内部审计整改销号怎么做？从措施落地到控制复测的完整方法

销号应看什么

内部审计整改销号，不能只凭责任部门提交一份说明或系统状态改为“完成”。应先核对审计发现的原问题是否得到处置，再核对导致问题的控制缺口是否已修补，最后用适当样本检验新控制在真实业务中是否运行。可以把判断分为“纠正事实、修订规则、执行新规则、复测效果”四层；不同问题不必机械走相同程序。销号结论要指明适用范围、证据、尚存风险和复核人。

本文所说的复测，是企业可采用的管理方法，不是监管机关统一规定的样本数量或观察天数。内审机构不应替业务部门整改；审核认定的口径应以适用规则和企业制度为准。

政策与管理背景

审计署2018年1月12日公布、同年3月1日起施行的《审计署关于内部审计工作的规定》第十四条，要求单位党组织、董事会或者主要负责人加强对问题整改等重要事项的管理；第十九条要求单位对典型性、普遍性、倾向性问题及时分析研究，完善制度和内部控制措施。这说明整改不仅是补一张旧单据，也包括处理共性原因。

国务院国资委2020年9月28日印发的《关于深化中央企业内部审计监督工作的实施意见》第二十三项“强化整改跟踪审计及审计结果运用”，要求中央企业建立问题整改台账及销号制度，由内部审计机构制定统一标准，对已整改问题审核认定、验收销号。该文件明确的是央企管理要求，并未规定“上传材料即可销号”。

国务院国资委2019年印发的《关于加强中央企业内部控制体系建设与监督工作的实施意见》要求跟踪检查重大风险隐患和内控缺陷整改，并将落实情况纳入年度内控体系抽查评价，以避免重复整改、形式整改。地方国企可借鉴方法，但应另核地方国资监管要求和本企业制度，不能将央企文件不加区分地视为直接适用规定。

企业痛点：台账完成，风险还在

一种常见的假设情境是：审计发现采购需求审批曾绕过授权，责任部门后来补录审批表、修订制度并在台账填“已整改”。如果新发生的采购仍能先下单后审批，原单据虽然补全，控制实际上没有运行。这个情境仅用于解释方法，不是对具体企业的事实描述。

问题还可能被拆成互不关联的单项任务：财务追回款项，业务补齐手续，信息部门上线提醒，但没有人检验岗位权限、审批时点和例外处理是否一起改变。结果是材料很多，无法回答同类业务是否还会按旧路径发生。

内审也可能只检查整改部门的说明，未查看原始业务、系统日志或抽样记录。若整改标准不清，完成率容易被误读为风险消除率；若内审直接代替业务制定并执行控制，独立复核的边界又会模糊。

专业分析：把四个状态分开

第一层是“纠正事实”。对已发生的错误付款、漏批、账实差异等，核实追回、冲正、补办或其他处置的真实结果。事后补签只能证明事后采取了动作，不能自动证明原程序当时合规，也不能抹去既有风险。

第二层是“控制设计”。找出问题成因：规则缺失、权限过宽、职责冲突、数据未校验，还是人员违反既有规则。前四类可能需要改制度、流程、岗位权限或系统约束；最后一类也要评估监督与例外预警是否充分。制度修订稿通过，只说明设计层面有动作。

第三层是“运行证据”。新规则开始执行后，取其覆盖的真实业务样本，核对审批发生时点、授权身份、原始凭据和例外记录。抽样窗口要覆盖相关业务实际发生的周期；低频事项可先核验配置与演练，并明确待真实业务发生后再跟踪，不能虚构已验证的运行效果。

第四层是“持续跟踪”。复测合格不是永久担保。对重大、重复或跨单位问题，后续抽查同类交易、单位和时间段，观察是否复发。若尚有残余风险，应写明责任人、期限和监测指标，而不是用一句“基本整改到位”掩盖缺口。

实施方法：一项问题一套可复核证据

先建立问题卡片。记录发现来源、事实和发生区间、涉及业务、风险等级、责任部门、成因判断、整改目标与原定时限。明确判断标准：哪项历史事实需要纠正，哪项控制应改变，何种证据可以证明。内审与整改部门对标准的理解有分歧时，应按企业治理程序记录并上报，而非单方改写原问题。

再由责任部门实施。业务部门提供原始交易和整改结果，制度或流程主管修改规则，信息部门落实权限、字段或日志，内控部门协助检查设计一致性。每项措施都保留批准版本、生效日期、责任岗位以及实际业务记录；如果使用替代性控制，说明替代原因和有效期限。

然后由内审机构按风险复核。对一次性错误，重点验证处置结果；对设计缺陷，检查新规则能否覆盖原场景；对运行缺陷，抽查新规则生效后的业务；对系统性问题，扩大到同类单位或流程。抽样方法、总体、样本、异常及判断理由应留底。样本量由风险、频率和可取得证据决定，本稿不设统一数量。

最后形成三类结论：证据充分且目标达到的，按制度验收销号；措施已完成但尚无运行周期或存在待核事项的，记录待复测状态与时点，不把它伪装成完全销号；发现仍按旧方式操作的，退回继续整改。重大分歧和逾期事项向有权管理层报告。销号后再设置复发监测，复发时关联原问题编号重新分析成因。

常见误区

误区一，整改计划通过就算销号；计划证明意图，不证明执行。误区二，补齐历史材料就称原流程合规；应区分事后纠正与当时履职。误区三，内审复测必须有固定样本数和观察天数；现行所引文件并未给出通用数字。误区四，系统出现“完成”状态就代表控制有效；仍要看原始业务与系统日志。误区五，一次复测未见异常就承诺不再发生；只能对测试范围和时段作出有边界的结论。

常见问题解答

问：整改部门能否自行销号？答：应按适用制度确定提交、审核和批准分工。对中央企业，国务院国资委2020年《关于深化中央企业内部审计监督工作的实施意见》明确内部审计机构对已整改问题审核认定、验收销号。

问：新制度刚生效，没有交易样本怎么办？答：可以先验证制度批准、权限配置与流程演练，明确“运行效果待复测”，待真实交易出现后补做检验；不能把演练称作真实运行。

问：已经追回损失，是否还需改控制？答：先查问题成因。若根因是制度、权限或执行缺陷，追回款项仅解决后果，仍要对重复发生的可能性采取措施。

相关文章与活动

可延伸阅读中智博诚的穿透式监管七维框架、重大事项会签责任边界和合同履约证据链等相关专题。

相关学习可围绕国企内部审计、内控评价、整改闭环和责任协同研讨。