解释《国际内部审计专业实务标准》中的第2110条标准

本实务公告性质 

内部审计师在评价与业务连续性相关的组织活动时应考虑以下建议。为确保在组织遭受灾难后能够保持业务连续性，需要采取多种程序。制定全面计划时首先要评估灾难的潜在影响及后果，并且了解风险情况。（保证业务连续性的全过程将涵盖业务连续性和灾难恢复计划。）应当制定、保持、测试这些计划并对其进行审计，保证它能够恰当满足组织的需要。

1．业务中断可能是由自然事件和意外或故意犯罪行为而导致的。这种中断对财务和经营的方方面面都会产生重要影响。审计师应当对组织处理业务中断的准备情况作出评价。一份详细的计划应能提供紧急反应程序，替代通讯系统和现场设施，信息系统备份，灾难恢复，业务影响评价和恢复计划，功能恢复程序，以及确保组织有准备应对紧急或灾难事件的日常维持程序。 www.PPkao.com

2．内部审计活动应对组织的业务延续计划过程作出定期评价，以保证高级管理层了解灾难准备情况。

3．多数组织并不希望经历由于灾难或其他不可预见事件引发的正常经营过程中断或长时间延误。很多企业专家称之为“并非如果灾难将发生，而是当灾难将发生”。在长期经营过程中，组织难免遭遇到造成信息、资产（有形或无形）、劳务损失的事件。发现这类风险并对业务延续性作出计划是组织风险管理过程中不可或缺的部分。提前计划对减少损失，确保关键业务职能的持续是必需的。它可以使组织对关联各方的服务保持在可接受的水平。

4．一份详细、适时的灾难恢复计划对业务恢复是至关重要的。内部审计师可在这项计划过程中发挥作用，具体包括：(1)协助开展风险分析；(2)对已草拟计划的设计和详细程度作出评价；(3)开展定期确认业务，证明计划及时得到更新。

计划

5．组织依靠内部审计师分析经营情况、评价风险管理和控制过程，内部审计师了解总体经营情况和单项业务职能以及二者之间的相互关系。因此，内部审计活动作出的评价被视为灾难恢复计划制定过程中的一个重要方面。

6．内部审计活动帮助评价组织的内部、外部环境。内部因素包括管理人员的变动，信息系统、控制和主要经营项目的改变；外部因素包括法律环境和经营环境的变动，市场和竞争条件的变化，国际金融、经济状况及科学技术的发展。内部审计师可以从恢复的目的考虑，帮助确认关键经营活动和重要职能方面的风险。

评价

7．内部审计师作为客观的参与者在检查业务延续性和灾难恢复计划的设计、完备性和充分性时发挥作用。内部审计师检查计划是否反映了风险评估过程中涉及到的经营活动，是否包括充分的内部控制对策。内部审计师对于组织经营活动的详细了解使其可以在经营恢复时期通过评价计划的组织、完备性以及提出针对控制风险，保持有效建议采取的措施而在计划实施阶段提供帮助。

定期确认业务外语学习网

8．内部审计师应当定期对组织的业务延续和灾难恢复计划进行审计。审计目的是证明该计划在不利情况发生后能充分保证业务经营的及时恢复，证明该计划反映了当前的业务经营环境。

9．业务延续与灾难恢复计划会很快过时，因此对变化的处理和应对是管理部门工作任务的必然组成部分。管理人员和执行人员的变化，系统结构、兼容性和软件的改变都会对这些计划产生重要影响。内部审计活动应检查恢复计划以决定其是否：(1)对可能发生的重要变化作了安排；(2)将修订后的计划通报给组织内外的适当人员。

10．内部审计师在实施审计时应当考虑：

所有计划是否是最新的？是否有更新计划的程序？ 计划是否涵盖了所有关键的业务职能和系统？如果没有，是否对缺漏作了记录？ 计划是否以业务中断的风险和潜在后果为基础？ 计划是否充分记录并且符合组织的政策、程序？是否明确了职责？ 组织是否能够并且准备实施计划？ 计划是否经过测试并根据结果加以修订？ 计划是否妥善保存？管理人员是否知道保存地点和获取途径？ 雇员是否知道替代设施的位置（备份地点）？ 计划是否要求与当地紧急部门合作？

内部审计师在灾难发生后的作用

11．灾难一旦发生，内部审计师就能发挥重要作用。在恢复期间，内部审计师应当对经营活动恢复和控制的有效性进行监督。内部审计活动应当对内部控制和减轻风险措施需要改进的领域加以确认，对业务延续计划的改进提出建议。内部审计还可以对恢复活动提供支持。

12．通常在灾难发生后的几个月内，内部审计师帮助发现能够从中汲取的教训。这类观察和建议可以加强恢复活动，更新以后的业务延续计划。

13．总之，高级管理层将会综合考虑内部审计师的知识、技能、独立性和客观性，决定内部审计师对业务延续和灾难恢复过程的介入程度。