凡是过去，皆为序章。值此岁末年初，让我们回顾一下那些足以引起内部审计人员密切关注的热点新闻吧。与前些年一样，2018年也发生了许多与知名企业相关的重大丑闻。有些丑闻正在为下一波可能影响内部审计工作的监管规定埋下了种子。
1
风险管理在2018年遭遇了重大挑战
2018年，对过去丑闻的罚款和与监管层达成和解成为更多头条新闻，涉及Equifax、富国银行(Wells Fargo)和大众汽车(Volkswagen)。这些新闻也提供了有关风险管理的重要教训。
美国八个州对Equifax提起的集体诉讼达成和解，Equifax的和解协议，部分目的是为了解决内部审计、董事会和管理层监督方面的缺失。该和解协议源于2017年那次令人震惊的数据泄露事件，事件导致美国1.4亿多个人数据的泄漏。
同样，两家美国监管机构因富国银行(Wells Fargo)在汽车保险和住房贷款方面处理不当而对其处以10亿美元的巨额罚款，也促使该银行同意改变其风险和合规做法。其中包括为其董事会制定一项详细计划，以强化其合规和风险管理部门。
美联储的处罚更为严厉，要求富国银行(Wells Fargo)在采取措施解决风险管理缺陷之前，必须将资产负债表规模控制在2017年末的水平上。富国银行(Wells Fargo)估计，这一限制将使其年度利润缩减4亿美元。
至于大众汽车(Volkswagen)，在其排放丑闻首次爆发三年后，其影响仍在发酵。已经让这家汽车制造商付出了超过150亿美元的罚款的“柴油门”事件，正在演变成欧洲监管机构更严格的审查和质疑——不仅是针对大众，也包括戴姆勒-奔驰和宝马。
实际上，从大众汽车(Volkswagen)、到富国银行(Wells Fargo)，再到今天的Equifax，这些公司的丑闻极大地提高了人们的意识，即风险管理领域的所有参与者必须共同地、平等地工作，才能取得成功。否则，风险管理系统的关键组件一旦失效，灾难性的后果就不可避免。
2
Carillion的崩盘暴露了系统性风险管理问题
英国最大建筑巨头Carillion的惊人垮台，暴露出该公司在董事会监督、政府监督以及内部和外部审计监督方面的失败。
从审计角度来看，最糟糕的消息是，英国议会特别委员会(select committee)的两项调查暴露了独立保证程序的严重失调的事实。在委员会的一份报告中，为该公司提供审计或咨询服务的外部公司，被描述为“无法提为质疑供所需的独立性的舒适俱乐部”。
Carillion的影响在晚些时候达到顶峰，当时英国竞争及市场管理局印发了一个报告，呼吁毕马威(KPMG)、安永(EY)、德勤(Deloitte)和普华永道(PwC)这四大会计师事务所将审计与咨询服务分离。这包括审计业务和咨询业务之间的分割，并将这两类业务的管理和账目分开。
报告还建议为这些指定的审计机构设立额外的问责制，并制定“联合审计”制度，四大会计师事务所将不得不与较小的审计公司合作。
3
审计发现本可以阻止亚特兰大的勒索病毒软件攻击
并非2018年所有的头条新闻都是关于内部审计失败的。事实上，有报道表明，如果亚特兰大的城市领导人按照内部审计建议采取行动，解决严重的网络漏洞，亚特兰大的勒索病毒软件攻击本来是可以避免的。
该市审计人员列出了亚特兰大市IT部门的严重缺陷，并发出预警，目前基本上没有正式的计划来保护这座城市免受网络攻击。审计报告警示说，自满情绪和严重的资源短缺给这座城市造成了“相当程度的可防止的风险敞口”，并得出结论说，这座城市“没有管理风险的正式程序”。
4
日产汽车(Nissan Motors)丑闻暴露出治理薄弱
日产汽车(Nissan Motors)董事长卡洛斯•戈恩(Carlos Ghosn)被控向日本政府严重低估了薪酬，他的被捕引发了人们对该公司治理和保证程序的重大质疑。
事实上，据彭博社(Bloomberg)报道，日产汽车(Nissan)首席执行官西川博人(Hiroto Saikawa)描述了将太多公司权力集中于一人手中的“阴暗面”，并声称公司内部的治理结构“脆弱”。
隐藏在诸多问题背后的问题是，为什么公认的“脆弱”治理结构会在财富100强企业存在着?更根本的问题是，又由谁负责确保日产的良好治理?
5
PCAOB的内部信息泄露给了毕马威的员工
上市公司会计监督委员会(PCAOB)和毕马威(KPMG)的前雇员，被指控泄露PCAOB信息，帮助四大会计师事务所改进其审计结果。毕马威的一项内部调查和相关的联邦调查揭露了这一不当行为，这一事件导致毕马威一名前高管在10月份认罪。
值得赞扬的是，毕马威在获悉该计划后迅速采取行动，并与联邦调查人员充分合作。该公司还解雇了三名涉案高管。组织必须制定道德标准，清晰而反复地传达这些标准，为违规行为确定适当的惩罚措施，并在惩戒违反道德的行为时始终如一地采取行动，无论这些行为是谁犯下的。
从业人员可以吸取的教训是，要意识到职业道德影响了个人的生死存亡。换句话说，每个人的道德罗盘最终是由个人来操纵的。高级管理层必须了解这一现实，并在雇员因个人弱点而将组织置于危险时作出果断和合乎道德的反应。
6
Facebook丑闻提高了对数据隐私的要求
今年3月，在泄密者的推动下，Facebook -剑桥分析公司丑闻的细节加大了人们对数据隐私的关注。就在两个月后，欧盟(EU)的新数据隐私规定开始生效。
许多人指责Facebook对其隐私协议的疏漏，以及令人困惑的隐私设置。这些设置使得将近9000万人的个人信息置于危险境地，并进一步暴露了社交媒体在政治上可能受到的利用。
Facebook事件的曝光促使美国国会议员就涉及数据隐私的政策进行了大量讨论，并制订了法令。加州消费者隐私法案(California Consumer Privacy Act)于今年6月签署成为法律，并于2020年1月生效。
事情不会就此打住。事实上，白宫在7月份表示，它将与国会议员合作，以保护消费者的隐私。苹果和谷歌在9月发表了意见，敦促国会制定新的联邦隐私法案。
7
MeToo运动继续推翻强大的企业高管
#MeToo运动让很多组织重新正视了性骚扰和职场不平等所带来的风险。尽管这两个领域在运动之前就已是众所周知的风险领域，但针对娱乐业和其它行业高管的不当行为指控的激增，却大大增加了这些风险。这场运动还显示了社交媒体的力量，以及非典型风险对组织的影响速度之快。
#MeToo运动的影响体现在美国中期选举的投票率和创纪录的女性当选国会议员人数上。这种新的动态可能影响明年和未来的立法和规章。
8
IIA拟更新三道防线模型
去年12月，IIA宣布了一项为期一年的项目，以审查和更新最著名的风险管理模型之一的三道防线模型。该项目由一个由治理专家组成的核心工作组领导，该工作组利用了一个30人咨询小组的丰富经验。该项目包括对来自世界各地的治理方法的全面审查，并将通过正式的公开过程征求并采信公众意见。
IIA的最初目标，就是探索如何最好地更新三道防线模型，以反映现代风险管理和治理的变化，同时保持其直接和清晰的方法。按照最初的意图，这次更新将关注角色，而不是组织结构。为了满足需求，我们的目标是使模型更加灵活，适用于所有部门，并对风险所带来的挑战和机遇作出反应。