审计做完，报告出了，厚厚一本底稿归档。企业拿到报告，看两页意见，其余不看。
真正对企业有用的，往往是另一份文件：管理建议书。
一、与审计报告的分工
审计报告面向股东与外部使用者，回答「报表可不可信」。管理建议书面向管理层与治理层，回答「哪里可以更好」。
审计报告受准则约束，格式固定；管理建议书没有固定格式，重点在「有用」。一份建议书有没有用，看管理层会不会拿着它去开会。
管理建议书不是必须出具的。但一份好的建议书，是审计从「合规」走向「增值」的通道。
要注意边界：建议书不能替管理层做决策，也不能承诺「按此整改就没有风险」。建议是建议，责任在管理层。
建议书也不宜作为出具非标准意见的替代。发现了重大缺陷，该在报告里反映的，不能只在建议书里提一句。
二、发现的三种写法
写法一，现象。只写「发现报销单据缺少审批」，价值有限。
写法二，现象加影响。写「报销单据缺少审批，涉及金额八十六万元，存在虚报风险」，有价值，但还不够。
写法三，现象、影响、原因、建议。写清「为什么发生」「改了能解决什么」，才是完整的发现。
原因分析最容易省，也最重要。同样是「缺少审批」，原因可能是制度没规定、系统没控制、人员不知道、或者故意绕过。四种原因，四种解法。
把原因写对，建议才有针对性。原因写「管理不严」，建议只能写「加强管理」，等于没说。
原因分析可以用「五问法」。为什么单据缺审批？因为金额小没人看。为什么没人看？因为审批流设置成默认通过。为什么默认通过？因为系统上线时为省事。问到第三层，解法就从「加强培训」变成了「修改系统默认设置」。
三、建议的可执行标准
标准一，有动作。写「建立制度」不如写「由财务部牵头，二〇二四年三月底前发布报销管理办法，明确三级审批权限」。
标准二，有责任人。建议要落到部门或者岗位，不写「公司应」。
标准三，有时限。给一个合理的时间，不要写「尽快」。
标准四，可验证。整改完成后，能用一份文件、一张截图、一次抽查验证。
四条都满足，建议才叫可执行。缺一条，建议就变成「正确的废话」。
还有一条隐藏标准：成本要合理。建议上一套几十万元的系统，去防范几万元的风险，管理层不会采纳。建议要与风险敞口匹配，能用人解决的，不必上系统。
四、分级与排序
按风险高低分三级：高、中、低。高的先改，中的排期，低的进清单。
分级依据：涉及金额、发生概率、是否涉及舞弊、是否有补偿控制。四个因素里，舞弊一项具有「一票升级」的效果，涉及舞弊的，至少列为高。
排序不只看等级，还要看「整改成本」。成本低、效果好的，优先做。这叫「快赢」。
建议书的结构可以是：本期重点发现（三到五条）、分级清单（全部）、上期整改跟踪。
重点发现的选择，看三件事：金额大、涉及舞弊、管理层能改。三条占两条，就放进前三。全都占不到的，放进清单，不占篇幅。
上期跟踪很重要。去年提的问题今年还在，说明整改机制本身有问题，这一条要写进去。
五、沟通的方式
建议书不是发过去就完了。要开一次沟通会，逐条讲，听管理层的解释。
有的「问题」有业务原因。比如小额采购不招标，是因为供应商唯一。听完解释，建议可以调整为「建立单一来源采购的审批与公示流程」。
沟通不是妥协。事实不变，建议可以更贴合实际。
沟通要有记录。谁参加、讨论了什么、管理层是否认可、计划何时整改，形成会议纪要，随建议书一并归档。
沟通还要找对人。只跟财务经理谈，很多跨部门的问题改不动；涉及采购、仓储、销售的，要请分管负责人到场。人不到，事就推不动。必要时请审计委员会出面，把整改纳入考核。
六、一份被搁置两年的建议书
某制造企业审计，项目组在建议书里提出：「仓库出入库由同一人负责，且无定期盘点，存在存货流失风险。」
建议写的是「建议加强仓库管理，完善出入库流程」。没有责任人、没有时限、没有验证方式。
管理层看完，觉得「知道了」，没有安排整改。第二年审计，同样的问题再次提出，措辞几乎一样。
第三年，企业盘点发现存货短缺一千二百万元，涉及三年累积。追查发现，仓库管理员长期以「损耗」名义掩盖私自出库。
事后复盘，项目组承认：如果第一年建议写成「由仓储部与财务部每月联合盘点，差异超过千分之三的书面说明，二〇二二年六月前完成」，这件事可能不会拖三年。
这个案例的教训是：建议的价值不在「指出问题」，在「推动改变」。指出问题只需要眼睛，推动改变需要设计。
七、怎么写一份有用的建议书
第一条，控制在十页内。太长的没人看，三到五条重点加一张清单足够。
第二条，一条一个逻辑。现象、影响、原因、建议，四段写完，不铺陈。
第三条，用管理层的语言。少用审计术语，多写「钱」「时间」「责任」。
第四条，给选项。复杂的整改，给两个方案，说明成本与效果，让管理层选。
第五条，跟踪闭环。下一期审计必查上期建议的整改情况，形成压力。
八、管理建议书清单
- 明确建议书的对象是管理层与治理层
- 每条发现写清现象、影响、原因、建议
- 原因分析落到制度、系统、人员或者故意
- 建议写明动作、责任人、时限、验证方式
- 按风险高低分级，按成本效果排序
- 列出上期建议的整改跟踪结果
- 与治理层开沟通会并形成纪要
- 建议不替代管理层决策，明确责任边界
- 篇幅控制在十页以内，重点突出
- 下期审计必查整改情况，形成闭环
审计报告证明「我查过了」，管理建议书证明「我帮上忙了」。后者不写进意见，却决定了客户明年还找不找你。
