企业董事会和高级管理层应负责了解与内部审计外包有关的风险，确保有效的风险管理程序充分到位。作为董事会职责的一部分，董事会应评估内部审计外包对企业战略目标和计划的支持，以及与外包商的关系管理。如果没有一个有效的风险评估阶段，内部审计外包可能会与企业的战略规划不一致，或者带来不可预见的风险。评价内部审计外包风险，一方面要通过感性认识和历史经验来判断，另一方面要对各种客观统计、计划、总结等历史数据进行分析、总结和整理，以及企业或其他企业的风险事故记录，必要时咨询专家，从而找出外包可能存在的风险，为以后的风险控制提供对象。同时，我们也要注意，内部审计外包的风险评估是一项持续的、系统的工作。随着企业内外各种环境和条件的变化，企业面临的内部审计外包风险的大小和类型也不同，这就要求企业不断地对风险进行评估。

内部审计外包风险评估应考虑以下情况：企业的战略目的、目标和经营需要；对外包方的评价和监督能力；内部审计对企业的重要性和外包风险的程度；对外包方的明确要求内部审计外包；必要的控制和报告程序；外包方的义务；内部审计外包应急预案；内部审计外包风险评估；持续评价内部审计外包协议是否符合企业战略目标；外包商的业绩是否符合监管要求和相关标准。其次，选择一个好的外包商是内部审计外包成功实施的关键。如果企业在选择外包时出现失误，会对企业产生不同程度的负面影响。因此，企业必须慎重选择外包商。一个好的外包商必须是一个内部控制完善、专业能力强、财务状况良好的公司。一般来说，企业在选择外包商时可以考虑以下几个方面：

A.质量承诺。质量承诺能否满足企业的预期要求，能否有效解决企业的问题，是选择外包商的首要因素。

B.收费标准。企业将内部审计外包的主要原因之一是为了降低成本。内部审计外包是否一定能节约成本，取决于企业的具体情况，因此不易主观判断。因此，在内部审计业务外包之前，全面的成本分析是保证决策正确的客观要求，而分包商的收费标准是重要因素之一。

C.外包商的专业知识和技能。企业外包一般是不占主导地位的内部审计工作，是为了弥补内部审计的缺陷而采取的行动。要实现这一目标，应优先选择行业领先的服务商，这也是实现质量承诺的基础。在外包方的专业知识和技能方面，企业应考虑：评价外包方提供内部审计服务的经验和能力；评价外包方在预期未来经营环境中提供内部审计服务的经验和知识；必要时进行现场监督，以便更好地了解外包方如何开展内部审计服务。

D.外包商的市场地位和市场成熟度。考虑到外包方在内部审计行业的持续时间和市场份额，它与外包方的服务被监管部门认可的程度有关，也可以用来评价外包方承担内部审计业务的资格。第三，审查外包合同。企业选择外包商后，应与外包商签订外包合同。外包合同作为双方的主要约束，对外包合作的顺利开展起着重要的作用。有效的合同可以帮助企业识别出有效率的承包商，在一定程度上规避道德风险，促使承包商完成外包业务。

内部审计外包合同应考虑企业的业务需要和外包商风险评估和选择阶段识别出的重要风险因素。合同应采用书面形式，内容应包括内部审计服务范围、绩效标准、安全保密、控制措施、审计条款、报告制度、审计费用、争议解决等。

A.服务范围：合同应明确约定各方的权利和义务，包括外包商的任务和责任；外包商制定的风险分析和计划必须事先得到企业高层的批准。B.绩效标准：绩效标准规定了外包商的最低服务水平要求以及外包商未能达到标准时的补救措施。企业应定期审查外包商的绩效标准，以确保其内部审计服务符合企业战略目标。

C.安全与保密：合同应规定外包方应保守在业务执行过程中获得的商业秘密，以防止外包方泄露企业的商业秘密，影响企业的竞争优势。

D.控制措施：企业应考虑外包商的内部控制措施；遵守监管要求；外包商保存的相关记录；高级管理层及其代表，外部审计师和监管机构有权随时查阅与外包商任务相关的记录，包括审计工作计划和工作报告。

E.审计条款：合同应指明外包方提供的内部审计报告类型（如财务、内部控制和安全评估）。合同还应当载明内部审计的次数、相关审计费用以及企业取得内部审计结果的权利。报告制度：合同条款应规定企业收到内部审计报告的时间、类型和频率。审计费：合同应明确内部审计服务费的收取依据、标准、支付方式和时间。

h.争议解决：企业应在合同中制定争议解决条款，以解决未来可能出现的问题。环境的变化将给企业内部审计业务带来新的问题。企业管理层在签订外包合同时应考虑合同是否具有足够的灵活性，因此企业和外包商也应签订一份可以变更合同条款的协议，特别是当他们预计可能存在重大问题，需要扩大审计工作时。在签署前，双方应聘请法律顾问进行审查。内部审计外包后，企业面临的不再是内部审计师，而是承包商，这增加了企业的经营风险。因此，对整个外包活动的控制和监督就显得尤为重要，它直接关系到整个外包工作的成败，是整个外包工作的关键。对于外包过程中的风险，如果企业不能很好的甄别和控制，那么企业就无法从外包中获益，可能面临无法估量的损失。尤其是企业将重要的内部审计业务外包时，更需要对这些风险进行控制和监督。

企业不能参与外包审计，但不能控制审计过程。无论内部审计工作是否外包，企业董事会和最高管理层对确保内部控制制度和内部审计工作的适当性和有效性负有最终责任。一些外包内部审计业务的企业，应考虑保持少数有能力的内部审计队伍，由资深、有经验的审计人员担任内部审计部门负责人。外包方协助内部审计师确定需要审核的风险，提出建议，执行内部审计经理批准的审计程序，并将发现的问题与内部审计师一起向董事会或其审计委员会报告。将内部审计业务全部外包的企业，应当聘请内部审计部门负责人，妥善安排和控制内部审计工作进度。