研报速递“风险聚焦”是国际内部审计师协会（IIA）内部审计基金会的年度旗舰研究项目，旨在识别对全球组织影响最突出的重大风险。《2026—2027风险聚焦全球报告》基于132个国家和地区共3285名首席审计执行官及审计负责人的问卷调研，辅以17场专题圆桌会议（149位参与者）和12场深度专家访谈，系统剖析全球风险格局、内部审计资源优先级、风险治理成熟度与审计覆盖现状。中国内部审计协会对报告进行编译并形成本报告综述，供广大内部审计人员参考。报告核心观点、数据及结论以原版英文报告为准；中文编译内容仅供学习交流使用。
报告核心结论：当前全球风险格局并非由单一威胁主导，而是网络安全、数字化变革（含人工智能）、地缘政治与宏观经济不确定性三大风险交织共振，形成系统性风险网络。对首席审计执行官而言，核心挑战不再只是识别环境变化，而是根据快速发展并相互关联的外部变化，为组织提供及时的确认与咨询、务实专业的建议和适配的组织能力，支撑董事会与高级管理层做出基于充分信息的科学决策。
（一）网络安全：由技术领域风险升级为企业全局性风险。网络安全连续多年位居全球首要风险，80%受访者将其列入本组织前五大风险，较2025年上升7%；除北美地区已处于高位（85%）外，其余区域占比普遍上涨。网络攻击对象更加多样持续，覆盖云平台、软件生态、人工智能（AI）模型、数字身份、远程访问、运营技术、外包业务、数据存储、移动应用及各类第三方主体。AI兼具两面性：既可强化风险检测与应急处置，也会催生更高级的钓鱼、身份伪造、音视频仿冒、自动化漏洞利用、舞弊等风险。网络安全事件不再局限于技术故障，会连锁引发业务中断、舞弊、隐私泄露、监管处罚、供应链瘫痪、声誉危机等后果。因此内部审计不能仅聚焦技术控制，还需评估预防性控制以及检测、响应、恢复、沟通、事后复盘的全链条能力。
（二）数字化变革：从未来潜在风险转变为现实紧迫压力。将数字化变革视为五大风险之一的受访者比例上升10个百分点至58%（北美69%、拉美61%、亚太59%、中东58%、欧洲52%、非洲50%），全球所有区域均有所上涨。各地区驱动因素不同：有的地区处于手工流程向数字化运营转型阶段，有的则在复杂业务环境中落地生成式AI、智能代理、高级分析、机器人、云平台等。但共性问题突出：技术落地速度远超治理完善速度，不少组织在权责归属、资产清单、数据标准、风险分级、审批流程、人工监督、监控警报、模型验证等机制尚未明确时就仓促上线AI系统。数字化变革还会传导至人才需求、舞弊场景、第三方依赖、监管合规、竞争格局、客户预期乃至商业模式等风险领域。首席审计执行官应将其视为一套互联风险网络的组成部分，而非孤立的技术项目。
（三）地缘政治/宏观经济不确定性：外部风险向组织运营风险转化。将该领域视为五大风险之一的受访者占比上升10个百分点至48%；除北美外其余区域均有所上涨，中东以60%居首，受地区冲突影响，当地贸易、能源、旅游、资金流动性、供应链、基础设施、业务连续性均受冲击。组织无法掌控战争、选举、制裁、关税、外交冲突、通货膨胀、利率、汇率等外部事件，但可以强化自身应对冲击的能力。内部审计可围绕情景推演、流动性压力测试、供应链集中度、监管动态、危机治理、业务连续性、云服务集中风险等开展审计评估。报告强调：只有当地缘政治风险与组织目标、业务依赖、管理决策、流程、应急能力建立关联，该风险才具备可审计性。
除了以上三项突出风险之外，研究报告还揭示了区域差异与“风险位移”现象：
研究表明，全球整体数据会掩盖区域差异：在非洲，有73%的受访者将网络安全列入五大风险领域之一，50%将数字化变革列入五大风险领域；亚太地区这两个比例分别为72%和59%；欧洲为86%（全球最高）和52%；拉美为80%和61%；北美为85%和69%。中东地区排名前两位的风险分别为网络安全（81%）和地缘政治不确定性（60%）。
此外，报告提出了“风险位移”概念——当紧迫的颠覆性风险挤占榜单，将其他风险领域挤出前五排名时，被挤出榜单的风险领域实际上仍可能具备很高的风险严重程度。例如，仅有35%的受访者将业务复原力列入组织面临的五大风险，但却有56%的受访者判定其严重程度高。因此不能把排名下降等同于风险暴露降低，需同时向董事会报送“前五风险排名”和“风险严重程度评级”，避免虚假安全感。
（一）网络安全：其风险等级与审计优先级匹配度最高。80%的受访人员将其列入五大风险领域，75%将列入排名前五的审计重点，是匹配度最高的领域，各地区普遍将其列为首要审计事项。但投入高不等于覆盖充分，持续扩大的攻击面和人才缺口会造成关键环节评估不足，审计不仅要关注投入工时，更要评估覆盖质量。
（二）数字化变革审计投入增长，但仍存缺口。将其列入前五审计重点的受访者比例上升10个百分点至42%，全部区域都有所增长，现已成为北美、拉美、中东的前五审计重点之一。但将其列入五大风险领域的受访者比例（58%）与将其列入前五审计重点的受访者比例（42%）之间仍有16个百分点的差距。部分内部审计团队缺少AI、自动化、模型风险、数据治理、云平台等专业能力与评估标准，部分组织将相关工作嵌入现有项目而未为其单独设置优先级。报告建议循序渐进搭建数字化审计能力，开展AI治理评估、资产清单梳理、数据治理与第三方评估、模型验证、网络安全程序审查、实施前咨询、上线后确认、持续监控等，不必直接开展“大而全的AI专项审计”。
（三）地缘政治宏观风险：将其列入五大风险领域的受访者比例为48%，但仅有13%的受访者将其列入前五审计重点，是全球错配程度最高的风险领域。内部审计不需要直接审计地缘事件本身，而是聚焦管理层如何监控、应对地缘事件对本组织的影响，相关审计工作可嵌入供应链、流动性、业务复原力、危机管理、战略、合规、第三方风险等领域的项目之中。受区域冲突影响，中东地区将其列入前五审计重点的受访者比例达25%，显著高于其他区域。
（四）传统事项仍消耗大量审计资源。多项传统领域被列入前五审计重点的比例显著高于被列入五大风险领域的比例：对于财务/流动性，49%的受访者将其列入前五审计重点，34%将其列入五大风险领域；舞弊的这两个比例分别为46%和29%；治理与公司报告分别为45%和20%；业务复原力分别为44%和35%；监管变化分别为43%和32%。这些审计工作多源于法规、监管、董事会要求及历史控制缺陷，不能简单判定为过度投入，但在这些领域持续大量投入会挤压应对新兴风险的资源。首席审计执行官需定期复盘：传统范围是否仍适配当前风险、能否自动化、能否依托其他线职能、频次可否优化。
（五）动态调整审计计划以适应风险变化。审计资源再平衡已启动：网络安全、舞弊被列入前五审计重点的比例各上升6%，财务流动性上升5%，数字化变革上升10%；治理与公司报告、业务复原力分别下降10%和9%。报告指出，内部审计战略应当预判未来的技能、技术需求；而审计计划需要保持足够动态，以应对重大变化，与此同时，二者均须与组织战略保持一致。风险环境快速变化的情况下不能仅靠审计计划的年度更新，应采用季度更新、滚动计划、触发式重评估等方式，预留资源应对突发重大风险；同时建设匹配风险特征的能力模型，对照审计范围盘点技能，通过培训、招聘、外部专家、合作外包补齐能力，不能等到危机爆发后才临时寻找。
风险排名只反映暴露程度，不代表风险管理准备水平。结合治理成熟度（风险管理嵌入决策的程度）与内部审计覆盖程度，可识别风险累积速度快于管控、审计能力薄弱的领域。
（一）治理成熟度集中于传统风险领域。财务/流动性治理成熟度最高，62%的受访者认为该领域的治理成熟度较高（即已经达到了“第4级 已管理”或“第5级 优化”），治理与公司报告、监管变化均为48%，网络安全、健康安全同为45%，舞弊43%。与之对比，数字化变革治理仅为23%，地缘政治宏观不确定性仅为29%。新兴外部驱动风险普遍存在权责分散、数据不足、风险偏好模糊、外部变化快于制度迭代等难题。
（二）高风险领域存在审计覆盖短板。在被问及对各风险领域的审计覆盖充分程度时，审计覆盖较高的是财务流动性（47%的受访者选择了审计覆盖充分）、治理与公司报告（40%）；而地缘政治宏观不确定性的这一比例仅为10%，数字化变革仅为11%，为审计覆盖程度最低的两大领域。三大核心风险现状：将数字化变革列入五大风险领域的受访者比例为58%，认为其治理成熟度较高的比例为23%，认为其审计覆盖充分的比例为11%；地缘政治宏观不确定性的上述三个比例分别为48%、29%和10%；网络安全分别为80%、45%和33%。网络安全虽投入了大量审计资源，但风险演进速度仍超过治理成熟度与审计覆盖水平。
（三）根据治理成熟度采取差异化工作模式。当某个领域的成熟度很低、缺少成型可测试的内部控制时，对传统控制有效性进行审计的价值有限，更适合开展治理设计评估、准备度检查、风险控制研讨、情境与复原力测试、成熟度评估、落地前咨询、问责上报机制审查、对标框架及管理层整改后的后续确认。需要注意的是，内部审计只能提供建议，不能承接管理层本身的风险管控职责。对成熟度较高的领域，可优化审计频次、运用持续监控、合理依托第二线职能，聚焦剩余风险与系统性风险。
报告归纳四类场景助内部审计分配资源：
①高风险、低成熟度、低覆盖——推动治理建设、开展咨询、补齐能力并向董事会充分披露；
②高风险、高成熟度、高覆盖——维持必要确认、探索效率提升；
③低风险、高成熟度、高覆盖——评估资源重新调配；
④高风险、内部审计低覆盖但其他防线管控充分——验证其他确认主体可靠性，向董事会说明整体保障情况。
（四）统筹三线职能的确认协同，向董事会完整披露风险缺口。按IIA三线模型，管理层负责承担和管理风险，并建立控制；第二线提供专业支持、监控，对管理层的工作提出挑战；内部审计提供独立客观的确认与咨询，不承担管理责任。首席审计执行官应推动各类确认工作协同，通过比对各方的确认工作，发现重复检查、结论不一致、信息供给过多或不足的问题；依赖其他条线职能提供的确认成果前，必须评估其专业能力、客观性、工作范围与质量，不能无条件采信。向董事会汇报不能只列风险排名和审计项目清单，需完整展示每项重大风险的评级及趋势、治理成熟度、内部审计优先级、内部审计直接覆盖、其他主体覆盖、资源约束、计划开展的确认/咨询工作及下次重评估时间，把成熟度与覆盖缺口转化为正式治理议题，清晰披露管理层与董事会已接受的风险敞口。
内部审计的价值，不只在于识别高风险，更在于理解风险联动、动态调整审计优先级、配齐专业能力、统筹多方确认，助力董事会全面掌握组织风险敞口与治理情况，支撑其开展有效的风险监督，推动组织补齐风险管控短板。整体来看，网络安全依旧是头号风险，数字化变革、地缘政治宏观风险持续加速发展；财务压力、舞弊、第三方、人力资本、监管、业务复原力等风险会互相叠加放大影响。报告最关键发现是风险等级、审计优先级、治理成熟度、审计覆盖四者之间普遍存在错配。内部审计已加大网络安全、数字化变革、舞弊、财务流动性的投入，但新兴外部风险仍治理薄弱、审计难度大；传统事项持续消耗资源，技术与方法滞后于组织风险演变。
报告提出四项内部审计核心行动方向：
1. 转化风险视角：把外部不确定性转化为本组织可审计的事项，聚焦外部冲击对战略、决策、流动性、供应链、人才、技术、业务连续性、利益相关方信任的实际影响；
2. 打造能够根据风险变化动态调整的审计计划与能力：内部审计战略预判未来技能与工具需求，审计计划保持动态灵活，能响应重大风险变化；
3. 协同确认，守住独立性边界：统筹三线职能，合理采信其他条线职能部门的成果，在提供咨询服务的同时坚守内部审计独立客观定位；
4. 主动披露各类缺口：向董事会完整披露风险等级，同时说明治理短板、确认不足、资源约束，以及管理层主动接纳的风险敞口。
高水平的内部审计职能应融合确认、洞察与前瞻预判：贴近组织战略看懂变化，保持客观敢于质疑，具备敏捷响应能力，在新兴风险演变为重大危机前助力组织应对。因此，面向2027年，内部审计的核心命题不在于是否识别到风险，而在于能否帮助组织落地风险应对行动。
版权说明：
本摘要所涉及的研究数据、观点及结论均来自IIA原版报告，版权归国际内部审计师协会（The Institute of Internal Auditors, IIA）所有。原文版权信息为：Copyright © 2026 by the Internal Audit Foundation. All rights reserved.
原文链接：
https://www.theiia.org/en/internal-audit-foundation/latest-research-and-products/risk-in-focus/global/
发表评论
发表评论: