3. 审计证据的法律法规基础：相关法规、准则与标准

这一节咱们聊点硬核的。很多人觉得合规审计就是翻翻文件、对对照表，其实不然。你拿出来的证据能不能站住脚，说到底，得看它有没有法律和准则的支撑。说白了，做审计不是拍脑袋，是拿着尺子量。这把尺子，就是法律法规、准则和标准。

我带过一个项目，对方的证据做得挺漂亮，表格工整、签章齐全。但细究下去，用的取证方法根本不符合《中国注册会计师审计准则》的要求。嗯，后来整个证据链都被推翻了。所以，你想想看，懂规则比会填表更重要。

3.1 审计证据的“上维法律”体系

所有审计证据的合法性、合规性，都源于一个金字塔式的法律体系。我个人习惯先把这个底层逻辑搞通，再去看那些零散的条款。

你看这个图，每一层都是下一层的依据。上位法的规定会散见于多个下位法中。我刚开始做审计时，只看准则不看法律，结果被挑出了毛病。后来我养成了习惯——遇到关键证据，先问一句：这个取证动作，法律上允许吗？

3.2 核心法律文件解读

下面这几部法律，是咱们做合规审计必须烂熟于心的。不用全背，但关键条款得知道去哪查。

法律/准则名称	核心涉及条款	对审计证据的影响
《中华人民共和国审计法》	第32条：审计机关有权要求被审计单位提供财务、电子数据和相关资料。 第34条：被审计单位不得拒绝、拖延、谎报。	明确了被审计单位提供证据的法定义务。证据获取的合法性基础在此。
《中华人民共和国会计法》	第14条：原始凭证必须真实、合法、准确、完整。 第17条：各单位应当定期将会计账簿与实物、款项核对。	决定了财务类证据（发票、凭证、台账）的证明力。虚假原始凭证不能作为证据。
《企业内部控制基本规范》	第4条：内控目标包括合规、资产安全、信息真实。 第22条：要求建立反舞弊机制。	证据需要能证明内控设计和执行到位。合规审计的核心就是在测试控制点。
《中国注册会计师审计准则第1301号——审计证据》	第4条：审计证据的充分性（数量）和适当性（质量）。 第7条：证据获取程序（检查、观察、询问、函证等）。	这是证据收集的“操作说明书”。规定了什么样的证据才叫“适当”。

3.3 关键准则的实战应用

光有法律条文还不够，落到实操上，得靠准则。这里重点讲三个方向，你填写证据报告时经常会遇到。

3.4.1 充分性与适当性：证据的“量”与“质”

• 充分性（数量够不够）：证据数量要能覆盖整个审计期间。比如你抽查差旅报销，不能只抽一个月的，得覆盖整个审计年度，尤其关注业务高峰期。
• 适当性（质量好不好）：包括相关性和可靠性。
  • 相关性：证据得直接支持你的审计结论。内控问卷的结果不能直接当成舞弊证据用。
  • 可靠性：外部证据优于内部证据（比如银行对账单优于内部账本）；原始证据优于复印件；直接证据优于间接证据。

3.4.2 审计程序与证据类型：用什么方法取什么证

准则规定了七种取证程序，每种程序产出的证据形态不同。我建议你在模板中，为每一份证据注明它的“来源程序”。

程序	典型证据产出	证据可靠性
检查	文件、合同、凭证的复印件或扫描件	中-高
观察	现场观察记录、视频截图、工作底稿	中
询问	访谈笔录、邮件询问回复	低-中
函证	银行询证函、往来款询证函	高
重新计算	重新计算的底稿、数据校验记录	高
重新执行	控制测试结果、穿行测试记录	高
分析程序	趋势分析图、比率分析表、异常波动说明	中-高

3.4.3 电子证据的特殊法规要求

现在很多业务都走线上，电子证据越来越多。关于电子证据，有几条硬杠杠。

• 《电子签名法》：可靠的电子签名与手写签名具有同等法律效力。你得确认系统的电子签名是否满足“可靠性”条件（比如CA证书认证的）。
• 《数据安全法》及《个人信息保护法》：收集证据时不能超范围获取个人信息。取证系统要有审计日志，证明数据未被篡改。
• 司法实践中的“孤证不为证”：电子证据最好有辅助证据印证。比如，你拿系统日志当证据，最好有相应的操作录屏或审批单作为交叉验证。

嗯，说到电子证据，我建议你在模板中增加一个“电子证据完整性校验”的选项。比如，文件的哈希值、操作的时间戳、系统日志的审计ID。这些细节，往往是大项目合规检查的必查项。

3.4 总结与优先级

这一章的内容比较多，但核心就三句话：

1. 取证行为必须合法：所有的证据获取，都要在《审计法》《会计法》等上位法中找到依据。没有法律基础的程序，产出的证据无效。
2. 证据质量必须符合准则：充分性、适当性两个指标，是衡量证据能否成为“审计证据”的唯一标准。你的模板里，每一项证据都得能回答这两个问题。
3. 特殊类型证据要特殊处理：电子证据、函证、观察记录，各有各的法规要求。别想着一套模板通吃所有。

你可以在自己的知识库中，把今天提到的这几部法律和准则做成一个快速索引表。每次做完审计，对照着过一遍，漏掉哪一条都是隐患。