年度审计计划：五个“必须”和五个“避免”，少踩一个坑就多一分价值
年度审计计划，是审计部一年工作的“总开关”。它的质量，决定了审计部一年的方向对不对、资源用得值不值、成果有没有人看。以下五个“必须”和五个“避免”，是从大量审计部的实战教训中提炼出来的。
第一个必须：必须从“风险评估”出发，而不是从“去年计划”出发
很多审计部做年度计划，打开的是去年的计划文档。去年审了采购，今年继续审采购；去年没审工程，今年也不审工程。这种“延续式”计划，最大的问题是它假设风险是静态的。
正确的做法是：每年做一次独立的、完整的风险评估。把公司所有业务单元、所有流程模块、所有重大变化放在一张图上看。哪些领域发生了重大变化？哪些环节出现了新的风险信号？哪些单位的历史问题密度最高？基于风险评估的结果，重新排定审计优先级。
避免什么：避免“惯性计划”。 不要因为“去年就是这么定的”而延续一个审计领域，也不要因为“领导没提”就砍掉一个高风险领域。计划不是用来延续的，是用来校准的。
第二个必须：必须和管理层做“期望对齐”，而不是闭门造车
审计部自己关起门来做的计划，往往和领导层关心的方向有偏差。某审计部年初计划把大量资源投入“费用报销合规性审计”，结果年中汇报时，总经理问了一句：“你们审了这么多费用，有没有关注我们海外子公司的资金安全？”
审计部这才意识到，管理层最担心的风险，自己压根没排进计划。
避免什么：避免“技术导向”的计划。 不要只从审计技术角度判断“哪里好审”“哪里容易出成果”。要主动向管理层征集“他们最担心什么”“最希望审计帮他们看什么”，把管理层的关切纳入风险评估框架。审计计划不是审计部的“自娱自乐”，它应该是一份“风险共识”。
第三个必须：必须做“资源匹配”的诚实评估，而不是“理想化排布”
很多审计计划看起来很美：20个项目，覆盖10个单位，每个项目分配若干人天。但如果仔细算一笔账，就会发现这个计划需要的人天总数，远远超过了审计部实际可用的人天。这种“理想化排布”的结果是：计划执行到一半，资源耗尽，后面只能走过场。
避免什么：避免“计划超载”。 在制定计划时，要把培训时间、休假时间、临时交办任务的预留时间都算进去。宁可少排几个项目，把每个项目做深做透，也不要排满计划然后每个项目都“蜻蜓点水”。
第四个必须：必须设定“动态调整机制”，而不是“全年不变”
年初定的计划，到了年中一定需要调整。这不是计划做得不好，而是环境本身在变。问题不在于“要不要调整”，而在于“怎么调整”。
避免什么：避免“随意调整”和“绝不调整”两个极端。 随意调整会让计划失去严肃性，绝不调整会让计划脱离实际。正确的做法是：设定明确的调整触发条件和审批程序。比如“当某领域出现重大风险信号时，可由审计部提出调整申请，经审计委员会批准后调整”。调整有依据、有程序、有记录，计划才有严肃性。
第五个必须：必须把“整改跟踪”和“新项目”放在同等重要的位置
很多审计部的年度计划，排的全是“新项目”——今年要审多少个新单位、开展多少个新专项。但整改跟踪、审计建议落地、制度优化推动，这些“后半篇文章”在计划里往往只有一行字。
结果是：项目做了一堆，问题也查了一堆，但整改率上不去，同类问题反复出现。审计的价值，在“最后一公里”打了折扣。
避免什么：避免“重发现、轻闭环”的倾向。 在年度计划中，明确列出整改跟踪的工作量和资源配置。比如，“每个季度对已销号的重大整改事项做一次‘回头看’抽查”“对整改滞后的单位安排专项督办”。把闭环工作从“附加动作”变成“计划内动作”。
除了五个“必须”，还有五个“避免”同样关键
第一，避免“部门本位”的计划。 审计计划不是审计部的“内部工作计划”，它是公司治理体系的一部分。做计划时不能只考虑“审计部能干什么”，还要考虑“公司需要审计部干什么”。两者的交集，才是计划的起点。
第二，避免“一刀切”的项目安排。 不同风险等级的单位，审计频率和深度应该不同。高风险单位每年必审、深度穿透；低风险单位可以降低频率、简化程序。不要用同一套程序、同一个时间长度去对待所有审计对象。
第三，避免“只计划项目，不计划能力”。 年度计划不能只排“要审什么”，还要排“审计部自己需要提升什么”。今年计划学习什么新工具？培养什么新能力？引进什么新人才？这些“能力建设”的内容，应该和审计项目一样，有明确的产出和时间节点。
第四，避免“没有量化目标的计划”。 “完成XX个项目”是数量目标，但数量不等于质量。计划里应该有质量目标，比如“审计发现的重大问题数量”“审计建议被管理层采纳的比例”“整改验证的有效率”。有量化目标，年底复盘才有依据。
第五，避免“不和管理层汇报的计划”。 很多审计部的年度计划，在部门内部定完就执行了，最多抄送一份给分管领导。但一份没有经过管理层充分讨论的计划，在执行时很难获得管理层的支持。建议在计划定稿前，向管理层做一次正式的汇报，听取反馈、调整方向、争取资源。
一个值得品味的实践案例
某集团审计部在制定年度计划时，做了一个“反向推演”。他们没有先想“今年要审什么”，而是先问了自己三个问题：如果今年只能做三件事，是哪三件？这三件事做完之后，管理层会怎么评价审计部？如果这三件事没做，公司会面临什么风险？
这三个问题的答案，帮他们把年度计划从“二十个项目”压缩到了“十三个项目”，但每个项目的深度和资源配置都增加了。更重要的是，他们把省出来的资源，投入到了“整改闭环”和“审计能力建设”上。
年底复盘时，他们发现：项目数量少了，但审计发现的质量提升了，管理层的关注度提高了，整改率也上去了。一位分管领导在年度述职会上说：“今年的审计报告，每一份我都认真看了。因为我知道每一份都有干货。”
年度审计计划，是审计部的“年度战略”。它不是一份排期表，而是一份“风险判断书”。五个“必须”和五个“避免”，归根到底指向同一件事：计划要从风险出发、从需求出发、从价值出发，而不是从习惯出发、从模板出发、从方便出发。
计划定好了，一年的工作就成功了一半。计划定偏了，一年的努力就可能白费。