2. 合规审计基础框架：COSO内控框架、ISO 37301合规管理体系、PDCA循环在审计中的应用
厂务合规审计并非凭空构建，而是建立在成熟的管理框架之上。本章将深入解析三大核心框架：COSO内部控制框架（提供审计评估的基准）、ISO 37301合规管理体系（提供系统化建设与认证标准）以及PDCA循环（提供持续改进的审计流程引擎）。理解这三者的关系，是设计有效审计程序的前提。
核心观点： COSO是“体检标准”，ISO 37301是“健康管理体系”，PDCA是“康复训练流程”。三者结合，才能实现从“发现问题”到“系统治愈”的闭环。
2.1 COSO内部控制框架：审计评估的基准模型
COSO（Committee of Sponsoring Organizations）发布的《内部控制——整合框架》是全球公认的内控与审计评估标准。2013版框架将内控分解为三大目标和五大要素，是厂务审计中识别控制缺陷的底层逻辑。
2.1.1 三大目标与五大要素
| 类别 | 名称 | 在厂务审计中的映射 |
|---|---|---|
| 目标 | 运营目标 | 设备OEE、能耗效率、备件库存周转率 |
| 报告目标 | 能耗数据真实性、维修记录完整性、合规报告准确性 | |
| 合规目标 | 环保排放达标、安全法规遵守、特种设备年检合规 | |
| 要素 | 控制环境 | 管理层对合规的重视程度、组织架构与权责分配 |
| 风险评估 | 识别厂务系统中的火灾、泄漏、停机等风险点 | |
| 控制活动 | 审批流程、物理隔离、双人操作、定期巡检 | |
| 信息与沟通 | 异常报警系统、跨部门合规通报机制 | |
| 监控活动 | 持续监控（SCADA数据）与独立评估（内部审计） |
审计实战提示： 在编制审计检查表时，建议按“五大要素”维度设计问题。例如，针对“控制活动”，可提问：“废水处理站的pH调节阀是否有定期校准记录？校准标签是否过期？”
2.1.2 COSO在审计流程中的定位
在厂务合规审计中，COSO框架主要用于控制测试阶段。审计师通过对比实际控制活动与COSO标准，评估控制设计的合理性与执行的有效性。
2.2 ISO 37301合规管理体系：系统化建设与审计标准
ISO 37301:2021《合规管理体系——要求及使用指南》为组织建立、实施、维护和改进合规管理体系提供了系统化框架。对于厂务部门，该标准将合规从“被动应对”提升为“主动管理”。
2.2.1 ISO 37301核心要素
- 组织环境： 识别厂务运营的内外部合规环境（如环保法规、行业标准、公司政策）。
- 领导作用： 厂务管理层需承诺合规方针，分配合规职责（如任命合规官）。
- 策划： 制定合规目标、识别合规风险、规划应对措施。
- 支持： 提供资源、培训、沟通与文件化信息（如SOP、操作手册）。
- 运行： 实施控制措施、管理变更、建立举报渠道。
- 绩效评价： 监控、测量、分析、内部审计与管理评审。
- 改进： 纠正不符合项，持续改进合规绩效。
常见误区： 很多厂务部门将ISO 37301等同于“写一堆文件”。实际上，该标准的核心在于“运行”与“绩效评价”。审计时应重点关注：合规控制是否在日常运行中被执行？绩效指标是否被定期监控？
2.2.2 ISO 37301与COSO的对比
| 维度 | COSO内控框架 | ISO 37301合规管理体系 |
|---|---|---|
| 焦点 | 内部控制整体有效性 | 合规风险的系统化管理 |
| 结构 | 3目标 + 5要素 | PDCA循环 + 7个核心条款 |
| 审计应用 | 评估控制设计与执行 | 评估体系符合性与有效性 |
| 输出 | 内控缺陷报告 | 合规审计报告 + 不符合项报告 |
| 认证 | 无认证，仅作为框架 | 可申请第三方认证 |
2.3 PDCA循环：审计流程的持续改进引擎
PDCA（Plan-Do-Check-Act）循环是ISO 37301和ISO 9001等管理体系的核心逻辑，也是厂务合规审计流程设计的底层方法论。每一次审计都是一次完整的PDCA循环。
2.3.1 PDCA在审计中的四阶段映射
| 阶段 | 审计活动 | 关键输出 |
|---|---|---|
| P (Plan) | 制定审计计划：确定范围、目标、资源、时间表、风险导向 | 审计计划书、审计检查表 |
| D (Do) | 执行审计：现场观察、文件审查、人员访谈、数据采集 | 审计工作底稿、发现汇总 |
| C (Check) | 审计发现评估：确认不符合项、评估严重程度、分析根本原因 | 不符合项报告、审计发现清单 |
| A (Act) | 整改与跟踪：制定纠正措施、验证整改效果、更新控制程序 | 整改计划、整改验证报告、管理评审输入 |
最佳实践： 建议在每次审计结束后，召开“PDCA复盘会”。审计团队与厂务管理层共同回顾：本次审计的P阶段是否充分？D阶段是否遗漏关键区域？C阶段的根本原因分析是否到位？A阶段的整改措施是否闭环？
2.4 三大框架的融合应用：厂务审计实战模型
在实际厂务合规审计中，三大框架并非孤立使用，而是形成一套融合模型：
- 以ISO 37301为体系骨架： 建立厂务合规管理体系，明确合规方针、目标与职责。
- 以COSO为评估工具： 在审计执行阶段，使用COSO五要素评估控制的有效性。
- 以PDCA为流程引擎： 驱动审计计划、执行、检查、整改的持续循环。
融合模型示例： 某半导体厂务部门在年度合规审计中，首先依据ISO 37301条款8.2（运行策划与控制）确定审计范围；然后使用COSO框架评估“化学品存储区”的控制环境、风险评估与控制活动；最后通过PDCA循环跟踪整改措施的落实，并在下次审计中验证改进效果。
2.4.1 融合框架下的审计检查表示例
| 审计区域 | ISO 37301条款 | COSO要素 | PDCA阶段 | 检查要点 |
|---|---|---|---|---|
| 废水处理站 | 8.1 运行策划与控制 | 控制活动 | D (执行) | pH调节阀是否按SOP操作？是否有双人复核？ |
| 特种设备管理 | 7.5 文件化信息 | 信息与沟通 | C (检查) | 年检报告是否归档？下次检验日期是否已标识？ |
| 化学品仓库 | 6.1 应对风险的策划 | 风险评估 | P (计划) | 是否完成化学品泄漏风险评估？是否有应急预案？ |
| 能耗数据上报 | 9.1 监视、测量、分析和评价 | 监控活动 | A (改进) | 上月能耗异常数据是否已分析？纠正措施是否闭环？ |
避坑指南： 不要为了“融合”而强行套用框架。审计的核心是“发现问题并推动整改”，框架只是工具。如果某个控制点用COSO评估已经足够，就不必再硬套ISO 37301条款。灵活运用，避免审计程序过于臃肿。
2.5 本章小结
- COSO框架 提供了审计评估的“基准尺”，帮助审计师系统化地评估控制设计与执行。
- ISO 37301 提供了合规管理的“体系图”，帮助厂务部门建立系统化的合规管理能力。
- PDCA循环 提供了审计流程的“发动机”，确保审计从计划到整改形成闭环。
- 三者的融合应用，是厂务合规审计从“经验驱动”走向“体系驱动”的关键。