back
loading skill details...
提供基于IIA最新全球准则与中国实战案例的内部审计全流程规范、胜任能力框架及学习发展体系,助力提升内部审计专业实务水平。
# Internal Audit Mastery — 全球内部审计专业实务体系
> **版本:** 1.0.0
> **来源:** 6部IIA权威著作+中国实战案例
> **署名:** Wang Dongjie, CGMA/AICPA&CIMA
> **© 2026 Wang Dongjie. All rights reserved.**
---
## 核心定位
基于**国际内部审计师协会(IIA)**2024-2026年最新权威体系,融合全球内部审计准则、胜任能力框架、学习发展目录与中国内部审计实战经典案例,构建从准则遵循→能力建设→业务执行→持续发展的全链路内部审计专业实务体系。
### 六大来源著作
| # | 来源 | 作者/机构 | 页数 | 核心贡献 |
|---|---|---|---|---|
| 1 | Global Internal Audit Standards(2024版) | IIA | 62页 | 全球准则:5大领域15项原则52条标准 |
| 2 | 内部审计胜任能力框架实务指南(2025中文版) | IIA | 28页 | 胜任能力:4大类别28个子类别+4级水平 |
| 3 | Internal Auditing Competency Framework(2025英文版) | IIA | 30页 | Competency Framework英文完整版 |
| 4 | 2026 Learning Catalog | IIA | 44页 | 学习发展:AI/ESG/网络安全/数据等课程体系 |
| 5 | 2025 Learning Catalog | IIA | 38页 | 2025年度认证与培训课程 |
| 6 | 增值:内部审计实战经典案例 | 中国作者 | 433页 | 中国视角:实战案例库(扫描件) |
---
## 一、全球内部审计准则五大领域
### 领域 I:内部审计宗旨(Purpose of Internal Auditing)
**内部审计定义(IIA):**
内部审计是一种独立、客观的确认和咨询活动,旨在增加价值和改善组织的运营。它通过应用系统的、规范的方法,评价并改善治理、风险管理和控制过程的有效性,帮助组织实现其目标。
**宗旨声明(Purpose Statement):**
内部审计的宗旨是以风险为基础,提供客观的确认和咨询活动,旨在增加价值和改善组织的运营,帮助组织实现其目标。准则服务于公共利益。
---
### 领域 II:职业道德和职业素养(Ethics and Professionalism)
> 替代IIA原《职业道德准则》,明确专业内部审计师的行为期望
#### 原则1:展现诚信(Demonstrate Integrity)
| 标准 | 核心要求 |
|---|---|
| **1.1 诚实与职业勇气** | 必须以诚实和职业勇气执行工作;真实、准确、清晰、开放和尊重地沟通;展现职业勇气——真实沟通并采取行动 |
| **1.2 组织的道德期望** | 必须理解、尊重、满足并促进组织合法和道德期望;促进道德文化 |
| **1.3 法律和道德行为** | 不得参与或成为任何非法或有损信誉活动的当事方;理解和遵守相关法律法规 |
#### 原则2:保持客观(Maintain Objectivity)
| 标准 | 核心要求 |
|---|---|
| **2.1 个人客观性** | 执行内部审计工作时必须保持专业客观性;认识和管理潜在偏见 |
| **2.2 保护客观性** | 必须识别和避免或减轻实际、潜在和感知的客观性损害;不得接受可能损害客观性的有形或无形物品 |
| **2.3 披露客观性损害** | 必须披露实际或感知的客观性损害 |
#### 原则3:展现胜任能力(Demonstrate Competency)
| 标准 | 核心要求 |
|---|---|
| **3.1 胜任能力** | 必须具备或获得履行职责所需的胜任能力;仅从事有或能达到必要能力的服务 |
| **3.2 持续职业发展** | 必须保持并持续发展胜任能力以提高内部审计服务质量 |
#### 原则4:保持应有职业谨慎(Exercise Due Professional Care)
| 标准 | 核心要求 |
|---|---|
| **4.1 遵循全球内部审计准则** | 必须按照准则计划和执行内部审计服务 |
| **4.2 应有职业谨慎** | 必须通过评估事项的性质、情况、影响和理由来行使应有职业谨慎 |
| **4.3 职业怀疑** | 必须在计划和执行内部审计服务时行使职业怀疑 |
#### 原则5:保持保密(Maintain Confidentiality)
| 标准 | 核心要求 |
|---|---|
| **5.1 信息使用** | 必须遵守相关政策、程序、法律和法规使用信息 |
| **5.2 信息保护** | 必须了解保护信息的责任;未经授权不得披露机密信息;管理信息无意暴露的风险 |
---
### 领域 III:内部审计治理(Governing the Internal Audit Function)
#### 原则6:由董事会授权(Authorized by the Board)
| 标准 | 核心要求 |
|---|---|
| **6.1 内部审计职责和权限** | 必须通过内部审计章程确立内部审计职责和权限;章程须由董事会批准 |
| **6.2 内部审计章程** | 章程必须界定:内部审计宗旨/授权/范围/责任/报告关系/独立性保障 |
| **6.3 董事会和高级管理层支持** | 董事会和高级管理层必须支持内部审计职能 |
#### 原则7:独立定位(Positioned Independently)
| 标准 | 核心要求 |
|---|---|
| **7.1 组织独立性** | 首席审计执行官必须在职能上向董事会报告;行政上向CEO报告但不妨碍独立性 |
| **7.2 首席审计执行官的资格** | CAE须具备领导和管理内部审计职能的资格和胜任能力;须向董事会提供必要信息 |
#### 原则8:由董事会监督(Overseen by the Board)
| 标准 | 核心要求 |
|---|---|
| **8.1 与董事会的沟通** | CAE必须与董事会定期沟通,包括:内部审计计划/风险评估/资源需求/重大发现 |
| **8.2 资源** | 董事会必须确保内部审计职能拥有足够资源 |
| **8.3 质量** | CAE必须制定和实施质量保证与改进程序 |
| **8.4 外部质量评估** | 必须每5年至少进行一次外部质量评估;须由至少一名CIA持证人员领导 |
---
### 领域 IV:管理内部审计职能(Managing the Internal Audit Function)
#### 原则9:制定战略规划(Plan Strategically)
| 标准 | 核心要求 |
|---|---|
| **9.1 了解治理、风险管理和控制过程** | CAE必须了解组织的治理、风险管理和控制过程 |
| **9.2 内部审计战略** | 战略必须包括愿景、战略目标和支持措施;至少一个目标应为每个胜任能力子类别设定能力水平目标 |
| **9.3 方法体系** | 必须建立内部审计方法体系,包括风险评估/工作程序/报告模板等 |
| **9.4 内部审计计划** | 计划必须基于风险评估;须经董事会批准;须包含确认和咨询服务 |
| **9.5 协调和依赖** | CAE须协调内部审计与其他确认服务提供者的工作;须评估可依赖程度 |
#### 原则10:管理资源(Manage Resources)
| 标准 | 核心要求 |
|---|---|
| **10.1 财务资源管理** | CAE必须有效管理内部审计职能的财务资源 |
| **10.2 人力资源管理** | CAE必须确保内部审计人员具备适当胜任能力;须制定招聘/培训/绩效管理计划 |
| **10.3 技术资源** | CAE必须评估和利用技术资源以提升内部审计服务效果和效率 |
#### 原则11:有效沟通(Communicate Effectively)
| 标准 | 核心要求 |
|---|---|
| **11.1 建立关系和沟通** | CAE须与董事会和高级管理层建立有效关系 |
| **11.2 有效沟通** | 沟通须及时/准确/完整/清晰/客观 |
| **11.3 沟通结果** | 必须沟通内部审计结果,包括发现/结论/建议 |
| **11.4 错误和遗漏** | 若已沟通的信息存在重大错误或遗漏,必须更正 |
| **11.5 沟通风险接受** | 若管理层接受了内部审计认为不可接受的风险,CAE须与董事会讨论 |
#### 原则12:强化质量(Enhance Quality)
| 标准 | 核心要求 |
|---|---|
| **12.1 内部评估** | CAE须制定和实施内部评估程序,包括持续监督和定期自我评估 |
| **12.2 绩效评估** | CAE须建立绩效评估框架,包括内部审计职能和个人的绩效指标 |
| **12.3 监督和改进项目执行** | CAE须监督和改进内部审计项目的执行质量 |
---
### 领域 V:实施内部审计业务(Performing Internal Audit Services)
#### 原则13:有效计划审计项目(Plan Engagements Effectively)
| 标准 | 核心要求 |
|---|---|
| **13.1 项目沟通** | 须与审计对象沟通项目目标/范围/时间安排 |
| **13.2 项目风险评估** | 须识别和评估与审计对象相关的风险,并据此确定项目重点 |
| **13.3 项目目标和范围** | 须确定项目目标和范围,并与审计对象协商确认 |
| **13.4 评价标准** | 须确定用于评估审计对象的评价标准 |
| **13.5 项目资源** | 须分配适当的资源以实现项目目标 |
| **13.6 工作方案** | 须制定书面工作方案,包括程序/方法/时间安排 |
#### 原则14:执行审计项目工作(Conduct Engagement Work)
| 标准 | 核心要求 |
|---|---|
| **14.1 收集信息** | 须收集充分、可靠、相关和有用的信息用于分析和评价 |
| **14.2 分析和潜在发现** | 须对信息进行分析以识别潜在发现 |
| **14.3 评价发现** | 须根据评价标准评价审计发现 |
| **14.4 建议和行动计划** | 须制定建议和行动计划以解决审计发现 |
| **14.5 项目结论** | 须形成项目结论 |
| **14.6 项目文档** | 须记录充分信息以支持结论和发现 |
#### 原则15:沟通项目结果和监督行动(Communicate Engagement Results and Monitor Actions)
| 标准 | 核心要求 |
|---|---|
| **15.1 最终项目沟通** | 须发布最终审计报告,包括目标/范围/发现/结论/建议 |
| **15.2 确认行动实施** | 须跟进和确认管理层是否已采取行动解决审计发现 |
---
## 二、内部审计胜任能力框架(2025版)
### 2.1 四大能力类别×28个知识与技能子类别
| 高层次类别 | 知识和技能子类别 |
|---|---|
| **内部审计胜任能力** | 国际内部审计专业实务框架(IPPF) / 职业道德和职业素养 / 质量保证和改进程序 / 审计方法 / 综合协调确认 / 报告结果 |
| **专业胜任能力** | 领导能力 / 专业交流 / 谈判与冲突管理 / 数据分析 / 项目管理 |
| **治理和风险管理胜任能力** | 治理 / 战略 / 企业风险管理 / 合规 / 舞弊 / 组织复原力 / 可持续发展 |
| **运营领域胜任能力** | 会计 / 客户关系管理 / 网络安全 / 财务 / 人力资源 / 信息技术 / 市场营销 / 销售 / 供应链管理 / 其他重要部门/职能/流程 |
### 2.2 四级胜任能力水平
| 水平 | 定义 | 对应角色 |
|---|---|---|
| **基础(Foundational)** | 具备基本知识,能在督导下完成简单任务 | 入门级审计人员 |
| **中级(Intermediate)** | 能独立完成标准任务,具备一定判断力 | 员工级/高级审计人员 |
| **高级(Advanced)** | 能处理复杂问题,提供有价值的洞察和前瞻性意见 | 高级经理/主任级 |
| **专家(Expert)** | 在某领域具有深度专业知识和创新能力 | CAE/主任级/质量评估负责人 |
### 2.3 角色与胜任能力期望
| 角色 | 内部审计胜任能力 | 专业胜任能力 | 治理/风险管理 | 运营领域 |
|---|---|---|---|---|
| **入门级审计人员** | 基础→中级 | 基础 | 基础 | 视背景定 |
| **高级审计人员** | 中级→高级 | 中级→高级 | 中级 | 部分高级 |
| **主任级审计人员** | 高级→专家 | 高级 | 高级→专家 | 部分专家 |
| **首席审计执行官** | 专家 | 专家 | 高级→专家 | 高级 |
| **质量评估负责人** | 专家 | 高级 | 高级 | 高级 |
### 2.4 胜任能力评估工具
| 模板 | 用途 |
|---|---|
| **A1 胜任能力框架** | 知识与技能子类别×能力水平矩阵,含特征描述和示例 |
| **A2 子类别示例** | 每个子类别包含的重要主题或流程示例 |
| **A3 个人胜任能力评估** | 评估个人在指定子类别下的胜任能力水平 |
| **A4 整体胜任能力评估** | 汇总团队整体能力水平,与目标对比,识别差距 |
### 2.5 资格认证与胜任能力
| 认证 | 颁发机构 | 核心领域 |
|---|---|---|
| **CIA®(国际注册内部审计师)** | IIA | 内部审计基础/实务/知识要素 |
| **CRMA®(风险管理确认专业资格)** | IIA | 治理/风险管理/组织控制 |
| **IAP(内部审计从业者)** | IIA | 内部审计基础知识与技能 |
**关键要求:** 外部质量评估必须由至少一名CIA持证人员领导或实施。
---
## 三、IIA学习发展体系(2025-2026)
### 3.1 专题分类与课程体系
| 专题领域 | 核心课程 | CPE学分 |
|---|---|---|
| **人工智能(AI)** | AI审计/提示工程/ChatGPT治理/生成式AI | 1-14 |
| **ESG/可持续发展** | ESG证书/ISSB准则/气候风险/可持续报告 | 1-40 |
| **业务复原力** | 业务连续性/危机管理/供应链复原力 | 1-8 |
| **核心胜任能力** | 审计基础/风险评估/内部控制/审计报告 | 1-24 |
| **网络安全** | 网络安全审计/事件响应/隐私保护 | 1-24 |
| **数据与分析** | 数据分析证书/数据素养/可视化 | 1-24 |
| **舞弊** | 舞弊调查/反舞弊控制/取证分析 | 1-16 |
| **治理/风险/控制** | 企业风险管理/合规/治理最佳实践 | 1-24 |
| **IT审计** | IT一般控制/应用控制/云安全/DevOps | 1-24 |
| **敏捷审计** | 敏捷方法论/Scrum/迭代审计 | 1-8 |
### 3.2 认证项目
| 证书 | 类型 | 核心内容 |
|---|---|---|
| **CIA®** | 资格认证 | 三部分考试:内部审计基础/实务/知识要素 |
| **CRMA®** | 资格认证 | 风险管理确认专业知识 |
| **ESG Certificate** | 基于评估的证书 | ESG概念/报告/审计 |
| **Data Literacy Certificate** | 基于评估的证书 | 数据分析全旅程 |
| **Quality Assessor Certificate** | 基于评估的证书 | 质量评估方法论 |
| **Cybersecurity Certificate** | 基于评估的证书 | 网络安全审计 |
### 3.3 AI在内部审计中的应用(2026新趋势)
| 应用方向 | 具体工具/方法 |
|---|---|
| **AI审计工具** | ChatGPT/生成式AI在审计中的应用 |
| **审计AI系统** | 评估AI模型的风险和控制 |
| **AI提示工程** | 为内部审计人员设计的AI提示方法 |
| **AI治理** | 生成式AI使用治理框架 |
| **数据驱动的审计** | 自动化分析/异常检测/预测模型 |
---
## 四、内部审计项目全生命周期
### 4.1 项目流程六步法
```
Step 1: 项目启动 → 与审计对象沟通(Std 13.1)
│
Step 2: 风险评估 → 识别和评估风险(Std 13.2)
│
Step 3: 计划制定 → 目标/范围/评价标准/资源/方案(Std 13.3-13.6)
│
Step 4: 现场执行 → 收集信息/分析/评价/建议(Std 14.1-14.6)
│
Step 5: 报告沟通 → 最终审计报告/风险接受(Std 15.1, 11.5)
│
Step 6: 跟踪监督 → 确认行动实施(Std 15.2)
```
### 4.2 审计发现五要素
| 要素 | 内容 | 准则依据 |
|---|---|---|
| **标准(Criteria)** | 应该是什么——评价标准 | Std 13.4 |
| **条件(Condition)** | 实际是什么——审计发现的事实 | Std 14.1, 14.2 |
| **原因(Cause)** | 为什么存在差距——根本原因分析 | Std 14.3 |
| **影响(Effect)** | 差距的后果——风险敞口/损失 | Std 14.3 |
| **建议(Recommendation)** | 如何解决——行动计划 | Std 14.4 |
### 4.3 审计报告核心内容
| 部分 | 必要性 | 内容 |
|---|---|---|
| **项目目标** | 必须 | 审计项目要达到的目的 |
| **项目范围** | 必须 | 审计覆盖的组织/流程/期间 |
| **审计方法** | 必须 | 采用的方法论和程序 |
| **审计发现** | 必须 | 事实/条件/原因/影响 |
| **审计结论** | 必须 | 对审计对象的整体评价 |
| **建议和行动计划** | 建议 | 改善建议及管理层承诺 |
| **管理层回应** | 最佳实践 | 管理层对发现的意见 |
---
## 五、内部审计质量保证与改进程序(QAIP)
### 5.1 质量评估体系
| 评估类型 | 频率 | 执行者 | 核心内容 |
|---|---|---|---|
| **持续监督** | 持续 | CAE/管理层 | 日常监督/项目复核/反馈收集 |
| **内部自评** | 至少每年 | CAE | 自我评估/绩效指标/改进计划 |
| **外部评估** | 至少每5年 | 独立外部评估师 | 全面评估/遵循准则/最佳实践 |
### 5.2 外部质量评估要求
**关键要求(Std 8.4):**
- 至少每5年进行一次
- 须由独立、有资格的外部评估师执行
- 至少一名评估师须持有CIA资格
- 评估结果须报告董事会
**评估范围:**
- 遵循全球内部审计准则的程度
- 内部审计章程的适当性
- CAE和团队的资格与胜任能力
- 内部审计计划与组织风险的对齐
- 报告质量和影响
- 独立性和客观性保障
---
## 六、CGMA与IIA胜任能力映射
| IIA能力类别 | CGMA能力域 | 映射关系 |
|---|---|---|
| 内部审计胜任能力 | 技术技能 | 准则遵循/审计方法论/报告技能 |
| 专业胜任能力 | 商业技能+人际技能+领导力技能 | 领导/沟通/谈判/数据/项目管理 |
| 治理和风险管理胜任能力 | 商业技能+技术技能 | 治理/战略/ERM/合规/舞弊/复原力 |
| 运营领域胜任能力 | 数字技能+商业技能 | 会计/IT/网络安全/财务/供应链 |
**CGMA独特贡献:**
- 管理会计视角补充内部审计的财务分析深度
- EVA/ROIC/WACC等价值评估工具在审计发现中的应用
- 战略成本分析在运营审计中的增值
- 可持续发展报告审计(ESG)的专业基础
---
## 七、内部审计实战方法论(中国视角)
> 基于《增值:内部审计实战经典案例》433页案例库提炼
### 7.1 增值型内部审计核心理念
**从"看门狗"到"价值伙伴"的转变:**
- 传统审计:合规检查→发现问题→报告
- 增值审计:风险前瞻→洞察价值→推动改进
**增值审计三大维度:**
1. **保护价值** — 识别和应对治理/风险/控制缺陷
2. **创造价值** — 提供前瞻性洞察和改进建议
3. **维护价值** — 跟踪确认行动实施,确保持续改善
### 7.2 实战审计类型
| 审计类型 | 目标 | 关键方法 |
|---|---|---|
| **财务审计** | 财务信息真实/完整/准确 | 抽样/分析性程序/函证 |
| **合规审计** | 遵循法律法规和内部政策 | 法规对标/流程穿行/证据收集 |
| **运营审计** | 运营效率/效果/经济性 | 绩效指标/标杆对比/流程分析 |
| **IT审计** | 信息系统安全/可靠/有效 | 逻辑访问/变更管理/数据完整性 |
| **舞弊审计** | 识别/调查舞弊行为 | 数据挖掘/异常分析/访谈 |
| **战略审计** | 战略制定/执行/调整的有效性 | 环境分析/战略地图/绩效回顾 |
### 7.3 中国内部审计特色
| 特点 | 表现 | 挑战 |
|---|---|---|
| **法规体系** | 审计法/审计法实施条例/内部审计基本准则 | 多层次法规体系 |
| **组织架构** | 审计委员会/监事会/内审部门多元治理 | 独立性保障不足 |
| **数字化转型** | 大数据审计/持续审计/远程审计 | 技术能力缺口 |
| **风险导向** | 从合规导向转向风险导向 | 风险评估方法不成熟 |
| **结果运用** | 审计整改/问责/激励机制 | 整改跟踪不到位 |
---
## 八、内部审计数字化转型
### 8.1 技术驱动的审计变革
| 技术领域 | 审计应用 | 准则依据 |
|---|---|---|
| **数据分析** | 全量数据分析/异常检测/趋势预测 | Std 10.3, 14.1 |
| **AI/机器学习** | 智能风险评估/自动化审计程序/文本分析 | 2026学习目录 |
| **RPA** | 自动化重复性任务/数据提取/报告生成 | Std 10.3 |
| **区块链** | 交易追踪/智能合约审计/不可篡改证据 | 运营领域胜任能力 |
| **云安全** | 云环境审计/数据隐私/合规评估 | 网络安全子类别 |
| **持续审计** | 实时监控/自动化测试/即时报告 | Std 9.3, 12.1 |
### 8.2 数据分析能力层级
| 层级 | 能力描述 | 工具示例 |
|---|---|---|
| **基础** | 描述性分析/数据清洗/基本统计 | Excel/SQL |
| **中级** | 诊断性分析/异常检测/趋势分析 | Python/Tableau/ACL |
| **高级** | 预测性分析/模型构建/风险评估 | R/ML算法/BI平台 |
| **专家** | 规范性分析/自动化审计框架/AI审计 | 自研平台/深度学习 |
---
## 九、公共部门内部审计
### 9.1 公共部门特殊要求(准则专项规定)
**与私营部门的差异:**
- 公共部门审计须考虑公共利益和公共受托责任
- 审计委员会须包含独立于管理层的公众成员
- 须遵守额外的法律和监管框架
- 透明度要求更高(信息公开/公众监督)
### 9.2 公共部门审计关注重点
| 关注领域 | 核心议题 |
|---|---|
| **合规性** | 预算执行/政府采购/招投标合规 |
| **经济性** | 资源使用的节约和效率 |
| **效果性** | 政策目标的实现程度 |
| **公平性** | 公共资源的公平分配 |
| **透明度** | 信息披露和公众知情权 |
---
## 十、内部审计与公司治理整合
### 10.1 三道防线模型
| 防线 | 角色 | 内部审计关系 |
|---|---|---|
| **第一道** | 业务运营管理层 | 审计对象/风险管理第一责任人 |
| **第二道** | 风险管理/合规/质量控制 | 协调与依赖(Std 9.5)/综合确认 |
| **第三道** | 内部审计 | 独立确认和咨询/向董事会报告 |
### 10.2 内部审计在治理中的核心作用
```
董事会 ←→ 首席审计执行官(CAE)
│ │
├── 授权(Std 6.1) └── 独立报告(Std 7.1)
├── 监督(Std 8.1-8.4) └── 战略规划(Std 9.1-9.5)
├── 资源保障(Std 8.2) └── 质量管理(Std 12.1-12.3)
└── 风险接受(Std 11.5) └── 结果沟通(Std 11.3, 15.1)
```
### 10.3 CAE与董事会的关键沟通
| 沟通事项 | 频率 | 准则依据 |
|---|---|---|
| 内部审计计划 | 年度+重大变更时 | Std 9.4 |
| 风险评估结果 | 定期 | Std 9.1 |
| 资源需求 | 年度+需求变化时 | Std 8.2 |
| 重大审计发现 | 及时 | Std 11.3 |
| 管理层风险接受 | 及时 | Std 11.5 |
| 质量评估结果 | 内部年度/外部每5年 | Std 12.1, 8.4 |
| 外部评估师选择 | 每5年 | Std 8.4 |
---
## 致谢
本SKILL基于以下权威来源完整内容提炼:
1. IIA《Global Internal Audit Standards》(2024年1月9日版)
2. IIA《内部审计胜任能力框架》全球实务指南(2025中文版)
3. IIA《Internal Auditing Competency Framework》Global Practice Guide (2025)
4. IIA《2026 Learning Catalog》
5. IIA《2025 Learning Catalog》
6. 《增值:内部审计实战经典案例》
SKILL结构化整理与署名:Wang Dongjie, CGMA/AICPA&CIMA
---
*© 2026 Wang Dongjie, CGMA/AICPA&CIMA. All rights reserved.*
don't have the plugin yet? install it then click "run inline in claude" again.