原创 | 敏捷审计的六大原则

10羊皮卷 2023-09-18

展开全文

在参加敏捷审计思创会（深圳站）之前，近几个月一直在研究和思考敏捷审计的问题，渐有所得。通过在思创会上与专家们的思维碰撞，又有一些新的思考和感悟，个人认为敏捷审计可坚持以下六大原则：

Part.01

要事第一，抓主要矛盾

敏捷审计的六大原则

史蒂芬·柯维的《高效能人士的七个习惯》是对我影响深远的一本书，书中第一个原则即要事第一。

敏捷的内审人要做高效能人士，自然也应坚持要事第一。

网上广为传播一则股神巴菲特和他司机的故事：司机向巴菲特咨询成功的秘诀，巴菲特让他写下自己的25个目标，司机用一晚上的时间就完成了。巴菲特看到这25个目标后，让司机挑出最想要的5个。司机恍然大悟说到：“我明白了老板，我应该先完成这5件事，然后有余力的时候再去做另外20件，对吗？”巴菲特摇摇头说：“不不，你应该把你全部的时间都花在这5件事上，然后尽全力逃避剩下的20件事。”

回顾从事内部审计的这些年，看过上千份审计报告，我发现很少有报告能摆脱80/20规则，一份报告中特别重要的问题一般不会超过20%。如果一份报告中80%的问题都很重要，往往说明被审计单位需要彻底整顿了，已非靠审计一己之力所能改变。

敏捷审计的出现，并非为了敏捷而敏捷，而是为了更好地解决在充满不确定的环境下利益相关方对内部审计需求的不断增加与审计资源的相对不足之间的矛盾。

敏捷审计不是在不确定的环境下像无头苍蝇一样疲于奔命，而是在不确定中抓住确定的因素，抓住主要矛盾，及时应对，精准打击。

Part.02

价值驱动，结果导向

敏捷审计的六大原则

企业财务管理的目标是企业价值最大化，内部审计的目标是增加组织价值，促进组织实现其目标。

无论是财务管理，还是内部审计，都离不开价值。

莫敏总在分享中谈到，敏捷不是完成事情，而是创造价值，更追求带来价值的结果。

反过来，不能带来有价值的结果的敏捷没有意义。

敏捷审计的价值驱动，和内部审计以价值为导向是异曲同工的。

如果我们去追问内部审计的终极目的，最终会回到价值上。比如：

做审计项目为了什么？

为了揭示问题和风险。

揭示问题和风险为了什么？

为了改善运营、内控和风险管理？

改善运营、内控和风险管理为了什么？

为了促进企业提升效益、高质量发展。

促进企业提升效益、高质量发展为了什么？

为了帮助组织实现其使命愿景。

帮助组织实现其使命愿景为了什么？

为了实现企业存在的价值和意义。

也许对于这个追问中有些问题大家可能有不同的答案，但最终的落脚点可能会在价值和意义上。

如果我们理解了终极的目标是价值和意义，则可以以终为始地以价值为导向，以价值驱动审计。

Part.03

实事求是，实质重于形式

敏捷审计的六大原则

实质重于形式是会计理论和实务非常重要的一个原则，无论是内部审计，还是敏捷审计，都应坚持实质重于形式的原则。

实质重于形式，是“实事求是”在会计、审计领域的体现。

“实事求是”出自《汉书》，毛泽东主席1917年寄住在岳麓书院时，时常能看到校长书写的“实事求是”的牌匾。在日后的革命岁月中，毛主席始终从中国国情出发，理论联系实际，并写下了《反对本本主义》《星星之火，可以燎原》《中国的红色政权为什么能够存在》等著名篇章，通过革命实践验证了“实事求是”这一真理。1943年11月，延安的中央党校大礼堂落成时，毛主席为大礼堂题词正是“实事求是”。

“实事求是”本质上是认识客观规律，尊重客观规律，按客观规律办事。

实质重于形式正是体现了“实事求是”的原则。

谈到站立会时，刘国华老师说他采取的方式不是站着，而是和团队负责人坐着喝15分钟茶。

所谓站立会，站是形式，会是实质。只是站，没有会，则没有意义。

《九方皋相马》的典故中，伯乐对九方皋的评价充分体现了实质重于形式的精髓：“若皋之所观，天机也：得其精而忘其粗，在其内而忘其外，见其所见，不见其所不见，视其所视，而遣其所不视。”

审计工作中类似的场景有很多，认清什么是形式、什么是实质，才能抓住实质，才能做到实质重于形式。

敏捷审计不只是形式的敏捷，更是实质的敏捷。

思创会的讨论中，大家达成高度共识的一点即高价值的洞察重于详尽的底稿和报告。如果能推动问题解决，没有详尽的底稿和报告又如何？如果不能推动问题解决，有了详尽的底稿和报告又如何？

在和高垚老师的讨论中，我们有一个共同的观点。即要实现敏捷审计，首先要突破审计思维和审计方法论的限制。

目前，内审行业基本在用外审的思维来做内审，很多时候对于报告底稿的重视程度远超过了问题的整改和风险的化解。尤其是在“没有记录就没有发生”的免责逻辑下，很多审计人员花了大量的时间在做底稿，很多底稿对于问题解决和风险的化解没有任何意义。

当然，这和内审职责的边界有一定关系，尤其是现在很多组织大谈要对内审部门和内审人员进行问责。有些同仁认为报告出具了、问题揭示了，审计的职责便履行到位了；底稿和报告详尽了，便可以免责。但站在企业整体来看，如果问题没有解决、风险没有化解，再详尽的报告和底稿都没有太大意义。

Part.04

发现即行动，快速分级响应

敏捷审计的六大原则

刘道君老师的分享中谈到三一集团嫉慢如仇，发现即行动，令大家印象深刻。

传统审计模式下，审计整改在审计报告后，而审计报告周期往往较长，尤其是在大企业中，对审计报告质量和文字水平要求高，审批链长，审计报告从草拟到审批的过程会更长，审计整改会滞后。

所以审计整改需要将串联的模式改成并联的模式，发现问题立即整改、立行立改，除非特别复杂的问题，最好在审计报告出具前便完成整改。

发现即行动，还体现在分级行动，分级行动也是将串联模式改成并联的模式。面对问题和风险，不是审计部门内部串联的行动，而是审计部门内部分级的行动，再加上企业相关部门、管理层的分级行动。面对风险，不是一个部门单打独斗，是一个PMO项目在分级分工联动。

王静华老师特别分享了中集集团分级行动、业审联防联控的经验，非常值得学习。他们的经验和做法突破了审计的边界，始终站在企业整体的视角来谋划工作、推动工作，实现了真正的敏捷，真正的价值驱动。

Part.05

激发胜于指导，团结就是力量

敏捷审计的六大原则

在传统审计模式下，为了形成和维护审计的权威性，审计在组织中很多时候是一种“绝对正确”的存在，不少企业的审计部门让人望而生畏、敬而远之。

这不禁让人想起一则寓言故事：一天，太阳与风争论谁最强悍，风为自己辩解道：“那肯定是我了，不信咱们就看看谁能更快地让下面那位穿外套的老人脱下外套。”于是，太阳躲到了乌云后面，让风肆意地吹起，风凶猛的吹着，越来越猛烈。可是，事实去和它想的正好相反，反而是风越大，那老人将衣服裹得越紧。终于，风停止了咆哮，它吹得筋疲力尽也没有达到目的。于是，太阳从乌云后面露出头来，温暖地照在老人身上，老人不久就开始擦汗，很自然、轻易地将大衣脱了下来。太阳对风说：“温和友善是必定会强于愤怒与暴力的。”

古往今来的专家学者对于人性善还是性恶争论了几千年仍没有定论。对于审计来说，人性善、性恶并不重要，重要的是审计激发的是人的善意，还是恶意。

孟子曰：“人皆可以为尧舜。”

王阳明强调“致良知”。

相对于审计的权威，审计如能充分利用杠杆原理，激发利益相关方的动力，可能会产生十倍的效果。

我始终认为，审计最重要的工作是统战工作。好比中国革命的胜利靠的是八路军、解放军，更靠的是人民群众一样。企业的风险管理靠的不仅是内审、内控、风险管理部门，靠的是企业全体员工。

审计部门和人员的多是相对的，少是绝对的。审计只有激发全体员工的内控意识、风险意识，才能真正做好内控，做好风险管理。

如任正非在华为一次工作会议上所讲：合规审计不是机关枪，而是背包和铁锹，要跟业务一起前进。

团结力量大，是朴素而又永恒的道理。

Part.06

人剑合一，矛盾统一

敏捷审计的六大原则

敏捷审计，除了审计人员的思维和理念，还离不开方法、工具和平台。

敏捷审计思创会上，莫敏总在分享中详细介绍了Scrum 框架。中信银行审计部的吴则建老师曾在《中国内部审计》上发表过一篇文章——《Scrum敏捷框架在内部审计中的应用》，提出了敏捷内部审计的模式（如下图）。

基于Scrum敏捷框架，敏捷内部审计中共有 3 个角色：产品经理、敏捷教练和敏捷内部审计团队。其中：产品经理要确保审计的价值，与利益相关方密切沟通，确定待办事项列表的更新、排序和删除；敏捷教练是敏捷内部审计团队的支持者和保障者，负责维持团队的敏捷秩序；敏捷内部审计团队是一个自组织的团队，各类信息在敏捷团队内部共享。

除了Scrum框架之外，还有预启动工作坊（Pre-initiation workshop）、审计项目画布（Canvas）、冲刺（Sprint）等方法、工具。德勤会计师事务所也提出了敏捷内部审计流程（如下图），融合了上述工具方法。