02 我的内审红宝书_第二篇 如何撰写审计报告之如何撰写.pdf

My Internal Audit Methodology Violine Wang 目录目录 1、如何制定年度审计计划？如何制定年度审计计划？2、如何组建审计团队？如何组建审计团队？3、如何执行如何执行 Operation Audit?4、如何撰写审计报告？如何撰写审计报告？a.如何描述审计发现 b.如何提出审计建议 c.如何编排审计报告 5、如何说服被审计单位接受你的审计建议？如何说服被审计单位接受你的审计建议？6、跟踪审计跟踪审计 7、内部审计五大困境内部审计五大困境 8、内部审计该往何处去？内部审计该往何处去？-关于内审行业发展的几个问题的探讨关于内审行业发展的几个问题的探讨 如何撰写审计报告？如何撰写审计报告？如何撰写审计发现？审计发现的撰写是门科学，更是门艺术。再科学的东西大凡往深了研究，都会是门艺术。审计是人做的，被审计的东西是人做的，审计报告是人写的，有人参与的地方就有艺术，有学问。一般人理解，写审计发现不就是“我手写我眼”吗？看到什么写什么呗。如果问题真的这么简单，我就不会在此单开一章专门写如何撰写审计发现了。我在外审的时候写过一篇博客，关于“真相”与“故事”，最近也在看 TVB 的一部律政片，片名就是“真相”，大抵意思就是无论在审计还是律师这样的专业人员的眼中，其实无所谓“真相”，更多的是要一个合理的“故事”，只要这个故事让人信服，它就是“真相”。有时候，知道真相，反而是件很苦恼的事情。说了这么多，似乎越说越复杂，还是按照我一向的习惯，先从最简单的说起吧。一级课程：审计发现五要素一级课程：审计发现五要素 我第一家内审工作单位的 Audit Methodology 要求一条审计发现的文字描述需要具备 5个要素（这个要求基本是通行的）：目前的状况 Condition、判断的标准 Criteria、此例外产生的原因 Cause、例外产生的负面影响评估 Impact、审计建议 Recommendation。如果能将 5 要素写全，这条审计发现可以说从形式上非常完整了。根据我个人的经验，最简单的审计发现描述也至少要有 Condition、Impact 和 Recommendation。Condition 是必须的，总要把发现的情况说一下，比如某张审批单没有相应领导人的签字。从逻辑上说，任何审计发现都含有判断的，即认为这件事不对，不合理等，所以肯定有内在的判断标准。还是拿前面这个例子，你为什么觉得没有领导人签字就不对呢？因为你是根据公司的政策、SOP 等做出这样的判断，所以公司政策、SOP 就是你的Criteria。当判断标准是国家政策、法规、公司政策、SOP 等时，Criteria 就必须要写清楚，最好直接引用。Criteria 能写的尽量写清楚，有两种情况可以不写：1）众所周知的认知，Common sense啦。这个问题一写出来，大家就知道是不对的，如果特地还把这个 Criteria 写出来反而有点显得读者白痴了。比如审计发现是员工用假发票冲账，这时候无需赘述发票管理实施细则或者公司财务的有关规定，只要说明这是假发票，大家就知道 its wrong!。2）本身没有书面的规定，判断的标准可能只是最佳实践或者风险控制角度。这时只要在 Impact 方面进行详细阐述即可。Cause 是最容易被忽略却其实是最重要的。在第一个内审工作单位的时候，老板要求的不仅是 Cause，还要是 Root Cause。从逻辑上说，能找到 Root Cause，就能找到对症下药的药方即 Recommendation。当然这是理想状态。如果能找到 Cause 就尽量写清楚。以下几种状况下可以不写 Cause：1）原因比较敏感，不好直接写出来。比如涉及高层，你也不想明白的得罪人家，干脆不写。把情况说清楚，婉转的点一下，聪明的老板们都能知道是怎么回事；2）无法确实查证原因，可能有多种可能，如果要查实原因将非常费时费力，不如模糊过去。当然这是个取巧的办法。比如我曾经做过的一个项目中发现某份合同原本在合同保管部门找不到了。由于整个合同管理体系有多处漏洞，很不健全，所以导致合同原本找不到的原因也可能很多，比如合同借出归还手续未认真履行、合同归档杂乱导致找不到、人员离职忘记归还该合同原本等等，所以我在写审计发现时干脆不提这个 Root Cause 是什么了，由被审计单位自身查找原因进行改进。（当然这也埋下隐患，如前所述，Cause 与 Recommendation 是对应的，如果 Cause 搞不清楚，Recommendation 也就只能泛泛提一下，缺少针对性）。第四个要素是 Impact。Impact 是必要要素，必须写清楚的。如果没有什么负面影响，何必需要改进呢？这一条作为强制要素，有个好处，也可以让审计人员从死板的抠条文中解放出来，这个问题不解决，So What？那又怎么样呢？如果审计人员经常用这个 So What？来日日三省己身，有助于提一些有营养的发现。实践中，很多 Impact 都已经有模板了，写多了，可以复制粘贴。比如违反了国家的法律法规，Impact 就是“导致政府处罚、罚款（penalty and fines），公司丧失信誉等”。最后一个 Recommendation 也是必要要素，一定要写的。一般的内审报告中，Recommendation 都是专门留出一块地方来写，可见这个东东很重要。因为其很重要，所以也很难写的好。这绝对是内审业界的一个难题的。所以对 Recommendation，我会单独开辟一章来写。如前所述，如果能确定 Cause，Recommendation 就针对的写，所以话又说回来，确认 Cause 真的很重要啊。综上所述，如果能掌握这个五要素法，基本可以写出比较有逻辑的审计发现，也就基本合格啦。如果要进阶，就需要再阅读下面的文了。二级课程：你的二级课程：你的Point Point 就是“点”，也是观点的意思。通常一个审计发现会用一段话来说，这段话或许很短，或许很长，但它的中心意思要十分明确，就是要确定点到被审计单位的哪个地方。简单说，就是点“实体”还是点“程序”，如果点程序，点哪个关节。从审计理论来说，审计的目标应是剩余风险，即（内在风险-控制风险），也就是评估剩余风险的程度是否超过了可接受水平。在这个等式“内在风险-控制风险=剩余风险”中，内在风险是客观的，所以对审计来说，可以有两种测试路径，一个是实质性测试（直接测试剩余风险），一个是控制测试（通过测试控制风险的大小来推断剩余风险的程度）。对于风险清单上的单个风险而言，可以实施实质性测试，也可以实施控制测试，也可以两者都实施。如果想工作做得更扎实，推荐两种测试都做，虽然比较花费时间。根据这两项测试结果，我们决定哪些需要上报告，哪些不需要上报告。可以参见如下的矩形图。控制测试-控制风险 高 低 实质性测试-剩余风险 高 上报告 I 上报告 II 低 上报告 III 不上报告 简单说来，只要实质性测试做下来显示剩余风险较高，则可上报告，无论其控制是否有效。两种测试做下来都没什么问题，则直接 pass 了。（这样看下来，只要工作做得充分，是不愁没有东西写的。）写审计发现的基本原则是：实质性问题为第一实质性问题为第一 Priority，控制问题排后。但如果被审计单位不接受，施加较大压力，可更改写法，声东击西，即表面写控制（即“程序”），暗含实质性问题（即“实体，控制问题排后。但如果被审计单位不接受，施加较大压力，可更改写法，声东击西，即表面写控制（即“程序”），暗含实质性问题（即“实体”）。）。作为公司老板，通常都比较关心审计到底有没有查到什么违法乱纪、串通舞弊，让公司利益受损的案例，至于控制的有效性，就不大关注了，哪怕控制没效，只要不出什么乱子谁都不会 care 了。所以我们的审计工作要挖掘实质性的问题，报告也以实质性的问题为优先。举例来说，费用审计中，在风险评估中我们担心有人收集别人的发票来冲账，从而获取利益。对于这个风险，财务部门出台了一个规定，即超过 500 元的花费必须刷卡，报销时必须提供 POS 单。这个财务规定就是重要的控制，可以保证大额的报销不会有假。针对这个风险和控制，我们制定了如下的审计程序：1、抽样查看是否超过 500 元的消费都有贴 POS 单，这就是对控制进行测试；2、通过对发票查核、与当事人或相关人了解以及数据分析，直接查证报账的发票是否是假发票或者从别人处收集来的，这就是实质性测试。经过现场审计，我们发现从控制角度来说，有部分报销人员未提供 POS 单，财务也予以报销且无其他说明，从实质性角度来说，发现有发票的日期是在周末，而当时该人员并不在工作状态，经过确认后证实确实是业务人员收集发票来报销。这个审计发现按照第一部分的标准模板可以这样写：“内审随机抽查了 XX 笔报销，发现有个别业务人员收集发票报销的情况，如某员工 XXX 在某年某月提交的报销资料，其中发票号码为 XXX 的发票，发票日期在周末，且经与当事人确认，该员工承认该发票是从他人处收集来的。（Condition）收集发票报销的行为损害了公司的利益。（Impact）内审建议。（Recommendation）”。（由于此事件属舞弊，Criteria 和 Cause 都不必写那么清楚，可省略。）对于发现的财务部可能未尽到审查报销单据职责的控制问题，可以在上面的这个问题描述中另起一行简要阐述。因为财务未尽到审查职责是预防控制失败，但不是该类事件的根本原因。所以在这个事件中这个控制问题不是重点，通常没必要特别提示。如果在审计过程中，发现财务部在报销资料审查方面存在较大的疏失，或在与财务会计人员的交谈中，发现他们对审查报销资料的意识很淡薄，造成了我们审计对此处控制有效性的深深忧虑。那么也可以单独作为一条来写，（当然最好能找到更充实的证据）较醒目的提示财务部应加强这方面的意识。但有时候，如前所述，把问题赤裸裸的写出来，被审计单位不开心了，肯定会跟你没完的吵，审计报告也发不出去了。这时候怎么办？当然有其他办法比如更高层干预等。但从报告的写法上，有时候也必须做出妥协。我的经验就是说明的重点从实体改到程序上，重点说控制啦、流程啦有什么不足，然后简要的加上上述控制不足导致了内审发现了什么样的问题。虽然这个问题仅仅是点了一下，没深入的讲，被审计单位比较好接受些，但公司的 Boss 都是水晶心肝玻璃人，这样点一下他们心里就有数了。更深入的情况是，如果你想用点程序的手法来带出问题，还要小心选择到底点程序的哪个地方，因为有时候可能是多个环节有问题，但如果一一写出来，不但篇幅冗长没人愿意看，而且会削弱了这个问题的震撼性，“人人有责”的结果可能是“人人无责”。原则上是说最重要或最根本的环节。但这里也有 tricks，比如为了更快的发报告或减轻沟通压力而拣软柿子捏。当然本人坚决反对这样的做法啦，但确实见过这样的“技巧”，呵呵。三级课程：小心细节三级课程：小心细节 落实到具体怎么写这个审计发现，由于个人文采写法都不同，没必要弄得和八股似地。虽然五要素已经可以指点你写完整一个 Finding，但秘诀是写完后一定要通读两三遍，保证逻辑畅通，语气起承转合衔接有序不突兀，目标是能够让一个不相关的人第一次看你的报告，能够明白你在说什么。以下列举一些原则性的注意事项：1 除非十分有把握，少做判断。除非十分有把握，少做判断。“不要轻易 Judge 别人。”这是“欲望都市”里 Samantha 对 Cathy 说的。Judge 包含着价值观，但你无法保证别人和你拥有相同的价值观，更无法保证自己的价值观一定正确。最重要的是，审计报告大多以问题为主，你的判断意味着对别人的消极评价，比如你说别人很好，别人当然很高兴，可你说别人做的差，那他肯定要翻脸。最好的办法是用公司奉行的价值观来说事情，如果可以的话。如果实在需要含有评价语气的语句，那么就尽量写得委婉些吧，比如“什么什么存在不足”啦，“什么什么有待改进”啦。2 消极式措辞更谨慎更婉约。消极式措辞更谨慎更婉约。Assurance（保证）的表述分为两种：积极的（Active）和消极的（Negative）。举个简单例子，“审计认为，销售流程中的控制是有效的”，这提供了积极的保证；“在对销售流程控制的有效性测试中，审计未发现例外事项”，这提供的是消极的保证。消极式提供的 Assurance level 比积极式低，但内部审计中如无特别要求不会有谁纠结在你到底提供了多高层次的保证水平上，建立在抽样基础上的测试结果用消极式表述出来更加委婉，且更能保护我们自己，不是吗？3 给被审计单位留版面。给被审计单位留版面。审计报告由内审直接发给各位高层，可以说内审手里握的笔是很沉重的。所以，审计报告千万不能成为内审的一言堂，一定要将被审计单位的解释什么的尽量客观的表述出来。这有助于树立内审专业、客观、独立的形象，同时也让高级管理层更全面的了解情况。