审计随笔---底稿微泛黄,英雄已白头

夜读Norman Marks的新书《World-Class Internal Audit》，里面有篇故事提到他刚做审计时带队一个项目，底稿做得很好，却被合伙人批评了。因为相对于审计目标而言，底稿做得太好了，不值得花这么多时间和人力，是浪费。在文中，Norman根据他数十年的内审经验列出了他认为底稿不需要太过认真的理由（相对于外部审计而言）。（我摘录了部分附在文末）

看完后我狠狠地点了几下头。深以为然。深以为然！同时，又不禁想起两个故事。

第一个是某女的故事，我们暂且叫她底稿妹吧。

底稿妹毕业后在一家本土事务所工作过几年，后跳槽改行做内审。一开始，大家发现底稿妹做项目效率很高，下到子公司做项目，同样的任务别人需要两周的外勤时间，底稿妹一周不到就能搞定，然后剩余的时间还能上天涯的莲蓬鬼话，各种鬼故事看得如痴如醉，或者上大众点评，帮大家研究出差地所在城市都有哪些特色美食。底稿妹的底稿做得更是好，工整、详细、无可挑剔，虽然鲜有发现问题和提出建议，但复核底稿也没发现什么异常，对各种问题也是对答如流。

后来发现真相是这样的：对底稿妹而言，审计就是填底稿，审计目标不重要，风险也不重要，把底稿填好填完美让复核的项目经理没法出Q或者出的Q很少就是最大的目标。所抽的样本把相关数据填进底稿就可以了，至于样本是否有问题，那纯粹取决于天涯上所追的那些鬼故事作者有没有更新，如果有了更新，那么30个样本也好60个样本也罢，底稿妹可以在半小时内把这个点的测试底稿搞定，然后又进入神鬼世界遨游了。

底稿妹信口胡邹的本领也高，项目经理复核时出的Q，她能根据自己的想象去回答。“是的，我确认过了，他们有这个控制”，她脸不红心不跳的面对提问，而实际上，她根本就没跟相关负责人核实。

底稿妹最后被开除了，因为屡次发现她所负责的Cycle应该发现的问题没有发现，而负责其他Cycle的同事却从关联处发现了。（比如她负责存货审计，底稿上写着审计期间没有超过10万人民币以上的报废，而作合并报表审计的同事却从账务上发现审计期间公司在某月处理了500多万的存货报废，后来发现她根本就没有查阅相关帐目并询问仓库）靠填底稿干活是无法长久的，不管底稿填的多么好。

第二个是某男的故事，是审计总监，就叫底稿总吧。底稿总是公司年薪百万从某知名上市公司挖过来的，也是公司历史上在中国区第一次任命大陆人做审计总监，堪称里程碑。可惜后来事实证明这个里程碑是纸糊的。

国内搞内审和风控的江湖术士很多，靠一张嘴讲讲COSO模型和舞弊三角理论也能混个百万年薪，实际上肚子里没有半两干货。举得牌子动不动就是“中国内控第一人”之类的。算了，这是题外话。

且说底稿总，新官上任就烧火，第一把就是要“完善和规范底稿”，之前的底稿属于简单实用型，Excel的，第一列是某个Cycle的或者审计前事先讨论好的主要风险点，第二列记录各相应风险点审计程序和方法，第三列是审计发现和结论，第四列是备注。这种底稿模板可以根据需要或详或略，使用简单，易懂易读。

某总认为太粗放了，很不正规，要求每个风险点都要单独一张excel tab，按规定格式写清楚风险点的描述，发生地点，频率，总体大小，样本量，选择这么多样本量的理由，选择样本量的方法，等等一大堆。有搞过SOX的同事一看就叫，这就是搞SOX测试的那种底稿嘛。推行的结果，是现场审计时，大家差不多三分之一到一半的时间忙于填底稿，专注的不再是风险、流程、目标、成本效益了。准确的说，某总把外审做SOX测试的那一套完全照搬到所有内部审计的项目了（不知道他是不是照抄的哪家四大的。底稿总工程出身，对四大无比仰视，对出身于四大的手下却又极尽刁难。想想似乎有些变态）。审计质量的下滑，从每份审计报告的审计发现的数量和质量就可以看出来，可惜某总专业能力也不行，质量下滑也不自知。最终混了两年后，天怒人怨，灰溜溜走人。

总结一下，外审要做详细的底稿，主要是因为监管的要求以及防止未来卷入各种麻烦的避险需要。对内审而言，底稿少有强制要求，可能更多的是满足质量控制的复核需要。复核的方法很多，我甚至遇到过的高手，复核时不怎么看底稿，更不喜欢在底稿上写一堆Q，然后邮件来邮件去的反复。审计小组坐下来，每人说一下自己的进展，项目经理有针对性的提问，或是大的方向，或是小的细节，对组员的审计质量便大致了然于胸了。（我发现凡是纠结于底稿要写多细多完整用什么格式的，专业能力一般不咋地。高手总是举重若轻且有的放矢？）

写这么多，不是说底稿不重要，而是对内部审计而言，特别是对由外审进入内审行业的带有外审惯性思维的同行而言，需要在底稿服务整个审计目标过程中，将其放到一个合适的平衡的位置。

人生短暂，时间宝贵，资源也总是太少。有限的时间和人力，还是少花点在写底稿上吧。（不过不是让你不写哦。Balance！！！）

附：Norman关于底稿的观点

This experience led meto question the value of workpapers when I became a chief audit executive.While there is a clear need to document the work done as an external auditor(for protection in the event of litigation),the same need is not necessarily present for the internal auditor.

The work of internal auditors is not reviewed by examiners or regulators,while external auditors'work is

The opnion of the internal auditors,with the exception of government and similar environments,is for internal use only

Internal auditors are rarely sued,whereas the external auditors may be sued by investors who rely on their published audit opinion

While the International Standards for the Professional Practice of internal auditing require that there be evidence to support the internal auditor's assessment,they don't mandate working papers in the same way that external auditor standards do

There is value in working papers:

If findings are disputed,the working papers provide evidence in their support.However,the facts behind audit findings are not often disputed;the debate with management,if there is one,is usually how to interpret the findings and assess the risk they represent

Working papers are necessary if litigation is anticipated,such as in the case of a fraud investigation.This points to a need for working papers for investigations,but not for all internal audits

Working papers enable a manager or supervisor review.However,most internal audit departments document in more detail than required for a manager to confirm the audit was completed to an appropriate level of quality.I prefer to review an audit by talking to the audit team,not by reviewing working papers

Sometimes,reliance is placed on internal audit work by the external auditors.In those cases,documentation to a level agreed with the external auditors is required

Sometimes,regulators or examiners(such as in banking or insurance)review internal audit works as part of their examination of the company.Working papers to agreed-upon standards are necessary.

The key is to find a balance between the value of an audit engagement's working papers and the cost of creating them.(By the way,the cost of creating excessive working papers is not just the dollar cost of the staff and manager time.It is the opportunity cost:the opportunity to use those hours for another audit)

翻译成中文：

当我成为审计总监时，就一直在考虑审计底稿的价值。对于外部审计师而言，工作中形成的底稿是很明确的需求（防止发生诉讼事件），而这并不适用于内部审计工作。

•与外部审计不同的是，内部审计人员的工作不是由审查机关或监管机构审核

•不同于与政府或者类似机构，内部审计师的意见只供内部使用

•内部审计师很少被起诉，而外部审计师可能被那些依靠他们发布的审计意见做决策的投资者起诉

•而内部审计师根据专业实务的国际标准要求，去获取证据以支持他们的观点，这与外部审计师对工作底稿的标准是不一样的。

审计底稿的价值在于：

•如果审计发现是有争议的，审计底稿能提供证据支持。然而，在审计中，关于审计发现的争议不是经常有；对于管理方面的争议，即使有，那也是如何解释的审计发现以及评估事件的风险。

在舞弊调查中，如果涉及到诉讼，那么工作底稿是很有必要的。这仅仅针对舞弊调查，但不包括所有的内部审计工作。

•审计底稿使帮助经理或主管完成复核。然而，大多数的内部审计部门的文件比一个经理确认审核所需的完成质量适当的水平会更详细。评价一个审计项目，我更喜欢通过团队，而不是审计底稿。

•有时，外部审计师需要依赖内部审计的工作。在这些情况下，对审计底稿的要求就需要与外部审计师的要求相一致。

•有时，审查机关或监管机构（如银行或保险）将审查内部审计的工作作为他们对公司的审核部分。复核商定的标准的工作底稿是有必要的。

关键是要找到一个审计底稿提供的价值和编制底稿耗费的精力之间的平衡点。（顺便说一下，创建过多的工作底稿成本不仅仅是员工的成本和管理时间。这是机会成本，利用这些时间再多做一些审计）