3、审计项目立项与授权：立项依据、风险评估初步筛选、审计章程与授权范围，以及立项审批流程
审计项目的立项与授权是内部审计工作的“入口关”，决定了审计资源投向哪里、审计权力边界在哪里、审计成果能否落地。实践中，不少审计团队“忙了一年，领导不认可”，根源往往不在现场实施能力，而在立项环节缺乏系统性的依据筛选与授权管理。本章围绕立项依据、风险评估初步筛选、审计章程与授权范围、立项审批流程四个核心模块展开，帮助审计负责人建立一套“有据可立、有险可评、有权可行、有流程可依”的立项管理机制。
3.1 立项依据：从“拍脑袋”到“四维论证”
核心原理：审计立项不能仅凭“领导交办”或“去年做过”来驱动。科学的立项依据应当覆盖四个维度：战略关联度（该领域对公司战略目标的影响程度）、风险等级（固有风险与剩余风险的评估结果）、管理层需求（决策层当前最关心的经营痛点）、合规要求（监管机构、行业规定、内部制度的强制审计事项）。四个维度交叉验证，才能形成“非审不可”的立项理由。
| 立项依据维度 | 关键问题 | 信息来源 | 权重建议 |
|---|---|---|---|
| 战略关联度 | 该领域是否支撑年度战略目标？ | 战略规划、年度经营计划 | 30% |
| 风险等级 | 固有风险多大？控制是否有效？ | 风险评估数据库、内控评价报告 | 35% |
| 管理层需求 | 管理层近期关注哪些问题？ | 董事会纪要、管理层访谈 | 20% |
| 合规要求 | 是否有强制审计或监管要求？ | 监管文件、公司章程、审计章程 | 15% |
3.2 风险评估初步筛选：用数据说话
判断方法：风险评估初步筛选的核心是建立“固有风险×控制有效性”的二维评估模型。具体操作分三步：
- 识别风险因子：对每个候选审计领域，识别其业务复杂度、金额重要性、人员变动率、系统依赖度、历史问题频次等风险因子。
- 量化打分：每个因子按高（3分）、中（2分）、低（1分）赋值，加权计算固有风险得分；同时参考最近一次内控自评或审计结果，评估控制有效性等级（有效/基本有效/无效）。
- 矩阵定位：将候选领域放入“风险热力图”——横轴为固有风险得分，纵轴为控制有效性。落在“高固有风险+控制无效”区域的领域，优先纳入年度审计计划。
背景：该企业年采购额约12亿元，供应商超800家，近两年未开展专项采购审计。审计部在年度计划编制时，对采购领域进行初步风险评估：
① 固有风险评分：采购金额占营业成本62%（高，3分）；供应商准入流程存在“先采购后补手续”现象（高，3分）；采购系统与财务系统未完全对接（中，2分）；历史收到举报线索2条（中，2分）。加权得分2.6分（满分3分）。
② 控制有效性评估：内控自评显示采购付款环节存在3个一般缺陷，1个重要缺陷，控制评级为“基本有效”。
③ 矩阵定位：高固有风险+基本有效控制 → 落入“优先审计”区域。
④ 立项决策：将“采购全流程专项审计”列入年度计划，审计范围覆盖供应商准入、招标定价、合同执行、验收付款四个环节。
结果：审计发现供应商资质造假12家，重复付款损失约80万元，推动采购部重建供应商准入标准。
复盘：立项筛选的价值在于“提前锁定高风险领域”，而非等风险暴露后再被动响应。若仅凭管理层直觉，采购审计可能被推迟至下一年度，损失将进一步扩大。
3.3 审计章程与授权范围：权力的边界
核心原理：审计章程是内部审计的“宪法”，由董事会或审计委员会批准，明确审计部门的使命、权力和责任。授权范围则是具体审计项目中，审计人员可以接触的信息、人员、场所和时间的边界。没有清晰的授权范围，审计现场容易陷入“被审计单位不配合”或“审计人员越权”的双重困境。
授权范围设计要点：
- 时间范围：明确审计期间（如2023年1月1日至2024年6月30日），避免追溯过远导致效率下降。
- 业务范围：列明涉及的部门、流程、系统、实体地点，防止审计范围模糊引发争议。
- 信息权限：明确可查阅的文件类型（合同、会计凭证、会议纪要）、系统访问权限（ERP、OA、CRM）、人员访谈范围。
- 限制条款：注明不适用的事项（如涉及国家秘密、正在诉讼中的事项），避免审计越界。
3.4 立项审批流程：分层分级，留痕可溯
操作流程：立项审批应遵循“分层分级、权责对等”原则，根据项目重要性和资源投入设置不同审批层级：
| 项目类型 | 审批层级 | 审批时限 | 关键审批要素 |
|---|---|---|---|
| 常规审计项目 | 审计部门负责人 | 3个工作日 | 立项依据、风险评估结果、资源安排 |
| 重要审计项目（涉及高管、重大资产） | 分管领导 + 审计委员会 | 5个工作日 | 独立性审查、范围充分性、潜在冲突回避 |
| 突发/举报类审计 | 审计部门负责人 + 分管领导（紧急通道） | 24小时内 | 举报线索可信度、紧急程度、资源调配 |
审批流程关键控制点：
- 独立性审查：审批人需确认审计项目与被审计对象之间不存在利益冲突（如审计人员近亲属在被审计单位任职）。
- 资源匹配度：审批人需评估现有审计团队的能力和时间是否满足项目要求，避免“有项目无人做”。
- 范围充分性：审批人需判断授权范围是否足以支撑审计目标达成，防止“范围过窄导致审不透”。
- 留痕管理：所有审批意见应书面记录，包括同意、驳回或要求修改的意见，形成完整的立项审批档案。
初始状态：该集团审计部所有项目均由审计部经理一人审批，导致两个问题——① 涉及高管层的项目，审计部经理因职级不对等，审批时缺乏权威性；② 审批无时限要求，部分项目立项拖延2-3周。
优化措施：
① 建立三级审批机制：常规项目（审计部经理）→ 重要项目（分管副总裁）→ 重大/敏感项目（审计委员会主席）；
② 设定审批时限：常规3天、重要5天、紧急24小时；
③ 引入“立项预审会”：每月召开一次，由审计部、财务部、法务部共同参与，对候选项目进行联合评估。
结果对比：立项周期从平均10天缩短至4天；涉及高管层的审计项目因有审计委员会背书，被审计单位配合度显著提升；预审会机制还帮助审计部提前获取了财务和法务的专业意见，减少了审计方案返工。
代价与风险：预审会增加了跨部门沟通成本，且可能提前泄露审计关注点。应对措施：预审会参与人员需签署保密协议，且预审会仅讨论“是否立项”和“范围边界”，不讨论具体审计程序。
3.5 常见误区与总结复盘
误区一：立项依据“重领导意见、轻风险评估”。领导交办的项目固然重要，但若缺乏风险评估支撑，可能导致审计资源错配。建议将领导交办事项纳入“管理层需求”维度，与其他维度综合评分，而非直接“插队”。
误区二：授权范围“一刀切”。不同审计项目的风险特征和审计目标差异很大，授权范围应“一项目一策”。例如，财务审计需要查阅银行对账单和会计凭证，而IT审计则需要系统权限和日志访问权，两者授权范围不能混同。
误区三：审批流程“重形式、轻实质”。部分企业审批人仅签字不审查，导致立项质量失控。建议审批人重点审查三个问题：① 立项依据是否充分？② 风险评估是否客观？③ 授权范围是否匹配审计目标？