大家好，我是月月。
今天比較特別，在接續寫下一篇正文前，決定插播一下，先來個番外。
會不會有人很驚訝，說為什麼寫文章寫得好好的，突然迸出一個「番外」啊？XD
其實，寫這個部落格的出發點一直都是為了回饋社會；為了幫對事務所、查核工作等議題有各種疑惑的人們，讓大家在資訊不對稱的情況下有人可以問，所以每一篇留言有提出問題的我大多都會盡量回答。
日前收到一篇留言提到離開事務所之後當了內部稽核，但發現內稽和事務所的財報查核工作有落差，不知道該怎麼辦。
這篇留言的內文稍多，但我拆解下來，這位朋友主要問到兩個問題：
1.當上內部稽核之後，如何查出問題?
2.內部稽核的底稿怎麼建?
這兩個問題在我當稽核之後也有過疑問，但在熟悉稽核工作的過程中，隨著一次次的上課和經驗的累積，也漸漸開始有了一些心得；雖然我當稽核的資歷還比不上各上市櫃公司的稽核主管們，但我想在這裡稍稍的分享我對上述兩個問題的看法，希望能給剛離開事務所轉任內部稽核的捧由們一點方向。
什麼？你問我為什麼不直接回覆留言要寫番外？
哦，就是我手癢啊哈哈哈哈哈~
想講的東西太多，乾脆寫成一篇文章賺賺點閱率好了。
那麼，以下正題開始：
事務所關注的內控查核，一直以來都侷限在和產出財報相關的內控而已，比如銷售、採購、財報編製等內控都是重中之重；但當上內稽之後，觀點開始有所不同。
比如說，在事務所有「重大性」的適用，就是多少金額以下的錯誤，並不會導致財報使用者產生重大錯誤投資決策，這個金額門檻在事務所的工作上可以pass掉很多東西，但在內稽的查核上，完全沒有重大性這件事。
以前在財報相關的查核上，只會關心對財報編製是否會造成重大錯誤；但在內稽上可以關注的面向就多了去了，除了考量是否已經遵守公司規定或法令規定之外，還可以看作業流程是否有效率、資產是否得以保全、成本是否可以節省、是否能幫公司興利防弊等等，是以財報編製的正確性，已經不是唯一的查核目標。
是的，聽著目標遠大，但隨著查核框架放大，初學者真的很容易對「查什麼」和「怎麼查」產生疑惑；是以，我認為核心的問題，應該放在如何「尋找控制點」，這裡的控制點不一定是SOP裡寫到的規範，可以是為了更符合效率，也可以是為了節省公司的成本，都可以當成是「控制點」。
只要找到正確的控制點，就能進行適當的查核。
老實說，在當稽核的這段過程中，我覺得最辛苦的地方既不是整理資料，也不是編寫底稿或是跟作業單位打交道，而是設定什麼「控制點」，可以達到除了法令遵循之外的其他目標。
一份報告我平均要花上2~3天在設定控制點，但是設定完成之後，要查什麼資料怎麼看怎麼留下軌跡，都已經在腦袋中沙盤推演過了，只待資料到齊就可以開查！
至於要怎麼設定這些控制點，我整理了一下，提出幾個建議：
1.上課
內稽每年都有12小時的課要上，這是法令規定的，所以請好好善用這12個小時，先去上一些看起來是打基礎但卻很重要的課程，等之後對查核流程比較熟悉了、再開始針對你有興趣或是稽核界比較關注的議題去上課。
我覺得不管老師上得怎麼樣、內容在講什麼，對我來說，都是在學有哪些控制點可以讓我使用在實際的查核上。
2.google查核程序/重點/風險
如果我要查一個很大題目，比如採購或薪工，我就會開始上網google看這些循環有哪些查核重點、風險和查核程序，比如採購可以查看看是否有重複付款、供應商資料管理、供應商評鑑等，薪工我會查新勞基法下加班時數有沒有超限、加班費是否正確、有沒有幽靈員工領薪水等等。
網路上資料很多，但你要先確立你的問題，才能快速找到答案。
3.經驗
經驗這種東西很神奇，同樣一個問題我覺得已經解決了，但我老闆覺得還可以再往下挖到另外一個議題。
所以啦，這種東西不要急，但一定要在每一次查核中都努力留下好的底稿和軌跡，這樣才能幫助自己吸取這些經驗。
再來，也可以多看前期底稿，看看那些缺失是怎麼發現的、怎麼產出的、又是如何解決的！
吸取別人的經驗，就等於站在巨人的肩膀上！
4.問當事人
我有許多查核事項，其實都是來自查核窗口給我的反饋。
在事務所我已經太習慣把窗口當作客戶，所以在公司也是用一樣的方法處理，但這樣反而可以拉近我和窗口的距離，再加上我會婉轉暗示他們如果有什麼想解決的問題無法上達天聽的話可以透過我這邊幫忙。
這樣做之後，有些人真的願意主動地告訴我缺失，我這邊也學到從窗口的觀點看這些工作，非常有趣！
5.考慮電腦稽核
過去的稽核業界大多以人工抽樣方法在查核，但是現在有越來越多公司的內稽已經開始透過資料交叉比對，分析出高風險的樣本之後再實際進行查核。
比如剛剛提過的幽靈人口領薪水，就要向HR拿到發薪的人員名單和在職人員名單，兩相比較之後就可以找出可能是錯誤或舞弊的樣本。
再比如PPE(不動產、廠房及設備)可以使用在職人員名單和資產管理人員互相比較，無法match的就可能是問題。
業界還有很多相關的電腦查核方法，有興趣的話建議可以多涉獵這方面的課程。
6.把眼界再拉高一點
一般來說，內稽就是拿著公司的內控制度這把大刀，把沒有遵守的人一個個找出來；但如果純粹只做SOP遵守的檢查，對公司來說你就真的只是個找麻煩的人而已，所以我才開始在思考，是否可以跳脫內稽的角色，改為站在公司總經理的身分，這樣的話我會關注哪一些議題？如何幫助公司興利防弊？
假如這個查核點並不是公司的SOP，但是這樣查可以幫助降低公司成本或是增加營運效率，那我就會納入我的查核。
比如檢視公司的庶務支出是否越來越高，我會就撈一些特定的支出比如文具等等，分別除以當期員工人數之後，做成折線圖，檢視是否有異常的增加或減少。
這個部分我的經驗還不太多，希望未來可以發展起來~~如果有同業願意分享的話也請不吝指教~~
第二個題目是查核底稿如何建立。
剛進業界的時候，對於查核底稿這個東西不像事務所有統一的格式，這件事情讓我有點受不了。我自己的作法是，參考事務所的方法自己建一版，然後所有報告到我手中，我都會整成我自己的格式。
後來老闆很喜歡我這一版底稿，派給我很多新的報告叫我「洗底稿」……
總之，我認為內稽的底稿沒有一定的格式，但卻有一定的要素，比如基本資訊、稽核目的、稽核日期、涵蓋期間、控制點、結論、支持的證據、索引編號、核准紀錄等等。其實這個跟事務所是類似的，各組的底稿長相的都不太一樣，但必須包含的要素大多都是follow事務所內的規範，這樣品質管制覆核部門來檢查底稿的時候才有統一的標準~
如果有興趣，我很推薦內部稽核協會開的課裡有一位「陳秀娥」老師，她開給初任稽核的課裡有很明確提到應該有那些要素，還會帶範例說明這樣寫對不對、好不好。
以我自己來說，我自己的做法是仿照以前事務所的底稿，先建立一張Leadsheet，也就是整份報告的查核概要，包含基本資訊、控制點、查核程序、查核結論、各自對應的底稿編號全部整成一頁；接著就是一個分頁裡做一個查核點，把所有查到的資訊、說明、附註全部寫在同一頁，有哪些相關的紙本底稿和電子底稿編號也全部條列出來。
然後我會把全部的底稿建在同一個excel裡，把可以交叉索引的連結都帶好，這樣一份報告就是一個excel，然後所有的報告都參照相同的格式。
所以啦，我覺得先思考底稿這樣弄好不好，再去上相關的課程吸收知識，回來之後再是做一兩份報告試試看，然後允許自己每一次都再做修改，一版比一版更好，那麼你就等於建好了屬於你自己的底稿架構。
工作是死的，人是活的。
只要想做，一定可以做到的，大家放心！
那麼以上就是我對「內部稽核如何查出問題？底稿如何建置？」的說明，希望能幫助各位離開事務所進入業界當內部稽核時的銜接可以更加順利。
J
從這一篇開始，有番外就會從這一篇往下接續，內容主要是針對留言的問題提出完整的回覆說明，往後仍然定期(頻率約當是每兩週一篇)更新「心態」段的文章。
如果你有什麼想進一步了解的事務所相關內容，歡迎留言給我讓我知道，我會視情形排入我的寫作規劃中。
如果對事務所的工作或故事有興趣，歡迎到我的「部落格概述」裡頭尋找其他我已經寫過的文章哦！
那麼，我們下回見啦！
2019/5/25
月月
留言列表
