風險是經濟發展過程中不確定性的重要表現，內部審計則是組織風險防范常態化的一種治理機制。圍繞風險、風險管理等主題的研究極為豐富。2024年初，世界經濟論壇發布《2024年全球風險報告》，全球性商業咨詢機構甫瀚咨詢（Protiviti）和美國北卡羅來納州立大學企業風險管理研究機構發布《企業高管之2024和2034年首要風險觀》。為了了解各行業對風險的預期與評價，對內部審計職業有所借鑒，本文將對兩份報告進行詳細介紹。

一、世界經濟論壇

《2024全球風險報告》概覽

2024年1月10日，世界經濟論壇發布了《2024年全球風險報告》，這是該論壇發布的第19個全球風險報告。這一報告探討了在技術快速變革、人口變化、地球變暖以及地緣戰略轉移等四種結構性力量的背景下，未來十年全球可能面臨的一些最嚴重的風險。未來，全球合作壓力將增加，極小的沖擊就可能使經濟社會面臨動蕩。

（一）基本情況

“全球風險”定義為某一事件或狀況發生的可能性，而該事件或狀況一旦發生，將對全球經濟產生不利影響。全球風險認知調查（Global Risks Perception Survey,GRPS）是全球風險報告的基礎，也是世界經濟論壇全球風險原始數據的主要來源。2024年報告內容有關的GRPS（2023—2024）匯集了來自學術界、商界、政府、國際社會和民間社會的1490名專家對不斷變化的全球風險格局的領先見解。數據收集階段為2023年9月4日至10月9日。GRPS（2023—2024）包括以下部分。

1. 風險格局。答復者（調查對象）評估全球風險在一年、兩年和十年內可能產生的影響（嚴重程度），以說明隨時間推移個別全球風險的潛在發展，并確定關鍵關切領域。

2. 后果。答復者（調查對象）考慮風險產生的潛在影響范圍，以突出全球風險與潛在的復合危機之間的關系。

3. 風險治理。答復者（調查對象）思考哪些方法最有可能推動全球風險減少和防范行動。

4. 展望。受訪者（訪談對象）預測支撐全球風險格局的關鍵方面的演變。

世界經濟論壇也通過訪談、專題研討等方式了解了200多位全球風險報告咨詢委員會、首席風險官社區成員等風險專家的相關見解，探討了未來幾年可能面臨的重大風險。

（二）主要發現

2024年，全球十大風險排序為極端天氣、AI帶來的錯誤信息和虛假信息、社會和/或政治的兩極分化、生活成本危機、網絡攻擊、經濟衰退、關鍵商品和資源的供應鏈中斷、國際武裝沖突升級或爆發、對關鍵基礎設施的攻擊，以及食品供應鏈中斷。對比2023年的調查結果可見，生活成本危機和網絡攻擊仍然是對整體經濟前景造成影響的主要因素，其中，生活成本危機在年齡較小的人群中排名較高。食品供應鏈中斷和能源供應鏈中斷的風險排序則呈下降態勢，與金融、科技和房地產行業相關的風險也排在較后的位置。

總的來說，環境與技術方面的風險引起更大關注。根據調查結果，2024年重大風險中，極端天氣（66%）、人工智能產生的錯誤信息和虛假信息（53%）以及社會和/或政治兩極分化（46%）位居前三，與金融、科技和房地產行業相關的風險則排在最后。而在十年后的2034年，極端天氣事件風險預計將變得更加嚴重，排在首位。地球環境發生重大變化、生物多樣性喪失、生態系統崩潰、自然資源短缺及錯誤和虛假信息預計將位于前五。其中，短期內最突出的是技術風險，即錯誤和虛假信息以及網絡安全，從長期來看，二者排名雖然可能會下降，但預測仍將保持在前10位，為第5和第8位。最有可能在全球范圍內引發重大危機的5種風險如表1所示。

（三）全球風險報告中關于應對風險的主要建議

1. 培養公眾的人工智能素養。提升公眾的人工智能素養不僅是應對風險和減少風險的最有效機制之一，對于構建和提升治理能力和社會復原力也很關鍵。

2. 完善相關領域的法律法規與標準。圍繞知識產權、就業、競爭政策、數據保護、隱私等的法律法規需要不斷完善，以應對生成式人工智能帶來的新挑戰。雖然國家層面的努力不一定能阻止人工智能和相關風險在全球范圍內迅速擴散，但強有力而靈活的標準有助于確保技術的開發和部署與社會需求保持一致。

3. 增強合作基礎上的積極應對。全球經濟論壇的報告指出，全球范圍內，世界各國所采取的風險降低措施可以視同為公共產品，有著非排他性和非競爭性。降低風險的努力也會受到“搭便車”問題（即集體的所有成員都能從中受益，包括那些沒有分擔集體行動成本的成員）的影響。因此，該報告提出4類方法，即本地化戰略、突破性的努力、集體行動，以及跨境協調，以促進世界各國共同努力降低風險。

二、甫瀚《企業高管之2024和2034年首要風險觀》報告概覽

2024年初，甫瀚和北卡羅來納州立大學學者團隊合作發布了第12份全球性風險調查報告。該報告反映了調查對象對2024年和十年后（2034年）各種風險可能帶給其何種影響及影響程度的看法。

（一）基本情況

來自全球各個行業的1143名受訪者（企業高管和董事）積極參與了調查，其中43%來自北美公司，16%來自歐洲，11%來自亞洲，9%來自拉丁美洲，8%來自澳大利亞或新西蘭，其余13%來自印度、非洲和中東。每位受訪者被要求在3個維度上對36個單獨的風險問題進行評分，以此來收集高管們對2024年和十年后（2034年）風險的看法。3個維度分別為：可能影響組織成長機會的宏觀經濟風險，可能影響組織戰略有效性制定的戰略風險，以及可能影響組織在戰略執行過程中的關鍵業務的運營風險。受訪者采用10分制對36項風險進行評價，其中1分代表該風險對組織“完全沒有影響”，10分代表在未來一年（十年）將“廣泛影響”。根據平均得分，調查團隊將風險從最高影響到最低影響進行排序。其中平均得分大于等于6.0的風險被歸類為在未來一年（2024年）/未來十年（2034年）具有“重大影響”；平均得分為4.50至5.99的風險被歸類為在未來一年（2024年）/未來十年（2034年）具有“潛在影響”；平均得分小于等于4.49的風險被歸類為在未來一年（2024年）/未來十年（2034年）具有“較低影響”。

（二）主要發現

1. 短期內，持續的經濟不確定性使高管們更加關注外部風險（通貨膨脹、網絡威脅、利率、第三方風險等）和提高組織彈性。長期來看，高管們對未來仍保持警惕（見表2）。

2. 有些風險在短期和長期均受到持續關注。如與人才有關的風險、網絡安全。其中，與網絡威脅相關的挑戰越來越受到全球高管的關注，該風險從2023年調查的第15位風險上升到2024年的第3位風險和2034年的第一大風險。受訪者們擔憂，為推動創新和效率而越來越多地使用技術，以及對第三方依賴的增加，使組織面臨更大的網絡漏洞暴露風險。

3. 與技術相關的挑戰包括不斷升級的網絡安全風險，與第三方依賴增加相關的持續數據隱私問題，為充分實現新興技術的價值主張對員工技能提升的需要，以及傳統基礎設施的局限性。這些與技術相關的風險相互關聯，風險事件又具有傳導性，因此，董事會和高管需要將這些風險綜合考慮并積極應對。

4. 不同規模、行業等對風險的認識與評價存在差異。如對于大型企業來說，監管變化是其在2024年和展望2034年所面臨的最大風險。金融服務和醫療保健則是最擔心監管審查加強的兩個行業。對于規模較小的組織（收入低于10億美元）來說，新興創新人才儲備是更大的挑戰。金融服務，傳媒和醫療保健等3個行業將網絡威脅評為“重大影響”級別。

（三）甫瀚《企業高管之2024和2034年首要風險觀》報告小結

1. 應從總體角度重視風險的多樣性與關聯。根據調查，受訪者都認為全球風險的范圍變得更加多樣化，被列為首要關注的風險在性質和類型上在增加。近期風險和十年后十大風險相互關聯性突出了從投資組合和企業范圍的角度管理風險的重要性。單獨評估風險會忽略一個事實，即單個風險事件可能來自多個風險關注點。

2. 政府數字化轉型與發展帶來更大的網絡安全挑戰。隨著政府服務數字化轉型的進展（包括向在線服務的廣泛轉變）以及物聯網連接網絡和應用的日益普及，網絡攻擊的威脅面及影響正在擴大。特別是較小規模的政府組織更容易受到網絡威脅，因為這些機構和部門通常擁有有限的網絡安全預算，培養并持續提升網絡安全能力，以及應對新型威脅和攻擊模式所需的知識和技能的基礎薄弱。與此同時，由于這些組織被認為是更容易被攻破的目標，因此，破壞者會越來越多地以這類組織為目標，通過網絡釣魚、拒絕服務和勒索軟件攻擊等方式來破壞和干擾組織運營。

3. 傳統信息技術基礎設施更新迭代的緊迫性更強。根據調查，過時的系統可能會限制組織彈性和敏捷性。各類組織特別是政府部門，在更新傳統信息技術基礎設施時，面臨著規模、時間、資金和資源方面的挑戰。許多20世紀70、80年代使用的IT基礎設施被已經退休或即將退休的系統管理員用臨時的、特別的解決方案維系在一起，并且結合具體業務進行了一定的定制化設計，給這樣的系統升級幾乎是不可能的，因此，雖然耗時且昂貴，但全面更新原有系統至關重要。還有一種現實情況是，新的有能力的技術專業人員寧愿使用先進的工具和技術，也不愿對過時的系統進行故障排除和維護。此外，越來越多的大型ERP供應商正在制定明確的時間表，將客戶從內部部署解決方案轉移到云環境，因此，更新傳統系統的緊迫性不斷加強。

三、對內部審計的啟示

（一）內部審計面臨對信息真實性識別與判斷能力的挑戰

人工智能（AI）模型易于使用的界面，使偽造信息和“合成”內容激增，人們面對復雜的語音克隆、假冒網站等信息難以辨別。根據前述全球風險報告，錯誤信息和虛假信息是2024年新進入前十的風險。各國政府也開始重視這一問題，針對在線虛假信息和非法內容出臺了一些法律法規，并對生成式人工智能加強監管。即使合成內容被貼上標簽或有相關提示警告，這些信息在情感上被利用的可能性仍然很大，并可能更進一步模糊惡意使用和善意使用之間的界限。由于監管的速度和有效性往往滯后于技術發展。技術在迭代更新的同時擴大了偽造信息的數量、范圍和效力，使信息流更難跟蹤、歸因和控制。虛假信息也將越來越多地針對其接收者進行個性化設置，并錨定特定群體，通過更不透明的消息傳遞平臺進行傳播。此外，人工智能生成信息的檢測技術等相關研究與開發投入也嚴重不足，這些都造成人們對錯誤信息或虛假信息識別能力不足。在數字化轉型過程中，內部審計在技術能力不斷提升的同時，也要更加重視信息或數據的真實性，特別是加強行為科學領域的知識，以個體行為動機分析等方法來幫助識別隱藏于海量數據中“以假亂真”的信息。

（二）內部審計應注重系統思維、結構化思維、邏輯思維和批判性思維

系統思維通過整體來看待問題，其主要的特征有：從整體和局部的關系看問題；觀察各部分相互影響及作用模式；整個系統是動態的。結構化思維主要特征有：將復雜問題分解成更小、更易處理的部分；通過思維導圖等結構方式來組織信息；按照一定的順序逐步解決問題。邏輯思維主要是根據數據或信息及其邏輯關系進行推導，主要特征包括：基于一定的事實和證據來進行推理；需要遵守一定的前提進行推導；有明確的邏輯原則，如因果關系、并列關系、遞進關系、包含關系等。批判性思維有助于區分哪些是事實，哪些是觀點，哪些結論代表當前的科學理解，哪些說法根本不值得討論。內部審計人員對虛假信息的識別，往往也有賴于運用批判性思維和邏輯思維提出合理懷疑，通過結構化思維和系統思維有力取證，從而保障審計結果的可靠性，有效利用數據技術和人工智能技術的優勢提升審計效率效果。

（三）內部審計對風險的關注應定位于提供戰略價值

現有的經濟形勢與環境帶來許多以前無法想象的新風險，并且風險類型、風險的總體規模和嚴重程度均在不斷變化，已有的風險管理方式可能不能滿足應對需求，特別是無法應對即將出現的新風險。在數字經濟持續發展、改變規則的突破式創新（如生成式人工智能）以及不斷變化的地緣政治導致業務轉型等環境下，風險狀況已經不同于以前，在這種背景下的風險管理重點不僅在于預防和發現，還更應當加強靈活性和彈性。內部審計對風險的關注重點應包括：與組織未來相關的預測、不同風險的重疊根源，以及組織對管理多種風險的單一應對措施的依賴程度等方面，從而為組織決策提供信息，并使組織能夠更有預見性和準備，最終對組織的戰略成功和長期生存能力帶來正向影響。

（四）培養內部審計的AI領導力

AI模型使機器學習、自然語言處理等技術更易于使用，因而受到越來越廣泛的關注。在審計領域，AI技術帶來的效率和準確性的優勢可以降低審計風險。人工智能技術（如機器學習算法）有助于應對復雜的監管與法規環境。通過數據分析，內部審計能夠更高效地提供審計判斷和決策支持。因此，引導AI技術提供審計判斷與決策支持的能力就成為關鍵。培養內部審計人員的AI領導力，即將內部審計人員的洞察力、判斷力和經驗建立在人工智能的強大輸出能力之上，內部審計人員應能夠清晰地謀劃在審計的什么節點利用什么工具，為AI制定戰略目標，安排工作步驟，設置檢驗手段，從而使AI發揮更大價值，準確表達審計目的和需求，還可以給出具體情景，適時幫助AI“思考”，從而有效實現內部審計人員與AI審計工具的優勢互補。

文章摘自《中國內部審計》雜志2024年第12期

作者：劇杰

單位：南京審計大學內部審計學院

編輯：孫哲

目前180000+人已關注我們，您還等什么？