谈高校内部审计的位与为

陈爱萍

 引言

 有老师问:“财务处给我发钱雪中送炭，组织人事处给我提升职务职称锦上添花，你审计处有什么用啊?”又有人问:“你们审计与纪检有什么区别啊?”当工程发生变更时，基建人员经常对我们说:“我们只负责做这件事，至于价格是由你们审计来定。”

对此我常感到疑虑:内部审计究竟是什么、干什么、有什么用呢?这些问题若不厘清，内审工作就会有漫无目的、毫无边界之感。本文从管理的视角、回到内审本源，探讨内部审计的定位、职责、角色问题。

一、定位:“第三道防线”

(一)追溯内部审计起源

据史料记载，在西欧大约公元前510年前，罗马的奴隶主建立了许多大庄园，大奴隶主(委托人)将自己的各个庄园委托精明强干的管家(受托人)，代其负责日常管理，这就产生了委托受托管理责任关系，并且分解了管理职责与权力，增加了管理层次。为了了解情况，奴隶主委派亲信(内部审计人员)审查并向其报告受托人是否诚实地履行了受托管理责任，以便采取恰当措施促进受托人有效地履行受托管理责任。这里的“审查”明显地隐含着通过检查进行认定和评价之意。这就是庄园内部审计的萌芽。这种内部审计对各位管家加强自律、加强内部控制并提高其所记会计账目的可信度具有促进和威慑作用，但采取措施纠错防弊是庄园主而非内部审计人员的职责。这也明显地带有了现代内部审计的轮廓。

之后内部审计被广泛应用于企业等各类组织中，由于企业规模扩大，机构庞大、业务繁杂，最高层管理者不可能亲自接触并直接了解具体情况，他们主要是依靠各受托人上报有关情况而了解。而各管理层反映上来的情况，可能会有意无意地掺人相关人员自己的意志。最高层管理者为了对这些情况的真实可靠性、客观性作出判断，就将目光转向由企业内部独立于这些部门的人员或组织去检查、认定，这是内部审计产生的内在原因。各国关于内部审计的法律法规或规定，也是催生内部审计的重要外因，比如我国在计划经济体制下采用前苏联管理模式，不设内审部门，我国的内审制度是在审计署的认识下，在国务院、各部门、政府、单位支持配合下，并通过《审计法》、《审计署内部审计工作规定》等法规制度得以实现的。

高校内部审计也是在这样的内、外因作用下产生的。高校内部管理的责任与权力实行纵向与横向的分解，并不能减轻最高层管理者的最终责任，因此所属各层管理者是否有效履行其受托责任，就变得尤其重要。内部审计的本源就是作为最高管理层(委托人)对所属各管理层(受托人)实施控制的手段而存在的，它协助委托人促进受托人有效履行受托管理责任。

(二)明确高校内审定位

1.关于内部控制

管理工作中重要的职能是计划和控制，可以把计划与控制看成是一把剪刀的两刃，没有任何一刃，剪刀也就没有用了。在高校内部，众多的部门和层次使计划与控制工作复杂化，控制工作尤其重要。所有精明的管理人员都想要有一个充分而又有效的控制系统来协助他们确保一切按计划行事。

高校在实现目标的过程中，可能遇到各种不利事项和因素，识别和应对这些风险的最关键方法就是设计和实施有效的内部控制。内部控制本身不是目的，它是帮助实现目标的手段和条件。COSO内部控制框架提供了“如何进行控制”的思路，制定了管理和控制风险的基本原则和手段，被广泛应用于各单位内控体系建设中，但对于具体由谁来执行控制，框架并没有清晰界定。国际内部审计师协会发表的认场公告《有效风险管理和控制的三道防线》提出的三道防线模型，细化了内部控制的职责分工，明确了由谁来执行控制。因此三道防线模型是可操作的组织架构，用于支持COSO框架的落实。

2.什么是三道防线

在组织中，多种风险及内控管理职能并存是一种普遍的现象，如内部审计、风险管理、合规检查、内部控制、质量审核、舞弊调查等。这些不同的职能有一个共同的目标，就是协力帮助组织管理风险，但每一个职能又有各自不同的专业领域、视角、技能，且分布在不同的部门和业务单元，能否科学地设计和区分好各个职能的角色，并实现良好协作至关重要。三道防线模型对组织内的各种职能进行了有效区分:

(1)第一道防线:业务运营管理与控制，设计、执行内控措施，对风险管理承担直接责任。运营管理部门将内控措施设计嵌人到日常的业务、系统或流程中，他们执行流程，对内控问题进行纠正和改进，以维护有效的内部控制，确保各项活动符合组织目标。运营管理层对风险管理承担着直接的职责，

(2)第二道防线:在风险、控制与合规方面，对第一道防线进行监控与管理。理想状况下，也许只需要第一道防线即可有效的管理风险，但在现实情况中，单层防线往往是不够的。组织会设立不同的风险管理和合规职能部门，以确保第一道防线的控制措施设计合理并得到有效运行。第二道防线的总体职能一般包括协助运营管理部门制定各项控制策略、提供风险方面的专业知识、实施政策和程序、收集相关信息、创建组织层面的整体风险控制观等。他们一般不直接参与组织的日常经营，而是负责对具体的风险管理和控制程序进行持续性监控。可以说第二道防线本质上履行的是一种管理或监督职能。

(3)第三道防线:内部审计，对风险管理提供独立确认。内部审计对第一和第二道防线是否达到了风险管理和内控目标提供独立.确认，他们通常不负责内部控制程序的设计和实施，也不负责组织日常的运营管理活动。

与其他两道防线相比，第三道防线最突出的特点是它具有高度的组织独立性和客观性。虽然第二道防线内各职能部门在某种程度上独立于第一道防线，但其本身作为管理职能，可以直接参与建立和改进内部控制和风险管理的过程，因此，严格意义上说，第二道防线无法针对风险管理及内部控制向治理层提供真正独立的分析。

除了三道防线内各职能部门的参与，高级管理层和其他外部监管机构也发挥着重要作用。高级管理层负责设立组织目标、制定高层战略、建立治理结构，优化组织架构，统筹管理三道防线的运行。对控制环境负有首要责任，确立组织的“高层基调”，对三道防线的活动负有最终责任。因此高级管理层的参与是三道防线模型成功实施的基本前提。此外，外部审计、政府监管机构以及其他外部机构也扮演着非常重要的角色，他们往往被看成组织治理的附加防线。

高校应根据自身特点来构建三道防线模型，每道防线应分工明确，承担不同的角色和职责，尤其要确保第三道防线和其他防线之间相互独立.。因为独立性和客观性是内部审计的本质要求。高校内部审计是什么？是对高校内部所有控制的再控制，是“委托人延长了的手”，是内部独立.客观的确认和咨询活动。

二、有为:“确认、评价、建议”

高校内部审计只有定好位，才能明确方向，有所为有所不为。

(一)高校内部审计的职能

内部审计从其本质属性看主要有确认、评价和建议三个职能。(1)确认职能:内部审计人对受托人履行受托管理责任的过程或结果进行核实、予以认定。(2)评价职能:审计人对受托人履行受托管理责任的行为和结果的评价，即对管理活动的过程、结果与既定目的、决策等一系列既定标准的符合性进行评价。(3)建议职能:审计人提出纠正和预防建议、提出激励与推动建议。

在内审的本源中并没有“监督”的职能，但由于在我国，宪法和审计法赋予了国家审计机关监督权。与此相联系，我国的许多政府部门、金融机构和企事业单位，也赋予其内部审计一定的监督权。因此，在委托人授予监督权的特殊情况下，内审还具有“督促”职能。从三道防线角度来看，若赋予内部审计很多监督权，可能容易越位、错位，失去其本位。所以作为高校的内部审计，即便习惯上将内审称为监督职能，也应注意与其他监督的区别。

(二)内部审计的作用方式

组织的规模及经营复杂程度各异，但三道防线模型都会以不同形式存在，只有清楚界定各自角色，每个角色完成自己的责任，内控架构才能有效地运转。高级管理层应该掌握组织内部不同职能承担责任的差异，优化分配有限的资源，以帮助更好地实现组织目标。

三道防线如何分工与协调?举例来说，在高校的预算工作中，高级管理层:确立目标，营造重视预算的氛围、文化，支持、指导、监督预算工作，对预算活动负最终责任。第一道防线:各业务部门着眼于实现目标，按照“谁花钱、谁编预算”的原则，负责设计、制定、执行预算的政策和程序，明确职责权限，将预算控制内置于业务流程和日常活动中，并持续审查、更新，确保支持预算目标实现。第二道防线:财务部门负责监控预算政策与程序的遵从情况，协助、参与制定预算政策和程序，但仍由业务部门对预算编制、执行、分析负责。第三道防线:内部审计对预算政策和程序的设计和实施情况进行审计，提出建议，但不参与预算政策和程序的设计或实施。

三道防线有着相同的终极目标，所要解决的风险和控制问题也是相同的。在界定每道防线及相应部门的基本角色和职责时，应保证全面覆盖组织风险，既无缺口，也无重叠。简而言之，在风险管理和内部控制中，第一道防线是直接责任，第二道防线是监督责任，第一、二道防线都是管理责任，第三道防线是审计责任，高级管理层是最终责任。内部审计本身不是决策、执行、监督，它是通过审计帮助各管理层去决策、执行、监督。

(三)内部审计的作用领域

内部审计的作用领域理论上可以全覆盖，但实务上不可能包罗万象、面面俱到。内审应关注组织的重要事项，关注审计工作的相关性，以最高管理者所关心的重点作为审计的重点，内审应着眼于“防控风险，增加价值”，但应从何处着手呢?我校内审工作还处于起步阶段，应循序渐进、适合自身需要与可能，目前可选择以下方面作为有力的抓手:

1.选择合适的切人点

(1)经济责任审计

毛泽东主席说过:“政治路线确定之后，干部就是决定的因素。”在高校干部管理工作中，内部审计也要发挥自身的服务作用。目前高校内审主要是针对第一、第二道防线部门的中层干部进行经济责任审计，对高级管理层则由教代会、外部监管机构进行监督管理。

“经济责任审计”的概念可以从狭义和广义上来理解。狭义上是特指我国的领导干部经济责任审计，它是一项具有中国特色的审计制度，是加强权力制约监督的重要措施。与此相对应，各单位也对内部管理的领导干部实行经济责任审计制度，切实发挥内部审计服务于干部管理监督、有效实现发展目标的重要作用。

内部审计的产生是以受托管理责任为根本动因和基本前提，其理论与实践也都随着受托管理责任外延的发展而发展。“受托管理责任”一词源于英文的Accountability，理论界对该词的译法很多，如会计责任、经济责任、受托责任、受托经济责任。受托管理责任包括受托管理的行为、效果及其报告的责任。广义上说，所有类型的审计都是对受托人受托管理责任履行情况的审计，都可称为“经济责任审计”，所以经济责任审计不仅是一种审计类型，也是一种广义的审计概念、审计统称。

(2)建设项目审计

工程建设具有资金密集、利益驱动大、角逐激烈等特征，牵涉项目资金管理、施工管理、项目招投标、材料采购、合同签署以及资产管理等诸多环节，涉及数十个决策、审批环节和程序，每个环节都存在权与利的博弈，不少高校的基建工程领域成为经济犯罪和腐败案件的“重灾区”。在高校建设项目管理中，存在着违规建设、超额投资、工程延期、管理混乱、商业贿赂等现象，选择建设项目审计作为一种监控的有效手段，发挥审计的“免疫系统”作用，针对性较强，可以促进基建管理部门对相关法规政策、管控制度的贯彻落实，带动其他部门遵规守纪，最终达到规范管理、防范风险的目的。

高校内部审计因内部的受托管理责任关系的存在而产生，内审的作用领域就是受托责任。受托责任的内容、领域、重点和形式是不断变化的，相应地，内部审计的种类、领域、重点、作用、方法等也是不断发展变化的，但目的都是为了促进和帮助相关管理层有效履行其受托管理责任。

2.加强沟通

由于内部审计的相对独护胜、处于“第三道防线”的特性，不参与具体的决策、执行过程，大部分人都不知道内部审计到底是干什么。人家既然不了解，怎么会理解、支持你呢?所以内部审计若想真正做些有意义的贡献，就必须加强沟通。

（1）.了解学校对内审的期望

学校层面以及其他部门对审计的期望大致可概括为:防控风险，不出意外;提供意见、建议和帮助，增加价值。在此期望下，对内审的要求包括:能以独认客观的视角，提出解决问题的方案，关注风险，关注目标的实现;希望内审能站在高层管理者的角度看问题，揭示问题的真相，提交言简意赅的审计报告，跟踪整改措施的落实;希望内审能够有先见之明，而不只是事后发现问题。

对照期望，在内审工作中还存在不少差距，如:有时过于关注细节;过于关注以前已经发生的错误;对有些问题尚不能提供解决方案;对一些风险也是后知后觉，等等。有些人这样评价内审人员:“他们为人友善，工作优秀，但他们提供的都是我已经知道的信息。”由于内部审计的产品、服务、绩效未达到期望，人们对审计人员也形成了这样的印象:认为审计人员很敬业、很专业，同时也觉得审计人员刻板冷漠，专门挑刺，或者就是盖盖橡皮图章，形同虚设。有时审计师被戏称为“数豆子的人”，内审人员如果想超越“数豆子”，就要全面了解豆子是怎样生长的，采取可行的模式，为组织增加价值。内审人员还要设法改变被外界称为“警察、侦探、找碴”的形象，而努力成为“顾问、合作伙伴”的形象。

(2）学会换位思考，协调处理关系

内部审计在组织内部有其独特性，如果不能恰当地处理人际关系，就很可能导致与其他相关人员之间产生冲突，不仅无法保证内审作用的发挥，还会直接影响内审人员的生存和发展空间。在内审工作中因缺乏沟通而引起误解是常有的现象，有时直言不讳可能会影响彼此的关系。所以内审人员必须学会换位思考，真诚协调处理各种关系，因为审计需要双向的信任与合作。俗话说“正人先正己”，内审人员要维护良好的个人形象，要能从被审计者的角度去考虑与理解，才能得到他们发自内心的配合，从而找到解决问题的办法，进一步融洽人际关系。同时也要让被审计者了解内审的职责与权利，消除对内审人员的误解，及时、妥善地化解人际冲突。

在我校的建设项目跟踪审计中，审计部门主动与财务、基建、后勤等部门沟通，统一要求和程序;多次与基建部门沟通，进一步明确了从认项、设计、招投标、签订合同、洽商变更、完成施工、组织验收到协调环保、安全、消防、质检、土地、监理等有关部门的关系，都是项目管理部门的职责和权力。跟踪审计要参与到涉及工程造价的各个环节，但绝不会越位代替他们的日常管理;跟踪审计要做好配合、协助执行，发现不足，及时提出整改意见和建议，但仍由工程项目管理部门决定整改方案并组织实施。通过有效沟通，消除基建部门的疑虑，协调好各方关系，为跟踪审计的顺利进行提供了保障。高校内部审计干什么?通过确认、评价、建议，防控风险，增加价值。

三、有位:“可信赖的顾问”

内部审计若拿不出有作为的业绩，不能为组织创造价值，就会成为一个“两不靠”的部门:领导不会满意，被审计对象更不会满意，最终难逃被边缘化、被淘汰的命运。内部审计的价值，是靠“有为才有位”的眼见为实赢得的，好比我们在打扑克牌的时候，不能奢望都能起到一手好牌，关键是如何把手中的牌打出精彩。内部审计只有通过自身努力，得到各方信任与认可，才能成为“可信赖的顾问”。

在组织内部，一个制度从制定到落地之间存在着大量的弹性区间和管理的真空地带，信息在传递过程中可能会失真，可能会被不断地放大或浓缩。当高级管理层看到内部审计的价值，知道各种风险始终被关注着时，他们可以“睡得更安稳”，当他们信任内审时，就会重视内审的意见、声音。内部审计通过披露发展中的问题，告诉高级管理层真实的声音，是非常重要的，因为任何一个项目出现第二种声音，就意味着安全。对所属各管理层(被审计对象)来说，他们也认识到“送金送银，不如送健康”，他们需要内部审计帮助他们发现问题、解决问题。内部审计为组织增加的价值包括直接价值和间接价值，直接价值表现为增收节支，间接价值表现为改善管理和威慑作用。比如工程结算审计通过核减额直接表现为增收节支，经济责任审计则表现为改善和威摄作用。

如果内部审计富有成效，组织就会满意，就会赋予审计部门更大的舞台和权力，就会不断地去改善审计的环境。内部审计在相关会议中获得“一席之地”，对于更好地理解业务及如何制定审计战略也至关重要。相反，若内部审计不作为，即使有一个好的环境也不会持久。“打铁需要自身硬”，内审要想成为“可信赖的顾问”，有两个必要条件:一是必须得到信任，二是必须具备足够的专业知识来提供建议。高校内部审计有什么用?努力成为“可信赖的顾问”，为各方提供有价值的服务。内审需要保持合作关系，追求审计中的“真善美”:真诚服务、还原真实;与人为善、改善管理;面向未来，共创美好。内部审计作为顾问，应着眼全面不是挑刺，应面向未来，不是只停留在过去。

四、总结

内部审计源于委托代理关系、受托管理责任而存在，通过实际(证据)与标准(依据)的比较，进行确认、评价和建议，从而有助于委托人决策、受托人履职尽责，改善管理绩效，增加组织价值。回到本文开头的问题，可以这样来理解与回答:“审计可以协助给你发钱、给你提升，还可以防止你走路不小心威了脚。”“纪检是合规监督，第二道防线;审计是独立确认，第三道防线。”“审计不是决定价格，是核查定价程序是否合法、价格是否合理，提供咨询意见。”高校内审谨记“第三道防线”角色，工作方向就会清晰明确。

综上，高校内部审计只有定位明确，找准方向，切切实实有所作为，才能防控风险、增加价值，提升自身地位，得到更多重视，如此又会促进内审更有作为，实现“有为又有位”的良好发展。在高校事业发展中，内审应当守土有责，定好位，不缺位、不越位，履行好法定和委托授权的职责。