告给高级管理层和委员会。2500监测进程审计执行主管应设立并维持一个体系，对报告给管理层的审计结果的处理情况进行监测。2500.A1审计执行主管应规定后续审计过程，以监督、保证管理行为能够得到有效落实，或高级管理层已接受了不采取行动所带来的风险。2500.C1内部审计活动应当监督咨询业务结果的处理情况。2600管理层对风险的接受在审计执行主管认为高级管理层接受的剩余风险水平对于机构来说是无法接受的情况下，审计执行主管应就此与高级管理层进行讨论。如果无法决定剩余风险问题，审计执行主管与高级管理层应将此事报告董事会加以解决。,CIA 中文站,第 10 页,SPPIA 中文版术语表增加价值通过保证和咨询服务来增强组织目标达成的机会，识别运营过程的改善方面，降低风险水平。充分的控制如果管理层作出的计划、进行的机构(设计)能够合理保证机构的风险得到了有效管理，目标和任务得到经济有效的完成，那么就可以说存在充分的控制。保证服务 一种为了对机构的风险管理、控制或治理过程进行独立评价而客观地审查证据的行为。例如，对财务、绩效、合规性、系统安全和应尽责任的审查等。董事会是指董事会、董事会下属的审计委员会、内部审计人员向其报告的机构或法规部门的领导、非盈利机构的理事会或受托人董事会、机构内部其他指定治理机构。章程内部审计部门的章程是用以确定审计部门的宗旨、权限和职责的正式书面文件。该章程应该：(1)规定内部审计部门在该机构中的地位；(2)授权可以接触与执行审计工作有关的资料、人员和实物资产；(3)确定内部审计活动的范围。审计执行主管是指机构内负责内部审计活动的最高职 位。在传统的内部审计活动中就是指内部审计主任。在内部审计活动由外部服务提供者开展的情况下，审计执行主管就指负责监督审计活动的服务合同及活动的整体质量保证、向高级管理层和董事会报告有关内部审计活动的情况、对审计结果进行后续跟踪的人员。该词还包括一些头衔，如总审计师、首席内审师和总检查官等。职业道德规范内部审计师协会(IIA)职业道德规范是关于内部审计职业和实践的原则，行为规范表明期望的内部审计师的行为。合规性与政策、计划、程序、法律、规章、合同及其其他要求的符合性和一致性。利益冲突指任何表面上或事实上都不符合机构的最大利益的各种关系。利益冲突会妨害个人客观地履行其职责。咨询服务提供建议以及相关的客户服务活动，这种服务的性质与范围通过与客户协商确定，它的目的是增加价值并提高机构的治理、风险管理和控制程序。该活动是管理层的责任。这样的服务包括顾问服务、建议、协调、培训等。控制是指管理层、委员会及其他各方进行的、旨在加犟风险管理、增大实现既定目标的可能性的行为。管理层计划、组织并指导诸多方案的实施，以合理地保证目标得以实现。控制环境机构内董事会和管理层对控制的重要性所持的态度及所采取的行动。控制环境为实现内部控制系统的基本目标提供了规范和框架。控制环境包括以下要素：(1)诚实性和道德价值观；(2)经营管理理念和经营风格；,CIA 中文站,第 11 页,SPPIA 中文版(3)机构结构；(4)权力的分配和责任的划分；(5)人力资源政策和惯例；(6)人员的能力。控制过程即控制框架的组成成分，包括政策、程序及控制活动，控制过程的设计旨在保证把风险控制在风险管理过程规定的风险容忍度之内。审计业务指一项特定的内部审计工作、任务或评审活动，例如，内部审计、控制自我评价复核、舞弊检查或咨询。为实现一套特定的相关目标，审计业务可以包括多个任务或活动。审计业务目标指由内部审计师通过概括性声明确定的、希望实现的审计业务成果。审计业务工作方案指一份说明开展审计业务时所应遵循的步骤的文件。设计审计业务工作方案的目的是完成审计业务计划。外部服务提供者独立于内审部门所在机构且在某一特定学科领域内有专门的知识、技术与经验的个人或公司。舞弊所有具有欺骗、隐瞒或破坏信任特征的非法行为。这些行为不依靠暴力或武力威胁。个人和机构为获取金钱、财产或服务，避免付费或失去服务，或获取个人或商业优势都会犯下舞弊罪。治理为告知、值规、管理和监督组织完成目标的活动而由董事会实施的程序和组织结构的组合。损害对个人的客观性和机构的独立性造成的损害。此类损害包括个人的利益冲突 i 审计范围的限制，对资料的接触、人员和财产的制约及资源(资金划拨)的限制。内部审计部门为了增加价值并改善机构的运营而提供独立、客观的保证与咨询服务的部门、处或小组的顾问或其他从业人员。内部审计部门通过系统化、规范化的方法，对风险管理、控制与治理程序进行评价，进而提高它们的效果。客观性是一种公正的、不偏不倚的态度；它要求内部审计师在执行审计工作时，对他们的工作成果抱有诚实的信条，不会与任何方面达成重大的质量妥协。客观性要求内部审计师不能把对其他事务的判断凌驾于对审计事务的判断之上。风险是指可能对目标的实现产生影响的事情发生的不确定性。风险的衡量标准是后果与可能性。,CIA 中文站,第 12 页,4.1,3,2,SPPIA 中文版内部审计师职业道德规范原则内部审计师应使用和信守以下原则：正直内部审计师的正直建立起信用，从而为其判断的可靠度提供基础。客观在收集、评价和沟通有关被检查的活动或过程的信息中，内部审计师展示其最大限度的职业客观性。在其作出判断的过程中，不受其个人喜好或他人的不适当影响，内部审计师对所有相关环境做出公正的评价。保密内部审计师尊重其收到的信息的价值和所有权，除非是在合法或有职责的情况下，否则没有适当授权不披露信息。能力内部审计师在工作中应使用在内部审计业务中所需要的知识、技能和经验。行为规则1正直内部审计师：11 应当诚实、勤奋并负责地完成工作。12 应当按照法律及其职业要求，遵守法律和做出披露。13 不得故意参与非法活动，或参加有损于内部审计职业或其机构的行为。14 应当遵守并贡献于机构的合法道德目标。2客观内部审计师：21 不应参与可能妨碍或被认为妨碍其公正评价的一些活动或关系。这种参与包括那些与机构的目标相冲突的活动与和关系。22 不接受可能妨碍或被认为妨碍其职业判断的任何东西。2 应当揭示其知道的所有重要事实，如果不予揭示，可能歪曲对所复核活动的报告。3保密内部审计师：31 应当谨慎利用和保护在其职责中获取的信息。3 不应当为个人目的，或者以任何有悖于法律或有害于机构的合法道德目标而利用信息。4合格内部审计师：应当只从事他们具备必要的知识、技能和经验的服务42 应当根据完成内部审计。43 应当持续地提高其服务的熟练程度、效率和质量。,CIA 中文站,第 13 页,SPPIA 中文版实务文本实务公告 10001：内部审计章程解释内部审计专业实务标准中的第 1000 条标准相关标准：第 1000 条标准宗旨、权力和职责内部审计活动的宗旨、权力和职责应在章程中进行正式的界定，这样的界定应与标准保持一致，并须经董事会批准。本实务公告性质在采纳内部审计活动的章程时，内部审计师应考虑以下建议。本实务指导无意囊括开展审计业务可能需要考虑的所有方面，仅推荐一系列应该考虑的事项。是否遵守实务公告由审计师自行选择决定。1内部审计部门的宗旨、权力和职责应在章程中进行确定。审计执行主管应征得高级管理层对章程的批准以及董事会、审计委员会和相关的治理机构对章程的认可。章程应该(1)确定内部审计活动在机构中的地位；(2)授权审计人员接触与开展审计工作相关的记录、人员和实物财产；(3)规定内部审计活动的范围。2内部审计活动的章程应该以书面形式存在。书面声明使审计师得以将章程正式提交管理层审批，并交董事会认可。它还有助于定期评估内部审计活动的宗旨、权力和职责的充分性。在机构的内部审计工作的管理中，提供一份包括内部审计活动章程的正式书面文件是很关键的。应该确定并宣传这些宗旨、权力和职责，以确立内部审计部门的作用并为管理层和董事会提供评价内部审计工作开展情况的依据。如果出现问题，章程也能提供与管理层和董事会达成的关于内部审计活动在机构中作用和职责的正式书面协议。3审计执行主管应该定期评价章程中所规定的宗旨、权力和职责，评价其是否还足以使内部审计活动实现其目标。这种定期评价的结果必须通报给高级管理层和董事会。实务公告 1000.C11：内部审计师开展咨询活动的原则解释内部审计专业实务标准中的第 1000.C1 条标准相关标准：第 1000.C1 条标准(咨询实施标准草案于 2001 年 5 月 1 日公布实施，8 月 31 日修改完毕)目前是：章程中应对向本机构和第三方的咨询服务的性质加以定义。此实务公告性质内部审计的定义是“内部审计是一种独立、客观的保证与咨询活动，目的是为机构增加价值并提高机构的运作效率。它采取系统化、规范化的方法来对风险管理、控制及治理程序进行评估和改善，从而帮助机构实现它的目标。”这就提醒内部审计师属性标准与工作标准对开展保证与咨询审计业务的内部审计师都适用。本公告的重点是所有的咨询审计业务中要考虑到的一般情况。咨询审计业务包括书面协议规定的正式的咨询业务，还包括诸如参与常务或临时性的管理委员会或项目小组等咨询活动。要求内部审计师运用专业判断，确定在不同情况下本公告中的指导的适用范围。一些特别的咨询审计业务，例如参与到收购或兼并交易中时，或在一些紧急性的审计业务中，例如灾害恢复活动，就要求不能按常规的或规定的程序来开展咨询审计业务。在开展咨询审计业务时，内部审计师应考虑到以下指导性原则。本实务指导无意囊括开,CIA 中文站,第 14 页,SPPIA 中文版展审计业务可能需要考虑的所有方面，仅推荐一系列应该考虑的事项。内部审计师应格外注意，确定管理层与委员会是否了解和同意开展咨询服务必须的理念、操作方针以及报告过程。是否遵守实务公告由审计师自行选择决定。1内部审计活动的价值主张内部审计部门的价值主张在所有以适应该机构文化与资源的方式雇佣内部审计师的机构内都会得到实现。价值主张在内部审计定义中有所体现，它包括保证与咨询活动，目的是在治理、风险与控制领域内采取系统化、规范化的方法为机构增加价值。2与内部审计定义保持一致每种内部审计部门都应采取系统化、规范化的评估方法。这些服务总体上可分为两类：保证服务与咨询服务。但是，这些服务还可以包括与内部审计的广义定义相一致的、新兴的增值型服务。3保证与咨询服务之外的审计活动内部审计提供的服务不止一种。保证与咨询服务并不是相互排斥的，也不排除其他一些审计服务，(比如，调查以及非审计性质的工作)多数的审计服务既包含保证活动，也包含咨询活动。4保证与咨询之间的相互关系内部审计的咨询服务丰富了增值型的内部审计的内容。咨询服务通常是由保证服务直接产生的，但同时应认识到，咨询审计业务也可能衍生出保证服务。5通过内部审计章程赋予内部审计部门开展咨询服务的权力在传统意义上，内部审计师开展的内部审计服务有以下多种形式：对体系建立过程中的控制的分析、对安全产品的分析、与工作小组一起分析运营情况并提出建议等。委员会(或审计委员会)应授权内部审计部门开展其他一些服务，只要这些服务不引起利益冲突，也不影响内部审计部门对审计委员会的责任。这样的授权应在内部审计章程中反映出来。6客观性审计师通过开展咨询服务，可能会对与保证性审计业务有关的工作程序或问题有更深入的了解，咨询服务也不一定损害审计师或内部审计部门的客观性。内部审计不起管理决策作用。是否采纳或实施内部审计咨询服务所提出的建议由管理层决定。因此，管理层的决策不应损害内部审计的客观性。7内部审计提供咨询服务的基础许多咨询服务都是保证服务与调查服务的自然延伸，它们可以是正式或非正式的建议、分析或评估。由于以下原因，内部审计活动开展此种咨询服务享有独特优势，即：(1)内部审计部门遵守最高客观性标准；(2)它对机构的程序、风险及战略有全面的了解。8基本信息的传达内部审计的首要存在价值是给高级管理层和审计委员会提供保证服务。如果隐瞒审计执行主管(CAE)认为应向高级行政官及董事会董事进行传达的信息，就无法开展咨询工作。应该根据这种条件来理解所有咨询工作。9机构所理解的咨询工作的原则对于咨询服务工作的开展，机构必须制定一些被机构内全体成员所了解的基本规定，这些规定应该在审计委员会通过的章程中体现出来，并在机构内进行公布。10正式的咨询业务管理层经常聘请外部顾问，开展正式的、时间跨度很长的咨询工作。但是，机构会发现，内部审计部门拥有完成某些正式的咨询任务的独特优势。11审计执行主管的职责咨询服务使审计执行主管得以与管理层交换意见，解决一些具体的管理问题。在此意见交换中，审计项目的广度及时间范围根据管理层的需要而灵活安排。但是，审计执行主管保留确定审计技术的特权，并且在审计结果的性质和重大性程度足以给机构带来重大风险时，审计执行主管保留向高级管理层和审计委员会成员报告的权利。12解决冲突或新问题的标准内部审计师的首要责任是当好内部审计师。因此，在开展各项服务的过程中，内部审计师遵循 IIA 的职业道德规范及内部审计实务标准,CIA 中文站,第 15 页,SPPIA 中文版中的属性标准与工作标准。所有不可预见的冲突或活动都应按照职业道德规范及标准来解决。实务公告 1000.C12：内部审计师开展正式咨询业务的其他考虑解释内部审计专业实务标准的第 1000.C1 条标准(和其他相关咨询实施标准)相关标准：第 1000.C1 条标准咨询服务的性质应该在审计章程中得到规定。关于本实务公告的特别注释和相关标准本实务公告包括与多条咨询标准相关的指导。除了第 1000.C1 条标准，指导内容还涉及以下标准：第 1130.C1 和 C2 条标准、第 1210.C1 条标准、第 1220.C1 条标准、第 2010.C1条标准、第 2110.C1 和 C2 条标准、第 2120.C1 和 C2 条标准、第 2130.Cl 条标准、第 2201.C1条标准、第 2210.C1 条标准、第 2220.Cl 条标准、第 2240.C1 条标准、第 2330.C1 条标准、第 2410.C1 条标准、第 2440.C1 和 C2 条标准和第 2500.C1 条标准。本实务公告性质在内容上，本实务公告与实务公告 1000.C1l 类似。实务公告 l000.C11 讨论的是指导内部审计师开展咨询服务的原则。上述两条实务公告都有助于内部审计师开展咨询服务。内部审计的定义指出：“内部审计是一种独立客观的保证和咨询活动，目的是为机构增值并改善机构的运作。它通过采用系统化、规范化的方法对风险管理、控制及治理程序进行评价并改善它们的效果，从而帮助机构实现其目标”。要提醒内部审计师的是与内部审计有关的属性标准和工作标准对开展保证和咨询服务的审计师都适用。本实务公告的重点是在开展正式咨询服务时需要考虑的一般因素。咨询的范围很广，可以是书面协议规定的正式咨询业务，也可以是参加常务或临时管理委员会或项目小组等咨询活动。在实际工作中，我们希望内部审计师能够应用自己的专业判断能力，决定本实务公告内容的适用程度。在一些特殊的咨询业务中(如：参加兼并或收购项目，或检查灾难恢复活动等紧急工作)，可能需要内部审计师在提供咨询时偏离正规的或既定的程序。内部审计师在开展正式咨询服务时应该考虑以下建议。本实务指导无意囊括开展这种服务可能需要考虑的所有方面。在确定管理层和董事会理解并同意开展正式咨询服务所要求的概念、运作指南和报告过程时，内部审计师需要持特别谨慎的态度。是否遵守实务公告由审计师自行选择决定。对咨询服务的定义1标准中的词汇表如此定义咨询服务：“咨询服务是建议性的相关客户服务活动，其性质和范围已与客户达成一致意见，目的是为机构增值并改善机构的运营。咨询服务的范例包括顾问、建议、协调、过程设计和培训等。”2审计执行主管应该确定用以对机构内部业务分类的方法。在有些情形下，可能比较适合开展将咨询和保证服务综合成一体的“合并”业务。在其他情形下，可能将保证和咨询业务加以区分更为合适。3内部审计师可能应管理层的要求、将咨询服务作为其正常或日常业务的一部分来开展。每个机构都应该考虑将要提供的咨询业务的类别，并确定是否应该为每种业务开发专门的政策或程序。可能建立的类别包括：正式的咨询服务：属于计划内的工作并有书面协议规定。非正式的咨询服务：日常性活动，如：参加常务委员会、周期有限的项目、专门会议、日常的信息交流等。,CIA 中文站,第 16 页,SPPIA 中文版特别咨询服务：参加兼并或收购小组或系统转化小组。紧急咨询服务：参加为灾难过后恢复灾难或维护运营或其他非常业务而建立的小组、或参加为满足特别要求或非常期限提供临时帮助而建立的小组。4如果对服务内容开展保证性工作更为合适，而且提出请审计师进行咨询的目的是逃避或使他人逃避保证性业务的有关要求，审计师一般不应该同意开展咨询服务。但这并不排除在更适合开展咨询服务的情形下，调整有关方法，对曾经作为保证性业务领域的内容提供咨询服务。内部审计师在咨询业务中的独立性和客观性(第 1130.C1 条标准)5内部审计师有时被要求为他们曾经负责的或提供过保证性服务的运营领域提供咨询服务。在提出开展咨询服务之前，审计执行主管应该核实董事会已经理解并批准提供咨询服务的概念。一旦获得批准，就应该修改内部审计章程，以便在章程中包括开展咨询服务的权力和责任。此外，内部审计部门应该为