【正文】 這不是一項有效的確定真正風(fēng)險領(lǐng)域的方式。舉例：基于風(fēng)險選擇審計點在全國擁有超過1100家零售商店，ABC食品的內(nèi)部審計部門需要一個高效率和高效果的方式來選擇單個商店審計。連續(xù)風(fēng)險評估還能夠找出一些要么沒有控制要么這些控制沒有充分地執(zhí)行的地方，幫助審計師在特定領(lǐng)域執(zhí)行連續(xù)控制評估。可變性的概念是連續(xù)風(fēng)險評估與內(nèi)嵌審計模塊和例外報告的關(guān)鍵區(qū)分因素?？刂迫毕輸?shù)量的可變性越大，生產(chǎn)線的合理性和功能的協(xié)調(diào)性就越要得到關(guān)注。通過這種形式的比較，審計師能夠通過衡量許多方面的可變性來檢查流程的一致性。連續(xù)風(fēng)險評估能夠連續(xù)地用來識別和評估風(fēng)險。這兩項行為是相關(guān)的，審計師能夠利用連續(xù)風(fēng)險評估來識別和評估風(fēng)險水平的變化。二、應(yīng)用于連續(xù)風(fēng)險評估管理層負(fù)有開發(fā)和維持一個系統(tǒng)來識別和減輕風(fēng)險的責(zé)任，國際內(nèi)部審計準(zhǔn)則2110號指出，審計師應(yīng)該通過識別和評估重大的暴露在風(fēng)險下的項目來幫助組織，并在改進風(fēng)險管理和控制系統(tǒng)中發(fā)揮作用。測試總分類賬戶總發(fā)生額：如找出那些與上年相比金額超過25％的賬戶，識別不正常的行為，如銷賬的增加。檢查匯總數(shù)據(jù)：如當(dāng)月的持卡者消費匯總超過$。在某些情況下，審計師可能執(zhí)行初始的控制測試，然后將連續(xù)監(jiān)控移交給管理層。薪金可以在每個付款周期使用，在支票出具之前進行。分析的頻率取決于風(fēng)險水平和管理層監(jiān)控控制的程度。通過智能運用分析技術(shù)，審計師能夠評估內(nèi)部控制框架的充分性，給審計委員會和高層經(jīng)理提供獨立的保證。取而代之的是，審計師能夠關(guān)注執(zhí)行其他的程序來提供連續(xù)的關(guān)于管理層的連續(xù)監(jiān)控程序的保證。（六）結(jié)論和建議連續(xù)控制評估技術(shù)可能類似于管理層實施的連續(xù)監(jiān)控技術(shù)。它也定義了舞弊財務(wù)報表和盜竊的風(fēng)險因素，這能夠被用來作為評估舞弊財務(wù)報告風(fēng)險的模型。使用各種分析程序。強調(diào)增加職業(yè)懷疑。美國注冊會計師協(xié)會頒布的審計標(biāo)準(zhǔn)的公告第99號（SAS ）“考慮財務(wù)報告審計中的舞弊”也是出臺來幫助審計師偵測舞弊的。例如，國際內(nèi)部審計準(zhǔn)則實務(wù)公告1210號第A21節(jié)：識別舞弊，第A22節(jié)：舞弊偵測的責(zé)任，需要審計師對可能的舞弊擁有充分的知識以識別它們的征兆。由于舞弊很大程度上是一種機會主義的犯罪，控制缺口和薄弱環(huán)節(jié)必須被找出來，如果可能的話，甚至消除它或者減少它。例如，利用數(shù)據(jù)分析技術(shù)，審計師能夠容易識別那些地方超越了合約的授權(quán)（如合約超過了給個人規(guī)定的合同限額）和被逃避（avoid）（如撕毀合約）。第A3節(jié)也需要審計師對關(guān)鍵信息技術(shù)風(fēng)險、控制和可利用技術(shù)來開展他們工作的知識。這些測試的頻率和時間取決于潛在的經(jīng)營風(fēng)險和控制框架和管理監(jiān)控功能的充分性。無論哪里暴露出問題，內(nèi)部審計師都能夠進行一項測試或一系列的分析程序來搜索某人試圖利用控制缺口或薄弱環(huán)節(jié)的證據(jù)。審計師通過這份報告來證明將登錄參數(shù)改為在諸如這類使用者的ID在嘗試登錄失敗3次后將此ID鎖定是正確的。此外，測試還檢查失敗的登錄日志。審計師抽取相關(guān)信息并將每個使用者與當(dāng)前的員工管理文件相匹配。（四）安全控制：以系統(tǒng)登錄日志為例連續(xù)控制評估能夠測試安全控制，證明所有的系統(tǒng)使用者都是有效的員工，防止有企圖者侵入系統(tǒng)。結(jié)果表明在基于角色的特色配置的設(shè)計中職責(zé)分離控制是薄弱的，因為這些是被視為不相容的職責(zé)。審計師抽出當(dāng)年第一季度的所有處理的交易，然后利用數(shù)據(jù)分析技術(shù)來計算每個使用者處理過的交易（通過交易類型）。ERP項目小組，通過業(yè)主的投入，開發(fā)一系列基于使用者角色的特色配置，這就允許使用者能夠根據(jù)自己的工作職責(zé)來處理各式各樣的業(yè)務(wù)。使用分析技術(shù)，測試程序能夠比較個別交易和規(guī)則基礎(chǔ)標(biāo)準(zhǔn)，對所有的交易進行評價以確保個體沒有執(zhí)行不相容的職責(zé)。在審計完成后，連續(xù)控制評估應(yīng)用測試就轉(zhuǎn)向采購卡協(xié)調(diào)員，來幫助運營經(jīng)理每個月對采購卡控制的監(jiān)控。分析的結(jié)果將提交給持卡者的經(jīng)理，以對這些可疑交易進行詳細(xì)審查——將采購卡的支出與商品采購相匹配。用于個人項目的支付（如珠寶、酒，等等）。審計師決定管理層的對于采購的控制是薄弱的，那么暴露出來的風(fēng)險是否相當(dāng)?shù)母?。以下的一個關(guān)于內(nèi)部審計中應(yīng)用連續(xù)控制評估在財務(wù)控制、系統(tǒng)控制和安全控制等三個領(lǐng)域來支持管理層監(jiān)控功能。連續(xù)控制評估還能夠?qū)B續(xù)的風(fēng)險評估和管理層減輕風(fēng)險的行為起作用。對關(guān)于內(nèi)部控制交易數(shù)據(jù)的連續(xù)控制評估能夠迅速找出錯誤和異常，將它們報告給管理層，以及時進行檢查和采取行動。連續(xù)控制評估給讓首席審計師清楚地看到內(nèi)部控制系統(tǒng)的有效性。由于這些外部和內(nèi)部的壓力，特別是在一些管理層沒有恰當(dāng)發(fā)揮其監(jiān)控角色的作用，審計師通常需要執(zhí)行一個更加全面的評估和提供更加連續(xù)的控制評估。一、應(yīng)用于連續(xù)控制評估（一）識別控制缺陷由于新的法規(guī)需要高層管理者證明控制環(huán)境的有效性，以及財務(wù)報告中所含信息的精確性，首席執(zhí)行官和首席財務(wù)官開始內(nèi)部審計行為來輔助遵循這些法規(guī)。減少財務(wù)錯誤和潛在的舞弊。增加對財務(wù)結(jié)果的信心。實施連續(xù)審計框架的期望好處包括：增加減輕風(fēng)險的能力。首席審計師必須認(rèn)識到許多的管理行為與連續(xù)審計有很強的聯(lián)系，例如整合風(fēng)險管理、平衡計分卡、連續(xù)改進、連續(xù)監(jiān)控。包含在年度審計計劃中審計項目的選擇：通過識別更高風(fēng)險領(lǐng)域。管理控制框架的可靠性：通過找出控制薄弱環(huán)節(jié)。用于測試控制的信息訪問技術(shù)和技術(shù)技能也能夠幫助首席審計師通過支持持續(xù)的評價企業(yè)風(fēng)險管理有效性的評價行為和對一些警告提出改進建議，從而給管理層提供價值無法估量的幫助， 首席審計師通過給高層管理員工提供獨立的風(fēng)險和控制評估來支持其監(jiān)控職能。審計師不僅必須能夠評價財務(wù)風(fēng)險，而且要能夠評價運營風(fēng)險和策略風(fēng)險。雖然需要更加關(guān)注財務(wù)方面的審計，連續(xù)審計支持所有類型和領(lǐng)域的審計行為。盡管一些法定審計需要每年進行一次，但是每年嚴(yán)格執(zhí)行這些審計已不能滿足管理和法規(guī)的需要。適用技術(shù)，從電子表格軟件或腳本開發(fā)使用特種審計軟件（scripts developed using auditspecific software）到商品化的專業(yè)解決方案軟件包或客戶自行開發(fā)的系統(tǒng)。也許最困難的挑戰(zhàn)來自于審計師必須對內(nèi)部控制的有效性及時作出保證，更好地識別和評估風(fēng)險水平，快速找出沒有遵循相關(guān)法規(guī)和政策的事項。通過結(jié)合評價監(jiān)控和連續(xù)審計程序，審計師能夠提供關(guān)于內(nèi)部控制有效性的保證。這些程序包括：評價偵測到的異常和管理層的反應(yīng)。圖5：連續(xù)審計、監(jiān)控和保證（概念框架）連續(xù)保證連續(xù)審計和連續(xù)監(jiān)控程序的結(jié)果連續(xù)監(jiān)控審計測試連續(xù)審計審計連續(xù)監(jiān)控管理行為、交易和事件經(jīng)營系統(tǒng)和流程管理層全面地在經(jīng)營流程領(lǐng)域中從頭到尾地實施連續(xù)監(jiān)控，內(nèi)部審計師就無需執(zhí)行同樣的詳細(xì)測試來進行連續(xù)審計。在某些情況下，審計師甚至可能主動來幫助組織建立風(fēng)險管理和控制評估程序（見國際內(nèi)部審計協(xié)會實務(wù)報告21004：審計師在一個沒有風(fēng)險管理程序組織中的作用）。連續(xù)審計運用的方法和工作量取決于管理層實施的連續(xù)監(jiān)控行為的程度。組織得到的一個典型的額外的好處是錯誤和舞弊顯著減少，經(jīng)營的效率得到了提高，通過成本的減少和過度支付（overpayment）和收入泄漏的減少，從而使線下項目的結(jié)果得以改善。既然管理層對內(nèi)部控制負(fù)有責(zé)任，那么它就必須有一個連續(xù)的決定控制是否按設(shè)計在運行的方法。如果合適的話，更正控制薄弱環(huán)節(jié)。調(diào)查沒有通過控制測試的所有交易。建立一系列的自動化的測試，以指出某項交易是否沒有遵循所有的相關(guān)控制目標(biāo)和保證聲明。連續(xù)監(jiān)控的原則比較簡單，它包含以下幾個方面：在一個給定的經(jīng)營流程中定義控制點，如果可能的話可參照COSO的企業(yè)風(fēng)險管理框架。評價控制的充分性和有效性通常是管理層的責(zé)任。管理層在這個保證方程（assurance equation）中起著開發(fā)、設(shè)計和監(jiān)控控制和控制風(fēng)險的作用。審計師檢查管理層的行為，證實控制都在運行，提出改進建議，確保風(fēng)險正在被控制。內(nèi)部審計通過客觀檢查所獲取的證據(jù)以提供對風(fēng)險管理策略和實踐，管理控制框架和實踐，用于決策和報告的信息的保證服務(wù)。審計保證是對控制的充分性和有效性以及信息的完整性發(fā)表意見。通常，保證被視為一項嚴(yán)格的審計相關(guān)行為，通常具有財務(wù)方面的特征。使用這些信息來進行決策的個人或團體。第四部分 連續(xù)審計與連續(xù)保證和連續(xù)監(jiān)控的關(guān)系一、連續(xù)保證前文已提到，保證被描述為第三方對事件狀態(tài)的意見。個別審計通常開始于年度審計計劃中的風(fēng)險識別，但使用更多的數(shù)據(jù)分析和其他技術(shù)（如訪問，自我控制評估，實地觀察walkthrough，調(diào)查問卷）來進一步定義風(fēng)險的主要領(lǐng)域和風(fēng)險評估的關(guān)注點和后續(xù)的審計行為。微觀審計和宏觀審計兩個層次的主要區(qū)別在于兩者信息需求的粒度不同：控制測試需要細(xì)節(jié)信息：需要深入交易的源頭層次。它支持微觀審計事項，例如明細(xì)交易測試來評價控制的有效性；宏觀審計方面，通過風(fēng)險識別和評估來準(zhǔn)備年度審計計劃。注3：相關(guān)管理層行為包括連續(xù)控制監(jiān)控，績效監(jiān)控，平衡計分卡，全面質(zhì)量管理和企業(yè)風(fēng)險管理。圖3：連續(xù)審計的連續(xù)系統(tǒng)←─────────────連續(xù)審計─────────────→連續(xù)控制評估←──────────────────→連續(xù)風(fēng)險評估方法控制基礎(chǔ) 風(fēng)險基礎(chǔ)（保證控制正在運行）←─────────────→（識別/評估風(fēng)險）財務(wù)控制 財務(wù)/運營控制關(guān)注點實時/詳細(xì)交易測試（財務(wù)數(shù)據(jù)）←─────→趨勢/比較（財務(wù)/運營數(shù)據(jù)）分析技術(shù)控制保證 財務(wù)鑒證 舞弊/浪費/濫用 審計范圍和目標(biāo) 追蹤審計記錄 年度審計計劃相關(guān)審計行為控制監(jiān)控 業(yè)績監(jiān)控 平衡計分卡 全面質(zhì)量管理 企業(yè)風(fēng)險管理相關(guān)管理行為注1：在這個連續(xù)系統(tǒng)的“控制”結(jié)尾，相關(guān)審計行為包括保證和財務(wù)鑒證審計。同時，連續(xù)系統(tǒng)中的不同位置更加適合不同的工作，在連續(xù)系統(tǒng)中當(dāng)你執(zhí)行不同的任務(wù)時還可能超過一個位置。它也支持整個審計范圍的風(fēng)險識別和評估，幫助制定年度審計計劃，以及確定某項特定審計的審計目標(biāo)。對監(jiān)控警報和提示作出回應(yīng)并立即修補控制缺陷和改正問題交易是管理層的責(zé)任。取決于特殊的控制規(guī)則和相關(guān)測試和初始參數(shù)，某些交易被標(biāo)記為控制例外事項，且告知管理層。典型的持續(xù)監(jiān)控程序包括在給定的經(jīng)營流程領(lǐng)域內(nèi)，借助一組控制規(guī)則，自動測試所有的交易和系統(tǒng)行為。連續(xù)監(jiān)控是管理層為了確保政策、程序和業(yè)務(wù)流程能夠有效運行而實施的一項程序。連續(xù)風(fēng)險評估能應(yīng)用于大范圍的審計領(lǐng)域，來選擇訪問點，來識別排除包含在審計計劃中的特定的審計或單位，或觸發(fā)對某個風(fēng)險增加但缺乏足夠解釋的單位的審計。這種比較能夠較早地警示某個程序或系統(tǒng)（審計主體）的風(fēng)險水平高于以前年度或其他主體。連續(xù)風(fēng)險評估通過檢查趨勢和比較（在單個程序或系統(tǒng)里，與之過去的表現(xiàn)相比較，與企業(yè)內(nèi)的其他的程序或系統(tǒng)相比）來識別和評估風(fēng)險水平。一個強有力的管理監(jiān)控系統(tǒng)將減少審計師必須執(zhí)行以對控制提供保證的詳細(xì)測試數(shù)量。一系列定義良好的控制規(guī)則在控制程序或系統(tǒng)沒有按期望運行或受到威脅時能夠及早地提供警告。通過連續(xù)控制評估，通過識別控制缺陷和侵害，審計師給審計委員會和高層經(jīng)理提供關(guān)于控制是否正在恰當(dāng)運行的保證。技術(shù)在識別例外和（或）異常、分析關(guān)鍵數(shù)據(jù)字段的模式、趨勢分析、從開始到結(jié)束的明細(xì)交易分析、控制測試和將組織的程序或系統(tǒng)根據(jù)不同的時點比較或與其他類似的單位比較等方面發(fā)揮著關(guān)鍵作用。它是一系列行為的聯(lián)合體，這些行為從連續(xù)控制評估延伸到連續(xù)風(fēng)險評估。圖2：連續(xù)保證的框架連續(xù)保證連續(xù)控制評估連續(xù)風(fēng)險評估對連續(xù)監(jiān)控的評估首席審計師必須保證所有的審計師、高級經(jīng)理和審計委員會理解內(nèi)部審計行為和管理層在使連續(xù)保證方程有效的角色和責(zé)任。管理層實施的持續(xù)控制監(jiān)控是有效保證策略的核心部分，但是，審計師仍然必須確保管理層的行為是充分的和有效的。保證可以認(rèn)為是第三方對事件狀態(tài)的意見，這個事件是關(guān)于一個特定的交易、業(yè)務(wù)或治理流程、風(fēng)險或整個業(yè)務(wù)流程中的財務(wù)績效的。對審計師的挑戰(zhàn)是確保數(shù)據(jù)的利用和通用性，理解相關(guān)的業(yè)務(wù)流程和系統(tǒng)，最大化地運用自動化。相反，通過檢查風(fēng)險，審計師能夠識別哪些地方需要控制和（和）控制沒有發(fā)生作用。理解與連續(xù)審計相關(guān)的術(shù)語的關(guān)鍵在于理解控制和風(fēng)險是一個問題的兩個方面。沒有一個清晰的、通用的術(shù)語，那么將會很難提升這些嘗試，成功的可能性也會減少。第三部分 需要澄清的一些關(guān)鍵概念和術(shù)語已經(jīng)采取了各種嘗試來鼓勵審計師更好地使用電子信息，以改進內(nèi)部審計行為的效率和效果。內(nèi)部審計師必須能夠訪問數(shù)據(jù)、軟件工具和技術(shù)，以及擁有能夠智能使用他們手頭所掌握的大量的公司財務(wù)和非財務(wù)信息的必要知識。連續(xù)審計還面臨著一些挑戰(zhàn)。然而，連續(xù)審計最重要的優(yōu)勢之一在于它獨立于所審計的業(yè)務(wù)和財務(wù)系統(tǒng)和管理層實施的監(jiān)控。連續(xù)審計還識別和評估風(fēng)險領(lǐng)域，給審計師提供信息，審計師通過與管理層的溝通能夠幫助管理層減輕風(fēng)險。使用連續(xù)審計進行額外的測試來決定這些異常的特征能夠回答諸如以下問題： 日記賬憑證是給暫記賬戶留有入口，而且沒有在規(guī)定的時間內(nèi)進行清除？ 日記賬憑證是否給不正常的關(guān)聯(lián)賬戶留有入口？ 受影響的賬戶是否可能會是諸如人工操縱收益之類的舞弊？ 日記賬憑證的數(shù)量和類型與往年相比是否有異常？ 個體之間登錄系統(tǒng)時是否做到了職責(zé)分離？ 我們是否應(yīng)該提高或降低測試的標(biāo)準(zhǔn)？ 財務(wù)比率是否與公司的期望相符？ 近幾年的收益趨勢如何？這些趨勢與公司的期望（peer）以及總體的經(jīng)濟環(huán)境如何匹配？連續(xù)審計幫助審計師評價管理層的監(jiān)控功能的充分性。例如，對財務(wù)交易的持續(xù)審計，當(dāng)一個分類賬憑證超出了給定限額，以及留有非正常關(guān)聯(lián)賬戶的入口，測試可能給出一個提示。管理層對這些提示的回應(yīng)能夠修補內(nèi)部控制缺陷和立即修正錯誤的交易。五、連續(xù)審計和監(jiān)控的好處連續(xù)審計和監(jiān)控（由管理層實施）的結(jié)果是類似的，都包含提示或警告，這些提示或警告指出了控制的缺陷或高風(fēng)險水平。審計師給股東提供保證服務(wù)