审计做完了，报告出了，底稿堆在柜子里。半年后监管来检查，翻开的第一个问题是：这份底稿是什么时候归档的。
底稿的可靠性，一半在内容，一半在时间。
一、底稿的三项功能
第一项，证明。证明审计师执行了程序、获取了证据、形成了结论。没有底稿，等于没做。
第二项，支持。支持审计报告中的意见与结论。报告说「已充分核查」，底稿要能拿出来。
第三项，复核。让复核人、检查人能够理解审计过程，判断是否充分适当。
三项功能有一个共同前提：底稿要能被别人看懂。只有自己看得懂的底稿，等于没有底稿。
所谓看懂，是指一个有经验的审计师，不看现场记录也能判断：为什么做这个程序、样本怎么选的、结论是怎么得出的。
二、归档期限与修改规则
审计工作底稿应当在审计报告日后六十天内归档。归档后，底稿进入「锁定」状态。
归档后不是绝对不能改，但条件很严：只有在发现原有底稿不完整、需要补充记录，且该补充不改变原结论时，才允许修改。
修改要留痕：谁改的、什么时候改的、为什么改、改了什么。不能直接覆盖原文件。
还有一条硬约束：不得在归档后删除或者废弃原有底稿。删除是最严重的违规，因为它破坏了证据链的完整性。
执行层面还有两个细节：归档清单要有人签字确认；归档后底稿的访问权限要收回，只留项目合伙人与质量复核人可查。
特殊情况：审计报告日后发现事实，需要修改报告的，可以相应修改底稿，但要记录修改原因与时间。
三、底稿的要素与索引
一份完整的底稿包含：项目概况、审计计划、风险评估、程序记录、证据、结论、复核记录。
每份底稿要有：标题、索引号、编制人、编制日期、复核人、复核日期。
索引体系是关键。总索引、分索引、明细索引要能对应，从报告结论能一路追到原始凭证。
实务中的问题是索引断裂：报告里写的结论，底稿里找不到对应程序；底稿里有的程序，报告里没有体现。
断裂往往不是技术问题，是赶工。报告先定稿、底稿后补，补的时候按报告的结论去凑程序，就必然对不上。正确的顺序是先有底稿，再有结论。
四、电子底稿的特殊问题
第一，时间戳。电子底稿的编制时间、修改时间由系统记录，比纸质更可靠，但也可能被系统权限绕过。
第二，版本管理。多人协作时，容易出现版本混乱。要有明确的版本命名与锁定规则。
第三，附件完整性。扫描件、照片、系统导出数据，要确认可读、完整、未被篡改。
第四，备份与迁移。系统更换时，历史底稿要能完整迁移，且保持可查阅。
五、检查中的六类常见缺陷
第一类，程序记录缺失。底稿只有结论，没有过程。比如写「已执行函证，回函相符」，但没有函证清单、没有回函。
第二类，证据不足。抽查了五笔，结论写「未发现异常」，但没有说明为什么抽五笔。
第三类，结论与证据矛盾。证据显示有异常，结论写「无异常」，中间没有分析。
第四类，签字不全。编制人、复核人签字缺失，或者签字日期晚于归档日。
第五类，归档超期。报告日后超过六十天才归档，且无合理解释。
第六类，归档后修改无记录。底稿内容与归档版本不一致，但没有修改记录。
这六类缺陷有一个共同点：不是不会做，是没留痕。检查无法还原审计师当时的思考过程，只能看纸面。纸面没有的，一律视为没做。
六、保密与借阅
底稿属于事务所，包含客户商业秘密。未经客户同意，不得向第三方提供。
监管检查、司法调查、行业质量检查可以依法调阅，但要有正式手续。
客户要求查阅底稿的，通常只提供与审计结论相关的部分，且要评估是否涉及其他客户的信息。
还有一类：集团审计中，组成部分注册会计师的底稿，集团项目组有权查阅。这一条要写进业务约定书。
另有一个常见误解：底稿归事务所所有，所以可以随意处置。所有权与保管义务是两件事。底稿自报告日起通常至少保存十年，期间不得销毁。
七、一个归档后被修改的案例
某事务所被监管抽查一个上市公司年报审计项目。检查组核对电子底稿的系统日志，发现归档日之后的第三十七天，有十二份底稿被修改。
修改内容包括：补充了三份客户走访记录、修改了两份函证结论、新增了一份存货监盘小结。系统日志显示修改人为项目经理，但底稿中没有修改说明。
项目组解释是「归档时遗漏，事后补充」。检查组进一步核对，发现补充的走访记录日期早于归档日，但文件创建时间在归档日之后，属于事后补做。
更严重的是，其中一份函证结论从「回函金额不符，已执行替代程序」改为「回函相符」，而替代程序底稿并未增加。
最终认定存在归档后无记录修改、补充底稿日期不实的问题，事务所被出具警示函，项目合伙人被监管谈话，该项目被列入下一年度重点检查名单。
八、底稿管理清单
- 审计报告日后六十天内完成归档，超期的有书面说明
- 归档后修改有记录：修改人、时间、原因、内容
- 无删除、废弃原有底稿的情形
- 每份底稿有标题、索引号、编制人、复核人、日期
- 索引体系完整，可从报告结论追溯到原始凭证
- 程序记录含样本量确定依据、抽样方法、例外处理
- 结论与证据一致，矛盾之处有分析说明
- 电子底稿的版本管理、权限控制、备份机制健全
- 底稿借阅有审批记录，未向无关第三方提供
- 集团审计的业务约定书中已约定底稿查阅权
底稿不是给检查看的，是给未来的自己看的。半年后还能看懂当时为什么这么判断，这份底稿才算合格。
