很多企业的内审部门是这样诞生的：监管要求设，于是招两个人，挂在财务部下面，做一些“凭证抽查”的工作。这样的内审没有意义——它查的是财务自己，而财务是它的上级。
内审要有效，先解决三个前提：定位、汇报线、人。
一、三种定位
定位一：合规型。主要工作是检查制度执行、配合外部审计、做专项调查。价值在于“防出错”，适合监管要求高、业务相对稳定的企业。
定位二：管理型。在合规基础上，做流程优化、成本分析、绩效评价。价值在于“提效率”，适合规模较大、管理精细化的企业。
定位三：风险型。以风险评估为基础，聚焦重大风险领域（资金、采购、投资、合规），做前瞻性的风险预警。价值在于“控风险”，适合多元化、跨区域、高风险行业的企业。
三种定位不是互斥的，多数企业是从合规型起步，逐步向管理型、风险型演进。但起点必须清楚，否则内审会变成“什么都做、什么都不深”。
二、汇报线怎么定
这是内审独立性的核心。四种安排，效果差别很大：
安排一：向财务总监汇报。最差。内审要查财务，财务是上级，独立性完全丧失。这种安排下，内审只能查业务部门，查不了财务。
安排二：向总经理汇报。常见，但仍有问题。总经理本身是被审计对象之一（尤其是费用、关联交易、重大投资），内审很难查总经理。
安排三：向审计委员会汇报。规范做法。审计委员会由独立董事组成，内审直接向其汇报，行政上可以向总经理汇报预算与人事，业务上向审计委员会负责。这种“双线汇报”是上市公司内审的标准架构。
安排四：向董事会汇报。适用于规模较小的企业（未设审计委员会），内审负责人列席董事会，直接向董事会报告。
实务中的关键条款：内审负责人的任免由审计委员会决定，内审部门的预算由审计委员会批准。这两条保证了内审不怕被“穿小鞋”。
三、人员怎么配
数量上有个粗略参考：每 1000 名员工配 2-3 名内审人员，或者按营业收入每 10 亿元配 3-5 名。金融、工程类企业比例更高。
结构上要避免“全是财务背景”。合理的内审团队应包含三类人：
- 财务审计：懂会计准则、税务、报表，负责财务类审计项目；
- 业务审计：懂采购、销售、生产流程，负责运营类审计项目；
- IT 审计：懂系统、数据，负责信息系统审计与数据分析。
三类人的比例大致是 5:3:2。全部是财务背景的团队，做业务审计时会被业务部门“糊弄”，因为听不懂工艺、看不懂流程。
能力要求上，除了专业，还要有两点：一是沟通能力（内审的报告要让人接受），二是抗压能力（查出来的问题往往涉及人）。
四、内审的工作方法
四个环节：
环节一：年度审计计划。基于风险评估制定，不是“每年把各部门轮一遍”。风险评估考虑：金额重要性、历史问题、管理成熟度、外部环境变化。计划要报审计委员会批准。
环节二：项目立项与方案。每个项目明确目标、范围、时间、人员、方法。方案要提前与被审计单位沟通，减少对抗。
环节三：现场执行与沟通。现场结束前开“退出会”，把发现的问题当面沟通，给对方解释的机会。这一步能避免 30% 的争议。
环节四：报告与跟踪。报告要写清问题、影响、原因、建议。建议要可执行，不能只说“加强管理”。整改要跟踪，形成闭环。
五、一个被撤并又重建的案例
某零售企业 2019 年设立内审部，3 人，向财务总监汇报。两年间做了 12 个项目，全部是“费用报销合规性检查”，发现的问题都是“发票不合规”“超标报销”这类小事。
2021 年公司降本，内审部被撤并，人员分流到财务和行政。
2022 年，公司爆出采购舞弊：区域采购经理与供应商勾结，三年虚增采购价格约 2600 万元。事情暴露后，董事会才意识到内审的价值。
2023 年重建内审部，这次做了三处调整：
一是汇报线改为向审计委员会汇报，内审负责人由审计委员会提名、董事会任免。
二是人员结构改为 1 名财务背景、1 名采购背景、1 名 IT 背景，负责人从外部招聘（有大型零售企业内审经验）。
三是工作范围从“费用检查”扩展到“采购、门店运营、资金、信息系统”，年度计划基于风险评估。
重建第一年，内审做了 8 个项目，发现采购比价失效、门店现金管理漏洞、系统权限过大等 23 项问题，推动整改后节约成本约 1400 万元。
这个案例的教训是：内审的定位错了，它就只能查小事；汇报线错了，它就不敢查大事。
六、内审建设的落地清单
- 明确内审定位（合规型、管理型、风险型），写进内审章程；
- 确定汇报线，上市公司采用“业务向审计委员会、行政向总经理”的双线；
- 内审负责人由审计委员会提名、董事会任免，任期与薪酬由审计委员会决定；
- 按员工数或收入规模配置人员，结构上覆盖财务、业务、IT；
- 制定内审工作制度，含职业道德、保密、回避条款；
- 基于风险评估编制年度计划，报审计委员会批准；
- 建立审计发现问题台账，跟踪整改至关闭；
- 每季度向审计委员会报告工作，每年做一次质量自评；
- 内审人员每年参加不少于 40 小时的后续教育；
- 与外部审计建立沟通机制，避免重复工作、共享发现。
内审部门的价值不在于人数，而在于它敢查谁、能查出什么。这两点由定位和汇报线决定，不由预算决定。
