1、国际内审师CIA考试精华知识点整理2017年国际内审师(CIA)考试精华知识点整理前言重要词汇解析内部审计定义内部审计是一种独立、客观的确认和咨询活动，旨在增加价值和改善组织的运营。通过应用系统的、规范的方法，评价并改善风险管理、控制和治理过程的效果，帮助组织实现其目标。职业道德规范IIA的职业道德规范是指与内部审计职业及实务相关的原则，以及内部审计师应有的行为规范。适用对象包括提供内部审计服务的个人和机构。国际内部审计专业实务标准简称标准，指内部审计标准委员会发布的专业公告，阐述开展各类内部审计活动及评估内部审计业绩的要求。内部审计章程是确定内部审计活动宗旨、权力和职责的正式书面文件，它确定
2、了内部审计部门在组织内部的地位，授权内部审计部门接触与业务实施相关的记录、人员和实物资产，界定内部审计活动的范围。内部审计师 vs. 首席审计执行官内部审计师指协会会员、IIA职业资格的获得者或申请者以及那些在内部审计定义范围内提供内部审计服务的人。首席审计执行官指按照内部审计章程以及“内部审计定义”、职业道德规范和标准有效地开展内部审计活动的高级职位人员。董事会 vs. 审计委员会 vs. 管理层董事会是最高层次的治理机构，负责指导和监督组织的经营活动和管理情况。典型的董事会由若干独立董事组成。审计委员会是由非执行董事组成的专业委员会，是董事会的专门机构。管理层是指对经营活动的执行负有管理责
3、任的人员或组织。独立性与客观性组织上的独立性：只有当首席审计执行官在职能上向董事会报告的情况下才能够有效实现。个人的客观性：内部审计师必须有公正、不偏不倚的态度，避免任何利益冲突。第一部分Topic A 内部审计的战略角色管理内部审计职能标准2000 内部审计活动的管理 “首席审计执行官必须有效地管理内部审计活动，确保为组织增加价值”内部审计部门的工作结果达到内部审计章程所包含的目的和责任；内部审计活动遵循“内部审计定义”和标准；内部审计人员遵循职业道德规范和标准。【NO.1 本章概述】三道防线模型【NO.2 各章节重点及习题】1.发起、管理和应对变革，成为变革的催化剂2.建立和保持与执行层的
4、其他人员以及审计委员会之间的联系3.在绘制、分析和业务流程改进当中组织和领导团队4.评估和培养董事会和管理层的道德氛围 5.就公司治理、风险管理、控制和合规性的最佳实务培训高级管理层和董事会6.定期向高级管理层和董事会报告内部审计的关键绩效指标7.与外部审计师、法规监管机构以及其他内部确认部门协调内部审计工作8.评估绩效考核系统的充分性以及公司目标的实现情况了解水平1.发起、管理和应对变革，成为变革的催化剂【1.发起、管理和应对变革，成为变革的催化剂】变革促进者，不一定是变革的发起者，可以来自于组织内部，也可以来自于组织外部。在一些咨询项目中，内部审计师可以充当变革促进者的角色。但这一定要建立
5、在内部审计师在相关领域不承担管理职责或没有利益冲突的前提下。在确认业务中，内部审计师首先应该了解哪些正在进行中的变革或曾经参与过的变革，对变革管理的流程进行评估。评估流程应该特别关注风险和控制，一个无效果的变革流程可能会产生大量的控制缺陷。变革模式战略式变革组织结构变革技术变革流程再造文化变革推动变革通过沟通使员工了解变革方案，消除对未知情况的惧怕倡导员工在变革中的参与讨论，解决自尊心问题对员工的积极行为和态度进行肯定对反映强烈的问题进行谈判和协商，降低冲突与矛盾对敏感问题有步骤有计划的进行披露对难以达成协调意见的问题，明确或暗中协迫【例题1】由于当地环境组织的不满，一家印刷公司将所用的油墨改
6、成无毒性的。这一实例的组织变革称为：a.预期变化型b.即时反应型c.增量型d.战略型正确答案b答案解析a.预期变化型。不正确。这类变革指那些经过系统规划的变革，旨在利用已经预期到的形式。而该公司的变革则是在当地环境组织提出不满后进行的。b.即时反应型。正确。这类变革是由于发生了没有预见到的环境变化或压力而被迫进行的变革，该公司的变革正是在当地环境组织施加压力的情况下进行的变革。c.增量型。不正确。这类变革是为了确保按照既定的方向发展而必须进行的子系统的调整。d.战略型。不正确。战略型变革改变组织的发展方向的整个结构，而该公司的变革未发生这类改变。【例题2】分公司经理把内部审计部门看成是高级管理
7、层的“看门狗”。对于内部审计部门，要改变这种观点使人合作，下列哪种是最好的方法？a.更多地向审计客户了解其所关切的问题。b.增强技术技能。c.增强对控制责任的关注。d.增强调查性审计的保密性以最小化恐惧感。正确答案a答案解析a.更多地向审计客户了解其所关切的问题。正确。双向沟通对于培养合作关系非常重要。b.增强技术技能。不正确。人际技能比技术技能在培养合作关系方面更重要。c.增强对控制责任的关注。不正确。控制具有消极的含义，并且引起部门经理的对立情绪。d.增强调查性审计的保密性以最小化恐惧感。不正确。a 选项更好。2.建立和保持与执行层的其他人员及审计委员会之间的联系【2.建立和保持与执行层的
8、其他人员及审计委员会之间的联系】 2.1 审计委员会与内部审计的直接互动2.2 建立和保持与高级管理层、董事会和执行层其他人员的沟通2.3 报告重大审计事项2.4 评估组织向董事会报告的机制2.5 协助董事会评估外部审计师的独立性 萨班斯法案所有上市公司都必须设立审计委员会，直接监管独立于公司的外部审计机构；审计委员会必须具有独立性，其成员必须全部是独立董事；审计委员会中至少有一名“财务专家”，理解审计委员会和内部审计之间的相互影响。审计委员会的职责：讨论年度和季度的财务报表并提出质疑；讨论公司的风险评估和管理政策；负责内部审计机构的建立及运行；负责聘请会计师事务所、报酬，并监督其工作；接受并
9、处理本公司会计、内部控制或审计方面的投诉。2.1 审计委员会与内部审计的直接互动监督和评估内部审计的有效性；评估内部审计人员情况及其必须拥有的资源；确保内部审计领导和董事会之间的沟通与报告路线；检查和评估内部审计年度计划；检查内部审计师工作的定期报告；检查管理层对内部审计发现问题和建议的反应。2.2 建立和保持与高级管理层、董事会和执行层的沟通审计计划的沟通报告质量保证程序业务结果和后续审计的沟通2.2.1 审计计划的沟通 内部审计部门的工作业务计划（年度计划）应报高级管理层审批，并报董事会备案；及时沟通审计业务计划中期发生的重要变化；及时向高级管理层和董事会报告审计资源不足和审计范围受限；定
10、期沟通内部审计活动的开展情况。2.2.2 报告质量保证程序标准1300：首席审计执行官必须建立并维护涵盖内部审计活动所有方面的质量保证与改进程序。首席审计执行官必须向高级管理层和董事会报告质量与改进程序的结果。内部评估每年一次，外部评估每五年一次2.3 报告重大审计事项定期报告：首席审计执行官每年应至少向高级管理层和董事会提交一次工作报告；重大事项报告：当出现重大的审计事项时，首席审计执行官应及时向董事会报告；重复报告：首席审计执行官应考虑是否应将原先已报告的重要审计发现和建议再次向董事会报告。2.4 评估组织向董事会报告的机制级织内部向董事会报告的机制是保障组织的有效和高效运行的政策、方法、
11、程序、技术手段的总称。内部审计部门对报告机制进行评估的主要内容：是否建立了相关报告机制；报告机制是否充分而有效；报告机制的运转情况和效果如何。2.5 协助董事会评估外部审计师的独立性萨班斯法案规定，损害外部审计师独立性的情况：直接或重大的间接经济利益关系；以前、现在及未来的雇佣关系；自我评价关系。萨班斯法案规定，损害外部审计师独立性的不相容业务：与会计记录或财务报表有关的记账业务；财务信息系统的设计和实施；提供评价、评估、发表公允性意见及精算服务；内部审计服务；管理职能、人力资源、经纪人服务、法律服务。【例题1】某首席审计执行官发现一项明显涉及某副总裁的重大舞弊活动，而该副总裁正是首席审计执行
12、官要向其汇报的主管人员。该首席审计执行官最好采取以下哪一措施？a.进行调查以确定舞弊程度。b.与副总裁会谈以获得重要证据。c.通知法规监管机构和警察局。d.将事实报告给总裁和董事会的审计委员会。正确答案d答案解析a.进行调查以确定舞弊程度。不正确。由于该副总裁身份特殊，调查工作可能难以进展，无法确定其舞弊程度。b.与副总裁会谈以获得重要证据。不正确。该副总裁是主管内部审计工作的高层主管，内部审计师在取得明确的授权之前，不应与其进行和舞弊调查相关的会谈。c.通知法规监管机构和警察局。不正确。首席审计执行官首先应向组织内部的治理机构报告，而不是向外报告。d.将事实报告给总裁和董事会的审计委员会。正
13、确。当内部审计师怀疑内部存在错误做法时，应该将情况报告组织有关主管人员，由于该副总裁是主管内部审计部门的高层主管，“有关的主管人员”就当是总裁和审计委员会。【例题2】在对某银行的审计中，内部审计师发现一名贷款官员批准了向某企业集团所属的各独立机构发放的贷款，这违反了监管政策。内部审计师认为这一行为可能是蓄意的，因为贷款官员与控制该企业集团的一个主要负责人有密切关系，该内部审计师就当：a.将利益冲突和违规行为告知管理层，并建议作进一步调查。b.将违规行为报告给法规部门，因为这构成了银行控制系统的重大缺陷。c.如果该贷款官员同意采取纠正措施，则可以不报告该违规行为。d.扩大审计范围，确定贷款官员是
14、否有舞弊行为，并在后续调查完成后将调查结果向管理层报告。正确答案a答案解析a.将利益冲突和违规行为告知管理层，并建议作进一步调查。正确。该利益冲突和违规行为属于一种重要的审计发现，但由于牵涉集团的主要负责人，内部审计师应当报告管理理层，并提出深入开展调查的建议。b.将违规行为报告给法规部门，因为这构成了银行控制系统的重大缺陷。不正确。根据标准规定，内部审计师没有将审计发现向法规部门报告的责任。c.如果该贷款官员同意采取纠正措施，则可以不报告该违规行为。不正确。由于该行为已经违反了银行的常规政策，无论该贷款官员是否同意改正，这个审计发现都应当报告。d.扩大审计范围，确定贷款官员是否有舞弊行为，并
15、在后续调查完成后将调查结果向管理层报告。不正确。由于该审计发现涉及集团的主要负责人，内部审计师未必有能力开展下一步的审计工作，最恰当的做法是先报告，根据报告的情况决定是否以有如何开展后续工作。【例题3】根据萨班斯法案，谁应当负责指定、偿付和监督为发行人的财务报表出具审计意见的会计师事务所的工作？a.审计委员会。b.管理层。c.董事会。d.股东。正确答案a答案解析a.正确。萨班斯奥克斯利法案把更多的责任交给了审计委员会。除上述责任之外，它还要负责实施对于会计和审计事项的申诉的接收、保管和处理。它应当得到公司适当的资金支持，并有权自主决定聘请法律顾问和其他咨询人员。b.不正确。见解题a。c.不正确
16、。见解题a。d.不正确。见解题a。【例题4】当专责舞弊调查人员处于以下哪种状态时是最有效的？. 在公司内办公。. 向董事会或首席合规官报告。. 在公司以外的地点办公。. 不向任何人报告，从而确保发出警告者的隐秘性。a. 只有。b. 和。c. 和。d. 和。正确答案b答案解析.在公司内办公。正确。专责舞弊调查员在公司内办公可以起到警示作用，并增加员工对调查人员的信任。.向董事会或首席合规官报告。正确。专责舞弊调查人员直接向收悉合规官或董事会报告，以便该层次的人员根据调查人员的发现展开对本组织现存政策的修改。.在公司以外的地点办公。不正确。见题解a。.不向任何人报告，从而确保发出警告者的隐秘性。不
17、正确。不向任何人报告并不能确保发出警告者的隐秘性，只有采取后续审查确保没有发生报复行为等更能保证调查人员工作的最为有效。【例题5】某个应当遵守SEC要求的大型组织的外部审计师也可以为该客户提供内部审计服务。根据2001年采用的修订规则，如果存在以下哪种情形，则为该客户提供审计服务的外部审计师的独立性可能被损害？a.业务委托人的管理层确定该审计师履行的内部审计活动的范围。b.该审计师履行的内部审计活动超过了该客户本财年此类活动的40%的时间。c.业务委托人的管理层不依赖该外部审计的工作来确定其控制的充分性。d.该客户的总资产低于2亿美元。正确答案b答案解析a.业务委托人的管理层确定该审计师履行的
18、内部审计活动的范围。不正确。该客户的管理层并没有确定其自身的内部审计师的工作范围，而仅仅为外部审计师b.规定了范围，这是可以的。该审计师履行的内部审计活动超过了该客户本财年此类活动的40%的时间。正确。通常内部审计外包的总小时数不能超过全部内部审计小时数的40%。c.业务委托人的管理层不依赖该外部审计的工作来确定其控制的充分性。不正确。如果管理层不依赖该审计师的工作，其独立性不会受到影响。d.该客户的总资产低于2亿美元。不正确。当该审计客户的总资产超过2亿美元时，外部审计师的独立性会受到损害。 3.在绘制、分析和业务流程改进当中组织和领导团队【3.在绘制、分析和业务流程改进当中组织和领导团队】
19、3.1 组织和领导团队3.2 流程审计3.3 内部审计在绘制、分析和改进业务流程中的职责【3.1 组织和领导团队】协调来自组织其他领域或组织外部的专家。根据组织的风险模型权衡可用预算和资源，在年度计划中安排整合审计业务的优先次序。与客户协调，以便解决审计中的问题。【3.2 流程审计】现在的很多审计活动穿越了组织的界限、地理区域和服务性单位，目的对构成整个组织的主要过程的主要功能进行审计，这些功能包括：采购、资本资产的管理，预算的制定和执行，验收和检查，存货管理以及仓储，财务经营等各项功能。3.3 内部审计在描述、分析和改进业务流程中的职责内部审计部门应履行以下职责：创建流程文件。分析内部控制疏
20、漏。测试。指导内部控制。内部审计师不能承担以下职责：起草、制定和实施内部控制、流程和程序。出任流程负责人。补效。【例题1】最近对于内部审计活动的批评指出，审计业务的覆盖面没有就该组织关键业务部门采用的工作流程向高级管理层提供充分的反馈。问题进一步明确为缺乏自动支持系统。首席审计执行官需要改善以下哪两项职能？a.人员配备和沟通。b.人员配备和决策过程。c.计划和组织。d.计划和沟通。正确答案d答案解析a.人员配备和沟通。不正确。题目中未提到人员配备的问题。b.人员配备和决策过程。不正确。题目中未提到人员配备和决策过程的问题。c.计划和组织。不正确。题目中未提到组织的问题。d.计划和沟通。正确。题
21、干中所说“缺乏自动支持系统”是指“内部审计活动”缺乏自动支持系统。这些支持系统包括内部审计活动的工作计划和沟通系统。缺乏充分反馈说明CAE在计划方面和在向高级管理层通报必要信息方面所分配的内部审计资源存在问题，导致遗漏了对关键业务部门的业务流程的审计，或者没有按照高级管理层的要求对其进行审计。【例题2】以下活动中由内部审计部门实施较为妥当的是：a.设计控制系统。b.起草控制系统的程序。c.在实施之前审查控制系统。d.安装控制系统。正确答案c答案解析a.设计控制系统。不正确。根据实务公告“个人的客观性”的内容，“如果内部审计师参加了这些系统的设计、安装、程序起草或操作，就可以认为其客观性受到了损
22、害”。b.起草控制系统的程序。不正确。起草控制系统的程序同样使内部审计师承担了管理责任，损害了内部审计师的客观性。c.在实施之前审查控制系统。正确。根据实务公告“个人的客观性”的内容，“如果内部审计师为系统推荐控制标准或在程序实施前对其进复合，不会对其客观性产生负面的影响”。d.安装控制系统。不正确。安装控制系统使内部审计师承担了管理责任，损害了内部审计师的客观性。4.评估并培养董事会和管理层的道德氛围【4.评估并培养董事会和管理层的道德氛围】4.1 调查并提出解决道德规范/合规投诉的办法，确定违反道德规范的处置4.2 维护和管理商业行为政策，并报告合规情况4.1 调查并提出解决道德规范/合规
23、投诉的办法，确定违反道德规范的处置董事会并不承担直接的管理责任，但它却通过设立组织“最高基调”和监督所有治理活动来为组织描绘了整体愿景。（企业文化）最终，董事会要为公司的风险和业绩承担责任。内部审计部门和内部审计师有责任定期评估整个组织，包括董事会的道德水平。内部审计部门在评估董事会的道德水平时应考虑以下因素：董事会是否倡导并建立道德文化；道德文化是否有清晰并符合实际的道德规范；董事会对道德文化的执行情况及效果；是否有定期的道德文化检查及评估机制。内部审计部门在评估董事会的道德水平时应关注以下内容：董事会的结构、目标和活动；董事会成员的职能；董事会会议；董事会方针手册；董事会教育与培训。良好的
24、组织道德文化具有以下特征：制度清晰 领导宣传 持续改进 检举保护定期声明 明确责任 学习机会 检举评价鼓励参与 定期调查 检查压力 人员招聘内部审计师可以通过如下措施来评估组织的道德氛围：评价组织道德政策和行为守则的健全性；检查支持组织道德环境的积极的人事政策的充分性；检查组织是否建立和实施恰当的沟通机制；确定组织是否建立明确的战略支持和强化道德文化；确定是否存在恰当的程序确保不良行为被调查且舞弊发现被恰当的报告。促使不诚实、不道德行为发生的事例：过分强调收益，尤其是短期收益；片面关注收益底线；高压力的销售策略；残酷的谈判；与财务信息和非财务信息相结合的奖惩制度。萨班斯法案规定的需报告的有关合
25、规情况：第402条：禁止上市公司直接或间接为其经理人员或高级主管以个人借款形式提供或保有贷款。第403条：主管、高级职员和主要持股人应该报告其直接或间接持有的超过发行在外总股份10%的股票。第406条：必须披露公司是否存在适用于高级财务官员、总会计师、高级会计官员及其相似职能人员的道德准则。首席道德官是管理层的代表，负责组织开展违规调查。当发现违规行为时，无论违规者是何种职务，都应对其开展调查。内部审计活动应当制定适当的书面政策和流程，对道德规范/合规情况的投诉进行调查，并提出解决办法。对违反道德规范行为的处理应采取一视同仁的态度，没有人能够免于受罚。通常的处理措施包括：直接进行处罚向监管机构
26、报告向法律部门报告所有的违规行为都应当恰当地记录在案按要求留存。【例题1】首席审计执行官对公司道德规范和决策环境实施审计，以下哪项对这一审计的范围和/或建议的描述不恰当？a.审阅公司职业道德规范并与其他公司的规范比较。b.对公司雇员进行调查，询问一些有关公司决策的道德质量方面的问题。c.实施一次不记名的“道德测试”，确认雇员是否知道什么是不道德的行为或自己是否曾有过不道德的行为。d.对董事会进行调查，确定他们支持公司道德规范的程度。正确答案c答案解析a.审阅公司职业道德规范并与其他公司的规范比较。不正确。对审阅公司职业道德规范并与其他公司进行比较是道德规范和决策环境审计的一项内容。b.对公司雇
27、员进行调查，询问一些有关公司决策的道德质量方面的问题。不正确。对公司决策道德质量的调查是道德规范和决策环境审计的一项内容。c.实施一次不记名的“道德测试”，确认雇员是否知道什么是不道德的行为或自己是否曾有过不道德的行为。正确。雇员自身的道德问题不属于公司道德规范和决策环境的内容，因此不属于这项审计的范围。d.对董事会进行调查，确定他们支持公司道德规范的程度。不正确。内部审计部门可以通过调查和访谈的方式了解董事会对公司道德规范和决策的支持力度，甚至可以获取实务范例，董事会强有力的支持表明了公司具备了遵循道德规范和决策的良好环境基础，是道德规范和决策环境审计的一项内容。【例题2】某经理填制并签发了
28、一张支票给虚构的供应商付款，然后将款项存入其个人银行账户。以下哪项内部控制措施最有效地防止，或至少发现该贪污行为？a.所有采购业务实行招标。b.向供应商的付款必须使用经批准的支票。c.经理以外的支票签字人员只有在已批准的发票和填制好但未签字的支票都提交上来，并对其进行了审查后，才能签发支票。d.必须由某个负责任的职员定期清点支票的编号顺序。正确答案c答案解析a.所有采购业务实行招标。不正确。对采购业务实行招标在一定程度上可以防止将货款付给事实上完全不存在的供应商，但是如果没有在签发支票上设置职责分离，则该经理仍有可能根据事实上存在的供应商虚构采购业务，从而贪污公款。b.向供应商的付款必须使用经
29、批准的支票。不正确。由于签发支票的权力在该经理手中，给供应商的付款肯定是经批准的，因此这个措施没有用。c.经理以外的支票签字人员只有在已批准的发票和填制好但未签字的支票都提交上来，并对其进行了审查后，才能签发支票。正确。通过职责分离，可以防止该经理既批准发票，又签发支票，从而防止出现虚构供应商、贪污公款的行为。d.必须由某个负责任的职员定期清点支票的编号顺序。不正确。由于该经理签发支票的程序本身没有错，不存在盗用支票的问题，所以通过清点支票不能发现或防止贪污行为。【例题3】试图了解员工对组织价值观理解程度如何以及在日常工作压力下他们是如何秉承价值观的，最恰当的方式是？a.把该工作作为常规的控制
30、评价。b.与董事会及高级管理层开展讨论。c.自我评估实践。d.作为全面风险管理战略的一部分。正确答案c答案解析a.把该工作作为常规的控制评价。不正确。见题解c。b.与董事会及高级管理层开展讨论。不正确。见题解c。c.自我评估实践。正确。公司价值观不能仅通过常规的风险与控制评估机制来评定。实际上，自我评估的方式和恰当的审计项目通常被用来衡量公司价值观的理解和遵从。d.作为全面风险管理战略的一部分。不正确。见题解c。 4.2 维护和管理商业行为政策，并报告合规情况公司行为规范是由组织制定的、旨在规范员工行为、防止过失违法违纪的正式书面的规章制度。行为规范强化了在经营决策中的道德要求。商业惯例是在商业活动中形成的被广泛接受的通用做
