风险导向内部审计，不是“多查几笔”：把审计证据做成大监督闭环

——从风险假设、数据异常到整改问责，重构监督协同的工作方法

导语

不少企业把内部审计理解为年末检查、财务核对或制度合规性评价，审计计划更多按部门、年度轮换和历史惯例安排。这样做能够覆盖基本事项，却未必能及时发现重大项目失控、异常支付、关联交易穿透不足、收入成本错配和管理层凌驾等高风险问题。

风险导向内部审计的关键，不是把审计范围无限扩大，而是先形成可被证伪的风险假设，再用流程穿行、控制测试、数据分析、文件核验和访谈反证构建证据链。审计结论也不能停在“发现问题”，而应当准确区分业务问题、内控缺陷、合规问题、财务差错、舞弊及责任线索，并与纪检、巡察、合规、法务、财务、风控等监督力量形成有边界的协同。

核心判断是：大监督不是把所有监督部门合并成一个审批中心，而是围绕同一项重大风险实现信息共享、证据复用、问题分流、整改跟踪和责任闭环。内部审计必须保持独立客观，不参与经营审批，不替代业务管理、合规审查或纪检调查。

01 审计选题：从“年度轮换”转向风险假设

风险导向审计的起点不应只是“今年审哪个单位”，而是“哪些战略目标可能因何种事件偏离，现有控制是否足以防止或及时发现”。审计部门应把战略规划、重大投资、重点工程、资金集中支付、重大风险事件、监管处罚、举报线索、管理层专题会、经营数据和前端预警纳入年度及滚动审计计划。

选题形成后，审计组要把笼统的风险名称拆为可核查的假设。例如，对重大工程可提出“变更签证是否绕开授权、验收是否与付款条件脱节”；对供应链可提出“供应商准入、关联关系识别和价格形成是否存在规避控制”；对投资项目可提出“投后重大事项是否被完整报告、减值迹象是否被及时识别”。风险假设应写清风险事件、可能原因、影响对象、涉及流程、关键控制和反证路径，避免审计中途只收集支持既有判断的材料。

审计资源有限时，应按照影响程度、发生可能性、扩散速度、可侦测性、监管敏感度和控制成熟度排序。重大事项不是天然高风险，关键是其风险暴露是否与授权层级、资金规模、关联交易、数据异常和历史整改未闭环等信号叠加。对已审项目，也应把整改逾期、重复发生和风险参数显著变化作为再次审计或专项跟踪的触发条件。

02 审计证据：让风险假设经历“支持与反证”

审计证据不是材料越多越好，而是要能够回答风险假设是否成立、控制是否有效、影响范围有多大以及责任落在何处。一个完整的审计取证路径，至少包括流程穿行、控制测试、数据分析、文件核验和访谈反证五类动作。

流程穿行应选择真实业务，从需求提出、立项授权、合同签订、执行交付、验收付款到会计处理和归档，逐点核实谁做了什么、何时做、依据是什么、系统和纸质证据能否相互印证。控制测试则需区分控制设计是否合理与控制运行是否持续：前者关注制度、权限、系统逻辑是否覆盖风险，后者关注复核是否真实发生、例外是否被升级、证据是否完整留存。

数据分析不等于只跑一张异常清单。审计组应先明确业务口径和数据血缘，再交叉比对合同、订单、验收、付款、总账、供应商、人员、账户、项目进度和系统日志。发现异常后，必须回到原始凭证、业务现场和责任访谈中验证。访谈既要取得解释，也要设计反证问题；不能仅以被审计单位的单方说明作为结论依据。

03 高风险信号：先识别异常，再判断性质

对国企、城投和重大项目企业而言，审计组尤其应关注六类风险信号。第一，异常交易，包括临近授权阈值拆分、频繁补充协议、非竞争性采购常态化、相同地址或联系人供应商集中中标。第二，异常支付，包括先付款后验收、付款比例与工程形象进度明显不匹配、重复付款、第三方收款或长期挂账。

第三，关联关系风险，包括供应商、合作方、员工、管理人员及其近亲属之间的隐性关联、利益安排和回避程序缺失。第四，收入成本错配，例如收入确认条件尚未满足而提前确认、成本长期资本化或跨期结转、项目毛利异常波动而缺乏业务解释。第五，资产减值风险，包括长期停缓建、现金流预测依据不足、存货或应收账款账龄恶化、投资项目经营目标连续偏离。第六，管理层凌驾风险，包括口头指令替代书面授权、例外审批常态化、系统权限集中、重大事项绕开集体决策或后补手续。

风险信号不是定罪证据。审计应把“异常”与“违规”“舞弊”区分开来：异常需要解释和核验；违反制度或法律规范需要确认适用规则、事实和后果；涉嫌舞弊或责任线索则需依照权限及时移交，保护证据完整性，避免审计组越权定性或自行调查取证超出职责边界。

04 审计结论：把问题分类，才能把整改做实

高质量审计报告首先要把问题说准。业务问题通常表现为目标、计划、成本、进度或资源配置偏离；内控缺陷体现为控制设计不足、职责不相容未分离、权限设置不当或执行失效；合规问题指违反外部监管规定、内部制度或禁止性要求；财务差错涉及确认、计量、列报或账务处理不准确；舞弊及责任线索则指向可能存在故意隐瞒、虚假陈述、利益输送、侵占或规避监督的事实基础。

同一事项可能具有多重属性，但报告不能把所有问题都写成“管理不规范”。审计组应分别说明事实、依据、原因、影响、责任环节和风险等级；对需要进一步核查的内容，明确为“线索”或“待核实事项”，并提出移交建议。对于内控缺陷，不能只要求“加强管理”，而要对应到具体控制：谁负责整改、改什么流程或系统规则、何时完成、以何种证据证明有效、由谁复核关闭。

整改建议应分层：立即止损类包括暂停异常支付、保全资料、补充授权或核对账实；机制修复类包括完善权限矩阵、建立关键数据勾稽和例外升级机制；治理优化类包括调整审计计划、明确监督会商制度、把重复问题纳入责任评价。整改是否关闭，不取决于回复函是否报送，而取决于风险是否被真实降低、控制是否已运行并留下证据。

05 大监督协同：共享证据，不共享越权

大监督协同的价值在于减少重复检查和监督空白，而不是把内部审计变成经营审批的“最后一关”。企业可建立监督计划会商机制，在年度和重大专项启动前，由审计、纪检、巡察、合规、法务、财务、风控、人力及业务条线共享高风险领域、既有检查结果和整改情况，形成年度重点和资料清单。

对同一事项，可在依法合规和保密要求下复用已形成且可验证的制度文件、台账、数据接口、测试结果和整改证据；发现问题后按性质移交：涉嫌违纪违法线索按规定移交纪检监察或有关机构，合规问题转合规和法务，财务差错转财务更正与报告，控制缺陷由流程责任部门整改，重大经营风险提交有权决策主体。移交必须有事实边界、证据目录、保密要求、接收责任人和反馈时限。

内部审计的独立性是协同的前提。审计部门不应参与项目立项、采购评审、付款批准或经营决策，也不应替代合规审查、法律审核、财务复核和纪检调查。审计可以评价这些机制是否有效、是否被绕开，但不能成为业务流程的共同执行人。只有守住这一边界，审计结论才具有公信力，整改反馈才不会演变为“自己审批、自己检查”。

风险提示与实施建议

对异常交易、异常支付、关联关系和管理层例外事项，审计结论必须以可复核证据为基础；涉及舞弊或责任线索的，应按权限及时移交，不以审计组的主观判断替代调查与责任认定。

结语

风险导向内部审计的价值，不在于发现问题数量，而在于把有限审计资源投向最可能损害战略目标、资产安全和合规底线的事项，并以可复核证据推动整改和责任闭环。大监督协同也不应追求机构叠加，而应追求风险信息更早汇集、审计判断更有依据、问题移交更有边界、整改反馈更能证明效果。对企业而言，这才是从事后检查走向风险预警和治理增值的审计路径。

本文仅供政策研究和行业交流，不构成投资、融资或法律建议

参考资料来源

1. 国务院国有资产监督管理委员会，《关于加强中央企业内部控制体系建设与监督工作的实施意见》，2019年11月。

2. 审计署，《审计署关于内部审计工作的规定》，2021年12月。

3. 国务院国有资产监督管理委员会，《中央企业合规管理办法》，2022年8月。

4. 财政部等五部委，《企业内部控制基本规范》，2008年6月。

 附：如果希望系统学习穿透式监管、五职能协同、重点业务风险穿透以及审计整改等实务内容，可进一步了解相关专题：2026—2027年：国有企业穿透式监管与合规内控风控法务审计专题活动