关于内部审计外包的安全性和法律规范探讨，本文主要内容关键词为：外包论文,内部审计论文,安全性论文,法律论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
中图分类号：F812.3 文献标识码：A 文章编号：1005-1007(2010)03-0082-06
《审计法》规定，内部审计在行政上作为单位的一项业务职能，接受本单位的领导；在业务上接受国家审计机关的指导和监督。这种建立内部审计的方式，尽管有诸多优势，但由于内部审计部门既受本单位管理层的领导又受外部政府机关的监督，处境尴尬，较难发挥其应有的作用。20世纪90年代，内部审计外部化在西方国家越来越普遍，给我国内部审计很多启示，为解决我国企业内部审计现存的问题提供了一条新的思路。
一、内部审计外包的形式
内部审计外包最早是由安达信、安永、毕马威等全球知名的会计师事务所提出的。上世纪90年代开始，内部审计外包引起越来越多的关注，已有为数不少的企业或事业单位实施内部审计外包。据国外调查资料显示，在美国和加拿大，内部审计外包的企业比例分别从1996年的21.5％和31.5％，上升为2005年的38.0％和34.8％。这些企业分布于各行各业；而在尚未实施内部审计外包的企业中，分别由3成和4成以上的企业打算未来进行内部审计外包。
目前审计外包的形式有四种：
(1)内部审计职能全部外包。在这种外包形势下，企业不设内部审计部门，将其职能全部外包给会计师事务所或咨询机构。
(2)补充式外包。即将部分内部审计职能赋予第三方。例如，在一些关键性的审计项目中聘请外界的专业人士提供帮助。又如，在审计外地的分公司时，聘请懂当地语言和当地风俗的审计人员提供帮助。另外，在审计特殊领域(电子数据处理系统)时，企业可以聘请这方面的专家参与审计。
(3)审计管理咨询。主要是指聘请咨询机构帮助企业确定企业内部审计机构设置、人员数量及配备情况，并有可能促进内部审计计划的形成和改进。审计管理咨询服务还包括对内部审计人员的招聘工作，帮助企业管理层定义主要的审计风险领域。
(4)内外人员结合审计，也称合作审计。在这种外包形式下，内部审计工作由一个统一的项目和审计工作组来完成，成员包括内部审计师和外部审计师，分别承担不同的审计责任。
以上各种不同的内部审计外包形式各具特色，因企业规模及行业不同，在选择内部审计外包形式上有所不同。国外的实践经验证明，内部审计外包能有效地帮助公司实现治理层的战略目标和管理层的经营目标。特别是对公司管理舞弊方面的内部审计，外包给会计师事务所会比公司内部审计部门要好很多，因为，外部审计师的独立性要高于公司内部审计人员。注册会计师作为审计主体，服务对象分布在各行各业，具有多方面的专业知识，熟悉不同的经营理念和管理方式，能够根据自身的经验及被审计单位的经营过程、风险控制和管理活动进行客观的评价并提出切合管理者需要的一些建设性意见。
二、内部审计存在的主要问题
1.内部审计组织的独立性常受干扰
在重新修订的《国际内部审计师职业实务标准》的“独立性与客观性”条款中，要求内部审计活动是独立的。该标准更强调内部审计组织上的独立性、内部审计人员的客观性。笔者认为我国的中小企业实行厂长、经理负责制，内部审计机构不可能独立于厂长、经理之外，这使得内部审计为经营者服务，在厂长、经理允许的范围内开展审计工作，内部审计职能履行不利，并没有发挥其应有的作用，内部审计的独立性只是纸上谈兵而已。
2.内部审计在具体实施上存在偏差
现阶段的内部审计工作，大多数是事中、事后的差错补漏式的审计，而内部审计主要是通过事前对财务信息的分析预测性审计，为企业提供必要的信息，促进经营者提高管理水平，提高经济效益。企业经营者根据内部审计人员提供的资料信息，参考内部审计人员的意见制定经营决策，使企业在市场竞争中立于不败之地，而事实上无论经营者还是内部审计人员都未做到。
3.内部审计范围狭窄
内部审计是内部控制的要素之一，其职能是对其余内部控制要素的再控制。内部控制是内部审计的直接对象，通过对内部审计的检查、评价能不断促进内部控制的健全完善。从一定程度上讲，内部审计就是通过对内部控制的检查和评价，进而把握整个管理活动。然而，目前我国中小企业的内部审计主要关注财务审计事项，审计的对象主要是会计报表、账簿、凭证及相关资料，其工作主要集中在财务领域而未深入到管理领域。如，当对某项销售业务与收款业务进行审计时，往往审核其合同金额与收款金额是否相符，所附票据是否齐全，但不管价格是否合理，认为那是销售部门的事，与内部审计无关。
4.内部审计人员业务素质普遍偏低
很多中小企业内部审计人员数量少，且缺乏高质量审计思维，审计工作仅限于查账，未能很好地发挥和显示审计职能。这种简单有限的审计质量意识所产生的审计质量效果，很难全面反映企业整体经济状况，审计所揭示的经济现象仅是某些局部行为。尤为堪忧者，大部分内部审计人员专业知识老化，审计执业水平偏低，审计范围狭窄，审计目标不明确，对企业经济运行中的现实形态缺乏鉴别力和敏感性，这些都在一定程度上影响了审计质量，造成审计监督不力。
5.内部审计工作得不到应有的支持
很多中小企业对内部审计所提供的各种管理服务缺乏理解，还没有认识到内部审计是增加组织经济效益的巨大潜力，而把内部审计当成给自己挑毛病找麻烦的机构，从心理上排斥内部审计。企业领导不支持内部审计工作，不断削弱内部审计的力量，使内部审计制度发展缓慢。
三、内部审计外包的优势
1.内部审计独立性强
内部审计机构作为企业内部的一个职能部门，其独立性与内部控制制度的完善程度密切相关。内部审计机构在企业中处于什么样的地位，与业务部门及其他各职能部门之间存在着怎样的制衡关系，决定着内部审计工作的独立性程度。在很多情况下，内部审计机构要迎合管理层的要求，同管理层协调好关系，这使内部审计机构可能会失去独立性。同时内部审计工作不独立，很大原因在于内部审计人员在经济上的不独立。外部审计工作一般都是由注册会计师来完成，能站在客观和公正的立场上来对企业的财务状况进行审计，其结果只对社会公众和合伙人负责，因此能够客观地报告审计结果。笔者认为，在内部审计外包的问题上，达到表面独立与事实独立相统一是至关重要的，关键在于如何寻找外包审计独立的平衡点。
2.成本低而经营效益高
企业开展内部审计必须设置相应的内审部门，购买计算机、审计软件、硬盘、办公用品、支付内部审计人员的工资等，其花费的支出可能会大于产生的效益。而将内部审计外部化，审计成本相对会低一些，而且，并不是一次性服务，而是连续的(要提高与客户的关系)。同时，能够在很大程度上减少内部审计人员的招聘成本、维持成本、培训成本等。而会计师事务所这样的外部审计组织拥有规模经济的优势，可以将高额服务成本分摊给大量的客户，实现等效服务下的成本最低或成本相同下的更高效服务。再者，传统以财务审计为主要目的的内部审计已经不能满足企业的需要。在新形势下，内部审计的职能逐渐向经营效益审计、风险审计和管理审计等方面拓展。这就要求内部审计人员要具备相应的会计、管理和计算机等方面的专业知识，而培养满足这些需要的专业人才，对企业来说，需要付出很高的成本。将内部审计职能部分外包后，可以利用会计师事务所的资源，比如他们的专业知识、法律知识和审计经验等。企业将节省相关的培训费，能起到降低成本、提高经营效益的作用。
3.审计工作质量高
会计师事务所及其他专业咨询机构拥有大批专业化人才，企业可以根据实际业务的需求，选用合适的人才。同时，外部注册会计师经验丰富，熟悉不同行业的经营理念和管理方式，能够根据自身经验及被审计单位的行业特色、经营过程、风险控制和管理等活动进行客观的评价，并提出符合管理者需要的建议，从而提高内部审计工作质量。
4.有助于社会资源的优化配置
笔者认为，内部审计外包与否，实际上是一个资源配置的决策，是一个应该与公司战略相协调，着眼于未来的决策，内部审计外部化能够使社会人力资源得到充分有效地利用。会计师事务所等专业咨询机构由各方面的专家组成，他们的服务水平高，企业完全可以将内部审计的相关业务交给相应的专业服务公司去做，这样，既可以节省成本，提高内部审计工作质量，又能够使社会人力资源得到充分有效的利用，从而起到优化社会资源配置的作用。
四、内部审计外包面临的主要风险及其防范
1.独立性风险及其防范
“独立性”是审计工作的灵魂，寻找外包审计独立性的平衡点是关键。现阶段，我国中小企业内部审计的独立性水平不高，通过外包能够使其得到很大的提升。但是，外部化并不能解决内部审计独立性的所有问题，甚至还会由外部化产生新的问题。在很多企业，管理层往往希望内部审计人员参与经营管理，即使内部审计人员来自于外部，这种要求仍然存在。那么当外部机构与企业有长期合作关系而同时向企业提供内外部审计的时候，其结果可能演变为担任企业内部审计工作的注册会计师既参与企业经营管理，又对企业进行鉴证审计，即自己审自己。
2001年福布斯就公布“五大”会计师事务所承揽了50％的世界500强企业内部审计外包业务。2002年又提到包括麦当劳、惠普、时代华纳和PNC银行等都采取了内部审计业务外包的形式，其中有些企业聘请同一家会计师事务所同时进行内部审计和外部审计业务。2003年1月13日，IIA在给美国SEC的文件中明确表示：“由于对独立性的损害，内部审计服务不能由审计公司财务报告的同一家会计师事务所提供”。2004年IIA再次表示，内部审计业务可由多个不同的审计主体提供，但仍强调了即使法律允许，考虑到其对独立性的损害，内部审计服务不能由审计公司财务报告的同一家会计师事务所提供。这足以说明，如果内部审计服务由审计公司财务报告的同一家会计师事务所提供，迟早会产生很严重的欺骗性的审计报告。因为会计师事务所顶着“两顶帽子”，即长期为企业做审计业务，同时又是该企业的顾问，这样财务报告失真的比率很高。例如“安然事件”，由于内部审计独立性的丧失，导致了严重的后果。
为了避免类似情况发生，笔者认为，企业在将内部审计外包时，要禁止外包服务商“同时进行内部、外部双重审计”，才能打消人们对独立性的质疑。此外，美国国会颁布的Sarbanes——Oxley法案也指出，禁止会计师事务所对某一家上市公司进行外部审计的同时对该公司提供内部审计外包服务。
2.审计质量风险及其防范
内部审计的目标应在于组织增加价值和提高组织的运作效率，评价和改进风险管理、控制和治理的效果。而内部审计外包后，外包人员一般只在审计约定书规定的范围内进行审计，很少能积极主动地帮助管理层发现问题，提出建议，不能达到帮助企业实现目标的目的。但是，如果外包范围过大，将会影响到审计的工作质量和审计的独立性。因此，内部审计外包商的选择以及对外包商的监管尤其重要。特别是外包范围的确定关系到审计独立的平衡点的确定。
美国证券交易委员会从2000年开始严格要求所有的上市公司，要求他们公开内部审计外包的费用。图1为《华尔街时报》公布了世界500强企业支付的非审计业务费用。
图1 世界500强企业非审计业务费用百分比
图表来源：转引自George R.Aldhizer Ⅲ，James D.Cashell,and Dale R.Martin ,Internal Audit Outsourcing[J],The CPA Journal,Aug.,2003.
详细观察500强企业中以下四个公司公布的数字，其中摩托罗拉支付非审计费用是94.1％，包括内部审计外包在内的审计费用是5.9％；时代华纳支付非审计费用是86.7％，包括内部审计外包在内的审计费用是13.3％；IBM支付的非审计费用是80.7％，包括内部审计外包在内的审计费用是19.3％；通用电器支付的非审计费用是76.9％，包括内部审计外包在内的审计费用是23.1％，说明绝大多数企业都发生了内部审计外包业务，企业支付了足够多的审计费用。同时也说明内部审计外包费用与外包范围成正比，内部审计外包费用越高，外包的范围越大。过分扩大内部审计外包范围，特别是将企业的核心业务外包出去将严重影响审计工作质量，破坏审计的独立性。这些问题也反映出美国内部审计外包业务在审计性质、审计范围和审计程度上规定不严格，值得我国审计准则制定者的关注。
企业将内部审计外包时，笔者建议企业成立一个临时的专门的内部审计外包委员会。“委员会”成员可由企业的业务部门和其他职能部门的有关人员组成，专门负责内部审计外包工作。“委员会”要正确定位外包者在组织中的角色，明确外包者的任务，严格限定外包业务的范围，并负责监督外包者的工作，对外包风险进行控制。同时，还要与外包者签订外包合同，明确双方的权利和义务。“委员会”还应该与外包者建立良好的沟通渠道，及时解决外包审计过程中出现的冲突，以达到高质量审计的目的。
3.外包管理风险及其防范
内部审计外包后，会计师事务所要按照审计约定书来提供内审服务。注册会计师在审计过程中即使发现可疑情况，但如果该情况超出约定书的范围，并且不会对约定范围造成影响，在未获得被审计单位允许并就委托书条款重新谈判协商之前，他们不会对可疑的事项和风险进行跟踪和深入调查，也不会积极主动帮助管理层发现问题，提出建议，因为这些都是约定书之外的事项，如果审计要续约合同，需要另收审计费用。因此，就使得内部审计丧失了主动性。
为了降低内审外包管理风险，企业在内部审计外包的同时，应该注意保留自己的内部审计部门和适当的审计人员，注重自己内部审计人才的培养，减少对外部审计资源的依赖。即使外包商提供了内部审计服务，企业董事会和高级管理层仍旧要负责确保内部控制系统的健全性和有效性。企业应当让经验丰富的审计师担任内部审计部门的负责人。外包商协助内部审计人员确定要检查的风险，提出建议，实施经内部审计负责人批准的审计程序，二者共同向董事会报告其发现的问题。
五、内部审计外包的安全性与法律规范
内部审计外包是一个新生事物，外包主体和外包合作者之间的权利和义务在我国尚无完善的法律和法规去规范，外包服务的安全问题让人担忧。由于外包减少了企业对内部审计工作的监控，外包合作者掌握了大量的外包主体的信息和机密，使外包主体陷入被动，如果泄密可能影响公司内部控制，对企业产生不利的影响。因此，对于内部审计外包的安全性和法律规范应给予足够的重视。
1.审计外包的安全性
第一，确保审计外包的安全性是董事会职责的重要组成部分。企业董事会和高级管理层应当负责了解与内部审计外包相关的风险，并确保有效的风险管理程序充分到位。董事会应当就内部审计外包对企业战略目标和计划的支持情况、与外包商的关系管理情况进行评估，没有一个有效的评估风险阶段，内部审计外包就可能与企业的战略计划不一致，或带来不可预见的风险。
第二，保证审计外包安全的一个重要环节是做好外包风险的评估工作。一方面要通过感性认识和历史经验来判断，另一方面要通过对各种客观的统计、计划、总结等历史资料，以及企业或其他企业的风险事故的记录进行分析、归纳和整理，并在必要时向专家咨询，从而发现外包可能出现的风险，为以后的风险控制提供对象。同时也要注意内部审计外包风险的评估是一项连续性和系统性工作，随着企业外部环境和条件的变化，企业所面临的内部审计外包风险的大小和种类也有所不同。这就需要企业持续不断地去评估风险。
做好评估工作，首先是评估审计目标背离的程度。内部审计的目的是通过系统化、规范化的方法，增加企业价值，改善组织的经营管理，帮助组织实现目标，提高企业经济效益。而外包审计人员只在合同规定的范围内进行审计，尽量削减审计计划，减少审计工作量，而不是积极主动地帮助企业发现问题，提出建议。因此，内部审计业务外包，应充分估计目标背离的程度，采取有效措施，与注册会计师沟通协调，使二者目标最大限度的一致。其次是评估外包商提供的内部审计服务质量。企业应当定期审查有关外包商业绩的报告，确定这些报告是否准确，及时追查外包审计的任何问题，评估外包商加强内部审计质量水平的计划，评价外包商支持和增强企业战略导向的能力，定期与外包商沟通讨论有关审计质量的安全性。
第三，谨慎选择外包方和外包方式是确保审计外包安全的前提条件。选择好的外包商是内部审计外包成功实施的关键，如果企业对外包商的选择出现失误，将会对企业产生不同程度的负面影响。因此必须谨慎地选择外包商。一个良好的外包商必须是内部控制完备、具有专业胜任能力和财务状况良好的公司。一般来说，企业在选择外包商时可从以下几个方面考虑：
(1)质量承诺。质量承诺是否达到企业的预期要求，是否有效地解决企业的问题，是选择外包商的首要因素。
(2)专业知识和技能。企业外包一般是不占优势的内部审计工作，是为了弥补内部审计的缺陷而采取的行动。为了达到这一目标应首选行业中居于领先地位的服务商，这也是质量承诺得以实现的基础。在外包商的专业知识和技能方面，企业应当考虑：评估外包商提供内部审计服务的经验和能力；评价外包商在未来预期的运作环境下提供审计服务的经验知识；必要的话，要进行现场督察，以便更好地了解外包商是如何开展内部审计服务的。
(3)市场的地位和成熟度。考虑外包商在内部审计行业中的执业期限多长、市场份额多大，这关系到外包商提供服务被监管部门认可的程度，也可以评价外包商承接内部审计业务的资质。
第四，要确保审计外包的安全性，必须谨慎签订外包合同。根据《中华人民共和国审计法》、《审计署关于内部审计工作的规定》及相关的法律法规，我国部分企业内部审计不能采取外包的方式。笔者认为，部分外包是我国企业内部审计外包的最好方式。企业可以将非核心竞争力的业务外包给专业能力强、独立性强的会计师事务所，而对于关系到企业核心竞争力的业务由企业内部审计来完成，这样可以有效地发挥内部审计和外包审计的优势，提高企业内部审计职能作用的发挥，提升企业核心竞争力。因此，企业必须谨慎地签订内部审计外包合同，对外包合同的有关规定进行研究，限制外包业务的范围，不能让事务所掌握企业的商业信息，避免欺诈行为的发生。合同内容应以书面形式做出明确的约定，且内容应该具体详细，主要包括：服务范围、工作效率、服务成本、双方的责任和义务、信息保密、建议改变合同的条款、报告制度和报告频率等。
2.审计外包的法律规范
(1)内部审计外包的法律现状。1994年颁布的《中华人民共和国审计法》规定，国务院各部门和地方人民政府各部门、国有金融机构和企事业组织，应当按照国家有关规定建立健全内部审计制度；1995年颁布的《关于内部审计工作的规定》中也规定国有大中型企业及金融机构等需要建立内部审计机构。但这些法律法规级次明显偏低，法律震慑力不够，在与其他法规发生冲突时，明显处于弱势，在某种程度上影响了审计结论的权威性和正确性。由于缺少法律保障，因而增大了审计风险。更重要的是目前我国还没有完善的法律来规范内部审计外包行为，这显然与国际上内部审计行为及相关的法律法规存在巨大的差距。
(2)内部审计外包存在的法律问题。由于内部审计外包是一个新生事物，我国尚无完善的法律去规范外包主体和外包合作者之间的权利和义务，使得外包服务的安全问题、法律问题让人担忧。虽然我国会计师事务所、金融中介等发展迅速，但也带来了负面的影响，如从业人员素质良莠不齐，专业化程度不高，审计结论受被审计主体的影响较大，使得服务商的诚信度大打折扣。另外，对于很多企业来说，由于外包合作者掌握了大量的外包主体的信息、机密，一旦泄露给竞争对手，对企业很不利，外包主体必然陷入一种被动。上述问题都会影响到内部审计外包的安全性，会牵扯出诸多法律方面的问题，这些问题限制、影响了内部审计外包业务的健康发展。
(3)内部审计外包的法律规范建设。当前，世界上许多国家对内部审计外包都有相关的法律规范。“安然事件”之前，AICPA的一些规章制度主要是解决会计师事务所在做咨询业务时所承担的义务，规范的是咨询业务。“安然事件”以后，2003年5月美国国会颁布Sarbanes—Oxley法案第201条、AIC-PA颁布的101条款、美国证券交易委员会(SEC)、美联储及现金控制局，在不同方面对内部审计外包双方进行了法律规定。国际内部审计师协会也制定有关内部审计实务标准等。我国应抓紧制定、颁布内部审计法规和内部审计业务准则，以统一内部审计外包执业规范，降低审计风险。在中国经济走向世界的同时，内部审计外包还要借鉴国外的先进经验，尽快同国际惯例接轨，以谋求长足的发展。
(4)建立内部审计外包监管体制。首先是对注册会计师行业的监管，包括专业培训、职业道德教育、内部审计外包审计质量控制标准、外包审计报告意见段的类型、收费标准、惩罚措施等。其次是不断完善公司内部治理，尽管内部审计外包了，也要建立外包审计委员会。委员会负责：选择会计师事务所、确定会计师事务所提供内部审计的服务范围、帮助解决会计师事务所与企业管理部门之间的冲突，健全内部审计控制制度，有效规范内部审计外包业务。
标签：内部审计论文; 审计质量论文; 业务外包合同论文; 审计计划论文; 审计软件论文; 会计与审计论文; 审计目标论文; 项目外包论文; 管理风险论文; 管理审计论文; 费用管理论文; 风险成本论文; 审计方法论文; 法律论文; 管理成本论文; 审计准则论文; 审计职业论文; 审计范围论文; 审计独立性论文; 工作管理论文;