制度越来越多，违规却没见少。为什么？因为制度是“正面清单”——告诉你“应该怎么做”，几百条下来，谁记得住？业务部门记不住，审计检查也只能“事后诸葛亮”。
有没有一种方法，让业务部门一眼就知道“什么绝对不能做”，让审计能快速锁定“重点盯什么”？有。负面清单管理。
今天聊聊，国企内部审计怎么搞负面清单管理。
一、什么是负面清单管理？一句话：划红线、列禁区
负面清单，就是明确列出“禁止做什么”。与之相对的是正面清单——告诉你“应该做什么”。正面清单像说明书，太厚，没人看；负面清单像警示牌，又少又醒目，谁都能记住。
举个例子：
正面清单：“采购应遵循公开、公平、公正原则，按照招标投标法及相关规定执行……”（后面跟着几十页细则）
负面清单：“严禁以下行为：1. 拆分合同规避招标；2. 指定供应商无正当理由；3. 与供应商串通虚报价格……”
哪个更容易记住、更容易对照检查？显然是后者。
国务院国资委《中央企业合规管理办法》明确要求：央企应当建立合规风险识别预警机制，全面梳理经营管理活动中的合规风险，制定合规风险清单。负面清单，就是合规风险清单的“升级版”——不只列出风险，还明确禁止性后果。
《国有企业违规经营投资责任追究实施办法》列出了54种需要追责的情形，这本身就是一张国家级的“负面清单”。审计部门要做的是，把它细化成适合本企业、本业务的具体条款。
二、为什么国企审计需要负面清单管理？
痛点一：制度太多，记不住。
国企的制度汇编，少则几百页，多则上千页。业务部门忙着冲业绩，哪有时间熟读？审计问“为什么违规”，回答“不知道有这条规定”。你说他狡辩？还真不一定。
痛点二：审计标准不统一。
同一个问题，老张审觉得“一般违规”，老李审觉得“严重违规”。为什么？因为制度太笼统，缺少量化标准。负面清单把“严重违规”具体化——“金额超过XX万”“情节达到XX程度”，大家一把尺子。
痛点三：整改总是“一阵风”。
今天查了，今天改；明天不查，明天再犯。为什么？因为业务部门不知道“红线在哪”。负面清单就是“高压线”，碰一次警告，碰两次处罚，谁也不敢再犯。
痛点四：审计资源分散。
审计部就那么几个人，哪能什么都查？负面清单划出“必查项”，审计资源集中盯这些“红线”。其他一般性合规问题，交给业务部门自查。
典型案例：
某国企审计部，以前每年查出一堆“拆分合同规避招标”的问题，屡查屡犯。后来，审计部联合采购部、法务部，共同制定了一份《采购业务负面清单》，一共12条，每条都标明了“触犯后果”。发到全集团，要求采购人员签字确认。之后，同类问题下降了80%。采购经理说：“以前几百页制度我记不住，这12条我贴在办公桌上，每天看一遍，想犯都难。”
三、负面清单怎么建？五步法
第一步：梳——把分散的“禁令”找出来
国企的“禁令”散落在各处：国家法律法规、国资监管文件、集团制度、行业规范、甚至领导讲话。审计部门要做的第一件事，是把这些“不得”“严禁”“禁止”一条条梳理出来，去重、归类。
工具： 按业务领域分类——采购类、销售类、资金类、资产类、工程项目类、人事类、费用类等。
第二步：筛——留下“真红线”，去掉“假禁令”
不是所有的“不得”都值得进负面清单。筛选标准：
高频发生： 过去三年审计发现中，重复出现3次以上的问题。
后果严重： 一旦发生，可能导致重大损失、监管处罚、刑事责任。
边界清晰： 可以用“是/否”判断，不需要主观裁量。
可防控： 业务部门通过加强管理可以有效避免。
那些“百年难遇”的、模棱两可的、不可控的，暂时不放进去，避免清单过臃肿。
第三步：定——量化标准，避免扯皮
“严禁违规采购”——太模糊。改成：“严禁以下行为：1. 单笔采购金额超过XX万元未经招标；2. 拆分合同使单笔金额低于招标限额；3. 指定供应商无三家比价记录……”每条都有明确的金额、比例、次数等量化指标。
第四步：验——征求业务部门意见
清单初稿出来后，发给相关业务部门征求意见。不是走形式，是真的让他们“挑刺”——哪些条款做不到？哪些标准太严？哪些有歧义？审计和业务一起打磨，最终形成的清单才是“可执行”的。
第五步：批——纳入公司制度体系
负面清单不是审计部门的“内部文件”，要上升为公司制度。经合规部门审核、管理层审批后，正式发布。并明确：违反负面清单的行为，将作为审计“一票否决”项，直接纳入绩效考核和责任追究。
典型案例：
某集团审计部牵头，花三个月时间，编制了覆盖8大业务领域、共67条的《经营管理负面清单》。经董事会批准后发布，并组织全员考试。业务部门说：“以前不知道哪是红线，现在清楚了。清单上的事，打死也不干。”审计部说：“以前查问题要翻半天制度，现在直接对照清单，效率翻倍。”
四、负面清单怎么用？四个场景
场景一：业务部门自查——把风险挡在审计之前
负面清单不只是给审计用的，更是给业务部门“照镜子”的。要求各业务单元每季度对照负面清单自查，自查结果报审计部备案。发现问题主动整改的，从轻或免于处罚；自查隐瞒、后被审计查出的，从重追究。
场景二：审计计划制定——资源投向“高风险区”
审计计划不用再“拍脑袋”。负面清单里的每一条，都可以赋一个“风险权重”。权重高的，优先安排审计；权重低的，常规抽查。审计资源从“撒胡椒面”变成“精准打击”。
场景三：审计现场实施——拿着清单找问题
审计人员进场后，不需要从头到尾看制度。直接拿着负面清单，逐条核对：有没有拆分招标？有没有虚假发票？有没有违规担保？像做“选择题”一样，快速锁定问题。
场景四：审计报告与整改——结论更硬、责任更清
以前写“采购不规范”，业务部门不服。现在写“违反负面清单第3条：拆分合同规避招标”，有据可依。整改要求也更明确：违反哪条、怎么改、谁负责、何时完成。
典型案例：
某子公司审计时，审计员对照负面清单，发现一笔大额咨询费，付款对象是刚成立3天的公司。清单第15条：“严禁向无实质业务能力的空壳公司支付大额费用。”审计员直接定性为违规，要求追回款项。子公司负责人无话可说，因为清单他签过字、培训过。
五、负面清单不是“一成不变”的，要动态更新
业务在变，风险在变，监管在变。负面清单也要“活”起来。
更新机制建议：
年度定期更新： 每年底，结合当年审计发现、监管新规、行业案例，对清单进行一次全面修订。
即时更新： 出现重大风险事件、新法规出台时，随时增补条款。
退出机制： 某些条款连续两年未发生，且风险评估降低，可以降级为“关注项”，从负面清单中移出。
典型案例：
某集团审计部，每年1月发布“年度负面清单修订版”。2024年版新增了“数据安全”章节，因为当年发生了数据泄露事件，且《数据安全法》处罚力度加大。业务部门说：“你们反应真快，我们正愁不知道怎么防。”审计部说：“清单就是风向标，我们指向哪，你们就防哪。”
国资委《中央企业合规管理办法》要求：企业应当建立合规风险识别预警机制，定期更新合规风险清单。负面清单的动态更新，正是这一要求的落地。
六、负面清单管理的“三个不要”
不要一：不要搞成“形式主义”
清单发了，培训做了，然后没人看、没人用，锁在抽屉里。这就是形式主义。审计要检查业务部门是否真的在用清单——看他们自查记录、看他们日常决策是否对照清单。
不要二：不要变成“教条主义”
清单不是万能的。有些情况“合规但不合理”，清单里没有。审计不能因为“清单没写”就放过。清单是底线，不是天花板。审计人员的职业判断，永远不可替代。
不要三：不要只有“罚”，没有“容错”
负面清单划的是“红线”，是明知故犯、屡教不改的行为。但对于改革创新中的“无心之失”，要建立容错机制。否则，业务部门会“为了不犯错，什么都不干”。审计要区分“违规”和“失误”，保护干事创业的积极性。
中央《关于进一步激励广大干部新时代新担当新作为的意见》明确提出：建立健全容错纠错机制，宽容干部在改革创新中的失误错误。审计在运用负面清单时，也要把握好这个度。
负面清单管理，不是让审计“偷懒”，而是让审计“更聪明”。它把模糊的制度变成清晰的禁令，把分散的风险变成聚焦的靶心，把事后的追责变成事前的敬畏。
对于业务部门，负面清单是“护身符”——记住这些“不能做”，就不会踩雷。
对于审计部门，负面清单是“作战图”——照着这些“红线查”，就不会跑偏。
对于企业整体，负面清单是“防火墙”——把重大风险挡在外面，让改革创新在安全区内跑出加速度。