Auditee不理睬你怎麼辦？

有從事內審的朋友在FB上留言，說他的Auditee有階級歧視，自己向對方攞料時全無反應，但當IA manager出馬卻完全沒有問題，朋友問如何是好。

首先，有不少機構都有「對等」文化，即是部門之間的溝通必須要由同級來進行。例如自己部門的Officer要找對方的Officer；自己的Manager要找對方的Manager。若果自己的Officer找對方的Manager，便會被視為不尊重對方。所以，在這些機構內工作的內審就要注意，若果遇到比你高級的Auditee不理睬你，可能是這個原因，那就唯有找自己的Manager出面「單聲」，要求他們幫忙。除非auditee是故意「玩嘢」，否則的話，通常都沒問題的。

另外，做fieldwork前，我習慣會安排一個Kick-off meeting，有份參與是次審計的IA和auditee人員都會出席，對方的頂頭上司最好也能參加，在會議中除了講解審計項目的目的，範圍和時間等等外，還可以藉此互相介紹，說好那位IA同事負責甚麼範疇，並由對方那位同事負責提供資料及所需的一切協助。由於對方的頂頭在場，所以通常都比較容易達成協議。

還有，從事內審的平時應要和auditee建立良好的關係，即是「扮下friend」。例如發了電郵問對方一些事情後，最好能打個電話甚至親身找對方follow up一下。我自己比較喜歡親身去一趟，可以藉此寒暄一番。

寒喧要有話題，對方的枱頭擺設是個好開始，例如見到對方放有子女的相片，話題就可以無窮無盡了。年紀多大，那裡就讀，喜歡甚麼活動等等。傾談一陣子後，入正題就容易了。

另外，fieldwork完成後，禮貌上向對方道謝，日後也要保持聯絡，例如節日時發個祝賀電郵，碰面也要寒喧幾句，用意是保持關係。

我不敢說上述的方法是萬試萬靈，但以自己的經驗，超過八成機會是有效的。

從事內審的最好能建立一個自己的social network，除了方便工作外，還可以「收料」，不過這不是一時三刻能做得到，要肯花時間去經營才可以的。

&&&&&&&&

內審的「狐假虎威」

有從事IA的網友在討論版上留言，慨歎被Auditee留難，遲遲不肯向他提供所需要的資料。由於審計項目的完成期限在即，網友向上司求救，但上司不想去處理，著網友自行解決。

我很明白網友上司的難處，他能做的實在很有限。其實上司只有兩條路可以選，一是找Auditee的上司談談，希望他能推一下Auditee去提供資料。若果連上司也不肯合作，唯有選第二條路，就是上報管理層，甚至直接向Audit committee反映。

由於做IA的不會輕易選第二條，因為後果嚴重，所以第一條便是唯一出路了。但選這條問題也隨之而來。找Auditee的上司嗎？Auditee會覺得IA大石壓死蟹，玩投訴實在欺人太甚。親自找Auditee嗎？其上司可能覺得IA繞過他來對其下屬指指點點，即是不放他在眼內「唔比臉」，不論前者或後者，勢必影響日後的合作關係，就算這次成功拿到資料，下次又怎辦？

所以，IA遇到這些問題，一般來說只會著Auditor用自己的方法，在他的層面去把問題解決。當然，情況嚴重的則除外。

前幾天在報章看到陶傑先生的一篇文章，內裡介紹的一個英文成語「To cross the Rubicon」，就完全道出這情況。成語出處有一段歷史典故，有興趣的請到陶先生的專欄看看，至於成語的意思，就是過了Rubicon這條河，就沒有轉彎的餘地，從此不能再回頭。同一道理，假若沉不住氣向Audit committee投訴，從始要和Auditee保持合作關係就難上加難了。

其實遇到此等情況，不妨試來一招「狐假虎威」，這招我是經常用的。例如可以向Auditee說：「我地既審計報告趕住月尾交比Audit committee。我都知你忙，但係我地交唔到報告，Audit committee實問架嘛，唔通話因為你地唔等閒比唔到資料，所以做唔到個Audit咩？」因為每個審計在開始時，必須得到Auditee的部門主管量過，認為開展審計不會影響運作的，所以Auditee很難可以用「唔得閒」來做借口的。

現在應該知道，為甚麼不論是那個級別，從事IA的，都必需具備良好的人際關係技巧吧。

&&&&&&&&

審計的九種技巧（9）：Scanning

來到最後的一種技巧了，可能有人不同意，但我認為此技巧是最高級的。顧名思義，Scanning就是將要審核的東西匆匆掃瞄一次，看看有沒有異常的地方需要跟進。

例如把某個月的General adjustment vouchers全部找出來，並每張看一下，若果覺得有問題，便抽出來跟進。何謂有問題呢？就Adjustment而言，例如關聯公司之間的大額現金轉賬、異常的應收和應付的調整、銷售賬的non-routine調賬等等。

說這技巧最高級，因為做得好與不好，全靠審計人的經驗。可是，單看上面的介紹已知道，只靠匆匆看一下去找出問題，根本與大海撈針沒有分別。所以，此技巧一向不受重視，就算使用，也只用作輔助性質而已。

不過，由於近十年科技發展迅速，配合審計軟件的幫助，100% Scanning已成為當今最高級的審計方法。例如要審核全年的銷售，以前就只可以用抽樣的方式來做Scanning。現在我們則可以利用審計軟件，將全年所有的銷售交易掃瞄一次，並找出異常的地方然後跟進。

異常可以有很多，當中包括發票編號重號、跳號和沒有順序，發票金額是負數、異常大或異常小，不正常的發票日期（例如非辦公時間開出的發票），某月或某日開出的發票特別多或少，折扣異常大，發票金額計算錯誤，奇怪的送貨地址（例如PO Box）等等。而且還可以按銷售部門或人員來分析，方便找出問題的源頭。

除此之外，審計軟件還可以將銷售交易數據和其他數據連結起來做分析，例如核查發票上的單價是否和公司批准的價單相符，開出的發票是否超過顧客本身的信貸額，銷售人員佣金計算是否有錯，是否所有銷售交易都已錄入銷售賬，或者銷售賬內所有交易都有發票支持等等。

當然，若想利用審計軟件做Scanning，大前提是被審核的東西必須是數據化。另外，只有在數據數量比較大的情況下，利用審計軟件才能夠提昇審計的效率，因為要將數據載入審計軟件，前期準備所花的時間著實不少。

最後一提，由於Excel很普及，很多Auditee都會用它來做記錄，目前審計軟件已經可以輕鬆讀取和分析Excel內的數據。可是，若果Auditee在編制Spreadsheet時態度鬆散，例如相同的顧客但錄入時名稱不一致，最常見是一時打入ABC Limited，一時卻又打入ABC Ltd，遇到這種情況，我們需要花時間去「執」一下這些數據，審計軟件才能有效發揮其分析功能。

早前曾寫過一篇叫《運用審計軟件實例》的文章，當中以採購流程作為實例，來介紹如何利用審計軟件來做分析，有興趣的話請看一看。

&&&&&&&&

審計的九種技巧（8）：Analytical review procedures

與Reconciliation一樣，Analytical review procedures是一種較為高級的審計技巧，透過此方法，我們可以對Auditee有一個較高層次的了解，有助評估企業的營運風險，所以此方法多用於Audit planning階段。

具體的做法主要是計算和比較不同的比率和表現的趨勢，例如在企業的財務表現方面，我們可以計算企業的毛利率和淨利率，再與已往幾年比較，從中可以看到企業近年的表現和趨勢，若進一步與相同行業的平均數或競爭者做比較，更可得知企業的表現在行內的位置。

除此之外，比率之間都有著一定的關係。例如毛利率上升，必然是銷售額增長比成本增長來得多。又例如銷售額增幅很大，但AR turnover卻下跌，加上營運現金流入減少的話，這可能是大部份新增銷售都是Credit Sales，而且貨款回收不容易，呆料壞賬撥備可能需要增加。

另外，不同的比率同時變化，當中可能反映出一些現況，例如AR turnover下跌而AP turnover上升，這反映出企業對營運資金的需求上升。又例如Stock turnover下跌而存貨金額上升，這可能關係到貨品滯銷。

還有一點，將財務數據結合非財務數據來計算，可令到分析更全面更廣泛。例如Revenue per staff，Staff expenses per staff，Revenue per client，Revenue per selling area，Average revenue per active client and inactive client等等。

&&&&&&&&

審計的九種技巧（7）：Reconciliation

在種種的審計技巧當中，有一項比較高級的叫Reconciliation ，有人翻譯叫「調節」，也有人叫「對賬」，但總覺得欠準確，而行內則普遍簡稱為「Rec 數」。

Reconciliation主要用於查核賬目，最多人認識的相信是Bank reconciliation（銀行賬戶調節表），由於入賬時間不同，現金賬和銀行月結單上的結餘都有可能出現差異，透過Reconciliation就可以將兩者不同的原因找出來，並跟進那些奇奇怪怪的項目，例如long unpresented cheques，long late deposits in transit等等。

Long unpresented cheques就是那些開出了很久而還未兌現的支票，常見的問題主要是支票開出卻遲遲未交到受款人的手中，甚至涉及虛假交易，企圖造大採購和支出。至於Long late deposits in transit，顧名思義，就是收到的現金和支票沒有即日存入銀行賬戶，這個涉及現金安全風險，見到這些項目就必需跟進其原因。

另一個Reconciliation常用的例子是Deferred tax，我們也是通過此方法去了解賬上和實際Income tax之間的差異何來，然後重點跟進那幾項有重大差異的，藉此驗證Income tax的計算有沒有大差錯。

再舉個例子，在檢查Fixed asset的賬目前，我們可以通過Reconciliation來看看全年的movement是否合理。方法很簡單，將opening balance加Addition減Written off減Depreciation，如果結果與Closing balance相差很大，這就反映出賬目可能有錯誤，又或者賬目內做了些重大的調整。

相同的方法還可以應用到一些賬目，例如Tax payable以及Current accounts等等，也見過有人用此方法來找出Budget vs. Actual和
Prior year vs. Current year之間差異的原因，是一個於賬目審查中不可或缺的技巧。

&&&&&&&&

審計的九種技巧（6）：重做

在審計技巧中，有一種方法叫重做（Re-performance），就是根據Auditee的方法照版煮碗去做一次，看看出來的結果是否相同。個人覺得這是一個頑為搵自己笨的方法，所以有時我會要求Auditee在我面前代勞，而不需自己去做。

最常見的重做是計算，例如重新將銷售清單的金額加總一次，或者重新計算Payroll的金額，又或者自己計算一次折舊，甚至再重一次銀行調節表（Bank reconciliation）等等。總之就像當成Auditee的計算是信不過，所以由自己重新來計算一次。特別是Spreadsheet，很多時候Auditee將Formula改了或抄錯了卻不自知，最後計算結果出錯了也沒有察覺。多年前曾看過一篇報導，說有某大跨國企業，就是因為Spreadsheet出錯，而導致業績被少計了一個零頭。所以，旦凡由Spreadsheet計算出來的東西，自己計算一次比較保險了。

另一個運用重做的例子是採購，我們為同一種物品找不同的報價，看看實際的採購單價是否合理。不過，如果相隔的時間太長，例如今天去重做一年前食品的報價，這個方法就沒有用了。而且，在執行上必然遇到很多困難，例如用公司名義去找報價，人家見你不是採購部門就未必肯回答你，特別是公司的合資格供應商，你不是特定的採購人員，對方根本不會理會你。試過有內審同事「假冒」自己的採購人員去找合資格供應商清單以外的公司去報價，對方可以為有大生意可做，事後直接約談採購經理。採購經理當然一頭霧水，最後弄到尷尬非常。

&&&&&&&&

遇見違規事情時怎辦?

有一位從事內審的朋友，最近問了一個非常實際的問題，當發現公司有違法行為時，身為內審應如何去做？向公司管理層匯報？還是直接向監管當局報告？如果向管理層報告後，他們選擇繼續違規而不去糾正又怎麼辦？倘若不向監管當局報告的話，擔心自己日後可能遭到控告。

首先，根據IIA的守則（不知道會計師公會的專業守則有沒有提及呢？），內審是公司的僱員，工作要向公司負責，所以遇到違規問題時，應向公司管理層報告，由他們決定如何處理。倘若他們選擇繼續違規，我們極其量只能向他們解釋相關的風險，而不應直接向監管當局報告。向管理層報告及解釋風險，做到了這一步，內審已經盡了應付的責任，至於會否被控知情不報，那要看涉及的違規事項是甚麼以及當地法例。

一般來說，不涉及刑事的普通商業違規，內審不會有知情不報的問題，我們理應不會受影響。至於涉及刑事的，問題就比較複雜。如果殺人放火這些還好說，因為不管三七二十一都要報警，但如果是貪污舞弊就得小心處理。不過，只要已向管理層報告了，一般來對內審都不會受影響。

不管違規事項嚴重與否，身為公司的僱員或客戶的核數師，身份是代理人，若揭露受害者託人的問題，有失專業操守。但身為市民，若知道違規行為而不去舉報，又有失市民責任。若果碰到這種兩難的問題時，我想我也不知如何是好。不過，若碰到洗黑錢以及恐怖主義活動，我們就不應猶豫而向有關方面舉報。

最後一提，根據香港法例，會計師和律師等專業人員在遇到洗黑錢及恐怖主義活動活動時，必需向聯合財富情報組舉報，其網站有一份專為會計師而設的守則，連結在此。另外，網站內也列舉了一些洗黑錢活動的特徵，值得參考一下。

&&&&&&&&

審計的九種技巧（5）：觀察

Observation，此技巧也是審計常用的，例如記錄一個流程時，我們就可以通過觀察來做記錄。又例如對某個流程進行合規檢查（Compliance test）時，我們可以通過觀察，來查看實際運作是否符合流程的規定。比如現金支薪流程、現金銷售流程、年度盤點等等。

又例如某企業聲稱有一條生產線，我們就可以通過實地觀察來了證明是否屬實。心水清的朋友或許會問，「觀察」和早前提及過的「實地查看」有何分別？

其實前者觀看時較為仔細，所以用的時間比較長；後者只著重看的東西「存在」與否，以及「現狀」如何，所以用的時間比較短。

聽過一宗個案，某核數師為了核實客戶的生產線，派員到當地進行實地查看。核數人員逗留了半天便離開，並打算於翌日離開當地。就在乘車到機場途中，核數人員發覺有東西遺留在工廠，所以急急折返。豈料到達工廠後發現人去樓空，只餘下幾部機械。核數人員覺得事有XX，查問工廠附近的商店，才知道廠房已空置多年，前天突然有大批機械運了進去，昨日還見到有大批工人出入，不過今早工人不見了，機器也陸續搬走。最後，核數師發現原來生產線是假的，工人和機器到是客戶向友好企業借回來的。

為減低這種可能，突擊或長時間的觀察就比較可靠了。所以，為甚麼在年審時，核數師總是喜歡臨急臨忙才肯確定行程，盡量避免客戶做類似的安排也是考慮之一。

也親身見過一件個案，有製衣廠在生產高峰期訂單應接不下，不得不安排工人加班。到了月中，工廠眼見工人的工時快將超出當地法例上限，但又不能停產，為了掩飾違法加班，工廠在廠外租了個臨時地方，把部份工人和機器搬到那邊處做生產。面對這種情況，除了好運給你撞破外，靠正常審計程序真的很難可以發現。

所以，不要期望內部控制能防止舞弊，內控只能將風險控制在一定範圍內，要完全杜絕是沒有可能的。

&&&&&&&&

審計的九種技巧（4）：確認

Confirmation這個審計技巧常用於外審，例如要求銀行開出書面確認去證明企業的賬戶情況，包括各戶口的結餘，借貸，及担保等。又或者要求企業的客戶和供應商簽發書面確認去證實結欠存在和金額準確。還有要求企業的管理層簽發Management representative letter，其實也可以說是確認的一種，因為管理層簽了以後，就代表清楚及了解letter所列出的一切事項。

內審也經常使用確認這技巧，特別是用於查詢時，要求被審部門或某些人確認某些事項。例如某事情是否發生過；某事是否某部門的管轄範圍等。又例如在審計中發現了一些管理漏洞，我們就會要求相關負責人確認，並一起商討解決方法。

要求第三方做確認，一向被視為是可靠的審計證據。因為在一般情況下，第三方無必要弄虛作假替被審單位隱瞞。但為了保持獨立性，最佳做法是由審計人員直接聯絡第三方。

要求當事人做確認也很重要，雖然可靠性沒有第三方高，但至少肯「認頭」，有事時就可以免卻審計的責任。

有一點不可不提，由於國內造假的風氣實在太盛，有別於一般做法，向國內銀行發出確認請求時，必須要由審計人員連同企業財務人員親身到銀行辦理，而且也必須明確要求銀行將確認信直接寄回給審計人員。

另外，確認也分書面和口頭，所謂「口講無憑」，在一般情況下，能得到書面確認當然最好，但在某些時候，例如進行舞弊調查，第三方或其他證人只願意做口頭確認時，我們唯有盡可能把當時的對話記下，甚至說服對方做錄音。

&&&&&&&&

審計的九種技巧（3）：明查暗訪

Inquiry 或Enquiry，通常譯作查詢或調查，是審計的基本技巧之一，我比較喜歡使用「明查暗訪」，一來Inquiry和Enquiry這兩個英文字的意思在英美都有分別，用起來有點麻煩，例如和美國人講「Enquiry」，他們可能不知你說甚麼；又例如向英國人講要你要向他們做個「Inquiry」，可能會令氣氛大為緊張，心裡咕嘀為什麼你要來調查我？二來審計工作的確需要「明查」和「暗訪」，用來形容此技巧最適合不過。然而，「明查暗訪」是四字詞，用起來寫文章不方便，不如改用國內用詞「訪談」吧。

訪談在審計當中是經常需要運用的，例如想了解一下企業某項銷售為何增加，某項開支為何減少，總之一切有關Auditee的資料又有助於審計的，我們都可以通過訪談去查詢。要做訪談，找正確的對象很重要，因為找錯對象的話，除了浪費時間外，可能隨時會錯下結論而影響審計結果。例如我們要了解銷售流程，我們就要找銷售人員去問個明白，斷不會找採購人員吧。

訪談涉及發問技巧，當需要了解一樣東西或情況，我們可以問Open question，例如「請你描述一下銷售流程」，或者「為甚麼某項銷售於本年度上升」等等。但當想確定一樣東西，我們可以問Closed question，例如「銷售上升是否因為有新客戶？」，「產品有加價嗎？」，而我們預期得到的答案只是「Yes」or「No」。

另外，何時做明查，甚麼時候做暗訪也要留意。在一般情況下，明查已經足夠。但在進行舞弊調查等的時候，暗訪就少不了。試過進行某一次審計時，先進行暗訪去了解情況，之後再進行明查，發覺效果事半功倍。

&&&&&&&&

審計的九種技巧（2）：實地檢查

Physical inspection，也是審計最基本的方法之一。常見的實地檢查是貨物盤點和固定資產盤點，例如企業的資產如機器、物業、存貨、現金等等，我們可以通過實地檢查來確定資產是否「存在」。我強調存在，因為此舉只能確定資產確實存在，但不能證明資產的真正擁有權屬誰。要查明擁有權的話，就必定要透過核查相關文件才能確定。除此之外，透過實地檢查還可以查看資產的狀況是否完好。倘若有問題，例如貨物爛掉了，又或者固定資產壞了，公司可能需要將它們報銷。

聽說過一宗傳聞，有家公司在某地擁有多個魚溏，溏內的魚全是企業的存貨，不知何因，核數師未有派人去實地檢查，豈料出具了核數師報告之後，有報導指該地的魚溏早於年結前，因河水氾濫而被沖毁，塘中的魚也全沒有了，核數師因此而被指失職。所以，實地檢查對確定資產的存在和狀況是非常重要。

另外，實地檢查也分「突擊」和「預早通知」兩種，至於使用那一種，全看審計目的。例如一家店鋪進行周年盤點，目的是核對實物與存貨賬是否有差異，並藉以調整賬目去反映實況，況且周年盤點是每年的例行公事，眾人皆知，所以沒有必要做突擊，

再舉另一個例子，管理層懷疑出納偷偷拿了公司的現金去使用，當月結時才把錢拿回來。預到這種情況，我們可以利用突擊檢查，在月結前突然點算出納的現金，看看是否真有其事。

最後一提，除非是百分百檢查，否則在進行前，最好盡量預先決定抽樣率和計劃抽查那些樣本來看。實際經驗告訴我，等到臨場才去決定，往往因時間緊逼而被逼降低抽樣率，又或者要加班才能完成。

&&&&&&&&

審計的九種技巧（1）：查核文件和記錄

Inspection of documents and records，這是審計最基本的方法之一。例如賬上顯示企業擁有某家公司股份，我們就要查核股份證明書（Share Certificate），甚至查閱該公司的股東名冊（Register of members）。

文件和記錄是一家企業重要的東西。不論企業身在何地，當地法例總會要求企業保存某些文件和記錄。例如香港，公司法要求企業保存股東名冊、董事名冊、董事會會議記錄等等，稅例要求企業必需保存會計記錄七年，還有最低工資法例，要求僱主保存員工出勤時數等等。

另外，不論企業大小，總會有些內部指引、規則或者既定的做法，要求同事對某些事項和活動做記錄。例如合同、報價單、發票、送貨單、訂單、銀行月結單、客戶資料、員工資料、存貨資料等一大堆。而且記錄的形式也分紙面和電子兩種。

一般來說，企業都會給予審計人員查看一切文件和記錄的權力。不過，查核文件和記錄始終是一個較為被動的方法，因為必需依靠Auditee提供。若果他們故意收起資料甚至不作記錄的話，除非違反相關法例或企業內的規定，否則我們也沒他們辦法。

另外，如果情況許可，老練的審計人會要求直接到Auditee處找資料，例如自己到會計部的文件櫃找，不用勞煩會計同事幫忙。這樣做有三個好處，一是減低Auditee在提供資料前做篩選，盡量保持記錄的「原汁原味」；二是藉此機會查看其他沒有要求，甚至不知道存在的資料，問題往往能在此時發現；三是減輕對Auditee的「滋擾」，有助維持良好的工作關係。

此外，查閱文件和記錄時要留意其「可信度Reliability」。一般來說，由企業以外的第三方提供的東西，可信度較企業內部提供的高。例如確定銀行存款有多少，我們會查看銀行發出的月結單，甚至要求銀行出具Bank confirmation，而不會只看會計部編制的Bank book。

但可信度高並不代表其他的就不用看，例如要查核某一項銀行付款，我們不能單看銀行月結單，因為它只能證明款項於某日支付出去，我們還需要查閱Bank book，核對日期和金額是否和月結單相符，並查閱收款人的名稱和憑證號碼，再找出相關的憑證來進一步核對。

所以，查核文件和記錄前，必須先了解審計目的，再根據目的確定要查閱甚麼，並且了解所需資料那處可以提供，並且是否可信可靠。

&&&&&&&&

如何編寫Audit Program

最近有朋友問如何去編寫Audit Program（APG），我將答覆用中文整理以及補充了一下作為日後參考。

就我以前所見，APG分General和Specific兩類。前者主要是根據Best Practice而寫成，一般比較「大路」，可以用於不同企業。雖則如此，但由於不是度身訂造，未必完全適合Auditee的實際情況，所以使用時要加倍小心，特別是一些企業獨有的地方可能被忽略。至於後者，就是根據Auditee的實際情況而寫成，今天要講就是如何編寫這種APG。

先旨聲明，以下這個方法主要是Risk-based approach，經某大MNC的內審廣泛採用，我學了以後曾在幾家企業試用並改良而成。由於沒有跟教科書對照過，所以此法未必是最好，不過就頗為實用。

首先，我們需要為被審的範圍編制一下風險列表（Risk Chart），將當中涉及的主要風險主開列出來。由於風險可能會有很多，為免遺漏，最好是按照流程的順序找出來。例如審核倉庫流程，可以先由收貨（Stock receiving）開始，將其風險列出，例如收錯貨、多收、少收、貨不對版等等。之後再將存貨管理（Stock maintenance），發貨（Stock issuing）等流程的風險詳細列出來。

在準備風險列表的同時，我們研究和記錄Auditee的現有流程和主要內部控制。我們可以透過Flowchart或Narrative note來做記錄。

完成上述兩個步驟以後，接下來為每個風險與相應的內控做配對。例如發貨單的其中一個風險是有遺漏，其相應的內控就是所有發貨單均有一個序號，而且有專人定期檢查，以及跟進遺漏和跳號的發貨單。完成配對後，那些沒有相應內控的風險就是問題所在，之後尋找證據或實例，並訂出合適的改善建議。

對那些已配對上內控的風險，我們需要設計測試以證實相應的內控是否存在和有效。如上述發貨單的序號，我們可以利用審計軟件，去測試所有單號都是順序而且沒有遺漏和跳號。另外，亦檢查是否有專人定期為序號做檢查。若果測試結果是合格，我們則可以相信相應的內控的確存在和有效。倘若結果是不合格，這就是審計發現，找出實證後，就訂出合適的改善建議。

以下是一個APG的格式，我認為既簡單又實用，大家不妨參考一下。

Sample APG

&&&&&&&&

內審看種票：如何減低種票的影響（三）

上一篇討論過地址方面的風險，這一篇，也是最後一篇，講選民身份方面。

（７）利用他人身份做選民登記

利用他人身份做選民登記，目前已有措施去防止。例如一旦成功登記，選舉辦事處會發出登記通知。不過，倘若連地址也是假的，被假冒者未必能收到通知。此外，於選民登記冊發表期間，市民可以查核登記資料是否準確無誤。可是，這措施比較被動，不容易發現盜用他人身份的問題。

所以，採用預防性內控來控制的話，比較難有效這個風險。看來採用偵測性措施，例如依賴投票當日，由票站人員小心核對選民身份，來阻止盜用他人身份的問題。

（８）、（９）利用已身故者做選民登記，及已身故者仍在選民登記冊內

選舉辦事處定期與生死註冊處的資料進行比較，自動將已身故者從選民登記冊中除消。就選民新登記，需要與死亡登記核對，以防止已身故者仍能登記成為選民。

（１０）、（１１）喪失資格登記為選民的人士做選民登記，及已喪失選民資格，但仍在選民登記冊內

按選舉條例，任何人士如根據《精神健康條例》被裁斷為精神上無行為能力而無能力處理和管理自己的財產及事務，或任何武裝部隊成員，都是喪失選民資格。就前者而言，選舉辦事處可以考慮與醫管局合作，如何有效防止上述人士登記成為選民，以及從選民登記冊中除消。至於後者，相信政府部門已有相關的名單，只要選舉辦事處核對其名單，問題應該不大。

這個練習已經完成，如果有任何意見或紕漏，請多多指正。

－－－－－－－－

上一篇文章：《內審看種票：如何減低種票的影響（二）》

&&&&&&&&

內審看種票：如何減低種票的影響（二）

在上一篇文章《內審看種票：如何減低種票的影響（一）》，我們已列出相關的風險，接下來是練習的第二部分，就每個風險制定出預防或偵測措施以減低風險。

首先講一下地址問題的風險，詳情如下：

（１）和（２）利用虛假地址／他人的地址做選民登記

香港地方雖小，但要百分百去核查所有地址似乎不可能，也不合乎效益。所以，要求市民在登記成為選民時提供住址證明是一個辦法。可是，不是每位市民有住址證明，例如剛滿十八歲的青年。況且一旦有此要求，市民怕麻煩而不去申請，可能會影響登記意慾。所以，建議抽查選民登記冊，要求被抽中的選民提供證明。

除了上述措施以外，選舉辦事處應定期審視選民名冊，對那些不合理的登記，例如一屋七姓十三人等的，派員做家訪作實地查證。其實這種審視並不困難，利用資訊科技寫個電腦程式就可以自動將有問題的登記列出來。

最近有報導說，有人胡使用他人的地址來登記，按道理，只要真正的戶主將那些選舉登記通知退回，而選舉辦事處主動跟進，問題應該可以解決。可是，此措施在選舉辦事處較為被動。所以，選舉辦事處可以考慮要求選民必需在投票日出示選舉通知書才能投票。

另外，選舉辦事處可以考慮將選民名冊與其他政府部門（如入境處、稅局、運輸署、學生資助辦事處等）的資料互相核對，遇到那些不吻合的，除了要求選民提供證明外，還可以派員做家訪。當然，這個可能涉及私穩問題，不過如果只是用於核對用途，相信問題不大。

還有一點，對一些不存在的地址，要逐一核實似乎並不可能。不過，年前統計處曾進行過全港人口普查，當時已掌握了全港居住單位的資料。如果將選民登記冊上的地址與以核對，遇到疑似的虛假地址，例如某楝樓只有十層但選民報住地址是廿樓，派員實地核查。

（３）已搬遷，但故意不向選舉事務處申報

由於這個風險的出現機率相對其他風險較低，這百分百防止，似乎並不合成本效益，所以建議接受這個風險而不作任何內控措施。

（４）利用不同的地址，重複遞交選民登記申請

選舉辦事處目前已有措施去防止，因為身份證號碼是獨一無二，能有效辨別重複申請。

（５）和（６）通常居住地不在香港，但仍申請登記做選民，及仍在選民登記冊內

目前選舉條例並沒有列明何謂「通常在香港居住」的定義，例如居住多久才算是「通常」，所以，除非相關定義已厘清，否則很難制定出措施。

不過，對那些長期不在香港居住的選民，其實選舉辦事處可以考慮與入境處合作，找出那些長期不在香港居住但有投票的居民（即已喪失選民資格的人），並向他們進行檢控。

下一篇將討論身份方面的風險。

－－－－－－－－
上一篇文章：《內審看種票：如何減低種票的影響（一）》
下一篇文章：《內審看種票：如何減低種票的影響（三）》

&&&&&&&&

內審看種票：如何減低種票的影響（一）

最近區議會選舉的「種票」問題鬧得很是沸騰，這種行為當然是與以譴責，但我比較有興趣如何去減低種票的影響。

對於內審人來說，種票問題其實是一個上好的內審練習，我們可以嘗試運用Risk-based approach，加上Common sense來看看如何修補目前選民登記的種種漏洞。

由於我們不清楚具體的選民登記和管理選民名冊的流程，所以運用Risk-based approach比較合適。可是，這個方法的壞處是未能有效檢討整個流程的效率，這點必需要注意。

這個練習共分兩部份，首先我們要列出所有相關的風險，即是種票的各種可能性。由於範圍太廣，是次練習只限於「地方選舉」，並不包括其他如功能界別個人或團體選民、選舉委員會界別分組個人或團體投票人。

列出各項風險之後，我們就可以按每個風險想出預防（Preventive）或偵測（Detective）措施以減低該風險的影響。

值得一提，和其他商業欺詐和瞞騙一樣，種票行為是沒有可能完全杜絕，極其量只可以將其影響降低至一個可接受的水平。因為防止種票的措施（或簡稱為內控）需要成本和資源，況且資源有限，若果其成本高於內控本身所帶來的效益，那麼在風險管理角度來說就不值得去做了。

現在開始練習的第一部份，將所有種票的可能性列出來如下：

地址方面
（１）利用虛假地址（即不存在的地方或不是住宅）做選民登記
（２）利用他人的地址做選民登記
（３）已搬遷，但故意不向選舉事務處申報
（４）利用不同的地址，重複遞交選民登記申請
（５）通常居住地不在香港，但仍申請登記做選民
（６）已登記成為選民，現在卻通常不在香港居住，但仍在選民登記冊內

身份方面
（７）利用他人身份做選民登記
（８）利用已身故者做選民登記
（９）已身故者仍在選民登記冊內
（１０）喪失資格登記為選民的人士做選民登記
（１１）已喪失選民資格，但仍在選民登記冊內

如果上述有任何紕漏，懇請各位留言補充和指正。至於練習的第二部份（即是為上述每個風險想出內控措施）將會另文再談。

－－－－－－－－

相關文章：

Process-based Audit 對 Risk-based Audit

Risk-based Audit 的優劣

做內審的Common Sense

內控的性質和層次

下一篇文章：內審看種票：如何減低種票的影響（二）

&&&&&&&&

Gut feeling

從事內審工作以來，曾負責過不少舞弊調查，但結果往往是找不到確實的證據，以證明涉案人從事非法的勾當。每當如此，管理層通常會問我的Gut feeling如何，認為涉案人是否有問題。面對這個問題，我定必謹慎回答，因為不想因一句說話而影響別人。

Gut feeling全憑直覺，但不等於無中生有亂講一通。雖然查不到真憑實據，但在調查的過程當中，或多或少也會有些想法。要如何回答，以我的個人經驗，主要是看整件事情是否合理。如果太多的巧合發生了，又或者在正常情況下不會發生的都發生了，這些都會影響Gut feeling。

另外，調查對象是否願意合作，調查時如何回答，身體反應等也有影響。例如作答時閃爍其詞、遮遮掩掩、吞吞吐吐、顧左右而言；或者故佈迷陣，擺出悄悄告密的姿態，想藉此轉移調查視線；又或者眼神不敢直視、坐立不安、緊握拳頭、擔天望地等等。

所以，遇到管理層要求以我的Gut feeling來判斷涉案人是否有問題時，在回答是或否的同時，我通常還會盡量配以上述的分析以支持自己的想法。當然，如果連Gut feeling也沒有，還是如實作答不知道為佳。

&&&&&&&&

內審再看雲端

多得艾力兄在《內審看雲端》一文中的留言提醒，當講IT安全性時，主要是講三個範疇，即是保密性（confidentiality），可用性（availability），和完整性（integrity）。詳情就不在此累贅了，有興趣的可到維基去看。延續上一篇文章，這篇我想在雲端保密性及可用性這方面，補充一下我的看法。

雲端其中一個好處是減少用戶終端的負擔，例如現在的網上銀行服務，用戶只要使用一部流動設備例如手機，就可以隨時隨地處理日常的理財事項。但這個好處也是壞處，因為流動設備體積細小，而且保密性也沒有其他機器如電腦般高，一旦遺失了，機密資料就相對容易外洩。

另外，目前很多地方都設有WiFi免費上網服務，但是這些免費WiFi大多沒有加密，若果通過它來連接雲端，傳輸內容就很容易被有心人截取。

另一個問題是電量。流動設備的電池容量雖然已上升了不少，但仍然不能滿足數據傳輸的需求。就以手機為例，如果數據傳輸功能全開的話，半日左右手機就要充電了。

至於可用性，流動設備可以通過2G及3G等的網絡來做數據傳輸，可是與固網相比，傳輸速度相對較慢。

所以，當企業要走雲端這個方向時，內審至少應留意以上幾個方面的風險。

－－－－－－－－

相關文章：內審看雲端

&&&&&&&&

內審看雲端

最近在電視中經常看到一個由葛民輝主演的廣告，內容是推銷雲端打印機。



單看該廣告，初時以為雲端打印只是一個遙距功能，對誰有用處呢？但看了網上的介紹，原來雲端打印機主要是透過一個獨特的 Email，使用者只要把需要列印的文件傳送到該 Email就可列印，無需預先安裝任何Driver程式。好處是甚麼？因為不需要安裝Driver程式，只要手上的Device能傳發Email就等於能夠列印的文件。

身為內審，第一件事想到的不是其好處而是風險。就前面所說，由於雲端打印機依靠Email，Email的安全性是一個問題。雖然目前的雲端打印機對Email設有加密功能，以及提供Filter去過濾Spam email以防止不必要的列印，但用家還需要留意如何防止Email誤傳。特別是利用手機去傳送Email，由於按鈕比較細小，按錯時有發生，如何有效防止重要的文件誤傳到別人是一個問題。

雲端運算日漸普及，但從內審的角度去看，有兩個重大問題是須要留意的。第一個問題是安全性，由於資料全是存放在雲端，其安全與否全依賴供應商，除非是私有雲(Private Cloud)，否則用家比較被動。另外，如何去為資料做備份也需要注意。

第二個問題是Availability。雲端要靠上網，雖然香港的網絡相對穩定，但如果一旦出現問題不能上網，隨時影響運作。所以，一個完備的應急方案(Contingency Plan)是必須的。另外，上網的數據傳輸速度及其安全性也要留意。點對點專綫（例如MPLS）是其中一個好選擇，可是價錢並不便宜。而且不是所有國家或地方都可以提供。

&&&&&&&&

內審為部門提供內控意見

有從事內審的朋友問我，當其他部門在制定政策及流程(P&P)時，如果他們徵詢內審的意見，甚至要求內審去幫忙制定，我們應該如何是好。他還說出了一點，書本上永遠說不要直接參與，因為涉及內審的獨立性，但現實中很難做得到。

身為公司一份子，在內控及風險管理方面我們比較熟悉，所以內審提供意見，我認為問題不大。可是，如果是直接去制定以及決定的話，我則認為絕對不可以。

對部門來說，與其日後內審都會來審核的，倒不如由內審去制定P&P，既省時又方便，況且若果P&P出了問題，又可以將責任全推到內審身上，他們當然樂見其成。

但對內審來說，先不說日後要負責這個問題，單看日後內審去審核這個由自己一手制定的P&P時，我們就肯定不可能客觀地去評價了。

所以，內審對此應有個底線，就是只可以提供意見給部門去參考，採用與否則由部門自己決定。

&&&&&&&&