内部审计在风险管理和公司治理中的作用

很多公司的内审要么被当成查账的，要么被丢去做合规打杂，出了问题才发现没人真正独立地看过风险。这篇不讨论内审该不该存在，而是把它放进治理结构里讲：它对董事会、对业务、对风控各交付什么，独立性怎么守，年度计划怎么排，报告怎么写才有用，以及什么情况下这套做法并不适用。

不少公司的内审被当成查账的，或者被丢去做合规打杂。真要出事的时候，才发现没人独立地看过风险——不是没人看，是看的人位置不对、报告没人接、整改没人跟。这篇不讨论内审该不该存在，只讲一个事：把它放回治理结构里，它对董事会、对业务、对风控到底交付什么。

思路按从业者的工作顺序走：先摆位置，再讲独立性边界，然后是怎么审、底稿怎么留、报告怎么写、整改怎么跟，最后给一份自查清单。定位、证据、跟踪这些环节如果提不起兴趣，可以直接看后面两节和自查清单。下面每节都给了判断标准和不适用的场景，照不照搬看你们公司的治理成熟度。

先把位置摆正：内审在治理里到底对谁负责

内审是第三道线的角色，交付对象是治理层——董事会或者审计委员会，不是被审的业务部门。第一、二道线——业务和风控——做得怎么样，责任在它们自己身上，内审只负责独立评价它们的控制设计和执行是否有效。这条线理顺了，后面的工作才有根，理顺不了，写报告都像在打小报告。

第三道线

独立于业务运营与风险管理的确认职能，向治理层报告，不参与被审流程的日常决策。

审计委员会

董事会下设的专业委员会，负责批准内审计划、听取报告、决定内审负责人的任免与考核。

控制有效性

制度设计是否覆盖风险点，以及员工实际执行是否和制度一致，两件事都要看。

确认服务

内审对治理层给出的独立保证，和咨询建议是两种不同性质的产出，别混着发。

三条线的协同方式，站内已经有两篇讲得比较细：「公司合规风险防控三道防线」和「内控合规三道防线如何协同运作」，涉及分工和接口的部分去那里看，这里不重复。这里要强调的只有一点：内审不是补锅匠，一二道线漏了的活不该由内审顺手接过去干。一旦接了，下次漏了还会等你。

内审和外部审计、合规检查、专项稽核的区别也值得说清。外部审计对财报的公允性发表意见，合规检查看是否踩了监管红线，专项稽核往往由管理层发起、聚焦一件事。内审看的是控制体系整体是不是管用，范围更宽、结论更偏管理改进。什么时候这个定位不成立？公司没有审计委员会、内审负责人直接向被审的业务负责人汇报，独立性从结构上就不成立。这种情况下再谈内审的价值就是空话，先解决汇报线。

独立性怎么落地，边界卡在哪

独立性不是一句口号，是三条硬线：汇报线、预算与人头线、报告发布线。任何一条被业务线捏住，内审的意见就会被稀释——不是内容被改，是说话没人听、说要查谁查不动。检查这三条线，比写十页独立性声明都管用。

• 汇报线：内审负责人直接向审计委员会或董事会汇报，不经过分管业务的副总。
• 预算与人头线：内审的预算、编制、考核由治理层决定，不由被审部门出钱养人。
• 报告发布线：报告定稿后按既定范围分发，业务线没有预审权，也没有删改权。
• 回避登记：审过谁、和谁共事过、有无亲属关系，都该留书面记录，小公司做不到完全回避就说明原因。

边界还有一条容易被忽略：内审不能替管理层做决策，也不能设计自己要审的流程。可以提建议、给方向，不能代写制度然后自己签字验收。这个区分在实操里经常被打破——业务部门一句「你们专业你们来写」，内审就顺手把制度写了。写了第一次，第二次这条线的公正性就没了，出了事你既是运动员又是裁判。

什么情况下这套做法不适用？公司规模很小、治理层就是老板本人、内审岗位由财务兼任——这时候谈独立性没有意义，能做的是把「哪些事项必须直接向老板书面报告」列出来，先把最低限度的信息通道守住。等公司长到需要审计委员会的时候，再补结构。硬撑独立性反而容易变成人人都不信的摆设。

审什么：年度计划不是拍脑袋排的

年度审计计划如果每年都长一个样，说明它不是排出来的，是抄出来的。计划的输入至少要覆盖四类：战略与重大变化、历史问题与整改情况、监管与合规要求、业务量与资金流的异常变动。这四类信息分别从管理层访谈、上年整改台账、合规部门、财务和业务系统里拿，不是内审自己坐在办公室想。

打分的方式可以简化成三个维度：发生可能性、影响程度、控制成熟度。前两个高、后一个低的事项优先排。权重怎么定由治理层确认，内审只提供打分依据。这里有个判断标准：如果去年所有项目的评分都差不多高，说明打分是补的，目的是让计划看起来完整。这种情况下不如直接按治理层关注的议题排计划，再补上监管硬要求和历史问题复查，反而更实在。

还有一个盲区值得提：别只审钱的部门。数据、隐私、外包、AI 工具使用这类非财务风险，近几年在很多公司里是审计盲区，业务在跑、控制在追。审不审得动是能力问题，排不排得进计划是态度问题。哪怕第一次只做初步了解，也要让这些领域进入计划视野。

一个项目从立项到收尾的标准动作

项目流程各家写法不同，但几个动作的顺序错了，后面全要返工。下面这套顺序按经验排的，验证点写在一起，照着走一遍就知道哪步卡住。

1. 立项写清目标、范围、以及不查什么。范围里写明「不查什么」比只写「查什么」更能避免后期扯皮，同时确认项目负责人和治理层的关注点是否一致。
2. 进场先要制度和流程图，再看执行痕迹，最后做穿行测试。顺序反了，容易只拿到口头解释，底稿里全是「员工称」。
3. 发现分级按重大问题、一般缺陷、改进建议分档。重大问题的判定口径要事先与审计委员会对齐，不能项目结束才定标准。
4. 收尾交换意见、给被审单位书面回应期、确定整改责任人与时间点。报告定稿前不要口头承诺结论，承诺之后再改就很被动。

这里有个判断标准：如果一个项目从头到尾没有和治理层沟通过一次，要么这个项目微不足道，要么没把治理层当交付对象。两种情况都值得反思。反过来，如果每个项目都要治理层全程参与，内审就变成了治理层的执行工具，独立性也在被侵蚀。

底稿与证据：出事时能拿得出手

底稿的作用不是给检查看的，是万一结论被质疑时能自证。原则很简单：谁做的、什么时候、依据什么、结论怎么来的，四件事缺一不可。口头证据要转成书面纪要，最好由被访谈人确认。一份只有结论没有过程的底稿，等于没有底稿。

• 电子证据留存要注意时间戳与来源可追溯，截图类材料要能说清从哪个系统、哪个账号、什么操作路径拿到。
• 数据类底稿要做脱敏与权限分级，谁能看审计底稿本身就是个控制点，别全员共享。
• 调查类项目（举报、舞弊线索）的底稿范围要单独约定，不能按常规项目分发或归档。
• 归档时限要写进制度并有人跟，底稿散在各人电脑里是最常见的问题。

证据留存的具体做法，可以参考站内「出事后的举证与维权：截图、账单、会话记录怎么留才有用」里的留存思路，虽然是面向个人场景写的，但对电子证据的可追溯性要求是一样的。不适用的情况也要说清：涉及举报或舞弊调查的项目，底稿范围、知情人范围、知情时间都要单独约定，走常规流程会造成信息泄露。

报告怎么写才有人看

内审报告的读者不是一个人。审计委员会关心风险敞口和整改进度，业务负责人关心具体要改什么动作，管理层关心这事对经营有什么影响。一份报告发给所有人，等于谁都没服务好。至少准备两个版本：治理层版本突出风险等级与整改进展，业务版本突出具体动作和时间点。

发现描述有个通用写法：事实加依据加影响。写「管理不规范」是形容词，没人知道要改什么；写「某流程在第几步没有留痕，导致后续无法核对某类事项」，被审单位一看就知道动作在哪、为什么重要。形容词越少，扯皮越少。

还有一点：坏消息也要写。报喜不报忧的报告，第一年可能讨人喜欢，第二年就没人当回事了，因为大家都知道里面缺水。反过来，如果报告里全是问题、没有背景和限制说明，被审单位会觉得不公平，配合度也会下降。平衡点在于把事实写足、把限制写清、把语气放平。报告写完之后怎么组织沟通、怎么给回应期，可以对照站内「提高审计质量要从哪几方面入手」里的质量视角自查。

整改跟踪：内审价值的真正落点

报告发出去不是终点，整改跟不跟得上才决定内审有没有用。跟踪方式按问题等级分三档：书面回函、抽样验证、现场复查。重大问题的整改要现场复查，一般缺陷抽样验证，改进建议收书面回函即可。不要所有问题都现场跑，也不要把所有问题都只收一张回函了事。

• 逾期问题要有升级路径并写进制度：逾期多久上报到哪一层、谁有权催办、催办记录留不留。
• 重复出现的问题单独拉一张清单。同一个问题在不同部门重复出现，比单个严重问题更值得治理层关注。
• 整改效果评估别只看关闭率，要看问题是不是真的不再发生，必要时下一轮审计要安排回头看。
• 跟踪的责任人、时间点、验证方式在报告阶段就定好，不要等到整改期快结束才来找人。

判断标准可以简单一点：如果一个问题连续两年在报告里出现，跟踪环节基本是失效的。这时候要查的不是被审单位，是内审自己的跟踪机制——是没人跟，还是跟了但没人理。治理层面的质量视角，站内「提升内部控制、合规管理和内部审计的有效性」和「提高审计质量要从哪几方面入手」都有涉及，可以对照看你们的跟踪环节缺哪块。

一份可照着做的自查清单

下面这份清单按结构、流程、能力、输出四层列。用法很简单：逐条打勾，查不到的项记录下来，就是下一年的项目来源。不要想着一次全补齐，先补结构层和输出层，这两层缺了，中间做得再好也传导不出去。

有一点要提醒：清单本身不能当成绩单用。全部打勾不代表内审有价值，可能是检查项设得太浅；全部打叉也不代表没救，可能只是刚开始建。它的用途是找缺口、排优先级，不是拿来汇报的。

自查之后做什么？把查不到的项按「治理层关注度 × 风险高低」排一下，前几项进下一年度计划，剩下的放进能力建设清单。同时想清楚哪些项目适合先做、哪些需要外部资源，别一上来就啃最难的。数字类信息——比如你们公司内审人力配比、审计覆盖周期这类可比数据——可以到站内资料库页面核对当时的口径再作判断。