这些年，单位治理意识持续提升、资本市场及各类监管规则日臻完善，同时，内部审计也被寄予的期待越来越高。 防控风险、查处舞弊、降本增效、完善治理，内审似乎都应该一个不落。但回归治理逻辑、现实条件与职能本质就会发现，内审是无法万能的。 

一、治理有其边界，独立性永远是相对的

内审的权力来自顶层的授权，从诞生之日起就内嵌于公司治理结构之中，不可能超脱于组织之外。

第一，内审高度依赖顶层支持。 内审的威慑力，本质是治理层意志的延伸。 如果董事会、一把手真正重视，审计就能顺畅推进、问题就能推动整改；如果态度模糊、甚至刻意回避某些领域，审计很难真正深入核心。 指望内审脱离治理层独立发挥作用，本身就不符合治理逻辑。

第二，对决策层的监督天然有限。 内审可以监督基层执行、监督部门管理，但对高管层的决策行为、对股东层面的战略选择，监督力度极其有限。 很多经营风险、决策失误，根源在顶层判断，内审可以事后提示风险，却很难事前阻止决策。 要求内审管住所有层级，是违背组织权责逻辑的过度期待。

第三，不能既当裁判又当运动员。 内审的核心身份是监督者，不能替代业务部门做决策、不能直接插手经营执行。 干过内审自会经历，某些时候业务部门会把难题甩给审计，仿佛审计点头就该担责。 但越位参与业务越多，独立性丧失越快，最终连监督的立场都会站不住。

二、权限有其边界，审计手段没有强制力

不同于国家审计、司法监察，内部审计没有法定执法权，手段边界非常清晰。

第一，没有强制取证权。 内审可以要求内部部门提供资料、配合访谈，但不能强制调取个人银行流水、不能限制人员沟通、不能搜查私人物品。 遇到刻意隐瞒、销毁证据、串供对抗的情况，没有强制突破的手段，很多线索只能停留在疑点层面，无法查实定性。

第二，外部核查缺乏约束力。 对供应商、客户、合作方的延伸核查，完全依赖对方配合。 对方愿意回复，可以验证信息；对方置之不理，内审也没有强制措施。 很多涉及外部串通的舞弊，仅凭内部资料很难形成完整证据链。

第三，没有直接处置权。 内审可以发现问题、出具报告、提出处理建议，但无权直接处分员工、无权叫停业务、无权直接划转资金。 最终是否问责、是否整改、整改到什么程度，决定权始终在管理层和业务部门。 审计的职能是揭示和建议，不是直接处置。

三、信息有其边界，人性的壁垒永远存在

人性趋利避害万古不变，审计是基于已有信息的判断，而被审计方天然有隐瞒不利信息的动机，信息差永远无法彻底消除。

第一，串通舞弊具有天然隐蔽性。 内审实务工作中， 最棘手的问题往往不是账面差错，而是内外勾结、流程合规的串通舞弊。 申请、审批、验收、付款所有环节签字齐全，单据合同全部合规，实质却是利益输送、虚假交易。 常规审计程序很难穿透这种表面合规的恶意造假，发现概率远低于普通违规。

第二，刻意隐瞒会大幅提升核查难度。 如果被审计单位主动藏匿资料、统一口径、虚构背景，审计很难在有限时间内完全还原真相。 尤其是涉及账外资金、私下交易、口头约定的事项，没有书面痕迹，仅凭访谈和推断无法定性。

第三，专业壁垒会形成信息差。 复杂的工程结算、研发项目、金融衍生品、跨境业务，都有极强的专业门槛。 审计人员不可能精通所有领域，如果业务方用专业话术包装问题，很容易蒙混过关。 再资深的审计，也不可能覆盖所有专业领域的认知盲区。

四、资源有其边界，不可能做到全覆盖

任何企业的审计资源都是有限的，人手、时间、专业能力都有边界，追求零遗漏本身就不现实。

第一，抽样风险永远存在。 除了极小范围的专项核查，绝大多数审计都依赖抽样。 样本设计再科学，也只能降低风险，不能完全保证抽到异常样本。 海量的业务数据里，总有藏在缝隙里的问题没被覆盖，这是成本约束下的客观现实。

第二，人手决定了只能抓重点。 哪怕是大型集团的内审团队，也不可能覆盖所有子公司、所有业务条线、所有流程节点。 只能按照风险导向，把资源投向高风险、高价值领域。 低风险、常规性的业务出现零星问题，不代表审计失职，是资源配置下的正常结果。

第三，审计周期有明确约束。 每个项目都有时间节点，不可能无限期深挖。 很多线索如果继续追下去可能有更大发现，但受限于项目周期和人力投入，只能在合理范围内做到应查尽查。 追求绝对彻底的核查，不符合企业经营的成本逻辑。

五、落地有其边界，审计无法对结果兜底

发现问题只是第一步，整改落地涉及利益调整、资源投入、业务平衡，远不是审计单方面能决定的。

第一，整改的责任主体不是审计。 业务部门是整改的第一责任人，内审的职责是跟踪、督办、验证。 业务部门不愿改、拖着改、表面改，内审可以反复督办、可以向上汇报，但不可能替各方执行。 把整改不力全部归咎于审计，就是责任主体的错位。

第二，很多问题根源不在执行层面。 有些屡审屡犯的问题，表面是执行违规，根源是考核导向不合理、制度规则不接地气、资源配置有缺陷。 这类系统性问题，审计可以提建议，但几乎难以决定从根源上进行改变。 如果没有顶层推动，单靠审计督办是难以解决的。

第三，风险可以转移、降低，无法彻底消灭。 经营本身就伴随风险，创业创新更是风险常伴，内审的作用是推动把风险控制在可承受范围内，而不是消灭所有风险。 要求审计保证不出任何问题，本质是否定了经营活动本身的风险属性。 合理的监督是守住底线，不是追求绝对的零风险。

六、认清边界，才能更好地发挥价值

承认内审不是万能的，不是躺平摆烂，而是找准定位、有所为有所不为。

第一，放弃全能幻想，聚焦核心价值。 不用追求查到所有问题、管住所有环节，把有限资源集中到资金、采购、重大投资等高风险领域。 抓大放小，守住核心底线，比面面俱到却处处浮于表面更有价值。

第二，借势不越位，用好治理层授权。 重大风险、关键事项及时向治理层汇报，争取顶层支持，用治理推力破解执行阻力。 不强行推动超出自身权限的事，不替业务部门背决策的锅，守住监督的身份边界。

第三，要从查问题转向建体系。 单个问题查得再多，也只是点状成果。 推动完善制度、优化流程、补齐内控短板，从根源上减少问题滋生的土壤，才能放大审计的长期价值。 治未病，比治已病更能体现内审的治理价值。

第四，坚守职业底线，坦诚面对局限。 没查到的不打包票，拿不准的不轻易定性，做不到的不盲目承诺。 客观说明审计的合理边界，不夸大自身能力，也不回避职责范围内的问题。 专业的内审，既不妄自菲薄，也不妄自尊大。

内审的价值，并不是解决所有问题。 而是在有限的权限、有限的资源、有限的手段里，把该揭示的风险说清楚，把该守住的底线坚守住，把该推动的改进推到位。

认清现实，接受不完美，不是削弱内审的价值。而摆脱不切实际的期待，回归职能本质，才能在边界之内，把监督的价值发挥到最大。 要知道，内审有边界的专业，远比无边界的自负，更值得信任。

作者：审先生，内审网创办人，内审内控实务咨询专家，资深实训导师，欢迎加入实战营交流跟进。

- END - \ 往下看，干货满满

- 好内容,记得收藏·分享,点亮 ❤ 方便再次学习 -

● 文章版权归作者所有，观点不代表内审网立场。部分图文源于网络，已标注作者信息，部分无法查明联系作者及首发来源，旨在促进行业交流共进,仅作互助学习之用，如不便分享，请联系删除。

● 转载内审网原创文章，亦请注明：本文转载自公众号:内审网（ID:neishenwang），并标识作者信息。审计报告 |案例 |方法-投稿：neishenwang@163.com