Effective internal audit

歡迎來到「有效的內部審計」！

你好！歡迎來到你 P3 – 風險管理 (Risk Management) 學習旅程中最實用且至關重要的一章。如果你曾經好奇到底是誰在監督公司是否遵守規則，那麼你來對地方了。內部審計 (Internal Audit, IA) 通常被稱為董事會的「耳目」。在本章中，我們將探討什麼造就了一個「有效」的內部審計部門，以及為什麼他們是做好風險管理的秘密武器。

如果起初覺得這些內容有點「企業化」也不用擔心，我們會透過日常例子將其拆解，確保你能輕鬆理解！

1. 到底什麼是內部審計？

從本質上講，內部審計是一種獨立、客觀的保證與諮詢活動。其工作目的是為組織增加價值並改善其營運。

比喻： 想像一隊專業運動隊伍。球員是員工，教練是經理。而內部審計師就像是專業的表現分析師。他們自己不上場比賽，但他們會觀看比賽錄影、檢查球員是否遵循戰術，並建議如何踢得更好，以及如何避免「犯規」（即風險）。

三道防線 (Three Lines of Defense)

為了理解內部審計的角色，我們使用一個著名的模型，稱為三道防線：

1. 第一道防線： 營運管理層（負責日常工作並擁有風險的人員）。
2. 第二道防線： 風險管理與合規職能（制定政策並監控這些政策的人員）。
3. 第三道防線： 內部審計（負責檢查前兩道防線是否真的各司其職的獨立團隊！）。

快速回顧： 內部審計是第三道防線。他們獨立於管理層之外，因此可以提供客觀公正的意見。

2. 什麼造就了「有效的」內部審計？

並非所有的審計部門都是一樣的。要使內部審計真正有效，需要幾個關鍵「要素」。國際內部審計師協會 (IIA) 在此設立了黃金標準。

A. 獨立性與客觀性

這是最重要的一點。如果審計師與被審計人是好友，他們真的能保持誠實嗎？很難。

獨立性是指審計部門的匯報對象必須達到足夠高的層級，以履行其職責——通常是董事會下設的審計委員會 (Audit Committee)，而不是財務總監。
客觀性是指個別審計師需保持不偏不倚的心理態度，並避免任何利益衝突。

B. 專業能力與應有的職業謹慎

審計師必須具備相應的能力！他們需要具備正確的技能、資格和經驗。此外，他們的工作必須達到一名審慎且稱職的內部審計師所應有的謹慎與專業水準。

C. 足夠的資源

你不能指望兩個人組成的團隊就能審計一家跨國銀行。有效的審計需要足夠的預算、員工和科技技術來覆蓋企業的高風險領域。

你知道嗎？ 內部審計師不僅僅是為了尋找舞弊。他們也關注效率、資訊科技安全、環境影響以及法律合規性！

重點總結： 內部審計要發揮作用，必須向審計委員會匯報，對日常營運沒有決策權，並且擁有足夠的「影響力」（權力）讓管理層聽取他們的建議。

3. 內部審計的角色與範疇

內部審計不只是「勾選項目」。他們的職責範疇很廣，通常包括：

1. 審查內部監控： 門上的鎖（實體或數位）是否正常運作？
2. 檢查財務與營運資訊： 我們用來做決策的數據準確嗎？
3. 審查「物有所值」(Value for Money, VFM)： 公司支出是否經濟、有效率且達到預期效果？
4. 合規性： 我們是否遵守當地的法律法規？

記憶法：物有所值的 3E

內部審計通常會檢查3E：
經濟性 (Economy)： 花費更少（以最優惠的價格購買投入資源）。
效率性 (Efficiency)： 把事做對（從投入中獲得最大產出）。
效果性 (Effectiveness)： 做對的事（成功達成目標）。

4. 內部審計外判 (Outsourcing)

有些公司（特別是小型企業）沒有自己的內部審計團隊。相反，他們會聘請外部公司（如「四大」會計師事務所）來代勞。這稱為外判。

外判的優點：

- 專業技能： 你可以「租用」網絡安全或法務會計等利基領域的專家。
- 靈活性： 你只需在需要審計時付費。
- 獨立性： 外部公司較不易受到公司內部政治的影響。

外判的缺點：

- 缺乏知識： 外部公司對公司的「文化」或歷史不如內部人員了解。
- 成本： 頂尖事務所的時薪可能非常高。
- 機密性： 你必須讓外人接觸到最敏感的數據。

常見錯誤： 不要將外判內部審計與外部審計 (External Audit)混淆。即使是像畢馬威 (KPMG) 這樣的公司為你做內部審計，它仍然是內部審計職能，因為他們是為董事會工作，而不是為股東工作。

5. 與外部審計的關係

你可能會想：「等等，我們不是已經有外部審計師了嗎？」沒錯，但他們的目標不同！

外部審計師向股東匯報，重點在於財務報表是否「真實且公允」。
內部審計師向董事會/審計委員會匯報，重點在於風險與營運。

例子： 如果倉庫屋頂漏水，外部審計師只關心損壞的存貨在帳目上是否計價正確；內部審計師則關心為什麼屋頂沒有修繕、是誰忘記檢查，以及如何防止這種情況再次發生。

6. 總結與快速回顧

在本章結束時，請記住以下核心重點：

- 內部審計是第三道防線。
- 要做到有效，他們需要獨立性（向審計委員會匯報）與客觀性。
- 他們的範疇包括內部監控、風險管理以及物有所值。
- 外判是一個選擇，但需要在「專業技能」與「缺乏公司內部知識」之間做出權衡。

快速練習：

問題：為了確保獨立性，內部審計主管理想情況下應向誰匯報？
答案： 審計委員會（由獨立非執行董事組成）。

你一定能做到！內部審計的宗旨就是確保公司的「安全網」牢不可破。記住這些原則，你就能輕鬆應對 P3 考試中與此主題相關的考題！