内部审计的价值：三个层次与可量化的边界

审计的产出以"什么都没发生"的形式存在，而"什么都没发生"在任何一张利润表上都记不进去。衡量审计价值，本质是给沉默的价值定价——先分清哪些能算钱，哪些算不了，再谈怎么呈现。

很多企业的内部会议上，内部审计部门是最后一个发言的。部门排序表上垫底，预算审议最后一个过，会议纪要的签发顺序也排在末尾。

时间久了，这个位置会被当成一种价值判断：既然排在最末，大概就是最不创造价值的那一个。

这是一个需要纠正的误解。审计排在后边，是工作对象决定的——审计是对他人已完成工作的独立检查。这属于流程顺序，不是价值排序。

真正值得讨论的问题不在座次，而在于：审计创造的价值究竟由什么构成，其中哪些可以被计量，哪些不能，又该如何呈现。

一、价值难以被看见，是这门职业的结构性特征

纳西姆·塔勒布在《黑天鹅》（The Black Swan: The Impact of the Highly Improbable）序言里设计过一个思想实验，几乎是这个问题最精准的注脚。

他假设有一位兼具勇气、影响力、智慧与毅力的立法者，设法让一项法律在 2001 年 9 月 10 日生效——要求每一架民航飞机的驾驶舱安装持续上锁的防弹门，理由是"万一有恐怖分子劫持飞机撞向世贸中心"。对当时处境艰难的航空公司而言，这项措施成本高昂。

这项措施能够阻止 9·11。而塔勒布写下的是这个人在事后的遭遇：

"The person who imposed locks on cockpit doors gets no statues in public squares, not so much as a quick mention of his contribution in his obituary. … He will retire depressed, with a great sense of failure. He will die with the impression of having done nothing useful."

即：那个给驾驶舱门加锁的人不会在广场上得到雕像，讣告里甚至不会有一句提及他的贡献；看着这项措施多余而浪费，公众与意见不小的飞行员群体很可能把他轰下台，他会带着失败感退休，至死认为自己没做成过任何有用的事。

荣誉落到了谁头上？塔勒布的回答是：那些在电视上表演英雄行为的人。他点名纽约证券交易所前主席理查德·格拉索（Richard Grasso）——后者因"拯救了证交所"获得巨额奖金，而他在那一天真正做的事，是到场敲响开盘钟。可作参照的事实是：格拉索 2003 年被《华尔街日报》披露获得 1.395 亿美元一次性退休薪酬包，舆论哗然后辞职；据起诉书引用的数据，2000—2002 三年间其薪酬与福利合计 1.303 亿美元，相当于纽交所同期净利润的约 98%。

塔勒布为这段论述收尾的一句，值得每一个审计人记住：

"everybody knows that you need more prevention than treatment, but few reward acts of prevention."

所有人都知道防患优于补救，却极少有人奖励预防的行为。

内部审计的处境与此完全相同。衡量审计价值，本质上不是把业绩做大的技术问题，而是给沉默的价值定价的问题。

二、三个层次：从交付、效果到影响

国际内部审计师协会（IIA）研究基金会基于 CBOK 2015 全球从业者问卷（14,518 名受访者、166 个国家）发布的报告《Delivering on the Promise》，曾向首席审计执行官询问用哪些指标衡量内部审计的价值。排在前九位的答案里，只有两项朝向外部（客户满意度、满足利益相关方特定期望），其余七项全部是计划完成率、整改关闭率、报告周期、预算与工时这类内部工作量指标。

报告的结论相当直接：这种以任务为中心的关注，"看起来更像一张待办清单，而不像别人对这些活动价值的感知"。

多数审计部门汇报的是"我们做了多少事"，而董事会想知道的是"我们的存在改变了什么"。这中间的距离，可以用三个层次来跨越。

第一层：交付层——履约

回答的问题：我们做了事吗

价值性质：履约

可量化程度：完全可量化，用数量、时间与进度说话

代表指标：计划完成率、强制覆盖完成率、报告出具周期、到期整改完成率

衡量的是审计是否兑现了年度承诺、资源是否被挪用。这层不能丢，它是预算授权的正当性来源。但其上限很低，且存在明显的操纵空间：把难啃的项目挪出年度计划、把容易出成果的填进去，完成率天然接近 100%。一个从不触碰高风险领域的审计部门，第一层数据往往最漂亮。

因此这一层应作为基础和约束条件，而不是价值答卷本身。

第二层：效果层——可观测的改变

回答的问题：有什么因此改变了

价值性质：增量

可量化程度：大部分可量化，用金额、比率与比率变化说话

代表指标：追回资金、审减金额、流程周期压缩、建议采纳并落地率、历年内控缺陷

分为硬收益与软收益两类。硬收益包括追回资金、工程与采购结算审减、挽回的税务与利息损失、流程效率变化（单据平均流转周期、重复付款笔数、差错率）。

软收益包括管理层建议的采纳并落地率、会计师事务所历年提出的内控缺陷数量、会计师对内审工作底稿的引用程度、监管检查发现问题数与罚单金额的年际变化。

方法上只有一条关键要求：事前定基准，事后做归因。 立项时即应把"整改之后应达到什么状态"量化写清——预期的金额、周期、差错率，并尽可能取得被审单位的共同确认。缺少这一步，事后的收益数字只能靠谈判得出。

第三层：影响层——被避免的损失

回答的问题：如果没有我们会怎样

价值性质：减损

可量化程度：原则上不可量化，用概率、区间与情景说话

代表指标：反事实敞口区间、风险提示留痕、压力情景回放敞口

这一层金额最大，最难证明，也最容易自欺。处理方式放在下一节展开。

配比上有一条实用建议：面向经营管理层的报告，第一、二层占七成；面向审计委员会的报告，第三层不应少于一半。因为董事会需要判断的不是"你出了多少报告"，而是"这个部门使公司遭受灾难性损失的概率下降了多少"。

三、可量化与不可量化的边界

这是衡量审计价值时最容易被绕过、也最需要讲清楚的部分。审计的产出可以按可计量性分成四类，处理方式各不相同。

第一类：可直接计量的产出

典型是第二层的硬收益：追回资金、审减金额、挽回损失、周期压缩天数、差错率变化。

特征是有明确金额或物理量纲、有第三方确认、有前后基准。计量规则：金额类须经财务部门书面确认后方可计入；比率类须给出基期与报告期两个数据，避免只报报告期的孤值。

风险在于重复计算与功劳归属。业务部门的降本增效成果、财务自身的核减、外部检查带来的追缴，都不应计入审计业绩。判断标准很简单：如果没有审计报告，这笔钱会不会照样收回来？ 会，就不能计入。

第二类：需借助代理变量计量的产出

这类价值本身不直接表现为金额，但可以找到与之高度相关的可观测量。

会计信息质量提升 → 外审费用变化、工作底稿被引用范围

外审采信你的工作，等于同行以职业风险为你的结论背书。

风险水平下降 → 保险费率、融资利率、信用与监管评级

市场用真金白银给"少出事"打分。

合规状况改善 → 监管发现问题数与罚单金额的年际变化

需剔除监管力度变化本身的外部影响。

被审单位接受度 → 分层客户满意度

需谨慎解读：被审单位普遍满意，未必是好事。如果问题最严重的领域评分也最高，通常说明审计没有触及实质。

为什么内控缺陷数量这一条值得单独说。 因为在多数企业里，它是同时满足"可取得、可比较、难操纵"三个条件的少数指标之一，而且它的说服力不来自数字本身，来自数字发生变化时所处的条件。

缺陷数量是一个计数，孤立看没有意义。真正有说服力的是这样的形态：会计师事务所没有更换，审计范围没有变化，而外部监管要求逐年趋严——在这三个条件同时成立的情况下，内控缺陷数量从二十几个降到十几个，再降到个位数，并连续数年稳定在个位数。

这已经接近一个自然实验：外部压力在加大，内部缺陷在减少。它不需要任何假设、折算或情景模拟，因而比任何"避免损失金额"的估算都更硬。内部审计在内控建设上的作用，本来是最难讲清的那部分价值，用这条曲线可以讲得很直观。

第三类：原则上不可计量、但可以证据化的产出

第三层的大部分内容属于此类，核心是被避免的损失。它属于反事实命题——"没有发生的事"在逻辑上无法被观测，因而无法被证实。

对这类产出，正确做法不是放弃，而是把不可计量的金额转化为可验证的事实。四种可操作的手法：

一、反事实情景估算

具体做法：对已查出的重大缺陷，说明"若未被发现，按发生概率×单次损失口径估算的敞口"，给出乐观、中性、悲观三档区间

适用情形：重大采购、资金舞弊、合规红线类发现

二、时间戳留痕

具体做法：统一存档"我们在事发前若干个月已书面提示该风险"的往来件与报告段落

适用情形：所有重大风险提示，无论是否被采纳

留痕中最有价值的那一句，往往是"已提示，未被采纳，其后被证实"。它记录的是审计履行了提示义务，而风险是否被接受属于管理层的决策——两者责任边界清晰，这是内部审计价值最可靠的书面凭据。

三、同业对照

具体做法：提取同行业中缺乏独立内审职能的公司，比较其处罚频次、涉案金额、资产周转异常的分布

适用情形：年度风险评估向董事会汇报

这一条尤其重要。它是把"我们运气好"转化为"我们确实有效"的少数途径之一——监管处罚决定书、交易所纪律处分、财政部门会计信息质量检查公告、审计署公告均属公开可查信息。一家没有内审的公司出事，说明不了什么；但这个行业中内审缺位的机构出事概率显著更高，就足以支撑结论。

四、压力情景回放

具体做法：选取同业近三年已公开的重大损失事件，逐项回放到本企业同类业务——同样的业务模式下自身敞口有多大区间，现有控制能把敞口压到什么范围

适用情形：年度风险评估、董事会专题汇报

压力情景回放与同业对照是两件事：同业对照是横向的统计比较，回答"谁更容易出事"；压力情景回放是纵向的单事件穿透，回答"同样的事发生在我们身上会损失多少"。前者给概率，后者给敞口区间。

第四类：不应尝试计量的产出

有些价值确实存在，但任何量化尝试都会损害部门的可信度，应当只作定性陈述：

• 威慑效应。
  
   因为知道有人会查，所以更少人伸手。这类"因未发生而无法观测的行为改变"没有任何可靠的计量路径，任何估算都是编造。

• 治理与问责文化的沉淀。
  
   管理层知道重大决策会被独立复核，从而提高决策审慎度。这是真实的治理收益，但它体现在无数个没有留下记录的具体判断里。

• 信息可信度本身。
  
   经过独立验证的财务与经营数据，使董事会决策建立在更可靠的基础之上。这类价值已经融入决策质量，无法单独剥离。

对第四类产出的正确做法是：定性陈述其存在机制 + 用第三类的证据间接佐证，而不是给它一个数字。坦诚承认"这部分计入不了账"，本身就是专业性的体现，也是争取话语权时唯一诚实的开场白。

四、衡量的前提是独立性，而非技巧

前面所有方法都建立在一个前提上：审计部门能够不受干扰地报告它看到的东西。如果这个前提不成立，任何衡量体系都只是在给一份无效的工作做精致的统计。

我听过一位头部金融机构的负责人说过一句话，大意是：什么报告我都可以不看，但是审计报告不能不看。

这句话的分量在于它区分了两类信息。摆在他案头的其他报告，本质上是"各业务部门自己说自己做得怎么样"，属于陈述；只有审计报告是"一个不向任何业务条线负责的部门，说别人做得怎么样"，属于验证。他并非不看，而是把有限的注意力押在唯一经过独立验证的信息源上。

更深一层，他真正警惕的不是"我不知道公司做得好不好"，而是"我不知道公司哪里正在出问题"。好消息会自己向上传递，坏消息不会——它需要一条制度化的通道才能抵达决策层。在很多组织里，内部审计就是那条唯一的通道。

这说明了一件经常被混淆的事：形式上把审计排在最后，与把它当作最后一道防线，是两种完全不同的认知。 前者只是一个排座次的技术动作，后者才是对审计价值的理解。

判断一名管理者是否真正理解这一点，可以观察三个信号。

第一，他读报告时的第一反应是什么。 是对揭示问题的那份追问整改计划、责任人与时限，还是只对出成绩的那份点头表扬。

第二，年度审计计划由谁定、又由谁能改。 如果年度审计计划要先经总经理逐项审定后才能报审计委员会，那么报告线在组织图上画得再高，也只是画在纸上。

第三，当审计发现指向他本人拍板过的项目时，他的反应是什么。 这是唯一无法伪装的测试。是要求"再查深一层"，还是要求"这个说法再斟酌一下"。审计的独立性不是写在章程里的，是在这一次反应里被兑现或被收回的。

结语

审计这门职业追求的价值，从来不是一笔收入，而是一笔没有发生的支出。账上记下的都是已经付出的代价；真正昂贵的那一部分，一个字都没有。