【正文】 主要挑戰(zhàn)是在許多單項(xiàng)評估匯總的基礎(chǔ)上評估組織控制程序的有效性。這些評估主要來源于內(nèi)部審計(jì)業(yè)務(wù)、管理層的自我評估檢查和其他相關(guān)確認(rèn)服務(wù)提供者。隨著業(yè)務(wù)的開展，內(nèi)部審計(jì)師應(yīng)該及時與適當(dāng)管理層溝通業(yè)務(wù)發(fā)現(xiàn)，以便采取改進(jìn)措施，糾正或減緩說發(fā)現(xiàn)的控制差異、缺陷及其后果。　　在評估組織控制程序的總體效果時，首席審計(jì)執(zhí)行官應(yīng)該考慮以下因素：　　●是否發(fā)現(xiàn)重大差異或缺陷；　　●發(fā)現(xiàn)后是否進(jìn)行了糾正或改進(jìn)；　　●能否從這一發(fā)現(xiàn)及潛在后果中得出一個結(jié)論，即無法接受的風(fēng)險水平普遍存在?！　≈卮蟛町惢蛉毕莸拇嬖诓灰欢ū厝坏贸鲱愃魄樾纹胀ù嬖谇覍榻M織帶來無法接受的風(fēng)險的結(jié)論。內(nèi)部審計(jì)師在確定控制程序有效性是否受到危害和是否存在無法接受的風(fēng)險時，既要考慮風(fēng)險發(fā)現(xiàn)的性質(zhì)和范圍，也要考慮潛在后果的大小?！　?首席審計(jì)執(zhí)行官通常每年向高級管理層和董事會提交關(guān)于組織控制程序的報告。該報告表明控制程序在實(shí)現(xiàn)組織目標(biāo)方面所起的主要作用，同時闡述內(nèi)部審計(jì)部門開展工作的性質(zhì)和范圍，以及在形成意見時所依賴的其他確認(rèn)服務(wù)提供者的工作性質(zhì)和范圍?！　?信息的可靠性和完整性　　主要相關(guān)標(biāo)準(zhǔn)：　　——內(nèi)部審計(jì)部門必須評估下列針對組織內(nèi)部治理、運(yùn)營和信息系統(tǒng)等風(fēng)險的控制的適當(dāng)性和有效性：　　財(cái)務(wù)和運(yùn)營信息的可靠性和有效性；　　運(yùn)營的效率和效果；　　資產(chǎn)的安全；　　對法律、法規(guī)及合同的遵循情況?！　?nèi)部審計(jì)師確認(rèn)高級管理層和董事會是否明確理解信息的可靠性和完整性是一項(xiàng)管理責(zé)任。這種管理責(zé)任包括組織的所有重要信息，而不論該信息是以何種方式儲存的?！　⌒畔⒌目煽啃院屯暾园?zhǔn)確、完整和安全。　　首席審計(jì)執(zhí)行官確認(rèn)內(nèi)部審計(jì)部門是否具備或有能力獲取可用的審計(jì)資源，并對信息可靠性、完整性及相關(guān)風(fēng)險暴露進(jìn)行評估。風(fēng)險暴露包括內(nèi)、外部風(fēng)險暴露以及關(guān)于組織于外部實(shí)體之間關(guān)系的風(fēng)險暴露?！　∈紫瘜徲?jì)執(zhí)行官確定對組織構(gòu)成威脅的信息可靠性和完整性的缺陷與情況是否能迅速地告知高級管理層、董事會及內(nèi)部審計(jì)部門?！　?nèi)部審計(jì)師評估針對過去侵害行為和被認(rèn)為即將發(fā)生的未來侵害企圖或事件的預(yù)防性、檢測性和減緩性措施是否有效。內(nèi)部審計(jì)師確定是否已將此類威脅事件、漏洞和糾正措施適當(dāng)?shù)馗嬷聲！　?nèi)部審計(jì)師定期評估組織信息的可靠性和完整性，并酌情對改進(jìn)或?qū)嵤┬碌目刂坪桶踩Ｕ咸岢鼋ㄗh。這種評估既可以作為獨(dú)立的業(yè)務(wù)進(jìn)行，也可以作為內(nèi)部審計(jì)計(jì)劃的一部分和其他審計(jì)業(yè)務(wù)一起進(jìn)行。業(yè)務(wù)性質(zhì)決定著向高級管理層和董事會報告的最適當(dāng)程序?！　　　≈饕嚓P(guān)標(biāo)準(zhǔn)：　　——內(nèi)部審計(jì)活動必須評估下列針對組織內(nèi)部治理、運(yùn)營和信息系統(tǒng)等風(fēng)險看控制的適當(dāng)性和有效性：　　財(cái)務(wù)和運(yùn)營信息的可靠性和完整性；　　運(yùn)營的效率和效果；　　資產(chǎn)的安全；對法律、法規(guī)及合同的遵循情況?！　”Ｗo(hù)個人隱私的適當(dāng)控制的失敗會給組織帶來嚴(yán)重后果。這種失敗可能損害個人和\或組織的信譽(yù)，使組織面臨包括法律責(zé)任在內(nèi)的風(fēng)險和破換消費(fèi)者和\或員工信任的風(fēng)險?！　‰[私的定義根據(jù)組織所在國家的文化、政治環(huán)境和法律制度而存在廣泛差異。相關(guān)的風(fēng)險隱私信息包括：個人隱私（生理的和心理的），空間隱私（不受監(jiān)視），溝通隱私（不受監(jiān)管），信息保密（他人收集、使用和公布個人信息）。個人信息通常是指與某個特定個人有關(guān)的信息，或結(jié)合他人與某個特定個人相關(guān)的信息而具備辨別特征的信息。個人信息包括任何實(shí)際的或主管推斷的信息，不論其是否記載或以任何媒介形式記載。個人信息可能包括：　　●姓名，地址，身份號碼，家庭關(guān)系；　　●員工檔案，評價，意見，社會身份或違紀(jì)處分；　　●信用記錄，收入，經(jīng)濟(jì)地位；　　●健康狀況?！　€人信息保護(hù)的有效控制是治理、風(fēng)險管理和控制程序的一項(xiàng)基本內(nèi)容。最終，董事會負(fù)責(zé)識別組織的主要風(fēng)險并采取適當(dāng)?shù)目刂瞥绦蚪档惋L(fēng)險，包括為組織建立必要的隱私制度并監(jiān)督其實(shí)施?！　?nèi)部審計(jì)部門可以通過評估管理層對隱私目標(biāo)相關(guān)風(fēng)險識別的適當(dāng)性以及把這些風(fēng)險降低到可接受水平的控制建立的適當(dāng)性，幫助組織實(shí)現(xiàn)良好的治理和風(fēng)險管理。內(nèi)部審計(jì)師在組織者處于良好位置，能夠評估隱私制度、識別重大風(fēng)險并提出降低風(fēng)險的適當(dāng)建議?！　?nèi)部審計(jì)部門鑒別組織所收集的有可能屬于個人或隱私信息的類別適當(dāng)性、采用的收集方法、組織對這些信息的使用是否符合原定用途滿足相關(guān)法規(guī)的要求?！　¤b于本公告具有很高的技術(shù)和法律方面的特性，內(nèi)部審計(jì)部門需要具備適當(dāng)?shù)闹R能力，以實(shí)施組織的隱私制度的風(fēng)險和控制評估?！　≡谥笇?dǎo)組織的隱私制度管理的評估過程中，內(nèi)部審計(jì)師應(yīng)該：　　●考慮組織所在管轄范圍內(nèi)的相關(guān)法律、法規(guī)和政策?！　　衽c內(nèi)部法律顧問聯(lián)系，確定適用于組織和所在國家的法律、法規(guī)和其他標(biāo)準(zhǔn)及實(shí)務(wù)的確切性質(zhì)?！　　衽c信息技術(shù)專家聯(lián)系，確定是否建立了信息安全和數(shù)據(jù)保護(hù)控制，并對其適當(dāng)性進(jìn)行定期檢查和評估?！　　窨紤]組織的隱私工作的水平或完備程度。根據(jù)情況，內(nèi)部審計(jì)師可以起到不同作用。內(nèi)部審計(jì)師可以推動隱私方案的制定和實(shí)施，評價管理層的隱私風(fēng)險評估，確定組織的需要和風(fēng)險暴露情況，或?yàn)榻M織的隱私政策、實(shí)務(wù)可控制的效果提供確認(rèn)。如果內(nèi)部審計(jì)師承擔(dān)了任何制定和實(shí)施隱私方案的責(zé)任，則內(nèi)部審計(jì)師的獨(dú)立性將受到損害?！?shí)務(wù)公告22001 業(yè)務(wù)計(jì)劃　　主要相關(guān)標(biāo)準(zhǔn)：　　2200業(yè)務(wù)計(jì)劃　　內(nèi)部審計(jì)師開展每項(xiàng)業(yè)務(wù)都必須制定書面計(jì)劃，其內(nèi)容包括業(yè)務(wù)目標(biāo)、范圍、時間安排以及資源分配等?！　?nèi)部審計(jì)師計(jì)劃和實(shí)施業(yè)務(wù)，并接受督導(dǎo)檢查和審批。在內(nèi)部審計(jì)師開始實(shí)施業(yè)務(wù)之前要準(zhǔn)備業(yè)務(wù)方案。業(yè)務(wù)方案：　　說明業(yè)務(wù)目標(biāo)；　　標(biāo)出要檢查的技術(shù)要求、目標(biāo)、風(fēng)險、過程和交易；　　說明所需測試的性質(zhì)和范圍；　　載明內(nèi)部審計(jì)師在開展業(yè)務(wù)過程中收集、分析、解釋及及記錄信息的程序；　　也可以再業(yè)務(wù)開展期間進(jìn)行適當(dāng)修改，并報首席審計(jì)執(zhí)行官或其他委托人審批?！　∈紫瘜徲?jì)執(zhí)行官應(yīng)當(dāng)對業(yè)務(wù)計(jì)劃的編制程序和文件規(guī)范（如計(jì)劃會議的結(jié)果、風(fēng)險評估過程、工作方案詳細(xì)程度等）提出合乎實(shí)際的要求。需要考慮的因素包括：　　●工作執(zhí)行和\或業(yè)務(wù)結(jié)果是否被其他人（如外部審計(jì)師，規(guī)章制定者或管理層）所利用；　　●工作是否與可能卷入潛在或當(dāng)前訴訟的事項(xiàng)相關(guān)；　　●內(nèi)部審計(jì)人員的經(jīng)驗(yàn)和對直接督導(dǎo)能力的要求；　　●項(xiàng)目是否內(nèi)部執(zhí)行，是否通過特邀審計(jì)師，或外部服務(wù)提供者執(zhí)行；　　●項(xiàng)目的復(fù)雜性和范圍；　　●內(nèi)部審計(jì)部門的規(guī)模；　　●文件的價值（如是否被用于隨后幾年）?！　?nèi)部審計(jì)師要確定其他業(yè)務(wù)需求，比如業(yè)務(wù)需要的時間和預(yù)計(jì)完成日期。內(nèi)部審計(jì)師也要考慮最終業(yè)務(wù)通報形式。在這一階段進(jìn)行規(guī)劃有助于加快業(yè)務(wù)結(jié)束階段的溝通過程?！　?nèi)部審計(jì)師通知需要了解業(yè)務(wù)的管理層，與負(fù)責(zé)待檢查活動的管理層一起開會，總結(jié)和分發(fā)會上的討論過程和所得出的任何結(jié)論，并將文件保存在業(yè)務(wù)工作底稿中?！　∮懻摰闹黝}包括：　　●計(jì)劃內(nèi)的業(yè)務(wù)目標(biāo)和工作范圍；　　●業(yè)務(wù)工作的資源和時間安排；　　●影響業(yè)務(wù)條件和待審查領(lǐng)域活動的主要因素，包括內(nèi)外部環(huán)境的最新變化；　　●管理層所關(guān)注的事項(xiàng)或要求?！　∈紫瘜徲?jì)執(zhí)行官確定何時、以何種方式、與誰溝通業(yè)務(wù)結(jié)果。在業(yè)務(wù)計(jì)劃階段，內(nèi)部審計(jì)師形成文件并與管理層進(jìn)行適當(dāng)程度的溝通。對于隨后發(fā)生的會影響業(yè)務(wù)結(jié)果時間或報告的變化，內(nèi)部審計(jì)師也要與管理層溝通?！　?shí)務(wù)公告22101 業(yè)務(wù)目標(biāo)　　主要相關(guān)標(biāo)準(zhǔn)：　　2210業(yè)務(wù)目標(biāo)　　必須為每項(xiàng)業(yè)務(wù)確定目標(biāo)?！　?nèi)部審計(jì)師應(yīng)針對與被檢查工作相關(guān)的風(fēng)險來確定業(yè)務(wù)目標(biāo)。計(jì)劃內(nèi)的業(yè)務(wù)，由于風(fēng)險評估過程是年度審計(jì)計(jì)劃的來源，因此其目標(biāo)應(yīng)源自風(fēng)險評估過程中初步確定的那些業(yè)務(wù)目標(biāo)并與其保持一致。計(jì)劃外的業(yè)務(wù)目標(biāo)則在業(yè)務(wù)開展前確定，以應(yīng)對急需解決的特殊問題。　　在業(yè)務(wù)計(jì)劃階段的風(fēng)險評估是為了進(jìn)一步明確最初的目標(biāo)和識別要關(guān)注的其他重大領(lǐng)域?！　∽R別風(fēng)險后，內(nèi)部審計(jì)師確定執(zhí)行程序及范圍、性質(zhì)、時間安排和區(qū)域。在適當(dāng)?shù)姆秶鷥?nèi)執(zhí)行業(yè)務(wù)程序是為了得出與業(yè)務(wù)目標(biāo)相關(guān)的結(jié)論?！　?業(yè)務(wù)計(jì)劃中的風(fēng)險評估　　主要相關(guān)標(biāo)準(zhǔn)：　　，業(yè)務(wù)目標(biāo)中必須反映該評估結(jié)果?！　?nèi)部審計(jì)師應(yīng)當(dāng)考慮管理層對與被檢查業(yè)務(wù)相關(guān)的風(fēng)險評估情況，內(nèi)部審計(jì)師也應(yīng)考慮以下因素：　　●管理層風(fēng)險評估的可靠性；　　●管理層監(jiān)管、報告、解析風(fēng)險和控制問題的程序；　　●管理層對超出組織的風(fēng)險偏好事件的報告及對這些報告的反應(yīng)；　　●與被檢查相關(guān)的工作中的相關(guān)風(fēng)險。　　內(nèi)部審計(jì)師獲取或更新有關(guān)被檢查工作的背景信息，以確定其對業(yè)務(wù)目標(biāo)和范圍的影響?！　∪绻麠l件合適，內(nèi)部審計(jì)師要開展調(diào)查，以熟悉有關(guān)工作、風(fēng)險和控制，識別業(yè)務(wù)需要強(qiáng)調(diào)的領(lǐng)域，征求業(yè)務(wù)客戶的意見和建議?！　?nèi)部審計(jì)師對管理層的風(fēng)險評估、背景信息以及所有調(diào)查工作的結(jié)果進(jìn)行總結(jié)?？偨Y(jié)應(yīng)該包括：　　●重要的業(yè)務(wù)事項(xiàng)以及進(jìn)一步探索這些事項(xiàng)的原因；　　●業(yè)務(wù)目標(biāo)和程序；　　●所用的方法，比如利用技術(shù)的審計(jì)方法和抽樣技術(shù)；　　●潛在的關(guān)鍵控制點(diǎn)、控制缺陷和/或控制過度情況；　　●適當(dāng)時，中斷審計(jì)業(yè)務(wù)或?qū)I(yè)務(wù)目標(biāo)做重大修改的原因?！　?shí)務(wù)公告22301 業(yè)務(wù)資源的分配　　主要相關(guān)標(biāo)準(zhǔn)：　　2230—業(yè)務(wù)資源的分配　　內(nèi)部審計(jì)師必須根據(jù)對每項(xiàng)業(yè)務(wù)的性質(zhì)、復(fù)雜程度、時間限制以及可獲資源的評估，確定實(shí)現(xiàn)業(yè)務(wù)目標(biāo)所需要的適當(dāng)、充分的資源?！　‘?dāng)內(nèi)部審計(jì)師在確定資源的適當(dāng)性和充分性時，需要考慮以下因素：　　●內(nèi)部審計(jì)人員的數(shù)量和經(jīng)驗(yàn)水平；　　●為業(yè)務(wù)選擇內(nèi)部審計(jì)師時，應(yīng)考慮內(nèi)部審計(jì)人員的知識、技能及其他勝任能力；　　●在需要其他知識和勝任能力時刻考慮利用外部資源；　　●由于每項(xiàng)業(yè)務(wù)分派都可以作為滿足內(nèi)部審計(jì)部門發(fā)展需求的基礎(chǔ)，所以應(yīng)考慮內(nèi)部審計(jì)人員的培訓(xùn)需求?！　?shí)務(wù)公告22401 業(yè)務(wù)工作方案　　主要相關(guān)標(biāo)準(zhǔn)：　　2240—業(yè)務(wù)工作方案　　內(nèi)部審計(jì)師必須制定用以實(shí)現(xiàn)業(yè)務(wù)目標(biāo)的書面工作方案　　在內(nèi)部審計(jì)業(yè)務(wù)開始前，內(nèi)部審計(jì)師制定并獲得證實(shí)批準(zhǔn)的工作方案，工作方案包括所應(yīng)用的方法，比如利用書籍的審計(jì)方法和抽樣技術(shù)。　　收集、分析、解釋和記錄信息的過程應(yīng)得到監(jiān)督，從而為實(shí)現(xiàn)業(yè)務(wù)目標(biāo)和保持內(nèi)部審計(jì)人員的客觀性提供合理保證。　實(shí)務(wù)公告22301 記錄信息　　主要相關(guān)標(biāo)準(zhǔn)：　　2330—1 記錄信息　　內(nèi)部審計(jì)師必須記錄表相關(guān)信息，以支持結(jié)論和業(yè)務(wù)結(jié)果　　由內(nèi)部審計(jì)師編制工作底稿。工作底稿可作為用來記錄所獲得的信息、做出的分析以及結(jié)論和業(yè)務(wù)結(jié)果的依據(jù)。內(nèi)部審計(jì)管理層負(fù)責(zé)檢查編制好的工作底稿?！　I(yè)務(wù)工作底稿通常用于下述目的：　　幫助業(yè)務(wù)的制定、執(zhí)行和檢查；　　為業(yè)務(wù)結(jié)果提供主要支持；　　記錄業(yè)務(wù)目標(biāo)是否達(dá)成；　　為已完成工作的準(zhǔn)確性和完整性提供支持；　　為內(nèi)部審計(jì)部門質(zhì)量評估與改進(jìn)程序提供依據(jù)；　　便于第三方檢查。　　業(yè)務(wù)工作底稿的編制、設(shè)計(jì)和內(nèi)容取決于業(yè)務(wù)的性質(zhì)、目標(biāo)以及組織的需要。　　業(yè)務(wù)工作底稿記錄業(yè)務(wù)從計(jì)劃到溝通結(jié)果過程中的所有方面。內(nèi)部審計(jì)部門可以確定記錄和儲存工作底稿的介質(zhì)?！　∈紫瘜徲?jì)執(zhí)行官應(yīng)為已開展的各種類型的業(yè)務(wù)制定有關(guān)工作底稿的政策。標(biāo)準(zhǔn)化的業(yè)務(wù)工作底稿，如調(diào)查表和審計(jì)方案，可以提供業(yè)務(wù)工作的效率，便于業(yè)務(wù)工作的分派。業(yè)務(wù)工作底稿可以歸類為永久性的或移交的業(yè)務(wù)檔案，后者包含具有持續(xù)重要意義的信息。　　 對業(yè)務(wù)記錄的控制　　主要相關(guān)標(biāo)準(zhǔn)：　　—首席審計(jì)執(zhí)行官必須控制對業(yè)務(wù)記錄的接觸。在對外界提供記錄之前，首席審計(jì)執(zhí)行官必須征得高級管理層和/或法律顧問的同意。　　內(nèi)部審計(jì)業(yè)務(wù)記錄包括：以任何介質(zhì)存儲的報告、支持性文件、檢查筆記和信件。業(yè)務(wù)記錄或工作底稿是組織的財(cái)產(chǎn)。業(yè)務(wù)工作底稿由內(nèi)部審計(jì)部門管理，并且只提供給得到授權(quán)的人員。　　內(nèi)部審計(jì)師可以將外部有關(guān)方面接觸業(yè)務(wù)記錄的情況告知管理層和董事會。與接觸業(yè)務(wù)記錄、處理接觸要求以及根據(jù)業(yè)務(wù)授權(quán)開展調(diào)查時應(yīng)遵循的程序等政策，應(yīng)通過董事會的審核?！　?nèi)部審計(jì)政策闡釋了在組織中由誰來負(fù)責(zé)確保內(nèi)部審計(jì)部門的記錄處于控制之中并且是安全的，那些內(nèi)容或外部方面能夠經(jīng)授權(quán)接觸業(yè)務(wù)記錄，何種接觸業(yè)務(wù)記錄的要求需要處理。這些政策因組織性質(zhì)、行業(yè)特征和法律規(guī)定的接觸特權(quán)而有所不同?！　」芾韺雍徒M織的其他人員可以要求接觸所有或?qū)ｉT業(yè)務(wù)工作底稿。這種接觸可能對于證實(shí)、解釋業(yè)務(wù)發(fā)現(xiàn)和建議是必要的，或者有其他商業(yè)目的。首席審計(jì)執(zhí)行官應(yīng)負(fù)責(zé)審批這些要求?！　⊥獠繉徲?jì)師接觸業(yè)務(wù)工作底稿由首席審計(jì)執(zhí)行官批準(zhǔn)?！　〕獠繉徲?jì)師外，還存在其他有的有關(guān)外部組織要求接觸業(yè)務(wù)工作底稿的情況。在對外界發(fā)布這些文件之前，首席審計(jì)執(zhí)行官應(yīng)該獲得高級管理層和\或法律顧問的批準(zhǔn)?！　≡诜沙绦蛑?，可能會接觸那些未經(jīng)特別保護(hù)的內(nèi)部審計(jì)記錄。法律的這種要求在不同的審判中差別很大。當(dāng)遇到一個與法律程序有關(guān)的接觸特定業(yè)務(wù)記錄的要求是，首席審計(jì)執(zhí)行官應(yīng)與法律顧問緊密合作并決定提供哪些記錄。 保存記錄　　主要相關(guān)標(biāo)準(zhǔn)：　　——首席審計(jì)執(zhí)行官必須規(guī)定業(yè)務(wù)記錄的存檔要求而無論采用何種存儲介質(zhì)。這些存檔要求必須符合組織的規(guī)定以及相關(guān)法規(guī)或其他要求。　　業(yè)務(wù)記錄保存規(guī)定因司法和法律環(huán)境的不同而變化。　　首席審計(jì)執(zhí)行官應(yīng)制定一個滿足組織需要和法律要求的書面政策?！　∮涗洷３终邞?yīng)包括對外部服務(wù)提供者完成業(yè)務(wù)的相關(guān)記錄的適當(dāng)安排。　　實(shí)務(wù)公告23401 業(yè)務(wù)的督導(dǎo)　　主要相關(guān)標(biāo)準(zhǔn)：　　2340業(yè)務(wù)的督導(dǎo)　　必須對業(yè)務(wù)實(shí)施加以適當(dāng)?shù)亩綄?dǎo)，以確保目標(biāo)得以實(shí)現(xiàn)，質(zhì)量得到保證，員工得到發(fā)展?！　♂屃x　　所需督導(dǎo)的程度取決于內(nèi)部審計(jì)師的勝任能力和經(jīng)驗(yàn)水平以及業(yè)務(wù)本身的復(fù)雜程度。無論業(yè)務(wù)是否由內(nèi)部審計(jì)部門負(fù)責(zé)開展，首席審計(jì)執(zhí)行官都需對業(yè)務(wù)的督導(dǎo)負(fù)全面責(zé)任，但他可以指定具備適當(dāng)經(jīng)驗(yàn)的內(nèi)部審計(jì)部門成員具體復(fù)核。適當(dāng)?shù)亩綄?dǎo)證據(jù)應(yīng)予記錄和保留。　　首席審計(jì)執(zhí)行官或其指定的人員提供適當(dāng)