论文部分内容阅读
访谈对象
Luz Dary Bedoya Bedoya， CIA， CISA， 高级经理
Audilimited， Organización Corona – 哥伦比亚
John Bendermacher，CIA， RA， 首席审计执行官
荷兰银行 – 荷兰
Maria Craig，CIA， QIAL， CMIIA，
内部审计负责人
房屋与社区管理局 – 英国
Oliver Dieterle，CIA， CGAP， CRMA， 首席审计执行官
联邦就业局 – 德国
Giovanni Grossi，CIA， CCSA， CFSA， CGAP， CRMA，
名誉会长
意大利内部审计师协会 – 意大利
目录
简介
理解你的战略使命
提升内部审计的战略价值
挑战
总结
简介
内部审计作为第三道防线，在有效风险管理和控制活动中的重要性逐步提高，在组织内外都获得了更多关注。为了适应这一变化，首席审计执行官（CAE，指内部审计负责人或其他负责有效管理内部审计活动的高级职务）和内部审计机构也都在寻找新的方法，运用内部审计专业知识来加强其对于组织整体使命的价值。这就引出了一个问题——一个所有对企业优秀绩效起支持性作用的部门（如财务、人力资源、IT、法务等）都需要扪心自问的问题——我们如何为组织带来战略上的影响？
内部审计在组织内部处在一个特殊的位置，因而能够在战略上发挥作用。由于拥有向首席执行官（CEO）或其他执行官、审计委员会、董事会直接报告的路径，绩效优秀的CAE通过其自身的睿智、专业、勤奋和求知欲等优秀品质，能够带领内部审计走向极具战略影响力的高度。尽管如此，目前在大多数人的认识里，传统的CAE并不能在战略方面对其所在的组织施加重大影响。对于那些希望提升内部审计在战略方面地位的CAE来说，在采取下一步的行动之前首先需要回答几个问题：CAE是否能够深入地理解组织的战略使命？CAE能否理解CEO和董事会的看法，是否尝试通过不懈努力成为值得信赖的合作者，为关键问题提出建议和解决方案？内部审计的工作方针与组织的战略使命是否保持一致？内部审计工作是否具有前瞻性，是否积极主动而不是被动等待？CAE是否会对风险评估进行确认？
令人遗憾的是，传统观念下对于内部审计的认识使得其他人很难将内部审计看作战略上的合作者。此外，内部审计还需要在独立性和对各项经营业务的参与之中实现平衡，前者是内部审计职能的要求，后者则是实现组织目标的必由之路。不论是积极主动的内部审计，还是消极被动的内部审计，到最后都会需要接触这些经营业务。但是如果内部审计能够主动地应对这些业务带来的挑战，那么就有可能成为他人眼中的战略合作者，在战略方面做出的贡献也会得到认可。
理解你的战略使命
来自哥伦比亚Audilimited， Organización Corona的Luz Dary Bedoya Bedoya这样解释这个问题：“如果不能理解一个流程的目标、治理原则和行业背景，就不可能对这个流程开展审计。对于经营来说也是一样：如果不能深入理解经营战略，就不可能制定出合理的年度审计计划。”因此，要想成为战略合作者的关键一步在于理解组织的战略使命、为实现这一使命制定目标以及用于评估是否实现目标的指标。
所以CAE必须对组织的战略使命是什么进行分析，并且理解这些使命背后的战略意图。尽管这看上去并不困难，但却非常重要。如果内部审计不能理解组织的战略使命和战略意图，就不可能成长为战略合作者。
此外，理解战略使命就要求对执行战略使命的具体经营计划和整个执行过程有深入的理解。战略计划一般包括一系列战略目标，这些战略目标被设计出来的目的就是为了描述完成计划所需的步骤，另外计划中一般还包括一组可供衡量的指标，用来评价计划和目标的实现情况。这些战略目标和业务活动以及设计出来的评价指标都很重要，因为它们能够驱动整個组织和各个业务部门的具体行为。如果某位高层管理人员和某个业务部门被赋予了某项目标，并且将会有专人对他们实现目标的情况进行评估，那么CAE和内部审计就可以由此了解应当关注哪些领域以寻找战略计划存在的风险。在这样的分析过程中需要提出一些重要的问题：这些目标和评价指标是否支持了整个战略计划？评价的标准是否与目标和战略使命保持了一致，并且能够支持它们？这些目标和评价指标是否有可能带来更大的风险，特别是在这些目标不能被实现的情况下？哪些人员和部门需要为实现这些目标负责，他们是否具有相应的权限来执行有关战略？
可以看到，CAE和内部审计与战略使命保持一致的程度越高，就越有可能发现和评价与使命、目标和评价指标有关的风险。此外，对于战略计划的深入理解可以让内部审计了解到更加全面的信息，从而更好地服务于组织、董事会和执行管理层。如果内部审计不能细致地理解组织各个部门的任务和如何评价，那么内部审计提出的建议和给予的帮助就会被认为是毫无价值的。在这种情况下，业务部门很有可能会礼貌地拒绝内部审计提出的建议，甚至有可能会粗暴地提出反对意见，因为在他们看来，内部审计提供的支持缺少价值，尤其是在战略方面。理解战略计划并与其保持一致能够帮助内部审计提供有意义、有价值的确认服务和支持活动，来帮助组织更好地解决它所面对的挑战。
提升内部审计的战略价值
在一个绩效优异的组织里，各个部门都会希望以较高的水准做出贡献，不论它们负责的具体工作是销售、运营还是支持性的行政工作。内部审计绝不是唯一一个希望在战略层面贡献其专业知识的职能部门。其他传统的公司和管理部门也遇到了类似的挑战，但是他们成功地克服了这些问题，超越了原有的角色。首席财务官（CFO）借助于对财务问题的深刻理解，突破了原本仅仅负责报告的单一角色，成为战略经营团队的一员。人力资源部门通过把甄选和培养正确的员工与实现组织目标联系起来，职能从单纯的人员配备发展为战略性员工管理。首席信息官（CIO）和法律顾问也在不断提升他们在战略方面的地位和影响力。因此，内部审计想要实现这一目标，完全可以借鉴其他职能部门超越自身角色的成功范例。而内部审计拥有更加独特的地位，通过其覆盖整个组织的广泛视野和报告路径，在今天这样不断产生新的挑战的商业环境中必然能够获得更大的成功。 理解CEO
之前我们提到了使命、战略和计划，一个组织的战略起始于CEO、领导团队和董事会就这个问题进行的意见交换。这些意见来源于CEO和董事会对于整个组织的看法、他们眼中组织的优势和挑战、客户的需求、整体市场环境，甚至还包括他们对全球热点问题的观点。所有这些要素承载了CEO和董事会对未来的战略使命进行评估的依据。CAE必须理解这些观点，才能发挥更大的价值。
理解来源于与最高层建立的关系，而且CAE与CEO、审计委员会和董事会之间的关系也会在内部审计部门和整个组织的关系中得到体现。
德国联邦就业局的Oliver Dieterle特别强调CAE和董事会的互动非常重要：“CAE必须能够以董事会的视角理解整个经营状况。如果不能做到这一点，那么他/她就不能参与合作。同时，CAE还需要理解CEO。”Bedoya还补充道：“想要获得提升价值，另外一个关键方法就是与管理层讨论经营的战略和风险，并理解他们的思路。CAE必须按照CEO的思路来理解整个经营状况。只有这样他们才能关注CEO和董事会关注的问题，并通过自己的战略来支持这些关键工作。”
英国房屋与社区管理局的Maria Craig则强调了成为“战略合作者”中的“合作”二字意味着“有着相同的和共通的意愿在组织最高层面上开展合作，实现对组织最有益处的目标”。毫无疑问，这指的是双方都愿意开展合作，相互理解，并且能够从对方身上看到价值。
但是合作并不意味着对半分担所有职责。正如Craig所指出的那样，战略方向最终还是要由董事会和高级管理层来决定，而“内部审计必须充分了解和认可各方在组织内部战略决策流程中所扮演的角色，对经营现状和发展趋势形成全面深入的理解。”尽管内部审计希望在战略上发挥作用，但它的首要任务仍然是审计、评估、评价和咨询。内部审计的角色并不是积极参与到战略制定中去，或是提出有关战略。实际上，内部审计的职责依靠自己的独特地位，深入理解在实现这些战略的过程中存在的风险，以及这些风险是否得到了适当的管理。内部审计应该出席战略制定的相关会议，现场聆听战略制定的决策过程，从而更好地理解战略的背景和环境，而不是只能在后台查阅有关战略计划的文件。
成为值得信赖的合作者
在CAE能够理解CEO和董事会的观点之后，CAE需要在整个组织内部建立起一种职业的友好和信赖关系。这就需要CAE利用自己的专业知识来帮助组织应对更加广泛的商业挑战。
值得注意的是，内部审计的目标是提出解决问题的建议，而不是简单地指出问题。CAE的独特价值在于两个方面：一方面是拥有全面俯瞰整个组织的视角和深入的理解；另一方面则是拥有在风险管理、控制和治理流程方面的专业知识。将这两者结合起来，就可以提出独特的观点，帮助发现和解决阻碍战略获得成功的风险控制相关问题。
Dieterle也提到：“成为值得信赖的顾问需要成功的沟通方式，使得CEO将CAE看作是‘执行管理团队的一员’。此外，还需要经常与组织的执行管理团队和高级管理层进行交流，需要理解他们的观点和看法，以及他们负责的经营活动。要做到这一点，CAE就需要改变——在某种程度上可能需要拓宽CAE的视角，使其超越传统内部审计关注的领域。由此带来的挑战是CAE必须具备商业运营的头脑，同时还需要明确将内部审计作为其职责的核心。”
通过良好的合作，就能获得积极的成果。荷兰银行的John Bendermacher 在阐述这个问题的时候提到了他的个人经验：“作为CAE，我会定期与管理董事会的主席进行会谈。在这样的会议上，我可以提出审计发现问题带来的战略性影响，并对其进行讨论。除了这些会议外，主席还会咨询我的意见。这并不意味着我每次都需要以书面报告的形式来提交意见，实际上，口头沟通有时候可能更加有效。”在最近一次对战略和组织的检查与回顾中，Bendermacher 成功地通過若干审计发现整合形成了企业战略的意见，也为内部审计增加价值创造了更多的机会。
通过团队合作支持战略使命
正如CAE与CEO和董事会建立良好的关系非常重要，内部审计人员与组织的其他部门和人员建立良好的关系也同样重要。如果CAE在战略上缺乏影响力，那么内部审计人员就很难在战略上发挥重大作用。整个内部审计团队必须具有强烈的意愿，并做好充分的准备，才能在战略上增加价值。正如组织内部的绝大部分问题一样，能否在战略问题上取得成功，取决于是否具备了合理的专业技术和人际关系能力。
需要在所有的内部审计业务和工作中建立起一种全新的、自上而下的理念。Craig对此提出建议：“首先必须弄清楚你想要实现什么以及背后的原因。‘这是一项团队工作。’所以必须认识到团队中的每一个人都必须发挥自己的作用。你必须让团队中的每一个人都认可这个观点，才能让组织的其他人接受这个理念。要把你的目的明确地向董事会、审计委员会和执行管理层进行汇报，取得最高层的认可和支持。”CAE可以制定一个专门的沟通计划来加强这项工作，计划的沟通对象包括各种利益相关者，尤其是董事会和执行管理团队的成员。Bendermacher建议：“审计可以让董事会了解到经营活动中组织战略的执行情况。可以开展一次自上而下的风险评估，对有关战略的控制、监控和报告流程进行确认（或为其增加价值）。”引导整个审计团队去考虑战略使命如何体现在具体的审计工作中会花费一定的时间，并且需要高超的技巧和优秀的人才。
不一样的工作方式当然会需要新的人才，所以CAE必须通过更强有力的培训来支持内部审计团队，培训内容不应局限于审计技术方法，而应该涵盖更加广阔的经营能力和“软技术”。意大利内部审计师协会的名誉会长Giovanni Grossi认为人际沟通能力是对内部审计人员来说极其重要的一项技能。“新的战略性角色不但需要内部审计人员培养出能够以高超技巧攻克人际关系难关的态度，还需要具备在没有前人经验可以借鉴的情况下用实际行动来表达内部审计能够为战略贡献价值的勇气。” Bedoya在这个问题上進一步指出，提到了内部审计的职责可能会导致组织内部的争议。“在与管理层讨论这些存在争议的问题时，内部审计必须秉持愿意合作的态度。管理层所做的工作并不是非对即错，审计人员有责任坚持自己的立场，针对他们的风险和机遇提出建议，但在沟通过程中要注意方式方法。”
Grossi还建议在组织内部加强宣传。内部审计应当充分宣传新的工作方法，突出新角色带来的价值，这样组织才能理解和认可由此产生的成绩。“送一件对方不能理解的礼物无异于对牛弹琴，因此我们必须说服他们，使得他们愿意突破对内部审计的思维定式。”
提升风险管理
对战略的讨论无论如何不可能回避风险这个话题。“风险”这个词实际上只体现了在“风险和回报”之间进行权衡的一半内容。简单来说，任何一项战略决策或举措都是伴随着某种程度的风险。就像跳伞运动员不会先跳出机舱，然后再背上降落伞一样，任何一个组织都必须首先深入理解有关战略的风险，并在战略制定的过程中充分考虑这些风险。这就是CAE能够发挥其战略影响力的地方。CAE不但要让董事会了解某项战略举措可能带来的风险，还要让他们知道在多大程度上这些风险是可控的，目前的控制流程中是否已经包含了这些控制措施，是否还需要引入其他资源才能实现有效的控制。Grossi表示：“通过走在问题前面，而不是被动等待，内部审计可以做出重大贡献，必须让我们的客户了解到这些贡献。”
显然在制定组织战略使命的时候一定会对一系列战略举措在具体业务方面的风险进行讨论，但只有CAE能够对组织的风险管理战略出具一个前瞻、完整、综合的意见。能够像CEO那样看待问题、并且获得董事会信任的CAE能够让董事会了解到在执行业务计划的同时，组织的风险也得到了适当的控制。在COSO起草的《企业风险管理-将风险与战略和绩效结合起来》之中就提到了，一个战略性的企业风险管理计划“能够使董事会了解组织能够充分理解影响战略的各项风险，并对其进行良好的管理，从而有效地履行其监管风险的职责”。
由于在许多组织中，内部审计还没有被提升到战略高度，这样良好的互动关系目前并不常见，这也给了CAE一个机会，通过提供在风险管理、控制和质量方面的独到见解，充分展示内部审计可以为组织提供重大价值。如果CAE能够说明组织的风险管理、控制和治理流程非常优秀，能够成为组织的竞争优势（或为什么还不够完善），那么CAE就会为组织提供真正的战略价值。
挑战
对内部审计的传统看法
究其本质，内部审计的使命在于通过提供基于风险的客观确认、建议和见解，增强和保护组织的价值。要做到这一点，就需要通过风险管理、控制和治理等方法与流程，确保CEO、董事会和管理层能够充分了解组织面对的关键战略风险和运营风险状况，并且知道这些风险是否得到适当的管理。由于对战略的讨论意味着组织在许多选择中进行权衡，由此带来的风险是十分巨大的，且不论CAE能否出席此类战略讨论会议，组织都会对这些问题进行讨论。那么既然这些风险非常重要，CAE就应当参与到对它们的讨论中去。
过去，内部审计曾经被看作是组织内部的“警察”角色，负责发现问题，报告问题。在一些人眼中，内部审计有时甚至会是执行某项战略的阻力。打破这种对内部审计与组织关系的过时认知，就是提升内部审计以扮演更具战略性角色的漫漫征程的第一步。内部审计需要理解这样的看法并不完全是无中生有的误解，毕竟从过去的历史来看，保护组织的价值一直是内部审计的头等大事，但若就此定义内部审计未免以偏概全。就跟其他的变革一样，内部审计既是价值的保护者，也是价值的创造者，只有CAE和内部审计做到这一点，这个观点才能变得更有说服力。没有任何魔法能在一夜之间改变一个组织从上到下对某一件事的看法，但是过去那种对内部审计过时的、甚至是失之偏颇的看法在CEO和董事会开始意识到CAE在战略层面做出的贡献和更加广泛的职业和组织价值以后，必将发生改变。
客观性和独立性
CEO和董事会认可内部审计战略合作者的角色并不意味着所有的挑战就都被克服了。假定CAE和内部审计团队已经被看作是战略上的合作者，那么接下来最大的问题自然就是CAE和内部审计团队如何在客观性和更加强有力的咨询职能之间取得平衡。毫无疑问，如果想要变得更加有效，内部审计就必须与组织的其他各个部门展开互动，但是如果这样的互动过于密切，就可能会对内部审计客观性造成影响产生既得利益。对于这个问题，Bedoya认可了开展协作的重要性，同时也强调必须要坚持客观性。“最重要的是，内部审计人员个人需要保持客观，而内部审计工作作为一个职能，则需要坚持其独立性。”
还有其他的因素可能会影响独立性。例如，Grossi就看到了某些薪酬方面的趋势可能会影响CAE的客观性，他认为问题在于“公司为CAE提供了什么样的货币和职业发展激励”。奖金和股权激励可以极大地提升绩效，但是同样会带来不符合CAE核心使命的动机和因素。显然，想要招聘和留住顶尖人才，一个合理的薪酬标准是必不可少的，但我们必须要警惕，薪酬结构及其鼓励的行为不应当与CAE的核心职能存在冲突。这需要我们小心地去权衡。
总结
CAE可以通过以下方式来实现自己在战略方面的价值：发现组织的战略风险、评估对风险管理的情况、为董事会和执行委员会提供提升战略使命风险管理的解决方案。CAE还可以为组织提出建议，指导组织有效应对风险，使之成为一项竞争优势。
通过深入理解组织的战略使命，学会以CEO和董事会的视角思考问题、提出解决问题的方案从而成为值得信赖的合作者。确保内部审计团队的工作与其战略使命保持一致，利用风险管理激发竞争优势，内部审计就能变得更具有战略意义，内部审计工作的方向也就能与组织的目标保持一致。这就能够帮助内部审计保持相关性，并支持它发挥重要的作用，在支出和收获的价值之间达成平衡，同时对治理、风险管理和内部控制做出贡献。 Bendermacher建议在这个过程中，內部审计人员必须保持耐心，不要期望一步登天。“制定战略的流程一般是严格保密的，因为它往往会引发市场、产品乃至组织本身的重大变化。因此，邀请内部审计从战略制定的一开始就加入讨论目前还不是主流的做法。内部审计首先需要深入理解组织的战略、用来支持这些战略的目标、影响实现这些目标的风险以及管理层为应对这些风险所开展的管理活动。想要做到这一点，必须成为经营领域、行业知识和洞悉利益相关者期望的专家。”
以上所有我们讨论到的步骤和方法都应当被用于建立一个内部审计工作战略，其中包含了内部审计为了支持战略举措和关键人物而开展的各项具体工作。Craig强调了这些步骤和方法的重要性：“通过考虑组织未来的发展和执行战略计划可能遇到的战略性风险，能够帮助我们将审计工作的重点聚焦到适当的领域。同样的，通过清晰地展示内部审计为确认组织的关键战略风险做了哪些贡献，也可以使组织的目标和使命反过来支持内部审计工作的开展。”此外，考虑到当今商业环境的多变性，CAE需要采取适当的方式，确保内部审计工作始终聚焦于组织不断变化的工作重点上。正如Bedoya所说的那样：“关键是要愿意学习，做正确的事情，展现强有力的领导能力。CAE需要具备所有这些品质，才能带领内部审计成为战略合作者和值得信赖的顾问，同时使内部审计的战略和经营战略保持一致。”
当然，实现这个目标的过程不可能一帆风顺，所以Grossi鼓励我们要不懈地为之努力。在他看来，将内部审计工作和战略结合起来至少有两方面好处：“一方面对审计人员有好处，内部审计人员不参与战略活动，就会失去获得更高地位和更好职业形象的机会；另一方面对组织本身也有好处，因为许多战略举措之所以失败，是因为缺少专业人士的审核和权衡，而这些恰好是内部审计的专长。”
组织不会一夜之间就接纳内部审计的战略角色。但是Craig提出了一些广泛适用的建议，帮助我们向这个目标迈进：“将你的目标转化为团队以及团队成员的目标。实事求是地评价内部审计目前的位置，关注那些阻碍内部审计提升的风险和障碍，这些障碍可能来自于内部审计部门内部、组织内部或外部环境。制定一个不断改善提高内部审计工作的计划，对人才的引进要有一个系统的规划，坚持不懈地提供卓越的内部审计服务。”更重要的是，行动胜于言语，事实胜于雄辩。“不要只是‘推销’内部审计的战略价值，关键在于真正着手去做！”
顾问委员会
Nur Hayati Baharuddin， CIA， CCSA， CFSA， CGAP， CRMA –马来西亚内部审计协会
Lesedi Lesetedi， CIA， QIAL –非洲内部审计师协会联合会
Hans Nieuwlands， CIA， CCSA， CGAP – 荷兰内部审计师协会
Karem Obeid， CIA， CCSA， CRMA – 阿联酋内部审计师协会会员
Carolyn Saint， CIA， CRMA， CPA – 国际内部审计师协会北美分部
Ana Cristina Zambrano Preciado， CIA， CCSA， CRMA – 哥伦比亚内部审计师协会
读者意见反馈
请将问题和建议发送至
globalperspectives@theiia.org.
Copyright ? 2016 by The Institute of Internal Auditors， Inc.， （“The IIA”） strictly reserved. Any reproduction of The IIA name or logo will carry the
U.S. federal trademark registration symbol. No parts of this material may be reproduced in any form without the written permission of The IIA.
执笔人
Stephen K. Henn， Esq. –美国
COSO ERM框架的修订
COSO目前正在修订其2004年发布的企业风险管理框架，新框架将被命名为《企业风险管理-将风险与战略和绩效结合起来》。在这次修订过程中，特别体现了CAE和内部审计在帮助指导战略方面的重要作用。框架草稿还特别讨论了企业风险管理（ERM）在制定和执行战略中扮演的角色。此外，草稿还提出了新的思路，解说了如何看待在日益复杂的商业社会中制定和实现目标时可能遇到的风险。
COSO委员会对于框架的这次修订鼓励董事会更进一步使用ERM框架来“选择和优化战略”。框架的作者们认为，工作的重点应当发生转变，不能局限于对已经确定的战略在执行过程中存在的风险进行评估，而是要在整个战略流程中使用ERM。他们表示：“战略根植于高级管理层的决策之中，而企业风险管理可以对这些战略的评价更加明晰。它明确了怎样强化战略选择的决策过程。选择一项战略需要结构化的决策过程，需要对风险进行分析，通盘考虑预算和业务活动，使之与组织的使命和愿景保持一致。”
ISO 31000一览
ISO 31000主要关注的是组织的全面风险，而不是某个具体流程。ISO 31000认为企业风险管理是一个综合考虑各种因素的综合职能，特别是对组织规模、性质和复杂程度的综合权衡，对组织使命的遵循，对组织文化的考虑，以及对整体的通盘考虑。
风险管理政策需要以直截了当的方式讨论风险，包括组织的风险偏好是什么，组织文化如何看待风险。应当以风险的视角对组织的经营目标进行明晰的评价，同时深入理解关键假设和相关指标。ISO 31000把组织看作是一组不断变化的关键风险指标，在执行经营计划的过程中，应当在发现风险之前就建立适当的补救程序。通过将风险管理嵌入组织的各个环节，ISO 31000强调了整个组织在防范、发现和管理风险过程中的职责。
关键点
要提升内部审计职能的地位，
需要：
理解组织的战略使命。
理解执行层、CEO和董事会的想法。
通过提供战略性解决 方案，帮助解决战略问题，成为值得信赖的合作者。
确保整个内部审计团队的工作与战略使命保持一致。
帮助组织将风险管理转化为竞争优势的来源。
确保审计计划与战略计划保持一致。
与执行层、CEO和董事会讨论对风险的影响。
更多信息
Chartered Institute of Internal Auditors， “Strategy，” May 25， 2016
（www.iia.org.uk）
Committee of Sponsoring Organizations of the Treadway Commission （COSO）， Enterprise Risk Management—Aligning Risk with Strategy and Performance， （Public Exposure Draft），
June 2016 （www.coso.org）
IIA–Netherlands， “Strategy- related Auditing，” IIA-Netherlands and KPMG， June 2015 （www.iia.nl）
The International Organization for Standardization （ISO）， “ISO 31000 Risk Management，” 2009 （www.iso.org）
可访问以下链接获得其他各期研究报告
www.theiia.org/gpi
新兴趋势 – 内容来自内部审计全球脉搏问卷调查
内部审计成为网络技术方面值得信赖的顾问
审计文化 – 对“软”要素的“硬”研究
不再局限于数字 – 内部审计在非财务报告中扮演的角色
应对地缘政治变局
Luz Dary Bedoya Bedoya， CIA， CISA， 高级经理
Audilimited， Organización Corona – 哥伦比亚
John Bendermacher，CIA， RA， 首席审计执行官
荷兰银行 – 荷兰
Maria Craig，CIA， QIAL， CMIIA，
内部审计负责人
房屋与社区管理局 – 英国
Oliver Dieterle，CIA， CGAP， CRMA， 首席审计执行官
联邦就业局 – 德国
Giovanni Grossi，CIA， CCSA， CFSA， CGAP， CRMA，
名誉会长
意大利内部审计师协会 – 意大利
目录
简介
理解你的战略使命
提升内部审计的战略价值
挑战
总结
简介
内部审计作为第三道防线，在有效风险管理和控制活动中的重要性逐步提高，在组织内外都获得了更多关注。为了适应这一变化，首席审计执行官（CAE，指内部审计负责人或其他负责有效管理内部审计活动的高级职务）和内部审计机构也都在寻找新的方法，运用内部审计专业知识来加强其对于组织整体使命的价值。这就引出了一个问题——一个所有对企业优秀绩效起支持性作用的部门（如财务、人力资源、IT、法务等）都需要扪心自问的问题——我们如何为组织带来战略上的影响？
内部审计在组织内部处在一个特殊的位置，因而能够在战略上发挥作用。由于拥有向首席执行官（CEO）或其他执行官、审计委员会、董事会直接报告的路径，绩效优秀的CAE通过其自身的睿智、专业、勤奋和求知欲等优秀品质，能够带领内部审计走向极具战略影响力的高度。尽管如此，目前在大多数人的认识里，传统的CAE并不能在战略方面对其所在的组织施加重大影响。对于那些希望提升内部审计在战略方面地位的CAE来说，在采取下一步的行动之前首先需要回答几个问题：CAE是否能够深入地理解组织的战略使命？CAE能否理解CEO和董事会的看法，是否尝试通过不懈努力成为值得信赖的合作者，为关键问题提出建议和解决方案？内部审计的工作方针与组织的战略使命是否保持一致？内部审计工作是否具有前瞻性，是否积极主动而不是被动等待？CAE是否会对风险评估进行确认？
令人遗憾的是，传统观念下对于内部审计的认识使得其他人很难将内部审计看作战略上的合作者。此外，内部审计还需要在独立性和对各项经营业务的参与之中实现平衡，前者是内部审计职能的要求，后者则是实现组织目标的必由之路。不论是积极主动的内部审计，还是消极被动的内部审计，到最后都会需要接触这些经营业务。但是如果内部审计能够主动地应对这些业务带来的挑战，那么就有可能成为他人眼中的战略合作者，在战略方面做出的贡献也会得到认可。
理解你的战略使命
来自哥伦比亚Audilimited， Organización Corona的Luz Dary Bedoya Bedoya这样解释这个问题：“如果不能理解一个流程的目标、治理原则和行业背景，就不可能对这个流程开展审计。对于经营来说也是一样：如果不能深入理解经营战略，就不可能制定出合理的年度审计计划。”因此，要想成为战略合作者的关键一步在于理解组织的战略使命、为实现这一使命制定目标以及用于评估是否实现目标的指标。
所以CAE必须对组织的战略使命是什么进行分析，并且理解这些使命背后的战略意图。尽管这看上去并不困难，但却非常重要。如果内部审计不能理解组织的战略使命和战略意图，就不可能成长为战略合作者。
此外，理解战略使命就要求对执行战略使命的具体经营计划和整个执行过程有深入的理解。战略计划一般包括一系列战略目标，这些战略目标被设计出来的目的就是为了描述完成计划所需的步骤，另外计划中一般还包括一组可供衡量的指标，用来评价计划和目标的实现情况。这些战略目标和业务活动以及设计出来的评价指标都很重要，因为它们能够驱动整個组织和各个业务部门的具体行为。如果某位高层管理人员和某个业务部门被赋予了某项目标，并且将会有专人对他们实现目标的情况进行评估，那么CAE和内部审计就可以由此了解应当关注哪些领域以寻找战略计划存在的风险。在这样的分析过程中需要提出一些重要的问题：这些目标和评价指标是否支持了整个战略计划？评价的标准是否与目标和战略使命保持了一致，并且能够支持它们？这些目标和评价指标是否有可能带来更大的风险，特别是在这些目标不能被实现的情况下？哪些人员和部门需要为实现这些目标负责，他们是否具有相应的权限来执行有关战略？
可以看到，CAE和内部审计与战略使命保持一致的程度越高，就越有可能发现和评价与使命、目标和评价指标有关的风险。此外，对于战略计划的深入理解可以让内部审计了解到更加全面的信息，从而更好地服务于组织、董事会和执行管理层。如果内部审计不能细致地理解组织各个部门的任务和如何评价，那么内部审计提出的建议和给予的帮助就会被认为是毫无价值的。在这种情况下，业务部门很有可能会礼貌地拒绝内部审计提出的建议，甚至有可能会粗暴地提出反对意见，因为在他们看来，内部审计提供的支持缺少价值，尤其是在战略方面。理解战略计划并与其保持一致能够帮助内部审计提供有意义、有价值的确认服务和支持活动，来帮助组织更好地解决它所面对的挑战。
提升内部审计的战略价值
在一个绩效优异的组织里，各个部门都会希望以较高的水准做出贡献，不论它们负责的具体工作是销售、运营还是支持性的行政工作。内部审计绝不是唯一一个希望在战略层面贡献其专业知识的职能部门。其他传统的公司和管理部门也遇到了类似的挑战，但是他们成功地克服了这些问题，超越了原有的角色。首席财务官（CFO）借助于对财务问题的深刻理解，突破了原本仅仅负责报告的单一角色，成为战略经营团队的一员。人力资源部门通过把甄选和培养正确的员工与实现组织目标联系起来，职能从单纯的人员配备发展为战略性员工管理。首席信息官（CIO）和法律顾问也在不断提升他们在战略方面的地位和影响力。因此，内部审计想要实现这一目标，完全可以借鉴其他职能部门超越自身角色的成功范例。而内部审计拥有更加独特的地位，通过其覆盖整个组织的广泛视野和报告路径，在今天这样不断产生新的挑战的商业环境中必然能够获得更大的成功。 理解CEO
之前我们提到了使命、战略和计划，一个组织的战略起始于CEO、领导团队和董事会就这个问题进行的意见交换。这些意见来源于CEO和董事会对于整个组织的看法、他们眼中组织的优势和挑战、客户的需求、整体市场环境，甚至还包括他们对全球热点问题的观点。所有这些要素承载了CEO和董事会对未来的战略使命进行评估的依据。CAE必须理解这些观点，才能发挥更大的价值。
理解来源于与最高层建立的关系，而且CAE与CEO、审计委员会和董事会之间的关系也会在内部审计部门和整个组织的关系中得到体现。
德国联邦就业局的Oliver Dieterle特别强调CAE和董事会的互动非常重要：“CAE必须能够以董事会的视角理解整个经营状况。如果不能做到这一点，那么他/她就不能参与合作。同时，CAE还需要理解CEO。”Bedoya还补充道：“想要获得提升价值，另外一个关键方法就是与管理层讨论经营的战略和风险，并理解他们的思路。CAE必须按照CEO的思路来理解整个经营状况。只有这样他们才能关注CEO和董事会关注的问题，并通过自己的战略来支持这些关键工作。”
英国房屋与社区管理局的Maria Craig则强调了成为“战略合作者”中的“合作”二字意味着“有着相同的和共通的意愿在组织最高层面上开展合作，实现对组织最有益处的目标”。毫无疑问，这指的是双方都愿意开展合作，相互理解，并且能够从对方身上看到价值。
但是合作并不意味着对半分担所有职责。正如Craig所指出的那样，战略方向最终还是要由董事会和高级管理层来决定，而“内部审计必须充分了解和认可各方在组织内部战略决策流程中所扮演的角色，对经营现状和发展趋势形成全面深入的理解。”尽管内部审计希望在战略上发挥作用，但它的首要任务仍然是审计、评估、评价和咨询。内部审计的角色并不是积极参与到战略制定中去，或是提出有关战略。实际上，内部审计的职责依靠自己的独特地位，深入理解在实现这些战略的过程中存在的风险，以及这些风险是否得到了适当的管理。内部审计应该出席战略制定的相关会议，现场聆听战略制定的决策过程，从而更好地理解战略的背景和环境，而不是只能在后台查阅有关战略计划的文件。
成为值得信赖的合作者
在CAE能够理解CEO和董事会的观点之后，CAE需要在整个组织内部建立起一种职业的友好和信赖关系。这就需要CAE利用自己的专业知识来帮助组织应对更加广泛的商业挑战。
值得注意的是，内部审计的目标是提出解决问题的建议，而不是简单地指出问题。CAE的独特价值在于两个方面：一方面是拥有全面俯瞰整个组织的视角和深入的理解；另一方面则是拥有在风险管理、控制和治理流程方面的专业知识。将这两者结合起来，就可以提出独特的观点，帮助发现和解决阻碍战略获得成功的风险控制相关问题。
Dieterle也提到：“成为值得信赖的顾问需要成功的沟通方式，使得CEO将CAE看作是‘执行管理团队的一员’。此外，还需要经常与组织的执行管理团队和高级管理层进行交流，需要理解他们的观点和看法，以及他们负责的经营活动。要做到这一点，CAE就需要改变——在某种程度上可能需要拓宽CAE的视角，使其超越传统内部审计关注的领域。由此带来的挑战是CAE必须具备商业运营的头脑，同时还需要明确将内部审计作为其职责的核心。”
通过良好的合作，就能获得积极的成果。荷兰银行的John Bendermacher 在阐述这个问题的时候提到了他的个人经验：“作为CAE，我会定期与管理董事会的主席进行会谈。在这样的会议上，我可以提出审计发现问题带来的战略性影响，并对其进行讨论。除了这些会议外，主席还会咨询我的意见。这并不意味着我每次都需要以书面报告的形式来提交意见，实际上，口头沟通有时候可能更加有效。”在最近一次对战略和组织的检查与回顾中，Bendermacher 成功地通過若干审计发现整合形成了企业战略的意见，也为内部审计增加价值创造了更多的机会。
通过团队合作支持战略使命
正如CAE与CEO和董事会建立良好的关系非常重要，内部审计人员与组织的其他部门和人员建立良好的关系也同样重要。如果CAE在战略上缺乏影响力，那么内部审计人员就很难在战略上发挥重大作用。整个内部审计团队必须具有强烈的意愿，并做好充分的准备，才能在战略上增加价值。正如组织内部的绝大部分问题一样，能否在战略问题上取得成功，取决于是否具备了合理的专业技术和人际关系能力。
需要在所有的内部审计业务和工作中建立起一种全新的、自上而下的理念。Craig对此提出建议：“首先必须弄清楚你想要实现什么以及背后的原因。‘这是一项团队工作。’所以必须认识到团队中的每一个人都必须发挥自己的作用。你必须让团队中的每一个人都认可这个观点，才能让组织的其他人接受这个理念。要把你的目的明确地向董事会、审计委员会和执行管理层进行汇报，取得最高层的认可和支持。”CAE可以制定一个专门的沟通计划来加强这项工作，计划的沟通对象包括各种利益相关者，尤其是董事会和执行管理团队的成员。Bendermacher建议：“审计可以让董事会了解到经营活动中组织战略的执行情况。可以开展一次自上而下的风险评估，对有关战略的控制、监控和报告流程进行确认（或为其增加价值）。”引导整个审计团队去考虑战略使命如何体现在具体的审计工作中会花费一定的时间，并且需要高超的技巧和优秀的人才。
不一样的工作方式当然会需要新的人才，所以CAE必须通过更强有力的培训来支持内部审计团队，培训内容不应局限于审计技术方法，而应该涵盖更加广阔的经营能力和“软技术”。意大利内部审计师协会的名誉会长Giovanni Grossi认为人际沟通能力是对内部审计人员来说极其重要的一项技能。“新的战略性角色不但需要内部审计人员培养出能够以高超技巧攻克人际关系难关的态度，还需要具备在没有前人经验可以借鉴的情况下用实际行动来表达内部审计能够为战略贡献价值的勇气。” Bedoya在这个问题上進一步指出，提到了内部审计的职责可能会导致组织内部的争议。“在与管理层讨论这些存在争议的问题时，内部审计必须秉持愿意合作的态度。管理层所做的工作并不是非对即错，审计人员有责任坚持自己的立场，针对他们的风险和机遇提出建议，但在沟通过程中要注意方式方法。”
Grossi还建议在组织内部加强宣传。内部审计应当充分宣传新的工作方法，突出新角色带来的价值，这样组织才能理解和认可由此产生的成绩。“送一件对方不能理解的礼物无异于对牛弹琴，因此我们必须说服他们，使得他们愿意突破对内部审计的思维定式。”
提升风险管理
对战略的讨论无论如何不可能回避风险这个话题。“风险”这个词实际上只体现了在“风险和回报”之间进行权衡的一半内容。简单来说，任何一项战略决策或举措都是伴随着某种程度的风险。就像跳伞运动员不会先跳出机舱，然后再背上降落伞一样，任何一个组织都必须首先深入理解有关战略的风险，并在战略制定的过程中充分考虑这些风险。这就是CAE能够发挥其战略影响力的地方。CAE不但要让董事会了解某项战略举措可能带来的风险，还要让他们知道在多大程度上这些风险是可控的，目前的控制流程中是否已经包含了这些控制措施，是否还需要引入其他资源才能实现有效的控制。Grossi表示：“通过走在问题前面，而不是被动等待，内部审计可以做出重大贡献，必须让我们的客户了解到这些贡献。”
显然在制定组织战略使命的时候一定会对一系列战略举措在具体业务方面的风险进行讨论，但只有CAE能够对组织的风险管理战略出具一个前瞻、完整、综合的意见。能够像CEO那样看待问题、并且获得董事会信任的CAE能够让董事会了解到在执行业务计划的同时，组织的风险也得到了适当的控制。在COSO起草的《企业风险管理-将风险与战略和绩效结合起来》之中就提到了，一个战略性的企业风险管理计划“能够使董事会了解组织能够充分理解影响战略的各项风险，并对其进行良好的管理，从而有效地履行其监管风险的职责”。
由于在许多组织中，内部审计还没有被提升到战略高度，这样良好的互动关系目前并不常见，这也给了CAE一个机会，通过提供在风险管理、控制和质量方面的独到见解，充分展示内部审计可以为组织提供重大价值。如果CAE能够说明组织的风险管理、控制和治理流程非常优秀，能够成为组织的竞争优势（或为什么还不够完善），那么CAE就会为组织提供真正的战略价值。
挑战
对内部审计的传统看法
究其本质，内部审计的使命在于通过提供基于风险的客观确认、建议和见解，增强和保护组织的价值。要做到这一点，就需要通过风险管理、控制和治理等方法与流程，确保CEO、董事会和管理层能够充分了解组织面对的关键战略风险和运营风险状况，并且知道这些风险是否得到适当的管理。由于对战略的讨论意味着组织在许多选择中进行权衡，由此带来的风险是十分巨大的，且不论CAE能否出席此类战略讨论会议，组织都会对这些问题进行讨论。那么既然这些风险非常重要，CAE就应当参与到对它们的讨论中去。
过去，内部审计曾经被看作是组织内部的“警察”角色，负责发现问题，报告问题。在一些人眼中，内部审计有时甚至会是执行某项战略的阻力。打破这种对内部审计与组织关系的过时认知，就是提升内部审计以扮演更具战略性角色的漫漫征程的第一步。内部审计需要理解这样的看法并不完全是无中生有的误解，毕竟从过去的历史来看，保护组织的价值一直是内部审计的头等大事，但若就此定义内部审计未免以偏概全。就跟其他的变革一样，内部审计既是价值的保护者，也是价值的创造者，只有CAE和内部审计做到这一点，这个观点才能变得更有说服力。没有任何魔法能在一夜之间改变一个组织从上到下对某一件事的看法，但是过去那种对内部审计过时的、甚至是失之偏颇的看法在CEO和董事会开始意识到CAE在战略层面做出的贡献和更加广泛的职业和组织价值以后，必将发生改变。
客观性和独立性
CEO和董事会认可内部审计战略合作者的角色并不意味着所有的挑战就都被克服了。假定CAE和内部审计团队已经被看作是战略上的合作者，那么接下来最大的问题自然就是CAE和内部审计团队如何在客观性和更加强有力的咨询职能之间取得平衡。毫无疑问，如果想要变得更加有效，内部审计就必须与组织的其他各个部门展开互动，但是如果这样的互动过于密切，就可能会对内部审计客观性造成影响产生既得利益。对于这个问题，Bedoya认可了开展协作的重要性，同时也强调必须要坚持客观性。“最重要的是，内部审计人员个人需要保持客观，而内部审计工作作为一个职能，则需要坚持其独立性。”
还有其他的因素可能会影响独立性。例如，Grossi就看到了某些薪酬方面的趋势可能会影响CAE的客观性，他认为问题在于“公司为CAE提供了什么样的货币和职业发展激励”。奖金和股权激励可以极大地提升绩效，但是同样会带来不符合CAE核心使命的动机和因素。显然，想要招聘和留住顶尖人才，一个合理的薪酬标准是必不可少的，但我们必须要警惕，薪酬结构及其鼓励的行为不应当与CAE的核心职能存在冲突。这需要我们小心地去权衡。
总结
CAE可以通过以下方式来实现自己在战略方面的价值：发现组织的战略风险、评估对风险管理的情况、为董事会和执行委员会提供提升战略使命风险管理的解决方案。CAE还可以为组织提出建议，指导组织有效应对风险，使之成为一项竞争优势。
通过深入理解组织的战略使命，学会以CEO和董事会的视角思考问题、提出解决问题的方案从而成为值得信赖的合作者。确保内部审计团队的工作与其战略使命保持一致，利用风险管理激发竞争优势，内部审计就能变得更具有战略意义，内部审计工作的方向也就能与组织的目标保持一致。这就能够帮助内部审计保持相关性，并支持它发挥重要的作用，在支出和收获的价值之间达成平衡，同时对治理、风险管理和内部控制做出贡献。 Bendermacher建议在这个过程中，內部审计人员必须保持耐心，不要期望一步登天。“制定战略的流程一般是严格保密的，因为它往往会引发市场、产品乃至组织本身的重大变化。因此，邀请内部审计从战略制定的一开始就加入讨论目前还不是主流的做法。内部审计首先需要深入理解组织的战略、用来支持这些战略的目标、影响实现这些目标的风险以及管理层为应对这些风险所开展的管理活动。想要做到这一点，必须成为经营领域、行业知识和洞悉利益相关者期望的专家。”
以上所有我们讨论到的步骤和方法都应当被用于建立一个内部审计工作战略，其中包含了内部审计为了支持战略举措和关键人物而开展的各项具体工作。Craig强调了这些步骤和方法的重要性：“通过考虑组织未来的发展和执行战略计划可能遇到的战略性风险，能够帮助我们将审计工作的重点聚焦到适当的领域。同样的，通过清晰地展示内部审计为确认组织的关键战略风险做了哪些贡献，也可以使组织的目标和使命反过来支持内部审计工作的开展。”此外，考虑到当今商业环境的多变性，CAE需要采取适当的方式，确保内部审计工作始终聚焦于组织不断变化的工作重点上。正如Bedoya所说的那样：“关键是要愿意学习，做正确的事情，展现强有力的领导能力。CAE需要具备所有这些品质，才能带领内部审计成为战略合作者和值得信赖的顾问，同时使内部审计的战略和经营战略保持一致。”
当然，实现这个目标的过程不可能一帆风顺，所以Grossi鼓励我们要不懈地为之努力。在他看来，将内部审计工作和战略结合起来至少有两方面好处：“一方面对审计人员有好处，内部审计人员不参与战略活动，就会失去获得更高地位和更好职业形象的机会；另一方面对组织本身也有好处，因为许多战略举措之所以失败，是因为缺少专业人士的审核和权衡，而这些恰好是内部审计的专长。”
组织不会一夜之间就接纳内部审计的战略角色。但是Craig提出了一些广泛适用的建议，帮助我们向这个目标迈进：“将你的目标转化为团队以及团队成员的目标。实事求是地评价内部审计目前的位置，关注那些阻碍内部审计提升的风险和障碍，这些障碍可能来自于内部审计部门内部、组织内部或外部环境。制定一个不断改善提高内部审计工作的计划，对人才的引进要有一个系统的规划，坚持不懈地提供卓越的内部审计服务。”更重要的是，行动胜于言语，事实胜于雄辩。“不要只是‘推销’内部审计的战略价值，关键在于真正着手去做！”
顾问委员会
Nur Hayati Baharuddin， CIA， CCSA， CFSA， CGAP， CRMA –马来西亚内部审计协会
Lesedi Lesetedi， CIA， QIAL –非洲内部审计师协会联合会
Hans Nieuwlands， CIA， CCSA， CGAP – 荷兰内部审计师协会
Karem Obeid， CIA， CCSA， CRMA – 阿联酋内部审计师协会会员
Carolyn Saint， CIA， CRMA， CPA – 国际内部审计师协会北美分部
Ana Cristina Zambrano Preciado， CIA， CCSA， CRMA – 哥伦比亚内部审计师协会
读者意见反馈
请将问题和建议发送至
globalperspectives@theiia.org.
Copyright ? 2016 by The Institute of Internal Auditors， Inc.， （“The IIA”） strictly reserved. Any reproduction of The IIA name or logo will carry the
U.S. federal trademark registration symbol. No parts of this material may be reproduced in any form without the written permission of The IIA.
执笔人
Stephen K. Henn， Esq. –美国
COSO ERM框架的修订
COSO目前正在修订其2004年发布的企业风险管理框架，新框架将被命名为《企业风险管理-将风险与战略和绩效结合起来》。在这次修订过程中，特别体现了CAE和内部审计在帮助指导战略方面的重要作用。框架草稿还特别讨论了企业风险管理（ERM）在制定和执行战略中扮演的角色。此外，草稿还提出了新的思路，解说了如何看待在日益复杂的商业社会中制定和实现目标时可能遇到的风险。
COSO委员会对于框架的这次修订鼓励董事会更进一步使用ERM框架来“选择和优化战略”。框架的作者们认为，工作的重点应当发生转变，不能局限于对已经确定的战略在执行过程中存在的风险进行评估，而是要在整个战略流程中使用ERM。他们表示：“战略根植于高级管理层的决策之中，而企业风险管理可以对这些战略的评价更加明晰。它明确了怎样强化战略选择的决策过程。选择一项战略需要结构化的决策过程，需要对风险进行分析，通盘考虑预算和业务活动，使之与组织的使命和愿景保持一致。”
ISO 31000一览
ISO 31000主要关注的是组织的全面风险，而不是某个具体流程。ISO 31000认为企业风险管理是一个综合考虑各种因素的综合职能，特别是对组织规模、性质和复杂程度的综合权衡，对组织使命的遵循，对组织文化的考虑，以及对整体的通盘考虑。
风险管理政策需要以直截了当的方式讨论风险，包括组织的风险偏好是什么，组织文化如何看待风险。应当以风险的视角对组织的经营目标进行明晰的评价，同时深入理解关键假设和相关指标。ISO 31000把组织看作是一组不断变化的关键风险指标，在执行经营计划的过程中，应当在发现风险之前就建立适当的补救程序。通过将风险管理嵌入组织的各个环节，ISO 31000强调了整个组织在防范、发现和管理风险过程中的职责。
关键点
要提升内部审计职能的地位，
需要：
理解组织的战略使命。
理解执行层、CEO和董事会的想法。
通过提供战略性解决 方案，帮助解决战略问题，成为值得信赖的合作者。
确保整个内部审计团队的工作与战略使命保持一致。
帮助组织将风险管理转化为竞争优势的来源。
确保审计计划与战略计划保持一致。
与执行层、CEO和董事会讨论对风险的影响。
更多信息
Chartered Institute of Internal Auditors， “Strategy，” May 25， 2016
（www.iia.org.uk）
Committee of Sponsoring Organizations of the Treadway Commission （COSO）， Enterprise Risk Management—Aligning Risk with Strategy and Performance， （Public Exposure Draft），
June 2016 （www.coso.org）
IIA–Netherlands， “Strategy- related Auditing，” IIA-Netherlands and KPMG， June 2015 （www.iia.nl）
The International Organization for Standardization （ISO）， “ISO 31000 Risk Management，” 2009 （www.iso.org）
可访问以下链接获得其他各期研究报告
www.theiia.org/gpi
新兴趋势 – 内容来自内部审计全球脉搏问卷调查
内部审计成为网络技术方面值得信赖的顾问
审计文化 – 对“软”要素的“硬”研究
不再局限于数字 – 内部审计在非财务报告中扮演的角色
应对地缘政治变局