kpmg -2023年內(nèi)部審計(jì) 關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域

2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域1?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域2際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的在如今這個(gè)充滿不確定性、不斷變化的世界中，首席審計(jì)官和內(nèi)部審計(jì)職能在審視風(fēng)險(xiǎn)和制定2023年審計(jì)計(jì)劃時(shí)必須保持靈活。在全球新冠疫情流行后，企業(yè)仍然面臨著一系列的挑戰(zhàn)（例如，供應(yīng)鏈問(wèn)題、員工心態(tài)變化等），過(guò)去幾個(gè)月的情況表明，我們應(yīng)該時(shí)刻關(guān)注新的威脅和挑戰(zhàn)。與此同時(shí)，暴漲的通貨膨脹以及地緣政治問(wèn)題也將對(duì)許多企業(yè)產(chǎn)生影響。新風(fēng)險(xiǎn)往往隨著新挑戰(zhàn)應(yīng)運(yùn)而生，內(nèi)部審計(jì)部門(mén)在進(jìn)行風(fēng)險(xiǎn)評(píng)估和動(dòng)態(tài)計(jì)劃年度內(nèi)審工作時(shí)應(yīng)考慮新生風(fēng)險(xiǎn)，且不應(yīng)忽視關(guān)鍵的已知風(fēng)險(xiǎn)。因此，我們向您推薦2023年應(yīng)該關(guān)注的重點(diǎn)風(fēng)險(xiǎn)領(lǐng)域。我們相信，在制定2023年審計(jì)計(jì)劃時(shí)，本報(bào)告將為首席審計(jì)主管提供有關(guān)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域的見(jiàn)解。作為進(jìn)一步的指引，我們已經(jīng)在風(fēng)險(xiǎn)雷達(dá)上繪制了前10個(gè)風(fēng)險(xiǎn)領(lǐng)域(參見(jiàn)圖1)。風(fēng)險(xiǎn)雷達(dá)圖有以下兩個(gè)維度： 新興風(fēng)險(xiǎn)?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域3際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域4際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的年內(nèi)部審計(jì)關(guān)注的經(jīng)濟(jì)和地緣政治的不確定性十大風(fēng)險(xiǎn)經(jīng)濟(jì)和地緣政治的不確定性全球經(jīng)濟(jì)復(fù)蘇勢(shì)頭強(qiáng)勁、消費(fèi)模式向商品而非服務(wù)的轉(zhuǎn)變、以及新冠疫情導(dǎo)致的物流網(wǎng)絡(luò)的中斷，都產(chǎn)生了巨大的通貨膨脹壓力。在談到烏克蘭目前的局勢(shì)時(shí)，就必須考慮商業(yè)、物流、法律和更廣泛的地緣影響（包括復(fù)雜的制裁制度）。此外，由于天然氣和石油價(jià)格以及大宗商品價(jià)格的空前上漲，通貨膨脹持續(xù)上升，許多家庭的購(gòu)買(mǎi)力正在下降。作為一種控制措施，各國(guó)的中央銀行已經(jīng)開(kāi)始采取行動(dòng)提高利率。這些持續(xù)的全球發(fā)展正在為全球組織的商業(yè)議程帶來(lái)新的日常風(fēng)險(xiǎn)。基于“風(fēng)險(xiǎn)管理三道防線模型”,衡量風(fēng)險(xiǎn)管理的一線和二線部門(mén)如何識(shí)別和評(píng)估企業(yè)面臨的風(fēng)險(xiǎn)和壓力。內(nèi)部審計(jì)還應(yīng)審查易受經(jīng)濟(jì)變化影響的第三方供應(yīng)商，并更廣泛地考慮企業(yè)的資本規(guī)劃和管理、凈息差、信用/違約風(fēng)險(xiǎn)和債務(wù)回收、索賠管理和未來(lái)投資的業(yè)務(wù)案例。內(nèi)部審計(jì)還可以在識(shí)別和評(píng)估在遵守現(xiàn)行國(guó)際制裁制度有關(guān)的潛在的直接差距或控制弱點(diǎn)方面發(fā)揮作用，確保建立一個(gè)健全的框架，并采取適當(dāng)?shù)娘L(fēng)險(xiǎn)緩解措施，這些措施可以持續(xù)應(yīng)用，以確保企業(yè)合規(guī)。最后不能不提，內(nèi)部審計(jì)可以在新生風(fēng)險(xiǎn)、三線模型的成熟度和治理相關(guān)事項(xiàng)方面，作為高級(jí)管理層的合作伙伴發(fā)揮積極作用。最近幾年表明，氣候變化的直接后果正在影響著全球人口以及企業(yè)。今年夏天，極端的氣溫在全球引發(fā)了新的問(wèn)題，比如，由于河流流量驚人的下降而導(dǎo)致集裝箱船運(yùn)輸減少、農(nóng)業(yè)減產(chǎn)、甚至對(duì)基礎(chǔ)設(shè)施造成直接破壞。企業(yè)在實(shí)現(xiàn)其可持續(xù)發(fā)展目標(biāo)和減少其對(duì)氣候變化的影響方面所面臨的挑戰(zhàn)和風(fēng)險(xiǎn)在未來(lái)幾年內(nèi)不會(huì)減少。與此同時(shí)，投資者、監(jiān)管機(jī)構(gòu)、客戶和員工也越來(lái)越希望企業(yè)在所有工作上都能從可持續(xù)發(fā)展的角度出發(fā)。內(nèi)部審計(jì)在確定企業(yè)是否準(zhǔn)備好面對(duì)氣候危機(jī)和支持企業(yè)有效管理氣候變化風(fēng)險(xiǎn)方面發(fā)揮著關(guān)鍵作用。內(nèi)部審計(jì)可以在運(yùn)營(yíng)層面審查這一領(lǐng)域，因?yàn)閮?nèi)部審計(jì)對(duì)從材料采購(gòu)到運(yùn)輸、物流和廢品管理等與可持續(xù)性相關(guān)并受其影響的流程有深刻理解和認(rèn)識(shí)。?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域5際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的在新冠疫情流行之后，人們?cè)趧趧?dòng)力市場(chǎng)上的流動(dòng)速度加快了，人才的招聘和留用仍然是一個(gè)關(guān)鍵的風(fēng)險(xiǎn)領(lǐng)域。員工的高離職率給許多企業(yè)帶來(lái)了干擾，為確保招聘到所需的人才，企業(yè)進(jìn)行了非常激烈的競(jìng)爭(zhēng)。員工福利仍面臨嚴(yán)重壓力，這增加了人才流失、疲勞的風(fēng)險(xiǎn)，在影響生產(chǎn)力的同時(shí)，也侵蝕了企業(yè)目標(biāo)和文化。每位員工的自愿離職都會(huì)給企業(yè)在業(yè)務(wù)中斷、招聘和入職方面帶來(lái)極大的損失。企業(yè)需要了解不斷變化的員工心態(tài)，并設(shè)計(jì)長(zhǎng)期的激勵(lì)和薪酬計(jì)劃，以提高留任率。評(píng)估企業(yè)的勞動(dòng)力規(guī)劃和未來(lái)的技能需求、人 才招聘和人才留用戰(zhàn)略。這些應(yīng)包括繼任計(jì)劃、能力管理、薪酬基準(zhǔn)、福利計(jì)劃以及培訓(xùn)和發(fā) 展。內(nèi)部審計(jì)應(yīng)協(xié)助企業(yè)制定符合相關(guān)業(yè)務(wù)風(fēng) 險(xiǎn)的人才衡量標(biāo)準(zhǔn)。雖然ESG報(bào)告還處于起步階段，但對(duì)ESG報(bào)告的要求更加廣泛和全面是一個(gè)快速發(fā)展的趨勢(shì)。香港交易所已將對(duì)ESG報(bào)告的要求納入了氣候相關(guān)財(cái)務(wù)信息披露工作組（TCFD）的若干關(guān)鍵建議。與此同時(shí)，香港的綠色和可持續(xù)金融跨機(jī)構(gòu)指導(dǎo)小組已宣布計(jì)劃，到2025年強(qiáng)制披露與TCFD一致的氣候相關(guān)信息。因此，我們鼓勵(lì)所有企業(yè)以適當(dāng)?shù)闹卫斫Y(jié)構(gòu)，應(yīng)對(duì)ESG相關(guān)的話題，并對(duì)ESG風(fēng)險(xiǎn)和機(jī)會(huì)提供可靠和有用的信息。企業(yè)應(yīng)該確定他們的ESG披露和衡量標(biāo)準(zhǔn)，并確定需要采集和策劃的數(shù)據(jù)，以便及時(shí)遵守當(dāng)?shù)刈钚碌腅SG法規(guī)。對(duì)于處于ESG之旅早期階段的企業(yè)，內(nèi)部審計(jì)應(yīng)在理解ESG風(fēng)險(xiǎn)方面提供咨詢支持，并支持設(shè)計(jì)和開(kāi)發(fā)強(qiáng)大的治理框架和控制環(huán)境。對(duì)于在環(huán)境、社會(huì)和治理方面已經(jīng)取得了進(jìn)一步進(jìn)展的企業(yè)，內(nèi)部審計(jì)應(yīng)該對(duì)相關(guān)的治理框架、企業(yè)戰(zhàn)略和環(huán)境、社會(huì)和治理報(bào)告的完整性提供保證。同時(shí)，應(yīng)對(duì)ESG風(fēng)險(xiǎn)管理和適用立法要求的遵守情況進(jìn)行評(píng)估。遠(yuǎn)程工作和新技術(shù)(遠(yuǎn)程工作和新技術(shù)(如云平臺(tái))被采用的速度加快，再加上全球參與者的加入越來(lái)越多地將網(wǎng)絡(luò)破壞作為其武器庫(kù)中的一個(gè)關(guān)鍵工具，這意味著組織必須對(duì)其網(wǎng)絡(luò)安全風(fēng)險(xiǎn)保持警惕。這同時(shí)強(qiáng)調(diào)了對(duì)IT安全進(jìn)行更嚴(yán)格審查和提高員工對(duì)惡意和非惡意網(wǎng)絡(luò)攻擊認(rèn)識(shí)的必要性。評(píng)估用于降低減輕網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的相關(guān)控制措施的有效性，并考慮應(yīng)用NIST網(wǎng)絡(luò)安全框架：識(shí)別、保護(hù)、檢測(cè)、響應(yīng)和恢復(fù)。審查實(shí)例可能包括網(wǎng)絡(luò)安全治理、身份管理、意識(shí)和培訓(xùn)、網(wǎng)絡(luò)控制的安全評(píng)估(包括檢測(cè)和響應(yīng)管理)、新冠疫情后的新工作方式審查、數(shù)據(jù)安全實(shí)踐、事件響應(yīng)和恢復(fù)戰(zhàn)略。評(píng)估隱私和數(shù)據(jù)保護(hù)控制，包括如何收集、使用、存儲(chǔ)、保護(hù)、保留和處理數(shù)據(jù)。這應(yīng)該符合法規(guī)要求和行業(yè)領(lǐng)先的實(shí)踐。衡量對(duì)第三方供應(yīng)商可以訪問(wèn)的企業(yè)數(shù)據(jù)的管理。針對(duì)擬議的立法改革進(jìn)行差距分析，或針對(duì)相關(guān)法律和法規(guī)進(jìn)行成熟度評(píng)估。在以數(shù)字化為動(dòng)力的數(shù)據(jù)驅(qū)動(dòng)的世界里，監(jiān)管機(jī)構(gòu)正不斷提高警惕，數(shù)據(jù)隱私和保護(hù)繼續(xù)對(duì)企業(yè)構(gòu)成重大挑戰(zhàn)。《中華人民共和國(guó)個(gè)人信息保護(hù)法》評(píng)估隱私和數(shù)據(jù)保護(hù)控制，包括如何收集、使用、存儲(chǔ)、保護(hù)、保留和處理數(shù)據(jù)。這應(yīng)該符合法規(guī)要求和行業(yè)領(lǐng)先的實(shí)踐。衡量對(duì)第三方供應(yīng)商可以訪問(wèn)的企業(yè)數(shù)據(jù)的管理。針對(duì)擬議的立法改革進(jìn)行差距分析，或針對(duì)相關(guān)法律和法規(guī)進(jìn)行成熟度評(píng)估。(PDPO)、以及歐盟的《一般數(shù)據(jù)保護(hù)條例》企業(yè)文化與行為(GDPR)等相關(guān)法律法規(guī)不應(yīng)被企業(yè)所忽視。持續(xù)地關(guān)注和遵守相關(guān)法律法規(guī)，將幫助企業(yè)避免巨額罰款和聲譽(yù)風(fēng)險(xiǎn)。企業(yè)文化與行為企業(yè)對(duì)其內(nèi)部和外部利益相關(guān)者負(fù)責(zé)，鼓勵(lì)適當(dāng)?shù)奈幕驼\(chéng)信標(biāo)準(zhǔn)的建設(shè)。為了實(shí)現(xiàn)這一目標(biāo)，有必要確立一套員工在企業(yè)內(nèi)應(yīng)遵循的價(jià)值觀。例如，在銀行業(yè)，薄弱的文化與許多歷史性的損失或欺詐事件有關(guān)。這導(dǎo)致當(dāng)?shù)氐你y行業(yè)監(jiān)管人員更加關(guān)注風(fēng)險(xiǎn)文化。香港金融管理局（HKMA）已經(jīng)啟動(dòng)了對(duì)銀行文化的自我評(píng)估，并與個(gè)別銀行進(jìn)行文化對(duì)話。此外，管理層需要進(jìn)行足夠的監(jiān)督，并制定明確的政策（如反賄賂和腐?。┖鸵?。究其原因，最終是人們的行為推動(dòng)了決策，從而影響了企業(yè)的績(jī)效和現(xiàn)有控制的有效性?！败浶钥刂啤睂徲?jì)旨在引發(fā)討論，分享最佳實(shí)踐和加強(qiáng)“控制中”活動(dòng)。內(nèi)部審計(jì)通常尋找的是多樣的觀點(diǎn)正在被傳播，這些聲音被聽(tīng)到，激烈的辯論正在發(fā)生，領(lǐng)導(dǎo)者愿意接受挑戰(zhàn)的證據(jù)。審計(jì)采用工作人員調(diào)查，并輔以與領(lǐng)導(dǎo)者、關(guān)鍵人物和二線專業(yè)人士的訪談。內(nèi)部審計(jì)應(yīng)繼續(xù)進(jìn)行“軟性控制”審計(jì)，以確保企業(yè)的當(dāng)前文化及其對(duì)現(xiàn)有控制有效性的影響。評(píng)估當(dāng)前員工與企業(yè)價(jià)值觀的一致程度，并通過(guò)數(shù)據(jù)分析識(shí)別潛在的欺詐風(fēng)險(xiǎn)。?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域6際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的?2023畢馬威企業(yè)咨詢(中國(guó))有限公司—中國(guó)有限責(zé)任公司，是與英國(guó)私營(yíng)擔(dān)保有限公司—畢馬威國(guó)2023年內(nèi)部審計(jì)關(guān)鍵風(fēng)險(xiǎn)領(lǐng)域7際有限公司相關(guān)聯(lián)的獨(dú)立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標(biāo)識(shí)均為畢馬威全球性組織中的獨(dú)立成員所經(jīng)許可后使用的第三方關(guān)系與供應(yīng)鏈數(shù)字顛覆和新技術(shù)第三方關(guān)系與供應(yīng)鏈數(shù)字顛覆和新技術(shù)企業(yè)越來(lái)越依賴第三方供應(yīng)商向其客戶和顧客提供關(guān)鍵業(yè)務(wù)產(chǎn)品和服務(wù)。企業(yè)還發(fā)現(xiàn)，第三方的失誤會(huì)嚴(yán)重影響其有效運(yùn)作的能力，并可能損害其社會(huì)信用和聲譽(yù)。為了減輕這種第三方風(fēng)險(xiǎn)，企業(yè)應(yīng)制定明確的戰(zhàn)略來(lái)選擇、審批和管理第三方。最新的全球事態(tài)發(fā)展和新冠疫情繼續(xù)給全球和國(guó)內(nèi)供應(yīng)鏈帶來(lái)巨大壓力，從生產(chǎn)延誤和勞動(dòng)力短缺到主要港口的持續(xù)關(guān)閉和相關(guān)航運(yùn)中斷以及商品價(jià)格上漲。預(yù)計(jì)這種情況至少會(huì)持續(xù)到2023年。評(píng)估情景和應(yīng)急計(jì)劃，包括供應(yīng)商合同和其服務(wù)延續(xù)性。評(píng)估端到端的采購(gòu)流程，特別關(guān)注采購(gòu)和第三方風(fēng)險(xiǎn)，以及該風(fēng)險(xiǎn)在供應(yīng)商之間的分布。協(xié)助企業(yè)建立一個(gè)合同管理框架、記分卡，以持續(xù)監(jiān)測(cè)第三方關(guān)系，并全面了解所有的外包安排。審查供應(yīng)鏈物流和連續(xù)性流程，包括與ESG相關(guān)的風(fēng)險(xiǎn)以及在其運(yùn)營(yíng)環(huán)境中對(duì)第三方網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的管理。在過(guò)去幾年中，數(shù)字顛覆、轉(zhuǎn)型和新技術(shù)的采用已經(jīng)加速，包括人工智能（AI）、預(yù)測(cè)分析、認(rèn)知計(jì)算和機(jī)器人流程自動(dòng)化。這些新技術(shù)帶來(lái)了新的風(fēng)險(xiǎn)，如數(shù)據(jù)和云存儲(chǔ)、使用和隱私相關(guān)的風(fēng)險(xiǎn)，不應(yīng)忽視。評(píng)估數(shù)字化戰(zhàn)略和計(jì)劃以及相關(guān)的風(fēng)險(xiǎn)管理控制，對(duì)具體的數(shù)字化項(xiàng)目提供保證，包括人工智能設(shè)計(jì)的完整性、算法測(cè)試、異常管理和補(bǔ)救、變更管理控制、第三方供應(yīng)商和軟件供應(yīng)商管理。提供治理和控制框架的建議，以確保人工智能和機(jī)器人的風(fēng)險(xiǎn)長(zhǎng)期（實(shí)施后）得到監(jiān)測(cè)和緩解。內(nèi)部審計(jì)還可以建議企業(yè)實(shí)施新技術(shù)，在整個(gè)企業(yè)內(nèi)分享新技術(shù)的知識(shí)，使企業(yè)（重復(fù)的）流程更加有效。業(yè)務(wù)連續(xù)性和危機(jī)應(yīng)對(duì)業(yè)務(wù)連續(xù)性和危機(jī)應(yīng)對(duì)許多企業(yè)對(duì)新冠疫情產(chǎn)生的危機(jī)感到震驚，隨后制定了災(zāi)難恢復(fù)計(jì)劃和業(yè)務(wù)連續(xù)性程序。企業(yè)必須確保他們的業(yè)務(wù)連續(xù)性計(jì)劃和危機(jī)管理程序是充分的，并不斷更新以應(yīng)對(duì)其他威脅，如網(wǎng)絡(luò)威脅、自然災(zāi)害、其他疾病的爆發(fā)或政治不穩(wěn)定。如果不這樣做，可能會(huì)導(dǎo)致運(yùn)營(yíng)的深度中斷。評(píng)估整個(gè)危機(jī)管理系統(tǒng)的質(zhì)量，確保關(guān)鍵威脅已經(jīng)被識(shí)別，適當(dāng)?shù)膽?yīng)對(duì)計(jì)劃已經(jīng)到位，并在應(yīng)急演習(xí)中得到測(cè)試。內(nèi)部審計(jì)應(yīng)審查業(yè)務(wù)連續(xù)性或危機(jī)應(yīng)對(duì)計(jì)劃是否符合目的，是否考慮了新生風(fēng)險(xiǎn)和不斷變化的關(guān)鍵威脅。內(nèi)部審計(jì)還應(yīng)該尋找圍繞危機(jī)決策的治理以及向危機(jī)委員會(huì)報(bào)告的數(shù)據(jù)和信息的完整性的證據(jù)。新冠疫情暴發(fā)后，并購(gòu)熱潮加速，全球并購(gòu)創(chuàng)下新高。在這個(gè)快速變化和需要實(shí)現(xiàn)交易利益的時(shí)期，并購(gòu)帶來(lái)了獨(dú)特的"交付"和"交付"風(fēng)險(xiǎn)。制定一個(gè)綜合的并購(gòu)風(fēng)險(xiǎn)保障(Assurance)戰(zhàn)略計(jì)劃，了解并購(gòu)業(yè)務(wù)在其生命周期內(nèi)將獲得