【摘要】
企业出了问题，往往问同一句话：“怎么一直没人发现？”
答案通常指向同一个短板：没有独立的检查机制。
内部审计就是这个机制。它由企业内部设立、独立于被审计业务，对财务、合规、经营与内部控制进行检查与评价，并向董事会或主要负责人报告。
它的价值可以概括为三句话：
第一，它是”内部的眼睛”。 业务部门往往”自己查自己”，而内审提供独立的视角。
第二，它是”改进的推手”。 内审不只找问题，更要推动整改与流程优化。
第三，它是”风险的屏障”。 在舞弊、内控失效、合规风险爆发之前，把它识别出来。
与”反舞弊”的关系需要说清楚：反舞弊是内部审计的重要职能之一，但不是全部。 内审还承担财务审计、合规审计、经营审计、专项审计等职能。
对中小企业来说，一个现实问题是：没有条件设专职内审部门，怎么办？ 答案是：可以从”关键控制点的定期检查”开始，部分专业性工作可借助外部机构。
本文梳理内部审计的定位与类型、企业内部控制的基本框架、舞弊的成因与识别信号、审计实施流程、中小企业落地路径与常见误区。附 2 张表。
一、内部审计的定位与边界
内部审计的核心特征是三点：
一是”独立”。 不参与日常业务执行，直接向治理层或主要负责人报告——这是内审有效性的前提。
二是”客观”。 以事实与数据为依据，不受部门利益影响。
三是”既监督也服务”。 既发现问题，也提出改进建议——现代内审更强调”增加价值”。
与另外两类审计的区别：
| 类型 | 主体 | 目的 | 对企业的作用 |
|---|---|---|---|
| 内部审计 | 企业内部设立 | 检查评价内控、合规与经营，推动改进 | 内部管理工具 |
| 外部审计（注册会计师） | 第三方机构 | 对财务报表发表审计意见 | 对外信用背书 |
| 政府/监管审计 | 政府审计机关 | 监督公共资金与政策执行 | 涉及财政资金时的监督 |
关键区别是”目的不同”：内审的目的是”改善管理”，外审的目的是”发表意见”。 两者不能互相替代。
二、内部审计的六类业务
第一类，财务审计。 检查会计核算、报表编制、资金收付的真实性、合法性与完整性。
第二类，合规审计。 检查是否遵守法律法规、内部制度与合同约定（如税务、劳动用工、环保、招投标合规）。
第三类，经营审计。 检查采购、生产、销售等经营活动的效率与效果，寻找降本增效空间。
第四类，内部控制审计。 检查内部控制设计的合理性与执行的有效性。
第五类，专项审计。 针对特定事项（如工程项目、大额采购、对外投资）开展。
第六类，舞弊调查。 对疑似舞弊线索进行调查，固定证据、查明事实、提出处置建议。
对多数中小企业而言，最优先做的是前三类：财务、合规与采购销售环节的经营审计。
三、内部控制的基本框架
内部审计的检查对象，主要是内部控制。内部控制通常包含五个要素：
第一，内部环境。 治理结构、组织架构、权责分配、企业文化与人力资源政策。
第二，风险评估。 识别与分析经营中的各类风险，确定应对策略。
第三，控制活动。 具体的控制措施，包括七类常见手段：
| 控制手段 | 具体做法 | 适用场景 |
|---|---|---|
| 不相容职务分离 | 授权、执行、记录、保管、监督分离 | 采购、付款、存货、资金 |
| 授权审批控制 | 分级授权、重大事项集体决策 | 大额支出、对外担保、投资 |
| 会计系统控制 | 凭证、账簿、报表的规范与核对 | 全流程 |
| 财产保护控制 | 实物盘点、出入库管理、专人保管 | 存货、固定资产、现金 |
| 预算控制 | 预算编制、执行、分析与考核 | 费用与投资 |
| 运营分析控制 | 关键指标的定期分析比对 | 采购价格、成本、损耗 |
| 绩效考评控制 | 考核与奖惩 | 全员 |
第四，信息与沟通。 信息系统的建设与信息传递机制。
第五，内部监督。 日常监督与专项监督， 发现缺陷并推动整改。
这五要素对企业的实际意义是：内控不是”多加几道审批”，而是”让权力、信息与责任形成制衡”。
其中最基础、成本最低、效果最明显的是”不相容职务分离”——采购的人不付款、保管的人不记账、审批的人不执行。
四、舞弊的成因与识别信号
理解舞弊，一个实用的框架是”舞弊三角”：
压力——业绩考核压力、个人财务压力、职业发展压力。
机会——内部控制薄弱、监督缺位、权限过于集中。
借口——“我只是借用””大家都这么做””公司欠我的”。
其中”机会”是企业最可控的一环——内控的核心作用就是压缩”机会”。
常见的舞弊识别信号：
| 环节 | 异常信号 |
|---|---|
| 采购 | 供应商单一且长期不变、价格明显高于市场、频繁更换但资质相近 |
| 销售 | 回款异常、客户信息不完整、折扣异常集中 |
| 付款 | 收款账户频繁变更、付款日期集中在特定时段 |
| 存货 | 账面与实物差异反复出现、废料处置价格异常 |
| 费用 | 报销集中在个别人员、发票连号、金额接近审批上限 |
| 人员 | 拒绝轮岗与休假、对流程异常敏感、生活方式与收入不符 |
这张表的用法是”交叉验证”：单一信号可能只是巧合，多个信号同时出现就需要启动核查。
重要提醒：信号只是线索，不是结论。 任何核查都应基于事实与证据，避免误伤。
五、审计实施流程
第一步，制定审计计划。 基于风险评估确定审计对象、范围、时间与资源（年度计划通常由治理层批准）。
第二步，准备与通知。 了解被审计对象、收集资料、确定审计程序（舞弊调查通常不预先通知）。
第三步，实施审计。 查阅资料、访谈、实地盘点、数据分析、穿行测试。
第四步，形成发现与沟通。 对发现的问题与被审计部门沟通确认——这一步能显著减少后续争议。
第五步，出具审计报告。 说明发现、原因、影响与建议，明确整改要求与时限。
第六步，整改跟踪。 对整改情况进行复核，未整改的提交治理层。
第六步最容易被忽略，也最关键：没有整改跟踪，审计就只是”提了一堆问题”。
六、中小企业怎么做内审
现实做法有三条：
路径一，设专职或兼职内审岗。 由熟悉业务的财务或管理人员兼任， 但需确保其独立性（不直接负责被审计的业务）。
路径二，从”关键控制点检查”起步。 每季度检查几项高风险事项：采购比价、付款审批、存货盘点、费用报销、合同履约。 不必一开始就做全流程审计。
路径三，部分外包。 将专项审计、税务复核、舞弊调查等专业性较强的工作委托外部机构，内部人员负责组织、对接与整改跟踪。
一条建议：第一年只做一件事也行——”采购与付款的专项检查”。 这两个环节资金流出集中、舞弊风险最高，检查效果最直接。
七、常见误区
误区一：”内审就是查账。” 内审覆盖合规、经营与内控，财务审计只是其中一类。
误区二：”内审是财务部门的下属。” 不独立的内审等于没有内审。
误区三：”查问题越多越有价值。” 内审的价值在”推动改进”，不是”发现问题数量”。
误区四：”发现舞弊就报警处理。” 应先固定证据、评估影响与法律责任，再决定处置方式。
误区五：”小企业不需要内审。” 小企业反而更依赖”人”的控制，一旦关键人出问题，损失更直接。
八、能力自测：六个问题
- 企业是否设有（或明确）内部审计职能，并向主要负责人报告？
- 关键环节是否做到了不相容职务分离（如采购与付款分离）？
- 是否每季度对采购、付款、存货、费用中的至少两项进行抽查？
- 是否有明确的举报渠道与调查程序？
- 上次审计发现的整改事项，是否已跟踪落实？
- 关键岗位是否安排轮岗或强制休假？
第 5 题回答”没有跟踪”，说明审计的价值正在流失。
九、审计发现的分类与整改
审计发现的处理，应按严重程度分类，并配置不同的整改要求：
| 分类 | 典型情形 | 整改要求 |
|---|---|---|
| 重大缺陷 | 涉及舞弊、重大损失、系统性失效 | 立即整改，报治理层，必要时启动调查 |
| 重要缺陷 | 关键控制缺失或长期未执行 | 限期整改，明确责任人与时限 |
| 一般缺陷 | 流程不完善、记录不规范 | 纳入日常改进计划 |
| 改进建议 | 效率优化、管理提升 | 视资源情况推进 |
分类的意义在于”资源投向正确的地方”：把主要精力放在重大与重要缺陷上，一般缺陷通过常规管理改进即可。
整改闭环的三个要素：一是责任人明确；二是时限明确；三是复核机制明确。 缺少任何一项，整改都会流于形式。
一条经验：整改情况应纳入部门考核——只有与考核挂钩，整改才真正有推动力。
十、如何做一次采购专项检查
对首次开展内审的企业，”采购与付款专项检查”是最好的起点。检查步骤有六：
第一步，确定范围。 选择一个时间段、若干主要供应商或若干大额采购项目。
第二步，核对流程。 抽取样本，检查从”申请—比价—审批—合同—验收—付款”的完整链条。
第三步，价格比对。 将采购价格与市场价格、历史价格、同类供应商价格做比对。
第四步，供应商核查。 核查供应商的资质、关联关系、成立时间与经营范围是否匹配。
第五步，资金核对。 核对付款账户、付款时间与合同约定是否一致。
第六步，形成报告。 列出发现、原因、影响与改进建议，并明确整改责任。
这六步不需要复杂的工具，一台电脑、一批凭证、一套抽样方法就能完成。 关键是”抽得准、查得细、跟得住”。
对中小企业而言，第一次做内审不必追求”全面覆盖”——把采购与付款这两个环节查透，价值往往超过”泛泛地看一遍账”。
十一、审计报告怎么写才有用
内部审计报告的价值不在于”文采”，而在于”被采纳”。
| 报告要素 | 常见问题 | 改进方向 |
|---|---|---|
| 问题描述 | 笼统、无证据 | 用事实、数据、凭证支撑 |
| 影响分析 | 只讲现象 | 量化风险与损失 |
| 原因分析 | 归咎个人 | 从制度、流程、人三方面剖析 |
| 整改建议 | 空泛口号 | 具体、可执行、有责任人 |
| 后续跟踪 | 提完就不管 | 建立整改台账、闭环管理 |
一份好的审计报告，应做到”让被审计部门看完就知道该改什么、怎么改、什么时候改完”。避免使用”建议加强管理”这类无法落地的表述。
十二、内审与外部审计的配合
内审和外审不是”两套班子打架”，而是互补关系。
| 维度 | 内部审计 | 外部审计 |
|---|---|---|
| 目标 | 改善管理、防范风险 | 独立鉴证、满足监管或股东要求 |
| 范围 | 全面、可深可广 | 聚焦财务或特定事项 |
| 频次 | 常态化 | 定期（年度或专项） |
| 关系 | 提供资料与配合 | 独立判断 |
实务中，内审可以提前完成”基础资料整理”和”内部核查”，让外审更高效；外审发现的问题，也可以交给内审跟踪整改。两者信息共享、减少重复劳动，是中小企业也能做到的低成本改进。
十三、FAQ
问：内部审计和外部审计有什么区别？
目标不同：内审服务于内部管理，目的是改善控制与经营；外审对财务报表发表意见，服务于外部使用者。 内审可以直接查经营管理问题，外审主要围绕报表的真实公允。
问：小企业没条件做内审怎么办？
可以从”关键控制点抽查”开始：每季度选两项高风险事项进行检查；专业性强的部分委托外部机构。 关键是有人负责、有检查、有整改。
问：发现员工舞弊，应该怎么处理？
建议按三步处理：先固定证据（书面材料、系统记录、资金流向）；再评估金额、性质与法律后果；最后决定内部处理或移送。 处理过程中的保密与合法性同样重要。
本文涉及的内控规范、审计准则与法律责任，均以最新法律法规与主管机关规定为准。
十四、行动建议：三步
第一步，明确内审职能。 确定责任部门或岗位，明确其独立性与报告路径。
第二步，抓关键控制点。 先做”采购与付款””存货与费用”的专项检查，形成检查模板。
第三步，建立整改闭环。 对每次检查的发现，明确整改责任人与时限，并定期复核。
如需了解企业内部审计职能设置、内控体系搭建与反舞弊调查方法，可结合企业实际进一步沟通。
延伸阅读
本文涉及的政策名称、申报时间与奖补金额，均以官方最新发布为准；文中不确定项已作标注。
发表回复