审计流程框架：计划、执行、报告、跟进

审计这事，说白了就是一套标准动作。

不管你是查财务、查合规，还是查信息安全，底层的逻辑都一样。我刚入行那会儿，觉得每次审计都是全新挑战，后来做多了才发现——万变不离其宗。

这个“宗”，就是四个阶段：计划、执行、报告、跟进。

我把这套框架叫做审计的“四步法”。你把这个骨架搭稳了，剩下的就是往里填肉。

---

3.1 计划阶段：别急着动手

我见过太多新手一上来就开始翻凭证、查记录。结果呢？查了半天才发现方向偏了。浪费的时间，比真正干活的时间还多。

计划阶段的目标只有一个：搞清楚“查什么”和“怎么查”。

我个人习惯把计划阶段拆成五个步骤：

1. 理解业务：先搞懂被审单位的业务流程、组织架构、关键控制点。不懂业务就做审计，那是瞎忙活。
2. 识别风险：哪些环节容易出问题？历史上有过什么教训？行业里有什么通病？把这些风险点列出来。
3. 评估重要性：不是所有风险都要查。金额大的、性质严重的、影响广泛的，优先查。
4. 制定程序：针对每个风险点，设计具体的审计测试方法。是抽样？是分析？还是访谈？
5. 分配资源：谁负责哪块？时间怎么安排？预算够不够？

计划要素	常见坑点	我的建议
项目背景	信息过时或不全	至少找3个不同层级的人访谈
风险清单	全凭主观经验	结合历史数据和行业基准交叉验证
时间预算	排得太紧	留出20%的缓冲时间应对意外
人员分工	能者多劳=累死能者	尽量让新手和老手搭配

---

3.2 执行阶段：把纸上的东西变成证据

计划做得再好，执行不到位，全是白搭。

执行阶段的核心，就是收集证据、验证控制。你写报告时说的每一句话，都得在这里找到支撑。

我习惯把执行工作分成两条线：

• 顺查线：从凭证到账本，再到报表。适合验证完整性。
• 逆查线：从报表到账本，再到凭证。适合验证真实性。

两条线交叉验证，能把漏洞堵得七七八八。

执行阶段常用的方法，我列了个对照表：

方法	适用场景	优点	缺点
检查	凭证、合同、记录	证据直接	工作量大
观察	业务流程、操作规范	能看到真实状态	被观察者可能刻意表现
询问	了解情况、收集信息	快速获取信息	需要交叉验证
重新执行	控制测试	验证控制有效性	效率较低
分析程序	异常波动、趋势分析	覆盖面广	需要合理预期

有一回我查一个差旅费报销项目。账面上看，每一笔都合规。但执行分析性程序时，发现某个部门的差旅费是其他部门的3倍。一查才知道，该部门负责人经常“顺路”带家属，费用全算在公司头上。
你看，这就是执行阶段交叉验证的价值。

---

3.3 报告阶段：把发现变成决策依据

很多人觉得报告就是“写作文”。其实不是。
报告是审计成果的最终呈现。写得不好，前面所有辛苦都白费了。

我写报告有个“三三制”原则：

• 三分之一讲背景和范围：让读者知道你在查什么。
• 三分之一讲发现和依据：用事实说话，每条发现都要有证据支撑。
• 三分之一讲建议和改进：别光指责，要给出可行的解决方案。

为什么会这样？因为没有建议的报告，就是“只体检不开药方”。管理层看了除了焦虑，什么也做不了。

报告要素	不好写法	好写法
问题发现	管理混乱	2024年Q1有12笔采购未执行比价程序
影响分析	造成损失	预计多支付采购成本约85万元
改进建议	加强管理	建议上线比价系统，设置人工复核节点

---

3.4 跟进阶段：别让报告成废纸

报告发出去就完事了？
千万别这么想。我见过太多审计报告写得漂亮，但两年后问题还在原地。

跟进阶段的本质是“闭环管理”。你不仅要看整改措施有没有制定，还要看措施有没有落地，落地后有没有效果。

跟进工作的关键节点：

1. 整改计划确认：被审单位是否制定了可量化的整改计划？
2. 整改进度跟踪：按计划时间点去检查执行情况。
3. 整改效果验证：问题是否真正解决了？有没有产生新问题？
4. 遗留问题再评估：某些问题可能无法一次性解决，需重新评估风险等级。

讲到这里，我把整个审计流程串起来画了一张图。这张图我每次培训都会用，大家看完基本就忘不掉了。

---

总结：框架是骨架，灵活是灵魂

说句实在话，这四个阶段的划分并不神秘。你去看全球任何一套审计准则，骨子里都是这个结构。

但经验告诉我：框架是死的，人是活的。你完全可以根据项目规模做裁剪。一个小型专项审计，计划+执行可能两天搞定；一个集团年度审计，光是计划就要搞两周。

我们接下来要讲的每一章，都会在这个框架上展开。你把今天的四步法记扎实了，后面的内容会顺畅得多。