Bittermelon 苦中作樂: 內審專業

顯示包含「內審專業」標籤的文章。顯示所有文章

2012年5月17日星期四

對內審新手的技能要求

最近有朋友介紹了我看一篇關於內審的文章，題為「Top skills sought from new internal audit staff reflect new priorities」。顧名思義，這篇文章主要說出目前美加特企業，在招聘內審人員時最著重的首五個技能，它們分別是：

1）Analytical and critical thinking（邏輯和批判性思考，或者譯作邏輯和嚴謹思考，又或者譯作邏輯和深度思考）

2）Communication skills（溝通技巧）

3）Data mining and analytics（資料探勘和分析，或者譯作數據挖掘和分析）

4）General IT knowledge （IT常識）

5）Business acumen（商業觸角）

第一個技巧是邏輯和批判性思考，身為內審和外審都是必需的。其實批判性思考是一種思考方法，藉此去找出問題並解決。從事審計的不能人云亦云，利用邏輯和批判性思考，就能有系統地收集，分析和思考問題。有興趣認識多一些的話，建議看看維基的英文版。

第二個技巧是溝通，相信沒有人會質疑此技巧對審計人的重要性。審計人需要通過發問來了解事物，而發問就是雙向的溝通。除此以外，早前也提及過，稱職的內審應是個「Problem Solver」，要協助企業把問題解決，溝通也很重要。

第三個技巧是資料探勘和分析，簡單來說，就是在數據中打轉，從中了解和分析問題。

第四個技巧是IT常識，由於IT科技日新月異，就算是小型企業也有在一定程度上依賴IT科技。審計人沒有IT常識的話，就很難跟得上步伐了。

最後一個技巧是商業觸角，即是我們時常說的Business sense。個人認為此項最難，因為上述四個都可以靠有系統的學習和實踐來掌握，但商業觸角就比較虛幻，不容易掌握。

你已具備了以上五項技巧了嗎？我自己還未足夠，尚有很多地方需要努力學習，共勉之！

&&&&&&&&

2011年9月22日星期四

內審要永遠做一頭無牙老虎

當過內審的，必定受過很多人的閒言閒語。有修養的會在你背後講，狗娘養的則會兜口兜面向你講。除了以「金手指」、「秘密警察」、「大內密探」、「東廠」、「西廠」等來形容我們外，通常還批評我們「事後孔明」、「馬後炮」、「狐假虎威」和「無牙老虎」等。坦白講，這些形容詞和批評我實在毫不介意，因為他們不明白我們的工作才會這樣說。

就好像「事後孔明」和「馬後炮」，很多時我們的確是有必要這樣做的。為什麼？不是我們懶惰，而是因為內審事事要講求證據。沒有實據支持的話，不單只會給被審單位反駁，更甚者是我們說的話不可靠，最後弄致沒有誰再會相信我們。

舉個極端的例子，雷曼未倒閉前，如果你說迷債風險高，公司應該避免投資的話，管理層肯定把你當傻仔看。又例如美國信用評級仍舊是AAA時，如果你說美債不是Risk-free，公司應該減持並分散投資的話，公司不把你炒掉才怪。

所以，當找到風險控制的漏洞時，我們都要想盡辦法去找實質的例子及數據去支持，而實質的例子往往都是「已發生」的。因此，我們就經常給別人一個「事後孔明」或「馬後炮」的印象。

另外，如果虎牙等於業務實權的話，那麼稱職的內審就要永遠做一頭「無牙老虎」。當發現公司的制度或風險控制出了問題，內審只可以從旁指導，向相關部門及管理層說明利害，好讓他們意識到問題所在並作出適當的補救措施，但內審就絕對不能擁有權力，去逼令他們去做。因為這是涉及內審的根本－「獨立性」。

對內審來說，維持「獨立性」比一切都重要。因為一旦「獨立性」受損，內審就很難再可以做出客觀的評價。內審不客觀，公信力也會因此而受影響。

親身見過一個例子，某公司的內審部門因做得很出色，所以被管理層「升格」，公司命令所有超過某金額的採購，其價格及供應商的選擇都必須經過內審的審核才可以執行。經過幾個月的運作後，採購部見甚麼採購都被內審審核一翻，為免麻煩，索性就由內審去決定選那個供應商好了，久而久之，內審變成了一個審批部門。之後的某一天，一宗由內審決定的採購出了大問題，內審發現時已經為時已晚，最後落得整個部門關門大吉收場。

所以，內審必須要做一頭「無牙老虎」，必要時也要站在管理層的前面，好樣我們「狐假虎威」一翻。

&&&&&&&&

2011年2月28日星期一

內審的前途問題

農曆年前有位朋友給我電郵，向我訴說目前工作上的問題。在得到這位朋友的同意下寫了這篇文章。

這位朋友從事某零售連鎖店的內部審計工作，日常工作主要是盤點Coupon和落舖做Shop Audit，至於審計知識如COSO及Internal Control Design等則很少機會會接觸得到，而且審計報告只用中文編寫，覺得自己所做的都只是一些微不足道的瑣碎事情，從中學到的東西不多。

這位朋友的遭遇其實和我自己的差不多。我第一份內審工的工作的性質也和這位朋友極相似，天天就只是數錢及點票等這些瑣碎的工作。記得當時上班的第一天就已經想辭職不幹了，覺得自己再差也是準會計師，數錢點票有點大材小用。

面對這種困境，我認為除非現有的工作還有其他不能忍受的地方，否則的話，還是繼續做下去為佳。因為不論是甚麼公司和機構，對Internal Auditor來說都是一個寶庫。

早前曾經寫過一篇《「值錢」的內審經驗》的文章，當中提及過在曾任職的公司內的所見所聞，才是我們學習的重點。其實不論甚麼公司，每家公司每個部門或者流程的運作模式，管理方法，內控設計，具體的政策及程序，所用的系統及其設置等等都不同，當我們看得愈多，知識和經驗因此就會累積起來。所以，好好利用auditor的身份，多花些心思去看看及學習現有公司是如何去管理和營運，最後得益的一定是自己。

另外，為了增加工作上的滿足感，可以嘗試發掘一些新的audit test / audit step在現有的工作上。例如零售連鎖店的Coupon，在做點算之餘，可以想一下如何改善現有的control。又例如 shop audit，除了現有的audit 範圍外，看看還有甚麼可以增加，例如如何改善店舖員工的工作效率，如何有效防止ghost employees或防止考勤出現舞弊等等。就算最後公司或內審的部門主管沒有採納，通過不斷的思考和探索，必能有助於訓練自己的Business sense。

就以連鎖店員工的考勤為例，怎樣做才可以有效及準確地記錄員工的上下班時間呢？傳統的「打卡機」雖然比較便宜，但容易出現代人打卡的情況。本來比較有效防止舞弊的是使用指模（或眼球）識別功能的考勤系統，但最近卻被私穩專員認為不洽當，所以不能再用。那麼還有甚麼方法可用呢？單是這個課題就很值得快時間去找尋解決方法。

&&&&&&&&

2010年4月19日星期一

內審人的特質

有朋友在討論區留言，問內審人（Internal Auditor）應該具備什麼特質。其實這個問題在早前的幾篇文章中已若略提過，既然有朋友問起，就索性在這裡整理一下供參考。

1）要諸事八卦，不怕麻煩，願意尋根究底
2）EQ要夠高，例如被Auditee罵又或者被受冷言冷語時，自己要懂得如何處理，而且可以不會為此而影響情緒
3）喜歡與人溝通，不論其身份如何，上至CEO下至Tea lady都可以聊天
4）有Common Sense，遇到一個問題時能否舉一反三
5）分析能力強
6）中英文口語及書寫良好

1至3靠天生，後天培養不是不可以，只是比較難而已。而4至6則可以靠後天鍛鍊出來。在溝通方面我比較差，自少就不喜歡說話。但自從進入了內審這一行後，就強迫自己多和別人談天，雖然現在算是進步小不少，但始終不及那些天生Talkative的同事那麼好。

以上的6點是最基本的條件，如果要做得好的話，內審人還需要有點「雖千萬人吾往矣」的氣慨，遇事不能隨風擺柳，而且可以力排眾議，特別是當要捍衛自己的Audit Findings和Recommendation時。就算Findings涉及高層例如CEO，出色的內審人不單夠胆將問題講出來，而且還有能力說服他們去改善。

&&&&&&&&

2009年11月27日星期五

慶幸我們還有審計署

周二澳門新一屆的管治班子亮相，最大的爭議莫過於審計署長蔡美莉女士不獲續任。本來官員的去留是平常事，但因蔡女士在任期間曾揭發東亞運動會嚴重超支，而候任特首崔世安先生是該活動的主要責任人，加上蔡女士是唯一一位不獲續任的官員，難免被人認為崔先生在用人方面有欠妥善。

看到這宗新聞，我有兩個感覺。第一個是內部審計的工作的確是不容易，曾經有人向我說過，我們是「神檯貓屎」，即是神憎鬼厭。所以從事內審的人，多多少少也又要點雖千萬人吾往矣的勇氣，畢竟我們的工作要批評別人，而且有時批評的對象是老闆，不是人人做得到。所以，如果能遇上開明的老闆是內審人的福氣，可遇不可求。

另一個感覺是我們的香港政府，就算他們的施政有百般不是，我還覺得慶幸，因為我們還有一個既獨立又務實的審計署。沒有他們，我們還不知有多少公帑胡里胡塗地白白浪費掉了。

審計署今發表報告炮轟部門
審計署轟生產局管理不善
審計署促推廣水冷式空調
私隱專員公署被指浪費公帑審計署指差餉地租估價偏低

－－－－－－－－
相關新聞：

曾揭崔世安失職澳門審計署長被叮

【明報專訊】下月正式上任的候任澳門特首崔世安，昨日公布其「新班子」陣容，10名主要官員中，7人是來自現任特首何厚鏵班子的「舊面孔」，至於曾揭發崔氏主責東亞運嚴重超支問題的審計署長蔡美莉則不獲續任。蔡美莉披露，她確曾向何厚鏵表明希望留任，但崔世安從未跟她認真討論留任問題，故對不獲續任早已「心中有數」。問及是否與揭發東亞運「醜聞」有關時，她稱：「（做審計時）其他政治因素不應考慮，因為審計是獨立工作。」

崔：委任官員角度觀點總有不同

崔世安在記者會上被多番質疑表現理想的蔡美莉「落馬」，反而被評為表現不佳的官員獲續任，崔回應﹕「委任哪位官員的角度及觀點總有不同，但今次這團隊有共同的施政理念」，並指他出任司長期間與審計署及廉署都有合作，但形容「整個10年是良性合作」。

有接近蔡美莉的消息人士透露，蔡曾向何厚鏵表示考慮離任，但何氏挽留，而其後蔡美莉留任的信息很明確，但崔世安沒有讓她留任。

蔡美莉表明願留任指崔沒認真討論

接任蔡美莉出任審計署長的，為現任行政長官辦公室主任何永安，何氏被質疑沒有相關經驗。何回應稱，他在政府工作了20年，其間有不少管理經驗，他在修讀公共行政及國際關係時，亦包括經濟、法律、會計及行政的科目。

蔡美莉昨日接受傳媒訪問時，談及討論留任過程顯得吞吞吐吐。她透露，曾向何厚鏵表明「願意留在這裏服務」，但自己是否留任的決定應交給崔世安考慮，但崔當選後沒真正認真找她討論留任，「其實崔生……崔生成為特首後只是見過一次」。她對不獲續任早已是心中有數，並不感意外。

問及不獲留任是否因揭發東亞運超支時，她間接承認當中有政治因素，她說：「這10年我與同事都很清楚，審計是什麼工作，其實我們是政府的『看門狗』，幫助政府確保公帑不被浪費或不恰當地使用，其他政治因素不應考慮，因為審計是獨立工作。」

她指現時只有51歲，「我還後生，未到退休」，且身體健康，但現時未有新的工作安排。

另外，歐文龍貪污案中的「污點」證人馮美蓮的胞兄、上月剛升任中級法院法官的馮文莊亦被委任為廉政專員。馮文莊被質疑是否存利益衝突時，他以現為司法官為由拒評論案件，但指澳門已有制度處理有關問題。

Source: http://hk.news.yahoo.com/article/091124/4/fc4b.html

&&&&&&&&

2009年8月14日星期五

國內IA概況

前幾天，一位仍在舊公司工作的IA(內審)同事找我，高興的告訴我她找到了一份新的工作。這位同事是國內人，三年幾前在國內重點大學畢業後，在舊公司當了一年Audit Trainee，因為表現出色，部門提早晉升她為Officer，隨後的兩年，她的工作中表現一直都很好，現時的工資比初進來時漲了60%，而且舊公司還打算在年底晉升她為 Senior Officer。還未學滿師的她本來想繼續留在舊公司發展的，但在獵頭公司（國內 Recruitment Agent不論職級都叫自己是獵頭的）不斷的遊說和利誘，以及同學們的互相比較之下，她決定轉到另一家跨國企業當 Audit Supervisor，新公司給她加工資，比現時的多80%，即是說出來社會工作四年不到，工資就有近200%的增幅，而且還是 Supervisor 的 Title，以及其他福利也較舊公司的優厚很多。

其實她已經不是第一個了，在她之前已有四位國內IA同事離開舊公司，離開不是因為對工作或者公司不滿，只是外面給予的機會太多而且太好，就算還未滿師，出去後不是當 Manager 就是 Supervisor，而且外面的公司一見到有幾年跨國企業內審經驗的，動輒就以高薪和上好的福利來挖角，不走才怪。換了在香港，這簡直是匪夷所思，就算香港現在內審人供不應求，也未見過這種搶人的情況。

國內IA的發展其實很快，早幾年國內已經有大學開辦主修審計的學位課程了，而且越來越多非上市的企業也開設內審部門，並投放很多資源進去。但在香港，內審部門主要在上市公司才找得到，而且很多都是礙於上市條例才開設的，所以多只當作花瓶，並不真正重視其功能。按這個趨勢，國內IA專業將會越來越好，而香港IA則停滯不前，令人擔憂。

&&&&&&&&

2009年6月5日星期五

Verifiable CPD for free

轉眼間就差不多半年過去，各位會計界的兄弟姊妹是時候看看自己的CPD有多少了。參加CPD course或Seminar，平的也要一百幾十元，貴的則要一千幾甚至幾千元，就算不計較價錢，放下手頭的工作去參加也太花時間了，周六舉辦的就更不用問吧。

以下是兩個可以獲取免費 Verifiable CPD的途徑，除了慳錢外，時間富彈性，詳情如下：

ACCA CPD Article:
http://www2.accaglobal.com/members/publications/accounting_business/CPD/

09年的CPD Articles暫時有7份，即是最多可以在這裡拿21個Verifiable CPDs。看完文章答中5條問題後即可拿取3個Verifiable CPDs並下載一張簡單的證書。本身不是ACCA會員的話都可以參加，至於HKICPA或其他專業團體是否承認，我估計應該無問題，不過有疑問的話請自行聯絡所屬團體，最好順便留言通知我一下。要注意一點，問題是四選一的選擇題，必須要答中全部5條才可以過關，萬一答錯了，網站將會自動另選5條新的問題給你，答錯又可以重來，似乎沒有上限。

ISACA e-Symposium:
http://isaca.brighttalk.com/

ISACA每個月都會舉辦一個網上的Seminar，可以選擇在舉辦當天參加，也可以在Seminar舉辦之後補看，09年暫時有6個Seminars，最多可以拿18個Verifiable CPDs。完成Seminar後回答10條選擇題，有時二選一，有時四選一，只要答中其中7題便可以過關，還可以即時下載印有自己名字而且印刷精美的證書。但要注意一點，雖然答錯了可以重來，但總共只有三次機會。參加者必須是ISACA的會員，其他專業團體承認與否應該無問題，有疑問請自行聯絡所屬的團體吧。

另外，如果你是 HKICPA的Authorized Supervisor的話，你可以從每位學生中每年獲取5個Verifiable CPDs，上限是每年20個。

為方便大家，以下是四個專業資格的CPD要求：

CPA(Hong Kong)：每三年總共要120個CPD hours，其中60個必需是 Verifiable。不論是否Verifiable，每年最少要有20個。

ACCA：每年40個CPD hours，其中21個必需是 Verifiable。

CIA：如果是Practicing CIA，每兩年總共要80個CPD hours；如果不是Practicing CIA，每兩年總共40個便可以了。

CISA：每三年總共要120個CPD hours，每年最少20個。

&&&&&&&&

2009年5月26日星期二

王維基先生對內審的看法

上周五看到王維基先生在《頭條日報》所寫的專欄，題目為《《天使與魔鬼》的啟示》，王先生提到他對內審這功能的看法的兩個階段，初時他的公司沒有內審這個部門，對此亦毫不重視，原因是當時公司並未上市，沒有法規上的需要，另外當時公司在創業階段，工作流程等都不停地改變，而且覺得從事內審的人未能夠比得上他自己，若然內審真的有本事，內審的人就不必打工，已經坐上老闆的位置了。第二個階段是講現時的看法，王先生發現他原先的想法是錯的，內審不是告訴他怎樣做好和完成一件事，它的功能是要警惕錯誤，只要能找出錯處、評估風險，根本毋須提出改善的方法，就已經盡了責任。而且公司已到了擴充業務的年代，這時需要沿用現有的制度去發展，因此內審的角色變得非常重要。原文的連結如下：

http://www.hkheadline.com/blog/list_blog_express.asp?f=2LS8QNKDY5120802

看到王先生這篇文章後既欣慰但又感到可惜，感到欣慰是因為連王先生這樣能幹的人都給予內審這功能的肯定，感到可惜是因為他沒有善用內審這功能，沒有給他們好好地發揮。在《初入行的困惑, audit firm’s IA 還是 commercial IA?》一文中我也提過，和王先生一樣，很多人誤以為內審是Problem Finder (問題的發現者，即係“麻煩友”) ，但高層次的內審應該是 Problem Solver (問題的解決者，即係“好幫手”)。坦白講，只利用內審來找問題，內審的功能只用上了一半，其實內審的價值不在於找問題，其最重要是為企業解決問題，為什麼我這樣說？若說企業有什麼問題，負責營運的部門最清楚不過，只不過礙於自身的利益不願意向管理層說出，又或者得不到管理層或其他部門對問題的重視而變得孤立無援，如果內審的工作只是找出錯處的話，在營運部門眼中就會變成“麻煩友”，關係變得對立，遇到什麼問題都只會盡量掩飾，反而阻礙了內審的工作。但如果內審的工作不單要找出問題，而且還要協助營運部門想出解決方案，甚至協調其他部門幫忙的話，在營運部門眼中就會變成“好幫手”，因為這時大家的關係就變成同坐一條船，目的變得一致，就是要把問題解決。況且內審能將其他公司的做法和經驗帶過來，這才是內審有價值的地方。

能獲得王先生青睞在其公司當內審的同行，他們一定是很能幹的，我相信他們也不願意只發揮一半的才能而已。期待在不久的將來會看到王先生對內審有新的看法。

－－－－－－－－
相關文章連結：Problem solver 的審計建議

&&&&&&&&

2009年4月23日星期四

審計署署長報告書

審計署昨日公布第五十二號報告書，揭示平機會在企業管治、採購、出差、員工福利等種種的問題。

平機會大花筒枉花千九萬
http://hk.news.yahoo.com/article/090422/3/bte6.html

除了平機會外，該報告還揭示建築署、海關、衛生署、教育局、藝術發展局及政府資訊科技總監辦公室等的多個項目的問題並提出改善建議。

今早我很快地瀏覽了該份報告的撮要，發覺平機會是「大花筒」外，其他部門在某些項目也有不少問題，例如有為學校提供午膳的供應商未領有適當牌照，昂坪心經簡林的木刻工程在建築前未有進行深入的研究以防止蟲蛀和真菌滋生，香港藝術發展局轄下的兩個委員會會議出席率低等等。第五十二號報告的全文及撮要可以在這裡下載。http://www.aud.gov.hk/chi/pubpr_arpt/rpt_52.htm

審計署進行的這些審計稱為「衡工量值式審計」，英文是Value For Money Audit (VFM Audit)。衡工量值式審計有別於我們商業機構常用的營運審計 (Operational Audit) ，前者是針對受查機構在履行職務時所達到的節省程度(Economy)、效率(Efficiency)和效益(Effectiveness)進行審查；後者則針對企業的內部控制是否足夠及有效。

衡工量值式是審計的最高境界，多為政府及其資助機構 (Public Sector) 所採用。有人會問，既然這種審計是最好的，那為什麼商業機構不採用呢? 其實要進行衡工量值式審計要有一個必先的條件，就是機構的內控及制度要完備，如果一家機構連 Policies & Procedures 也未有，做衡工量值式審計只會浪費時間。另外一個重要原因是 Public Sector是非牟利性質的，她們的表現不能像商業機構般以盈利來衡量，所以需要利用衡工量值的方法來審查她們所用的一分一毫是否用得其所，是否物有所值。商業機構已有盈利來衡量其表現，而且衡工量值式審計所用的時間及資源都較營運審計多，所以一般的商業機構多較著重營運審計。

－－－－－－－－
下一篇文章：審計署署長報告給我的靈光

&&&&&&&&

2009年3月20日星期五

COSO內控要素：風險評估（二）

在上一篇文章《COSO內控要素：風險評估（一）》中，我們已探討過風險及一些相關的概念，現在我們談一下風險管理(Risk Management)的程序。整個程序可以簡單地分成三個環節，包括：

訂立企業目標 (Objective Setting)

目標可分為兩個層面，第一層是組織層面 (Company-wide Objective)，第二層是運作層面(Process-wide Objective)。組織層面的目標包括我們時常聽到的使命 (Mission) 或願景 (Vision)，策略 (Strategy)及企業目標(Business Objectives)；運作層面的目標就是指個別功能的目標，例如採購功能的目標就是在合理的時間以合理的價錢為企業採購符合要求的物品，銷售功能的目標就是為企業獲取最大的利潤或巿場佔有率等。

假設企業的目標是在未來五年提升其盈利達五倍，為達到這個企業目標，各個功能將會訂立不同的目標來配合，例如採購功能會在未來五年降低採購成本ｘ％；銷售功能會提升巿場佔有率ｘｘ％等等。

識別風險 (Risk Identification)

風險就是任何威脅或障礙，它們的存在可能影響企業達到其企業目標，企業要有一套方法將這些威脅識別及記錄下來。例如上文提到的現金，其固有風險就是容易被盜取；存放在貨倉的存貨，其固有風險除了容易被盜取外，還可能包括過期 (例如食品、化學製品、藥品)，容易腐爛或壞掉(例如食品、化學製品)，價值下跌 (例如時裝)，儲存的危險 (例如化學製品、煤炭、燃料) ，危害環境 (例如化學製品、燃料)等等。

識別風險以後，我們還需要評估它們影響及重要性。因為企業資源有限，我們不能降低或轉移所有的風險，只有屬性高及有對企業有巨大影響的風險才會受控制。例如一家銀行，她們肯定會投放大量資源以控制現金安全性的風險；一家日常只儲存幾千元現金的企業，雖然現金的安全性風險甚高，但對企業的影響有限，我們不會預期企業會利用銀行相同的手段去保管現金。

評估了各個風險的影響及重要性以後，企業便需要設計適當的控制措施以降低或轉移風險。以化學製品的庫存為例，為了降低被盜取及儲存的危險，企業會設立一個穩固而且備有完善消防，通風及恆溫設備的倉庫，而且每一種化學製品均有標籤列明數量及有效日期，加上庫存記錄系統，企業可以追蹤每一種製品的進出及限期。企業還會有一套環境管理制度，監察化學製品一旦洩漏對環境做成的影響及其應變措施等。為了進一步轉移風險，企業可能會為化學製品購買適量的保險。

管理變革 (Managing Change)

商業環境瞬息萬變，經濟、巿場、法規等的轉變均有可能影響企業的目標。例如一年前香港的銀行還在爭奪按揭貸款巿場的佔有率，現在的銀行則寧願得失客人也不輕易批出借貸。所以識別風險以後，企業還要定期審視環境的變化對企業目標及風險的影響。

－－－－－－－－
相關文章連結：
上一篇文章：COSO內控要素：風險評估（一）
下一篇文章：COSO內控要素：控制活動

&&&&&&&&

2009年3月10日星期二

外審與內審的複雜關係

要探討這個親密又複雜的關係，首先要了解他們及會計的工作性質及角色。

會計 (Accounting) 的基本工作是有系統地收集及記錄企業的財務活動及成本等資料，從而編制財務報表及各種分析以協助企業的管理。外審 (External Audit) 是獨立於企業以外的第三者，基本工作是審核企業的財務報表並給出意見，說明報表是否公允及真實地反映實況。內審 (Internal Audit) 則與會計一樣，是企業的其中一個功能，但又獨立於會計，其基本工作是審查各功能及流程 (不限於會計，還包括其他功能及流程) 以協助企業找出問題並向管理層建議適當的措施將問題解決。

簡單地說，會計是Doer，外審是財務報表的Checker，而內審則是功能及流程的Adviser。

為了審核企業的財務報表是否公允及真實地反映實況，外審需要審查企業的財務及其他相關的記錄，但100%的審查並不乎合成本效益，所以外審需要根據審計風險對記錄進行抽查。為了減少抽查的數量，外審可以先對企業的內部控制進行評估，如果發現企業的內部控制是有效及可靠的話，抽查的數量便可以減少。在進行評估時發現內部控制問題是副產品，外審會通過管理建議書 (Management Letter) 通知企業改善。

內審的工作也需要對企業的內部控制進行評估，但目的跟外審不一樣，當發現內部控制有問題時，內審需要協助相關單位設計適當的措施，而且還要在措施落實後跟進問題是否完全解決，這就是一個持續改進的過程。

一家企業需要面對很多風險，如果以COSO (Committee of Sponsoring Organizations of the Treadway Commission) 的方法劃分，風險包括Strategic (策略性風險)，Operation (營運風險)， Reporting (報導風險) 及 Compliance (遵循性風險)。外審專注的是Reporting及 Compliance內關於財務 (financial) 的部份，而內審則需要專注企業所有的風險。

但近年Sarbanes-Oxley Act (SOX) 的出現，令外審及內審的工作有了一些變化。因SOX要求企業管理層在年度報告中出具財務報導內控 (Internal control over financial reporting (ICFR)) 的評估報告，內審為企業的 ICFR 進行審核的需求大增，但ICFR只是企業需要面對多個風險的其中一項而已，令近年內審的工作過於側重ICFR。至於外審，SOX要求他們核證 (attestation) 企業管理層所出具的內控評估報告，所以他們對內部控制進行的評估已不單只用於審計抽樣。上述的外審和內審的工作變化，目前只對在美國上巿的企業有影響，但其他國家或地方已蠢蠢欲動，欲仿傚美國推出類似SOX的規定。這個趨勢必定對內審和外審做成長遠的影響。

&&&&&&&&

2009年2月24日星期二

對audit firm’s IA的補充

在《初入行的困惑, audit firm’s IA 還是 commercial IA?》一文發表後，我收到網友「哇哈哈一」的電郵，他現于audit firm 從事IA，告訴了很多關於audit firm’s IA的工作，看後加深了我對他們工作的認識，而且認為有需要另寫一文以補充上文的不足。

基本上audit firm的IA其實不是真的IA部門，他們主要工作是向外審部門或客戶提供支援，其工作跟真正的內審不同，所以他們的部門名稱是「風險管理部」，而非內控部。至於工作詳情包括：

1) CAAT (Computer Assisted Auditing Techniques)或IT control：主要為外審部門提供技術支援，例如客戶的系統是SAP或POS，甚至是in-house developed 的，外審部門便需要風險管理部幫忙看一看了。

2) SOX (Sarbanes-Oxley Act) Audit：按SOX的法例，在美國上巿的客戶，其管理層需要在年度報告中出具財務報表的內控評估報告，而SOX更要求外審核證 (attestation) 其內控評估報告。按一般情況，核證的工作由外審負責，但不時也會讓風險管理部進行。

3) SOX顧問工作：包括兩類客戶，第一類是怕麻煩，內部資源有限的客戶，或者總部在外地而有生產在大陸，需要聘請audit firm做顧問負責SOX compliance 的工作；第二類是客戶先前被外審出具保留意見甚至不同意，現在需要顧問協助改善。

4) 其他顧問工作包括，Enterprise Risk Management (ERM)，Pre-IPO control review，香港企業管治常規守則Provision C2及培訓等。

5) 其他審核工作包括，香港證監會的外判compliance review，政府相關機構的審核，各戶的外判內審工作等等。

總括來說，在audit firm做IA (正確來說是風險管理)，好處是可以接觸不同的行業，較多機會接觸IT及SOX audit，而且相對MNC的內審而言，入行會較容易，不失為初入行的另一個選擇。

建立這個網誌的其中一個原因就是想和大家交流經驗，分享知識及心得，希望大家，特別是同行繼續支持。謝謝！

&&&&&&&&

2009年2月20日星期五

初入行的困惑, audit firm’s IA 還是 commercial IA?

在香港討論區(http://www.discuss.com.hk/)不時見到朋友問，初入內審這一行應先加入會計師行(audit firms) 還是商業機構 (commercial firms)。雖然我從未在會計師行從事過內審工作，但我個人認為，如果打算在內審這一行有好發展的話，加入商業機構是首選。坦白說，不論四大會計師行或者2nd tier的會計師行，其內審工作不會太深入，到客戶那裡工作幾個星期甚至幾個月，我實在看不到可以在這短時間內能幫助企業解決內控的問題。內審是一個持續的改善過程，不花上數年時間根本不可能有顯著的成效。況且需要找會計師行進行內審的客戶，很大可能自身連內審部門也沒有，他們的規模有多大，管理層對改善內控的態度有多積極，能在那裡學習到什麼就可想而知。

很多人誤以為內審是Problem Finder (問題發現者，即係“麻煩友”) ，但高層次的內審應該是 Problem Solver (問題解決者，即係“好幫手”) 。幫助企業解決問題才是內審的主要工作。要成為Problem Solver 並不容易，試想想，如果你對企業的行業環境，管理文化，制度，運作及系統等沒有很深很透徹的認識和了解，你從何向管理層提出良好並可行的改善建議？幫助企業解決內控問題不是一時三刻可以完成，有系統地進行至少也要幾年甚至數年才能完成，而且外在及內在環境不停地變化，解決了的問題可能之後重新出現或產生新的問題，所以要訓練自己成為一位出色的 Problem Solver，我認為最佳的學習環境就是商業機構，例如製造業，多元化企業，銀行等，而政府或某些機構也是上好的學習地方。因為在這裡，初入行的朋友才能學習如何有系統地幫助企業解決問題。另一個好處就是有機會參與專項調查，舞弊調查等，因這些大多涉及機密資料或工作性質較敏感，很少企業願意聘請外人來進行的。綜合以上幾點，我認為在這環境下學到的內審知識及技巧才會較全面。

文首曾提及過，我從未在會計師行從事過內審工作，以上的只是我的個人感受及意見而已，如果有朋友認為我所講的不對，懇請指正。

(後記: 關於 audit firm 的 IA工作，在另一文章《對audit firm’s IA的補充》有一詳細的補充)

&&&&&&&&

2009年2月18日星期三

香港審計人才會被國內同胞取代嗎?

上文《招聘國內內審人員何其難也》中曾提及到國內同事素質很好，曾經有人問我，既然國內同事那麼好，為何不關掉香港的內審，改為全部聘請國內同事罷了？其實我也一直擔心香港人是否會被國內人取代，日後真的很難說，但到目前為止，我認為香港人在內審以至會計專業還有三個很重要的優勢。

第一個優勢是我們的香港特區護照(或BNO也成)。從事內審工作需要經常到外地公幹，一項審計工作需要逗留在外地至少3-4星期，多謝我們的香港特區政府為我們爭取了那麼多地方可以免簽證入境。就算需要簽證的地方，最快1-2星期就可以辦妥入境簽證。反觀國內同事可慘了，幾乎到世界任何地方都要先辦入境簽證，而且手續繁複，獲批准的逗留時間也不會長，入境後還需要辦理延期申請。

第二個優勢是我們的國際視野。香港資訊發達，可以自由接收資訊及表達意見，而且華洋雜處，在這環境長大的我們，對其他國家及地方的認知較深較多，而且也習慣跟外國人打交道，價值觀也較貼近西方國家。

第三個優勢最重要，就是我們的Integrity (正直廉潔)。這個我們需要多謝前香港政府了，她留給我們一個廉政公署及一個相對較乾淨的廉潔文化。香港較內地廉潔，雖然賄賂，詐騙等的罪案時有發生，但至少香港人還懂得分辨這些是錯的，是不應該的。但是在很多國內人的心目中，錢或者利益才是最重要，不用盡手段去賺錢才是不應該。當然不是每個國內人都是這樣想，我所講的只是普遍現象而以。

從事內審或會計工作，Integrity是首要的。我不是說我的國內同事不夠正直，但是在某些問題上，可能會因大家的價值觀不同而產生不同的見解。我曾於中資企業工作多年，碰到過有國內內審人員因為被審單位的熱情款待和送禮，在審計調查中偏幫彼方，還代他們找理由開脫好使向管理層交代。我曾好言相勸內審人員應該持平及婉拒超乎常理的款待及禮品，但在這些人的心目中，不邀宴不收禮即是不給人家面子，邀了宴收了禮不給人家好處就是不近人情，荒謬吧?

香港人前兩者的優勢，恐怕在祖國日漸強大之下將會很快消失，但Integrity這個優勢，我相信仍能保持。只要香港仍能保持廉潔文化，香港人還是有希望的。

&&&&&&&&

2009年2月10日星期二

內部審計介紹之三: 專業要求CISA

在上文《內部審計介紹之二: 專業要求CIA》中提到, 要成為一位內部審計師, 專業會計資格是不可缺少, 如果能擁有Certified Internal Auditor (CIA)及Certified Information System Auditor (CISA)就更好。

CISA是由 Information Systems Audit and Control Association(ISACA)所頒發, 和CIA一樣, CISA所學的與實際工作上遇到的沒有分別, 所以對現職內審的人來說考這個試並不太難, 不過考CISA需要有一定的IT知識, 如果本身並不是IT出身, 考CISA會有些難度。ISACA每年會刊印一本CISA考試手冊(CISA exam review manual), 內容涵蓋了所有考試的範圍, 但單單溫習這本手冊還不足夠, 還要閱讀ISACA的期刊及一些相關的文章。以我為例, 我是會計出身, 讀書時只修讀過幾門IT相關的課程, 對IT不太熟悉, 所以應考CISA前我花了一年時間準備, 包括報讀ISACA香港分會所舉辦的考試研習班, 溫習考試手冊(由頭到尾至少溫習了三次), 閱讀期刊及相關文章, 一旦有不明白的地方就向IT同事請教, 問到明白為止, 臨考之前就試做了過去多年的考試題目, 最後成功一次過關。

CISA考試是以選擇題作答, 根據現在的機制, 試題總共有200條, 但每條問題的分數並不一樣, 800分滿分, 考獲450分或以上為合格。考試合格后, 加上五年的相關IT審計經驗就可以申請成為CISA。CISA考試的詳情:
http://www.isaca.org/Template.cfm?Section=CISA_Certification&CONTENTID=20450&TEMPLATE=/ContentManagement/ContentDisplay.cfm
補充一下, CISA考試可以選擇中文試卷, 但我個人並不鼓勵這樣選擇, 因為其專有名詞的翻譯跟我們香港慣用的不盡相同, 可能會因此影響考試的成績。

&&&&&&&&

內部審計介紹之二: 專業要求CIA

內部審計師 (Internal Auditor)通常是會計專業出身, 要在這一行發展, 專業會計師(qualified accountant)這專業資格少不了。以香港的情況, 只要你擁有任何一個專業會計師的資格就可以了。

除了專業會計師的資格外, 如果擁有Certified Internal Auditor(CIA) 及 Certified Information System Auditor(CISA)就更最好。CIA是由美國的 The Institute of Internal Auditor (IIA)所頒發, 除了CIA, 她們還頒發其他專業資格, 例如Certified Control Self-Assessment(CCSA ), Certified Goverment Audit Professional(CGAP) 和Certified Financial Services Auditor(CFSA)。目前來說, CIA是較多人認識和承認的一個資格。在ENRON未發生造數醜聞前, 企業管治(Corporate governance)和內部審計根本不被重視, 當時和別人談起我是CIA時, 人家還以為我說笑在講中情局(Central Intelligence Agency), 但由於企業管治越來越受重視, 所以現在很多人都認識CIA, 特別在近年, 大陸每年至少有幾千人考CIA。

以我的經驗, 如果本身是從事內部審計的話, 考CIA不會太難, 以我認識的同行當中, 通常1-2次就能考取到合格的成績, 不過如果未曾接觸過內部審計的工作, 考CIA會有一定的困難, 因為試題大多圍繞內審工作上實際遇到的問題, 只靠讀書是無法過關的, 而且不是任職內審的話, 考取CIA資格的用途也不大。

CIA考試有四部份, 持有HKICPA 或 ACCA資格可以申請豁免第四部份。香港有一個 test center, 不過先要到 www.theiia.org 登記及註冊, 完成后IIA會發email確認, 憑email親身上test center 考 CIA 試。因為我的CIA在早年已考取了, 所以現在的情況不太清楚, 但聽說現時考試是 computer based, 考完後可以立即知道結果。詳情請看這裡:
http://www.theiia.org/certification/certified-internal-auditor/certification-candidate-management-systems/#New%20Candidates 及其中的 candidate handbook。

至於CISA, 將會在另文介紹。

&&&&&&&&

內部審計介紹之一: 專業範疇

內部審計(以下簡稱IA)主要分三個範疇(sectors): (1) 一般的商業機構(Commerce), (2) 銀行(Bank),及 (3) 政府或非政府機構(Public Sector and Non governmental organizations)。以香港的情況, 加入了其中一個範疇後, 日後想轉至其他範疇會很較為困難, 因為不同的範疇所要求的技能及知識不盡相同。

首先說一下商業機構的IA, 如果有志於這個範疇工作, 入職的首選是製造業或多元化企業(manufacturing or conglomerate), 而且入職的公司最好是在中國大陸及其他地方都有投資。除了所見所聞會較多外, 現在香港對這類IA人的需求最大, 而且薪金不錯, 但因工作性質關係需要時常離港出差。我曾做過一份IA工作, 平時留在香港的時間只有20%, 其余時間全部到其他地區出差, 未婚或正值摶殺期的可以考慮一下, 但已婚甚至有了小孩的就必須考慮清楚了。

至於銀行的IA, 首選係大行或外資行, 華資和中資銀行是次選。因為在大行和外資行工作, 除了薪金較優厚外, 所學到的知識也較多。另外, 因為銀行的營運十分倚賴IT系統, 所以銀行的IA工作十分看重IT審計。IT審計有別於一般的審計, 審計人員需要對IT的各個範疇有一定的認識, 對一個會計畢業生來說, 這是一項挑戰。

至於政府或非政府機構, 首選是香港政府的審計署和香港賽馬會。這個範疇和上述兩個一同, 前兩者主要做營運審計(Operation audit), 但後者主要做衡工量值審計(Value-for-money audit)。衡工量值審計較營運審計困難, 因為很難決定一個所謂標準去衡量被審單位的工作表現, 所以甚俱挑戰性。我個人不太鼓勵新入行的到非政府機構(NGO)做IA, 一來這個範疇太專, 日後轉工時不太容易,而且非政府機構較多關注採購及付款流程, 所以學到的東西頑有限, 不過如果有志於幫助有需要的人或者想体驗人生的話就另當別論。我有一位朋友曾在非政府志願機構任職IA工作兩年, 他經常要到第三世界國家工作, 眼界大開。

除了擁有相關的會計知識及技能外, 從事內部審計工作還需要有 common sense。例如當你遇到一個問題時, 能否舉一反三。另外, 還要有好的communication skill, interpersonal skill 和 report writing skill。因為IA要和不同的人打交道, 上至senior management, 下至清潔亞嬏你都要可以同佢地講到兩咀, 而且IA的 output 主要是audit report, 所以要有好的report writing skill。以前寫得一手好的英文audit report已經可以橫行天下, 但現在還要懂得寫好的中文audit report (簡体字+大陸式語法)。