今年， 穿透这个词在国资监管领域出现得越来越多。

2026年7月，国务院国资委专门召开穿透式监管工作会议，提出加快构建智能化穿透式监管体系，加强重点领域穿透监管，并健全监管闭环。会议还提到，今年以来，穿透式监管已被列为进一步深化国资国企改革的重点任务。

对内部审计来说，这个变化值得关注。

过去审一项业务，制度有没有建立、审批有没有履行、凭证是否完整，往往是很重要的检查内容。现在企业层级越来越多，业务链条越来越长，采购、资金、投资、销售又大量依托信息系统运行，仅仅看到 手续完整 ，有时已经不足以判断风险。

供应商有三家，不代表三家之间一定没有关系；付款审批全部完成，也不意味着交易背景没有异常；集团制度写得很完整，到了三级、四级企业以后，执行情况也可能已经发生变化。

这也是穿透给内部审计带来的一个很现实的问题：审计在什么情况下需要继续往下查，又应该查到哪里？

 01 穿透式审计 先别急着当成一种新审计方法

这里有一个概念需要先说清楚。

目前政策文件和国资监管实践中明确使用较多的是 穿透式监管 。 穿透式审计 并不是《全球内部审计准则》单独规定的一种审计类型，也没有必要把它包装成一套新的审计方法。

内部审计原来使用的询问、检查、观察、函证、分析程序、重新执行等技术都没有改变。

变化更多体现在审计思路上。

当一项风险已经露出异常信号，审计人员不能因为制度存在、审批完整或者账面记录能够对应，就过早结束判断。还需要根据风险情况，把相关业务、主体、资金、系统或者组织层级连接起来，看看表面正常的记录背后，业务实际是怎么运行的。

这和现有内部审计体系并不冲突。

国资委此前关于深化中央企业内部审计监督工作的实施意见已经提出，要形成集团 上审下 的内部审计管理体制，对重大风险领域、重大投资项目和重要子企业实施重点审计，并推动投资、财务、资金、运营、内控等业务信息系统与审计平台融合，运用大数据、人工智能等方式开展监督。

从这个角度理解， 穿透更像是风险导向审计向业务深处延伸的一种工作思路。

02 从报表往前走，看看数字是怎么形成的

内部审计经常从财务数据发现异常。

一家子公司第四季度收入突然增长30%，某类产品毛利率明显下降，应收账款增幅远高于销

售收入，或者一家长期亏损的企业年底突然实现盈利。

数据分析可以把这些异常挑出来。

后面的工作，才更考验审计判断。

以收入突然增长为例，只检查凭证、合同和发票，能够验证一部分财务记录，但未必能够解释这部分收入为什么突然出现。

如果风险值得继续核实，就要回到业务过程中看：新增收入来自哪些客户，相关订单什么时候形成，货物什么时候发出，客户有没有实际签收，期后有没有集中退货，应收账款是否正常回收。

如果新增客户本身也存在异常，还可能进一步关注客户成立时间、经营规模与交易规模是否匹配，以及不同客户之间有没有值得注意的关联。

财务报表给出了结果，订单、物流、回款和客户信息则帮助审计人员还原这个结果形成的过程。

所谓穿透，在很多项目里其实就是这样开始的。

 03 集团制度完善，还要看控制有没有传到业务末端

集团型企业的情况更明显。

总部通常并不缺制度。

采购、投资、资金、合同、授权、担保，各类制度可能已经相当完整。只检查总部层面的制度设计，很容易得到一个比较规范的结论。

问题常常出现在向下传导的过程中。

二级企业执行得不错，不代表三级、四级企业也完全一样；集团要求全部业务进入统一系统，也可能仍有部分项目公司使用线下流程；系统已经覆盖某项业务，也可能存在先执行、后补录的情况。

这几年国资监管持续推进 全级次 监管，与这个问题有直接关系。

中国物流集团2026年公布的巡视整改进展中提到，以数据平台为核心打通系统间信息，上线采购管理信息系统，将供应商入库、评价、采购计划、采购实施、合同签署等环节纳入全过程监管；同时持续加强司库系统建设，实现资金业务全程留痕、动态可视。

这里值得内部审计借鉴的，不只是建系统 。

过去总部更多依靠下级企业报送数据。系统和数据逐步打通以后，集团开始具备直接观察下属企业业务运行情况的条件。

相应地，内部审计评价一项集团控制，也不能只问制度有没有发下去。

还要结合项目目标看看，制度究竟覆盖到了哪一级，哪些业务仍然游离在统一流程之外，例外权限由谁掌握，集团层面能不能及时看到基层单位出现的异常。

如果控制到了业务末端已经发生明显变化，制度文本本身很难证明控制运行有效。

 04 采购流程看起来合规，交易主体还可能有另一层关系

采购审计是比较容易体现穿透思路的领域。

比如某个项目有三家公司参与报价：

A公司98万元，B公司101万元，C公司105万元，最终A公司中标。

三家报价文件都有，审批权限符合规定，供应商资质也没有明显异常。从采购档案看，流程似乎没有什么问题。

但如果审计人员通过数据分析发现，这三家公司长期同时出现在多个项目中，报价顺序高度稳定，或者某一家供应商的中标率明显异常，就有继续分析的必要。

在审计权限和合法取得信息的范围内，可以结合供应商主数据、企业留存资料以及公开工商信息，查看股权和主要人员是否存在交叉，联系电话、邮箱、注册地址等信息有没有异常重复，内部登记的银行账户、联系人是否存在关联，必要时再结合员工利益冲突申报等资料进行核实。

这样一来，审计关注点就从 有没有三家供应商 进入到 这些供应商在这项交易中是否具备应有的独立性 。

这个差别很重要。

因为控制程序已经执行，并不等于控制目标一定实现。

三家询价的目的，是形成一定程度的市场竞争和价格约束。如果参与询价的主体之间存在未披露的控制或者利益关系，表面上完整的程序就需要重新评价。

这也是穿透式思路比较有意义的地方：它会推动审计人员从 程序有没有走 继续看 这个程序有没有发挥预期作用 。

 05 资金可以往下核，但穿透本身也有边界

资金审计也经常会遇到类似问题。

一笔1000万元工程款，合同、验收资料、发票、付款审批全部齐全。

这些资料至少说明，付款经过了既定程序。

如果审计同时发现项目价格明显异常、交易对手关系复杂、合同履约存在疑点，或者付款行为本身存在异常，就不能只因为审批单签完了而结束检查。

可以结合企业能够取得的资料进一步分析：收款账户是否与合同约定一致，同一账户是否对应多个异常交易主体，付款金额和工程进度是否匹配，有没有异常拆分付款、频繁退款或者其他不符合正常商业逻辑的情况。

这里有一个边界不能忽略。

企业内部审计并不天然具有查询外部企业全部银行账户以及后续资金去向的权限。所谓资金穿透，也不能理解成审计人员可以无限追踪每一笔外部资金。

能够核实到什么程度，要看审计权限、合同安排、现有资料、外部信息取得条件，以及是否需要纪检监察、法务、财务或者其他监督力量协同。

发现重大异常以后，有时内部审计能够继续取得证据；有时更合适的处理，是形成问题线索并按照组织内部机制移交。

穿透解决的是审计判断不能过早停止的问题，并不会突破内部审计本身的职责和权限边界。

 06 系统上线以后，控制也未必自动变得可靠

企业数字化以后，还有一种情况越来越值得注意。

业务已经进入系统，看上去每一步都有记录，容易让人产生一种感觉：系统管住了，风险应该就小了。

现场未必如此。

系统可以设置审批权限，但权限配置本身可能不合理；系统可以要求三家询价，却未必能够识别供应商之间的关联；系统能够生成异常预警，如果预警长期没有人处理，也很难形成有效控制。

还有一些企业，系统流程看起来非常完整，实际业务却允许在线下先办、系统里后补。

国资委关于中央企业内部控制体系建设的制度要求中，已经明确提出要把内控措施嵌入业务信息系统，使经营管理活动可控制、可追溯、可检查，并逐步利用大数据、云计算、人工智能等技术开展实时监测、自动预警和监督评价。

中智集团2026年披露的整改进展也提到，在推进穿透式监管过程中，同步分析管理漏洞和系统缺陷，推动制度修订、业务流程再造、数据标准统一，并完善费控、核算、税务、司库等系统的风险监控模型。

这类实践对内部审计有一个很直接的提示：

做数字化流程审计，不能把有没有系统当成结论。

系统中的审批规则怎么设置，权限由谁维护，哪些人能够处理例外事项，哪些业务可以绕开系统，风险预警产生以后有没有处置，业务规则变化以后系统控制是否同步更新，这些都比系统界面本身更值得看。

有些问题来自人员绕过控制，有些问题则可能从一开始就写在系统规则里。

 07 有些问题需要穿透的不是数据，而是原因

还有一类情况，没有复杂的数据关系，也值得往下追。

比如合同倒签。

第一年审计发现问题，提出加强合同管理。

第二年又发现，于是再次要求严格执行制度。

到了第三年，如果问题仍然大量存在，再重复写一遍加强管理 ，能够提供的信息已经很有限。

这时候更值得做的是回到业务流程里看看。

业务部门为什么总是在合同完成审批之前开始履约？

可能确实有执行意识的问题，也可能是合同审批周期与业务实际不匹配。

再往下看，或许会发现所有合同都走同一条审批路线，小额标准合同和重大非标合同没有区分；也可能是某个审核环节长期积压，或者授权过度集中。

这样一来，最初看到的是倒签 ，最后需要调整的却可能是合同分类、审批权限、流程设计或者系统控制。

审计发现解决的是问题在哪里，根因分析则帮助解释问题为什么持续存在。

如果一项整改连续几年没有解决，审计人员也有必要重新考虑：前面的整改措施究竟有没有对准导致问题发生的原因。

 08 穿透到什么程度，还是要回到风险和审计范围

穿透也不能走向另一个极端。

审计查得越深，并不天然意味着项目质量越高。

一项内部审计业务有自己的目标、范围、时间和资源约束。如果每一笔普通采购都去分析最终控制人，每一笔付款都试图追到资金终端，项目很快会失去效率。

2024版《全球内部审计准则》仍然要求审计项目建立在相关风险基础上。IIA在2026年更新的项目计划指导中，也继续强调根据风险确定项目目标和范围，并据此配置审计资源。

穿透并不是一个固定深度。

采购项目中发现报价模式异常，可能需要延伸到供应商关系；收入分析出现明显异常，可能需要回到客户、合同、物流和回款；集团审计发现某些业务长期不进入统一系统，就有必要进一步看这些业务实际是怎么运行的。

如果现有证据已经能够支持审计结论，也没有必要为了体现 穿透 继续扩大范围。

审计深度始终服务于项目目标。

 09 对CIA考试学习来说，不必专门记一个穿透式审计

如果正在学习CIA，这一点尤其要区分清楚。

穿透式审计不是需要新增背诵的CIA术语。

它背后调用的，其实都是现有内部审计知识体系里的内容：风险评估、职业审慎、审计证据、

数据分析、舞弊风险、控制评价、项目范围以及根因分析。

《全球内部审计准则》的项目实施逻辑同样如此：先理解被审计活动并评估相关风险，再确定项目目标和范围，实施分析和评价，形成有充分依据的发现和结论。

放到企业现场以后，这些知识不会按照教材章节一个个出现。

采购审计做到供应商关联分析时，可能同时涉及控制有效性、舞弊风险和数据分析；资金审计发现异常交易以后，会同时碰到证据充分性和审计范围；集团审计往下延伸，则涉及风险评估、组织层级以及信息系统。

理解穿透，不用给它增加太多新的概念。

它更接近一种现场判断：风险信号已经出现以后，现有证据是不是已经足以解释问题。如果还不能，就顺着与这个风险直接相关的业务、数据和控制继续核实；如果结论已经能够得到充分支持，就应当知道在哪里停下来。

这可能比单纯把穿透式审计理解成查得更深更接近内部审计工作的实际状态。