kpmg -2023年內(nèi)部審計 關(guān)鍵風險領(lǐng)域

2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域1?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域2際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的在如今這個充滿不確定性、不斷變化的世界中，首席審計官和內(nèi)部審計職能在審視風險和制定2023年審計計劃時必須保持靈活。在全球新冠疫情流行后，企業(yè)仍然面臨著一系列的挑戰(zhàn)（例如，供應(yīng)鏈問題、員工心態(tài)變化等），過去幾個月的情況表明，我們應(yīng)該時刻關(guān)注新的威脅和挑戰(zhàn)。與此同時，暴漲的通貨膨脹以及地緣政治問題也將對許多企業(yè)產(chǎn)生影響。新風險往往隨著新挑戰(zhàn)應(yīng)運而生，內(nèi)部審計部門在進行風險評估和動態(tài)計劃年度內(nèi)審工作時應(yīng)考慮新生風險，且不應(yīng)忽視關(guān)鍵的已知風險。因此，我們向您推薦2023年應(yīng)該關(guān)注的重點風險領(lǐng)域。我們相信，在制定2023年審計計劃時，本報告將為首席審計主管提供有關(guān)關(guān)鍵風險領(lǐng)域的見解。作為進一步的指引，我們已經(jīng)在風險雷達上繪制了前10個風險領(lǐng)域(參見圖1)。風險雷達圖有以下兩個維度： 新興風險?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域3際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域4際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的年內(nèi)部審計關(guān)注的經(jīng)濟和地緣政治的不確定性十大風險經(jīng)濟和地緣政治的不確定性全球經(jīng)濟復蘇勢頭強勁、消費模式向商品而非服務(wù)的轉(zhuǎn)變、以及新冠疫情導致的物流網(wǎng)絡(luò)的中斷，都產(chǎn)生了巨大的通貨膨脹壓力。在談到烏克蘭目前的局勢時，就必須考慮商業(yè)、物流、法律和更廣泛的地緣影響（包括復雜的制裁制度）。此外，由于天然氣和石油價格以及大宗商品價格的空前上漲，通貨膨脹持續(xù)上升，許多家庭的購買力正在下降。作為一種控制措施，各國的中央銀行已經(jīng)開始采取行動提高利率。這些持續(xù)的全球發(fā)展正在為全球組織的商業(yè)議程帶來新的日常風險?；凇帮L險管理三道防線模型”,衡量風險管理的一線和二線部門如何識別和評估企業(yè)面臨的風險和壓力。內(nèi)部審計還應(yīng)審查易受經(jīng)濟變化影響的第三方供應(yīng)商，并更廣泛地考慮企業(yè)的資本規(guī)劃和管理、凈息差、信用/違約風險和債務(wù)回收、索賠管理和未來投資的業(yè)務(wù)案例。內(nèi)部審計還可以在識別和評估在遵守現(xiàn)行國際制裁制度有關(guān)的潛在的直接差距或控制弱點方面發(fā)揮作用，確保建立一個健全的框架，并采取適當?shù)娘L險緩解措施，這些措施可以持續(xù)應(yīng)用，以確保企業(yè)合規(guī)。最后不能不提，內(nèi)部審計可以在新生風險、三線模型的成熟度和治理相關(guān)事項方面，作為高級管理層的合作伙伴發(fā)揮積極作用。最近幾年表明，氣候變化的直接后果正在影響著全球人口以及企業(yè)。今年夏天，極端的氣溫在全球引發(fā)了新的問題，比如，由于河流流量驚人的下降而導致集裝箱船運輸減少、農(nóng)業(yè)減產(chǎn)、甚至對基礎(chǔ)設(shè)施造成直接破壞。企業(yè)在實現(xiàn)其可持續(xù)發(fā)展目標和減少其對氣候變化的影響方面所面臨的挑戰(zhàn)和風險在未來幾年內(nèi)不會減少。與此同時，投資者、監(jiān)管機構(gòu)、客戶和員工也越來越希望企業(yè)在所有工作上都能從可持續(xù)發(fā)展的角度出發(fā)。內(nèi)部審計在確定企業(yè)是否準備好面對氣候危機和支持企業(yè)有效管理氣候變化風險方面發(fā)揮著關(guān)鍵作用。內(nèi)部審計可以在運營層面審查這一領(lǐng)域，因為內(nèi)部審計對從材料采購到運輸、物流和廢品管理等與可持續(xù)性相關(guān)并受其影響的流程有深刻理解和認識。?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域5際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的在新冠疫情流行之后，人們在勞動力市場上的流動速度加快了，人才的招聘和留用仍然是一個關(guān)鍵的風險領(lǐng)域。員工的高離職率給許多企業(yè)帶來了干擾，為確保招聘到所需的人才，企業(yè)進行了非常激烈的競爭。員工福利仍面臨嚴重壓力，這增加了人才流失、疲勞的風險，在影響生產(chǎn)力的同時，也侵蝕了企業(yè)目標和文化。每位員工的自愿離職都會給企業(yè)在業(yè)務(wù)中斷、招聘和入職方面帶來極大的損失。企業(yè)需要了解不斷變化的員工心態(tài)，并設(shè)計長期的激勵和薪酬計劃，以提高留任率。評估企業(yè)的勞動力規(guī)劃和未來的技能需求、人 才招聘和人才留用戰(zhàn)略。這些應(yīng)包括繼任計劃、能力管理、薪酬基準、福利計劃以及培訓和發(fā) 展。內(nèi)部審計應(yīng)協(xié)助企業(yè)制定符合相關(guān)業(yè)務(wù)風 險的人才衡量標準。雖然ESG報告還處于起步階段，但對ESG報告的要求更加廣泛和全面是一個快速發(fā)展的趨勢。香港交易所已將對ESG報告的要求納入了氣候相關(guān)財務(wù)信息披露工作組（TCFD）的若干關(guān)鍵建議。與此同時，香港的綠色和可持續(xù)金融跨機構(gòu)指導小組已宣布計劃，到2025年強制披露與TCFD一致的氣候相關(guān)信息。因此，我們鼓勵所有企業(yè)以適當?shù)闹卫斫Y(jié)構(gòu)，應(yīng)對ESG相關(guān)的話題，并對ESG風險和機會提供可靠和有用的信息。企業(yè)應(yīng)該確定他們的ESG披露和衡量標準，并確定需要采集和策劃的數(shù)據(jù)，以便及時遵守當?shù)刈钚碌腅SG法規(guī)。對于處于ESG之旅早期階段的企業(yè)，內(nèi)部審計應(yīng)在理解ESG風險方面提供咨詢支持，并支持設(shè)計和開發(fā)強大的治理框架和控制環(huán)境。對于在環(huán)境、社會和治理方面已經(jīng)取得了進一步進展的企業(yè)，內(nèi)部審計應(yīng)該對相關(guān)的治理框架、企業(yè)戰(zhàn)略和環(huán)境、社會和治理報告的完整性提供保證。同時，應(yīng)對ESG風險管理和適用立法要求的遵守情況進行評估。遠程工作和新技術(shù)(遠程工作和新技術(shù)(如云平臺)被采用的速度加快，再加上全球參與者的加入越來越多地將網(wǎng)絡(luò)破壞作為其武器庫中的一個關(guān)鍵工具，這意味著組織必須對其網(wǎng)絡(luò)安全風險保持警惕。這同時強調(diào)了對IT安全進行更嚴格審查和提高員工對惡意和非惡意網(wǎng)絡(luò)攻擊認識的必要性。評估用于降低減輕網(wǎng)絡(luò)安全風險的相關(guān)控制措施的有效性，并考慮應(yīng)用NIST網(wǎng)絡(luò)安全框架：識別、保護、檢測、響應(yīng)和恢復。審查實例可能包括網(wǎng)絡(luò)安全治理、身份管理、意識和培訓、網(wǎng)絡(luò)控制的安全評估(包括檢測和響應(yīng)管理)、新冠疫情后的新工作方式審查、數(shù)據(jù)安全實踐、事件響應(yīng)和恢復戰(zhàn)略。評估隱私和數(shù)據(jù)保護控制，包括如何收集、使用、存儲、保護、保留和處理數(shù)據(jù)。這應(yīng)該符合法規(guī)要求和行業(yè)領(lǐng)先的實踐。衡量對第三方供應(yīng)商可以訪問的企業(yè)數(shù)據(jù)的管理。針對擬議的立法改革進行差距分析，或針對相關(guān)法律和法規(guī)進行成熟度評估。在以數(shù)字化為動力的數(shù)據(jù)驅(qū)動的世界里，監(jiān)管機構(gòu)正不斷提高警惕，數(shù)據(jù)隱私和保護繼續(xù)對企業(yè)構(gòu)成重大挑戰(zhàn)?！吨腥A人民共和國個人信息保護法》評估隱私和數(shù)據(jù)保護控制，包括如何收集、使用、存儲、保護、保留和處理數(shù)據(jù)。這應(yīng)該符合法規(guī)要求和行業(yè)領(lǐng)先的實踐。衡量對第三方供應(yīng)商可以訪問的企業(yè)數(shù)據(jù)的管理。針對擬議的立法改革進行差距分析，或針對相關(guān)法律和法規(guī)進行成熟度評估。(PDPO)、以及歐盟的《一般數(shù)據(jù)保護條例》企業(yè)文化與行為(GDPR)等相關(guān)法律法規(guī)不應(yīng)被企業(yè)所忽視。持續(xù)地關(guān)注和遵守相關(guān)法律法規(guī)，將幫助企業(yè)避免巨額罰款和聲譽風險。企業(yè)文化與行為企業(yè)對其內(nèi)部和外部利益相關(guān)者負責，鼓勵適當?shù)奈幕驼\信標準的建設(shè)。為了實現(xiàn)這一目標，有必要確立一套員工在企業(yè)內(nèi)應(yīng)遵循的價值觀。例如，在銀行業(yè)，薄弱的文化與許多歷史性的損失或欺詐事件有關(guān)。這導致當?shù)氐你y行業(yè)監(jiān)管人員更加關(guān)注風險文化。香港金融管理局（HKMA）已經(jīng)啟動了對銀行文化的自我評估，并與個別銀行進行文化對話。此外，管理層需要進行足夠的監(jiān)督，并制定明確的政策（如反賄賂和腐?。┖鸵?。究其原因，最終是人們的行為推動了決策，從而影響了企業(yè)的績效和現(xiàn)有控制的有效性?！败浶钥刂啤睂徲嬛荚谝l(fā)討論，分享最佳實踐和加強“控制中”活動。內(nèi)部審計通常尋找的是多樣的觀點正在被傳播，這些聲音被聽到，激烈的辯論正在發(fā)生，領(lǐng)導者愿意接受挑戰(zhàn)的證據(jù)。審計采用工作人員調(diào)查，并輔以與領(lǐng)導者、關(guān)鍵人物和二線專業(yè)人士的訪談。內(nèi)部審計應(yīng)繼續(xù)進行“軟性控制”審計，以確保企業(yè)的當前文化及其對現(xiàn)有控制有效性的影響。評估當前員工與企業(yè)價值觀的一致程度，并通過數(shù)據(jù)分析識別潛在的欺詐風險。?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域6際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的?2023畢馬威企業(yè)咨詢(中國)有限公司—中國有限責任公司，是與英國私營擔保有限公司—畢馬威國2023年內(nèi)部審計關(guān)鍵風險領(lǐng)域7際有限公司相關(guān)聯(lián)的獨立成員所全球性組織中的成員。版權(quán)所有，不得轉(zhuǎn)載。畢馬威的名稱和標識均為畢馬威全球性組織中的獨立成員所經(jīng)許可后使用的第三方關(guān)系與供應(yīng)鏈數(shù)字顛覆和新技術(shù)第三方關(guān)系與供應(yīng)鏈數(shù)字顛覆和新技術(shù)企業(yè)越來越依賴第三方供應(yīng)商向其客戶和顧客提供關(guān)鍵業(yè)務(wù)產(chǎn)品和服務(wù)。企業(yè)還發(fā)現(xiàn)，第三方的失誤會嚴重影響其有效運作的能力，并可能損害其社會信用和聲譽。為了減輕這種第三方風險，企業(yè)應(yīng)制定明確的戰(zhàn)略來選擇、審批和管理第三方。最新的全球事態(tài)發(fā)展和新冠疫情繼續(xù)給全球和國內(nèi)供應(yīng)鏈帶來巨大壓力，從生產(chǎn)延誤和勞動力短缺到主要港口的持續(xù)關(guān)閉和相關(guān)航運中斷以及商品價格上漲。預計這種情況至少會持續(xù)到2023年。評估情景和應(yīng)急計劃，包括供應(yīng)商合同和其服務(wù)延續(xù)性。評估端到端的采購流程，特別關(guān)注采購和第三方風險，以及該風險在供應(yīng)商之間的分布。協(xié)助企業(yè)建立一個合同管理框架、記分卡，以持續(xù)監(jiān)測第三方關(guān)系，并全面了解所有的外包安排。審查供應(yīng)鏈物流和連續(xù)性流程，包括與ESG相關(guān)的風險以及在其運營環(huán)境中對第三方網(wǎng)絡(luò)安全風險的管理。在過去幾年中，數(shù)字顛覆、轉(zhuǎn)型和新技術(shù)的采用已經(jīng)加速，包括人工智能（AI）、預測分析、認知計算和機器人流程自動化。這些新技術(shù)帶來了新的風險，如數(shù)據(jù)和云存儲、使用和隱私相關(guān)的風險，不應(yīng)忽視。評估數(shù)字化戰(zhàn)略和計劃以及相關(guān)的風險管理控制，對具體的數(shù)字化項目提供保證，包括人工智能設(shè)計的完整性、算法測試、異常管理和補救、變更管理控制、第三方供應(yīng)商和軟件供應(yīng)商管理。提供治理和控制框架的建議，以確保人工智能和機器人的風險長期（實施后）得到監(jiān)測和緩解。內(nèi)部審計還可以建議企業(yè)實施新技術(shù)，在整個企業(yè)內(nèi)分享新技術(shù)的知識，使企業(yè)（重復的）流程更加有效。業(yè)務(wù)連續(xù)性和危機應(yīng)對業(yè)務(wù)連續(xù)性和危機應(yīng)對許多企業(yè)對新冠疫情產(chǎn)生的危機感到震驚，隨后制定了災(zāi)難恢復計劃和業(yè)務(wù)連續(xù)性程序。企業(yè)必須確保他們的業(yè)務(wù)連續(xù)性計劃和危機管理程序是充分的，并不斷更新以應(yīng)對其他威脅，如網(wǎng)絡(luò)威脅、自然災(zāi)害、其他疾病的爆發(fā)或政治不穩(wěn)定。如果不這樣做，可能會導致運營的深度中斷。評估整個危機管理系統(tǒng)的質(zhì)量，確保關(guān)鍵威脅已經(jīng)被識別，適當?shù)膽?yīng)對計劃已經(jīng)到位，并在應(yīng)急演習中得到測試。內(nèi)部審計應(yīng)審查業(yè)務(wù)連續(xù)性或危機應(yīng)對計劃是否符合目的，是否考慮了新生風險和不斷變化的關(guān)鍵威脅。內(nèi)部審計還應(yīng)該尋找圍繞危機決策的治理以及向危機委員會報告的數(shù)據(jù)和信息的完整性的證據(jù)。新冠疫情暴發(fā)后，并購熱潮加速，全球并購創(chuàng)下新高。在這個快速變化和需要實現(xiàn)交易利益的時期，并購帶來了獨特的"交付"和"交付"風險。制定一個綜合的并購風險保障(Assurance)戰(zhàn)略計劃，了解并購業(yè)務(wù)在其生命周期內(nèi)將獲得