这个循环，很多人经历过。审计整改年年做，问题年年有，不是同一条，但往往是同一类。做完一轮整改，好像什么都动了，又好像什么都没变。这不是态度问题，而是整改逻辑的问题。“销号”是完成任务，不是解决问题。把这两件事混在一起，才是整改难以真正收效的根源。
先把“销号式整改”这件事说清楚，它不是一无是处的。审计发现了一个具体问题——比如某笔专项资金的支出缺少审批手续——补上审批痕迹、规范归档，这件事本身是对的，不做会有更大的麻烦。从合规处置的角度，把已发生的问题在材料层面收拾干净，是必要的第一步。但这一步做完，只解决了“这一笔”，没有解决“为什么会有这一笔”。
专项资金缺少审批手续，原因可能有好几种：
这五种原因，指向的是五种完全不同的问题，需要五种不同的解法。但“销号”模式下，所有情形的整改结论都是一样的：“已补充完善审批手续，加强相关人员培训”——这句话适用于所有情形，也等于没有针对任何情形。
“销号”是完成任务，不是解决问题。把这两件事混在一起，才是整改难以真正收效的根源。
内控视角看审计整改，有一个最基本的判断要先做：这个审计发现，是“症状”还是“病因”？几乎所有审计发现，描述的都是症状——某笔钱没有按规定走流程、某项资产没有及时入账、某个合同没有经过必要的审核。这些是能被审计人员直接观察到的“事”，是已经发生的结果。病因藏在症状背后，通常涉及三个层面：
三个层面，三种性质不同的问题，对应三条不同的整改路径。“销号”的问题在于，它通常只处理了第一和第三层之间的表面——做了一个制度补丁、发了一份学习通知、开了一次专项检查——三个层面都没有真正触到。
“销号”通常只处理了表面，三个层面都没有真正触到。
从审计发现出发，做一次真正的溯因分析，是治本整改的起点。这件事需要问一个具体的问题：这个控制本来应该由谁来执行、在哪个环节执行、执行什么动作——然后它在哪里断掉了？
这两个例子背后的逻辑是一样的：合规行为应当是阻力最小的路径，而不是需要额外努力才能走到的路径。内控设计的目标，是让做对的事和做顺手的事变成同一件事。整改如果没有往这个方向去改，只是加了一道人工的提醒或检查，维持不了多久就会退回原状。
合规行为应当是阻力最小的路径，而不是需要额外努力才能走到的路径。
现在大部分单位的整改台账，格式大同小异：审计发现、整改措施、整改完成时间、完成情况、佐证材料。这个格式本身没有错，但它隐含了一个导向：关注的是“做了什么”，而不是“为什么这么做”、“改了之后效果如何验证”。如果在现有台账格式上，增加两栏——问题根因和效果验证机制——整改的质量会有实质性的提升。
加了这两栏，台账就从“整改清单”变成了“整改逻辑链”——哪里出了问题、为什么出了问题、改成什么样、怎么验证改好了，每条都有完整的链条。
台账从“整改清单”变成了“整改逻辑链”。
审计报告通常会指向一个部门或一个岗位，整改责任也就跟着落到那里。但有时候，问题真正的责任源头，不在被点名的那个人身上。一个业务流程出了问题，被审计发现的，可能是执行这个流程的业务人员；但如果这个流程的设计本来就有缺陷，那真正需要整改的，是这个流程的设计者——通常是内控部门或分管领导。把整改责任落到执行人身上，让他改一个自己没有权力改的事，整改就注定是表面的。
这个判断做不准，整改就成了“找人背锅、走完程序、关闭台账”，而不是真的把问题解决。
审计完了，整改责任压到各部门，内部审计的角色通常变成“接收整改报告”。但如果内部审计在整改阶段只是接收材料、核实是否按时提交，那这个机制就缺了一个关键的验证环节。内部审计在整改阶段应该做的，是对整改质量的实质性验证，而不只是材料接收。具体包括两件事：
没有这两个动作，内部审计在整改闭环里就只是一个通道，而不是一个质量关口。
内部审计在整改闭环里就只是一个通道，而不是一个质量关口。
最后小编想说，审计整改这件事，难不在于做不到，而在于“销号”比“治本”容易太多。销号只需要在规定时间内提交材料，压力是截止日期；治本需要把问题想清楚、把流程改到位、把效果验证起来，压力是下一次审计。而下一次审计还早，截止日期已经在眼前了——于是绝大多数整改，自然而然地滑向了销号。
要改变这个惯性，需要在整改机制的设计上动一些真格的：台账里加上根因分析和效果验证的要求、内部审计介入整改质量的实质审核、整改责任的分配跟问题性质对应而不是跟被点名的部门对应。这些不是大动作，但加起来，能让整改的重心从“关闭台账”移向“关闭漏洞”——这两件事，差距不小。
整改的重心，要从“关闭台账”移向“关闭漏洞”——销号是交差，治本才是解决。
相关文章
