风险管理审计与内控审计的区别

做年度审计计划时，最容易卡住的一步是：同一个业务，到底该立成风险管理审计还是内控审计？立项理由写混了，后面的范围、访谈对象、底稿模板全跟着跑偏，复核时还要返工。这篇把两者的目标、审什么、看什么证据、报告怎么写拆开对比，附一份立项前的四步判断顺序，让你拿到任务就能定方向。

做年度审计计划时，最容易卡住的一步往往是：同一个业务，到底该立成风险管理审计还是内控审计？立项理由写混了，后面的范围、访谈对象、底稿模板就全跟着跑偏，复核阶段还得返工重写。这不是文字问题，是定位问题——方向定错，后面每一步都白做。

这篇把两者的目标、审什么、看什么证据、报告怎么写拆开对比，再给一份立项前的四步判断顺序。拿到任务就能先定方向，再谈方法和资源。涉及具体数字和工具口径的地方，一律以站内页面当时的内容为准。

为什么这两个词老被混着用

监管部门、公司自己的制度文件、以及部门内部的习惯叫法，这三套说法经常叠在一起。同一个动作，在风控部叫「风险评估复盘」，在内审部叫「控制再测试」，在业务口叫「自查」，名字不一样，实质可能是同一件事。名字不统一，立项时自然容易拼成一个混合项目名。

更现实的原因是资源。很多单位做审计的只有一拨人，一年计划就那么几个项目，索性把两个名字拼在一起，先立上再说。代价在后期才显现：范围写得过大，取证深度不够，报告结论既不敢下判断，也落不了地。

• 立项文件里两个词交替出现，写到范围时自己都说不清这次到底审什么
• 访谈提纲同时问风险和流程，被访谈人不知道该怎么答，回答也偏笼统
• 底稿模板混用，一半是风险矩阵，一半是控制测试表，复核时没法规整归档
• 报告结论两头靠，既没给风险评级，也没给缺陷等级，委托方看完不知道下一步做什么

目标差异：一个是看结果偏没偏，一个是看防线漏没漏

风险管理审计盯着的是「风险本身有没有被识别准、评得对、控得住」，最终落点在剩余风险水平上——也就是做完这一轮，这家单位承担的风险还剩多少，还在不在自己能接受的区间里。它的核心问题是判断。内控审计盯着的是「既定控制有没有设计、有没有被执行、执行得有没有效」，落点在控制有效性上——该做的动作，做了没有，做对没有。

一句话记法：前者问「风险还在不在可接受区间」，后者问「该做的动作做了没有」。这个差别决定了访谈问什么、底稿长什么样、结论往哪个方向写。

要注意的是，这两个目标不是互斥的。风险识别不准，控制设计往往也跟着偏；控制长期失效，风险水平迟早失控。区分的目的不是二选一，而是让这一轮项目的重心明确，别把两件事都做浅了。

范围差异：从风险清单出发，还是从流程与制度出发

风险管理审计一般从风险清单、风险偏好与容忍度、重大风险应对方案这些材料入手，再往下走到具体业务里验证。它的范围是沿着「风险」这条线展开的，风险清单的颗粒度直接决定审计能走多深。如果清单本身很粗，第一步往往不是审业务，而是先把清单补细。

内控审计一般从业务流程、岗位职责、审批节点、系统权限入手，逐条对照控制矩阵，看控制点是否齐全、责任是否清楚。它的范围是沿着「流程」这条线展开的，流程图和控制矩阵就是出发点。同一个部门两个都审时，先审哪一层，取决于当前主要矛盾是「不知道有什么风险」，还是「知道却不执行」。

1. 第一步：翻现有材料看手上有没有成型的风险清单和控制矩阵。哪一层缺，就先补哪一层，别跳过材料直接访谈。
2. 第二步：判断主要矛盾问委托方一句：这次最担心的是判断失误，还是动作漏做。答案基本决定方向。
3. 第三步：画范围边界写清楚覆盖的业务条线、时间区间，以及明确不看的范围。不写的部分，默认不在本次结论内。
4. 第四步：和委托方对齐产出先说清报告要回答哪几个问题，再决定取样方法和测试深度。顺序反了，底稿白做。

取证方式差异：看数据还是要看痕迹

风险侧的证据偏分析性：风险数据、损失事件记录、指标波动、同业与监管层面的信息。这些证据的特点是解释空间大，需要交叉印证，单看一项数据往往下不了结论。访谈在这个阶段很有用，但访谈记录只能作为线索，不能当作结论依据。

内控侧的证据偏穿行测试：抽样单据、审批记录、系统日志、权限清单、复核签字。这些证据的特点是痕迹明确，有就有、没有就没有，判断空间小。但也要注意，痕迹齐全不等于控制有效，还需要判断执行的质量和一致性。

实操里最省事的做法是：同一个项目里如果确实要覆盖两层，就分两段写底稿，各自对应自己的证据链，别把两种证据混在一张表里交叉引用。到站内工具目录核对当时可用的检查清单模板，能省不少自己搭框架的时间。

产出差异：报告结论怎么写才不会被退回

风险管理审计的结论一般给风险评级、敞口判断、应对建议和后续监测要求。它要回答的是「我们现在承担的风险是个什么水平，接下来该盯什么」。内控审计的结论一般给控制缺陷等级、责任部门、整改期限和复核方式，回答的是「哪个环节缺了什么，谁来补，什么时候补完」。

两类报告有一个共同要求：结论必须能追到具体的事实与证据编号。像「机制不健全」「管理不到位」这种没有落点的句子，复核时基本都会被退回来重写，因为它没法验证，也没法整改。

• 每条结论后面挂上证据编号，能翻到对应的底稿条目
• 事实描述和判断分开写，不要用判断词替代事实
• 整改建议写到动作层面，不写「加强管理」这类没法验收的话
• 明确写出本次结论的适用范围，不要把局部发现说成整体状态
• 不确定的地方写清不确定的原因，不要用模糊表述掩盖
• 结论与被访谈人确认过的关键事实，留一次确认记录

立项前的四步判断顺序

以上差别都可以在立项阶段通过一套固定顺序消化掉。顺序比结论重要，因为顺序对了，结论自然收敛，不需要反复推翻。下面这四步，建议做成立项表的固定栏目，每次填写一遍。

1. 问委托方：最担心什么明确问题是「风险判断失准」还是「动作没做到位」。这个答案定方向，其他都是细节。
2. 翻现有材料：缺哪一层看有没有成型的风险清单和控制矩阵，缺哪一层就先补哪一层，不要跳过材料直接进现场。
3. 定边界：覆盖什么，不覆盖什么写清业务条线、时间区间和明确不看的范围。没写清的部分，不能在报告里下结论。
4. 定产出：报告要回答哪几个问题先和委托方对齐问题清单，再决定取样和测试方法。先取样后想问题，底稿大概率要重做。

这四步适用于大多数年度计划场景。如果委托方自己也说不清担心什么，可以把前两步的顺序调换，先看材料再回来对齐问题，通常更容易问出真实诉求。

放个小场景：一家 5 人小团队怎么区分

小团队没有专职审计岗，也没有成型的风险清单和控制矩阵，硬套两种审计类型往往不现实。更实用的做法是按「今年出过什么事」来选角度。事情的类型，本身就提示了该从哪一层入手。

两种思路的目标和产出不同，但可以共用同一份访谈记录和材料清单，没必要重复采集。小团队的资源本来就不多，把重复劳动省下来，用在判断和验证上更划算。涉及工具与模板的选择，可以到站内工具目录按用途筛一遍，别从零开始搭。

什么情况下这套区分不适用

这套区分不是万能钥匙，有几种情况硬套反而添乱。判断标准很简单：如果项目的目的本来就不是判断风险水平或验证控制有效性，那就不必强行归类。

• 委托方只想要一份合规检查或专项核查，直接按核查目的定范围，不必硬套两个概念
• 制度里已明确只设一种审计类型、且授权范围写死时，按制度执行，不要自行扩大范围
• 涉及外部监管报送或第三方审计时，口径以对方给出的清单和标准为准
• 项目周期极短、只能做一次访谈时，先降级为情况了解，不要以审计名义出结论
• 业务本身处在剧烈变动期、流程尚未定型时，先做观察记录，等稳定后再立项

分清目标再动手，比用两个词的组合项目名省事得多。