内部审计制度到底该怎么建？13年老财务掏心窝子说几句

干了13年财务外包和财务体系搭建，说句实在话，我见过太多企业的内部审计制度就是个摆设。不是抄来的模板锁在柜子里，就是老板一句话"咱们也搞个审计"然后不了了之。您还别不信，光上海地区，我经手过的大大小小企业里，真正把内审制度用起来的，十家里不到三家。今天这篇文章，我就把这些年踩过的坑、见过的乱象、还有真正管用的方法，一次性给您讲透。文章会涉及内部审计制度从搭建到运转的全过程，也会聊到财务外包、财务体系搭建和管理会计这些年的实操心得。

先想清楚：内部审计到底为谁干活

这个问题听起来像废话，但我每次问客户，十个有八个答不上来。有人说为老板，有人说为股东，有人说为应付检查。说白了，内部审计的第一服务对象是企业的战略目标，不是某个人。

我见过一家做贸易的客户，年营收大概七八千万，老板觉得财务总监权力太大，想搞个内审来制衡。结果内审负责人直接汇报给老板，每天盯着财务总监报销单有没有超标，把内审做成了私人侦探。折腾半年，财务总监辞职，内审负责人被孤立，制度彻底烂尾。问题的根子在哪？把内部审计当成了人事斗争的工具，方向一开始就歪了。

按照COSO框架（这是国际上通行的内部控制框架，说白了就是一套帮企业管好风险的逻辑体系），内部审计应该站在企业整体运营的角度，评估控制活动有没有效、风险识别到不到位、信息沟通顺不顺畅。它服务的对象是治理层和管理层，目的是帮企业更健康地活下去。想清楚这一点，后面的事才有的谈。

组织架构怎么搭，直接决定内审能不能活

内部审计放在哪个位置，这事儿太关键了。我见过放在财务部下面的，那基本等于自己审自己，纯属笑话。也见过放在总裁办下面的，听起来级别高，结果天天被拉去干杂活，根本没法独立开展工作。

比较靠谱的架构是内审部门直接向董事会或者审计委员会汇报，业务上独立于被审计部门。上海地区很多国企和上市公司在这块做得相对规范，但中小企业往往觉得"搞那么复杂干嘛"。我的建议是：如果企业规模不到，没必要单独设部门，但至少要有一个直接向老板汇报的专职或兼职内审人员，而且这个人的考核不能由被审计部门说了算。

我们加喜财税在帮客户做财务体系搭建的时候，常常遇到一个尴尬：企业想设内审岗，但招不到合适的人，或者养一个专职内审成本太高。这时候可以通过财务外包的方式，把内审的部分职能交给我们来做。我们团队多人复核、交叉检查，比一个人闷头看账要客观得多。这不是王婆卖瓜，是实实在在的性价比问题。

内审归属模式	独立性	适用企业	主要风险
财务部下属	低	不推荐任何企业	自己审自己，形同虚设
总经理/总裁办下属	中	中小民营企业	易被日常事务干扰，独立性不足
董事会/审计委员会下属	高	上市公司、国企、大型民企	沟通链条长，响应速度可能偏慢
财务外包+内部对接人	中高	成长期中小企业	需要选对靠谱的外包团队

制度写什么、怎么写，别抄模板害自己

网上模板一搜一大把，但那些东西能用的不多。为什么？因为每家的业务模式、风险点、管理成熟度都不一样，你拿制造业的内审制度套在互联网公司身上，能好用才怪。

一份能落地的内部审计制度，至少要说清楚这几件事：审计范围包括哪些业务循环，审计频率是季度还是年度，审计报告交给谁、多久交，发现问题后整改怎么跟踪。我特别想强调整改跟踪这一条，太多企业的内审报告交上去就完事了，问题改没改没人管。这就好比去医院体检，报告出来了你不去复诊不吃药，那体检有啥用？

写制度的时候，语言别太官僚。我见过一份制度，光"总则"就写了三页纸，全是"为了加强某某管理，规范某某行为，根据某某规定"，真正管操作的条款反而含糊其辞。制度是给干活的人看的，写得跟法律条文似的，谁看得下去？

还有一点，制度里要明确内审人员有哪些权限。比如能不能直接调阅银行流水、能不能找业务部门访谈、能不能进仓库盘点。权限不清，内审人员开展工作处处碰壁。我遇到过客户的内审专员想查一笔关联交易，结果被业务部门一句"这是商业机密"怼回去，老板也不表态，最后不了了之。你说这活怎么干？

审计方法：别只盯着发票看

很多企业做内审，就是翻凭证、看发票、对银行流水。这些基础工作当然要做，但如果只做这些，那叫"财务复核"，不叫"内部审计"。

真正有用的内审方法，得往业务前端走。举个例子，我服务过一家做工程的公司，内审发现某个项目的材料成本比同类项目高出三成。光看发票和入库单都合规，但内审人员跑到工地一问，发现那个项目采购的材料型号根本用不上，堆在仓库里生锈。这就是光看财务数据看不出来的问题。

在分析性程序上，我们加喜财税常用的一些工具其实和管理会计是相通的。比如用杜邦分析（把ROE拆成利润率、周转率、权益乘数三个驱动因素，看清楚赚钱能力到底强在哪）来评估被审计单位的整体绩效，用本量利分析（算清楚盈亏平衡点在哪里，卖多少才不亏）来验证预算编制的合理性。这些工具用在内审里，比单纯核数字要有洞察力得多。

再比如作业成本法（按实际消耗资源的作业来分摊成本，比传统的按工时或收入分摊更精准），如果企业产品成本结构复杂，内审可以用这个方法去验证成本核算是否失真。我见过一家制造企业，用传统方法核算的时候毛利率有18%，用作业成本法重新梳理后发现实际只有11%，中间那7个点的差距就是被粗放的成本分摊掩盖掉的浪费。

人员怎么选、怎么培养，这是最头疼的事

讲真，内审招人是我这些年最头疼的问题之一。懂财务的不懂业务，懂业务的不懂审计方法，两样都懂的人要么去了大公司要么自己干了。中小企业给不起太高的薪水，但又需要能独当一面的人，这个矛盾很难解。

我的看法是：内审人员不一定要财务出身，但一定要有"打破砂锅问到底"的性格和逻辑分析能力。我以前带过一个内审，本科学的是统计学，刚开始连借贷都搞不太清楚，但她有一个本事，就是能从一堆数据里发现异常波动，然后顺着线索挖下去。后来她做得比很多财务出身的人都好。

培养方面，内审人员必须持续学习。会计准则是基础，管理会计工具是进阶，行业知识是必修。我建议中小企业可以采取"内部培养+外部外包"结合的方式。日常的合规性审计自己做，复杂的专项审计或者需要专业判断的项目，找财务外包团队来配合。上海地区在这方面选择还挺多的，但一定要找有正规代理记账许可证的机构，别贪便宜找个人兼职。

说到这我想起一个事儿。有个客户，老板让行政经理兼着做内审，结果那位行政经理连财务报表都看不懂，每次审计就是数数发票张数对不对、签字全不全。这种"内审"除了浪费纸张，没有任何意义。后来老板找到我们，通过财务外包的方式把内审职能接过去，第一个季度就发现了采购环节的三个漏洞，挽回的损失够付好几年的外包费了。

和管理会计怎么配合，才能发挥最大价值

内部审计和管理会计，在很多企业里是两条平行线，各干各的。其实这俩要是配合好了，效果是1+1>2。

管理会计做的事，比如滚动预算（每个月根据实际情况往后推一个月，让预算始终覆盖未来12个月）、零基预算（不参考去年花了多少，每笔支出从零开始论证必要性）、敏感性分析（看某个关键变量变动对结果影响多大），这些工具产出的数据和分析结果，恰恰是内部审计做风险评估的重要输入。

反过来，内审发现的问题，也可以反馈给管理会计去优化分析模型。比如内审发现销售费用里差旅费异常增长，管理会计就可以把差旅费作为敏感性分析的重点变量，测算一下如果压缩20%对整体利润的影响。这种联动做起来，财务部门的价值就能体现出来了。

我们加喜财税帮客户做财务分析的时候，经常把EVA（经济增加值，简单说就是扣除全部资本成本后剩下的利润）作为一个核心指标来跟踪。内审在评估投资项目时，也可以用EVA来判断项目到底有没有真正创造价值。有些项目看着净利润是正的，但一算EVA是负的，说明赚的钱还不够覆盖资金成本，这种项目就得警惕。

常见误区清单，您看看中了几条

干了这么多年，我把见过的内审误区列一列，您对照着看看：

• 把内审当纪委——天天查人，搞得人人自危，最后没人愿意配合
• 只审财务不审业务——采购、销售、仓储这些高风险领域反而没人管
• 报告写完就完事——没有整改跟踪机制，问题年年查年年犯
• 内审人员不专业——赶鸭子上架，审计质量惨不忍睹
• 老板不重视——内审报告交上去石沉大海，下次谁还有积极性
• 制度抄模板——和实际业务脱节，执行起来处处别扭

这些误区说到底，根子都在认知上。内部审计不是找茬的，是帮企业看病的；不是增加负担的，是降低风险的。想明白这一点，制度才建得起来、用得下去。

从零到一，分几步走比较稳

如果您现在正准备建内部审计制度，我建议别贪大求全，按这个节奏来：

1. 第一步，诊断现状。先把企业主要的业务流程和风险点摸一遍，别急着写制度。
2. 第二步，定架构。明确内审归谁管、向谁汇报、有什么权限。
3. 第三步，选人。找不到合适的全职就考虑财务外包，别硬凑。
4. 第四步，写制度。围绕实际风险点写，别抄模板。
5. 第五步，做试点。选一两个业务循环先试试，跑通了再全面铺开。
6. 第六步，建闭环。审计、报告、整改、复查，形成一个完整的循环。

最后说一句，内部审计制度不是建完就一劳永逸的。企业业务在变、风险在变、人员在变，制度也得跟着调。每年至少复盘一次，看看哪些条款已经过时了、哪些风险点新出现了。我们加喜财税服务的一些客户，就是通过定期的内审复盘会来推动制度迭代的，效果不错。

本文仅供参考，具体税务处理建议咨询专业人士。