导语：这是一个误会很深且需要特别澄清的话题。常人一谈起企业内部审计，立即就与“管卡压”联系起来，有的内审人员也自诩是企业警察让人有些不爽。作为公司董事会审计委员会主任，上周我应邀去参加一家公司高管会议，并就如何做好年内审工作与财务总监、审计总监做了深度交流，讲了我对内部审计的认识、定位与考核，他们均表示认同。我的核心观点是：审计是企业正直与良知的代言人，要清清白白做人，干干净净做事；风气正则人心聚，人心聚则企业成，内部审计是企业扶正祛邪文化的护法神；不要把内部审计看Low了，内审部门不只是稽查部查账部，它是一项创造价值的重要工作，是企业生产力的重要组成部分之一。
01如何定义企业内部审计
企业内部审计的定义多种多样，很多都因太过专业而让人难以理解，接地气且通俗易懂的定义很少。简而言之，我认为内审就是对企业风险管理的再管理，有三个核心要点：
1.内审是一项风险再管理工作。一般而言，企业内部有三道风险管理防线：其一，市场一线业务部门是第一道防线，中后台职能部门尤其是财资部门是第二道防线，独立于经营管理部门的内审部门是第三道防线，第四道防线区则是不受企业控制的外部监管机构施展才华的地方了。说的拗口一些，内审就是对企业风险经营（业务部门）的风险管理（职能部门）的风险再管理，简称对风险管理的再管理。其二，内审部门并不直接参与业务，也不与客户打交道，它的工作方式就是站在业务伙伴旁边认真地观察、审核与评价每一笔业务的合规性，每笔业务背后制度流程机制的严谨性有效性，内部控制系统识别风险的及时性准确性，内审部门绝不能让任何一个突破第一二道防线的潜在风险成为漏网之鱼，从而造成公司损失。当然前提是内审部门要了解公司所在行业环境、政策动态，公司战略背后的商业逻辑与盈利模式，业务运营的一般规律、业务关键成功要素及主要风险特征，更要非常熟悉业务前端的制度流程，让业务人员想忽悠你时基本没戏，否则容易犯自以为是的官僚主义错误。其三，企业风险包含内外部的各种合规风险、法律风险、财务风险、经营风险、供应链风险、操作风险、道德风险，它是覆盖全员与全流程的，不要只是盯着那本会计出纳账，可以说有人有钱有风险的地方就是内审的战场。
2.内审工作具有基于专业性基础上的相对独立性。其一，一般内审部门是与企业前中后台职能部门分设的，它原则上直接对公司董事会负责，也有部分企业隶属于监事会，就是为了确保内审工作的超然地位。有的企业则由总经理或副总经理分管，这种自己做自己审的做法等同核心管治环节的内控形同虚设，肯定是错误的。其二，独立性是审计工作的本质特征，也是它能发挥独特价值的生命力之所在。这一特征有助于内审部门不受干扰地对某一部门的某一项工作给出客观公正的审核评价，其审计结论才容易令人信服。当然内审独立性在不同企业是有差异的，老板信任的内审可以现场处置违规人员，老板不重视的则可能是受气包的居多。其三，内审部门一般都有调查权建议权，但并不具备独立的裁决权与惩处权，最终决定均由公司董事会或其授权的董事长审定。
3.合规审计、管理审计及价值审计是内审工作的专业性价值性体现。查错纠弊的合规审计是内审的基本功，就不多讲了。很少被人了解的后两项工作则是内审工作价值的核心体现，它是与公司经营目标达成直接挂钩的：管理审计重在帮助业务部门提升企业资源使用效率，包含研产销人财务等所有表内外资产的投入产出效率及与风险损失金额合理性评价等，目的就是要帮助公司打造一个低成本高效率的组织，这是一种润物细无声的慢工细活，需要包括内审在内所有部门精益求精久久为功的；价值审计主要是帮助业务部门分析评价经营结果与经营目标的偏差率，包含预算目标达成率、与标杆及行业平均水平的偏差度，以往行动策略的有效性诊断等。如果一家企业的经营目标达成率总是很低，或者某类核心业务指标总出现重大偏差，它至少表明企业的内部控制体系是有严重问题的，既控不了业务指标也控不了经营目标，这样的内控内审职能价值肯定是很低的。打铁还需自身硬，作为企业内控系统参与者与评价者的内审部门，当然要承担相关管控服务不到位的责任。
02内审工作如何定位
基于以上定义，我们可以给内审工作做如下定位：
1.业务伙伴。
一般优秀企业都是业务可持续、成本可算、风险可控的企业。内审部门是企业内部最看重合规经营、最讲究经营管理秩序的部门，优秀的内审工作可以帮助业务伙伴查错纠弊，发现并堵塞制度流程漏洞，盯住绩效指标负偏差原因不放，让他们不犯或少犯错误，少摔跟头，力争一次把业务做对，持续的把运营做健康做稳健，从而把企业成本浪费与风险损失降至最低水平。这些工作是直接与业务目标达成关联的，当然不是可有可无的。显然业务是干事的，内审是看着做事的，二者都是同一条战壕的战友，完全不是一般人眼里的猫鼠关系。我常常见到这类自诩优秀的企业：业务是风风火火的混乱，内审则是轰轰烈烈的救火，案情通报开除员工月月有通报。多么可笑啊，这哪是一家优秀企业该有的样子？没有业务的成功就没有成功的内审工作，离开业务成功谈内审优秀是没有任何意义的。
2.风险顾问。
企业是经营风险的商业组织，有价值的风险是企业的朋友，无价值的风险才是企业的敌人。内控系统是一家企业经营管理有序开展的核心基础，是企业防范无价值风险的制度长城。内审人员不要过于担忧风险，重点要做好以下三点：其一，内审部门有责任帮助业务及流程管理部门对企业重要经营机制、业务制度、权责利分工、岗位流程等事先做出科学专业的清晰安排，此所谓“没有规矩不成方圆“，好制度可以让好人做好事，不让坏人做坏事。其二，内审部门必须督促流程管理部门将风险管理流程嵌入到每一个业务流程中去，务必做好拾遗补缺的补位角色，业务想到的你要想到，业务没想到的你也要想到。同时还要精准画出企业的风险地图并动态监测管理，到位的风险管理可以让企业至少80%的潜在风险消灭在第一第二防线内，特别要对没有任何业务或财务价值的红灯区业务或冒险行为及时发出预警。内审类似”治未病重于治已病”的中医，非常看重潜在风险因子的精准识别、专业诊断及提前管理。其三，内审人员必须信奉“人是目的而非工具”的基本人文价值观，坚守正直公正善良的基本品格，菩萨心肠是霹雳手段的必要前提。因此，内审人员应成为员工职业安全的保护神而非扫帚星，要帮员工主持公道并伸张正义，也要记住每处罚一个员工不是内审部门的光荣而是企业不可外扬的痛心家丑。内审人一定要记住：帮人救人永远比开除人更重要，事前预防永远比事后风险化解更重要。
3.品牌帮手。
一个诚信规范经营的企业容易获得社会公众、投资者、合作伙伴、银行及政府部门的信任及认可，有利于减少大量高成本高频次的外部监管机构现场核查，有利于企业获得更高的信用评级以降低外协成本及融资利率，有利于提升公司整体的知名度美誉度及未来的产品品牌溢价，其中当然也有内审默默奉献的功劳。显然，内部审计是企业规范运营的第一推动力，当然也是企业品牌建设的参与者与保护者之一。
4.准警察。
企业内部有前中后台职能部门之分，但企业内部没有朋友敌人之分，大家是分工不分家的一家人。有人把内部审计视同公司警察，有一定道理但并不准确。内审职能之一是重在客观公正地核实违法违规事实，并依法依规提出合理合法的处理建议，目的仍然是“惩前毖后，治病救人”。一旦企业出现令人痛心的违法违规事件，内审部门当然必须直面问题敢干敢当，并客观公正地做出审计结论，敢于说“不”字。这红脸是必须唱好的，它有点类似警察的职责，这才是受人尊敬的内审。遗憾的是有些内审人员拿着鸡毛当令箭，好像钦差大臣下基层；个别内审人员则唯分管领导私心是从，充当指哪打哪的不光彩打手角色；少部分内审人则拥有虚幻锤子般的优越感膨胀感，看到其他人都是钉子都是问题都是风险，而把自己推入孤家寡人不受待见的地步。总体而言企业的案件或问题不是一个孤立事件，它一定是包括内审工作在内的企业管理系统失效的反应，内审部门应自觉将其视为自己工作失误或问题的一部分，这与外部那些处罚收钱了事的警察是完全不同的。
03关于内部审计的几个误会
1、误会一：内部审计只限于企业内部。
企业是一个涉及众多内外部利益相关者的利益共同体，一荣俱荣一损俱损。内审工作范围自然会从企业内部各职能部门延展到股东、供应商、经销商、客户、银行、政府机关等，企业一般要求所有合作伙伴依法依规开展业务与交易，严格遵守合同契约及社会公序良俗，当然也必须同时严格要求内部员工廉洁自律守法经营。内审部门是所有内外部利益相关者管理红线的坚决守护者，内外勾结、吃里扒外及监守自盗的违法乱纪行为是内审部门日常监管稽查的重中之重，当然自己决不能与公司内外部利益相关者有任何利益瓜葛。只有时刻保持这种扶正压邪的威摄力，企业才会有一个合规稳健的管理秩序与干净做事的经营环境。因此，内审部门必须内外兼顾，该提醒的提醒，该警告的警告，该通报的通报，该得罪的得罪，该起诉的起诉，一定要主动担起这一看门把关的重任。
2、误会二：内审部门主要是找麻烦的。
内审部门主要是以帮助业务识别风险、管好风险，从而减少损失的方式为企业创造价值的。好的内审服务就是业务问题没发生前就主动提示风险，风险发生后就第一时间帮助化解风险。内审工作表面看起来是查问题找麻烦居多，实际上它的目标就是维护公司经营秩序、提升组织管理效率，帮助业务伙伴达成KPI目标，内审并没有自己独立的利益追求。优秀的内审人员一般都是外冷内热的正直伙伴，说话大都是直来直去的，并不是要故意去为难谁。其实绝大部分内审人都是愿意担当功居人后的隐形冠军，我就很喜欢和他们打交道，并常从他们身上学到很多知识经验。
3、误会三：内审部门只花钱不赚钱。
一般企业创造价值的方式是开源节流增收节支，即增加收益、降低成本及减少损失，内审工作主要是通过后者为公司创造价值。优秀的内审部门可以为公司避免很多损失，就像中医治未病即不让疾病发生，或者协助追回很多损失。从内审部门的投入产出比较来看，它们的费用其实不是费用而是投资。因此，我认为内审工作也是公司价值创造者，审计当然也是生产力部门。
4、误会四：内部审计查处的事件越多越好。
案件多少是衡量一个企业规范稳健运作与否的直接指标，优秀企业发生案件的比率应低于行业平均水平的，否则不要说自己是优秀企业。当然，处于初创阶段的企业因经营不规范、制度不健全而造成案件频繁被查出，这表明内审工作是有效的。但如果一家经营多年的成熟企业依然出现案件频发的情况，要么是包括内控在内的企业经营管理系统漏洞百出，要么是企业的第一二三道防线全部失职失效。不管原因是什么，它肯定是企业管理的失败，当然也是内审系统的耻辱，丝毫也没有什么值得骄傲的。
04如何设立内审部门的KPI
会议期间，考虑到该司的审计总监是一位具有丰富经验的老审计，加上他说近期一直在为如何设立自己部门的KPI而困惑，我们一起花很多时间讨论了这一话题。我一直不主张用企业内部度打分方法给内审部门评分，特为他推荐了如下几个核心指标（其实也适合其他企业，具体权重可以有差别）：
1.价值创造类
（1）企业风险损失率低于行业平均水平；
（2）逐年消灭一定金额以上案件，下一年不允许再发生的（比如去年消灭万以上的案件，今年要消灭万以上案件等）；
（3）经营管理改善建议被采纳次数（至少要同比高于上年，能量化的尽量量化）。
2.规范经营类
（1）核心业务制度流程有效率≧90%或某一比例；
（2）企业违规外部处罚次数及金额≦0或某一数值。
3.职能工作类
（1）内部审计业务的覆盖率（核心业务、核心岗位必须%）；
（2）年度审计工作计划完成率≧95%或某一数值（经过董事会批准）。
讲了这么多，大家还认为企业内审工作就只是“管卡压”吗？内审朋友们千万不要把自己的工作看低了，内审部首先是合规稽查部，然后还是风险部、流程改善部、合理化建议部、员工职业安全部、价值创造部。当然合规查账工作只是最低层次的内审内容，如果内审只是做做事后查账稽查工作，其实这些工作是可以外包的。优秀的内审务必要为制度流程查漏补缺，要为业务保驾护航，要为伙伴排忧解难，要让业务合规有序高效，要让企业受人尊敬，要让员工更有成就感幸福感尊严感，能做到这些的卓越内审人怎么会不受员工欢迎喜爱呢？企业内审工作当然是非常重要的，企业里的分管领导一般都是董事长。长期以来，人们对企业内审工作存在许多误会，现在到了该澄清的时候了。那么该如何正确认识企业内部审计呢？总结起来就是以下六句话：公平正义价值观的坚决守护者；经营管理秩序的精心呵护者；经营管理红线的忠诚捍卫者；正直专业当责的业务伙伴与风控顾问；企业规范运营类品牌形象的幕后推手；廉洁奉公勇敢无畏的纪律楷模。亲爱的内审战友们，你们做到了吗？作为企业董事会成员，我一直非常尊重内审伙伴们卓有成效的工作，我要向他们致敬！
今天是中国传统的虎年新春佳节，在此向大家拜年了！本
