审计现场常把大额、异常和随机样本混在一张表里，结果是个案查得很深，总体结论却缺少支撑。本文结合近期审计实践与现行职业标准，拆解风险定向样本和代表性样本的不同用途，并提供一套可直接复用的双轨选样步骤与底稿框架。
项目做了两周，组里查的都是大额合同、整数付款和领导关注事项。
疑点找到了几个。主审准备写“采购管理普遍不规范”时，复核人员问了一句：这些样本能代表全年采购吗？
现场一下安静了。
以下为复合情境，已作匿名化处理。
很多审计组擅长“挑可疑的查”，却把这种做法直接叫作抽样。结果是发现问题的效率很高，结论的边界却越来越模糊。
风险定向选样回答的是：哪里最值得深挖。
代表性抽样回答的是：总体大致处于什么状态。
两类样本都重要，但不能混成一回事。
一、近期审计动态释放了一个方法信号
审计署7月20日发布的地方审计动态中，不同项目使用了多种核查方式。
有的调取管理信息系统数据，再走访用户；有的现场监盘，同时分析收入和利润结构；还有的通过核台账、测设备、访民情，检查公共设施建设与运行。
7月17日发布的信息也显示，数字化城市治理项目把资料审查与现场踏勘结合，森林防火项目则同时查看项目资料、设备安装和实际运行。
这些是公开的审计实践信息，不是统一的抽样规则。页面披露的是报道日期，没有披露每个项目的具体实施日期。
但它们说明一件很实用的事：审计对象不同，证据入口也不同。账上金额只是一个入口，系统记录、实物状态、用户体验和运行效果同样可能决定样本价值。
7月16日审计署发布的信息还提到，北京市审计机关专题培训覆盖审前研究、现场实施、疑点核查和成果提炼。
选样正处在这条链路的中间：前面承接审计目标和风险判断，后面决定证据质量与结论强度。
如果选样规则没写清，后续查得越深，越容易在“个案事实”与“总体评价”之间发生跳跃。
二、只盯大额，为何仍可能漏掉重要风险
大额项目当然要查。
问题在于，金额重要性不能代替全部风险判断。
第一，控制缺陷常藏在重复的小额业务里。
拆分采购、重复报销、低值高频领用、临近权限阈值的交易，单笔看起来不突出，组合起来才显示规则被持续绕开。
第二，大额项目往往更受关注，资料反而更完整。
重大合同通常经过更多会签和复核。真正暴露日常控制质量的，可能是普通订单、紧急采购和例外审批。
第三，只查异常会放大审计人员的确认偏差。
如果样本全部来自预设疑点，审计组看到的自然多是问题。它能证明某些异常确实存在，却未必能说明异常在总体中有多普遍。
第四，方便取得的资料会悄悄决定审计范围。
业务部门先提供哪张表，审计组就从哪张表抽；系统只能导出什么字段，团队就只分析什么字段。最后，数据可得性取代了审计目标。
这正是抽样底稿必须前置的原因：它要留下“为何这样选”的证据，而不只是留下“选了哪些”。
三、先分清三种检查方式
第一种 是全量检查。
当总体规模较小、风险极高，或者数据分析可以低成本覆盖全部交易时，可以检查全量。全量扫描也可用于筛选风险，再把命中项目交给人工核查。
第二种 是特定项目检查。
审计人员按金额、性质、异常规则、关联关系或管理层关注，选出特定项目。这种方式适合发现问题、核实线索和解释风险机制。
但特定项目不是总体的缩小版。用它发现的问题，原则上只能说明被检查项目的事实，不能直接推断全部业务都有相同缺陷。
第三种 才是审计抽样。
中国内部审计协会《第2108号内部审计具体准则——审计抽样》把审计抽样界定为：从审计总体中抽取具有代表性的样本进行测试，据此推断总体特征并形成结论。
该准则允许统计抽样和非统计抽样结合使用，同时要求样本具有代表性，并从定量、定性两方面评价结果。
国际内部审计师协会《全球内部审计标准》标准14.1也提出，审计人员应在全量测试和代表性样本之间作出选择；使用样本时，应采用方法使其尽可能代表总体。
所以，关键不在于抽样表有多少行，而在于样本与结论是否匹配。
四、双轨选样：把两个目标分开
最稳妥的做法，是在同一审计事项下建立A、B两条轨道。
A轨：风险定向样本
A轨专门回答“哪里最可能有问题”。
可从八类信号选样：金额异常、频次异常、时间异常、流程例外、主体关联、价格偏离、系统操作异常、投诉或历史问题集中。
例如，付款集中在月末、同一供应商连续获得临界金额订单、同一账号短时间完成申请与审批、合同变更后单价明显偏离同类项目，都可进入A轨。
A轨的优势是命中率高，适合形成问题线索和根因分析。
它的限制也要写在底稿上：样本带有明确风险偏向，不能据此计算总体差错率，也不宜用“普遍、整体、大量”等词直接外推。
B轨：代表性样本
B轨专门回答“总体控制是否按预期运行”。
先定义总体和抽样单位，再按业务结构选择随机、系统、分层或其他适当方法。必要时，可按单位、月份、业务类型、金额区间、线上线下渠道分层，避免样本只落在最活跃的区域。
B轨不追求每一笔都“有故事”。它要保留正常样本，检验控制在普通业务中是否稳定执行。
如果要对总体作出评价，底稿至少要说明：总体来源与期间、完整性核对、抽样单位、方法、样本量依据、执行程序、误差定义、可容忍误差、发现结果和推断限制。
双轨并行后，审计组就能同时回答两个问题：高风险点发生了什么；总体控制大致怎样。
五、五步完成一份可复核的选样底稿
第一步：先写准备形成的结论
不要先打开数据表再决定查什么。
先把目标写成可测试的问题。例如：“采购审批控制在审计期间是否得到一致执行”“设备是否按合同交付并保持可用”。
结论不同，总体、抽样单位和测试程序都会变化。
第二步：冻结总体并核对完整性
记录数据来源、提取日期、覆盖期间、字段口径和转换过程。
把业务系统记录与财务账、合同台账或资产清册进行勾稽。若总体本身缺失，后面的随机抽取再规范，也只是在不完整的数据上获得“代表性”。
第三步：先做全量扫描，再分A、B轨
全量扫描用于识别重复、临界值、异常时点、流程跳跃和主体集中等信号，形成A轨。
随后从范围已经冻结的总体中设计B轨。A轨项目是否与B轨重叠，要说明处理逻辑，避免重复计算或无意改变总体结构；如从B轨总体中剔除A轨项目，B轨结论只能针对剔除后的剩余总体。
第四步：对两轨执行一致程序
同一审计目标下，两轨样本应尽量执行相同的核心测试程序。
例如采购审批测试，都要核对需求、询比价或招采、授权审批、合同、验收和付款。不能对A轨查十项，对B轨只看两张表，然后把两者放在一起比较。
中国内部审计协会《第2103号内部审计具体准则——审计证据》强调证据的相关性、可靠性和充分性，并列明书面、实物、电子、口头和环境等证据类型。
因此，关键样本应尽可能做多源印证：系统记录对合同，合同对实物，实物对使用部门，使用情况再对绩效目标。
第五步：分开评价，再决定是否扩围
A轨重点评价异常的性质、原因、影响和是否需要追查关联交易。
B轨则评价样本误差、总体推断及结论限制，同时兼顾数量和性质。一个金额不大的权限绕行，如果涉及关键控制失效，定性重要性可能高于金额。
当误差超出预设范围、证据互相冲突，或发现新的异常模式时，应增加样本、调整程序或转向全量核查。
扩围不是现场临时“再多看几笔”。它应记录触发原因、新增范围、执行程序和对原结论的影响。
六、可直接使用：双轨选样底稿框架
1. 审计目标
A轨：要核实的风险或疑点。
B轨：要评价的总体控制或特征。
2. 总体与期间
A轨：说明风险筛选所覆盖的数据范围。
B轨：明确完整总体、期间和抽样单位。
3. 选样依据
A轨：异常规则、金额、关系、投诉、历史发现。
B轨：随机、系统、分层等方法及理由。
4. 样本量依据
A轨：风险等级、异常数量、资源与扩围规则。
B轨：总体规模、预计误差、可容忍误差、保证程度与资源。
5. 测试程序
A轨：与风险假设对应，保留多源证据。
B轨：对全部样本执行一致程序。
6. 结果评价
A轨：个案事实、原因、影响、关联范围。
B轨：定量与定性评价、总体推断、限制。
7. 可用表述
A轨：“在风险定向检查的项目中发现……”
B轨：“基于所述总体、方法和限制，样本结果显示……”
8. 禁止越界
A轨：不计算总体发生率，不直接写“普遍存在”。
B轨：不隐瞒例外，不把未测试事项纳入结论。
9. 扩围触发
A轨：新关联方、新异常规则、影响扩大。
B轨：误差超限、样本失去代表性、证据不足。
10. 复核留痕
A轨：规则版本、执行人、日期、关联底稿。
B轨：抽样过程、随机起点或分层逻辑、复核人、日期。
这张表不是监管部门发布的统一模板。使用时，应结合组织的审计手册、项目风险、数据条件和质量复核要求调整。
七、审计报告最容易越界的三句话
第一句：“抽查发现，采购管理普遍不规范。”
如果样本全部来自大额和异常项目，“普遍”缺少总体性证据。可改为：“风险定向检查发现，部分临界金额采购存在审批资料不完整，相关控制是否具有系统性缺陷仍需扩围验证。”
第二句：“随机抽取若干项目，未发现问题。”
“若干”没有说明总体、方法和样本量依据，也不能证明风险不存在。应披露抽样范围、程序、结果和合理限制。
第三句：“抽查结果表明内控有效。”
一项控制有效，不等于整个流程有效；一个期间有效，也不等于任期内始终有效。结论必须回到已测试的控制、期间和总体。
审计表述越接近证据边界，结论越经得起复核。
八、管理层可以推动的三个动作
第一，在项目方案中单列“样本与结论对应关系”。
每个总体性评价都要能追溯到代表性证据；每个风险线索都要说明是否需要扩围。
第二，把选样规则纳入复核，而不只复核问题底稿。
复核人员要看总体是否完整、样本为何入选、程序是否一致、结论有没有越界。
第三，保留算法和人工判断的版本记录。
即使使用数据分析工具或AI辅助识别异常，审计组也要保留数据来源、筛选条件、权限边界、运行日志和人工复核结果，最终责任仍由审计人员承担。
抽样从来不只是节省时间的技术动作。
它决定审计人员看见什么，也决定报告可以说到什么程度。
会挑异常，能提高发现问题的概率；会做代表性抽样，才能支撑克制而有分量的总体评价。
把两条轨道分开，审计既不会被“大额项目”绑住，也不会把少数个案写成整个组织的画像。