21、持续审计：概念、实施与挑战

持续审计：概念、实施与挑战

1. 持续审计概述

持续审计能够让审计人员聚焦于测试结果对企业风险状况的影响分析。从实际影响来看，整个审计过程能因更关注高影响业务活动而受益，同时减少熟练审计人员在低影响领域的昂贵投入，这些低影响领域虽仍需审计，但更适合自动化。

与持续监控类似，持续审计要求尽可能在交易执行时进行测试。在当今的计算机应用系统中，许多以往依赖的管理控制，如单个交易的监督授权，要么已迁移到计算机环境中，要么已不复存在。再加上交易速度快，若管理层没有实时监控能力，就几乎无法有效使用检测控制。同样，内部审计也必须利用这些技术，以便尽早发现意外或欺诈性的控制失败，让关键问题能在紧急处理的时间范围内引起管理层的注意。

2. 实施持续审计

内部审计是提供独立保证的第三道防线的一部分。第一道防线是运营管理层，他们承担并管理整体风险；第二道防线是监督风险的职能部门，如合规管理部门。持续审计通过利用技术支持的持续风险评估和控制评估，贯穿于这三道防线。

为了有效实施，持续审计会运用书中详述的分析技术，将审计人员的主动参与降至最低。审计程序可以采用一组标准化询问的形式，使用预先准备好的审计脚本在后台运行，并根据例外情况进行报告。报告形式可以是定期通知轻微控制偏差，或实时提醒重大控制违规。

3. 实施结构规划

为了有效实施持续审计，内部审计部门必须制定整体战略，与第一道和第二道防线协调，确定优先级，并确保管理层在年度审计计划中支持使用该方法。在当今的集成环境中，交易数据和主文件数据的完整性和可靠性是所有业务运营的关键基础，可通过持续审计过程来保证。必要时，应修改内部审计章程，以确保有适当的权限访问所需数据。