内部审计与风控

通用职能
├── 经营与市场线
│   ├── 战略与企划
│   ├── 公共关系与政府事务
│   ├── 内部审计与风控 ← 本篇
│   └── EHS
├── 财与法线
├── 采购与质量线
└── 项目与信息化线

定位一句话：内部审计与风控是企业的"内部体检岗"——独立于业务之外，检查流程有没有被绕过、钱有没有花错、风险有没有被漏掉，并把发现写成能被管理层与外部审计采信的报告。

一句话定义：内部审计与风控岗位负责在公司内部独立开展审计与风险管理，包括年度审计计划的制定与执行、业务流程与内控的检查评价、舞弊与违规线索的核查、重大风险的识别与预警，以及整改落实情况的跟踪。

职责边界（五类日常）：

1. 审计项目执行：按计划对采购、销售、费用、资金、库存、工程项目等开展专项审计，通过抽样、穿行测试、访谈与数据比对获取证据，形成问题清单与整改建议
2. 内控评价：评估关键流程的控制设计是否合理、执行是否到位，识别职责不分、审批缺失、权限过大等结构性问题，推动流程修订
3. 风险管理：组织或参与风险识别与评估，建立风险清单与预警指标，对重大事项（新业务、大额投入、外部合作）出具风险意见
4. 违规线索核查：对举报、异常数据或审计中发现的疑点进行核查，固定证据、还原事实，按流程移交相应部门处理
5. 整改跟踪与报告：跟踪审计发现问题的整改闭环，定期向管理层与董事会相关委员会报告审计结果与风险状况

相邻岗位辨析：

判断口诀：独立检查内部的流程与账 → 内部审计；出财务报表意见 → 外部审计；管法律合规制度 → 法务合规；审业务风险前置把关 → 金融机构风控。

入行与转出（公开口径）：

• 背景：会计、审计、财务管理、经济学类专业最常见；四大与内资事务所的审计经验是进入企业内审最主流的跳板
• 前置知识：会计准则与审计方法、内控框架常识、企业业务流程（采购、销售、生产、资金）＋ 数据分析能力（用工具做全量筛查而非只靠抽样）
• 常见入口：① 会计师事务所审计岗转企业内审；② 财务、运营、采购等业务岗转内审（懂业务是优势）；③ 大型集团内审部门的校招通道
• 适配画像：独立性与抗压性是底线要求——要能在被审计对象的压力下坚持结论；逻辑严谨、证据意识强；对细节敏感，能发现"看起来正常"的异常
• 职业特点：内审的独立性是它的价值来源，也是它的处境来源——在治理规范、管理层重视的企业里，内审有真正的话语权；在治理薄弱的企业里容易沦为形式。选岗时判断"这个企业内部审计向谁汇报、有没有实权"比看职级更重要
• 转出方向：转合规与风险管理负责人、转财务或运营管理、转内部控制咨询、转国企与上市公司治理相关岗位

这个岗位的实质：在组织内部做独立的检查与评价

合规、风控等部门是在业务前端设卡，内部审计是在事后独立检查「事情有没有按该有的方式做」。它的汇报线通常不向业务部门负责，这种独立性是这个岗位成立的前提。

产出不是处罚，而是「发现 + 建议」：找出控制上的漏洞与执行上的偏差，推动整改，并让管理层了解真实的风险状况。

一次内部审计项目怎么走

第一步：年度计划。 基于风险评估确定审计对象与优先级——风险高、金额大、变化大的领域优先。

第二步：项目方案。 明确审计目标、范围、时间与人员安排，范围定得过大是新人常见错误，导致没有深度。

第三步：现场工作。 访谈、查阅资料、穿行测试（跟着一笔业务从头走到尾）、数据分析，穿行测试往往最能发现问题。

第四步：形成发现。 每条发现应包含「事实、标准、影响、建议」四要素，缺任何一项都会被质疑。

第五步：报告与沟通。 与被审计单位确认事实，避免报告与实际不符；沟通是减少对抗的关键步骤。

第六步：整改跟踪。 定期跟进整改状态，未闭环的问题要向管理层升级——跟踪环节才是审计产生价值的环节。

审计发现的三种类型与处理方式

• 执行偏差：制度有要求但没有做到，通常是流程繁琐或培训不足导致，建议是简化或强化培训；
• 控制缺失：该有的控制点不存在（如审批、复核、对账），建议是补上控制点；
• 设计缺陷：制度本身不合理，导致合规与效率冲突，建议是修改制度。

分清类型很重要：把设计缺陷当成执行问题去追责，只会带来对立，问题依旧存在。

与外部审计、风控、合规的边界

• 外部审计：为外部使用者（股东、监管）提供独立意见，内审可以利用其结果但目标不同；
• 风控：在业务前端设定标准与限额，内审检查的是「风控是否有效运作」；
• 合规：负责规则解读与培训，内审评价合规体系的有效性；
• 内审的独特性：视角更宽、更偏整体，重点在体系与控制是否真正起作用。

独立性怎么保持

• 汇报线设计：向董事会或审计委员会报告，是独立性的制度保障；
• 不参与被审业务的日常决策：参与执行会让检查失去客观性；
• 人员轮换与回避：与相关人员存在利益关系时应回避；
• 抵御压力：面对业务方的解释与压力，以事实与制度为依据，必要时向更高层报告。

三个常见认知误区

• 以为内审就是「找茬」。 目标是改进控制、减少损失，好的内审是业务愿意提前请教的伙伴；
• 以为内审只看财务。 现代内审覆盖运营、合规、IT 与项目，范围远比财务审计宽；
• 以为发现问题就完了。 没有整改闭环的审计等于没做。

知识结构与成长路径

知识结构：业务流程与内控框架、财务与数据基础、法规与合规常识、访谈与书面表达。

成长路径：内审专员 → 高级内审 → 内审负责人或风控合规方向负责人。横向出口包括风控、合规、流程优化与业务管理方向。这条线积累的是「看体系」的能力，对组织理解深，是可迁移性较强的一类经验。

年度审计计划怎么做

• 风险打分：从金额规模、发生频率、近期变化（新系统、新政策、新负责人）、以往发现数量、外部关注程度几个维度评估；
• 周期设定：高风险领域每年覆盖，中风险两至三年一轮，长期不查的领域容易积累系统性偏差；
• 预留弹性：计划内留出应对专项任务的空间，不要把全年排满；
• 确认与授权：计划经审计委员会或最高管理层批准后执行。

现场取证的常用方法

• 穿行测试：跟着一笔业务从头走到尾，能同时验证流程与执行；
• 抽样检查：按金额、时间或随机方式抽样，检查审批、凭证与记录；
• 实地观察：看现场实际怎么做，很多时候与制度描述不同；
• 访谈：与经办人、复核人、管理者分别了解；
• 数据分析：对整体数据做比对与筛选，用于定位异常而非直接下结论；
• 函证与第三方核对：涉及外部往来时，与对方直接确认。

取证的基本要求是「可复核」：另一个人拿着你的底稿，应该能得出与你相同的结论。

访谈的技巧

• 先问流程，不问责任：从「这笔业务怎么走」开始，避免对方进入防御状态；
• 追问证据：把「平时都这样」变成「请给我一两个具体例子」；
• 不预设结论：带着结论提问，只会得到附和或对抗；
• 分别访谈，交叉印证：同一环节的不同角色说法不一致，往往就是问题所在；
• 记录准确：重要陈述当场确认与记录。

审计报告怎么写

• 四要素：事实、标准、影响、建议——每条发现都应当能被这四项拆开检验；
• 不写形容词：「管理混乱」「严重失职」这类表述既无意义又制造对立；
• 量化影响：涉及金额、次数、时长的，尽量量化；无法量化的说明估计依据；
• 事实先确认：与被审单位确认事实后再定稿，有争议的事实要如实记录双方意见；
• 建议可执行：写清责任方与做法，避免「加强管理」这类空洞建议。

整改跟踪怎么做

• 建台账：问题、责任人、承诺完成时间、当前状态；
• 分级跟踪：重大与高频问题按月跟踪，一般问题按季跟踪；
• 验证而非采信：看到整改证据再销号；
• 升级机制：逾期未改的问题向管理层报告，跟踪机制有没有牙齿决定了审计的权威。

与舞弊调查的区别

• 审计的职责是评价控制，不是侦查违法行为；
• 发现异常线索时：保全证据、按规定上报，由有权限的部门决定是否进一步调查；
• 不自行对当事人进行询问定性：超出授权范围的行动可能影响后续处理；
• 保持审慎与保密：涉及个人问题的信息严格控制知悉范围。

给新人的建议

1. 先把业务流程读懂：不熟悉业务就查不出问题；
2. 练好底稿与表达：审计的说服力来自证据与逻辑，不来自语气；
3. 保持客观：既不迎合业务方，也不带着惩罚心态；
4. 学会沟通预期：进入项目前说清会看什么、需要什么配合、大概多久，能显著降低对抗。

数据与系统相关的审计

• 权限检查：谁有权限、是否与实际职责相符、离职与转岗后的权限是否及时收回；
• 日志与痕迹：关键操作是否有记录，记录是否可追溯；
• 接口与批量处理：系统之间的数据传输有没有校验与异常处理；
• 数据一致性：不同系统间同一事项的数据是否能对上，对不上往往意味着流程存在绕行；
• 变更管理：系统与规则的变更是否经过评估、测试与批准。

这类检查的价值随着业务数字化程度上升而提高，也是内审近年投入增长较快的方向。

一条实务提醒

发现的表述方式，很大程度上决定了整改能不能推进。

同样的事实，写成「某环节未按制度执行」与写成「某人失职」，得到的配合完全不同。审计要审的是流程与机制，不是人；把人推到对立面，后续的沟通和验证都会变得困难。

另外，报告要敢于写，也要写得准：没有证据支撑的判断不要写进报告，一旦被反驳，整份报告的可信度都会受影响。