2. 审计基础

在把机器学习引入异常检测之前，必须先理解审计本身是如何“判断异常”的。审计不是简单地找错，而是在一套规则体系、合规要求和风险导向逻辑下，对证据进行系统性评价。只有把审计规则的结构讲清楚，后续的模型特征、标签和阈值才有落脚点。

一、审计规则体系：三层结构

审计规则通常不是单一文件，而是由三个层次叠加而成。第一层是法律法规与监管要求，例如会计法、税法、证券监管规定，它们决定“什么绝对不能做”。第二层是准则与制度，例如审计准则、企业内部控制规范，它们规定“应该怎么做、做到什么程度”。第三层是组织内部的流程与阈值，例如报销标准、审批权限、采购比价规则，它们决定“在本组织内怎样算合规”。

这三层的关系可以用一张结构图表示：越往上越稳定、越抽象，越往下越具体、越可量化。机器学习模型通常从第三层提取特征，但判断结果必须回到第一层和第二层去解释。

二、合规要求与风险导向审计

合规要求回答的是“必须满足什么”，风险导向审计回答的是“先查哪里”。传统审计容易陷入“平均用力”，而风险导向审计强调：先识别重大错报风险，再把审计资源投向高风险领域。其核心逻辑是风险评估 → 风险应对 → 证据收集 → 结论形成。

在风险导向下，审计人员会关注两类风险：固有风险和控制风险。固有风险是业务本身容易出错的概率，控制风险是内部控制没能及时防止或发现错误的概率。两者结合，决定实质性测试的范围和深度。机器学习异常检测在这里的价值，是帮助审计人员从海量数据中快速定位“偏离常态”的样本，从而把有限的人力集中在高风险区域。

三、常见审计流程与术语

一个典型的审计流程可以概括为五个阶段：接受业务委托、计划审计工作、实施风险评估程序、实施进一步审计程序、完成审计工作并出具报告。每个阶段都有对应的术语和交付物。

其中，“重要性”是审计中非常关键的术语。它指错报的严重程度，超过该水平就可能影响报表使用者的决策。机器学习中的阈值设定，本质上与重要性水平有相似之处：都是人为设定的“关注线”。但区别在于，重要性由审计师根据职业判断确定，而模型阈值需要结合业务分布和误报成本反复校准。

四、案例与常见误区复盘

假设某企业费用报销数据中，模型发现一批金额接近审批上限、且集中在月末提交的报销单。若只看模型分数，这些记录确实异常。但审计人员需要进一步判断：这是否属于“化整为零”规避审批？还是业务本身存在月末集中报销的合理原因？

此时，审计规则体系发挥作用：先看内部制度是否规定单笔限额和月度累计限额，再看合规要求是否要求拆分交易披露，最后结合风险导向判断该领域是否属于高风险。如果模型只是简单标记“金额大”，而没有结合审批权限、供应商集中度、时间分布等特征，就容易产生大量误报。

复盘时，建议审计人员建立一张“规则—特征—模型输出”对照表，明确每个模型特征对应哪一层规则、哪一类风险。这样既能提升模型的可解释性，也能让审计底稿在复核时经得起追问。

规则映射示例：
规则层级：第三层（内部报销制度）
规则条款：单笔报销不得超过 5000 元，月度累计不得超过 20000 元
模型特征：单笔金额、月度累计金额、提交时间、审批人
异常信号：单笔接近 5000 且月度累计接近 20000
审计动作：调阅原始凭证，核实业务真实性，判断是否拆分规避审批

理解审计基础，不是为了背术语，而是为了在后续构建机器学习异常检测时，知道每个特征从哪来、每个阈值为什么这样设、每个异常结果该如何解释。规则体系提供判断依据，合规要求划定边界，风险导向决定资源投向，审计流程保证证据链完整。这四者共同构成异常检测落地的专业底座。