1、敏捷转型 内部审计绩效与价值提升指南 第二部分： 实现敏捷内部审计 敏捷转型 | 内部审计绩效与价值提升指南敏捷转型 | 内部审计绩效与价值提升指南 0302 量身定制 鉴于每家企业及其内部审计团队各具特 点，开发了敏捷内部审计方法，以 灵活适应内部审计部门及其利益相关方 的特定需求。本文将对敏捷内部审计方 法进行说明。 敏捷内部审计方法并非毫无用武之地。 正如本系列文章“第一部分：了解敏捷 内部审计”所述，问题总是不计其数 的，而在多次的研究结果和经验项 目中发现，企业对内部审计的期望和要 求远不止于此。只是开展零碎的工作而 缺乏条理分明的方法，若不改变思维模 式，往往无法全面满足各项需求。

2、 然而，内部审计团队在能力、资源、技 能组合、组织结构和变革准备程度方面 差异巨大。同样地，企业关于内部审计 的文化、需求和观点亦有所不同。 因此， 能否成功应用敏捷内部审计方法在 很大程度上取决于部门领导、 审计委员会 以及高级管理人员和业务合作伙伴。 敏捷内部审计的影响 敏捷内部审计方法有可能： 缩短获得更具洞察力的结果所需的路 径和时间 促使利益相关方更早、 更频繁地参与 减少书面工作， 增加沟通频率 缩短内部审计周期， 加快资源重新配置 在收益递减点结束内部审计工作 （最小 可行产品） 本文将详述我们在与客户合作实施敏捷 内部审计方法的经验， 并回顾在实施过程 中与各家企业的沟通情况。

3、 这是我们在 六个月前起草第一部分时无法提出的观 点， 因为那时我们尚处于初期阶段。 若要 对敏捷内部审计作出一番阐述， 没有其他 途径能够超越可迭代的敏捷方法！ 授权内部审计团队与利益相关方共同决 定所要开展的工作及其范围和时间 采用敏捷内部审计方法需要实现多方位 转变，如图1所示。 敏捷内部审计并非放之四海而皆准 目前存在多种基于迭代开发的敏捷方 法，通过自组织、跨职能团队之间的协 作推动需求和解决方案的演变。这类敏 捷方法包括Lean、Scrum和Kanban等。 我们选择采用Scrum，但是发现其他方 法（例如Kanban）同样有效。 关于敏捷方法， 我们 可以这样思考： 假设 您是一

4、位农场主， 拥 有一小块土地， 需要 修建房屋。 您是花费 好几个月的时间绘制 图纸、 购买材料、 招聘工人， 建造、 装修 和布置一套五室四卫的房屋？ 还是首先 搭建帐篷， 随后修建披屋， 然后根据家 人的需求以及自己投身的事情， 逐步建 造棚屋、 小屋和房屋？ 敏捷方法推荐后一种方式。 图1：实施敏捷内部审计的考量因素 采用敏捷方法的情况下，内部审计团队应当实施转变： 在漫长的审计流程结束后开展全面沟通 严谨规划相关工作 实施全面文档化 体系等级分明，职级设置明确 遵循预定计划 审查内部审计资源 控制审计流程 在审计流程中开展频繁沟通 快速开展迭代工作 确保文件和报告的及时性和相关性 体系

5、更加灵活，职级充分授权 及时响应新的需求 为审计和项目提供资源 实现审计流程透明化 从 到 然而，需要注意的是，自助式筛选多种 方法并随波逐流做出选择并不会奏效。 精挑细选会令他们相信自己正在实施敏 捷内部审计方法，但事实上却并非如 此。于是，内部审计团队（以及企业） 或许无法实现敏捷内部审计方法的益 处，而且可能指责敏捷方法未能带来预 期收益。对此，行业领先实践是立足于 所选定的方法，并根据具体目标和企业 文化加以调整，然后实施定制方法。可 以边试边学！ 敏捷转型 | 内部审计绩效与价值提升指南敏捷转型 | 内部审计绩效与价值提升指南 0504 走出舒适圈 在下文中， 我们将基于我们与客户和

6、合 作伙伴实施敏捷内部审计方法的经验， 阐述相关的指导原则、 关键挑战和领先 实践。 从正式到灵活 敏捷内部审计方法主要维护项目所涉及 的审计风险待办事项待审计领域 （可推断领域）列表，而非正式的审计 计划。审计待办事项包括内部审计团队 和利益相关方认为审计或项目可以得出 有益结论的领域。敏捷内部审计方法的 关键特征在于待办事项列表的开发和管 理，以审计观点或审计报告作为最终产 品。请参阅图2查看敏捷内部审计工作 流程示例。 以下概念和相关建议可以推进工作流程 管理： 敏捷内部审计宣言：内部审计团队各具 特点，身处独特的上海品茶中，企业需 结合企业自身情况，修改敏捷内部审计 宣言1，使其适合企

7、业审计需求。考虑存 在的痛点以及您希望通过敏捷内部审计 方法解决的内部审计问题。您必须实现 什么目标？您期待实现什么目标？这是 量身打造敏捷方法的第一步，将影响您 需要采取的变革管理步骤。 关键挑战/领先实践： 未充分考虑痛点可能导致内部审 计团队无法聚焦期望推动的具体 变革。 以敏捷内部审计宣言为战略文件， 与执行管理层讨论行动计划。这种 方式可以反映企业的目标和价值 观，且较为实用。 项目或审计画布：您是否疲于应付厚厚 的内部审计规划文件？已经进入审计报 告阶段，却发现利益相关方根本没有翻 阅规划备忘录？我们采用产品画布并加 以调整，推出审计项目画布由审计 团队、产品负责人和关键利益相关方

8、共 同制作的单页规划文件（见图3）。 关键挑战/领先实践： 未让利益相关方参与审计项目画布 开发可能导致在审计结束时出现脱 节问题。 召集关键决策者和团队成员共同开 发审计项目画布， 可以快速完成开 发流程。 用户故事和审计待办事项：用户故事是 代表审计价值或审计要求的基本工作单 元。审计待办事项是涵盖所有用户故事 的列表。用户故事应当足够详细，以使 项目团队简单明确地捕获人物、事件和 原因等关键元素，从而做出规划决策。 图2：敏捷内部审计工作流程 图3：审计项目画布 1 | 关于企业 业务范围如何与企业战略协调一致？ 企业需实现哪些目标？ 企业在实现目标的过程中面临哪些风险？ 5 | 关键利

9、益相关方 谁最关注项目价值？ 谁受到的跨职能影响最大？ 内部审计市场领导方向？ 2 | 项目驱动因素 该项目为何对企业具有重要意义？ 为何将该项目纳入审计计划？存在哪些风险评估驱动因素？ 对企业有何附加值（相关性）？ 3 | 价值主张 针对该领域采用敏捷内部审计方法有何价值？ 4 | 跨职能影响 哪些关键信息技术系统/报告可以支持 和/或监控业务流程？ 存在哪些合规考虑因素？ 是否对财务报告/方面产生影响？ 7 | 项目范围 为实现项目目标，需采取哪些行动？ 项目的可推断领域包括哪些？ 9 | 核心项目团队 关键业务负责人：财务/运营/信息技术/合规/国 际业务（如适用） 责任人、决策人、被咨

10、询人、被通知人（RACI） 8 | 风险和控制日志 业务风险和控制手段 确定冲刺待办事项及其优先顺序 确定项目冲刺时间范围 6 | 指标/关键绩效指标 企业使用哪些关键指标衡量目标达成度？ 审计成果的衡量标准是什么？审计时间表和目标日期？审计发现事项的数 量？企业对审计发现事项的接受程度如何？ 综合百货公司#1敏捷内部审计项目洞察 “由于，综合百货公司#1与携手踏上敏捷内部审计之旅，力求提高内部审计团队能力，从而 维持业务发展速度。我们仍在实施敏捷内部审计方法，已取得的成果包括： 员工和高管对于采用全新审计方法热情高涨； 审计准备所需规划时间有所缩短； 内部审计团队获得更多授权，从而使适当层级

11、的利益相关方参与审计流程；以及 快速致胜在最初两周内推迟审计。按照传统审计方法，得出相同结论需要更长时间；然而，依托快速采取行动以应对风险、提 高价值和质量的思维模式，内部审计团队可以尽早做出明智决策。” ， 综合百货公司#1高级副总裁兼首席审计执行官 ， 综合百货公司#1高级经理 ， 综合百货公司#1高级总监 利益相关方 审计产品负责人 我们如何确定范围？可推断领域 就绪的定义 （DoR） 审计Scrum团队 审计Scrum团队 审计Scrum专家 冲刺规划 冲刺 待办事项任务 完成的定义 （DoD） 1-2周 每日 例会 冲刺关闭 冲刺观点最终观点 审计产品 负责人 冲刺回顾 细化/探索执

12、行收尾 1请参阅 “第一部分： 了解敏捷内部审计” ， 查看敏捷内部审计宣言示例， 敏捷转型 | 内部审计绩效与价值提升指南敏捷转型 | 内部审计绩效与价值提升指南 0706 观察结果实际影响管理行动计划等级 根据审查结果概述 问题（包括适用的 控制措施） 概述实际影响/风险 （如果所述问题持 续存在） 概述管理行动计划 本质2017年9月 根据审查结果概述 问题（包括适用的 控制措施） 概述实际影响/风险 （如果所述问题持 续存在） 概述管理行动计划 本质2017年10月 根据审查结果概述 问题（包括适用的 控制措施） 概述实际影响/风险 （如果所述问题持 续存在） 概述管理行动计划 本质2

13、017年11月 用户故事的关键元素 有效的用户故事应当考虑故事的风险程 度、复杂性和相关性。用户故事包括三 个重要组成部分：行动者用户故事 关键元素的责任方；行动项目用户 故事的可推断领域；行动结果预期 最终结果。 待办事项可能永无止尽。内部审计团队 应当不断修改和完善用户故事，以确定 待办事项优先级并做出相应安排。 关键挑战/领先实践： 创建可在一个冲刺阶段完成的小规 模用户故事可能颇具挑战性。内部 审计团队通常会“贪多”，希望在 为期一至两周的冲刺阶段完成超出 负荷的工作。 确保用户故事拥有具体的业务价值 并且具有可测试性，以便据此初步 得出审计结论。 推动产品负责人了解相关要求和映 射用

14、户故事。需向内部审计团队不 断强调，初始待办事项并非最终待 办事项，因此先从未知事项入手未 尝不可。 就绪的定义： 产品负责人和利益相关方 就后续事项达成一致， 包括待测试、 待检 验和待审核内容， 工作目标和预期价值以 及被审计单位的要求， 即表示审计待办事 项列表中的项目拥有就绪的定义。 符合就 绪的定义后， Scrum团队就可着手开展审 计或项目。 关键挑战/领先实践 Scrum团队、 产品负责人和利益相 关方需就项目启动事宜达成一致。 就绪的定义应被视为起点。 冲刺和时间盒： 内部审计工作开始后， 用 户故事将被分组纳入冲刺阶段。 冲刺阶 段是指在限定时间内完成特定任务的间 隔， 可以

15、确定工作流程、 结构和节奏。 时 间盒应能积极推动紧迫的时限， 以使内部 审计团队保持专注。 关键挑战/领先实践： 时间预估偶尔也会失算。 不要期待 首次冲刺就可以完美无缺。 就信息技术项目而言， 行业经验表 明， 即使是已经尝试过较长冲刺阶 段的企业， 冲刺一般也是需要为期 两周。 内部审计团队应当尽量进行 为期一周或两周的冲刺。 聘请专职Scrum专家/教练可谓一种 领先实践。 内部审计团队需要能够 推动团队学习的人员， 因而因此 “教 练” 角色可能至关重要。 许多内部审计团队会将首次冲刺作 为 “探索” 冲刺， 以便开展前期工 作， 例如确定所需数据或者收集所 需信息。 完成的定义：

16、完成的定义用于确定冲刺 阶段拟交付的价值， 它可表示为确认水 平， 已识别问题、 风险或建议列表， 或者 报告或观点。 借助完成的定义， 可以确定 在何种情况下用户故事的完成情况能够 符合审计产品负责人的要求并且达到审 计目标。 完成的定义不应过于冗长或复 杂， 否则可能无法适用于冲刺阶段。 关键挑战/领先实践： 将完成的定义视为检查点而非目标 点， 以使内部审计团队在工作推进 过程中对其进行调整或更改。 完成的定义用于确定所需的确认水 平或最终产品的质量预期。 通常仅 需达到较低的确认水平或对某些控 制措施进行快速审查， 而在特定情 况下， 需达到较高的确认水平并的 开展深入审查。 作为确认

17、水平的客观数据源， 内部 审计对于完成的定义至关重要。 必 须考虑审计委员会和监管机构的要 求以及企业需求。 冲刺关闭： Scrum团队和利益相关方将在 每次冲刺结束后举行冲刺关闭会议， 以根 据完成的定义评审已完成的待办事项。 冲 刺关闭旨在正式结束与某次冲刺相关的 所有工作。 在此阶段， 内部审计团队通常 会形成冲刺观点， 即对于某领域的总结， 包括风险和控制措施状态洞察信息以及 需要利益相关方采取行动的观察结果。 关键挑战/领先实践： 利用冲刺关闭记录资源使用情况、 周期循环和已用时间、资源分配 模型以及审计或项目的其他显著 特点。 如果利益相关方未参与冲刺关闭并 且没有任何书面材料可供

18、使用， 则 有可能导致信息传达不畅。 行业领先实践： 使用工作流程可视 化看板， 在内部审计团队工作区域 向所有利益相关方展示。 这种方法 有助于实现已完成和待完成冲刺的 完全透明化。 最终产品： 在敏捷审计中，与审计规划 和现场审计相同，审计报告也采取迭代 开发方法。完成冲刺后，审计团队将会 开发最终观点以使所有冲刺相互关联 （见图4）。最终观点将会突出重点并 阐明所执行工作的相关性。这将有助于 推动头脑风暴和赢取利益相关方的支 持。最终观点还应包含内部审计团队对 于现状的真实意见以及有关风险敞口的 洞察信息。 “面对航空业公司，每每提及敏捷方法我们总会频繁自问：作为利 益相关方，敏捷方法能

19、否为我带来价值？合作加强、流程迭代和用 户故事开发迫使我们回答这一问题，说明我们所采取的行动及其原 因。这样，我们可以着眼目标并开展重点工作，获取具有洞察力和 相关性的结果，并通过限定时间的迭代缩短审计周期。” ， 某航空业公司内部审计部门常务总监 ， 某航空业公司内部审计部门常务总监 图4：最终项目观点 关键挑战/领先实践： 最终观点应当反映您的真实想法并 以事实为依据。 此外， 最终观点应与 企业战略挂钩并且能直面质疑。 最终观点亦为对某领域的总结， 概 述有关风险和控制措施状态的洞察 信息。 最终观点的优劣取决于冲刺观点。 冲刺观点应当推动待办事项细化流 程， 从而生成最终观点。 等到冲

20、刺结束后再以书面形式与利 益相关方分享相关信息， 否则将在 项目验收上面临挑战。 1 2 3 项目观点：这是项目层面观点，在项目启动时确定， 在项目过程中更新，在项目结束时根据项目信息最终 敲定。项目层面观点，并与战略目标相关联。 冲刺观点3 我们基于假设了解到哪些信息？所了解的信息对于项 目层面观点有何影响？ 确定适用的战略目标 等级：较高适中 观点与企业的战略目标相关联 观察结果、实际影响和管理行动计划概要 冲刺观点2 我们基于假设了解到哪些信息？所了解的信息对于项 目层面观点有何影响？ 冲刺观点1 我们基于假设了解到哪些信息？所了解的信息对于项 目层面观点有何影响？ 等级 填充 颜色 敏

21、捷转型 | 内部审计绩效与价值提升指南敏捷转型 | 内部审计绩效与价值提升指南 0908 结语： 敏捷内部审计的概念看似简单， 但 事实证明， 其比想象中更难实现。 这确实 属于一项变革管理问题。 思维模式转变 并非易事， 但从潜在收益来看值得一试； 潜在收益包括缩短审计周期， 获得更具 洞察力的观察结果和建议， 与利益相关 方开展合作以及建立高度投入的内部审 计团队。 关键挑战/领先实践： 决策分散化对于敏捷内部审计至关 重要， 但这一转变可能难以实现。 内 部审计团队必须具备自我组织能力 并且获得授权来决定采取行动。 此 外， 内部审计团队需要拥有善于提 供指导的Scrum专家。 现在就下

22、定论可能为时过早， 但是 部署敏捷内部审计方法或将提高员 工留任率。 根据我们的经验， 采用这 种方法的内部审计团队取得了积极 的效果， 因为这种方法能够提高员 工参与度， 促使员工充分发挥聪明 才智。 鉴于内部审计团队依然在为 人才吸引和挽留保留问题而苦恼， 这不失为一则利好消息。 金融控股公司#15内部审计敏捷转型洞察 “2015年11月，我们针对金融控股公司#15启动敏捷转型，最初是尝试使用Scrum作为审计交付框架。现在，金融控股 公司#15已在超过20%的审计工作中使用敏捷方法，我们亦借此推动了年度（6+6）风险评估/规划和资源分配等事宜。 我们借助专业指导和培训，力求推进金融控股公

23、司#15转变思维模式。大规模敏捷变革需要耐心、开放心态和信任才能 取得真正的成功我们必须严阵以待，从审计发现事项中总结经验教训并做出相应调整。 我们采取了哪些行动？ 我们共有七名全职敏捷教练和Scrum专家，他们具有敏捷方法和内部审计经验并且专注于支持敏捷方法实施。教练与专 家指导审计工作、提供培训课程和推进经验分享。 我们已为全球600多名审计人员提供为期半天的入门培训课程，目前正在开展为期两天的Professional Scrum Foundation培训。 我们并未改变金融控股公司#15所使用的方法，我们关注的是执行方法的流程、行为和思维模式。我们并未强制推行敏 捷方法。相反，我们鼓励审

24、计团队革新审计方法，尝试新鲜事物，回顾成功之路，并且分享经验教训。 举例而言，某审计团队已实现审计报告编写方式创新。长期以来，审计报告均由审计领导人起草，需要进行数周的反复 审阅，这种方式效率低下而且令人沮丧。因此，该审计团队决定将所有成员聚集在一间会议室，按照屏幕所显示的空白 报告模板在三个小时内共同完成报告。这样就实现了整个团队共同编撰和负责最终报告，提高了信息传递质量和准确 性，并且显著减少了所需的时间和精力。我们已将本案例分享给许多其他审计团队，他们亦根据自身情况做出了相应调 整。 办公空间焕然一新墙面（和窗户）上均装有看板（Kanban），方便审计团队了解各项审计工作的待办事项。我们

25、 鼓励利益相关方（被审计单位）加入每日站会，以便深入了解审计重点、加速清除审计流程障碍以及建立相互信任和坦 诚公开的关系。 从2018年1月开始， 审计团队角色将会发生变化， 团队结构更趋扁平化， 如此有利于提高团队自我组织能力和稳定性。 截至目前，我们受益颇丰，例如审计团队参与程度有所提高，以及每项审计所需时间总体上降低了10%-20%。在构 建审计画布理念时融入了精益画布，这一点深受我们青睐。能够在敏捷转型过程中相互交流和合作非常棒，而对此我们 也持鼓励态度。我们期待以敏捷方式开展更多审计工作，憧憬再次与探讨问题和分享经验。” ， 金融控股公司#15战略与变革 敏捷转型 | 内部审计绩效与

26、价值提升指南 敏捷转型 | 内部审计绩效与价值提升指南敏捷转型 | 内部审计绩效与价值提升指南 1110 联系人 联络人： 华北： 况成功 中国风险咨询合伙人 电话：+86 10 8520 7401 电子邮箱: 华东： 尹家俊 中国风险咨询合伙人 电话: +86 21 2316 6492 电子邮箱: 华南： 李扬 中国风险咨询合伙人 电话: +86 755 3353 8588 电子邮箱: 香港地区： 冯文珊 香港风险咨询合伙人 电话: +852 2852 5815 电子邮箱: .hk 华西： 吴俊 中国风险咨询合伙人 电话: +86 10 8512 5350 电子邮箱: 智能应用服务： 朱磊

27、中国风险咨询合伙人 电话：+86 21 6141 1547 电子邮箱: 何铮 中国风险咨询合伙人 电话：+86 21 6141 1507 电子邮箱: 期待您与我们分享您的经验；如果您在实施敏捷内部审计的过程中需要帮助，请联系我们的团队。 本文件中所含数据乃一般性信息，故此，并不构成提供任何会计、商业、财 务、投资、法律、税务或其他专业建议或服务。本文件不能代替此等专业建议或服 务，读者亦不应依赖本文件中的信息作为可能影响自身财务或业务决策的基础。在 做出任何可能影响自身财务或业务的决策或采取任何相关行动前，请咨询合资格的 专业顾问。不对任何方因使用本文件而导致的任何损失承担责任。 在本文件中，“”指Deloitte LLP的子公司Deloitte & Touche LLP（提供内部 审计服务）和Deloitte Consulting LLP（提供敏捷转型服务）。二者均为具有独立 法律地位的法律实体。请浏览 LLP及 其子公司法律架构的详细信息。根据公共会计的规则和法规，某些服务可能无法向 审计客户提供。 2017 Deloitte Development LLC 版权所有 保留一切权利 Designed by CoRe Creative Services. RITM0360180