3. 证据分类与来源：内部证据与外部证据

做合规审计，说白了就是跟证据打交道。你拿到的每一份文件、每一条记录，都得先问一句：这玩意儿从哪来的？可靠吗？

我个人习惯把证据先分成两大类：内部证据和外部证据。这个分类不是拍脑袋定的，它直接决定了证据的证明力和你后续的验证策略。你想想看，公司自己出的制度和自己签的合同，能是一个量级的可信度吗？

3.1 内部证据：制度、流程、记录

内部证据，就是企业自己产生的文件。我见过不少审计新手，一上来就盯着外部证据找，结果发现内部流程全是黑洞。其实，内部证据才是你理解业务逻辑的钥匙。

3.1.1 制度类证据

制度是企业的“法律”。包括公司章程、授权手册、财务管理制度、采购管理办法等等。这类证据回答的是“应该怎么做”的问题。

• 关键点：看版本号、审批记录、生效日期。我在项目中遇到过，公司拿了一份2018年的旧制度来应付2023年的审计，结果流程早就变了。嗯，这里要注意，制度必须是最新批准的版本。
• 常见问题：制度有，但没人执行。这时候制度本身就成了“废纸”，你需要用流程记录来交叉验证。

3.1.2 流程类证据

流程是制度的落地形式。比如审批流截图、SOP操作手册、岗位职责说明书。这类证据回答的是“实际怎么运转”的问题。

• 关键点：流程是否与制度一致？有没有“特批”通道？我曾经发现一个公司的采购流程，制度上写的是“三重一大”，但实际审批流里，总经理一个人就能拍板500万以上的合同。这就是典型的流程与制度脱节。
• 避坑指南：我曾经因为只看制度不看流程，漏掉了一个重大的内控缺陷。后来我养成了一个习惯：拿到制度后，必须找对应的流程截图或系统日志来核对。

3.1.3 记录类证据

记录是流程执行后的“脚印”。包括会议纪要、考勤记录、出入库单、会计凭证、系统操作日志。这类证据回答的是“到底做了没有”的问题。

• 关键点：记录的完整性、连续性、真实性。比如，你看到一张入库单，但上面没有验收人签字，那这个记录就是有瑕疵的。
• 个人经验：我特别喜欢看系统操作日志。因为日志很难篡改，而且能精确到秒。有一次审计，对方提供了完美的纸质记录，但我一查系统日志，发现操作时间跟记录时间对不上。这就是典型的“补单”行为。

3.2 外部证据：合同、函证、报告

外部证据，是第三方出具的或与企业外部主体交互产生的文件。这类证据的独立性更强，审计师和监管机构都更看重它。

3.2.1 合同类证据

合同是双方权利义务的约定。包括销售合同、采购合同、租赁合同、服务协议等。这类证据回答的是“跟别人怎么约定的”问题。

• 关键点：看合同主体是否真实、签章是否合规、关键条款（价格、交付、验收、付款）是否明确。我见过一份合同，金额写的是“暂定”，这种合同在审计里基本等于没签。
• 注意：合同必须与对应的发票、收付款记录、验收单形成“证据链”。单看一份合同，证明力有限。

3.2.2 函证类证据

函证是审计师直接向第三方发函确认信息。比如银行询证函、往来账款询证函。这类证据是外部证据中的“王牌”，因为它是独立第三方直接回复的。

• 关键点：发函和回函的全程控制。我曾经因为函证地址写错了，结果回函寄到了竞争对手那里，差点闹出笑话。记住：发函地址必须从公开渠道或官方渠道获取，不能由被审计单位提供。
• 避坑指南：我曾经收到过一份回函，印章看着没问题，但发件地址跟公司注册地差了十万八千里。后来一查，是被审计单位自己伪造的。所以，收到回函后，一定要核对发件地址、快递单号、联系人信息。

3.2.3 报告类证据

报告是第三方专业机构出具的文件。比如审计报告、评估报告、检测报告、法律意见书。这类证据回答的是“第三方怎么看”的问题。

• 关键点：看报告出具机构的资质、报告的有效期、结论是否明确。比如，一份资产评估报告，如果评估机构没有证券从业资质，那这份报告在IPO审计里基本不能用。
• 个人经验：我习惯把报告类证据放在证据包的“压轴”位置。因为它的权威性最高，但获取成本也最高。能用报告解决的问题，尽量别用内部记录去解释。

3.3 证据来源与证明力对比

为了让你更直观地理解，我整理了一张对比表。这张表在我自己的项目里用了很多年，挺实用的。

证据类型	典型来源	证明力等级	获取难度	常见风险
内部制度	公司OA、档案室	中	低	版本过时、未审批
内部流程	系统截图、SOP文档	中	低	与实际执行脱节
内部记录	系统日志、纸质单据	中高	中	补单、篡改、不完整
外部合同	客户、供应商	高	中	条款模糊、签章无效
外部函证	银行、客户、供应商	最高	高	回函造假、地址错误
外部报告	会计师事务所、评估机构	最高	高	资质不符、报告过期

3.4 证据分类与来源框架图

下面这张图，是我自己画的一个框架。它把内部证据和外部证据的层级关系、典型来源、以及它们之间的交叉验证逻辑都串起来了。你保存下来，做证据包的时候可以当个参考。

3.5 实操建议：如何搭配使用

光知道分类还不够，你得会用。我总结了几条实操建议，都是踩过坑之后换来的经验。

1. 先内后外：先收集内部证据，快速摸清业务全貌。等内部证据整理差不多了，再有针对性地去获取外部证据。别一上来就发函证，你连对方公司全称都没搞清，发出去也是白搭。
2. 内外互验：内部证据和外部证据要能对上。比如，内部采购记录显示买了100台设备，外部合同和发票也得是100台。对不上？那就是问题。
3. 证据链闭环：一个完整的证据包，必须形成闭环。从制度到流程到记录，从合同到函证到报告，每一步都要有据可查。我见过最差的证据包，就是一堆散乱的文件，没有任何逻辑关联。
4. 留好“底稿”：所有证据的获取过程，都要留下记录。谁给的、什么时候给的、通过什么方式给的。这些信息在审计复核时特别重要。