后续审计，别让整改承诺变成一纸空文，这是审计师最后的倔强

作为一名在注会行业摸爬滚打多年的“老兵”，我经历过无数次年审的硝烟，也品尝过加班到凌晨四点的苦涩，每当我们在审计报告上签下名字，长舒一口气，仿佛一场漫长的战役终于画上了句号，但真的是这样吗？

今天我想和大家聊聊一个常被忽视,却至关重要的环节——后续审计。

很多人,甚至是一些刚入行的审计师，都认为出具了审计报告，工作就结束了，客户收了报告，我们收了费用，皆大欢喜，在专业的审计视角里，审计报告的出具往往只是“发现”的终点，却是“解决”的起点，如果不去追踪那些发现的问题是否真正得到了解决，那么我们之前所有的努力、所有的熬夜、所有的争执，都可能因为客户的一句“我们知道了”而付诸东流。

这就好比你花大力气帮别人诊断出了病情,开了药方，结果病人转身就把药方扔进了垃圾桶，下次见面时病情依然如故，甚至更糟，作为医生，你会作何感想？

这就是为什么我们需要后续审计,它不是为了找茬，而是为了闭环。

什么是后续审计？不仅仅是“翻旧账”

从定义上讲,后续审计是指审计机构在审计报告发出后，为了检查被审计单位对审计中发现的问题和管理建议书中的建议是否采取了纠正措施，而进行的跟踪审计。

听起来很枯燥,对吧？让我换个更接地气的说法。

还记得小时候,妈妈让你收拾乱七八糟的房间，你嘴上答应着“好，马上”，然后继续玩游戏，过了一小时，妈妈推门进来，发现房间依然像个猪窝，这时候，妈妈的第二次检查，后续审计”。

在注会的工作中,我们在年审或者专项审计中，总会发现这样那样的问题：比如存货盘点记录不完整、比如大额采购没有经过招标流程、比如财务软件里的权限设置混乱，我们在管理建议书里写得清清楚楚，客户的管理层在反馈意见栏里也写得冠冕堂皇：“贵司建议甚为中肯，我司将立即整改，完善内控。”

这时候,如果没有后续审计，这往往就是“再也不见”。

但后续审计的存在,就是要在几个月后，甚至下一年度进场时，真的去翻开那个抽屉，看看房间到底收拾没收拾。

真实案例一：那个永远在“升级”的ERP系统

我想分享一个几年前我亲身经历的项目,那是一家中型制造企业，我们作为年报审计师进场。

在第一年的审计中,我们发现他们的成本核算模块存在重大缺陷，原材料在领用时，系统并不自动结转成本，完全依赖财务人员在月底手工录入一个总额来平账，这意味着，中间的损耗、浪费、甚至是被盗，在系统里完全不可见。

我们在管理建议书中严肃指出了这个问题：“建议升级ERP系统模块，实现领料单与成本结转的实时挂钩，以确保存货成本的准确性。”

客户的财务总监是个很和蔼的中年人,他拍着我的肩膀说：“小李啊，你们说得对，这个系统是十年前的老古董了，老板已经批了预算，我们下个季度就上新的SAP模块，彻底解决这个问题。”

我信了,毕竟，谁会怀疑一个总监的承诺呢？

第二年,我们如期进场，在了解被审计单位及其环境（风险评估程序）时，我特意问了问新系统的事，财务总监苦笑了一下：“哎呀，你们也知道，IT选型太麻烦了，老板还在对比两家供应商，说是怕数据迁移出问题，再等等，再等等。”

等到真正开始做存货科目的细节测试时,我发现——系统还是那个系统，手工录入还是那个手工录入，唯一的区别是，财务人员现在录得更快了，因为熟练了。

那一刻,我感到一种深深的无力感，我们上一年的审计发现，就像石沉大海。

这就是缺乏有效后续审计的后果,在这个案例里，虽然我们作为外部审计师，受限于成本效益原则，不可能专门为了这件事飞过去做一次专项的后续审计，但在第二年的审计中，我们必须将“上年度未整改事项”作为高风险领域。

我当场调整了审计策略,既然系统不可靠，我就不能依赖系统的数据，我带着两个助理，在仓库里蹲了一个星期，进行了大量的实地盘点和倒轧测试，我们通过细节测试发现，因为手工核算的随意性，导致当年的主营业务成本少计了200多万。

当我把这份底稿摆在财务总监面前时,他的脸红一阵白一阵。

我的观点是： 客户的拖延症是审计师最大的敌人，在这个案例中，如果我只是轻信了“正在升级”的口头承诺，没有在第二年通过扩大审计范围来进行实质性的“后续追踪”，那么这200万的错报就会蒙混过关，后续审计（或者跨年度的追踪）必须要有“铁证如山”的思维，不要听他们怎么说，要看系统怎么变。

真实案例二：装样子的“监控摄像头”

再讲一个关于内控环境的故事,这是一家连锁零售企业。

我们在对其下属门店进行审计时,发现门店经理拥有过高的权限，他可以自己录入采购订单，自己收货，甚至还能修改供应商的主数据，这在内控上叫“职责不相容”严重缺失。

我们提出了整改建议：将采购权限收回总部，门店经理只能发起申请，审批和录入由总部不同部门完成。

到了下一个季度,公司内部审计部（他们有专门的后续审计职能）向我们反馈说：“已经整改完毕，系统权限已经收回。”

听起来很完美,但作为外部审计师，在进行随机抽查时，我发现了一个奇怪的现象。

虽然系统权限确实锁死了,门店经理无法在ERP里直接录入订单，我们在翻阅门店的凭证附件时，发现了很多手写的“紧急采购单”，后面附着的却是总部审批通过的邮件截图。

再深入一查,原来门店经理为了绕过总部繁琐的审批流程（毕竟有时候急需补货，等审批三天货都到了），习惯性地先让供应商发货，然后让总部某个关系好的同事“补录”一个系统订单，再把审批截图打印出来作为附件。

这就是典型的“形式合规，实质违规”。

在后续审计中,如果我们只是简单地登录系统，点开“用户权限管理”，看到门店经理没有“录入”按钮，就打钩说：“通过，已整改”，那就是严重的失职。

生活实例类比： 这就像是为了防盗，家里装了监控摄像头，后续审计的人来检查，看到摄像头亮着红灯，就说“防盗措施已落实”，但实际上，主人虽然装了摄像头，却从来不插电源，或者把镜头对着墙壁，这种“装样子”的整改，比不整改更可怕，因为它给了管理层一种虚假的安全感。

为什么我们如此执着？——职业怀疑的延续

你可能会问,写到这里，是不是觉得审计师这个职业特别“讨人厌”？为什么非要盯着别人的痛处不放？

这其实涉及到审计的核心价值观：职业怀疑和公众利益。

对于上市公司而言,那些未整改的重大错报风险，往往是财务舞弊的温床，就像前面提到的成本核算漏洞，如果一直不修，明年、后年，不仅可能是无意错误，更可能成为管理层调节利润的工具（比如少转成本来虚增利润），我们盯着不放，其实是在保护这家公司的投资者，也是在保护我们自己的职业生涯，万一公司暴雷，监管机构倒查下来，拿出你去年的管理建议书，上面写着“建议整改”，而客户没改，你也没追踪，那你就有大麻烦了。

从审计质量的角度看,后续审计是验证管理层诚信的试金石。

一个积极整改、认真对待审计建议的客户，其内部控制环境通常是可信的，反之，一个年年承诺整改、年年原地踏步的客户，其管理层的诚信度就要大打折扣，在这种情况下，我们在审计时必须打起十二分精神，把认定层次的风险调到最高。

个人观点： 我始终认为，优秀的审计师不仅要是“查错专家”，更要是“管理顾问的影子”，虽然我们不能直接帮客户经营，但我们的后续审计压力，实际上是在倒逼客户完善管理，很多企业的内控体系，真的是被审计师“逼”出来的，这种“逼”，虽然痛苦，但长远来看是良性的。

怎么做才有效？——拒绝“口头汇报”，要“眼见为实”

在实际工作中,我们应该如何执行有效的后续审计呢？我有几个具体的建议，希望能对同行们有所帮助。

拒绝单纯的询问函和邮件确认 千万不要发一封邮件给财务经理：“去年的那个问题改好了吗？”对方回：“改好了。”然后你就把底稿关了，这是大忌！ 正确做法： 要求提供整改的证据，如果是系统问题，要截图；如果是流程问题，要提供新的制度文件，甚至要找具体的一线操作人员访谈，看他们是否知道新流程。

穿行测试是最好的武器 针对整改点，重新做一次穿行测试。比如去年发现“销售出库单未连续编号”，今年整改后，你就真的去拿几份最新的出库单，看看编号是不是连上了，断号是不是有审批记录，不要只看制度里写着“应当连续编号”，要看实际执行。

区分“实质性整改”和“补偿性控制” 客户说：“原来的流程确实改不动，因为业务太特殊，但我们加了一个复核环节。” 这不一定是敷衍，如果他们加的复核环节足够有效（补偿性控制），我们也可以认可，但这需要我们运用职业判断，评估这个“补丁”能不能打住漏洞。

沟通的技巧 做后续审计时，态度很重要，不要像警察审犯人一样：“怎么还没改好？” 要站在客户的角度：“我知道这个整改涉及到IT部门和销售部门，协调起来很难，目前的进度卡在哪里？是不是有什么我们可以协助向董事会反映的困难？” 这种人性化的沟通，往往能让你听到真话，而不是敷衍的假话。