编者按：本文为商业管理咨询公司StoneTurn合伙人Greg Buchanan、董事总经理Michael Costa及经理Ed Levy的投稿文章。文中观点仅代表作者个人。

疫情为众多企业的合规与内部审计职能带来了挑战。尽管工作方式发生改变，合规与内审专业人士的使命依然如故：识别并管理业务风险。为此，企业必须持续强化合规项目、更新风险评估、调整审计计划与优先级，并定制内部控制措施。

对多数企业而言，随着资源精简及外部因素涌现，这些内部挑战日益加剧。然而，合规与内审职能仍须向高级管理层和董事会提供保证，确认已采取措施缓解重大风险。

数据分析与风险导向方法

数据分析使企业能够采用风险导向方法，将精力优先投入可能出现问题的领域。依赖随机抽样测试内部控制或对高风险交易进行实质性测试的组织，往往难以获得实质性发现或有意义的审计结果——这无异于大海捞针。

早在新冠疫情之前，数据分析已在合规工作中创造价值。一个典型例子是其在识别大学招生欺诈中的应用。因此，监管机构在调查中日益转向数据分析并不令人意外。

事实上，美国司法部（DOJ）关于企业合规项目有效性的最新指南更新，鼓励检察官审查合规与管控人员是否拥有充分的数据访问权限（直接或间接），以便及时监控合规项目。这些问题表明，DOJ期望企业向首席合规官及合规职能提供合规相关数据，并消除“限制访问相关数据源的障碍”。

鉴于合规与内审职能日益“少资源多任务”，以下提供实用指导：直接访问数据的重要性、如何通过连接分散数据源最大化数据分析价值，以及数据分析在当前关键时刻如何提升效率与效果。

数据源与直接数据访问

远程测试已成为新常态，这也预示了内审团队未来可预期的工作方式。收集、整合并分析关键数据集以执行合规或内审程序至关重要。

例如，某些数据字段可用于识别高风险交易，其结果提供有价值的子集信息。内审团队可据此确定最恰当的审计程序以得出结论。

并非所有数据源都同等可靠。数据质量是数据分析的核心。数据分析——尤其是直接访问与数据查询——是第二道和第三道防线人员应考虑实现目标的关键组成部分。

我们观察到，企业常依赖本地业务部门提供数据源信息，这些数据供其日常任务使用。然而，系统前端用户往往并不完全了解数据表的复杂性，这些数据表可能只能通过后端查询才能正确访问。这一常见失误可能给企业带来重大风险，例如基于不完整或不准确的信息得出审计结论。

直接访问关键底层数据库可缓解此潜在问题。合规专业人士与内部审计师通过与IT人员直接合作，确保信息的准确性与完整性。此外，直接数据访问还能将测试程序的执行时间从数天或数周缩短至数分钟或数小时，因为此阶段（即初始数据收集阶段）无需业务部门人员充当中间人。

同时，合规专业人士与内部审计师可通过与适当的IT专家互动，理解数据限制或异常，进而确定其对项目范围的影响。

连接分散数据源

数据分析对合规评估与内部审计有效性最重要的影响，或许在于整合分散的数据源。

案例研究：跨国公司反腐败风险

使用第三方（包括代理商、销售代表、顾问、中间商和分销商）的跨国公司，可能面临反腐败法律下的重大风险。这些公司应定期审查与这些被认定为高风险的第三方的互动及付款，以确保遵守反腐败法律和公司政策。

为监控和审查此类活动，必须考虑多个数据源，例如公司会计系统、费用报销系统、尽职调查数据库等。为更有效地审查这些数据集，合规与内审团队应使用数据分析评估以下异常是否需进一步调查：

  • 在与供应商交易前，是否对其进行了尽职调查/竞标审查？
  • 第三方是否收取高于公允市场价值的价格？（这可能暗示贿赂支付。）
  • 涉及政府官员的交易是否按照特定国家法规和内部政策进行监控？
  • 高风险交易（如折扣和佣金）是否已评估其合理性？

公司还应考虑其他高风险因素，如潜在利益冲突及风险评估过程中识别的其他风险。数据分析测试随后针对这些特定风险定制。例如，合规与内审团队可能希望将供应商主文件与员工信息系统进行比较，以确定是否存在利益冲突。若员工拥有公司某供应商的所有者权益，则应引起警觉。

总之，可利用公司掌握的关键信息执行许多数据分析测试以缓解风险。然而，这些信息可能分散在不同数据源中，因此理解这些数据源并连接信息至关重要。

改进测试方法

风险导向测试 vs. 随机测试。数据分析使合规与内审人员能够基于风险导向方法选择关键交易进行测试，而非随机选择。风险导向测试表明组织正在根据风险偏好有效管理风险。例如，若公司希望评估特定反腐败风险，应监控和测试涉及高风险国家政府官员的交易，包括特定交易类型（如现金支付）及其他关注属性。

显然，公司需确定适当的定量（如整数金额）和定性因素（如涉及高风险第三方），以进行风险排序并识别需进一步分析的高风险交易。使用数据分析是实现此目的最高效、最有效的方式。

可重复性。初步建立数据分析测试参数需要一定努力。理解系统数据库和数据结构可能伴随学习曲线，且需检查系统特定细微差别。此外，首次需创建用于识别关键红旗的关键数据分析测试。然而，后续每次合规评估或内部审计都将受益于这些工作，未来工作可建立在坚实基础之上。此意义上的可重复性不仅增加效率，还建立了流程，使不同数据分析师能获得相同或相似的结果。

结论

远程工作很可能在可预见的未来持续，我们得以一窥新常态。传统的随机抽样和现场测试方法几乎必然演变为更多采用远程风险导向审计程序的方式。因此，企业利用数据分析应对当下及未来的合规与内审挑战至关重要。