合规审计与财务审计的区别在于：财务审计看钱对不对，合规审计看事能不能做。前者有准则可依，后者依赖法律法规的梳理，边界更模糊，但后果往往更严重——财务问题罚款了事，合规问题可能直接停业或者追究刑事责任。
本文聚焦三条企业最常踩雷的线。
一、反商业贿赂
法律依据主要是《反不正当竞争法》第七条（经营者不得采用财物或者其他手段贿赂交易相对方的工作人员、受交易相对方委托办理相关事务的单位或者个人、利用影响力影响交易的单位或者个人）和《刑法》关于行贿、受贿的条款。
审计要点四个：
要点一：费用真实性。市场推广费、咨询费、会议费、赞助费是商业贿赂的高发科目。核查方法：取得费用明细，抽取大额项目，要求提供服务成果、参与人员名单、现场照片。付给“中间人”“顾问”的费用，要看其提供的服务是否有实际价值。
要点二：支付对象。收款方是否为交易相对方的工作人员或其近亲属；是否为政府机关、医院、学校的公职人员；是否为“咨询服务公司”但无实际经营。
要点三：支付方式。现金支付、个人账户收款、以报销名义支付、通过第三方（旅行社、会务公司）转付，都是高风险方式。
要点四：商业合理性。一笔 200 万元的“学术推广费”对应 50 万元的销售额，投入产出严重不匹配，就要问这笔钱到底买什么。
常见违规形态：以“咨询费”名义支付回扣、以“赞助学术会议”名义支付医生好处、以“旅游”名义招待客户、通过经销商支付终端费用（穿透后仍是商业贿赂）。
二、数据合规
法律依据是《网络安全法》《数据安全法》《个人信息保护法》，以及各行业的数据管理规定。
审计要点五个：
- 数据收集的合法性：是否取得用户同意，告知是否充分，是否存在超范围收集（如 APP 强制索取通讯录权限）；
- 数据存储的安全性：是否分类分级，敏感数据是否加密，是否境内存储（关键信息基础设施运营者和处理重要数据的处理者）；
- 数据使用的合规性：是否超出收集时的目的使用，是否用于自动化决策且未提供拒绝方式；
- 数据共享的合规性：向第三方提供是否取得单独同意，是否签订数据处理协议；
- 数据出境的合规性：是否通过安全评估、标准合同或者认证。
审计方法包括：查阅隐私政策与用户协议、检查系统权限设置、抽查数据导出记录、访谈数据安全负责人、检查是否发生数据泄露事件及报告情况。
常见违规形态：APP 未告知就收集设备信息、把用户数据打包卖给第三方、员工可以随意导出客户名单、境外服务器存储境内用户数据。
三、环保与安全
法律依据是《环境保护法》《安全生产法》及配套条例。
审计要点四个：
要点一：证照与审批。排污许可证是否取得、是否在有效期内、许可排放的种类与浓度是否与实际一致；建设项目是否履行环评手续；安全生产许可证是否有效。
要点二：设施运行。污染防治设施是否正常运行（不能“检查时开、平时关”）、在线监测数据是否真实、危险废物是否合规处置（有无转移联单）。
要点三：处罚记录。查询生态环境部门、应急管理部门的行政处罚记录，判断是否构成重大违法。
要点四：应急预案与演练。是否编制应急预案并备案、是否定期演练、是否配备应急物资。
常见违规形态：篡改在线监测数据、危险废物交给无资质单位处置、未批先建、安全设施未验收就投产。
四、一个环保数据造假的案例
某化工企业 2022 年被举报篡改在线监测数据。调查发现，企业在排污口安装了“稀释装置”，在监测设备取样时注入清水，使化学需氧量（COD）读数从实际的 380mg/L 降到 90mg/L（标准限值 100mg/L）。
操作方式是：监测设备每 2 小时自动采样一次，采样前 5 分钟由中控室远程开启稀释泵。这个操作被写进了《中控操作规程》，作为“设备维护”的一部分。
后果：
- 行政处罚：按《环境保护法》及相关规定，责令停产整治，罚款 180 万元，法定代表人被行政拘留 15 日；
- 刑事：篡改监测数据被认定为“严重污染环境”，环保负责人被判处有期徒刑一年六个月，缓刑两年；
- 经营：停产整治 5 个月，直接损失 6200 万元，两个大客户转单；
- 融资：银行贷款被提前收回 3000 万元，正在申报的高新技术企业认定被取消。
这个案例的教训是：环保数据造假被单独入刑（《刑法》第三百三十八条及相关司法解释），不再是“罚点钱”的事。
五、整改优先级与落地顺序
三条线的问题往往同时暴露，资源有限时必须排优先级。判断标准只有两个：发生概率与后果严重程度。
- 先处理高风险、低成本的：权限回收、制度上墙、审批留痕，改起来快，能立刻降低暴露面。
- 再处理高风险、高成本的：数据出境安全评估、环保设施改造、反贿赂合规体系搭建，需要预算与周期。
- 最后处理低风险事项：台账格式、培训记录、文档归档，属于规范化工作，可并入日常管理。
合规审计的价值不在于列问题清单，而在于把「谁在什么时候完成什么」写清楚。建议每项问题都对应三个字段：责任人、完成时限、验收证据。没有验收证据的整改，等于没有整改。
六、常见问题
以下问题取自客户咨询中出现频率最高的几处，答案与正文相应章节对应，可结合自身情形对照使用。
问：合规审计在反商业贿赂这条线怎么抽样？
答：以费用科目为起点，重点抽取业务招待费、咨询费、会议费、市场推广费与差旅费，核查真实性、受益对象与审批链条；同时穿透经销商返利、第三方服务商的资金流向，识别是否存在通过第三方支付的不当利益。
问：商业贿赂与正常商务往来怎么区分？
答：看三点：对象是否为可能影响交易决策的主体、给付是否与具体交易挂钩、是否如实入账。给予折扣、佣金如实入账的属于正常经营；账外暗中给付财物或其他利益、以换取交易机会的，构成商业贿赂。
问：数据合规审计的基线检查包括什么？
答：个人信息收集是否告知并取得同意、是否存在超范围收集、是否建立删除与更正渠道、数据出境是否完成安全评估或备案、权限与日志是否留存、第三方共享是否签署协议。基线检查以《个人信息保护法》《数据安全法》要求为对照。
