2023全球內部稽核調查報告

主要發現

內部稽核人員最應具備的三大特質：

1. 風控思維
2. 獨立、公正性
3. 商業知識及經驗

• 本調查發現，受訪者最期望內部稽核人員具備三大特質：
  1. 風控思維（29%）。
  2. 獨立、公正性（28%）。
  3. 商業知識及經驗（26%），進而協助企業連結線索、洞察全貌，從風險中釐清方向。
• 除了更佳的企業治理、風險意識，以及更有力的內控機制，受訪者亦期望內部稽核善加發揮職能，在以下三大面向提供協助：
  1. 優化業務流程、系統。
  2. 為組織注入信心，做出更好、更快的管理決策。
  3. 獲取外部利害關係人的信任，包括投資人、主管機關、客戶。

內部稽核計畫最普遍涵蓋的前五大風險：

1. 網路安全及資安管理
2. 營運策略及商業模式
3. 科技演進
4. 人才
5. 市場與經濟動盪

科技、地緣政治、氣候、供應鏈、法規、工作形態急遽變遷，促成新興風險的發生，且規模、複雜度前所未見。本調查發現，內部稽核部門對企業主要風險的掌握程度、因應現況如下：

• 供應鏈中斷（Supply chain disruption）：
  47%的內部稽核部門已在目前的內部稽核計畫中，針對供應鏈中斷的風險提出因應措施，34%規劃在未來一至兩年內這麼做。不過內部稽核計畫對供應鏈中斷風險的準備程度，低於網路安全及資安管理（68%已針對資安風險提出因應措施）、營運策略及商業模式（57%）、科技演進（54%）、人才（50%）、市場與經濟動盪（48%），排名第六，但仍排在永續及氣候變遷之前（44%）。
• IT迅速進化（Rapid IT modernization）：
  組織持續導入企業資源規劃（ERP）、AI與機器學習、自動化、雲端解決方案等相關科技。內部稽核人員須針對負責任的AI可能引發的風險採取新做法，並與外部專家、外聘稽核人員合作，甚至果斷終止無法為企業加值的內部稽核活動。
• AI加速發展（AI accelerating fast）：
  內部稽核部門須善用面對AI及機器人流程自動化（RPA）等科技，方能推動自身能力、工作形態的進化。然而過去12個月，僅27%的內部稽核部門投資RPA或AI等工具，許多單位仍採用稽核工作流程（audit workflow）或分析工具等基礎科技進行稽核。
• 給內部稽核單位的兩大建議：
  1. 因應全球重大趨勢的發展，調整現有的內部稽核計畫。
  2. 針對企業內部轉型計畫，如AI技術的導入，深入了解其目的，而非僅是掌握執行流程，並思考誰為企業策略、轉型目標、行動執行、成果評量等面向的校準提供確認。

內部稽核部門須強化營運策略參與及利害關係人溝通

• PwC第26屆全球企業領袖調查顯示，通膨、總經波動為2023年企業擔憂的前兩大威脅。然而近50%內稽人員表示未將相關議題納入內稽計畫中。好消息是，68%的企業領袖希望內部稽核部門參與風險辨識、評估，超過50%則希望其參與策略管理及規劃，參與的議題範疇包括數位轉型、併購、研發與產品設計、人力轉型、通膨、總體經濟的波動。
• 此外，內部稽核部門也應與管理階層、利害關係人進行更充分的溝通。雖有超過半數的內部稽核受訪人員與審計委員會召集人、執行長、財務長、營運長等主管，會進行頻繁、高品質的風險議題討論，卻僅有8%認為這樣的風險議題討論，對象已擴及所有相關的利害關係人。
• 給內部稽核單位的四大建議：
  1. 尋思於策略規劃階段提供價值。
  2. 參考利害關係人對企業的期待，在內稽既有範圍及策略風險間尋找平衡。
  3. 調整與利害關係人的溝通模式。
  4. 利用視覺化工具提供風險洞察，打破組織孤島。

內部稽核若與業務／支援單位緊密合作，以下面向受益最大：

1. 風險監控及評估
2. 規劃治理層級的風險管理架構
3. 擬定企業政策及內控程序
4. IT系統導入
5. 流程及行動方案優化

• 隨著IT、ESG管理、品管等風險管理第二道防線的支援單位職能持續強化，內部稽核部門若能善用其專業、結合其力量，可望為業務執行帶來更多機會。然而本調查顯示，僅有52%的內部稽核單位與第一線業務單位、第二線支援單位緊密配合，以因應營運關鍵課題及風險。
• 內部稽核單位可透過以下方式，強化組織內部合作：共同準備確認性地圖（assurance map），整合行動計畫使其一致；確保企業宗旨、章程、策略清楚、明確；共同撰寫提供給利害關係人的風險文件；使風險分類、內控檔案資料彼此一致，或共享研究及參考素材；共同投資治理、風險、合規解決方案的電子化（eGRC）、數據分析、視覺化工具等科技；共同研發或分享稽核使用的自動化流程及底稿；推動人才共享計畫；針對ESG等特定主題，組織利益共同體。
• 內部稽核部門若能與業務、支援單位緊密合作，受益最大的面向為：風險監控及評估（57%）、建立企業層級與治理層級的風險管理架構（49%）、研擬企業政策及內控程序（47%）、IT系統導入（46%）、流程及行動方案優化（42%）。
• 給內部稽核單位的三大建議：
  1. 與組織其他部門對焦內部稽核流程，找出盲點及合作的機會。
  2. 與組織卓越中心（CoEs）專家協作。 
  3. 串連利益共同體，進行經驗交流、激發創意。 

內部稽核先驅者具三大特質：

1. 提早辨識出重大風險及挑戰
2. 投注較多心力於策略風險
3. 以創新、敏捷做法達成目標

• 本調查歸納出一群「內部稽核先驅者」（Pioneers），約占全體受訪者的8%，他們具備三大特質：一、能在組織發現前，極有效率的辨識出重大風險和挑戰；二、在策略風險付出的心力，是所有受訪者的前四分之一；三、運用創新、敏捷做法達成工作目標的比例，在全體受訪者中排在前四分之一位。這群先驅者較其他同儕勝出的面向，包括稽核範疇涵蓋之策略風險的數量、科技投資獲得的成果，以及對部門擁有此時、乃至將來需要的人才，懷抱相當自信。
• 成為「內部稽核先驅者」並未有一定的模板可遵循：目前多數組織視內部稽核部門為確認性稽核提供者（Assurance Provider，23%）或問題解決者（Problem Solver，30%），然而越來越多組織期待內部稽核部門在未來三年能扮演可靠諮詢者（trusted advisor，35%）的角色。這需要內部稽核單位針對風險及行動方案提供新穎、主動的建議，且要具備一定的組織策略高度，同時善用科技達成上述目標。
• 相較於其他同業，內部稽核先驅者在下列三大面向表現更優異：
  1. 發現新的策略性機會，如降低成本、創造營收的方式。
  2. 在人才、數位及其他領域的轉型方案上，取得更理想的成果。
  3. 具備更佳的韌性及更強大的能力，以預測、管理衝擊。

高效內稽將為組織帶來以下重要成效：

1. 強化治理及風險意識
2. 減少內控缺失發生
3. 優化營運流程及系統

• 內部稽核部門大規模運用科技及數據，以改善營運效率、成果，在以下領域最為普及：
  • 年度、階段性風險評估及稽核計畫（所有受訪者為46%，先驅者為63%）。
  • 持續性稽核、監管（44%，65%）。
  • 內部稽核成效監控（44%，66%）。
• 本調查發現，高績效的內部稽核，可為組織帶來以下重要成效：
  • 強化治理及風險意識（42%）。
  • 讓內控更為健全、高效，減少缺失發生的頻率（39%）。
  • 優化營運流程及系統（32%）。
  • 增加管理階層信心，在更短的時間內做出更佳的決策（31%）。
  • 強化外部利害關係人的信任，包括投資人、主管機關、客戶（30%）。

相關連結：

• Report > Global Internal Audit Study 2023
• Further reading > 2024 Global Digital Trust Insights: GenAI for cyber defence is on the rise