在第五次工業(yè)革命（5IR）掀起的數(shù)字風暴重塑商業(yè)格局之際，內(nèi)部審計若想保持其價值與相關(guān)性，就必須主動轉(zhuǎn)型。過去那種僅聚焦歷史、被動響應(yīng)的審計模式，亟需被一種更具前瞻性的新模式所取代——這種新模式不僅能預(yù)見未來風險，更能推動創(chuàng)新和數(shù)字化轉(zhuǎn)型。

這一轉(zhuǎn)變得到了最新版《國際內(nèi)部審計實務(wù)框架》（IPPF）的有力支持。新版IPPF重新定義了內(nèi)部審計的角色，強調(diào)其應(yīng)助力組織創(chuàng)造并持續(xù)實現(xiàn)價值。具體而言，審計服務(wù)的范疇不再局限于傳統(tǒng)的“確認”職能，而是擴展到提供咨詢建議、深度洞察與前瞻性預(yù)判。這一理念也與ISACA發(fā)布的《IT審計框架》（ITAF）高度契合——該框架明確指出，IT審計人員可承擔顧問角色，參與項目評審、方案設(shè)計乃至實施評估等工作。

通過融合這些理念以及先進的管理方法和技術(shù)能力，內(nèi)部審計部門能夠探索新的戰(zhàn)略路徑，將技術(shù)專長融入日常實踐，從而提升主動性，放大對組織的整體影響力。

當前已有多種戰(zhàn)略方法和技術(shù)手段，旨在幫助組織在審計職能中培育前瞻性思維。采用這些做法，意味著告別紙上談兵式的理論建議，轉(zhuǎn)而聚焦于交付切實可行、價值導(dǎo)向的解決方案。這些實踐按“主動性成熟度”劃分為不同層級，構(gòu)成了本文提出的審計主動性成熟度模型（APMM）。該模型不僅為審計部門向“變革推動者”轉(zhuǎn)型提供了實用路線圖，也為董事會評估內(nèi)部審計的前瞻性水平提供了清晰標尺。

值得注意的是，盡管APMM最初是為內(nèi)部審計量身打造，但其核心原則同樣適用于風險管理、合規(guī)及內(nèi)控等相關(guān)職能。

重新定義內(nèi)部審計

新版IPPF在“第一領(lǐng)域：內(nèi)部審計的宗旨”中明確指出，內(nèi)部審計應(yīng)成為組織明智決策和長期價值創(chuàng)造的關(guān)鍵推手。這意味著審計人員不能止步于傳統(tǒng)確認服務(wù)，而應(yīng)主動提供咨詢、洞察與前瞻判斷，以增強組織持續(xù)創(chuàng)造價值的能力。

其中，“咨詢服務(wù)”（或稱“顧問服務(wù)”）指審計人員在不執(zhí)行正式確認程序的前提下，就新政策、流程、系統(tǒng)、產(chǎn)品或服務(wù)的設(shè)計與實施提供建議，并參與有關(guān)風險與控制的討論。

此外，《IT審計框架》（ITAF）第2001.2.3、2003.5.2和2003.8條進一步細化了IT審計的顧問職責：IT審計師可作為臨時顧問或評審人參與IT項目，也可受邀加入項目指導(dǎo)、實施或評估團隊。

然而，無論角色如何拓展，獨立性與客觀性始終是審計工作的基石。IPPF第二領(lǐng)域“職業(yè)道德與專業(yè)精神”中的第二條原則，以及ITAF第2008.3.1條均強調(diào)：審計人員在提供服務(wù)和作出專業(yè)判斷時，必須始終保持獨立、客觀、無偏。

傳統(tǒng)確認活動對新產(chǎn)品、流程或服務(wù)的影響有限，對獨立性的威脅相對較??；而咨詢服務(wù)則更具前瞻性，直接影響未來決策，可能引發(fā)客觀性質(zhì)疑。為此，必須建立有效的風險緩釋機制，確保兩者相輔相成而非相互沖突。

主動審計的戰(zhàn)略路徑

成熟度模型用于衡量某一職能在流程、目標或能力方面的成熟程度，并為改進提供清晰路徑與愿景。在主動審計的語境下，APMM構(gòu)建了一個結(jié)構(gòu)化框架，幫助審計職能逐步提升前瞻性能力。

如圖1所示，APMM將主動性劃分為五個成熟度等級：

圖1：審計主動性成熟度模型（APMM）

第一級：初始級 —— 被動響應(yīng)，零散行動

此階段的內(nèi)部審計主要應(yīng)對既成事實，偶爾開展一些臨時性的主動舉措。由于缺乏系統(tǒng)性、持續(xù)性的前瞻性方法，審計的整體影響力十分有限。

第二級：可重復(fù)級 —— 系統(tǒng)化、實時審計

審計開始具備系統(tǒng)思維，雖仍以確認為主，但已能通過實時介入，在決策關(guān)鍵節(jié)點提供及時建議。這種“趁早干預(yù)”的方式，使建議能在客戶尚未固化方案、修改成本尚低時落地，大幅提升采納率與實際成效。

第三級：已定義級 —— 數(shù)據(jù)分析與概念驗證（POC）能力

審計在此階段系統(tǒng)性地運用數(shù)據(jù)分析與人工智能（AI）技術(shù)，通過構(gòu)建可運行的概念驗證（Proof of Concept, POC），直觀展示自動化控制的可行性，并推動基于數(shù)據(jù)的決策。

一個成功的POC必須是完整、可獨立運行的解決方案。否則，若客戶還需額外投入大量資源（如開發(fā)系統(tǒng)接口、部署新基礎(chǔ)設(shè)施或升級平臺），很可能因?qū)嵤┏杀具^高而拒絕采納。

例如，若審計發(fā)現(xiàn)客戶在填寫數(shù)字貸款合同時存在識別錯誤的控制漏洞，可設(shè)計一個包含SQL腳本的POC，自動執(zhí)行輸入驗證（如范圍、格式、數(shù)據(jù)類型檢查），并交叉比對內(nèi)外部數(shù)據(jù)庫（如資產(chǎn)抵押記錄）。通過在樣本數(shù)據(jù)上應(yīng)用這套自動化方案，不僅能發(fā)現(xiàn)現(xiàn)有控制未覆蓋的問題，還可結(jié)合投資回報率（ROI）指標，清晰證明新方案在實際運營中的價值。

當然，審計建議并不總局限于數(shù)據(jù)處理。許多情況下，還需涉及功能設(shè)計、用戶體驗、技術(shù)架構(gòu)乃至新技術(shù)融合等更廣泛的領(lǐng)域。此時，POC的價值不僅在于技術(shù)驗證，更在于搭建起審計與業(yè)務(wù)之間的信任橋梁，讓前瞻性建議真正轉(zhuǎn)化為組織行動力。

第四級：已定義級 —— 基于技術(shù)的概念驗證（POC）能力

盡管數(shù)據(jù)分析極具價值，但許多審計建議不可避免地超越了常規(guī)數(shù)據(jù)處理范疇，涉及功能設(shè)計、用戶體驗、技術(shù)基礎(chǔ)設(shè)施乃至新技術(shù)整合等更復(fù)雜的領(lǐng)域。在這些情況下，內(nèi)部審計若想有效證明方案的可行性，往往需要借助額外的工具與技能——例如，構(gòu)建一個具體、可運行的技術(shù)型POC，以直觀展示其實際價值與落地潛力。

為此，審計部門必須具備在受控環(huán)境中開發(fā)、部署并運行應(yīng)用程序或技術(shù)組件的能力。為提升POC的真實性和相關(guān)性，該審計專屬的IT環(huán)境最好能與組織現(xiàn)有的應(yīng)用系統(tǒng)、工具和數(shù)據(jù)實現(xiàn)有限交互。值得慶幸的是，近年來人工智能（AI）以及低代碼/無代碼平臺的快速發(fā)展，為審計團隊提供了成本可控、易于上手的技術(shù)支持。

仍以前述貸款申請為例，假設(shè)客戶填寫的是紙質(zhì)表單而非電子文檔，需人工審核。此時，審計團隊可利用先進的AI驅(qū)動工具，對非結(jié)構(gòu)化的紙質(zhì)文件執(zhí)行光學(xué)字符識別（OCR），將其轉(zhuǎn)化為結(jié)構(gòu)化數(shù)據(jù)表格，并同步開展自由文本分析。除了自動校驗輸入內(nèi)容、交叉比對數(shù)據(jù)庫外，還能精準捕捉手寫信息在錄入業(yè)務(wù)系統(tǒng)過程中可能產(chǎn)生的偏差或遺漏。

然而，即便客戶認可某項POC切實可行且價值顯著，其最終落地仍受限于組織的優(yōu)先級排序與預(yù)算安排。為提升影響力，內(nèi)部審計可考慮以下兩種機制，主動推動建議轉(zhuǎn)化：

• 專項預(yù)算配額（“審計錢包”）

即為審計職能預(yù)留一筆專用預(yù)算額度（以“代金券”形式），用于支持基于POC的審計建議實施。該額度可覆蓋全部或部分實施成本，有效緩解因資金限制導(dǎo)致的采納阻力，從而放大審計的實際成效。 鑒于資源有限，審計部門應(yīng)建立一套結(jié)構(gòu)化流程，依據(jù)風險等級、組織影響程度及與戰(zhàn)略目標的契合度，科學(xué)分配這些預(yù)算資源。

• 項目組合中的預(yù)置優(yōu)先級席位

在組織整體項目管理框架中，為審計預(yù)留若干“優(yōu)先實施通道”。審計可利用這些席位，將源自POC的關(guān)鍵建議直接納入高優(yōu)先級項目清單，避免因排期競爭而被擱置，進一步提升建議落地率。

為確保這些機制持續(xù)有效，審計部門需通過關(guān)鍵績效指標（KPI）進行常態(tài)化追蹤與優(yōu)化。但必須警惕：此類深度介入可能對審計的獨立性與客觀性構(gòu)成潛在挑戰(zhàn)。因此，應(yīng)同步設(shè)置關(guān)鍵風險指標（KRI）作為早期預(yù)警機制——例如，監(jiān)控“審計支持預(yù)算占全組織創(chuàng)新投入的比例”，或“審計優(yōu)先項目在整體高優(yōu)項目中的占比”，防止角色越界。

達到第四級成熟度的內(nèi)部審計，已不僅限于數(shù)據(jù)層面的驗證，而是能構(gòu)建包含真實業(yè)務(wù)流程、完整用例和技術(shù)驅(qū)動邏輯的綜合性POC。此時，審計實質(zhì)上扮演了“類IT驅(qū)動者”的角色——在一個貼近實戰(zhàn)的沙盒環(huán)境中，對新概念與解決方案進行全流程驗證與演示。

這種技術(shù)賦能的POC能力，極大拓寬了審計價值的呈現(xiàn)維度，不僅顯著提升了主動性，也增強了業(yè)務(wù)部門的參與意愿與協(xié)作深度，最終放大審計的整體影響力。

第五級：戰(zhàn)略優(yōu)化級 —— 塑造思維，驅(qū)動變革，持續(xù)進化

在第五級成熟度下，內(nèi)部審計已深度融入組織的戰(zhàn)略肌理，其核心使命不僅是提供建議，更是主動塑造組織的決策思維與文化范式。這種參與不再是偶發(fā)或被動的，而是制度化、常態(tài)化的戰(zhàn)略行為，旨在實現(xiàn)雙重價值：一方面提升組織決策質(zhì)量，另一方面增強管理層對審計所驗證理念的接受度與行動意愿。

更重要的是，審計在此階段持續(xù)尋找推動變革的機會，不斷拓展自身在組織中的影響力邊界。這種“永不停歇的改進精神”，確保審計的貢獻始終與組織發(fā)展同頻共振，實現(xiàn)影響力最大化。

第四級與第五級所積累的綜合能力，使審計人員能夠完整驗證并演示端到端的數(shù)據(jù)與技術(shù)驅(qū)動方案。這一點至關(guān)重要——因為即便業(yè)務(wù)方認同某項建議的價值，其落地仍常受制于僵化的組織心智模式。這些根深蒂固的思維定式，往往源于既有的流程架構(gòu)、工作習(xí)慣和決策機制。例如：

• 群體思維（Groupthink）：決策團隊過度追求共識，壓制異議，導(dǎo)致判斷失真；

• 權(quán)威主導(dǎo)（Overshadowing）：強勢個體主導(dǎo)討論，抑制多元聲音；

• 異見污名化：持不同觀點者被視為“阻礙者”，久而久之，團隊成員傾向于附和主流（尤其是高層）意見。

此類現(xiàn)象嚴重削弱心理安全感，阻礙知識融合與創(chuàng)新涌現(xiàn)，最終拖累數(shù)字化轉(zhuǎn)型進程。

要真正釋放審計價值，就必須在決策發(fā)生的地方、發(fā)生的時刻主動介入。這意味著審計應(yīng)常態(tài)化出現(xiàn)在定義組織未來的關(guān)鍵節(jié)點——如戰(zhàn)略研討會、項目指導(dǎo)委員會、高管會議乃至董事會。理想情況下，可通過正式章程賦予審計“常設(shè)觀察員”身份，使其有權(quán)參與文化與戰(zhàn)略塑造的核心場域。

更進一步，審計可制度化地扮演“紅隊”（Red Team）或“魔鬼代言人”角色：專門負責挑戰(zhàn)既有計劃、提出對立視角與替代方案。建議在會議中設(shè)立固定時段，由審計紅隊系統(tǒng)闡述其洞察與依據(jù)；隨后由管理層提問、反饋，審計再予以回應(yīng)。這一結(jié)構(gòu)化對話機制，不僅能豐富決策的信息維度，更能培育一種尊重多元、擁抱變革的組織文化——在這種文化中，一線與二線員工敢于安全地表達不同聲音，創(chuàng)新才真正有了土壤。

結(jié)語

審計主動性成熟度模型APMM的實踐，將徹底重塑內(nèi)部審計的角色定位——從回溯性的審查者，轉(zhuǎn)變?yōu)槊嫦蛭磥淼膬r值共創(chuàng)者與變革催化劑。隨著審計團隊逐級躍升，他們將越來越靠近決策中心、價值源頭與影響力核心。

當組織真正擁抱APMM，內(nèi)部審計便不再只是“指出問題的人”，而是“共建解決方案的伙伴”，其相關(guān)性、話語權(quán)與戰(zhàn)略價值將獲得質(zhì)的飛躍。最終，審計將成為推動組織韌性、創(chuàng)新與可持續(xù)發(fā)展的關(guān)鍵引擎。

來源：ISACA微信公眾號

編輯：孫哲

目前190000+人已關(guān)注我們，您還等什么？