內部稽核品質評核因應新版IPPF之實務做法

• 準則8.4 外部品質評估：在選擇獨立評估員或團隊時，內部稽核主管必須確保至少一位持有有效的國際內部稽核師證照。

新版《準則》中明確的要求獨立評估團隊必須至少有一位成員持有有效的國際內部稽核師證照，而此評估者的證照也將被視為符合此準則之佐證文件。

• 準則9.3 方法論：內部稽核主管必須評估方法論的效果，並在必要時更新，以提升內部稽核職能，並回應影響職能的重大變動。內部稽核主管必須為內部稽核人員提供方法論的教育訓練。

新版《準則》強調了內部稽核主管應在品質評核時評估內部稽核方法論的有效性、並且舉辦教育訓練提供更新之方法論。包含方法論有效性的品質評核、方法論的教育訓練及稽核人員出席紀錄、方法論更新的紀錄均為符合此準則之佐證文件。

• 準則10.1 財務資源管理：內部稽核主管必須制定預算，以成功實行內部稽核策略並完成計畫。預算涵蓋該職能運作所需的資源，包含教育訓練和取得科技與工具。
• 準則10.2 人力資源管理：內部稽核主管必須建立一套方式，來招募、培養和留住可成功實行內部稽核策略、並完成內部稽核計畫的合格內部稽核人員。內部稽核主管必須與內部稽核人員合作，透過教育訓練、主管回饋和導師制來幫助他們發展個人能力。
• 準則10.3 科技資源：內部稽核主管必須與組織的資訊科技和資訊安全功能部門合作，以正確導入科技資源。

新版《準則》明確要求預算的制定應包含教育訓練和科技工具，預算與實際支出的差異分析、內部稽核主管與董事會討論預算的會議紀錄、董事會核准預算的會議紀錄均為佐證文件；對於人力資源管理，強調要有一套招募、培育及留才的方式，內部稽核主管可考量導入適當的薪酬、升遷、教育訓練、績效考核機制並建立道德及專業的環境，教育訓練計畫及執行情形、稽核部門及人員的績效評估為符合此準則之佐證文件；此外新增了準則10.3以強調內部稽核單位與資訊及資安單位合作的重要性，資訊及資安單位參與科技資源的導入成為此符合準則之佐證文件。

• 準則11.1 與利害關係人建立關係和溝通：內部稽核主管必須為內部稽核職能制定一套方式，以與主要利害關係人建立關係和信任，包含董事會、高階管理層、營運管理階層、主管機關、以及內外部服務提供者在內。

新版《準則》要求內部稽核主管要制定一套有效的溝通模式，包含參與各項會議（如董事會、功能性委員會）、單獨與高階管理層或董事會成員見面，溝通可採討論、訪談、調查或小組研討會方式進行。管理利害關係人關係的計畫、各項會議議程或紀錄、問卷調查、訪談和小組研討會的紀錄、網頁、電子報、簡報等均可做為符合此準則之佐證文件。

• 準則12.2 績效衡量：內部稽核主管必須制定目標，以評估內部稽核職能的績效表現。在制定這些績效目標時，內部稽核主管必須考量董事會和高階管理層的意見和期望。內部稽核主管必須制定績效衡量方式，以評估職能目標的進展，並推動內部稽核職能的持續改進。在評估內部稽核職能的績效表現時，內部稽核主管必須適度徵求董事會和高階管理層的回饋意見。

新版《準則》中將績效目標的概念拓展到考量重要利害關係人的期待，以及要求目標能推動內部稽核職能的持續改進。績效目標、衡量指標，以及所擬定的行動方案均可做為符合此準則之佐證文件。

• 準則14.2 分析和潛在專案發現：內部稽核人員必須分析資訊，以確認評估標準與受評估業務的現有狀態（稱為「實際狀況」）是否存在差異。評估標準與實際狀況之間的差異，代表必須留意並進一步評估的潛在專案發現。
• 準則14.3 專案發現評估：內部稽核人員必須評估每個潛在的專案發現，以確認其重要性。

新版《準則》要求對於潛在專案發現之資訊蒐集及分析。記錄所執行分析的工作底稿，包含所使用的資料分析程式或軟體、測試母體、抽樣流程和抽樣方法為符合此準則之佐證文件。

對於專案發現應評估重大性，以及衡量最終剩餘風險的曝險。列出評估標準、實際狀況、根本原因（若可能）、衝擊（風險或潛在曝險）以及每項發現的優先順序之工作底稿，解釋發現分析過程中，所依據的重大性、風險容忍度和任何成本效益分析要素之工作底稿或其他文件，相關內部稽核方法論、範本和指引均可做為符合此準則之佐證文件。

• 準則15.1 專案結案報告：結案報告必須明確指出負責解決發現的人員，以及預計完成行動方案的日期。當內部稽核人員在結案報告前得知管理階層已啟動或完成了可解決發現的行動方案，這些行動方案必須在報告中被正式提及。

新版《準則》對於改善方案加入了新的要求，包含識別負責人員、預計改善完成日期，如結案前已開始或完成改善者亦應於報告中揭露。包含負責人員、預計改善完成日期、結案報告出具前的任何改善行動的結案溝通文件均可做為符合此準則之佐證文件。