2026年企业合规风控内审完整试题及答案

2026年企业合规风控内审完整试题及答案一、单项选择题（本大题共30小题，每小题1.5分，共45分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在括号内。错选、多选或未选均无分。）1.依据COSO整合框架（2017版），风险与战略及绩效的关系是（）。A.风险仅影响战略制定B.风险仅影响绩效实现C.风险影响战略制定、业务执行和绩效实现D.风险与战略无关，仅影响日常运营2.在企业合规管理体系中，合规管理的首要原则是（）。A.独立性原则B.客观性原则C.全面性原则D.实质重于形式原则3.内部审计师在开展鉴证业务时，如果缺乏必要的专业知识，应当（）。A.依赖被审计单位的陈述B.利用外部专家的工作，并对其胜任能力加以评价C.放弃该审计项目D.凭借经验进行主观判断4.下列关于“三道防线”模型的描述中，不属于第一道防线职责的是（）。A.制定业务流程B.实施内部控制C.识别和评估业务风险D.独立评估内部控制设计的有效性5.根据我国《数据安全法》，核心数据的重要程度等级为（）。A.第一级B.第二级C.第三级D.第四级及以上（通常为最高级）6.在舞弊风险评估中，下列哪项通常不属于“舞弊三角理论”的要素？（）A.压力/动机B.机会C.自我合理化D.能力7.内部审计机构在报告审计结果时，应当遵循“客观性”原则。这意味着审计报告必须（）。A.仅包含事实，不包含任何建议B.如实反映事实，避免偏见，结论有充分证据支持C.重点揭露问题，忽略成绩D.完全采纳管理层的意见8.某企业计划投资一项高风险的新技术项目，董事会批准了该项目，但要求设置严格的止损点。这体现了风险应对中的（）。A.风险规避B.风险降低C.风险分担D.风险承受9.关于合规举报机制的建立，下列说法错误的是（）。A.应建立畅通、保密的举报渠道B.应对举报人的信息严格保密，防止打击报复C.仅受理实名举报，匿名举报一律不予处理D.应建立举报调查处理程序和反馈机制10.在信息系统一般控制（ITGC）审计中，审计人员最关注的是（）。A.特定业务数据的准确性B.数据中心的物理安全及操作系统访问控制C.财务报表的勾稽关系D.存货的盘点记录11.根据国际内部审计师协会（IIA）的《职业道德规范》，内部审计师在行为上必须做到（）。A.诚实B.客观C.谨慎D.以上所有12.某上市公司设立了审计委员会，下列关于该委员会成员资格的描述，符合最佳实践的是（）。A.全部由管理层组成B.至少有三名成员，其中独立董事占过半数，且召集人为会计专业人士C.必须全部由独立董事组成D.必须包含一名外部审计师13.在进行穿行测试时，审计师的主要目的是（）。A.确认控制是否按设计运行B.确认控制能防止多少金额的错报C.计算控制运行的效率D.发现所有的舞弊行为14.企业在开展出口管制合规工作时，应当首先进行的工作是（）。A.签订合规承诺书B.开展物项筛查C.进行出口管制风险扫描与尽职调查D.申请出口许可证15.审计证据的充分性是指（）。A.证据数量越多越好B.证据足以支持审计结论，形成合理保证C.证据必须由第三方提供D.证据必须包含书面材料16.下列关于“固有风险”的描述，正确的是（）。A.假定不进行内部控制，某账户或交易产生重大错报的可能性B.实施内部控制后，仍存在的风险C.注册会计师通过审计程序未能发现的风险D.企业因外部环境变化导致的经营失败风险17.在反垄断合规中，下列哪种行为属于纵向垄断协议？（）A.竞争对手之间达成固定价格的协议B.竞争对手之间分割销售市场C.生产商限定转售商品的最低价格D.具有市场支配地位的企业没有正当理由拒绝交易18.内部审计质量控制包括外部评估和内部评估。外部评估通常至少每（）年进行一次。A.3B.5C.7D.1019.下列关于风险热力图的说法，错误的是（）。A.横轴通常表示影响程度B.纵轴通常表示发生概率C.颜色越深代表风险越高D.只能用于定性分析，不能用于定量分析20.在采购业务循环的内部控制中，不相容职务分离的关键是（）。A.采购审批与付款审批由同一人负责B.询价与确定供应商由不同部门或人员负责C.采购合同起草与合同审核由同一人负责D.验收与记账由同一人负责21.根据ISO37301标准，合规管理体系（CMS）的改进阶段不包括（）。A.监视和测量B.内部审核C.管理评审D.风险规避22.内部审计师发现某部门经理存在重大违规行为，但该经理是公司副总的亲属。审计师首先应当（）。A.考虑到人情关系，不向上报告B.直接向董事会报告C.按照审计章程规定的汇报路径报告，并如实记录D.私下找该经理谈话，要求其整改23.下列哪项属于“控制环境”要素的内容？（）A.风险评估识别B.诚信与道德价值观C.控制活动D.信息与沟通24.在计算审计风险模型时，公式表示为（）。A.审计风险=固有风险×控制风险×检查风险B.审计风险=重大错报风险×检查风险C.审计风险=经营风险×财务风险D.审计风险=内部控制风险×抽样风险25.企业在进行合同合规审查时，对于适用法律条款的选择，应遵循（）。A.适用卖方所在地法律B.适用买方所在地法律C.最密切联系原则或国际条约优先D.一律适用中国法律26.关于持续审计，下列描述最准确的是（）。A.仅在年底进行的一次性审计B.利用自动化工具对数据进行实时或近实时的监控C.审计师在现场连续工作一个月D.每季度进行一次的例行审计27.在环境、社会及治理（ESG）审计中，“S”主要关注的是（）。A.碳排放与污染物处理B.员工权益、社区关系与产品安全C.董事会结构与薪酬机制D.财务绩效与利润增长28.当审计师认为审计范围受到严重限制，无法获取充分、适当的审计证据时，应当出具的审计意见类型是（）。A.无保留意见B.保留意见C.否定意见D.无法表示意见（或拒绝表示意见）29.某跨国企业在中国设立子公司，依据《网络安全法》，关键信息基础设施的运营者在采购网络产品和服务时，应当按照规定进行（）。A.反垄断审查B.网络安全审查C.反洗钱审查D.税务合规审查30.下列关于“重要性水平”的表述，正确的是（）。A.重要性水平是固定的，一经确定不得修改B.重要性水平越高，所需收集的审计证据越多C.重要性水平通常是指错报金额的大小，性质上不考虑D.重要性水平取决于注册会计师的职业判断，通常与财务报表使用者密切相关二、多项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在括号内。错选、多选、少选或未选均无分。）31.有效的企业合规管理体系应包含的关键要素包括（）。A.合规方针与组织架构B.风险识别、评估与应对机制C.合规培训与文化建设D.合规审查与举报机制E.合规考核与持续改进32.内部审计与外部审计在（）方面存在差异。A.审计目标B.审计独立性C.审计标准D.审计时间E.审计责任承担33.根据COSO内部控制整合框架，控制活动通常包括（）。A.职责分离B.授权审批C.业绩评价D.信息处理E.实物控制34.在舞弊调查中，内部审计师应注意收集的证据类型包括（）。A.书面证据（如合同、邮件）B.电子证据（如日志、数据库记录）C.证人证言D.被调查人的陈述E.实物证据（如假样品）35.企业在建立反舞弊机制时，应重点关注的高风险领域包括（）。A.虞增收入、虚减利润B.资产侵占（如贪污、挪用）C.虚假财务报告D.不当关联方交易E.索取和收受商业贿赂36.下列关于《个人信息保护法》（PIPL）对企业要求的说法，正确的有（）。A.处理个人信息应当遵循合法、正当、必要和诚信原则B.处理敏感个人信息应当取得个人的单独同意C.必须设立个人信息保护负责人D.向境外提供个人信息需通过国家网信部门的安全评估或认证E.企业拥有个人信息的绝对所有权，可随意转让37.风险评估的一般步骤包括（）。A.目标设定B.风险识别C.风险分析（发生概率和影响程度）D.风险评价E.风险应对38.内部审计报告的使用者通常包括（）。A.董事会及审计委员会B.高级管理层C.被审计单位D.外部审计师E.监管机构39.在供应链合规管理中，企业对供应商的尽职调查内容应涵盖（）。A.供应商的资质与经营许可B.劳工权益保护（如禁止童工、强迫劳动）C.环境保护表现D.反商业贿赂政策E.知识产权保护40.下列情况中，通常认为内部控制存在缺陷的有（）。A.控制设计不合理，无法防止错报B.控制未按设计执行C.执行控制的人员缺乏必要的胜任能力D.控制成本过高，超过其带来的收益E.管理层逾越控制41.2026年企业数字化转型的风控重点将集中在（）。A.人工智能（AI）算法的伦理与偏见风险B.云计算数据主权与跨境传输合规C.网络攻击与勒索软件防护D.物联网设备的安全漏洞E.传统纸质档案的数字化丢失42.内部审计师在进行质量控制自我评估时，应关注的维度包括（）。A.遵守《内部审计实务标准》的情况B.审计资源的利用效率C.审计计划的完成率D.审计建议的落实情况E.审计人员的后续教育情况43.关于敏感个人信息，下列属于敏感个人信息的有（）。A.生物识别信息B.宗教信仰C.特定身份D.医疗健康E.行踪轨迹44.企业在境外经营面临的法律合规风险主要包括（）。A.出口管制与经济制裁B.反海外腐败法（如FCPA、UKBriberyAct）C.东道国劳动法与税法D.数据跨境流动限制E.知识产权侵权45.后续审计的目的是为了（）。A.验证被审计单位是否采取了纠正措施B.确认纠正措施是否达到了预期效果C.评估管理层是否已接受剩余风险D.追究相关人员的责任E.更新审计风险库三、判断题（本大题共15小题，每小题1分，共15分。请判断正确或错误，正确的打“√”，错误的打“×”。）46.内部审计部门虽然向董事会报告，但在行政上应当接受总经理的领导，以保证审计工作的效率。（）47.合规管理仅仅是法律部门的职责，与其他业务部门无关。（）48.风险承受是指企业不采取任何措施改变风险发生概率或影响程度，直接接受风险。（）49.审计工作底稿是审计证据的载体，审计师可以在审计工作完成后，随意删除或修改不满意的底稿。（）50.企业在进行利益冲突审查时，只需关注高管人员的利益冲突，普通员工无需审查。（）51.根据《中央企业合规管理办法》，中央企业应当设立合规委员会，与企业法治建设领导机构职责重叠。（）52.实质性程序是审计师在控制测试认为内部控制有效后，可以完全省略的程序。（）53.关联方交易的披露属于财务报表审计的特有风险，在合规审计中无需关注。（）54.“实质重于形式”原则要求审计师在审计时应关注交易或事项的经济实质，而不仅仅是其法律形式。（）55.企业的风险偏好是固定的，一旦设定就永远不能改变。（）56.举报人保护机制是反舞弊和合规体系有效运行的关键保障。（）57.在抽样审计中，样本量越小，抽样风险越高。（）58.管理层声明书虽然提供了证据，但不能替代审计师应当实施的其他审计程序。（）59.企业的合规文化是合规管理体系中最基础、最核心的要素。（）60.ESG评级越高，意味着企业在环境、社会和治理方面的风险越低。（）四、填空题（本大题共10小题，每小题1.5分，共15分。请在每小题的空格内填入正确答案。）61.审计风险模型中，检查风险与重大错报风险成______关系。62.COSOERM框架中，战略制定、业务执行和______是风险管理的三大核心事项。63.我国的内部审计准则由中国内部审计协会制定，其英文缩写为______。64.在合规管理中，对于高风险业务，应建立______审查机制。65.内部审计师保持客观性，不应参与______的制定或决策。66.2024年正式施行的《公司法》修订案，强调了董事、监事、高管的______责任。67.风险热力图中，横轴通常表示______，纵轴表示可能性。68.穿行测试通常是在审计的______阶段进行的。69.企业反洗钱（AML）合规的核心是客户身份识别（KYC）和______。70.信息系统审计中，用于验证输入数据有效性的控制称为______控制。五、简答题（本大题共5小题，每小题5分，共25分。）71.简述企业合规管理体系建设的基本步骤。72.简述内部审计师在评估企业“控制环境”时，应重点关注哪些方面？73.简述“固有风险”、“控制风险”和“检查风险”的含义及其关系。74.简述在采购业务中，防止商业贿赂的关键内部控制措施有哪些？75.简述大数据和人工智能技术对企业内部审计工作带来的主要影响。六、综合案例分析题（本大题共3小题，共70分。请根据给定背景材料回答问题。）76.（本题25分）A公司为一家大型跨国制造企业，2026年初，内部审计部门对公司的供应链采购环节进行了专项审计。审计发现：(1)公司主要原材料供应商集中在3家公司，且这三家公司与采购部经理李某存在未披露的股权关联关系。(2)2025年全年，这三家供应商的采购价格比市场平均价格高出约15%，但合同审批流程均完整，且有市场部关于“质量优异”的背书说明。(3)审计人员在抽查合同时，发现部分合同条款模糊，且存在大额的“技术咨询费”支付给上述供应商控制的空壳公司。(4)采购系统未设置供应商关联关系自动预警模块，完全依赖人工录入和审核。问题：(1)请根据上述情况，识别A公司采购环节存在的具体风险点（至少列出4点）。（5分）(2)针对审计发现，指出A公司内部控制存在的重大缺陷，并说明理由。（10分）(3)作为内部审计师，请提出针对性的改进建议。（10分）77.（本题25分）B科技集团是一家快速发展的互联网公司，业务覆盖全球，拥有海量用户数据。2026年，公司计划在欧洲推出一款基于生成式AI的健康咨询App。合规与风控部门对该项目进行了风险评估。背景信息：(1)该App将收集用户的健康数据（属于特殊类别数据）、地理位置和语音信息。(2)算法模型使用了开源数据和部分购买的医疗数据集进行训练。(3)欧盟《人工智能法案》（AIAct）即将全面实施，对高风险AI系统有严格监管要求。(4)公司内部尚未建立专门的数据伦理委员会。问题：(1)请结合GDPR（通用数据保护条例）和PIPL（个人信息保护法），分析该项目在数据合规方面面临的主要挑战。（10分）(2)根据欧盟《人工智能法案》的框架，该健康咨询App可能被归类为哪类风险等级？此类AI系统的合规义务有哪些？（8分）(3)B集团应如何构建有效的AI治理框架以应对上述风险？（7分）78.（本题20分）C银行是一家城市商业银行，近年来致力于推进数字化转型。内部审计部门受董事会审计委员会委托，对全行的信息科技风险（ITRisk）管理情况进行审计。审计发现：(1)核心业务系统连续运行时间要求达到99.99%，但去年的实际运行记录显示，曾发生过两次非计划性停机，单次最长耗时4小时，主要原因是数据库补丁测试不充分。(2)网络安全方面，虽然有防火墙，但未针对勒索病毒建立专项应急预案，且备份数据未进行定期隔离恢复测试。(3)开发测试环境与生产环境使用了相同的数据库访问权限，部分开发人员拥有生产环境的查询权限。(4)外包科技公司负责核心系统的运维，但银行未对其操作进行详细的日志审计和留痕。问题：(1)请依据COBIT框架或一般IT审计标准，指出C银行在信息系统安全性、可用性和完整性方面存在的隐患。（10分）(2)计算C银行核心业务系统去年的实际可用性（按365天计算），并判断是否达标。若不达标，差距是多少？（列出计算公式）。（5分）(3)针对外包运维风险，提出具体的审计建议。（5分）参考答案及解析一、单项选择题1.【答案】C【解析】COSOERM2017明确指出，风险与战略制定、业务执行以及绩效实现密切相关，贯穿于企业管理的全过程。2.【答案】A【解析】虽然全面性很重要，但合规管理的独立性是保证其有效履职、客观判断的前提，通常被视为首要原则之一，特别是在ISO37301和国内合规指引中，独立性的组织架构是基础。3.【答案】B【解析】依据《国际内部审计实务标准》（IPPF），当内部审计师缺乏完成工作所需的知识、技能或其他胜任能力时，应利用具有专业胜任能力的外部专家的服务，并对其工作进行评价。4.【答案】D【解析】第一道防线是运营管理/业务部门，负责直接管理和控制风险。第二道防线是风险管理、合规等部门，负责监督和指导。第三道防线是内部审计，负责独立评估。D选项属于第三道防线（内部审计）的职责。5.【答案】D【解析】根据《数据安全法》及分级分类保护指南，数据从低到高分为一般数据、重要数据、核心数据。核心数据是关系国家安全、经济运行、公共利益的重要数据，一旦泄露可能造成严重危害，属于最高保护级别。6.【答案】D【解析】舞弊三角理论由DonaldCressey提出，包括压力/动机、机会和自我合理化。“能力”是后来舞弊钻石理论中增加的要素。7.【答案】B【解析】客观性要求内部审计师在收集、评价和沟通信息时保持公正、不偏不倚，审计结论必须基于事实和证据，避免受个人利益或外界压力影响。8.【答案】B【解析】风险降低是指企业采取相应措施将风险发生的概率或影响程度降低到可承受的范围内。设置止损点属于降低风险影响的措施。9.【答案】C【解析】合规举报机制应鼓励实名举报以利于调查，但也应受理匿名举报，特别是对于高风险领域的舞弊举报。完全排除匿名举报会堵塞信息来源。10.【答案】BA是应用控制，C是财务审计重点，D是运营审计重点。ITGC关注整个IT环境的稳定与安全，包括数据中心安全、系统变更管理、逻辑访问控制等。11.【答案】D【解析】IIA《职业道德规范》的基本原则包括：诚信、客观、保密、胜任。12.【答案】B【解析】依据中国证监会及交易所上市规则，审计委员会中独立董事应占过半数，且召集人（主席）应当是会计专业人士的独立董事。13.【答案】A【解析】穿行测试是指在每一类交易循环中选择一笔或几笔业务，从头到尾追踪其在整个流程中的处理过程，目的是确认控制是否按设计运行，并了解业务流程。14.【答案】C【解析】出口管制合规的首要步骤是进行风险扫描和尽职调查，识别企业产品、客户及目的地是否受管制，以此为基础建立筛查机制。15.【答案】B【解析】充分性是指证据的数量必须足以支持审计结论，使审计师形成合理保证，而不是越多越好（成本效益原则）。16.【答案】A【解析】固有风险是指假定不考虑内部控制结构时，某账户或交易类别产生重大错报的可能性。B是控制风险，C是检查风险，D是经营风险。17.【答案】C【解析】纵向垄断协议指同一产业上下游经营者之间的协议，如维持转售价格（RPM）。A、B属于横向垄断协议，D属于滥用市场支配地位。18.【答案】B【解析】依据IPPF质量保证与改进程序（QAIP）标准，外部评估应当至少每五年进行一次。19.【答案】D【解析】风险热力图既可以定性（颜色深浅），也可以定量（坐标轴数值），D说法错误。20.【答案】B【解析】不相容职务分离的核心是制衡。询价与确定供应商分离可以防止串通舞弊。A、C、D均未做到职责分离。21.【答案】D【解析】PDCA循环中，改进阶段包括监视、测量、内部审核和管理评审。风险规避是风险应对策略，不属于改进阶段的特定步骤。22.【答案】C【解析】内部审计师必须遵守组织章程和职业道德，按照既定汇报路径（通常是审计委员会或董事会）如实报告，不能因人际关系而隐瞒。23.【答案】B【解析】控制环境是基调，包括诚信、道德价值观、组织结构、胜任能力等。A、C、D属于其他要素。24.【答案】B【解析】现代审计风险模型为：审计风险=重大错报风险×检查风险。重大错报风险由固有风险和控制风险构成。25.【答案】C【解析】涉外合同适用法律应遵循意思自治原则，但不得违反中国公共利益。最密切联系原则是冲突法中的基本原则。实务中常约定适用中国法或第三国中立法。26.【答案】B【解析】持续审计是指利用技术手段对数据实施自动化、近乎实时的监控，从事后审计转向事中/事前审计。27.【答案】B【解析】ESG中，E是环境，S是社会（包括人力资本、产品责任、利益相关方反对等），G是治理。28.【答案】D【解析】当审计范围受到极其严重的限制，无法获取必要证据，审计师无法对报表发表意见，应出具无法表示意见（或拒绝表示意见）。29.【答案】B【解析】依据《网络安全法》及《网络安全审查办法》，CII运营者采购重要网络产品和服务，需进行网络安全审查。30.【答案】D【解析】重要性水平是针对报表使用者而言的错报临界值，具有主观性和职业判断特点。重要性水平越低，所需证据越多。性质严重的错报即使金额小也可能重要。二、多项选择题31.【答案】ABCDE【解析】合规管理体系（ISO37301）的完整要素涵盖了环境、领导力、策划、支持、运行、绩效评价和改进。选项A-E均为核心组成部分。32.【答案】ABCDE【解析】内外部审计在目标（内控/经营vs财务报表公允）、独立性（职能独立vs独立于被审计单位）、标准（IPPFvs准则）、时间（持续vs定期）、责任（对治理层负责vs对股东/公众负责）等方面均有差异。33.【答案】ABCDE【解析】COSO框架下的控制活动包括但不限于：不兼容职务分离、授权审批、业绩评价、信息处理（一般控制和应用控制）、实物控制等。34.【答案】ABCDE【解析】舞弊调查需要全方位的证据支持，包括书面、电子、证人证言、当事人陈述及实物证据。35.【答案】ABCDE【解析】这些都是企业常见的舞弊高风险领域，涉及财务报告舞弊和资产侵占。36.【答案】ABD【解析】C选项，处理个人信息达到一定数量才需设立DPO（个人信息保护负责人），并非所有企业。E选项，企业不拥有个人信息所有权，仅拥有使用权，且严禁随意转让。37.【答案】ABCDE【解析】完整的风险管理流程包括目标设定、识别、分析、评价、应对、监控。38.【答案】ABCDE【解析】内部审计报告服务于董事会、管理层，同时被审计单位需整改，外部审计和监管机构也可能调阅。39.【答案】ABCDE【解析】供应链合规（ESG）涵盖了劳工、环境、商业道德、知识产权及法律资质等多个维度。40.【答案】ABCE【解析】D选项，控制成本过高不一定是缺陷，需要考虑成本效益原则，如果成本远超收益，不实施该控制可能是合理的。A（设计缺陷）、B（运行缺陷）、C（人员缺陷）、E（管理层逾越）均属于缺陷。41.【答案】ABCD【解析】2026年数字化风控重点包括AI伦理、云安全、网络攻击、物联网安全。E选项是基础操作，不属于新兴的数字化特定风控重点。42.【答案】ABCDE【解析】内部审计质量评估应涵盖标准遵循、资源效率、计划完成、建议落实及人员素质。43.【答案】ABCDE【解析】依据PIPL，敏感信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。44.【答案】ABCDE【解析】境外经营面临复杂的法律环境，包括出口管制、反腐败、当地劳动税法、数据合规及IP问题。45.【答案】ABC【解析】后续审计的目的是确认整改措施的有效性（A、B）以及管理层对剩余风险的接受（C）。D是纪律部门的事，E是更新风险库，属于后续审计的附带结果而非直接目的。三、判断题46.【答案】×【解析】为了保证独立性，内部审计部门在行政上应尽量避免接受总经理的直接领导，理想状态是向董事会或审计委员会报告，行政上可向CEO汇报但需保障职能独立，题目表述过于绝对且容易导致独立性受损，最佳实践是双重报告但职能上向董事会负责。47.【答案】×【解析】合规管理是全员的职责，业务部门是合规管理的“第一道防线”，合规部门负责支持和监督。48.【答案】√【解析】风险承受即接受风险，不采取改变措施。49.【答案】×【解析】审计工作底稿是重要的审计档案，必须严格保管，严禁随意删除或修改，特别是归档后。50.【答案】×【解析】全员合规，普通员工的利益冲突（如采购员与供应商关联）同样可能造成重大损失，必须审查。51.【答案】×【解析】合规委员会与法治建设领导机构职责虽有重叠但侧重点不同，且通常合规委员会是董事会下设的专门机构，二者并非简单的职责重叠关系，题目表述不准确。52.【答案】×【解析】无论控制测试结果如何，实质性程序是必须执行的，只是范围可以调整。53.【答案】×【解析】关联方交易不仅是财务风险，也是合规风险（如利益输送、转移定价），合规审计必须关注。54.【答案】√【解析】这是审计和会计核算的基本原则。55.【答案】×【解析】风险偏好随着外部环境、战略目标和内部能力的改变而动态调整。56.【答案】√【解析】没有保护就没有举报，没有举报就没有线索，这是反舞弊机制的关键。57.【答案】√【解析】样本量与抽样风险成反比。58.【答案】√【解析】管理层声明书可靠性较低，不能替代实质性的审计程序。59.【答案】√【解析】文化是制度的土壤，没有合规文化，制度形同虚设。60.【答案】√【解析】ESG评级反映了企业在非财务领域的管理水平和抗风险能力。四、填空题61.【答案】反比【解析】检查风险与重大错报风险成反比，给定审计风险水平，重大错报风险越高，可接受的检查风险越低。62.【答案】绩效监控（或绩效实现）【解析】COSOERM2017强调风险贯穿于战略、执行和绩效。63.【答案】CIIA【解析】ChinaInstituteofInternalAuditors。64.【答案】强制（或专项/事前）【解析】高风险业务通常需要强制性的合规审查或前置审批。65.【答案】被审计系统（或内部控制）【解析】审计师不能负责设计或维护他们将要审计的系统，否则损害独立性。66.【答案】忠实（或勤勉尽责/信义）【解析】新《公司法》强化了董监高的忠实义务和勤勉义务。67.【答案】影响程度（或后果严重性）【解析】热力图横轴通常为影响，纵轴为概率。68.【答案】了解（或计划/初步）【解析】穿行测试用于了解业务流程和内部控制设计。69.【答案】大额及可疑交易报告【解析】反洗钱三大核心：客户身份识别、交易记录保存、大额可疑交易报告。70.【答案】输入（或编辑）【解析】输入控制确保数据进入系统时的准确有效。五、简答题71.【答案】企业合规管理体系建设的基本步骤通常包括：(1)合规环境扫描：诊断现状，识别差距。(2)合规组织架构搭建：设立合规委员会、首席合规官（CCO）及合规部门。(3)制定合规方针与制度：发布合规行为准则，建立专项合规制度。(4)风险识别与评估：梳理业务流程，识别合规风险点，进行评级。(5)风险应对与管控：针对高风险领域制定控制措施和流程。(6)运行机制建设：建立合规审查、举报、调查机制。(7)合规培训与文化建设：开展全员培训，培育合规意识。(8)监督、考核与改进：定期审计，评价合规绩效，持续改进。72.【答案】内部审计师评估“控制环境”时，应重点关注：(1)诚信与道德价值观：员工的品行是否正直，管理层是否以此身作则。(2)胜任能力：员工是否具备执行职责所需的知识和技能。(3)董事会及审计委员会的监督：治理层是否有效监督管理层。(4)管理哲学与经营风格：管理层对风险的态度（激进或保守）。(5)组织结构：权责分配是否清晰，汇报关系是否合理。(6)职责分配与授权：不相容职务是否分离。(7)人力资源政策：招聘、培训、考核、晋升机制是否科学。73.【答案】(1)固有风险：假设不存在内部控制的情况下，某一账户或交易类别单独或连同其他账户、交易类别产生重大错报或漏报的可能性。(2)控制风险：内部控制未能及时防止、发现和纠正已存在的重大错报或漏报的可能性。(3)检查风险：审计人员通过预定的审计程序未能发现被审计单位会计报表中存在的重大错报或漏报的可能性。关系：审计风险=固有风险×控制风险×检查风险。在既定的审计风险下，固有风险和控制风险越高，可接受的检查风险越低，审计师需要收集更多的证据。74.【答案】防止商业贿赂的关键内控措施包括：(1)职责分离：采购申请、询价、供应商选择、合同审批、付款等职责由不同人员承担。(2)供应商准入与黑名单制度：建立严格的资质审核，禁止不合格供应商入库。(3)透明采购流程：推行公开招标、竞争性谈判，避免单一来源采购。(4)利益冲突申报：要求采购人员定期申报利益冲突，并回避相关决策。(5)定期轮岗：采购关键岗位实行定期轮岗。(6)费用审计：严格控制咨询费、服务费等名目的支出，要求提供实质性证明。(7)举报与调查：建立反舞弊举报渠道。75.【答案】大数据和AI对内部审计的影响：(1)审计模式转变：从抽样审计向全量审计转变，覆盖面更广。(2)审计效率提升：利用RPA（机器人流程自动化）处理重复性工作，利用数据分析快速发现异常。(3)风险预测能力：利用机器学习模型分析历史数据，预测未来的风险趋势。(4)持续监控：实现对数据的实时监控，从事后审计向事中预警转变。(5)挑战：对审计人员的数据分析能力要求提高；数据质量和算法偏见可能成为新的审计风险；审计底稿的数字化存储与安全要求提高。六、综合案例分析题76.【答案】(1)风险点识别：①利益冲突风险：采购经理与供应商存在股权关联，未披露，存在舞弊风险。②价格虚高风险：采购价高于市场价15%，导致公司成本增加，利益输送风险。③资金流失风险：大额“技术咨询费”支付给空壳公司，涉嫌虚构业务套取资金。④供应商集中度风险：主要原材料集中在3家，且存在关联关系，供应中断风险高。⑤信息系统控制缺失：缺乏自动预警，依赖人工，易被人为规避。(2)内部控制重大缺陷及理由：①供应商管理控制缺陷：理由：准入审核未发现关联关系，且存在严重的利益冲突未回避，属于设计或运行失效。②采购定价控制缺陷：理由：价格显著高于市场价且长期存在，说明缺乏有效的比价机制或审批流于形式。③资金支付控制缺陷：理由：向空壳公司支付大额费用，合同条款模糊，缺乏对交易真实性的有效审核。④信息系统一般控制缺陷：理由：未建立关联方自动预警，依赖不可靠的人工控制，属于控制环境/工具层面的重大缺陷。(3)改进建议：①组织架构调整：采购部经理强制轮岗或停职调查，重新评估供应商准入。②完善供应商库：引入新供应商，降低集中度；建立严格的关联方数据库和自动筛查系统。③强化价格管控：建立采购价格指数监控机制，定期进行市场询价，超预算/超指数价