内部审计——公司免疫系统，提升企业价值: 第5辑 (德勤企业风险)
Author: 德勤企业风险管理服务部
Date: 2013-01-01
Keywords: ①内部审计-研究
Publisher: 上海交通大学出版社

图书在版编目（CIP）数据

内部审计：公司免疫系统，提升企业价值/德勤企业风险管理服务部编. —上海：上海交通大学出版社，2013

（德勤企业风险.第五辑）

ISBN 978-7-313-09402-5

目录
内 容 提 要
前言

建立风险导向的、与世界一流的能源企业相适应的内部审计体系

内部审计的转型及发展
善用工具，强化战略分析，提升稽核效能
内部审计为企业创造价值——防治于行医问诊间
如何做好银行业IT审计
内部审计的定位——独立与增值的均衡

剑关险峻驱流马，斜谷崎岖驾木牛——内部审计信息化体系简介

反贿赂和腐败
风险导向稽核体制的建立
自动化演变——如何停止担忧并憧憬制造业的未来
关于美国冲突矿产披露制度的供应链调查实务
保险业风险管理小故事（4）渠道“默契”
企业内部控制实务（8）——固定资产管理
德勤中国企业风险管理服务的联系方式

内 容 提 要

本书是德勤企业风险丛书的第五辑，主要涉及内部审计方面的最前沿话题。内容有建立风险导向的、与世界一流的能源企业相适应的内部审计体系；内部审计的转型及发展；善用工具，强化战略分析，提升稽核效能；内部审计为企业创造价值——防治于行医问诊间；如何做好银行业IT审计；内部审计的定位——独立与增值的均衡；内部审计信息化体系简介；反贿赂和腐败；风险导向稽核体制的建立；自动化演变——如何停止担忧并憧憬制造业的未来；关于美国冲突矿产披露制度的供应链调查实务；保险业风险管理小故事——渠道“默契”；企业内部控制实务——固定资产管理，等等。可为企业的内部审计提供理论基础和最佳实践。

本书适合企业管理人员、内部审计人员，以及相关研究者参考阅读。

前言

“生活就好像是骑自行车，要想保持平衡，你就得不停向前骑。”

——阿尔伯特·爱因斯坦

在我看来，内部审计就是一项平衡的工作，平衡业务与管理，平衡灵活与规范，平衡速度、机遇与风险。

世界是“平”的，但世界却越来越不“太平”。宏观环境的变化和不确定性，同时也在改变着处于微观层面的企业的经营理念和模式。站在内部审计界以及专业人士的角度，我们认为，这为内审人员提供了更多的机会以帮助他们超越提供传统的鉴证和咨询服务的角色，更好地帮助企业治理层以及管理层识别、了解以及应对所面临的各种类型的新风险。当前企业面临着哪些新风险呢？让我们思考一下，对于一些企业而言，他们当下面临的风险是缺乏运营资本、现金流，甚或产品或服务的市场需求疲软。对于大多数因收入锐减而需要削减支出的企业而言，存在着许多运营风险，比如因成本削减或者人员精简而取消或削弱了相关流程以及必要的内部控制；再比如主要的供应商无法继续提供所需原材料，分销商经营不善；或者公司产品缺乏市场需求。很多上市公司还在努力挣扎着满足市场预期，财务舞弊的动机也因此增加。此外，也有可能存在另一类风险，对公司不满的员工或者曾经合作过的供应商、经销商采取一些破坏活动或恶意行为，损害公司利益等。

表现卓越的首席内部审计官（CAE）已经开始向审计委员会、首席执行官、首席财务官以及其他高管伸出援手，与他们分享不确定的大环境下企业存在哪些新问题、新风险。通过这些沟通协作的机会，可以充分体现首席审计官的前瞻性角色，并以此体现内部审计对公司的责任及价值。这种价值可以是协调组织跨部门的讨论，深入分析公司面临的新情况及由此产生的重大风险，并制定应对计划；也可以是协助管理层确定他们的风险偏好并确保董事会了解并支持管理层的观点；还可以是帮助管理层设计风险管理及监督流程（例如内部控制）。当然，首席审计官们亦可以重新分配其审计资源，对高风险领域进行重新评估，对识别出的缺陷提供专业的改进建议，从而降低风险发生的可能性或减少风险带来的不利影响。

成为企业风险管理实践的有力推动者，是我们证明内部审计专业人员对企业价值的难得机会。我们要思考的是，如何抓住机遇、实现转型？内部审计部门应根据已变化了的经济形势，结合企业自身的情况，以企业的价值和风险为核心，对工作重点、工作模式和工作手段进行梳理，把握好角色定位，为公司创造更大的利益。您考虑过以下可能的新角色吗？

· 梦想家：不仅评估当前的风险管理状况，还努力协助管理层提前把握未来的机会。

· 营养学家：协助组织确定日常风险管理是否与其风险承受能力相匹配。

· 整合者：确定组织是否恰当考虑了风险的相互影响。

· 效率专家：研究消除运营及风险管理低效和不增值环节的手段。

· 倡导者：倡导最佳实践在组织中的传播，倡导与承担风险取得回报相关的策略，努力倡导增加盈利和股东价值的相关手段和措施。

· 专家：提供主要风险领域（如舞弊）的专业知识和意见。

· 故障排除者：参与控制的改善与设计，协助执行和诠释风险评估。

内部审计正在成为“聚光灯下的职业”，它可以很精彩！

赵健

合伙人

德勤北京事务所

企业风险管理服务

建立风险导向的、与世界一流的能源企业相适应的内部审计体系

受访人：李国忠 博士，神华集团有限责任公司内控审计部总经理

采访人：况成功 总监，陈经理 德勤北京事务所 企业风险管理服务

问题一：请简要介绍神华集团及公司内部审计职能。

神华集团有限责任公司（以下简称“神华集团”）自1995年成立以来，实现了超常规的跨越式发展，已成为以煤为基础，电力、铁路、港口、航运、煤制油与煤化工为一体，产运销一条龙经营的特大型能源企业，是我国规模最大、现代化程度最高的煤炭企业和世界上最大的煤炭经销商。2004年11月，神华集团独家发起成立中国神华能源股份有限公司（以下简称“中国神华”），于2005年6月、2007年10月分别在香港联合交易所和上海证券交易所成功上市。至2011年底，神华集团拥有生产煤矿62个，投运电厂总装机容量4283万千瓦，拥有1467公里的自营铁路，1亿吨吞吐能力的黄骅港、4500万吨吞吐能力的天津煤码头和现有船舶12艘的航运公司，总资产6269亿元，在册员工17.64万人。2011年实现营业收入2803亿元，利润742亿元，生产原煤4.07亿吨，销售商品煤5.03亿吨，发电2099亿度，海上运输8062万吨。在2012年度《财富》全球500强企业中神华集团排名第234位。

面向未来，神华集团提出“科学发展，再造神华，五年经济总量再翻番，建设具有国际竞争力的世界一流煤炭综合能源企业”的发展战略。发展战略目标为神华集团内部审计领域的探索与拓展指明了方向。日益增加的不确定经济因素、不断加深的经营复杂程度、日渐扩大的公司规模、逐步延伸的产业链条和管理链条对内部审计管理体制、运行机制、队伍建设、运作模式、审计技术与方法的调整提出了要求。为了充分发挥内部审计在公司内部控制运行和风险防范中的重要作用，协助公司建立有效的内部控制治理机制，并实现内部审计为企业增加价值的目标，公司制定了“由单纯的财务收支审计逐步向监督与服务并重转变，实现审计方式从事后审计向全过程审计转变，实现审计目标从查错纠弊逐步向内控评价和风险评估转变”的战略定位，以及“通过对企业的经营管理现状、风险管理和内部控制过程的合规性与有效性进行监督、评价并提供咨询服务，帮助改进企业治理、为企业运作增加价值，为公司战略目标实现提供有力支持”的战略使命。

问题二：公司内部审计机构设置。

经过不断的探索，神华集团已逐步建立起一套科学、完善的现代公司治理结构，充分发挥内部审计在公司法人治理结构中的职能。

集团公司内控审计部在业务上向董事会风险管理委员会汇报，行政上由董事长直接分管，负责风险管理、经济安全管理、制度风险审核、风险控制检查、内部控制评价、内部控制审计和内部审计工作。分公司的内部审计机构在业务上接受本单位和集团公司内控审计部的双重领导；子公司的内部审计机构接受集团公司内控审计部的业务指导。

集团公司内控审计部下设内控与风险管理处、审计管理处和综合管理处，并设立三大审计中心（北京审计中心、鄂尔多斯审计中心、银川审计中心）作为集团公司总部的直属审计机构，按照集团公司内控审计部下达的年度内部审计工作任务，组织实施具体审计项目。审计中心由总部内控审计部归口管理，向内控审计部总经理汇报工作，并与分子公司保持相对独立性，形成“管理在上，业务在下”的管理模式。

问题三：公司内部审计队伍建设情况。

神华集团主要从两个方面加强内部审计队伍建设：

1.审计队伍整体建设

（1）优化审计团队专业结构，在确保财务审计专业人才规模适当的基础上，引进和培养工程、管理、经济、法律等相关领域的专业人才进入审计队伍；

（2）加强内部审计人员在集团公司与分子公司，以及分子公司之间的轮岗锻炼，使其熟悉各项具体业务流程；

（3）必要时可临时外聘有丰富行业知识和执业经验的专家及相关专业技术人员专门负责技术方面的审计工作；

（4）建设和培育敬业、公正、创新的审计文化，为增加企业价值、提供高效服务奠定坚实的基础。

2.审计人员专业能力提升

（1）加强职业道德教育，提高专业判断能力，增强内部审计人员的事业心和责任感；

（2）分层次、分内容、有计划、有目标地开展有针对性的培训，强化业务技能培训，特别是对内部审计理论和相关专业新知识、新技术、新方法的学习与培训；

（3）鼓励和支持内部审计人员加强持续的后续专业教育，从而保持专业技术的适应性。

问题四：公司内部审计制度体系的建设情况。

结合神华集团建立“与世界一流的能源企业相适应的内部审计体系”的工作目标，充分参考、借鉴国际内部审计先进经验与实践，目前神华集团内部审计制度体系划分为三部分：

一是管理制度类，作为内部审计基本管理制度，包括内部审计纲领性制度（明确内部审计的定位、职责与权限）及审计人员职业道德和行为规范等。

二是工作规范类，分为一般性规范与专业规范。一般性规范作为开展内部审计工作通用性制度，包含内部审计机构管理、内部审计人员管理、实施内部审计项目的通用性管理规定、信息统计、保密管理、档案管理等内容；专业规范作为针对不同类型的审计项目的专业性管理办法，包含经济责任审计管理办法、工程项目审计管理办法、内部控制与风险管理审计管理办法等。

三是实务指南类，是根据管理制度和工作规范，为了更好地开展内部审计工作而制定的针对开展某专项审计工作的实务指南或内部审计技术类工作手册。并且每年由内部审计部门统一规划，结合年度审计工作的重点领域和以前年度审计项目经验积累，制定年度实务指南建设计划，对实务指南不断进行补充与更新。

问题五：风险导向的内部审计理念的运用。

面对集团公司规模不断扩大、经营复杂程度不断加深和内外部环境不断变化的情况，集团公司结合外部监管要求和内部管理需要，以上市公司中国神华为主，进行以风险导向审计的大胆探索和实践，并逐步在全集团推广。公司在应用风险导向审计理念的实践中总结了以下经验：

1.完善审计风险数据库

结合集团公司自身特点和需要建立风险数据库，从涉及的门类、领域、信息量等方面，对现有信息库进行大规模扩充，以满足内审人员了解法规制度、行业特点、经营环境以及经营和发展战略、业务流程、风险评估、业绩评价等方面的需要。还计划建立企业信息系统的资源共享机制，使内审人员能够及时准确地获得相关信息，从而更方便地实施风险评估程序，进而为风险导向内部审计工作做好准备。

2.改进审计技术和方法

风险导向内部审计可以通过实施战略风险分析技术对被审计单位的内部条件和外部环境进行分析，综合评估其战略风险；可以通过实施经营风险分析技术对经营目标形成合理预期；可以通过实施业绩评价技术对经营业绩进行总体评估；可以通过剩余风险检查、组合和对冲，有效缓解风险，实现风险收益最大化，风险损失最小化。

风险导向内部审计的运用以风险识别、评估和控制为中心，以审计资源和精力主要投向高风险领域或环节、突出审计资源利用效率为原则。常用方法有分析法、比较法、归纳法、控制测试、实质性测试；取证方法有调查、询问、函证、穿行测试、检查记录和文件等。

3.实施风险导向的内部审计项目

在现场审计项目中要引入风险导向审计理念，其审计思路就是：以突出风险管理与风险控制为目的，以项目的预计风险确定审计方向和审计质量控制的依据。在具体操作中可将其分为三个阶段实施：

（1）审前风险评估及分析阶段。审计人员在日常工作中注重通过各种渠道、利用各种合理合法手段收集相关的信息，并进行综合分析，判断其可信度，合理预测被审计对象的潜在风险，评估风险的等级，以此确定现场审计关注等级，确定开展审计时的主方向。

（2）现场查实及新审计线索风险分析阶段。审计人员一方面根据审前分析的风险点进行格外关注并逐项核实，另一方面要对现场审计过程中新发现的审计线索进行风险分析，然后根据具体情况，适时调整审计方向与重点；

（3）风险确定及后续风险导向审计分析阶段。在现场审计结束前，审计人员需就查出的问题与被审计单位相关人员及时进行沟通，共同分析存在问题的原因及潜在风险隐患。与被审计对象共同探讨整改方式方法，督促被审计单位尽早完善内部控制制度，强化责任人的风险意识，落实整改责任。现场审计结束后，还要及时出具审计报告，提出整改建议。在现场审计结束后，审计人员需要根据发现的问题，分析风险程度及等级，及时确定后续审计重点，并于规定的时间内开展后续审计。

（1）加强内部审计质量的过程控制。一是制订审计计划，搞好审前调查，编制实施性、操作性强的审计实施方案。二是抓好审计证据的质量控制，规范审计人员书面记录。三是加强审计报告的质量控制。四是重视审计结论的落实，做好后续审计和审计回访工作。五是提高审计复核层次，加强审计督导。

（2）以人为本，提高内部审计队伍的综合素质。我们对审计质量的控制应该以“人”为本，从“人”抓起，建立一支责任心强，业务素质好，具有良好职业道德的复合型内部审计队伍，适应审计工作不断创新的需要，这是提高内部审计质量的重要条件。

问题六：公司内部审计的质量控制的开展情况。

内部审计的发展速度靠自身管理水平的提高，而实施内部审计质量控制是其生命之源。只有不断改进内部审计工作，加强内部审计质量控制，提升内部审计机构在组织中的地位，才能更好地发挥内部审计的作用。我们从以下几方面对内部审计质量进行控制。

1.建立健全内部审计质量控制职责和控制制度

明确内部审计质量控制的职责，这是实施内部审计质量控制的主体。同时，建立健全内部审计质量控制制度，这是加强内部审计质量控制，提高内部审计质量的保证。具体来说，包括建立健全内部审计的内部控制制度、监督检查制度、内部审计质量的考评制度和质量控制的责任制度。

2.建立健全内部审计质量控制的方法体系

建立内部审计质量控制的方法体系，抓好关键质量环节的有效控制。关键点是对内部审计工作质量有重大影响的内部审计业务活动。对审计工作来讲，要针对关键点进行重点控制，考虑成本效益原则，把全面控制和重点控制相结合，使审计效果与审计效率达到平衡。

问题七：公司内部审计成果的运用情况。

内部审计成果的充分运用，有利于加强公司风险预防和管控。为了确保内部审计工作落到实处，审计工作不流于形式，公司从以下几个方面加强内部审计成果的运用：

（1）定期或不定期梳理审计项目成果，分析、研究审计成果反映的普遍性和规律性的问题，结合内部控制与风险管理措施的有效性，提出依据充分、针对性强、切合实际、具有建设性的意见和建议，充分发挥内部审计的监督管理职能，并为决策层决策提供有利依据；

（2）与被审计单位进行良好对接，加强后续审计，跟踪落实审计成果，促进审计发现的问题得到及时、有效的纠正，实现内部审计工作的闭环管理，确保审计成果落到实处。

（3）建立企业信息系统的资源共享机制，满足内部审计人员了解法律制度、行业特点、经营环境以及经营和发展战略、业务流程、风险评估、业绩评价等方面的需要。

内部审计的转型及发展

赵 健 合伙人

郭松波 副总监

德勤北京事务所

德勤大连事务所

企业风险管理服务

内部审计不仅是现实资产的守护者、财务账表的复核者、会计核算的勾稽者，更是强化管理的促进者、提高效能的推动者、价值增值的促导者。内部审计必须以“强管理、防风险、促发展”为己任，积极探索以“风险为导向、控制为主线、治理为核心、发展为目标”的管理审计和绩效审计，积极探索以“事前审计为基础、事中审计为重点、事后审计为保障”的审计模式。

——刘家义（国家审计署署长）

细心观察，我们也能发现，当代国际内部审计界自20世纪90年代以来一直在悄然地发生着变化，内部审计向更高阶段转型是整个业界的大势所趋。20世纪90年代以来，企业所面临的经营环境发生了重大变化：经济全球化且竞争日趋激烈，信息技术及其应用迅速发展，跨国间的收购、兼并与战略联盟成为当代企业战略管理的重要内容，并由此促使企业管理不断变革。这些环境变化直接导致企业所面临的不确定性大大提高，风险不断增大。这些环境变化以及相应的种种风险，导致企业对内部审计的期望发生改变，政府监管部门、社会公众、企业的治理层、管理层对内部审计的必要性和重要性有了新的认识。内部审计逐渐成为“聚光灯下的职业”，以风险为导向、以控制为主体、以增值为目标的内部审计新模式正在成为主流。内部审计将从以前消极地以“发现和评价”为主转向积极地“防范风险和推进解决问题”，从单纯强调内部控制转向积极关注、利用各种方法来改善公司的风险管理和经营业绩。

当前，大部分国内企业的审计部门仍以传统的财务审计为主，中国内部审计协会在《国有企业内部审计发展报告》一文中也强调，“目前，国有企业财务审计虽已出现由占主导地位开始逐步弱化的趋势，但财务审计作为内部审计的基础性工作，仍占据主要位置”。但我们注意到这种情况正在发生变化，愈来愈多的企业正在与包括德勤在内的咨询机构频繁接触，探讨中国企业在全球变化的背景下如何实现内审的转型。

我们认为，从全球来看，随着对公司治理、风险管理、内部控制和道德规范的关注度日益提高，内部审计也将受到相应影响。而且整个亚太、大中华地区的法规日益严格，要求企业改进管理体系并增加财务报告的透明度。机遇与挑战总是并存的，现在正是内部审计人员的最佳时机，内审人员要看到“危”中有“机”，以危机和风险管理为契机，实现内部审计的渐进式转型，与管理层更密切地交流合作，在改善企业成本、提升企业运营效率等方面发挥更大的作用。

一、全球内部审计的发展趋势

由于全球的经济危机和不确定性愈加频繁，内部审计正在企业中发挥着愈来愈重要的作用和影响。企业和各类机构都在积极地探索内部审计的未来发展趋势。目前，国际内部审计师协会已成立专门小组研究内部审计未来的发展趋势。德勤的研究表明（如表1所示），领先的内部审计机构正处在“当前主流”的模式，部分优秀企业已经开始过渡到“未来阶段”。

综合起来，全球内部审计的发展可以总结为以下几点：

从“以控制为导向”到“以风险为导向”。

在过去，控制导向审计是内部审计人员普遍使用的审计方法。内审人员将重点放在企业的合规性上，容易忽略企业的战略目标和愿景。因而，内审在应对企业的风险方面没有起到实质性作用。企业已经认识到这一审计模式带来的许多问题，例如严格的控制阻碍了组织程序的正常运作，沟通变得更加困难等。

有风险才会有控制。不进行风险评估而想得到有效的评价控制是不可能的。最新的控制模型，如美国的COSO报告将风险评估列为控制的核心，以风险评估为基础的风险导向审计使内审人员开始关心企业所面临的风险，将内部审计步骤同企业目前的战略目标和企业环境结合起来。

表1 内部审计的发展趋势

从“执行者”到“制定者”。

传统的内部审计所制定的内控条例经常与企业实际的运营是脱节的，而在这种情况下的内控制度只能用来监督控制企业运营的合规性，防止舞弊等事情的发生，保证企业按照国家有关法律合理地运作。但是，在形势日新月异的今天，这种僵硬的执行性控制模式无法适应企业快速的节奏，反而会使企业错失发展的机遇。因此，当今一个优秀的内审部门，将参考业绩的评估和各利益相关方的预期，综合自己内部审计的战略规划，依据审计委员会和企业管理层的需求，来制定并执行审计计划。从而能够保证在内审规范下的企业按照其战略目标发展下去。

从“人工手动”到“系统评估”。

随着企业活动的复杂性的增加，涉及的领域越来越广泛，传统的人工式的内部审计的效率已经无法达到内部控制的要求，而且人工很难发现那些隐藏在深处的舞弊和漏洞。因此，近几年来，计算机辅助审计技术已经被广泛地运用到企业的内部控制审计活动中，以便以最具效率和效能的方式实现以上目标。

二、国内企业内部审计现状

针对国内企业内审情况，德勤曾连续多年对企业内审、内控建设情况进行问卷调查，通过对调查结果的分析，我们可以看到内部审计工作在实际开展中既存在令人欣喜的“亮点”，又有催人深思的“难点”，具体来说，表现为以下两个方面：

亮点1：宏观经济的波动为内审的地位提升和转型提供了良好契机。

内部审计作为企业自我约束机制的重要组成部分，其在企业风险防范的过程中理应发挥重要的作用。国资委《中央企业全面风险管理指引》中对企业的风险管理工作提出三道防线，即“各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线”。

而在现实中，由于我们国家的内审工作起步晚，部分企业对内审在促进企业发展、实现风险防范方面的作用认识不足，管理层“对内部审计职责和功能的认识仍然停留在查错纠弊的层次上，或者将审计工作与纪检监察工作等同起来或相混淆，将其定位在查处违法违纪违规上，有的甚至将企业自主经营与加强内部审计工作对立起来”。自2008年金融危机以来，国际国内宏观经济的大幅度波动，使得企业管理层提高了对风险管理和内部控制的重视程度，而内部审计作为公司风险管控的重要的一环，对其重视程度也相应地提高，现在在审计工作中事前事中审计增多，内审人员更多地参与了流程前端的风险防范工作，这表明金融危机为企业管理层对风险控制以及内部审计的观念转变提供了良好的契机。

亮点2：内部控制审计的基础日趋成熟，正在向纵深发展。

内部控制审计在国内的发展时间不长，在国内整体公司治理不规范，基础管理工作不到位的情况下，其发展受到比较大的影响。因此，内部控制体系的健全与否对开展内控审计工作具有重要的意义。

自2007年起，德勤连续对中国上市公司展开相关调查。连续四年的调查结果表明，上市公司对内部控制的重要性和工作思路的认识持续加深，采取了一系列措施来加强和完善内部控制，不仅为了回应监管要求，越来越多的上市公司开始以合规为契机，寻求管理和运营方式的变革和提升。

2011年数据显示，93%的受访者认为“应设置独立、权威的内部审计机构，对内部控制的执行情况进行监督”。此观点与《企业内部控制基本规范》对内部审计应加强内部控制监管的规定一致。

虽然调查展现出令人欣喜的亮点，但还是存在着一些问题或者说是难点，需要在今后的工作中予以关注，归纳起来，大至有以下两个方面：

难点1：内部控制审计的转型仍然缺乏可执行的标准和依据。

虽然绝大多数企业从管理层面上已经认识到了内控审计的重要性，但从操作层面上看还是过于笼统。此外，由于内控审计本身在国内还处于一个发展阶段，在实施的技术以及机制等方面还有很多工作需要完善。公司董事会、高管层对于内部审计性质、目标、职能等基本问题的认识还不是特别充分，使得财务审计、合规性审计仍占据了内审人员大部分的工作时间，运营审计、风险管理审计、内部控制审计等增值型审计的开展仍不够全面和深入。

难点2：风险分析技术的运用以及风险管理审计工作的开展仍停留在理念阶段。

风险管理审计与传统的内审工作相比，在技术工具的使用上有较大的差别，特别是在风险识别和风险评估方面。而根据我们的调查，仅有21%的受访者认为本企业的内审人员在上述方面已具备了足够的能力。具体到内审部门对公司总体以及各业务活动的风险偏好/风险承受度等的了解，仅有37%的受访者认为，他们比较清楚地了解，其他人员则表示不清楚或不确定。这表明，快速提升内审人员自身在风险管理方面的知识和能力是未来推动风险管理审计工作的重要的一步。

另一方面，公司风险管理体系的建立相对滞后也对风险管理审计产生重要影响。风险管理审计作为企业风险管控体系的重要一部分，其发展成长是与企业整体的风险管理体系的发展密切相关的。但由于企业风险管理体系还处于初步阶段，如17%的受访者表示公司已经系统、全面地识别并评估了公司各项流程中的风险，37%的受访者认为企业已经建立了面对重大风险的风险预警及报告机制，以上数据表明，还有大量的企业未能建立完整的风险管理体系，因此也制约了风险管理审计技术的发展及应用。

除此之外，我国企业的内控审计还存在着内审人员专业素质不足，对于计算机辅助审计程序等运用不熟悉；企业对于内部审计部门的定位还不甚清晰；内部审计部门的独立性不高，导致内审报告的质量受到影响；企业对于具体的风险分析技术的运用以及风险管理审计工作的开展仍停留在理念阶段等限制。

三、内部审计未来转型和发展的方向

内审转型不意味着取消传统的审计业务，而在于兼收并蓄、整合提升，一方面稳固并强化传统的财务收支审计，另一方面逐步将财务收支审计与内部控制审计、风险管理审计融合、互动发展，同时要充分考虑国际内审发展的一些新趋势，将其与现有内审技术融合。国内内部审计的发展与转型应充分考虑国际内审发展的一些新的动向，这些新动向重点体现为以下几个方面：

未来五年影响内部审计发展的重大趋势：

· 风险管理

· 信息技术

· 公司治理

· 新法规、道德和合规要求

· 全球化

未来五年愈加重要的内审职责：

· 持续监控/持续审计

· 风险管理审计

· 舞弊预防与侦测

· 信息技术审计

· 公司员工教育和培训

未来五年最重要的内审技能：

· 风险导向的年度审计计划的编制

· 风险评估与分析技术

· 信息技术

· 风险管理协调

· 舞弊侦测

企业内审转型是一个渐进的过程，既要考虑到转型的大方向，又要结合企业的实际情况，走自己的路；企业要建立风险导向型的内部审计，需要在现有审计体系中重点关注以下五个要素，即战略和价值定位、组织架构、工作流程、人力资源、技术手段（如图1所示）。

图1 风险导向型内部审计

就中国企业而言，由于内审水平参差不齐，内审转型不是一促而蹴，德勤基于对国内企业转型的研究，总结出中国企业转型的一般模式（如图2所示）。

我们将内部审计转型大体分为四个阶段，即内部审计传统业务的规范化阶段、传统审计业务提升与扩展阶段、内部控制审计全面化、常规化阶段，最后过渡到成熟的风险管理审计阶段，后一个阶段是对前一个阶段的“扬弃”和兼收并蓄。每个阶段对风险的关注程度（成熟度）逐步提升。

在明确了未来的内审转型方向后，我们认为，国内企业近期可结合监管机构要求，通过以下工作逐步推进内审转型。

重点工作一：以财政部等五部委的《企业内部控制基本规范》的实施为契机，进一步深入研究内部控制审计的工作模式和方法，加大内部控制审计在内部审计工作中的比重，并将传统审计业务与内部控制审计有效融合，促进公司内控体系建设，具体包括：

· 结合公司业务目标和风险以及《企业内部控制基本规范》，制定或完善内部控制审计标准，包括明确内部控制测试的方法、工具以及工作模板等；

· 明确内部控制审计范围，不仅应覆盖具体的产供销及人财物等业务流程，而且要对公司的战略、组织结构、企业文化、社会责任、公司治理等“软控制”进行评估和审计；将内部控制审计与传统财务收支审计、经营绩效审计以及经济责任审计等有机结合，互为补充，逐步进行融合；

· 着力培养IT控制审计人才、探索IT控制的审计方法。

图2 内部审计的发展路线图

资料来源：德勤内部审计研究 2006。

重点工作二：在内部控制审计的基础上，尽快探索风险管理审计的工作模式并在审计的全过程逐步运用风险管理技术，逐步将内部控制审计与风险管理审计更好地融合起来，具体包括：

· 优先推行风险评估基础上的年度审计计划，并在常规审计过程中，提升风险识别、分析、评估的技术方法和手段，研究专项领域的风险应对策略和控制方案，逐步推进风险管理审计的开展；

· 正确定位内部审计在企业风险管理中的角色，将内部控制审计作为风险管理审计的一个重要的组成部分，从以下角度尝试开展风险管理审计，例如：

· 协助组织系统地识别、分析和评估风险；

· 确定组织是否恰当考虑了风险的相互影响 ；

· 协助组织确定日常风险管理是否与其风险承受能力相匹配 ；

· 通过内部控制审计推进风险控制措施的改善与落实；

· 提供主要风险领域（如并购、海外拓展以及舞弊等）的专业知识和意见，研究消除风险管理低效的手段 ；

· 为公司员工提供风险管理技术培训。

· 对于已经开展企业风险管理体系建设的公司，内审应该考虑对企业风险管理的全流程进行定期审计。

图3所示是一家国内大型企业集团内部审计的转型经验，我们看到，向风险管理审计转型，对于中国企业来讲需要一个渐进的过程，既要考虑到转型的大方向，又要结合企业的实际情况，走自己的路。

图3 内部审计的转型经验

善用工具，强化战略分析，提升稽核效能

林冠经理

德勤台北事务所

企业风险管理服务

一、企业营运信息化，主动辨识及管理风险观念兴起

随着信息科技的广泛运用、云端技术的渐趋成熟发展，企业均已开始结合多平台的作业环境、分析多变性的交易型态，来分析大量数据，并据以建置实时性的营运战略环境，提升营运效率，增加企业竞争力。

随着数据集中化、业务电子化、管理信息化，企业需对重要关键业务进行及时追查，方可强化战略数据的完整性、正确性及有效性。

因此，作业人员的时间压力亦随之提升，故为了提升作业执行效率、效能，及时追踪关键业务作业及数据质量，将自动化稽核工具及观念导入前端业务单位。通过业务单位在营运监控过程中主动辨识及管理风险，并运用计算机辅助工具以进行持续性稽核，将大幅提升于前端作业及时发现问题并改正其状况，降低后续错误弥补成本，已成为企业营运的必然趋势。

二、好的方法可以有效协助避免风险，强化数据质量

德勤依据数据质量管理方法论（Diagnostic Assessment、 Opportunity Identification、Redesign、Implementation），结合在地产业的服务经验，整合ACL（Audit Command Language）工具，协助电信业、金融业、制造业等，建置包含账务系统出账正确性检核系统、受理系统数据抛转正确性验证、固定资产系统折旧验算、舞弊侦测作业等作业检核工具（见图4）。

图4 数据质量管理方法论

如协助某金融业者建置会计信息系统舞弊侦测项目，就是通过筛选德勤在台湾累积的数百家查核经验的数据库，整合客户产业特性、资金运用检核作业，评估近百个风险查核项目；然后通过ACL链接各信息系统，进行数据交插比对、逻辑验算、流程比对，将系统中不一致、未及时修正及不符合的数据整理出来并结合现有报表进行自动产出；接着再由稽核人员依据所发现的问题资料进行后续验证，除达到错误及时修正，亦能实时进行流程改善，进而确保管理阶层能通过有用的信息进行策略规划（见图5）。

又如，协助某电信业者建置营收确保的项目，通过流程访谈与检视、风险辨识与评估、控制定义与复核、抽样与测试、建议与改善，搭配网络交换机、账务系统数据，进行通话明细（Call Detail Record）、译码（Decode）、过滤数据（filter）验证、受理（Order）系统一致性验证，批价（Rating）及计价（Billing）正确性检验等，协助客户建置自动化验证系统，通过每天晚上系统自动处理近亿笔与几百万客户的数据，完成数据分析，及时找出营收可能减损之处（见图6）。

图5 舞弊侦测流程

图6 营收确保项目

三、现有数据分析方式优缺点说明

基于便利性、时效性及信息技术，人们常以EXCEL做为工具。对业务单位访谈作业流程后，通过EXCEL工具函数功能进行数据分析，其优点包括：内容简易、易于完成；所需耗费的时间成本小；然而其仅可完成一次性查核，无法再次使用，且仅能使用于少量数据的验证。

此外，常见状况为业务单位因不了解稽核的目的，抑或信息技术过于复杂，造成提供数据之困难，并且无法确保数据未遭受不当修改，以致常遭质疑产出内容的正确性，因而以失败作收。

再者，由于每个人对于业务、工具的熟悉程度不同，因而造成已完成的数据分析工具无法交接给其他人员重复使用或在其他检核项目中修改，亦无法将此概念或工具有效传递给其他业务单位。

四、从数据源头执行营运稽核

受限于人力安排，公司内部稽核工作依据稽核计划，各部门大多仅能一年查核一次，且由于时间压力，稽核人员仅能在有限时间内，完成法令要求的必要检核作业，针对其余有关营运效率的检核无法多加着墨。

通过系统化、自动化工具自动且定期执行关键业务的检核重点，除可提高人员使用自动稽核工具的能力以及加强查核深度外，亦可通过分享工具，使业务单位在营运作业中主动辨识并管理风险，进而确保数据存放在不同系统及不同处理逻辑中的质量及正确性，进而强化并协助管理当局依据完整、正确及有效的数据进行管理决策，提升企业的营运效益。

内部审计为企业创造价值——防治于行医问诊间

袁 燕 副总监

德勤上海事务所

企业风险管理服务

在很多人看来，内部审计并不为企业创造价值。

事情真的是这样吗？在探讨这一点之前，我们先来看一下内部审计的定义。内部审计之父索耶[1]对于内部审计的定义是：“对组织中各类业务和控制进行独立评价，以确定是否遵循公认的方针和程序，是否符合规定和标准，是否有效和经济地使用了资源，是否在实现组织目标。”而在1999年6月，国际内部审计师学会董事会通过了内部审计的如下定义：“内部审计是一项独立、客观的咨询活动，用于改善机构的运作并增加其价值。通过引入一种系统的、有条理的方法去评价和改善风险管理、控制和公司治理流程的有效性，内部审计可以帮助一个机构实现其目标。”

可以看到，两种定义虽然略有不同，但核心思想一致，都强调内部审计的目的在于帮助组织实现其目标。而在笔者看来，帮助组织实现目标的活动，就是为组织创造价值的活动。因为对组织而言，实现其既定目标就是其价值所在。

人们通常把内部审计视为企业的医生，在这种比喻关系下，内部审计为企业创造价值的表现形式是使企业保持健康。借用这种比喻关系，结合上述定义，笔者理解内部审计为企业创造价值的主要表现方式为：

（1）日常预防。企业为实现其既定目标建立的制度、运作流程、哪些必须做哪些不能做，等等内容，员工是否都熟悉并且遵照执行呢？如果没有做到，就好像一个人没能按时一日三餐、规律作息一样，迟早会生病。内部审计的存在，撇开其别的意义不说，首先就帮助企业完善了其控制环境，给员工一种“有一只眼睛在看着我们”的心理暗示，从而在一定程度上确保员工能够按照企业的要求开展工作，减少不作为或者是发生舞弊的可能性。企业和人一样，如果只有高瞻远瞩而没有强健的体魄支持，在当前生存环境多变且竞争激烈的情况下，是很艰难的。

（2）健康检查。内部审计开展的日常工作可以帮助了解企业当前的健康状况。若健康，则说明企业上至管理下至执行，都运行在正常的轨道上，这种积极的结果，就好像我们做完定期体检后拿到一份没有问题的体检报告一样，给人鼓舞和力量，放在企业则是对被审计部门工作的肯定，鼓励员工再接再厉。若发现企业不健康，则可以帮助识别究竟存在哪些病症，以及哪些地方虽无病症但已处在亚健康状态，需要尽早引起注意（即定义中所说的独立评价），尽早防治，以避免积劳成疾或是积重难返。

（3）分析诊断。在发现存在的问题后，内部审计需要去思考问题的起源，通过与管理层沟通、分析、评估等种种方法去审视企业日常饮食作息等各种生活细节，了解病灶的根源（定义中所说独立评价的又一层含义）。

（4）草拟药方。在了解问题产生的根源之后，内审部门需要根据企业及其各个部门的特点，对症下药，给出建议的药方，以逐步消除已有的病症，将处于亚健康状态的机能调理回健康状态（即定义中所说改善风险管理、控制和公司治理流程的有效性的含义）。对内部审计部门的独立性要求，决定了其不能参与内部控制系统的设计、安装和执行，而只应承担与检查、评价和建议相关的审计责任。就好比医生开出的药方，只是建议病人可能这样治疗最好，但最终是否按照医生的建议执行还是采用其他方法，由病人决定。略有不同的是，在企业内部，内审部门身兼监督的职责，因此，对于发现的问题，需要监督相关部门确定自身的处方，而不能放任其像有些病人一样对病症采取听之任之、破罐子破摔的心态，因为这将有碍于组织目标的实现。

（5）定期回访。以确定企业切实遵照最后确定的药方，按时服药治疗（改善风险管理、控制和公司治理流程的有效性的另一层含义）。

（6）根据定期回访结果，评估企业身体状况的变化以及已开药方的实际效果，对药方进行必要的调整（内部审计是一个动态的系统工作）。

作为企业的医生，内部审计部门创造的价值，有有形的，也有无形的。比如上面提到的内审部门的日常预防作用，是一种无形的价值；在具有一定规模的组织中，内审部门可以防范的潜在舞弊和不合规行为所带来的损失，往往比内部审计部门的日常运行成本要高得多。再比如，对于上市公司尤其是海外上市的公司而言，建立了健全有效的内审体系或是一个积极运作的内审部门，能够给投资人带来信任感，从而帮助提高其市场价值。而内部审计部门创造的有形的价值中，有些可以量化，有些则无法量化。

比如笔者接触过一家美国公司，其驻上海代表处在内部审计过程中被发现了财务经理和出纳合谋的长期舞弊行为，最后财务经理和出纳进行了一定的赔偿后被解除了劳务关系。这个过程中确认的舞弊金额和将要发生但未实施完的舞弊金额，是内部审计创造的可以量化的结果。

再比如笔者朋友所在的公司对存货管理进行例行内部审计。在审计过程中，她主要关注已有的存货管理流程和对存货管理的要求是否得到切实执行。通过访谈、抽样测试等方式，查看存货的收发是否按要求进行、是否定期进行盘点、是否定期分析存货账龄等内容，相当于在执行医生给企业体检的活动。经过一系列的测试，得出结论认为企业存货管理得到了有效执行，本次存货管理检查没有发现什么问题。而她的内审老板，看了一眼存货明细组成，提出了一个问题：目前的存货组成是否符合企业的发展目标？朋友的企业刚调整了市场方向，要大力发展某更高利润的产品，而逐渐放弃原有的几种低利润产品，可是目前的存货组成中的大部分产品仍是用于生产原有的低利润产品的，而高利润产品生产所需的原材料占比很小。她的内审老板由此指出存货的现有构成一方面可能因无法及时生产足量的高利润产品，影响及时交货，从而影响到现有市场战略的实现，另一方面则可能导致低利润产品的库存积压等。在将此发现向管理层反馈后，管理层采取了一系列手段调整了库存结构并对相关流程进行了完善。这个内审发现所创造的结果，一部分是可以量化的，比如减少了库存及相关的资金成本，而更大的一部分是没有办法量化的，比如确保组织的市场战略在各个部门得到及时统一的贯彻，比如减少了新产品因原材料库存不足而延长交货周期的可能性，提高市场响应速度等，其带来的经济效益或许并不亚于可以量化的成果。

上面这个例子同时也表明，一个好的医生不仅要能够发现已经存在的病痛并治疗之，也要能发现可能引起病痛的风险并及时提醒企业进行调整，即及时发现亚健康状态。所以，要做一个好医生，需要对企业目标和企业本身有充分的了解，而要做好这一点，对企业所处行业的长期跟踪分析、对企业个体目标的充分认知、对企业个体本身的熟悉和了解，都是至关重要的。

回到内部审计是企业医生的这一比喻关系。如果在实际中有两个人，甲某，能够及时发现身上各种小病小痛，及时治疗并调节起居作息从而始终保持健康的工作生活；乙某，从不在意已经出现的小病小痛，直到被病痛缠身，经常要请假去医院接受各种复杂治疗并支付各项高昂的治疗费用，且终日被病痛折磨到无精打采。这两人相比，谁更能实现自己的人生目标，谁又能为自己创造更多的价值呢？显然是甲某。而内部审计就是甲某头脑中那个关心自己身体状况的意识，也是甲某及时自我治疗并调节起居作息的行为。

综上，笔者认为内部审计能够为企业创造可以量化和无法量化的各种价值，帮助企业实现目标。而要最大化发挥内部审计对企业价值的创造，内部审计师既需要提高自己的专业素养，即对内部审计方法和经验的积累，也需要增加自己对被审计企业的了解，包括企业目标、战略、所处行业和企业实际情况等。

【注释】

[1] 劳伦斯·B.索耶（Lawrence B.Sawyer）是一位律师、作家、会计师和内部审计师。他曾在美国审计总署担任内部审计总监。他发表过近百篇学术论文，出版过数本学术专著，其中包括《现代内部审计实务》（1973年）、《现代内部审计》（1974年）、《管理和现代内部审计》和《内部审计手册》。索耶称得上是当代世界第一流的内部审计权威人士，现代内部审计的重要奠基人。为了表彰他对内部审计职业所作出的卓越贡献，内部审计师协会向他颁发了内部审计最高奖——布雷德福纪念奖，并四次向他颁发了瑟斯顿奖。

如何做好银行业IT审计

朱 磊 合伙人

曹 经理

德勤上海事务所

企业风险管理服务

近年来，因银行业务流程对信息系统的依赖程度日益加大，使得信息系统的固有风险随着系统的复杂化而不断增加，高度集中化的银行信息化管理也面临着更加严峻的考验。因此，作为商业银行信息科技风险管理的第三道防线——信息系统审计（简称“IT审计”）在银行内部控制建设过程中扮演了更为重要的角色。

一、银行IT审计的意义

目前，信息系统的正常运行已经成为银行业务正常运营的最基本条件之一。信息科技在有力提升银行核心竞争力的同时，其风险也愈发突出和集中。信息科技风险控制已成为银行业风险管理的重要内容，而IT审计作为银行业风险管理体系的重要组成部分，其重要性和必要性已经日益得到银行业管理层的关注。同时，国家相关部门对信息系统的管控也越来越重视，自2006年8月发布《银行业金融机构信息系统风险管理指引》开始，银监会正式对银行科技风险进行监管，近年来推出一系列制度和措施（见表2），监管工作逐步走向规范化。通过IT审计来保证和监控全行的信息科技管控对各级监管政策法规的合规性，也成为银行业实施IT审计的重要目的之一。

因此，银行业加强和规范IT审计，既是自身发展和获取竞争优势的内在需要，也是监管当局的外部要求。

表2 银监会对银行科技风险进行监管的系列制度和措施

二、银行IT审计的标准

准确地运用标准和参照，是顺利开展IT审计工作的重要前提之一。

（一）COBIT

COBIT（Control Objectives for Information and related Technology）是由信息系统审计与控制基金会最早在1996年制定的IT治理模型。这是一个国际上公认的、权威的安全与信息技术管理和控制的标准，也是目前国际上通用的信息系统审计的标准之一。COBIT是一个基于控制的IT治理模型，其制定的宗旨是跨越业务控制和IT控制之间的鸿沟，从而建立一个面向业务目标的IT控制框架。

COBIT本身并非针对IT审计的专门论述，其面向的使用者可以是企业中想通过改善IT过程实现经营目标的管理者，也可以是业务过程的所有者，即用户，也可以为IT审计师。它在商业风险、控制需要和技术问题之间架起了一座桥梁，以满足管理的多方面需要。在最新的COBIT5.0版本中，COBIT已经被称作“一个治理和管理企业IT的业务框架”。

COBIT4.1版本中经典的体系框架一直为众多使用者参考使用，它包括了实施简介、实施工具集、高层控制目标框架、管理指南、具体控制目标、审计指南等一系列文档（见图7）。管理指南为每个过程提供了关键成功因素、关键目标指标和关键绩效指标等，并根据这些指标对每个过程进行了成熟度模型的划分；而审计指南，则就审计的控制目标、调查对象、需要掌握的证据及如何进行测试和评估做出了详细的说明。

COBIT4.1版本中的流程参考模型将所有与信息系统相关的活动进行了划分，主要包括34个流程，分属4个域。而COBIT5.0的参考模型涵盖了治理和管理流程的完整集合，共分为37个流程。COBIT5.0流程参考模型是COBIT4.1流程参考模型的继承者，同时也融合了风险IT、价值IT流程模型。COBIT的广泛通用性也造就了它在应用上的弱点和难点，即COBIT中对相关流程和控制目标的描述过于笼统普适，需要使用者结合企业的实际情况和专业经验进行较大的定制化方可实施。

因此，COBIT模型的最大作用是将IT过程、IT资源与企业的策略和目标联系了起来，保障了企业的IT战略目标和其业务发展目标的一致性，也在IT管理层、IT技术人员/用户和IT审计师之间搭建了桥梁。

（二）《商业银行信息科技风险管理指引》

近年来，银监会信用风险、商业风险和操作风险管理指引的发布，以及《巴塞尔协议II》在银行业内的逐步实施，推动了银行内部风险管理机制的建立和健全。但是，在全面风险管理的框架下，目前银行的信息科技风险管理机制滞后于业务风险管理体系的发展，并未建立体系化的风险管控机制，成为了银行风险管理体系中的短板。这主要体现在，信息科技风险治理组织不健全、风险管理制度不完善、风险处理过程规划依据不充分以及风险监控指标不明确等方面。

2009年发布的《商业银行信息科技风险管理指引》（以下简称《指引》），定义了商业银行信息科技风险的总体框架，即在当前商业银行普遍的信息科技现状下，可能存在的重大信息科技风险的范围，使商业银行的风险管理过程，能够集中精力在相关领域中。

图7 COBIT4.1的体系框架

《指引》确定了九大管理领域，即信息科技治理；信息科技风险管理；信息安全；信息系统开发、测试和维护；信息科技运行；业务连续性管理；外包；内部审计；外部审计。这些领域覆盖了信息科技管理的大多数重要活动，这些活动中存在的风险可能会对业务产生重大影响，因此对这些领域的风险识别和管理，应当在信息科技风险管理中优先对待。

在这九大领域中，IT审计占两个，分别是内部审计和外部审计。而《指引》本身，就是一个针对银行的框架完整的IT审计标准，银行可以参考这个标准，开展IT审计工作。

（三）IT审计标准的选择

实践中使用的标准远不止上述两个，而且，这两个标准的建立本身就参照了很多IT相关的较为成熟的标准。如，COBIT制定时参照的标准就有ISO系列的相关IT技术标准、审计行为准则等；《指引》中信息安全管理领域的内容建立参照了信息安全管理体系的国际标准ISO27001。

另外，由于信息科技的细分领域众多，在进行某些细分领域的专项审计或单领域审计时，可以考虑单独使用某些国际或国内标准作为审计标准，从而达到更深入和专业的目的。比如，在进行信息安全方面的审计时，可参考ISO27001等国际标准或国内标准SSE-CMM；在审计IT运维、IT服务的交付和支持相关领域时，可以考虑采用ITIL作为审计标准；在审计IT内部控制建设相关领域时，还可以采用COSO模型中的描述来比照评估。

银行应当依据自身特点，结合本行信息科技工作的特点以及每次IT审计的目的和范围，有选择地采用审计标准。同时，根据本行信息科技工作的水平分阶段地来实施标准中的要求。

三、银行IT审计方法

为了提升IT审计工作的效率和效能，实现有效的风险管理，笔者认为商业银行应当切实开展基于风险的IT审计工作。下面，笔者将介绍一个基于风险的银行IT审计的典型工作方法。

基于风险的银行IT审计工作可以分为6个步骤进行，包括制定审计目标、确定风险领域、制定审计计划、设计审计程序、执行审计计划以及出具审计结果和管理建议（见图8）。其中，“确定风险领域”和“设计审计程序”是最为关键的环节。

（1）制定审计目标。银行IT审计委员会确定项目所采用的方法论、框架体系和审计目标，并对审计范围和资源配置进行说明，同时拟定最终的报告内容范围。

（2）确定风险领域。IT审计人员根据银行的信息系统现状，结合银行的战略和业务目标，制定出适合的风险框架，包括风险等级的划分标准以及风险评估模型等。审计人员从信息系统本身的脆弱性和其对业务目标实现的影响两个维度出发，分析评估银行各信息系统的风险现状，从而筛选高风险的信息系统。筛选参考的分析因素和方法可参考图9进行。

图8 银行业IT审计工作的步骤

图9 确定风险领域

（3）制定审计计划。基于前一阶段的风险评估结果和IT审计的关注领域，拟定以风险为导向的内部审计计划；内部审计计划在得到银行管理层最终批准之后，确定各项审计任务所需的资源和具体执行时间。

（4）设计审计程序。对计划进行IT审计的信息系统和其支持的业务流程进行详细了解和记录，编制风险和控制矩阵，并针对选定的信息系统和其支持的业务流程分别制定不同层面的审计程序。

目前银行业IT审计比较典型的层面划分如图10所示：从上至下分为银行管理层面IT控制、应用控制和面向计算机环境整体控制三层。具体各层面的审计内容为：

银行管理层面IT控制审计（ELC）：关注银行的IT治理、合规、IT战略和规划。

应用控制审计（AC）：关注业务流程中内嵌的信息系统相关控制，以保证信息处理的完整性、准确性、有效性和访问控制。应用系统控制包括数据控制、业务流程控制、接口控制、系统外控制。

计算机环境整体控制（ITGC）：关注与IT相关的管理控制，包括IT运营、基础设施和流程、信息安全、业务持续性管理和灾难恢复、IT基础设施等方面。

这三个层次的划分将有助于审计人员从多个角度审视银行的信息科技风险管理工作。

（5）执行审计计划。IT审计人员将根据拟定的审计程序执行现场审计工作，记录测试结果，对测试结果进行复核和评估，并与相关人员沟通测试发现。在执行过程中，审计人员可以通过佐证性询问、现场观察、文件检查、重新执行和计算机辅助审计技术等五种测试方法中的一种或几种对某项控制活动的运行有效性进行测试。

（6）出具审计结果和管理建议。向银行管理层汇报各项审计发现和风险分析结果，出具最终的内部审计报告，并根据各项审计发现，提出合理的管理建议。

四、银行业IT审计展望

（一）以风险为导向的IT审计

在《指引》中，多次提到应基于风险评估结果指导IT审计活动。这反映了银行业IT审计的发展导向：从原本以合规审计为主，逐步转变为以风险导向的审计方法；银行IT审计的职能和角色也在过去这些年发生了不少变化，从以合规审计为主的工作，逐渐变成了活跃的内部或外部业务顾问。如前文所述，基于风险的银行IT审计工作将成为银行IT审计的主流工作方法。

图10 银行业IT审计的层面划分

（二）计算机辅助审计技术（CAATs）的广泛应用计算机辅助审计技术是指审计人员在审计过程和审计管理活动中，以计算机为工具，来执行和完成某些审计程序和任务。它本身并非IT审计师的专利，但笔者认为，它的深层次运用，对于IT审计，尤其是对于海量数据集中管控的银行业的IT审计，有着更大的作用和待挖掘的潜力。

计算机辅助审计包含两个层次的内容：第一个层次是指在审计业务中利用电子表格、数据库、文字处理常规软件中的一些功能，或审计人员自编的一些小程序，帮助审计人员计算、复算、复核、分析审计数据，主要目的是节约审计时间、提高效率、增加准确性、减轻劳动量。这一层次，当前的银行业审计工作基本都已经实现。

第二个层次是指利用专门的辅助审计软件进行项目审计。这个层次也有两种类型：一是主要用于审计情况汇总。在开展行业审计时，根据审计工作方案，编制专门的审计汇总软件，自下而上，从审计底稿开始，对审计情况进行逐级汇总。好处在于能全面、准确汇总并反映审计情况，防止错漏和人为调整上报情况，便于统一定性、统一处理。二是主要用于协助审计人员对专门项目，用专门的审计方法进行比较全面、系统的审计。这主要需要通过编制审计程序或软件来进行，并通过程序或软件使一个持续的审计证据收集和审计活动成为可能。对于银行业来说，实施成熟、适用的审计辅助软件，也成为IT审计的一个发展方向。

（三）数据分析（DA）将支持银行的持续监控与审计

数据分析指的是一整套技术、流程与应用工具，被运用于持续探索与深入了解以往的业务表现，以获取信息并推进业务发展。其目的是通过广泛地使用数据、统计与定量分析、解释与预测模型，并通过基于事实的管理，推动整体决策。目前在制造业、通信业和零售业等行业中此方法被广泛运用于分析和决策支持。

数据分析在IT审计中的应用，可以理解为计算机辅助审计的一个深层次应用，同时，它也为银行业IT审计工作带来了新的发展空间。

可以想象，基于数据分析，银行针对如下风险实施持续监控将成为可能：

· 存贷款利率设置不合理的情况。

· 正常情况下计息结息计算错误的情况。

· 利率或者利息税调整时计息结息错误的情况。

· 异常计结息，比如手工计结息的情况

· 长期不动户违规处理。

· 贷款未按规定进行组合拨备和个别拨备。

图11 银行业IT审计框架的未来发展

· 存贷款分户账与总账不平的情况。

· 金融资产估值错误。

· 摊余成本计算错误。

· 票据贴现转贴现会计核算错误。

· 涉嫌洗钱的大额交易。

· 投资交易违规。

因此，在IT审计工作中广泛纳入数据分析有助于银行建立完善的信息化监管体系，并可以帮助银行准确定位那些在传统IT审计工作中无法深入剖析的风险区域。

笔者对银行业IT审计框架未来发展的展望如图11所示。一方面，从内控角度，一个基于风险的IT审计方法将覆盖银行管理层面IT控制、应用控制和计算机整体控制；另一方面，从数据角度，数据分析（DA）将成为未来支持银行的持续监控与审计的有力工具。

注：本文已发表在2012年8月份的《银行家》杂志。

内部审计的定位——独立与增值的均衡

徐姗姗 高级顾问

李岳川 顾问

德勤广州事务所

企业风险管理服务

随着企业经营环境的迅速变化，管理层需要更及时、更相关的信息支持其决策。在这种趋势下，内部审计的工作范围从对财务事项的验证，逐步扩展到评估管理和决策的效果，从主要以事后审计为主，向前推进到事中监督、事前预防和对管理层提出改善治理的建议等咨询业务。但是与此同时，围绕独立性与增值性的争论也由此产生。企业需要以新的视角看待内审职能的定位以及内审业务中独立性与增值性的平衡问题。

一、内部审计内涵的发展

19世纪末，为了更好地监督控制企业的经济活动，众多欧美企业开始设立内部审计机构，培训内审人才。20世纪至今，内部审计角色发生了巨大的变化。国际内部审计师协会（IIA）于1941年成立，随着企业活动的逐步复杂与深化，该机构成立后，曾多次修改、扩充内部审计师的内涵，这些内涵的扩展也体现在众多企业实践过程中，内部审计对于企业的重要性和社会地位都极快地提高。内部审计内涵的发展趋势如图12所示。

二、内部审计的独立与增值分析

内部审计的独立性在整个企业活动中的重要性不言而喻。其要求内审部提供确认服务，即客观检查相关证据以向组织提供有关风险管理、内部控制和治理程序等方面的独立评价。内部审计机构与被审计对象应避免任何可能的潜在的利益冲突，不能负责被审计对象经营活动的决策与执行。但是，内部审计与外部审计的独立性不能相互比较，内部审计一方面应该尽量实现独立性，一方面也是组织的一部分。而正由于是组织的一部分，必然需要为组织增值做出贡献。

图12

内部审计的增值性凸显了管理层对内部审计职能的期望。美国著名的内部控制专家迈克尔?海默（Michael Hammer）教授曾指出：“内部审计机构应将自己视为公司的一种资源。在帮助管理当局更有效地达至预期控制目标的过程中发挥作用，内部审计师的使命将从简单的‘我们实施审计’向‘我们帮助创建一些程序，以期达到组织成功所需要的内部控制水平’的方向发展。”管理层期望内审可以承担一部分“内部咨询顾问”的功能，除了基础性的检查与评价工作外，内部审计能够与风险管理、内部控制、制度建设、标杆管理、企业流程再造支持、制定业绩指标和战略规划支持等工作深度融合，以相对独立的第三方视角审视、分析企业的系统化与规范化运作，并提出管理提升建议。因此，内部审计职能的增值性需求又与其相对独立性的地位密不可分。

因此，内部审计的独立和增值相互支持，相辅相成。但与此同时，独立与增值的要求又存在必然冲突。首先，审计对象对内审职能的认识存在误区。在未充分理解内审职能定位的情况下，企业其他职能部门或下属单位经常视内审人员为“检查者”或“监督员”，对内审工作存在防审、拒审、避审的逆反心理。因此，在调研过程中，内审人员可能难以了解到最真实的情况，或者问题产生的实质原因。若无法了解深层原因，内部审计只能停留在客观搜集证据、评价监督企业经济活动、提供鉴证服务的确认服务层面，难以达到改进组织的治理、风险管理和控制过程，提高组织的运作效率，引导管理人员发现组织改进机会之目的。其次，审计向咨询服务的扩张被认为可能会损害其作为治理程序有效性确认者的角色。“咨询”的角色要求内部审计在战略制度与执行、流程改进、风险评估、绩效指标完善等工作中发挥作用，这使得内审人员参与到“体系建设”过程中，而不仅仅是“对体系进行评价”；另外，内审人员与公司企业员工的深度合作也对其独立性产生了冲突。

如何平衡独立性与增值性，使内部审计职能最大限度满足管理层需求并发挥效用，是企业应该考究的议题。以下两个企业对内审功能定位清晰，偏重各有不同，但都达到了管理层的既定目标。

表3 内部审计定位偏向性差异案例对比

企业应该如以上两个例子，根据自身发展战略与部署，在一定程度上设置内部审计的偏向性，能够让内部审计充分发挥效用。如管控方式以本土化为主的公司集团，地区或者下属公司权力较大，内审的设置较为突出独立性，体现出审慎和专业；而管控本身以标准化为主的公司集团，地区或下属公司权力较小，内审的设置可偏向考虑增值性，突出管理改进重要性。

三、 内部审计的独立与增值的融合

无论内部审计偏向性如何，两者性质的融合都将是未来内部审计发展的趋势，一方面保证客观地发现问题，另一方面保证所发现的问题能够系统化地解决。

（1）搭建独立、权威的内部审计组织架构，在充分保障独立性的基础上发挥增值效应。企业内部审计部门应直接由董事会或者审计委员会领导，以保障内部审计的独立性与权威性，且较高的职责定位能够保障增值建议的有力推进。在此基础上，企业需要明确和细化董事会、审计委员会与管理层各自对内部审计的范围与职能，内部审计部门需要深入企业各个业务流程，对管理和经营活动的合规性、有效性、合理性进行审查与评价。

（2）通过推进企业信息化进程，提升内部审计的独立性和增值性。企业的会计核算、财务管理及业务系统管理应逐步实现电子化、网络化，通过计算机信息技术和网络技术更好地支撑企业内部控制和风险管理体系，引入内部审计管理信息系统（IAMIS），提高信息审核的独立性与效率，增强信息审核的可验证性，同时将内部控制、风险控制嵌入信息系统，实现内部审计成果与业务控制流程的有机、高效结合，提升企业自动化内部控制与风险防控水平。

（3）通过独立的内部审计改善企业内部控制水平，实现企业价值增值。内部控制是组织内部约束机制的主要内容，它对于维护组织的生存、提高组织的活力、防范组织的内部风险、增加组织的价值，具有重要意义。内部审计应对企业的内部控制进行独立的测试，评价企业内部控制制度的健全性、遵循性和有效性，针对内部控制中的薄弱环节及时提出相应的改进建议，促使企业以合理的成本促进有效控制，达到改善企业内部经营状况的目的。

（4）通过独立的内部审计完善企业风险管理，实现企业价值增值。内部审计应从组织的全局角度，更清醒地识别和评估风险，针对企业风险控制业务部门提出的风险防控措施提出审查与评价建议，对组织所有经济业务进行审查、评价，在对组织面临的风险进行全面分析、评估的基础上，随时针对组织的实际需要和发生的问题开展独立的审计工作，及时发现和处理问题，防范和化解组织面临的风险，帮助企业改进风险管理与控制体系，从而实现企业增值。

（5）通过独立的内部审计完善企业治理，实现企业价值增值。内部审计人员应通过对企业的经营目标、决策程序、管理程序、投资过程及结果等的监督与评价，独立、客观地检查企业治理的过程是否科学、有效，结果是否达到预期的目标，还存在哪些不足的地方等，以推进企业经营管理，帮助企业完成各项治理目标，保证出资人尽可能多地获得投资收益。

剑关险峻驱流马，斜谷崎岖驾木牛——内部审计信息化体系简介

钱静波 副总监

贺訾承 高级顾问

德勤上海事务所

企业风险管理服务

内部审计是一种独立、客观的保证工作与咨询业务活动，它的目的是为企业组织增加价值并提高运作效率。全球经济形式不稳定，企业经营模式多元化和组织结构的复杂化发展，面对更加多元化的风险环境，建设信息化内审体系是企业组织应对险峻风险，实现价值，持续健康发展的必由之路。

一、内审信息化背景及驱动因素

（一）内部审计工作的两大主要矛盾

集团企业发生着史无前例、翻天覆地的深刻变革，企业规模不断扩大。运营范围跨度大、实体分散独立性强、组织结构关系纵横交错；业务领域持续扩张，许多新兴业务已成为集团极具生命力的经济增长点。

在此形势下，内部审计工作的主要矛盾表现为两方面：一是内部审计工作的资源供需矛盾，即内部审计资源的有限性和内部审计需要辐射面的广泛性的矛盾。大多数企业近几年实现了跨越式发展，跨行业、跨地区和跨国发展已成为了企业发展的主要途径。内部审计的对象呈现出点多、面广、战线长、产业多的特点，只有借助信息化的手段开展内部审计，才能实现工作协调统一和内部控制完善的目标。二是内部审计工作的质量供需矛盾，即审计手段技术方法落后和审计质量高要求的矛盾。内审工作的全面转型使审计领域大大拓宽，企业管理层对内部审计工作的要求和期望不断提高。然而，内部审计技术还没有完全实现信息化，审计效率低和质量难以保证的问题广泛存在。

（二）高度信息化集成的业务运作

随着信息技术的广泛应用，目前几乎所有的企业都已借助信息系统来提升自身的运营效率和管理水平，SAP、Oracle、用友及金蝶等大型ERP厂商的产品或行业解决方案在企业内随处可见，并彻底改变了企业的运作方式：

（1）系统流程替代了手工流程；

（2）内部控制点通过系统配置、权限等形式体现；

（3）业务数据的存在形式不再是纸质单据，而是不计其数的系统数据；

（4）业务交易更加频繁，更加精细；

（5）信息在不同系统内流转，传递路径复杂且多样。

这些内部审计对象（业务数据、控制点）的信息化转变给开展内部审计提出了新的课题，要求内部审计方式和思维的转变。

（三）创新驱动促发展的需要

内部审计的目的是为组织增加价值并提高组织的运作效率。在应对复杂多变的风险环境和面对企业信息化运作所带来的挑战同时，企业应该把握机遇，将建设内审信息化平台视为一项创新举措，这不仅能够解决两大主要矛盾，而且可以满足企业增效、增能的需要，在无形中成为企业价值的新增长点。在新形势下通过信息化创新才能使内部审计真正发挥效用。例如，基于企业良好的信息数据基础，运用非现场审计技术对企业的业务交易进行实时监控，利用预警指标及时预警风险，提醒管理层适时加强内部控制，巩固公司治理。

二、内审信息化平台

通常我们按照内部审计的流程和使用的技术手段（信息系统）等特征，可将内部审计的发展划分为四个不同的阶段（见图13）。在第三阶段，企业运用信息系统支持审计业务，与使用专业审计软件的第二阶段相比，它支持以风险为导向的自动化内审流程，为企业风险管理的第一、二道防线（业务部门和内审部）提供了协同工作平台，并融入了非现场审计的理念和功能。其作用类似于ERP对企业业务流程的再造和商务智能服务。

从长远来看，建设内审信息化平台是企业构建风控信息化平台，迈入风险智能审计（第四阶段）的必由之路和基础。

图13 内部审计的发展阶段

运作于信息化平台上的内部审计其审计范围更为广阔，审计方式更加灵活，审计过程更加隐秘，审计工作更加准确高效。信息化使审计工作发生三个显著转变，即从单一的事后审计变为事后与事前、事中审计相结合，从单一的静态审计转为与动态审计相结合，从单一的现场审计转变为现场与非现场审计相结合。这既能加快内审部门的工作效率，又能强化内部审计的监督作用。

根据上述特点，企业在设计规划内审信息化平台时应该包括内审作业系统、内审管理系统和非现场审计系统。

（一）内审作业系统

内审作业系统是一个提高内审工作自动化率，提供内部审计人员和业务部门员工共同参与内审工作，开展协同风险防范的作业平台。

（二）内审管理系统

内审管理系统可以帮助企业内审组织合理高效地管理内审工作，应包括计划管理、项目管理、绩效管理和知识管理功能。

（三）非现场审计系统

在2005年，国际内部审计师协会（IIA）发布了《全球审计技术指引（GTAG）》。在指引中，将非现场审计定义为“审计师为了在一个更持续、更频繁的基础上实施与审计相关的行为所采取的任何方法。它是一系列行为的联合体，这些行为从连续控制评估延伸到连续风险评估”。

非现场审计是对于传统审计模式的强有力补充，非现场审计工作结果可以指导现场审计工作，使之更具针对性。通过信息技术的应用，非现场审计能够突破地域和时间对传统审计工作的限制，促进审计信息获取的及时性和准确性，极大地扩展审计工作的覆盖面（广度）和精细度（深度）。

三、内审信息化平台建设路线图

结合德勤企业风险管理部以往的内审平台咨询服务经验以及ERP控制服务团队在SAP、GRC实施的知识积累，我们认为企业内审信息化平台建设的路线图应该分为四个阶段（见图14）。

阶段一：内审方法论及流程梳理

确立内部审计方法论，用于指导后期的工作流、模板、报告等的设计；

设计内部审计流程，明确内审职责定义，作为系统流程设计的铺垫；

制定业务部门与内审部门协同工作方式。

阶段二：内审作业系统建设

在该阶段需要实现内审工作标准化、内审流程自动化和内审文档电子化（见图15）。

阶段三：内审管理系统建设在本阶段，企业需要在系统中实现以下内审管理功能：

（1）计划管理：制定发布年度或季度内部审计计划；与内审作业平台衔接，进行任务分配。

（2）项目管理：集中管理公司内正在进行的各个内审项目，展示项目执行进度、人员投入等情况。

（3）绩效管理：建立内部审计或内控自我评估绩效指标，通过收集来自内审管理平台和内审作业平台的数据，建立审计人员维度和审计项目维度的绩效评价体系。

（4）知识管理：内部审计相关的知识储备和提供，涵盖内审制度、内审方法、内审技术、专项内审工具，等等。

阶段四：非现场审计系统建设

非现场审计平台的技术要素是业务数据和信息化平台，业务要素是风险评估和指标及审计规则定义，流程要素是明确与现场审计工作间各自的职责定义。非现场审计系统的核心功能是数据收集引擎和审计指标规则库。非现场审计系统需要兼容周期性提报和自主数据获取两种信息收集方式，以此从ERP、CRM、SRM、BI等业务系统和数据库获取审计信息及证据；能够依据系统内的审计指标规则库，对各业务条线进行数据指标分析和审计。

图14 内审信息化平台建设路线图

图15 内审作业系统建设

推进内审信息化平台的建设，需要做到流程、技术和人才的“三管齐下”。

流程：将内审流程作为内审信息化平台的“业务蓝图”。

技术：将与企业信息化环境相适应作为基本思路，综合运用信息系统实施方法论和各项信息技术，为内审信息系统提供全生命周期的技术支持。

人才：必须培养和配备既精通内部审计业务，又熟练掌握信息技术的内部审计队伍。

四、内审信息化平台总体架构

依照路线图中的建设思路，我们最终设想的内审信息化平台总体架构如图16所示。

图16 内审信息化平台总体架构

平台的总体功能是支持并优化我们的内部审计业务，以现场与非现场审计相结合的模式对业务流程和业务系统进行审计监督。

内审作业系统和内审管理系统构成信息化平台的主体，并作为传统现场审计工作的信息化实现。非现场审计系统是对现场审计工作的补充，借助非现场审计工作可以为现场审计指明方向，提高审计效率；同时现场审计工作开展过程中会产生对非现场审计的需求。

作业、管理和非现场审计，三个系统间互相联系，共同构成了一个信息化的内审体系。

五、结束语

信息化内审体系是内部审计不断发展的必然产物。企业通过部署信息化内审平台可以突破传统内部审计在地域、时间和资源上的瓶颈。内审信息化和内控信息化齐头并进，辅助企业进一步巩固和加强自身的内控体系建设，使风险管理和公司治理得到质的飞跃。

反贿赂和腐败

高德（Hugh Gozzard）

合伙人

黄美燕 副总监

黄慧欣 经理

龚慧云 经理

德勤香港事务所

翻译：

德勤上海事务所

企业风险管理服务

跨国公司很容易受到日益严峻的全球化反贿赂和腐败立法的影响，比如英国《反贿赂法》和美国《反海外腐败法》。然而，很多国际公司并未完全了解控制复杂业务风险的挑战。

如今，机构每天都易受到被贿赂和腐败的考验，例如，在缔结合约时，在发展合作和联盟关系时，在通过收购进行扩张时或提供招待时。立法不会总是改变人们的行为，在一个充斥着不合理的激励机制、机会、不道德，以及控制薄弱的组织环境中，贿赂和腐败就会发生。这所有的一切意味着，检察官们会因此而十分忙碌。

一、贿赂和腐败的定义

贿赂是指向个人提供、承诺或给予财务上或其他利益，以影响他们的行为；要求、同意或接受某种价值/利益（财务或其他）。

腐败是指滥用职权以谋取私人利益。

二、主要的反腐败法规

（一）英国《反贿赂法》（The UK Bribery Act，UKBA）

英国《反贿赂法》的目的在于打击英国和国际上的贿赂行为，它涉及所有在英国注册的商业组织以及在英国境内从事经营活动或在英国境内从事部分活动的非英国注册的组织。

英国《反贿赂法》规定了以下的犯罪行为：

（1）主动行贿：承诺或给予财务上或其他利益。

（2）被动受贿：同意接受财务上或其他利益。

（3）贿赂外国公职人员。

（4）商业组织未能防止贿赂，包括其“相关人员”的贿赂行为（企业违法）。

按照该法的要求，上述犯罪行为最高判罚为无限额罚金及监禁10年。

（二）美国《反海外腐败法》（US Foreign Corrupt Practices Act，FCPA）

《反海外腐败法》规定：美国公民、实体以及某些适用的外国企业（主要指在美国交易所交易的证券发行者）贿赂外国官员或向外国官员提供任何形式的诱因以达到获得或保持与美国企业之间生意的行为即属于违法行为。该法还延伸到在美国境内进行商业活动的任何人。

按照该法的规定，根据犯罪行为轻重，公司每次犯罪最高判罚为刑事罚金200万美元，个人每次犯罪的最高判罚为罚金25万美元和监禁5年。

（三）中国香港《防止贿赂条例》

中国香港《防止贿赂条例》禁止任何代理人在无合法权限或合理辩解的情况下，索取或接受任何贿赂，或任何人在无合法权限或合理辩解的情况下向任何代理人进行贿赂。条例亦禁止代理人使用虚假的文件去欺骗其主事人。并且，条例也禁止向公职人员进行贿赂。

根据该条例的规定，最高可处罚金50万港元及监禁7年。

（四）中国的贿赂和腐败相关法律

1.《中华人民共和国第八次刑法修正案》《中华人民共和国刑法》禁止国家工作人员、受国家机关、国有公司、企业、事业单位、人民团体委托管理、经营国有财产的人员利用职务上的便利，侵吞、窃取、骗取或以其他手段非法占有公共财物。《刑法》同时亦禁止所有人与上述所列人员勾结。

自2011年5月起生效的《中华人民共和国第八次刑法修正案》，其范围已延伸至中华人民共和国境外发生的贿赂和腐败行为。在该修正案前，向任何国外公职人员，或向国际公共组织官员进行贿赂以谋取不正当商业利益的行为也属于犯罪行为。

该刑法适用于所有的中华人民共和国公民（包括那些居住在国外的中国公民）以及在中华人民共和国境内的所有人，不论国籍。于中华人民共和国法律下组织的公司、企业、事业单位和其他商业实体也适用于该刑法。

对犯贿赂罪的，根据情节轻重，可依法判处5～10年有期徒刑或无期徒刑，情节特别严重的，可处死刑，并处没收财产。

2.《中华人民共和国反不正当竞争法》

《中华人民共和国反不正当竞争法》主要涉及商业贿赂行为。它禁止在销售和购买商品的过程中进行贿赂、账外暗中收受或给予对方公司或个人回扣。

根据该法的规定，被判处的贿赂行为可判1万～20万元人民币的罚金并没收所有违法所得。

3.《中华人民共和国公司法》

《中华人民共和国公司法》中的反贿赂条款禁止公司董事、监事或高级管理层人员利用职权收受贿赂或其他非法收入。

如果违反该条款并涉及金额较大，被判有罪的董事、监事或高级管理层人员可被判处最高5年的有期徒刑或刑事拘留并没收非法所得财产。如果金额巨大，可判处5年或以上有期徒刑，并没收非法所得财产。

4.中华人民共和国国务院的意见

国务院办公厅于2011年5月23日转发了《关于规范商业预付卡管理的意见》[1]，商务部亦于2012年9月21日公布《单用途商业预付卡管理办法（试行）》[2]，对商务预付卡进行了规定，旨在防止洗黑钱、非法提取现金、逃税及行贿。在公务活动中，所有的国家工作人员都严格禁止接受任何形式的预付卡。

表4 贪腐印象指数排名

资料来源：http://www.transparency.org/whatwedo/pub/ corruption_perceptions_index_2012.

三、贿赂和腐败的风险

（一）国家层面

根据国际透明组织（Transparency International）在2012年公布的年度贪腐印象指数（Corruption Perception Index），176个国家和地区的公共部门的贪腐印象指数排名结果如表4所示。

然而，公司对于该项调查的反馈却是不充分的。根据Kroll Advisory Solutions 的研究，只有48.7% 的亚太地区公司进行了风险评估以了解公司就两个反贿赂法例（即英国《反贿赂法》及美国《反海外腐败法》）的脆弱程度。对于未进行风险评估的公司，其中51.3%认为公司内部控制并未完善或根本不知道其遵循机制是否健全。[3]

另外，在中国，国务院国有资产监督管理委员会的一位高级官员表示，国有企业的风险管理职能有时仅专注在形式和结构上，而非实质性的工作上。[4]

（二）行业层面

根据国际透明组织2011年公布的全球行贿指数，按参与该调查的商业行政人员的意见，把19个不同的行业按照0～10分的顺序进行排列，10分意味着该行业的公司被认为从未涉及贿赂行为。结果显示，贿赂行为广泛存在于所有行业，如表5所示。

表5 贿赂行为的行业分布

资料来源：http://bpi.transparency.org/bpi2011/results/.

1.能源与资源业

能源与资源领域是贿赂腐败的主要目标行业，因为它涉及复杂的基础设施系统、大量资本投资和长期滞后的开采过程。由于该领域有限的资源供应，政府往往自然地垄断市场并且会致力于防止供应中断。能源和资源的生产以及销售，包括燃料提取、石油钻采、精炼、运输以及传输需要政府部门颁发的特殊执照和许可。另外，自然资源多位于腐败多发国家，比如俄罗斯或尼日利亚。由于能源和资源贸易对于所有国家都十分重要，因此政府在该行业中扮演着重要的角色。石油及天然气生产商们往往别无选择，只能依靠与政府官员们或代理机构进行合作。通过与政府官员建立并保持密切的关系来保证特许经营权的这种做法往往是开展业务所必不可少的，但是也因此增加了贿赂和腐败的风险。

2.制药业

在许多国家，制药业一直都是贿赂和腐败问题高发的行业。由于医疗保健专业人士往往是政府或公共机构的工作人员，所以他们可能被视为在贿赂相关法律口径下的“公职人员”。制药公司的市场营销和销售活动往往是广泛的，他们可能会发现自己不得不通过回扣等不正当的方式来寻求商机和利益。

为了进入新的市场，跨国制药公司往往要使用第三方如代理商或销售中介机构，因为使用这些机构的成本较低，而公司没有足够的资源或他们在当地市场面临语言障碍。然而，跨国公司在使用第三方机构时必须提高警惕，可能会因为第三方机构的任何违反反贿赂法律的行为承担连带责任。

3.房地产业

在房地产业内的许多关键领域都会滋生贿赂和腐败的犯罪行为，比如在获取土地/地区许可时，或通过招标方式缔结合约时。公司或需经常依靠“关系”来获取土地或赢得合约。

您是否正在贿赂高危国家或在贿赂和腐败风险高的行业进行商业活动？怎样确保您的公司在面对如此风险的情况下仍然可以遵纪守法？

四、降低贿赂和腐败风险的解决方案

英国《反贿赂法》下发出的指引给我们提供了最严格和全面的方法以降低贿赂和腐败风险，它适用于任何公司，无论该公司需要遵守何种法律。该指引包括以下六项原则，该六项原则界定了“适当的程序”的概念。

（1）高层人员的责任承担。高层人员应有效地推广其公司文化，确保公司上下绝不容许任何贿赂行为。

（2）适当的程序。反贿赂程序应该与该行业所面对的风险、企业的性质、规模和运营的复杂度相适应。

（3）风险评估。定期并且全面地对贿赂和腐败风险的性质和程度进行评估。

（4）尽职调查。了解供应商、代理商、分销商以及其他商业伙伴的背景和声誉。

（5）沟通（包括培训和内部举报）。应沟通反贿赂政策并把这些政策内嵌到日常业务流程中。应该实施内部举报程序和违规报告机制。

（6）监控和检查。建立监控和检讨评估机制以确保日常业务符合相应的政策和程序。

英国《反贿赂法》规定，“适当的程序”的存在是当公司未能防止贿赂行为发生时唯一一种可采取的措施，以免被控以贿赂犯罪行为。实质上，这需要组织去建立、嵌入和书面化与该组织所面临风险的程度和类型相匹配的程序和控制活动。“统一标准”的解决方案并不存在。

五、案例

以下在中国发生的贿赂和腐败行为的案例告诉我们，这种行为不仅在一些行业领域盛行，也在政府圈子内日趋盛行，从而导致在该国发生的有公共部门的官员参与的商业活动都会面临风险。例如，一些公共部门的官员倾向于在某些情况下索取贿赂。

（一）能源与资源业的案例

· 某国土资源部部长因接受619，000美元的贿赂，在2003年10月，任职仅7个月后被迫辞职。

· 在2005年11月，某负责反腐败的官员因接受715，000美元的贿赂而被叛有罪。

（二）建筑和基础设施的案例

· 在2005年1月，甘肃省44名官员被控不正当使用原用于改善道路和水务工程的930，000，000美元的资金。

· 在2005年一名因用公款420，000美元赌博的在逃官员，于在逃3个月后被捕。

· 在2006年12月，某海军副司令因贪污20，000，000美元的军事资金，并利用其职务接受项目承包商的贿赂以给予承包商一建筑工程项目，被判处无期徒刑。

（三）非营利组织的案例

· 在2007年1月，某全国性的儿童非营利组织的领导因接受30，000美元的贿赂并侵吞100，000美元，被判处20年的有期徒刑。

· 贿赂腐败通常会直接发生于组织的高层。在2007年11月，南部城市佛山市的某邮政局长被指控非法盗用公众存款240，000，000美元以偿还其所欠高额赌债[5]

（四）制药业的案例

· 中国国家食品药品监督管理局的某前任长官于2005年6月退休，但是于2006年12月因涉嫌贿赂被捕。在4月初，他被指控利用职务便利，接受某些中国制药公司的贿赂至少达5，500，000元人民币，以便为制药企业在药品审批方面谋取利益。

· 药监局医疗器械部门某前任长官因接受贿赂于2006年11月被判处有期徒刑15年。[6]

六、结论

综上所述，贿赂和腐败风险正日益成为所有类型的组织的头等大事，特别是对于那些具有国际影响力的组织领导者们。

公司的目标应该是通过对相应的风险进行全面而严格的分析和评估，使公司的反贿赂和腐败程序日益成熟和完善起来。公司应当建立适当的政策和程序，从而为解决关键的贿赂和腐败风险问题奠定基础。这种实践工作，包括风险分析及其结果，应该充分地被记录下来，不仅仅为英国《反贿赂法》规定的企业犯罪行为提供证据和辩护，同时也可以作为一种确保相关政策与程序通过适当沟通而得到有效实施的手段。

【注释】

[1] 国务院：单位购商业预付卡5000元须银行转账 http://big5.chinabroadcast.cn/gate/big5/gb.cri.cn/27824/2011/05/26/2625s3258929.htm

[2] 商务部：个人购万元以上不记名卡需登记 http://big5.chinabroadcast.cn/gate/big5/gb.cri.cn/27824/2012/09/27/2225s3869861.htm

[3] 亚太地区的公司没有准备好应对《反海外腐败法》/《反贿赂法》http://blogs.wsj.com/corruption-currents/2012/11/30/asia-pacific-companies-not-prepared-for-fcpauk-bribery-act/

[4] 国资委批评部分央企风险管理流于形式——新华网 http://news.xinhuanet.com/fortune/2012-09/17/c_123722332.htm

[5] 在中国大规模的腐败：数十亿的财产被政府官员、银行家和商人们盗取http://factsanddetails.com/china.php?itemid=1708#10

[6] 中国药品行业的贿赂腐败蛀虫http://www.rsc.org/chemistryworld/Issues/2007/May/BriberyCorruptionChinaDrug.asp

风险导向稽核体制的建立

柯治宏 经理

德勤台北事务所

企业风险管理服务

如何建立风险导向式稽核体制？要解决这个问题，首先需要了解何谓风险导向式稽核。笔者依据参与多家银行建立《巴塞尔协议II》作业风险管理体制的辅导经验，该过程包括协助银行稽核单位设计风险导向式稽核，因此就如何建立风险导向稽核体制，提供实务参考作法。

依据台湾金融法令相关规定，台湾银行业现行的稽核体制重点包括：

（1）稽核单位需直属于董事会以确保其独立性。

（2）稽核单位需考虑各项业务或作业的重要控管点，以设计符合实务需要的稽核程序。

（3）稽核单位需每年规划下年度的查核重点与稽核计划。

（4）稽核单位需依据法令要求的稽核范围与频率，对各单位进行一般稽核与项目稽核，并提出查核报告说明所发现的缺失事项。

（5）稽核单位需将查核结果定期向董事会及主管机关呈报，并持续追踪各单位的改善情形。

从上述规定来看，目前台湾金融法令对银行业稽核的规范相当严格，不论是稽核单位的定位、稽核的范围或频率，及呈报的方式与层级，皆已相当具体且完整，但此种稽核体制与风险导向稽核体制并不完全相符，主要原因在于：

（1）风险辨识的完整度不足。要建立风险导向式稽核体制，便要清楚了解有哪些风险，这就要求公司具有完整且可靠的风险辨识方式，目前银行业稽核单位在规划年度稽核重点与计划时，普遍会考虑最新法令要求、主管机关检查重点、同业损失记录，以及过往的稽核经验等，但此种的辨识目的通常是找出下年度稽核重点，而非找出风险，同时此种辨识方式非常依赖稽核人员对各项业务的经验与了解程度，且因信息来源渠道有限，不易取得其他业务或管理单位的意见或看法，因而导致辨识结果难以完全涵盖各业务的风险。

（2）风险与稽核程序的链接度不足。除找出风险外，风险导向稽核体制要求风险与稽核程序具有清楚且明确的对应关系，如此方可于辨识风险后，迅速得知应执行的稽核程序。传统的稽核程序系针对各项业务与作业的控管点而设计，并未厘清各稽核程序所对应的风险为何，此即传统稽核程序设计的主要特征，以控制为导向，而非以风险为导向，因此即使稽核人员找出风险，也需以人工方式判断该风险对应的稽核程序，这往往需耗费大量稽核人力与时间，且所筛选的稽核程序亦可能不足或错误。

（3）风险评估的合理性不足。找出风险后，风险导向稽核体制要求须能够合理评估风险的严重度，如此稽核单位方可依据其严重程度，决定所应投入的稽核人力或资源。目前稽核单位虽会针对稽核所发现的缺失，判断或决定其严重度或等级，但对于风险通常并无一套可供参考的评估标准，因而无法清楚掌握各风险的严重程度，即使找出风险，稽核单位也难以针对不同风险，调整对应的稽核资源。

（4）稽核资源的调整缺乏弹性。除了了解风险严重度，并找出对应的稽核程序，风险导向式稽核体制还要求须能够依据风险严重度，调整对应的稽核资源。目前稽核单位对于如何调整稽核资源尚缺乏合理的调整方式，因此对于严重的风险，应如何提高或增加其查核资源，是增加稽核人力？增加样本量？或是使用不同的稽核程序？且人力与样本量要如何调整？不同稽核程序要如何选用？由于缺乏相应的调整方式，稽核人员往往仅能以经验判断或采用过去的稽核方式来决定投入的稽核资源，而难以真正做到与风险严重度相称。

由上可知，目前台湾银行业的稽核方式，虽有部分风险导向内涵，但受限于法令、可得信息来源以及传统设计方式的限制，难以成为真正的风险导向稽核体制。根据辅导银行建立风险导向稽核体制的经验，现将实务上可行的改善作法说明如下：

（1）寻求或建立可靠的风险辨识来源。稽核单位除了既有的风险辨识方式外，应了解公司其他业务或管理单位（尤其是风险管理单位）是否进行与风险有关的辨识程序，且该辨识程序是否是持续运作且可靠的流程，倘若目前存在此种程序，则稽核单位应与该程序的负责单位建立持续的互动关系，以分享彼此所获知的风险信息，且此种分享应在不影响稽核单位独立性的情形下进行；倘若目前并不存在此种程序，则公司可考虑各项业务或单位的重要性或复杂度，决定优先建立风险辨识程序（如定期举行风险研讨会、通过问卷取得各单位人员的意见等）的业务或单位，以符合成本效益，并将辨识结果（如各业务风险列表）定期提供给稽核单位，作为决定稽核重点或规划稽核计划的参考。

（2）厘清风险与稽核程序之间的关联。找出风险后，应进一步了解风险所对应的稽核程序，这样稽核人员才能知道应执行哪些稽核程序，但实践中常发现，即使已找出风险，稽核人员也难以确定应执行哪些稽核程序，这是因为设计稽核程序时，并非从风险的角度来思考。除此之外，稽核程序的描述可能过于精简（如开户作业是否依规定办理）或过于繁复，这往往造成稽核程序与风险的关联性不易厘清，因此实践中，可以重新调整现行稽核程序的描述或分类方式，并明确指明其所对应的风险。不过此种作法需投入大量的稽核人力进行调整工作，且稽核人员需重新加以训练，方能了解并熟悉调整后的稽核程序。完成调整后，风险与稽核程序将可建立明确且清楚的对应关系，且可协助稽核人员快速找出应执行的稽核程序。除前述作法外，公司亦可通过对应代码方式联接既有的稽核程序与对应的风险，但在不调整或分类稽核程序的情形下，稽核程序与风险的对应关系可能不易被理解（如开户作业是否依规定办理与客户机密信息外泄），不过可在无需投入大量人力的情形下，一定程度地建立稽核程序与风险的对应关系。

（3）建立一致的风险评估标准。找出风险后，还需评估风险的严重度差异，方可对较为严重的风险加强查核。要建立全公司一致的风险评估标准，需了解公司所有单位对风险严重度的看法，并决定评估风险时应考虑的要素（如损失金额、对营运目标的影响或对外部声誉的影响等），因此公司可指定专责单位，负责协调各单位建立全公司一致的风险评估标准，并要求各单位就风险辨识结果进行评估，以确保评估结果的合理性，进而供稽核单位参考。此种作法可使公司建立完整的风险管理流程，但因要求各单位参与，因此需投入大量人力与时间进行辨识与评估工作。除前述作法外，稽核单位可参考现有信息或记录（如稽核缺失记录、同业损失、主管机关检查重点等），对所辨识的风险进行排序，在公司尚未建立标准的风险管理流程的情形下，可在不耗费大量人力的前提下，使稽核单位初步掌握或判断不同风险的排序或优先顺位。由于排序结果根据稽核单位对业务或风险的了解程度而定，因而可能存在较大误差，即合理性较为不足。

（4）区分稽核资源的调整方式。了解不同风险的严重度差异后，稽核单位可据此决定不同风险应投入的资源差异。稽核资源的调整有多种方式，包括调整稽核范围、改变稽核频率、调整稽核样本量、使用不同稽核程序等。实践中，台湾稽核相关法令已规范公司稽核单位的稽核范围与频率，因此这两种方式难以依风险严重度作调整，或其调整不具可行性。虽然如此，公司仍可从其他两种方式着手。依据统计原理，愈大的样本量，稽核结果应更为可信，因此当风险较高时，则可增加稽核的样本量，以提高稽核结果的可信度。另外稽核程序依设计方式差异，其效果亦截然不同，如口头信息的可信度不如正式书面文件，内部数据的可信度不如外部数据，因此当风险较高时，选用较强的稽核程序，可提高稽核结果的可信度。稽核单位必须建立调整稽核样本量的标准，以及可供选用的稽核程序数据库，使稽核人员可依据不同风险严重度调整其稽核资源。

要建立风险导向稽核体制，需改变传统的稽核思维，要以风险为主要核心。同时这一体制要求稽核单位应取得更多更可靠的风险辨识与评估结果，方可据以调整稽核资源，因此建立风险导向稽核体制，不但可使稽核单位的有限资源得到更有效的运用，更可促使、激励全公司所有人员持续强化风险意识与对风险的敏感度，进而使公司成为善于预防、因应、降低风险的企业。

自动化演变——如何停止担忧并憧憬制造业的未来

Glenn Snyder

美国德勤咨询合伙人

Matt Szuhaj

美国德勤咨询总监

Matt Adams

美国德勤咨询经理

翻译：

德勤上海事务所

企业风险管理服务

在2011年硅谷领袖出席的晚宴上，美国总统奥巴马向当时的苹果CEO史蒂夫·乔布斯提问：“需要做些什么才能在美国本土制造自己的苹果产品？”当乔布斯回答：“这任务难以实现。”是否表示发达国家的制造行业正在逐步被淘汰，抑或是制造业的未来将呈现多栖分布的模式？是不是制造业竞争力的核心发生了变化？有没有这种可能，即他的iPhone产品实现这样的转变是工作中技术创新力量的标志？[1]

如果摩尔定律继续定义处理器的性能，到2050年普通个人电脑将与世界上所有人类大脑的总和具有相同的处理能力。[2]即使处理能力增长放缓，仍会实现机器人和自动化领域的转型。想象一下，一个工厂里所有重复的、大部分复杂的任务都由机器完成。在这种情况下，运用低技能的、廉价劳动力的工作会越来越少；而相应的，高技能的、为了成本优势而不适合离岸外包的工作越来越多。

制造业生产一直以来都以降低成本为驱动力，要求有效的制造业生产如商品生产一样，尽可能使用最低成本。如果某些公司能持续致力于研究和开发活动，结合切实可行的新技术以及其他因素，将会创造潜在的长期机会，使得跨区域经营成为可能，从而实现长远利益。当前，很多公司都保留资本储备以应对当下经济和政治环境的不稳定，但是发达国家的重要企业资本为有前瞻性的公司提供了一个机会，使其可以积极地将制造业作为一个战略杠杆而非仅仅是降低成本。

一、制造业的复兴？

多年来，发展中国家劳动力成本较低的优势使得发达经济体已经流失了大量的制造业工种，在这种情况下企业可以提供更多的就业机会以取代实施最基本的自动化。然而，自动化和机器人技术的发展趋势正迅速地改变这种平衡，以至于在未来15～20年，可以显著地看到制造业向资源集中化和最终用户市场转移，其中发达经济体中新兴制造业工种的流失有时候也是制造业发展历史中的一部分。在发展中经济体劳动力成本不断上涨和其他经济发展趋势的背景下，自动化的进步越来越具有成本竞争力，且正在逐步替代劳动密集型生产方式，并最终降低劳动力成本在新制造产业关键选址因素当中的重要性。随着计算机处理能力的提高，日益成熟的传感技术、人工智能控制系统和其他技术创新推动着下一代的自动化生产，未来制造业似乎在许多产业领域都正准备着巨大的改变。最终，那些将技术与地理位置的融合视为战略机会的制造企业将更有可能赢得有利的竞争地位。

二、转变竞争区域

在过去的几十年里，美国与制造业维持着一种并不紧密的关系。许多以美国以及其他发达国家为中心的制造企业通过在美国本土之外的制造增长已经取得了成本优势。由于本土以外那些发展制造业的最初尝试，美国的企业已经考虑在自动化技术与位置迁移之间的权衡。作为总非农人口就业率的一部分，美国制造业就业率虽然已经显著下降，从1962年的28%下降到2011年的不到9%，但直到最近的经济衰退期为止，该比率已经很大程度上保持了不变，而同一时期内制造业的实际输出却取得了平稳增长。[3]

图17 美国制造业：生产和劳动力

资料来源：Board of Governors of the Federal Reserve System，Industrial Production and Capacity Utilization，Statistical Release G.17，monthly from http://www.census.gov/prod/99pubs/99statab/sec31.pdf；<http:// www.federalreserve.gov/releases/g17/revisions/Current/DefaultRev.htm>National Bureau of Economic Research，US Business Cycle Expansions and Contractions http://www.nber.org/cycles/cyclesmain.html

由美国制造业给劳动力缺失带来的警示，对于很多行业来说，促进制造业国际化从而获取劳动力成本的优势成为一种默认的方法。但是，生产率的提高也意味着自动化和加工效率对于就业有较大的影响。实质上，制造业背后的人员、流程和技术使得公司可以少花钱多办事。同时，对于大学教育的重视以及非制造行业的经济增长表明，一个国家的相对竞争优势正越来越多地与知识性经济并存发展。

由于这些趋势看上去不易改变，比较直观，未来制造自动化的发展可以防止制造业流出发达国家市场。制造业的未来不会是高就业的避风港，但它可以利用知识型经济，比如利用大学的技术人才、软件开发人员，以促进发达国家现有的创新文化。

三、机器人的魅力

20世纪80年代的通用汽车公司，被当时高效率的日本汽车制造厂商围攻，于是想通过在机械和自动化上的大量投资，以减少成本的策略来重新获取竞争力。最终，值得赞叹的是，这看似理想化的想法，在此后的十年间付诸实践，被诸多生产商采纳，并成为一种核心技术来提升生产力。当首席执行官Roger Smith决心将公司主要生产力从人力替换成机械生产之后，他被大家赞赏为一个富有远见的创新者。在80年代早期，日本汽车制造商，特别是Toyota和Nissan，开始逐步占领/蚕食通用汽车公司48%的市场份额。Smith视机械化生产为提高效率的方法，并且通过短期资本投资来代替长期拖累公司的劳动力成本。通用汽车公司继而投资450亿美元致力于发展其自动化生产，在当时，这笔经费投入比Toyota和Nissan两者的市值还高。虽然通用汽车公司当年的自动化策略在今天被看作是一种成功，可是在当时，这种冒险的行为是一种令人担忧的变革。尽管对此方面做了投资，但是在90年代中期通用汽车公司的市场份额仍然下滑到只有30%，并且一直没有达到理想的经营效率。与通用汽车公司相比，Toyota每位员工的生产效率是前者的5倍。到底哪里出了错呢？通用汽车公司没有在间接劳动力的削减上找原因，其实操作员和技术工同样也需要进行自动化的转变。此外，Toyota运营效率之高，不仅仅是因为自动化，同时也是因为实行了其他战略改革，比如精益生产、无库存生产方式等。就像一位通用汽车公司的管理者所言，仅仅运用科技，却没有与之相适应的劳动力匹配，那么结局只能是导演了一次自动化混乱。[4]

四、机器的兴起

尽管制造自动化不断进步，但是自动化革命还尚未实现。多种因素交织并共同促进企业作出改变制造业投资决策的设想。

劳动力套利的降低/转移。在2006～2010年的5年里，中国和印度的实际平均工资分别增长了75%和175%（相较于美国5.5%的增长率）。预计这么快的增长速度还将持续，特别是在中国，据经济学人情报组预测，到2015年中国的实际工资将再增长50%。[5]对于那些吸引大部分外来投资的地区，这种趋势将更加明显。许多发现劳动力成本倍增的公司正重新考虑在这些地区发展制造业的决定，特别是把劳动力成本套利作为设施选址首要因素的那些公司。

经济殖民主义的衰落。商业全球化是经济殖民主义的演化——发达国家市场中企业的扩张首先需要获取发展中经济体的劳动力资源，进而才获取他们的市场。在这些发展中国家出现了越来越多的实力派企业，它们在美国以及欧洲市场都非常具有竞争力。这迫使发达国家的企业不仅要考虑如何进入新市场，还应该考虑如何捍卫自己原有的市场。塔塔汽车收购捷豹和路虎汽车就是这样，作为前英国殖民地的企业巨头购买了两个著名的、具有标志性的英国品牌。

能源成本增加。全球能源市场的波动已经众所周知，按照最近的趋势，能源成本在不断提高。这也使得企业在不断增加的压力下，从总体上考虑可持续发展，减少产品的碳排放以及运营网络，免受运输及物流成本波动的影响而选择本土化生产。这种影响是显而易见的，因为企业的大规模制造投资计划已经越来越多地考虑其工厂需要使用的动力来源。碳排放源，如煤炭，可以带来成本效益，但是由于可持续发展的倡议，考虑到企业形象以及有关碳排放的税收风险使得企业不得不停止使用。

轨迹平衡。许多公司在过去十年中都经历了一个快速增长的周期，包括兼并、收购以及反应性削减。结合一个动态的全球环境，这些变化导致一个企业的发展轨迹不再与公司的目标相一致。轨迹冗余，选址已经变得更加昂贵，对于现有的设施在人才配置上的变化需要采取积极主动的再平衡，但很少有公司能够一直这么做。

自动化技术公司艾默生就是最近的一个例子，其全球业务的重新平衡使他们取得收益。[6] 艾默生具有较悠久的收购和全球扩张的历史，长期以来一直致力于拓展业务的区域范围，不仅在制造领域一贯追求本土化，还在其增长的市场中发展工程和开发业务。

精确信息。由于竞争需要而出现的制造方式，如无库存生产方式和精益生产，都需要及时的信息以保证生产。自动化系统可以按照需求来设置程序以产生数据，从而有效地提供精确信息。同样，先进的制造技术可以提高企业的灵活性，使企业对该系统产生的数据作出有效的反应（见表6）。

与过去相比，现实环境中的各种因素更有利于自动化制造革命。这些科技正在越来越多地出现在企业早期发展环境中，并且支持性技术也相对成熟。例如添加剂制造行业，就是我们常说的3D印刷，已经开始被有效运用到飞机模块的快速制造中。这项技术易于掌握，曾经有一个西北大学工程学的学生，在3个月的假期中，使用3D技术复制了校园。[7]

表6 2020年以后的制造业

33-D Printing<http://www.popsci.com/technology/article/2011-02/using-3-d-printing-tech-eads-wants-print-out-entireaircraft-wing.

4For example，FRIDA —— the latest ABB robot<http://spectrum.ieee.org/automaton/robotics/industrial-robots/abb-factory-robot-frida.

5Caterpillar plans to develop remote controlled machines and expects to develop fully autonomous heavy robots by 2021.Some cranes already are remote controlled.<http://www.im-mining.com/2011/07/06/cat-in-major-autonomous-truck-milestone-with-fortescuedealwhile-rio-doubles-its-komatsu-driverless-fleet.

在企业追求更高产能的过程中，从大学、企业早期环境以及实验中得到的知识可以被用于识别过程中的机会、挑战以及吸取经验教训。相应的，如同西北大学那位工程学学生所展示出来的，用于管理和执行复杂自动化生产的计算机和编程技能将会有效并非常普及地被运用。从这个方面来说，这与几十年前靠资本密集投入形成的自动化制造业大为不同。

五、为自动化革命做准备

现在的企业越来越重视对自己未来发展方向的思考并积极主动地通过调查和引导新的技术来发现自己的能力限制。同理，很多国家已经消逝的制造业能力很难重新恢复，但是出现在他们面前的是一个新的良机去发展新型的制造业。为了更好把握住未来的良机，这些企业与国家着重对三个相关的领域采取了行动：有关新技术的研究与发展、人才发展和长期战略计划。

（一）培育技术

自动化技术设计。GM案例中很重要的一点是，GM的日本竞争对手所设计的零部件，是专门为实现自动化技术而创造的。在案例中，简单基础的设计为技术的可重复性和速度带来了决定性的优势。一位来自克莱斯勒管理部门并熟悉当下竞争状况的前任雇员对于日本公司在通过设计推行自动化方面的成功表达了自己的观点：“我一直以为我们精于自动化，直到我参观了丰田的日本工厂并了解了他们的生产工序是如何与产品相配合的。”[8]在很多公司中，产品研发与最终应用于生产上的技术被完全分离成两个部分。这导致很多理论上完美的产品很难以相同质量被规模化地生产出来。现今，正在考虑采纳自动化和其他高新技术的公司需要引进一个可以补充所选生产技术的产品设计过程，这个设计过程应能记录生产过程中的缺点并同时维持原有的优势。

制造业联营计划。联营计划是一个新兴的被用于加强零售商与顾客之间的联系的方法，其目标在于产品发展趋势与销售数据能够被分享并用于制定产品流动与客户拓展的协同发展计划。由此，制造商能从与销售公司和从事自动化或其他制造技术的研发单位的合作中获利。这种合作方式已经在制造商与材料及配件供应商之间实行了较长时间并形成了一定的规范。通过详细的客户调研，制造商既能了解消费者对消费类产品的需求，同时又能延伸并扩大他们与技术供应商和研究机构间的合作关系，以使技术供应商与研究机构能更好地应对生产商在各个方面的特殊需求。

技术孕育。上述产品设计与生产技术之间的互动对逐步启用的新制造技术起到了决定性的作用。小部分处于领先地位的公司能很好地理解如何将技术的优势转化到专门的需求上去，同时调整生产去适应新的技术。这种进步提出了对传统研发系统的拓展需求，以打破单一的产品发展模式，将制造研究与反馈纳入到产品发展的过程中。Clarks，一个英国鞋业公司，将新的添加剂生产技术（3D印刷）用于彩色鞋设计的快速成型。而其他鞋类生产商还只是通过大量生产单一、基础的产品设计去获益。Clarks起步较慢但是在总体产品中拥有很好的多样性。除了设计上的优势和经验的积累，对于新兴技术的潜力的领悟和在大规模生产上的领先地位促使Clarks公司做出了先前的决定。[9]

（二）人类与机器的互动

解决技能差距。较培育和适应技术相比，为特定的产品研发出配套及与之适应的技术也许是使得下一代自动化技术能成功问世的关键。鉴于自动化生产与外包决策相抗争的历史，制造商们想出了一种特定的劳动力模式来生产产品，这种方法对于新自动化环境并不合适。过去几十年，在很多劳动作坊里，制造业都被认为需要大量的劳动力，而只需要相对较少的教育背景。甚至对高技术的职业的需求也是随着自动化的出现而产生的。在很多国家，公司都将在职培训和经验传授作为技能培训的基础。公司和国家都一样，必须开始识别并培育高技术人才和自主化的劳动力人群，使得他们可以独立从事一系列生产活动。在发达市场的教育体系中，特别是在美国，尽管教育工作者一直重视适应性能力的培养而不是压制，但是他们鼓励通过压制和培养双管齐下来培养适应性能力。[10]

员工授权。大多数的下一代生产技术能够为生产带来更大的灵活性，但为了获得这一好处，公司应当努力去发展更强大的生产力。

一个将这种做法付诸行动的基本案例，是位于威斯康星州的焊接及切割设备的制造商米勒电器。在公司内的某些部门，米勒公司给员工制定预期周产量，然后允许他们自行决定如何完成目标，而无需那些在相同运作过程中经常出现的生产管理员或者是领班人员的参与。这些员工一起探讨，偶尔还与公司的其他部门，例如处于供应链的员工们合作，来完成既定目标。这种方法就像机器人的运用和添加剂制造等技术一样价值将会不断升高，并且使生产变得更加个性化和灵活化。[11]

美国制造业的春天——培训技术

截至2011年年底，在美国，相对于1400万失业人员，只有20%，约320万个工作机会。根据互联网招聘网站Dice.com数据显示，在加州，对于计算机专业的毕业生有接近3倍的技术职位空缺。[12]这些数字表明：在美国，技术差距显著并不断增长。

技术人才的培训差距一直以来是政界和商界讨论的主题。根据美国制造业最新投资建议，通过政府与行业之间的协作，可以有效地缩小差距。例如，北卡罗来纳州州长及其他领导[13]与生物技术产业合作，建立投资北卡罗来纳州技术中心，通过特别为生物科技产业设计的培训课程，进行相关培训，发展劳动力资源。这种能够提供就业培训的设备和环境通常只出现在私人企业，因此，北卡罗来纳州被认为是生物科学专业就业前景最好的州之一，并且成为国家优选试验和测试中心。[14]

佐治亚州的快速启动项目采取个性化培训以获取产业投资。快速启动项目为在佐治亚州符合条件的投资项目量身制作培训计划，使用新技术来开发劳动力以满足企业的特殊需求。该项目激发了制造型企业，如起亚汽车、湾流公司以及卡特彼勒公司，在佐治亚州进行生产设施投资的兴趣。[15]

佐治亚州和北卡罗来纳州的制胜法宝为通过与相关产业直接合作来发展劳动力，以发展所需要的技术技能来保持全球行业范围内的竞争力。这种合作培训计划的好处是，能够基于行业的即时需求解决技术技能差距。公司可以获得一个技术上训练有素的员工，从而在应对加速资本密集型自动化投资时面对较小的风险。公司可以获得现代化制造环境中所需要的员工，而州政府可以获得广泛的制造业投资项目和工作机会。

公司所选择的先进生产技术及其运行方法通过一个更加灵活的生产基础设施可以使得经营模式更加多样化。这样的基础设施有助于实现创新以及产品的个性化。这代表的是短期的成本削减与长期的成本效益之间的权衡。这种灵活性不仅需要技术含量、教育水平更高的劳动力，也要求生产经理能够操作投资组合的过程，并且根据不断变化的产品需求进行转换。这种向员工授权的制度将会使更多公司需要有教育背景的员工，但同时公司文化也需要从传统的生产文化发生改变。

保证人才输送。由于大部分的发达市场老龄化严重并且总体上缺乏熟练的技术和工程人才，人才将是新一代制造业成功的重要组成部分。添加剂制造业的私人公司为技术教育提供了强有力的支持，比如，技术教育可以直接为制造业公司提供他们想要的人才，同时也给公司提供了直接接触优秀学生的机会。有些国家，比如加拿大和德国的教育系统，长期以来都非常注重培养制造业的专业人才。[16]

将传统制造业中的劳动力与新发展趋势中的劳动力的某些关键点进行比较，有助于说明制造业正在发生的变化（见表7）。

（三）长期规划

展望未来，生产技术的发展将是一项重要的战略讨论内容，因为它们可以提供潜在的长期分化机会——这是一个转变我们关注焦点的途径——我们对制造业的关注焦点应从单纯的成

表7 人才的转变

本最小化提高到一个新的战略高度，以达到长远的成功。正如之前所提到的，这种视野上的转变对于许多公司来说是很具有挑战性的，特别是那些在公众投资者压力下耐受力较低的公司。

同样的，我们也需要从一个长远的角度去考虑企业优化的过程，因为它们很难在一夜之间发生改变。但是，基于劳动力和能源可持续供应的考虑，新兴的市场推动了生产的本土化。公司需要在扩大产能之前先考虑设置新生产设施的地址。在许多案例中，自动化以及其他的先进技术可以使发达经济体系下的生产有效地节约成本，使得在低成本国家的现有设施转换至更有力的位置，以满足当地市场，同时降低后勤成本并减少服务现存顾客而产生的环境影响。

这也不是一个单纯的内部分析。大多数行业在考虑生产技术发展趋势时至少应考虑公司自己的和竞争对手的长期发展计划，以提供更具未来实用性的计划，从而减少初始投资或开发更小的设备以便更容易采用科技来做出改变。此外，考虑到灵活性，采用配备更易实施的自动化技术的交互检查系统来应对紧急需要，以及将自动化的机会与地方决策过程中的方案合并，都是非常有帮助的。

最后，使得产品的应用更加可行的产品开发流程和生产技术需要在需求产生之前尽早采取行动。随着各种技术的问世以及无数潜在的产业和产品的应用，不同技术与产业之间的最佳配比的分析变得不可或缺，同时也将使新的研究周期提前到市场需求之前。小型、简化的制造过程在短期内将更可能实现自动化，比如3D印刷过程，从长远来看，人工智能过程的自动化也将随之实现。长期的或者复杂的生产过程将从更加低价的机器人中获得好处，但是在很大程度上仍旧依赖于传统的生产力。

这种自动化的变革新趋势已经开始改变竞争格局。公司将制造而不是成本管理作为核心的战略杠杆将扩大他们的选择。那些能够识别最适合他们产品的新技术、鼓励将生产和产品研发进行整合、促进人才输送，以此引导变革，并对于科技的发展做出承诺、积极管理人才的发展轨迹以平衡其输送途径和成本管理的公司，将会在下一代的制造行业中站稳脚跟。

特别感谢以下为本文做出贡献的人员：西北大学Dean Julio Ottino，德勤咨询Ilya Bondarenko，Raj Vohra，Tom Morrison 以及 Michael Chen，德勤服务部Craig Giffi。注：本文已发表于Deloitte Review，2012年第11期。

【注释】

[1] 1http://www.nytimes.com/2012/ 01/22/business/apple-america-and-a-squeezed-middle-class.html?pagewanted=all.

[2] 2Top 25Technology Predictions，By Dave Evans，Chief Futurist，Cisco IBSG Innovations Practice，Hans Moravec，Robotics Institute，Carnegie Mellon University，1998；Cisco IBSG，2006-2009；http://www.cisco.com/web/about/ac79/docs/Top_25_Predictions_121409rev.pdf

[3] 3Board of Governors of the Federal Reserve System，Industrial Production and Capacity Utilization，Statistical Release G.17，monthly from<http://www.census.gov/prod/99pubs/99statab/sec31.pdf；http:// www.federalreserve.gov/releases/g17/revisions/Current/DefaultRev.htm>

[4] GM and the great automation solution，London Business School，Business Strategy Review Autumn 2003，Volume 14，Issue 3，http:// bsr.london.edu/lbs-article/465/ index.html

[5] Economist Intelligence Unit，Country Forecaster，Updater：January 1st，2012，Employment，wages，and prices.

[6] http://www.emerson.com/SiteCollectionDocuments/Investor-Conference/2012/2012-Investor-Conf-WebcastvFinal-Monser-v2.pdf.

[7] Conversation with Dean Julio Ottino，the dean of the McCormick School of Engineering and Applied Science at Northwestern University，April 2，2012.

[8] Author conversation with former Chrysler executive，February 2012.

[9] http://blogs.smithsonianmag.com/design/2012/03/these-shoes-are-made-for-printing/，http://www.zcorp.com/en/Press-Room/Clarks-Strides-into-New-Era-of-Innovation-with-ZPrinting/news.aspx.

[10] http://www.juliomarioottino.com/perspectives.

[11] http://www.oemoffhighway.com/article/10166444/vermeer-miller-electric-team-for-lean-welding-process.

[12] http://marketing.dice.com/pdf/Dice_TechTalentCrunch.pdf>-Pg.4（accessed 3/10/2012.

[13] http://www.ncbiotech.org/about-us/mission-history.

[14] http://www.bio.org/sites/default/files/battelle2010/NORTH_CAROLINA_profile.pdf>，Information from author interviews with education institutions and manufacturers operating in multiple states，including North Carolina，conducted as part of due diligence investigations for manufacturing investment decisions in support of multiple companies.

[15] http://gov.georgia.gov/00/press/detail/0，2668，165937316_180136645_181525463，00.html，http://www.georgiaquickstart.org/features.php?featureID=b6149f 5f5159a4e2d6a90db90e9ff631，http://gov.georgia.gov/00/press/detail/0，2668，78006749_124268231_126336694，00.html.

[16] Information from author interviews with education institutions and manufacturers operating in multiple countries，including Canada and Germany，conducted as part of due diligence investigations for manufacturing investment decisions in support of multiple companies.

关于美国冲突矿产披露制度的供应链调查实务

森谷博之 高级经理

德勤东京事务所

翻译：

德勤上海事务所

企业风险管理服务

于2010年7月21日在美国颁布的Dodd-Frank法（金融规制改革法，下述简称“法”）中第1502条规定了关于冲突矿产披露制度的内容。其内容为企业须调查供应链中被称作冲突矿产的特定矿产在产品中的使用状况，并将调查结果通过年度报告进行披露。此制度的起因源于在刚果民主共和国东部及周边地区（the Democratic Republic of the Congo or an adjoining country，下述简称为“DRC各国”）持续发生的武装集团通过非法挖掘矿物而获得资金来源的问题。美国证券交易委员会（SEC）于2010年12月15日根据此法令，公布了此法令的具体实施方案，于2012年9月12日发布了最终规则（以下简称“最终规则”，下述内容中将法令和最终规则统称为“制度”）。

制度中规定的需披露的矿产被广泛使用于移动电话、计算机、游戏机身等部件中。因此，向美国制造业提供部件的中国或日本企业则可能需要接受有关是否含有冲突矿产的调查。

本文将对披露制度进行再确认，同时根据截至本文执笔时间（2011年9月5日）时的信息对此制度对中国或日本企业的影响及必要的调查概况进行解释（按照2002年11月时的信息更新）。此外，本文中的意见均为笔者个人意见。

一、制度概要

（一）制度内容

本制度对于在美国上市的企业（在SEC登记注册的企业），做了以下规定：

（1）产品机能及产品制造过程中使用冲突矿产的企业，必须每年提交冲突矿产报告。

（2）冲突矿产报告中，须记录所实施的职责程序，并接受独立的外部审计（independent private sector audit）。

冲突矿产报告中，须披露以下内容：

（1）使用了冲突矿产的产品名称。

（2）该冲突矿产的产地。

（3）处理该冲突矿产的设施（加工厂等）。

（4）关于产出矿山或产出地的选定，做尽可能具体的描述。适用此制度的美国上市企业中虽然也包括在美上市的中国或日本企业，但看似是跟大多数的中国或日本企业不大相关的制度。但是，请再仔细浏览一下上述的披露内容。在美上市的制造企业，对于本企业包含了冲突矿产的产品，必须对产出矿山或产出地的选定做出描述。因此追溯到零部件采购过程中涉及的供应链是不可避免的。而在供应链中，美国上市企业中也有从中国或日本企业采购的。事实上，一级供应商等供应链上接近于成品制造的中国或日本企业，已经从美国成品制造商处接受到纳入的零部件中包含冲突矿产的询问，并开始被要求证明是以何种形式使用这些冲突矿产的。今后，中国或日本的零部件供应商要应对这种制度的可能性会增加。

（二）冲突矿产

此制度所说的冲突矿产是指法1502条所定义的4种矿产。即是：

（1）锡石（Tin-cassiterite，3.9%）

用途：合金、平板、纤维、焊锡。

（2）钶钽铁矿（columbite-Tantalite，8.6%）

用途：手机、计算机、电视机和游戏机机身、数码相机、制造喷气发动机零件的合金。

（3）钨锰铁矿（Tungsten-wolframite，不到1%）

用途：电线、电极、照明、熔接机的接点。

（4）金（Gold，不到1%）

用途：贵金属、利用传导性高和不易腐蚀特性的电子、通信、宇宙航空领域的零件。（以下，这些矿产用每一个英文名称的首字母简称为3TG金属）。

并且，此制度中除了以上所说的3TG金属，还包括受到美国国务卿认可的给DRC各国冲突提供资金的矿产及其化合物。这里具体所指的是哪种矿产还未做规定，今后有必要关注此类信息。

（三）适用期限

制度的适用时间，被定在SEC公布此制度的最终规则之后的最初财年。2012年9月12日SEC公布最终规则，因此，2013年1月1日以后开始的财年适用此制度。

二、制度的具体内容

根据此制度，是否是适用对象及企业的信息披露由以下3个步骤决定：

【步骤1】 确认是否适用此制度；

【步骤2】 确认原产国是否为DRC国家；

【步骤3】确认所使用的DRC各国产的3TG金属是直接还是间接利于武装势力，还有冲突矿产报告的披露。

以上内容如图18所示。

图18 制度应对流程

（一）确认是否适用此制度

如上所述，此制度适用于在美上市的制造企业中产品机能或者产品制造过程中需使用3TG金属的企业。因此，为了明确是否适用此制度，需要调查本公司产品中是否使用了3TG金属。对此，现在多数的美国制造商要求供应商提供零件原料中3TG金属使用状况的问卷调查。

根据调查，如果明确未使用3TG金属，则不适用此制度。

（二）是否产自DRC各国的判定

判断是否适用此制度，根据“合理的原产国调查”，判定该矿产是否产自DRC国家。

关于原产国调查的方法，尽管制度提案没有规定特定的程序，当前采用的“合理的原产国调查”方法是，从3TG金属的处理设施等处取得关于使用矿产是否产自DRC国家的陈述书。此陈述书直接从处理设施处或者通过供应商取得。但是，不是取得陈述书后就结束，而是要根据事实和真实情况确认陈述书是否真实及合理。举例来说，对于未含有3TG金属的情况，制度要求该供应链要接受外部审计。

根据该调查结果，所使用的3TG金属若不是产自DRC国家，此内容和调查的过程都需进行披露。

（三）尽职调查手续和冲突矿产报告的提出

1.尽职调查手续的实施

根据“合理的原产国调查”的结果，制造过程中使用了3TG金属时（包括不能确定原产国的情况），须进行尽职调查手续，并接受外部审计。

2.冲突矿产报告的提出

尽职调查手续实施的结果须在年报中披露并且编制冲突矿产报告披露。

冲突矿产报告披露的内容如下所述。此外，不能选定冶炼工厂或无法追溯到产地时，在下面的（2）中进行说明。

（1）对追溯到3TG金属产地的供应链所实施的尽职调查报告的内容。

（2）使用了3TG金属的产品名，该矿产的产地，处理该矿产的设施（冶炼工厂等），为明确产出的矿山或产出地等信息所采取的措施。

（3）接受外部审计的内容和针对冲突矿产报告的审计报告。

三、 对中国或日本零部件制造商的影响

前面也介绍过，给在美上市的成品制造商提供零部件的中国或日本企业会受到此制度的影响。特别是一级供应商，从作为被调查对象的成品制造商那里，收到所纳入的零件相关的全面调查委托的可能性会很高。也就是，成品制造商仅是给一级供应商做出指示，不了解使用的矿产及其产地等信息也不奇怪。因此，不是成品制造商，而是一级供应商了解是否使用了3TG金属等信息。

另外，就算不是一级供应商，产业下游的供应商所使用的矿产信息缺乏的话，委托产业上游的供应商进行调查的情况也应该不少。也就是说，给在美上市的成品制造商提供零件的供应商，尽管级别不同，但在此制度中或多或少都有关联。

图19 调查的流程

四、关于3TG金属的供应链调查

（一）关于零件含有物的调查

根据之前的步骤1，有必要确认制造商所使用的零件里是否含有3TG金属。根据不同的制造商，很可能包含关于BOM等零件的数据库中矿物类的描述。在这种情况下，可能立刻能判断出步骤1中的制度是否适用。

但是，假设所有关于零件的矿物信息都没有的情况下，有必要向这个零件原材料的供应商进行询问。

关于调查的结果，利用电脑建立数据库进行管理。如果调查的零件数量很大，有必要讨论是否利用IT技术进行调查系统的开发。

表8 BOM（零件材质表）

（二）关于原产地的调查

在上述的调查中，如果确认了零件使用3TG金属的情况，下一步就是关于3TG金属原产地的调查。

在这里，原产地的调查也就是确认3TG金属是否是DRC各国的产出物的合理调查。在制度中未明确定义何为合理的调查。同时，关于制度的合理性，引用了US-SOX，即美国内部控制制度合理性的方法论，可以说达到了审慎性专家的水准。换句话说，如果没有找到该零件是DRC各国的产出物的证据，就做出该零件不是DRC各国的产出物的结论是不合理的。

关于具体的方法，制度中列示了一种方案。就是，如果想得到使用3TG金属制造零件的供应商他们是否采用原材料的产地是DRC各国的可信赖的合理性陈述报告的话，遵循控制法案也可以视为合理的调查。但是，对于取得陈述报告的企业而言，有必要再确认基于事实和情况的信赖程度。比如说，假设根据国际公认的标准，本社的产品所含金属的冶炼厂被确认为没有使用DRC各国生产的3TG金属，从这个冶金厂得到的陈述报告可能是可以被信赖的。

从这一点来看，对于上游的供应商而言，由于零件的供应方是企业商业机密的一部分，有可能拒绝披露。因此，有必要在问卷调查的设计上巧妙地找对方法。比如说，不直接地询问材料的产地，可以考虑使用「Yes/No」的询问方式来确认是否使用来自某个产地的原材料。

在这里，美国电子电机的行业团体EICC（Electronic Industry Citizenship Coalition）与国际性信息技术相关的行业团体GeSI（Global e-Sustainability Initiative）合作，提供了有关“冲突矿产”供应信息的收集工具。关于该工具，我们准备了在步骤1中所提到的结合3TG金属使用情况和原产地情况的调查问卷模板。作为参考，摘录了以下的问题项目（关于术语，笔者在本文中进行了统一。对于无DRC冲突产物，可以称为不含有为DRC各国的武装势力提供直接或者间接的资金或利益相关的矿物）。

-贵公司所制造的产品的性能或者在制造合约中的产品在生产过程中是否需要使用3TG金属？如果答案是“否”，这个调查在此结束。

-3TG金属（贵公司的产品或者生产所需的材料）的原产地是否是DRC各国？

-为贵公司以及供应商提供金属的冶炼厂全部都是特别指定的吗？

-为贵公司以及供应商提供金属的冶炼厂是否登记在国际公认基准无DRC各国生产3TG金属的注册列表上？

请回答下列问题：

A.是否制定了关于无DRC冲突矿物的采购方针？

B.这个方针是否能在贵公司的主页中浏览到？

C.对于贵公司的一级供应商，是否有“无DRC冲突矿物”的要求？

D.对于一级供应商而言，是否符合EICC-GeSI无冲突冶炼厂供应的要求？

E.是否实施对冲突矿物供应的尽职调查？

F.是否对所有的供应商收集对冲突矿物报告模板的答案？

G.是否要求一级供应商进行冲突矿产报告的录入？

H.是否要求供应商提供清晰的供应源的冶炼厂名字？

I.是否对供应商关于冲突矿产的回答进行验证？

J.在验证的程序中是否包含修正措施的管理？

K.贵公司是否是美国证券交易委员会的披露规则的对象？

（三）实施尽职调查

到此为止的调查结果，适用于公司产品明确使用了DRC各国所生产的3TG金属（或者包含了不确定是否使用的情况），从3TG金属的开采挖掘到使用于公司产品这个流程中，必须实施相关的尽职调查。

关于供应商的尽职调查，是对从3TG金属的开采挖掘到精炼、冶炼、合金、交易等供应商零件制造工艺，再到公司产品的生产计划的实际现货流程的确认。目的在于确认公司产品所包含的3TG金属是否为DRC各国武装势力提供了资金或利益有关的矿物。

关于这一点，制度对于尽职调查没有设立相关的具体规范，希望使用国内外所承认的指引。SEC也把经济合作与发展组织所公布的关于供应商的尽职调查作为指引文件（以下称为“OECD指引”）进行推荐。

五、OECD指引

根据OECD指引，尽职调查由以下5个步骤组成：

【步骤1】构建坚实的管理体系。

【步骤2】对于供应链的风险定义和评价。

【步骤3】对识别的风险进行战略制定和引入。

【步骤4】冶炼厂/精炼厂所实施的尽职调查的独立第三方审查。

【步骤5】尽职调查结果的年度报告。

（一）构建坚实的管理系统

（1）企业必须采取且明确披露相应的方针，对矿物原产地内有人权侵害可能的冲突地区进行尽职调查。

（2）有必要对内部管理体制构建供应链尽职调查。

（3）构建对矿物供应链的管理和公开性的策划。这个策划包含了对原产地的追踪系统和对供应链上游产业的特定策划。从这一点与之前所陈述的EICC等，行业组织也会为制定体制提供支持。

（4）有必要根据之前所披露的方针和与供应商的合约与备忘录的内容，尽可能地对供应商自身的矿物管理能力的提高进行援助。

（5）在公司层面或者行业层面，构建早期警戒系统的意见处理策划。

通过这样的操作，就能创建有效果和有效率的矿物尽职调查的基础实施环境。

（二）对于供应链的风险识别和评价

（1）对供应链风险的定义。

（2）对照供应链方针，识别并评价存在的不利影响。

而且，在本指引中所定义的风险，有企业的经营活动所产生的，也有和供应商等第三方关系产生的风险，也有潜在地会发生不利影响的风险。所谓不利影响，包含对人类有危害的企业的外部活动，也包含不利于企业信誉、法律责任等对企业自身的影响。

（三）对识别的风险进行战略制定和引入

（1）向经营管理层报告风险控制评价的发现点。

（2）制定风险的管理计划。在实施可以测定的低风险政策之后，考虑是否继续交易，或者在实行风险政策的同时暂时停止交易，或者低风险政策行不通或者不可能实现低风险的情况下是否停止交易等的对策。

（3）在引入风险管理计划以后，向经营管理层汇报对于风险管理状况进行监督、测定的效果和情况。通过中央/地方政府、上游企业、国际机构、市民团体和有关的供应商等的协作努力得以实现。

（4）为了降低和排除主要风险，需要持续地进行事实确认的调查，确认事实是否发生变化，并进行风险评估。

（四）冶炼厂/精炼厂所实施的尽职调查的独立第三方审查

到此为止的尽职调查程序有必要委托独立第三方机构进行审查。

（五）尽职调查结果的年度报告

关于尽职调查的方针和实施结果，有必要每年公开发布报告书。

以上的程度与其说是每年的例行程序，不如说是定期必须实行的管理周期。

图20 尽职调查手续循环周期

六、有效制度的导入

这个制度与2002年萨班斯-奥克斯利法案404条引入内部控制制度时的情况很相似。在当时，SEC发现了安然等多家企业的巨额财务报表粉饰事件，急忙制定并实施了这一规定。这一法规的特征是，并非让经营管理层宣誓不对企业的财务报表进行粉饰，而是自己评价关于制作财务报表的内部控制，外包的部分也要实施自我责任的评价。对于这个评价结果，外部审计师有义务进行监察。

有关内部控制报告制度，由于对企业而言是一个相当的负担，再加上SEC最终规则的确定需要相当的时间，对于是否适用于中小规模企业进行了几年的讨论，结果得出了不适用的结论。

话说回来，关于冲突矿产披露制度，SEC最终规则的确立大幅度地延迟，本应由审计协会公布的审计基准和本应由美国国务院公布的冲突矿产的地图，都已经超过预定的发布时间，至今都没有公布。考虑到过去内部控制报告制度的经验和该制度的性质，无法判断制度该如何落实，或者什么时候开始适用。

根据内部控制报告制度的经验，笔者认为，对该制度最重要的是，在早期阶段经营管理层对于相应制度的参与。从日美两国内部控制报告制度的经验来看，大多数的企业都在观望其他公司的态度，更别说处于制度投入使用的前夕。但是，从笔者的经验来看，多数企业都轻视内部管理制度，以临阵磨枪的态度去应对。结果是，工作中重复返工频出，或者不得已在第二年以后重新考虑，或者多少投入了一些成本却流于形式，基本对于经营管理毫无帮助。这是项目管理失败的典型实例，或者由于经营管理层不在现场参与导致偏离原定方向的结果。为防止该情况的发生，必须妥当调整项目的环境，最重要的是在制度导入开始时，脚踏实地地投入行动。因此，为了在黑暗中照亮前进的方向，经营管理者的卓越领导能力是不可或缺的。

七、美国企业的趋势

在此对先行的美国企业的情况做些介绍，给大家以参考。在美国，电子零件行业率先制定了相应的制度。EICC是有来自美国、日本、韩国等地的全球40多家企业参加的电子行业团体，很早就致力于冲突矿产问题的解决，在制定Dodd-Frank法案之前，已经实施追溯到供应链产地的特定调查。

EICC在2010年12月已通过特定的项目发布了对不使用3TG的冶炼厂的第三方评价，目前在实施对钽金属冶炼所的评价。预计今后会依次扩大到钨和金。2012年6月举行了和3TG金属有关的工作会议，来自各国的NGO代表就各国3TG金属的现状和上述冶炼所评价项目的情况交换了意见。

而且美国的汽车制造商（包括在美国当地注册的日本企业法人）和零件制造商的行业团体AIAG（Automotive Industry Action Group），在2012年4月通过6家汽车制造商对供应商的联名信，唤起了有关各方对3TG金属的意识。在2012年5月，为供应商举办法律背景和相关要求事项的网络研讨会等。上述种种积极的行动越来越普遍。

有个别企业，比如英特尔、苹果、惠普公司、摩托罗拉在公司主页上积极展示了自家公司对3TG金属的处理方法。在日本的企业中，千住金属工业和东芝也开始对有关处理方法进行公示。

八、附录

作为OECD指引的补充资料，以下总结了零件制造商在考虑内部控制制度时，有必要检查的风险清单。由于制度的内容无法确定，虽说这个称不上是最终版本，也无法囊括所有的内容，但是也许会为内控制度的建立提供有益的参考。

保险业风险管理小故事（4）渠道“默契”

德勤上海事务所

企业风险管理服务

描述

时值年底

业务员：“哎，费了九牛二虎之力终于把今年的指标给完成了！兄弟，能不能合作一把，我们也赚点超额奖啊？”

银行代理员：“呵呵，说吧，怎么赚？”

业务员：“还是兄弟爽气！我在想，公司这边的业绩已经完成，我把多出的业务借你代理的名头过个手！”

银行代理员：“行呀，把你的业务拿来吧，只要到时候别忘了兄弟我就成。”

业务员：“哪儿忘得了，还想跟你长期合作呢！你稍等，我去把客户投保资料给你！”

获取中介代理手续费后

银行代理员：“手续费来了，快来取！”

业务员：“好的，马上来了！早上老婆还在跟我提血拼需求呢！呵呵……”

分析

上面这种兄弟间的“默契”在保险行业中可能已司空见惯了，殊不知这种“默契”的背后已引发了中介业务管理的合规风险。故事中销售业务员与银行代理点之间私下将直销业务转为代理业务，将支付给保险中介的手续费塞进了个人的腰包，这种骗取手续费的行为说明保险公司在销售流程管理方面存在着中介机构管理和手续费支付管理方面的内控缺陷。

2010年8月16日颁发的〔2010〕69号《保险公司内部控制基本准则》对保险公司的内部控制活动目标、内部控制体系建设、内部控制的评价与监督等提出了指导性的意见。其中，保险公司内部控制活动由销售控制、运营控制、基础管理控制和资金运用控制四个方面构成。

上述故事中，产生销售业务员和代理人员违规行为的内在原因包涵了业务驱动和利益驱动两方面。保险公司可以通过在销售控制活动中制定有针对性的控制制度，防范相关违规风险。

（1）在销售人员和机构控制方面，加强销售人员和中介机构的管理。建立代理机构合作管理制度，规范与代理机构合作过程中的资格审核、合同订立、保费划转和佣金手续费结算的规定；

（2）在佣金手续费控制方面，加强保费收取和手续费支付管理。严格实行保费收取与佣金支付收支两条线管理；同时加强手续费的计算和支付管理。通过系统控制和主管审核，防范虚列、套取、挪用、挤占手续费的行为，杜绝任何形式的商业贿赂行为；

（3）在销售过程和品质控制方面，建立销售过程和销售品质风险控制机制，有效发现并监控销售中虚假业务等行为。

内控小字典

销售控制的内容和基本要求

保险公司应当以市场和客户为导向，以业务品质和效益为中心，组织实施销售控制活动。保险公司应当根据不同渠道和方式销售活动的特点，制定有针对性的内部控制制度，强化对销售过程的控制，防范销售风险。

销售控制是包括销售人员和机构管理、销售过程管理、销售品质管理、佣金手续费管理等活动的全过程控制。

注：本文参照《保险公司内部控制基本准则》相关内容。已发表于《太平洋保险报》2011年3月11日，总第646期。

企业内部控制实务（8）——固定资产管理

原国太郎 合伙人

德勤上海事务所

企业风险管理服务

固定资产管理是资产负债表的重要组成部分！其减值、折旧等会对损益产生很大影响

对于多数企业来说，固定资产很大程度上决定着资产负债表的借方。资产负债表另一边的“负债和所有者权益”主要描述了资金的筹措方式，而企业实际上从事着怎样的经营活动，如何通过在生产、销售和服务环节中有效使用资金来提高竞争力，都反映在资产负债表上“资产”的一边。

然而，利润表作为企业的“成绩单”一般更受重视，所以在处理固定资产科目时，说得轻一点是“合法的灵活调整项”，说得重一点则是“可能利用各种财务、会计手段合法地调整入账金额，并体现损失或收益”。就此，近年来会计准则做出了诸多更新，以使“财务报表能够更合理地反映企业的实力”。

美国SOX法规定应根据相关会计科目的金额重要性和风险程度判断固定资产是否作为评价对象，但由于大部分公司会选择8～9成的会计科目作为对象，实际上很多企业将其作为评价对象。日本版SOX实施标准规定了（在公司层面内部控制、财务决算及报告流程评价之后）要对“与企业经营目标有重大关联的会计科目相关流程”进行评价。因此，除非是业务在很大程度上依赖于固定资产，多数企业可能不将固定资产科目作为评价对象。但是，实施标准中也提到“对于重要的业务流程，可以作为评价对象个别追加”，如“固定资产减值损失”等。

在中国，财政部办公厅出台的《企业内部控制应用指引》（征求意见稿）中专门设置了“固定资产”和“无形资产”的章节。

那么，让我们来看一下固定资产方面通常的管理要点以及所要求的内部控制。

租赁资产：

合理地将表外/表内的判断以书面文件形式记录在日本，由于将固定资产转换为租赁资产会减少固定资产的列报，租赁交易很快得到了普及。与之相比，中国的租赁行业始于20世纪80年代，发达程度远不及美日等发达国家，但近年来随着需求的增长，固定资产租赁行业得到了迅速的发展。

实际上，无论是向他人借来资金购买固定资产并定期偿还债务，还是租用他人的固定资产并定期支付使用费用，这两者的实物和资金流动很相似。实际操作中，在使用期间、付款金额、租赁合同期满后的买入、合同的更改或解除的罚则、改造、修理、使用年限和残值的估计等方面，要考虑各种各样的合同条款或交易状况，实际上实物固定资产的购入和租赁交易的界限比较模糊。

然而遗憾的是，在会计处理上只有作为购入固定资产处理的融资租赁（计入贷款和租赁资产科目，作为表内资产）和作为租用固定资产处理的经营租赁（租金计入费用科目，作为表外资产）这两种方式。

在美国，早在1976年就导入了与租赁会计相关的会计准则（1977年1月以后开始适用），详细规定了在何种情况下应以何种方法处理。然而，伴随着金融工程学的发展，越来越多的租赁交易难以辨别是表内还是表外，相应的租赁会计准则也随之进行修改，如此交替的情况不断发生。例如，最低租赁付款额（Minimum Lease Payment）的现值（Present Value）就是标准之一。笔者听到过这样的案例：使用保证包含最低租赁付款额残值（Residual Value）保险产品的公司，正受困于为了满足近年来由于租赁相关会计准则的修改而支付越来越多的保险费用。

日本的租赁会计准则中有对于所有权转移以外相关例外的规定，实务操作上绝大多数不计入表内业务。然而，日本准则与国际会计准则融合的潮流正在加快，租赁会计的修改动向也呼之欲出。而在中国，无论是新会计准则还是旧会计准则，除了土地租赁之外，基本都与国际准则接近。

就内部控制角度而言，无论租赁资产在财务报表表内还是表外，都是企业生产经营活动所必需的设施或设备，必须根据其重要性来进行管理这一点是不变的。因此，必须比照购入固定资产，对取得、处置、转移、实物盘点等实施内部控制。

此外，关于租赁合同本身的管理，在合同内容复杂的情况下（例如，可能有销售方计入销售额，承租方采用经营租赁方式的情况），从会计上的要点来讲，公司必须合理地将表外/表内的判断以书面文件的形式记录下来。介于这样的情况，有时应该借鉴律师、会计师的观点。如果是规范的租赁公司，对于大规模且性质微妙的租赁交易，应该考虑将为顾客寻求法律意见作为工作内容的一部分。

“可见的”固定资产：

需要注意的是处置相关事宜、转移记录、掌握闲置固定资产等方面

首先，让我们来看一下“可见的”固定资产应该关注的固定资产实物管理要点。

取得与处置

取得和处置固定资产必须基于适当的批准实施。取得固定资产所需的批准程序一般会包含在采购相关批准规定或投资相关书面禀议书上，而处置固定资产是固定资产特有的程序。正如第七章存货资产中提到的，在中国，固定资产报废处理不能在税前扣除时，经常能够看到公司对报废的证据资料、文件、照片等不予保存的问题。从内部控制的观点来看，希望公司能够保存报废处理的批准和报废的证据资料。此外，应当注意出售固定资产时的程序，例如开发票以及收款的管理，会不会有问题；相比产品的销售，在销售固定资产的过程中需要注意不要在程序上草率行事。

台账管理和转移

已取得的固定资产用固定资产台账进行管理，在实物上粘贴与台账对应的铭牌或标签。由于租赁资产不是本公司的资产，且将相对价值较低的备件等作为租赁资产的情况很多，所以对于这一块的管理很容易被忽视。租赁资产有必要在财务报表附注中进行披露，同时考虑到向租赁公司的支付管理，台账的使用非常重要。

如今，大多公司已不再使用纸张编制固定资产台账和租赁资产台账，但是因为很多公司不用专业财务会计系统，而使用简易软件或者表格计算，所以有必要注意安全与备份等信息系统的整体控制方面有没有问题。

虽然固定资产的转移在会计分录上不作反映，但从管理的角度也必须确切及时地记录。在工作中是否存在备件或工具在部门间借用但没有被记录的情况呢？有必要在固定资产台账上填写放置的场所，像车辆等移动的固定资产则应该填写主管部门、负责人等，且设定每次发生变更时的程序。

实物盘点、停用、处置、保存

中国的《企业会计制度》规定了固定资产必须定期或至少每年盘点一次。日本虽在法人税中规定存货的盘点必须每年进行一次，但对于固定资产相关的实物盘点没有明确的法令或者准则加以规定。有部分公司能够实现每年对固定资产实施实物盘点，但还是存在为数众多的公司多年未进行盘点。

根据实物调查，对于已认定为不能运转的固定资产必须将其归类为闲置资产。尤其在资产减值会计处理被引入后，由于闲置资产的会计处理发生了变化，故一定要实施必要的控制。困难的是，模具等用途有限的固定资产今后是否会使用，还是会被报废尚且未知，在某些情况下必须向产品的供货方确认后才能做出判断。

我们在第七章中提到过，中国的《企业内部控制基本规范》和日本SOX的《实施标准》都将“资产保全”作为内部控制的目的之一。通常情况下，固定资产的转移较存货困难，然而，有必要防止发生未经批准的固定资产被搬出、转移等。此外，在固定资产的资产保全方面还有一个重要特征，那就是必须注意与生产设备相关的劳动安全事项，与建筑物相关的法规，消防法等众多合规关联事项。

“不可见的”固定资产：

采用资本化还是费用化会导致损益的很大变化

一说不可见固定资产也许就会想到是无形资产，而实际上应该更加宽泛，应该将资本化的修理费用和固定资产折旧等与无形资产一并在这里记述。

修理费用和固定资产折旧

符合资本支出的修理费用应被计入固定资产，不过实际操作部门经常会将这一点遗漏，而仅作为费用通知会计部门。

此外，记账时以怎样的归纳方式在台账上记录也相当重要。部分更换、部分报废的时候，需要弄清楚各个部分，然后分别确切登记。发生部分毁损或停止使用的情况时也是如此。

对于固定资产折旧，虽然税法中已详细规定了何种资产以何种使用年限计提折旧，但有时税务的标准不一定适用。虽然在中国和日本这样的做法不是很普及，但在欧美，很多情况下公司会区分管理会计上的折旧和税务上的折旧。如果税法的标准和经济实际情况发生很大的背离，那么会计上和税务上的折旧就应当分开管理。这一点其实也适用于将修理费用作为资本化支出的部分。

同时，固定资产的使用年限会直接影响计提的折旧费用，从而会对损益产生很大的影响。如果实际使用的固定资产的估计使用年限因故发生变更，其作为“会计估计变更”和会计政策变更一样需要得到批准。

研发、软件

在中国，尽管研发和信息系统软件通常价格较高，但实务上常见未得到正确处理的情况，比如

将研究阶段发生的费用或无法满足无形资产的定义及相关确认条件的开发费用作资本化处理；或将应计入资产的软件作为费用来处理；或者不管其性质统统计入资产，等等。从内部控制的角度，公司需要按照适用会计准则的规定实施相应的会计处理，并将会计处理的依据以书面的形式记录下来。

知识产权

知识产权是一种无形财产权，是从事智力创造性活动取得成果后依法享有的权利。中国新会计准则中，专利权、非专利技术、商标权、著作权、特许权等都属于无形资产。商誉的存在无法与企业自身分离，不具有可辨认性，所以不属于无形资产。

在日本，商誉在企业收购时被计入相关账户中，不过根据2005年4月1日以后开始实施的会计年度的减值会计，如果目标企业由多个业务组成，那么原则上将每个业务单位的商誉分开记录。据此，收购的目的是获得特定的市场和大型贸易伙伴，如果获得（不作为商标权计入的）品牌，那么也应该将其分开记录。和刚才提到的资本支出的修理费用类似，该特定的业务、市场和与大型贸易伙伴的关系、品牌价值发生毁损时，需要计提各种各样的减值准备。

关于特许权和商标权等知识产权，我们在这里先不谈大家比较感兴趣的取得时估价的妥当性，从内部控制的角度看，关键是每期都有必要合理确认是否有减值的迹象。当然，有形固定资产也是一样，但是有形不定资产相对比较容易判断其实物是否可用、是否损毁，且使用台账进行管理一般不易遗漏，而无形资产是否报废等的判断难度则相对较高。此外，美国准则要求对无法确定使用年限的无形资产不进行摊销，而是至少每年对其进行一次减值测试。

在中国，企业取得的土地使用权通常被确认为无形资产，但改变土地使用权用途，用于赚取租金或资本增值的，则将其转为投资性房地产。这与其他国家有所不同。

减值会计的含义：

旨在使资产负债表能够更好地反映事实

中国的旧会计准则中已经引入了资产减值会计的思想。为进一步规范资产减值的确认、计量和相关信息的披露，新会计准则增加了《企业会计准则第8号——资产减值》准则，明确了资产可收回金额的计量方法，使资产减值损失的确定具有较好的可操作性。此外，新会计制度在会计核算方面有很大改变。旧准则规定已经计提减值损失的资产，如果资产价值恢复，则资产减值损失可以转回，但根据新准则，大多数资产减值损失一经确认，在以后会计期间不得转回。这将有效地遏止上市公司利用减值准备调节利润。

减值会计的导入是以“在资产负债表上反映更实际的情况”为首要目标的。不过更值得关注的是，将“运用该资产从事经营活动从而产生的损益和现金流”作为判断的基准之一。这意味着，在会计准则中包括了“应该根据固定资产在经营中产生的现金流来评价该固定资产的价值”的考虑方法。

1990年前后，日本发生地产泡沫。究其原因，主要是无视现金流，在土地预期价格不断上涨之下购买不动产的逻辑在一流企业中盛行，同时银行、非银行金融机构也无节制地对这些企业融资，最终导致大量资金流向土地和建筑物。之前也提到过，由于趋于轻视盈利是日本企业很大的特点，日本的经济和社会的某些方面（间接金融、终生雇用等）也是在此基础上形成的。可以说减值会计的诞生是日本型企业向美国型企业转型，是经济变化潮流中的一个环节。

随着中国经济的发展，土地使用权、房屋建筑物等日益成为企业和个人投资的对象，致使价格出现过度高涨的倾向。企业对于不动产的认识和运作也逐渐开始适应国际化的进程，开始运用租赁和资产支持证券等方法。

只是，任何事做过头了就会滋生弊病。从所谓的总资产回报率（ROA）和净资产回报率（ROE）等财务指标的观点出发，可以说是资产越少越好。极端地说，完全不持有固定资产而只进行投资，比如对冲基金那样的企业也许有着最好的商业模式。

企业所处的行业在很大程度上决定了“哪些资产、设备作为固定资产是必要的？”这类问题。损益表里的主营业务利润、资产负债表里的资本充足比率等还能勉强用于跨行业的企业比较，但如果要回答固定资产处于何种状态最佳，那么如果不涉及该行业的话就很难说了。在会计准则中表现出的重视利益的潮流，鼓励在短期内收回投资，换言之，在适应第三次产业发展的同时，可能会冷落了需要长远投资眼光的大规模重型工业产业。

注：本文已发表于《中美日企业内部控制实务》（复旦大学出版社，2009）一书中，但对其中内容进行了些许调整。

德勤中国企业风险管理服务的联系方式

北京

德勤华永会计师事务所（特殊普通合伙）

北京分所

北京市东长安街1号

东方广场东方经贸城德勤大楼8层

邮政编码：100738

电话：+861085207788

传真：+861085181218

上海

德勤华永会计师事务所（特殊普通合伙）

上海市延安东路222号

外滩中心30楼

邮政编码：200002

电话：+862161418888

传真：+862163350003

台湾

勤业众信联合会计师事务所

台北市民生东路三段156号12楼

邮政编码：10596

电话：+886225459988

传真：+886225459966

香港

德勤·关黄陈方会计师行

香港金钟道88号

太古广场一期35楼

电话：+85228521600

传真：+85225411911

深圳

德勤华永会计师事务所（特殊普通合伙）

深圳分所

深圳市深南东路5001号

华润大厦13楼

邮政编码：518010

电话：+8675582463255

传真：+8675582463186

广州

德勤华永会计师事务所（特殊普通合伙）

广州分所

广州市天河路208号

粤海天河城大厦26楼

邮政编码：510620

电话：+ 862083969228

传真：+ 862038880119/ 0121

德勤中国公司治理中心网址：www.corpgov.deloitte.cn

德勤中国公司治理中心（本“中心”）于2010年4月21日正式宣告成立。中心将作为中国公司治理实务发展情况的信息集散地，并面向中国境内各位董事、高管与投资者主办各类重大公司治理活动与圆桌会议。中心的建立旨在促进中国内地和香港特别行政区两地的公司治理的领先实践。它着重介绍了在中国内地和香港特别行政区两地处于领先地位的公司治理实践，并重点收集来自德勤中国和其他第三方的多元化的关于公司治理的资源及领先理念。