原标题：内部审计不应该向首席财务官报告

我的博文的读者们都知道，有些事情我一直在反复强调。其中，我一直认为，内部审计在行政上向首席财务官(CFO)报告工作，是一种过时的做法。

多年来，IIA对内部审计的报告关系进行了研究。值得高兴的是，我们的调查发现，首席审计执行官(CAEs)中始终有很高比例的人表示，他们在职能上向审计委员会报告。事实上，IIA即将发布的2021年《北美内部审计调查报告》(North American Pulse of Internal Audit report)显示，超过80%的CAE表示，它们在职能上向“审计委员会、董事会或同等机构”报告。我们在全球也看到了类似的趋势。

但是，如果内部审计部门在独立性或客观性上受到一丁点损害（甚至只是表面上的损害），那么，问题产生的根源一般来自行政报告关系，而不会是职能报告关系。最具争议的是行政上向首席财务官报告。令人震惊的是，在即将发布的Pulse报告中，北美的CAEs采用在行政上向首席财务官报告这种模式的比例高达73%。

批评这种报告关系的人士常常认为，内部审计可能避开对首席财务官主管的业务领域，因为“老板”不想接受审计。我发现这并不是问题的根本。因为，我多年来看到的统计数据表明，首席财务官更有可能使用内部审计来解决其职责范围内的关键风险，而不是其职责范围外的风险。

2015年我写过一篇博文《内部审计不应该隶属于首席财务官》。我指出：内部审计部门在评估财务报告的内部控制(ICFR)方面，行政上向首席财务官报告的，比那些向其他高级管理官员报告的要多投入60%以上的资源。难道说，那些内部审计隶属于首席财务官的公司中，ICFR风险是否会增加60%？我不这么想。正如我当时所指出的，“许多行政上直接领导内部审计部门的首席财务官，会利用内部审计来处理本该由首席财务官负责的其他工作。”当内部审计“隶属于”CFO时，这些风险就会被CFO放大并具体化。”

我意识到下面的观点可能有些争议。IIA的《国际内部审计专业实务标准》足够灵活，允许内部审计在行政上向首席财务官报告。标准1110规定，“首席审计执行官必须向组织内部能够确保内部审计部门履行职责的层级报告。”标准1110.A1更进一步地说，“内部审计部门在确定内部审计范围、开展工作和报告结果时，必须免受干预。”

如果这些标准并没有明确排除与首席财务官的报告关系，那么我为什么还要继续表达担忧呢？问题不在于内部审计向谁报告，而在于报告对象在内部审计上行使权力的能力、甚至是削弱内部审计“跟踪风险”能力的程度。损害内部审计独立性的情况，不仅发生在主管领导引导内部审计远离其分管领域外的敏感风险时，也发生在因主管领导引导内部审计来处理其特别感兴趣的风险或运营问题而导致的对组织内更大风险的漠视。

早在2012年，我就一直在分享我对内部审计部门向首席执行官以外的人进行行政报告的内在危险的担忧。

“是时候将内部审计部门从首席财务官的领导下剥离了。我们需要与首席财务官建立牢固的工作关系，但我们也需要独立性和灵活性来评估财务信息，并在不产生不利影响(甚至不产生不利影响的感觉)的情况下制定审计计划。大多数CAE可能会与其执行管理团队的每一成员建立强大的工作关系，但当内部审计对财务部门(无论是职能上还是行政上)存在报告关系时，不利影响的危险更大。”

当内部审计以行政方式向负有职能职责的高管报告时存在风险。意识到这一点的不止我一个。2013年初，美国联邦储备委员会对金融机构内部审计独立性作出了补充说明。内部审计在行政上向首席执行官以外的其他人报告时，该政策要求审计委员会采取应对措施：

“如果CAE在行政上向首席执行官以外的其他人报告，审计委员会应记录这种报告结构的基本原因，包括可能对CAE客观性产生不利影响的情况下的缓解控制措施。在这种情况下，审计委员会应定期(至少每年)评估CAE是否公正，是否受主管领导不当安排的影响。此外，CAE和所有其他审计人员的利益冲突应至少每年进行监测，并对可能发生冲突的审计领域施加适当的限制。”

美联储2013年的指导方针继续影响着金融服务行业。即将发布的内部审计调查报告显示，金融服务行业中只有18%的CAEs表示他们向CFO报告，这与上市公司整体73%的比例形成了鲜明对比。

此外，IIA的《国际内部审计专业实务框架》的实施指南(IG) 1110中提出了解决组织独立性问题的路径。具体来说，IG建议:

“IIA建议，首席审计执行官行政上向首席执行官报告，这样做不但可以表明首席审计执行官是一个高级职位，同时也可以确保内部审计不会被置于接受审计的某个运营部门之下。”

这些重要的咨询意见强化了这样一种论点，即内部审计部门必须处于最有利于增强真正独立性的位置，因为它的工作是向管理层和董事会提供公正和客观的保证。

当今企业面临的挑战是动态的、全球性的、复杂的，而且风险演化的速度比历史上任何时候都要快。因此，我们必须尽一切努力增强内部审计独立性的能力。当内部审计隶属于CFO时，我们在独立性和客观性的关键属性上就会被人怀疑，我们继续内部审计的成本就明显提升。

是时候让内部审计直接向CEO报告了。

源自2021年1月31日IIA官网，作者：理查德·钱伯斯，原创翻译：陈国华