考试概览与形式：难的不是广度，而是精确度
考试概览与使用说明
Certified Internal Auditor（CIA）由 The IIA 主办。按截至2026年10月11日核对的2025年大纲，CIA由三场分别参加和评估的考试组成：Part 1为125题、150分钟；Part 2和Part 3各为100题、120分钟。成绩采用250—750分的量表，每部分达到600分为通过要求。考试内容、形式及报名安排可能调整，请以 The IIA 最新信息为准。
本指南面向内审、风险、合规及相关专业人士，尤其适合希望把标准知识转化为工作判断的读者。这里提供的是中文学习讲解，不代表 The IIA 提供简体中文考试或中文官方材料；考试语言及可用资源请向 The IIA 核实。
指南覆盖三部分主题，不是一套官方考试，也不是官方题库；下列练习性案例均为独立编写，不是回忆题或真题预测。2025年大纲以2025年1月生效的 Global Internal Audit Standards 为重要标准依据。
开始学习前，可先查看The IIA CIA考试大纲，再对照Global Internal Audit Standards核对术语与要求。报名资格、考试语言和预约规则也应以The IIA CIA认证页面的现行说明为准。
三部分大纲与学习重点
| 考试部分 | 官方大纲覆盖范围 | 学习侧重（编辑建议，非官方权重） |
|---|---|---|
| Part 1 — 内部审计基础 | 内部审计基础；道德与专业性；治理、风险管理与控制；舞弊风险。Global Internal Audit Standards是理解相关职责与判断要求的重要依据。 | 先掌握职业原则、治理角色和三线模型，再练习独立性、客观性、职业怀疑、风险与控制及舞弊迹象的判断；以官方大纲各主题要求为准。 |
| Part 2 — 内部审计业务 | 业务计划；信息收集、分析与评价；业务监督与沟通。重点包括业务风险评估、目标与范围、评价标准、工作方案、证据、抽样、分析、发现与结论，以及业务过程中的监督和沟通。 | 围绕业务目标与范围，练习判断证据够不够、下一步做什么、结论是否得到支持，以及何时需要调整程序或加强监督。 |
| Part 3 — 内部审计职能 | 内审职能运行；内审计划；内审职能质量；业务结果与监控。包括资源和利益相关方沟通、确认协调、基于风险的计划、质量管理、最终结果沟通、行动计划跟踪，以及风险接受事项的沟通和升级。 | 切换到首席审计官视角，练习风险覆盖、资源取舍、质量管理和治理问责，并掌握最终业务结果沟通与行动落实监控。 |
60个核心概念：从职业基础到职能治理 1–10
1. 内部审计的价值与目的
Part 1 — 内部审计基础
内部审计通过独立、客观的确认和咨询服务，帮助组织创造、保护并维持价值。它关注治理、风险管理和控制是否有助于实现组织目标，而不是单纯寻找差错。审计工作的价值取决于判断是否有根据、沟通是否清楚，以及结果能否帮助组织改进。
应用示例: 审计师发现新系统权限复核不完整，不只列出缺陷，还说明该问题如何增加未授权交易风险，并与相关责任人讨论可行的改进方向。
常见误区: 不要把内部审计等同于合规检查或替管理层管理风险。内审可以评估和提出建议，但管理层仍负责经营决策、风险应对和控制运行。
2. 确认服务与咨询服务
Part 1 — 内部审计基础
确认服务通常由审计人员客观评价证据，并向相关方提供有关治理、风险管理或控制的结论。咨询服务侧重建议、促进讨论或提供专业意见，具体范围应与服务对象明确。无论服务形式如何，内审都要避免接管管理职责，并注意服务安排对客观性的影响。
应用示例: 内审为新流程设计研讨会提供风险意见，但由业务负责人选择控制措施、批准方案并承担实施责任。
常见误区: 不要因为项目被称为“咨询”就认为客观性不重要。若内审替管理层作出决定或随后审计自己制定的方案，仍可能形成角色冲突。
3. 三线模型与治理责任
Part 1 — 内部审计基础
The IIA的三线模型区分治理机构、管理层和内部审计的相互关联角色。治理机构负责监督与问责；管理层的第一线角色负责业务活动并管理相关风险，第二线角色提供风险与合规方面的专业支持、监测和质询；内部审计作为第三线提供独立、客观的确认与建议。第二线属于管理层角色，不因开展检查就自动具有内部审计的独立性。
应用示例: 采购团队执行供应商准入并管理采购风险，合规团队提供要求解释和监测，内审独立评价准入控制及相关监测是否有效。治理机构利用这些信息履行监督职责。
常见误区: 不要把三线理解为必须设立三个固定部门，或认为风险责任可以逐线移交。模型描述的是角色，同一组织可采用不同结构，但管理层的风险责任与内审的独立评价责任不能混淆。
4. 内审职能的授权与职责
Part 1 — 内部审计基础
内审授权规定职能的权限、角色和责任，包括服务范围及服务类型。按照Global Internal Audit Standards，董事会或承担相应治理职责的机构应建立、批准并支持这一授权；高级管理层参与讨论并提供履职支持。首席审计官（CAE）应向相关方提供必要信息，并将授权记录在内审章程中。授权应支持内审取得履职所需的资料、人员及相关访问权限，同时尊重适用法律要求。
应用示例: 集团拟扩大内审服务范围，CAE与治理机构和高级管理层讨论新增职责、服务类型及访问需求，将拟议授权变化写入章程并提请批准，而不是仅凭被审部门的口头邀请开展长期新增职责。
常见误区: 不要把项目通知书或管理层的临时要求当作完整的职能授权。项目文件规定本次业务安排，职能授权规定内审整体权限和责任，管理层不能单方面架空已获批准的授权。
5. 内审章程的作用
Part 1 — 内部审计基础
内审章程是记录职能基本安排的正式文件，应包括内部审计的目的、遵循Global Internal Audit Standards的承诺、内审授权、服务范围与类型，以及组织地位和报告关系。CAE负责制定和维护章程，与治理机构及高级管理层讨论其内容，由董事会或承担相应治理职责的机构批准。组织结构或职责发生变化时，应评估是否需要更新章程并取得批准。
应用示例: 组织重组后，CAE发现章程中的职能报告关系已不符合新的治理安排，于是与治理机构和高级管理层讨论修订内容，并将更新后的章程提交治理机构批准。
常见误区: 不要把章程当作可以绕过法律限制的访问通行证，也不要认为被审部门可以自行否定章程中的权限。真实访问障碍应依法处理，并评估其对授权、范围和结论的影响。
6. 内审职能的独立性
Part 1 — 内部审计基础
组织独立性是内审职能不受妨碍其公正履职的不当干预，包括适当的组织地位、直接向治理机构报告的关系和必要的沟通渠道。按照Global Internal Audit Standards，CAE须至少每年向董事会或承担相应治理职责的机构确认组织独立性，并沟通独立性受到损害的情况及采取的保障措施。独立性不要求内审脱离组织，而是要求治理安排能够保护其范围、工作执行和结果沟通。
应用示例: 管理层要求删除一项重要审计范围。CAE先讨论该要求及其对风险覆盖的影响；若限制未获解决，应向治理机构升级，说明无法覆盖的风险和对业务结论的影响。
常见误区: 不要仅凭行政汇报对象就断定独立性必然受损，也不要因存在董事会沟通渠道就认定没有风险。应结合职能报告关系、实际干预、访问权限及保障措施判断。
7. 审计人员的客观性
Part 1 — 内部审计基础
客观性要求审计人员以公正、不偏不倚的态度收集和评价信息，不因利益、关系或既往职责而牺牲专业判断。按照Global Internal Audit Standards，对审计师在此前12个月内负责的活动提供确认服务，其客观性被推定受到损害。超过12个月也不表示风险自动消失，仍须评价自我评价威胁、利益冲突及适当保障。
应用示例: 审计师八个月前仍负责某流程的运营，现在被安排对该流程执行确认业务。主管不让其承担该活动的确认评价，改派其他合适人员，并记录客观性风险及人员调整。
常见误区: 不要用“去年负责过”代替明确时间，也不要认为自称能够公正即可消除受损推定。咨询服务的安排不同：涉及此前负责的活动时，应在接受业务前向请求方披露可能损害客观性的情况，并评价是否能够妥善管理该风险。
8. 利益冲突与客观性保障
Part 1 — 内部审计基础
潜在利益冲突应及时识别、披露并评估其对业务的影响。保障措施可以包括调整人员或工作范围、增加独立复核，或采用其他合适安排。披露只是让相关方知情，并不会自动消除冲突；如果威胁无法充分缓解，就应避免让受影响人员承担相应判断。
应用示例: 审计师的近亲在被审供应商任职，审计主管先评估其参与采购审计的风险，再决定是否重新分派相关程序。
常见误区: 不要把“已经告知项目经理”当作冲突已解决的证据。还要判断威胁是否实质影响工作，并记录采取的保障措施及其充分性。
9. 诚信与专业行为
Part 1 — 内部审计基础
诚信要求审计人员诚实、审慎地表达事实，不隐瞒重大信息，也不故意歪曲结果。专业行为还要求遵循适用规则，并避免损害职业声誉的做法。面对压力时，审计师应保留事实依据和必要沟通记录；对不确定事项应明确说明，而非假装结论确定。
应用示例: 业务负责人要求报告删除已验证的控制例外，审计师保留证据，解释该例外的事实基础，并通过适当复核和沟通渠道处理分歧。
常见误区: 诚信不意味着用最严厉措辞指责被审部门。专业表达应区分已证实事实、风险判断与尚待调查的事项。
10. 保密与信息保护
Part 1 — 内部审计基础
审计人员应谨慎使用和保护履职中取得的信息，不因个人利益或不当目的披露资料。保密并非绝对禁止沟通：信息可能需要为审计、监督或适用要求而共享，但应确认对象、用途和授权，并采取适当保护。敏感数据应按组织政策安全存储和传输。
应用示例: 审计师在报告中讨论员工数据访问问题，只呈现支持结论所需的信息，并限制底稿访问范围。
常见误区: 不要把保密理解为可以隐瞒重大审计发现。恰当做法是通过有权且安全的渠道报告，同时限制无关人员接触敏感细节。
60个核心概念：从职业基础到职能治理 11–20
11. 胜任能力与持续专业发展
Part 1 — 内部审计基础
胜任能力是完成所承担工作所需的知识、技能和能力，不能仅凭证书或从业年限判断。审计人员应了解自己的能力边界，并通过持续学习、培训和实践维持及发展能力；持有专业认证的人员还应遵守相应认证机构适用的继续教育要求。遇到超出自身能力的任务，应及时说明差距，寻求适当指导或专业支持，而不是在缺乏依据时独立作出技术结论。
应用示例: 审计师获派测试云平台访问配置，发现自己尚不能解释关键权限设置。他向主管说明能力差距，接受针对性培训，并在合格技术专家指导下执行和记录测试。
常见误区: 不要把取得CIA视为学习已经完成，也不要把专家参与视为自己无需理解工作的理由。审计师应理解所承担任务、专家支持的边界，以及相关证据能够支持什么结论。
12. 应有的专业审慎
Part 1 — 内部审计基础
应有的专业审慎要求审计人员以与情境相称的谨慎程度规划和执行工作，考虑风险、重要性、复杂性和证据限制。它不要求保证发现所有问题，也不意味着无限测试。审计师应合理怀疑、核实关键陈述，并在结论中反映工作范围与证据边界。
应用示例: 审计师发现管理层提供的汇总表与底层交易不一致，暂不依赖汇总结果，而是核对来源并评估差异是否影响结论。
常见误区: 不要把专业审慎误解为必须穷尽每一笔交易。审计程序应与风险和目标匹配，同时避免对证据不足的事项作确定结论。
13. 遵循专业标准与披露不遵循情况
Part 1 — 内部审计基础
Global Internal Audit Standards规定内审实践应遵循的原则和要求，并提供实施考虑因素及符合性证据示例。若适用法律法规禁止遵循某项要求，内审仍须遵循其他要求，并作适当披露；组织惯例或管理层偏好不能自行替代标准要求。当不遵循标准影响某项业务时，最终业务沟通须说明未遵循的标准、原因及其对业务发现和结论的影响。
应用示例: 某确认业务未进行标准要求的业务监督，导致已报告的重要结论缺乏充分证据。CAE安排补充复核，并向适当接收方说明未遵循的标准、原因和影响；如原报告存在重大错误或遗漏，还应及时沟通更正后的信息。
常见误区: 不要把任何资料访问限制都直接称为不遵循标准。应先评估能否通过替代程序、调整范围或限制结论妥善处理；只有确实未满足适用要求时，才据其性质和影响作相应披露。职业标准也不能替代当地法律或法律意见。
14. 治理机构的监督职责
Part 1 — 内部审计基础
治理机构通过监督组织方向、重要风险、控制和问责安排履行治理职责，并对内审职能的独立履职提供适当监督。其具体职权取决于组织治理结构和适用要求。内审向治理机构提供信息和评价，但不代替治理机构作出其应承担的监督决定。
应用示例: CAE向审计委员会说明审计计划覆盖范围及重要限制，使委员会能够讨论内审是否有条件履行其职责。
常见误区: 不要假定所有组织的董事会、审计委员会或其他治理机构职责完全相同。答题应依据案例提供的治理安排和授权。
15. 职业怀疑与批判性评价
Part 1 — 内部审计基础
职业怀疑要求审计人员保持探究态度，批判性评价信息的可靠性，并关注不完整、矛盾、误导性或可能失实的信息。它不是预设管理层不诚实，而是不把解释、职位或既往信誉当作证据的替代品。遇到重要矛盾时，应取得进一步证据，考虑合理的替代解释，再形成与证据强度相称的判断。
应用示例: 管理层称所有高风险付款均已审批，但系统日志显示部分审批时间晚于付款时间。审计师核对时间字段含义、审批原始记录及可能的系统迁移影响，在澄清矛盾前不接受“控制持续有效”的结论。
常见误区: 不要把职业怀疑理解为逢事指控舞弊，也不要因提供资料的人级别高就停止核实。异常提示需要调查，既不能直接证明不当行为，也不能仅凭口头解释予以排除。
16. 风险管理、风险偏好与风险容忍度
Part 1 — 内部审计基础
风险管理帮助组织识别、评估和应对影响目标的风险。风险偏好是组织为实现目标愿意承担的风险类型和程度；风险容忍度则关注实现目标过程中绩效的可接受偏差。二者应在组织的决策、控制和监测中得到体现。内审评价这些安排是否清楚、协调并得到执行，但不代替有权治理机构或管理层设定风险偏好、风险容忍度或经营策略。
应用示例: 组织愿意为拓展数字服务承担适度的技术实施风险，同时为服务可用率确定目标和可接受偏差。内审评价项目审批、运行监测和偏差升级机制是否与这些已批准的安排一致，而不自行改变目标或容忍范围。
常见误区: 不要把风险偏好与某项业务指标的容忍范围视为同一概念，也不要认为管理层可以接受任何风险。超出组织既定偏好或容忍度的风险，应按相应权限和升级程序处理。
17. 风险识别与组织目标
Part 1 — 内部审计基础
风险应结合组织目标、流程、内外部环境和变化来识别，而不是只看历史问题清单。一个事件可能影响多个目标，风险也可能随业务、技术或外部环境变化。内审在规划时应理解风险关联和可能影响，避免把风险评估做成脱离经营背景的机械打分。
应用示例: 企业将客户资料迁移到新平台，审计师同时考虑数据完整性、访问权限、业务连续性和隐私相关风险。
常见误区: 不要认为没有发生过损失就表示没有风险。新流程或快速变化领域可能缺少历史事故，但仍需要根据目标和暴露情况评估。
18. 固有风险与剩余风险
Part 1 — 内部审计基础
固有风险指未考虑应对措施时，与活动或目标相关的风险暴露；剩余风险指考虑现有风险应对后的风险水平。控制可能降低风险，但不保证消除风险。审计计划可关注风险本身的暴露程度，而评价管理层是否恰当应对时，还要看控制运行后仍留下什么风险。
应用示例: 线上支付本身存在未经授权交易的风险，权限验证和交易监控降低风险后，审计师再评估未覆盖交易和监控盲区。
常见误区: 不要因存在控制就把剩余风险写成零。还要验证控制是否适当、实际运行如何，以及例外对剩余风险的影响。
19. 控制的目的与类别
Part 1 — 内部审计基础
控制是组织为管理风险、支持目标而采取的政策、程序或行动，可具有预防、发现或纠正作用，也可能由人员或技术执行。分类能帮助审计师理解控制怎样发挥作用，但标签本身不能证明控制有效。评价时应把具体控制与风险、流程和责任人联系起来。
应用示例: 系统在付款前拦截重复发票属于预防性控制；月末异常付款复核属于发现性控制，后续处理问题则发挥纠正作用。
常见误区: 不要只记控制名称或类别就认定风险受控。同一类控制可能设计不足、覆盖不全或没有按预期执行。
20. 控制设计与运行有效性
Part 1 — 内部审计基础
设计有效性关注控制若按设计执行，是否能够应对相关风险；运行有效性关注控制是否在相关期间由适当人员持续、准确地执行。两项判断需要不同证据：流程和控制逻辑有助于评估设计，交易样本、日志或观察可支持运行测试。结论应分别表达，避免相互替代。
应用示例: 审批规则覆盖全部高风险付款，设计看似适当；审计师再抽查一段期间的付款记录，确认审批是否实际完成并留有证据。
常见误区: 不要因程序文件写得完整，就认定控制实际运行有效；也不要因抽样未发现例外，就忽略控制设计可能根本未覆盖关键风险。
60个核心概念：从职业基础到职能治理 21–30
21. 舞弊风险与内审职责
Part 1 — 内部审计基础
舞弊涉及为取得不当或非法利益而实施的故意欺骗、隐瞒、侵占或滥用信任等行为，不等同于所有违规或非故意差错。内审应具有识别和评价相关风险所需的知识，结合压力或动机、机会及行为合理化等因素，评价组织防范、发现和应对舞弊的安排，并设计与风险相称的程序。是否承担具体调查工作，取决于内审授权、人员能力、组织程序及适用要求，不能因发现迹象就默认由内审负责全部调查。
应用示例: 同一员工能够创建供应商并批准付款，审计师将其识别为可能被利用的舞弊机会，检查权限、供应商变更和付款记录，并评价是否存在有效的独立复核；职责冲突本身并不证明该员工实施了舞弊。
常见误区: 不要把内审职责说成保证发现所有舞弊，也不要把一般差错直接归为舞弊。审计工作受范围、抽样和证据条件限制，结论应准确反映这些边界。
22. 舞弊红旗与证据边界
Part 1 — 内部审计基础
红旗是提示需要关注或进一步核查的异常迹象，不是舞弊已经发生的证明。审计师应分析迹象的可靠性、可能解释和风险影响，再决定是否扩大测试、获取独立证据或升级处理。关于个人责任的结论需要适当证据和权限，不能由未经验证的异常直接推出。
应用示例: 某供应商的登记地址与一名员工的住宅地址完全一致。审计师在授权范围内核实地址资料，结合适用的利益冲突政策检查关系披露和交易审批，再判断是否需要按调查与升级程序处理；地址一致本身仍不能证明存在舞弊。
常见误区: 不要凭一个红旗就认定有人舞弊、要求解雇员工或宣布犯罪。迹象需要审慎验证，也可能存在合理解释。
23. 审计业务的完整流程
Part 2 — 内部审计业务
一项审计业务通常包含计划、执行、沟通结果和跟踪处理等相互衔接的工作。前期目标和风险判断决定测试方向，执行阶段的证据又可能要求调整程序，最终沟通应与发现及其重要性相匹配。将业务视作连续过程，有助于避免只做测试却没有清晰结论或后续安排。
应用示例: 审计师发现访问权限测试出现异常后，重新评估风险、补充程序，再把证据和管理层拟采取的行动纳入结果沟通。
常见误区: 不要把业务计划视为不可改变的清单。新证据可能要求调整程序，但重要变化应有依据并适当沟通和记录。
24. 初步了解与业务背景
Part 2 — 内部审计业务
开始详细测试前，审计团队应了解被审活动的目标、流程、系统、责任关系和近期变化，并识别已有风险信息。初步了解帮助确定审计重点，不是对管理层提供的资料照单全收。若现有描述与实际操作不一致，应通过访谈、观察或资料核验进一步理解。
应用示例: 审计销售折扣流程前，团队查看流程图、系统权限和近年问题记录，并与执行人员核对实际审批路径。
常见误区: 不要把流程图当作流程实际运行的证明。文件可能过时，需确认关键步骤是否真实发生及是否存在例外路径。
25. 业务层面的风险评估
Part 2 — 内部审计业务
业务风险评估把组织风险转化为本次审计需要关注的事项，帮助确定重点、测试方向和资源。评估应结合业务目标、风险暴露、现有控制和已知变化，并随着新信息更新。风险评分只是辅助判断，不能代替对风险成因、影响和证据的分析。
应用示例: 审计采购时，团队发现紧急采购增加且供应商资料复核薄弱，于是将供应商建立和例外审批纳入重点测试。
常见误区: 不要只依据上一年度评分照搬本次范围。流程、人员、系统或风险环境发生变化时，应重新判断审计重点。
26. 业务目标与审计范围
Part 2 — 内部审计业务
业务目标说明审计要回答什么问题，范围说明覆盖的活动、地点、流程、系统、期间及边界，两者都应形成记录，且范围必须足以实现目标。确认业务中，若资源或访问限制妨碍实现目标，应先与管理层讨论解决；无法解决时，由首席审计官（CAE）按既定方法向董事会升级。业务目标或范围的变更须经CAE批准，并及时向相关方沟通。
应用示例: 团队拟评价退款审批控制，范围包括线上、线下退款及选定期间。管理层拒绝提供线上退款日志，使团队无法完成相关目标；团队先讨论替代取证或恢复访问，仍无法解决时向CAE报告，而不是把线上退款悄悄排除后出具覆盖全部退款的结论。
常见误区: 不要把范围限制当作可以自行缩小覆盖面的理由，也不要用“检查整个流程”代替明确的目标。范围变化需要有依据、获得批准，并说明对结论的影响。
27. 评价标准与判断依据
Part 2 — 内部审计业务
评价标准是判断实际情况是否达到预期的参照，可来自适用法律法规、组织政策、批准的目标或其他适当基准。确认业务中，审计师应评价董事会和高级管理层已有标准是否适当；适当时采用，不适当时通过与董事会和／或高级管理层讨论确定合适标准。现有流程设计或行业最佳做法不能未经评价就自动成为合格标准；还应区分必须遵守的要求与用于评价或改进的基准。
应用示例: 团队评价付款授权控制，发现原权限矩阵尚未覆盖新上线的自动付款流程。审计师不能直接套用旧矩阵或自行设定违规标准，而应讨论并明确适用于新流程的评价依据，同时说明旧矩阵覆盖不足所带来的风险。
常见误区: 不要把审计师偏好的最佳做法直接写成组织已经违反的要求，也不要认为组织已有标准就必然适当。应先评价标准，再判断实际情况与标准之间的差异。
28. 审计工作方案
Part 2 — 内部审计业务
工作方案将业务目标、范围和风险评估转化为可执行、可记录的任务，列明各目标的评价标准、测试程序、分析方法、工具及人员分工。方案应能够产生支持业务目标的证据，而不是堆积程序数量。首席审计官（CAE）须在执行前审查并批准工作方案，对后续变更也须及时批准。
应用示例: 针对未经授权付款风险，方案安排权限数据核对、付款样本检查和例外追踪，并明确标准、方法及责任人员。测试发现系统存在新的绕过路径后，团队据此修改方案，按要求取得CAE的及时批准，再依更新后的安排开展测试。
常见误区: 不要机械照搬旧项目清单，也不要把工作方案当作无需批准的个人备忘录。程序必须对应当前目标和风险，变更还应保留依据及批准记录。
29. 监督、复核与工作分配
Part 2 — 内部审计业务
业务监督确保工作按目标和标准执行，团队成员理解任务，重要判断和结论得到适当复核。分配工作时，应考虑人员能力、复杂程度与所需指导；复核应关注证据链和结论逻辑，而不仅是格式。发现疑问时及时沟通，通常比在报告阶段才纠正更有效。
应用示例: 新加入团队的审计师负责抽样测试，项目主管先确认抽样方法和记录要求，再复核异常处理和最终结论。
常见误区: 不要把签字或完成检查表当成充分监督。复核必须实质判断程序是否适当、证据是否可靠以及结论是否成立。
30. 审计证据的相关性与可靠性
Part 2 — 内部审计业务
证据应与审计目标相关，能够支持需要回答的问题；可靠性则取决于来源、取得方式、准确性和可核验程度。不同类型证据的可信程度可能不同，不能只凭形式判断。审计师应考虑信息由谁产生、是否经过修改，以及是否能与独立资料或底层记录相互印证。
应用示例: 管理层称所有账户都经过复核，审计师将复核记录与系统日志及账户变更明细交叉核对，以验证陈述是否对应实际操作。
常见误区: 不要因文件看起来正式就认定其可靠，也不要把与问题无关的大量资料当作有力证据。相关性和来源都要评估。
60个核心概念：从职业基础到职能治理 31–40
31. 证据的充分性
Part 2 — 内部审计业务
充分性关注证据数量和覆盖是否足以支持业务结论，通常要结合风险重要性、证据质量、总体特征和测试结果判断。数量与可靠性并非互相替代：很多低质量记录未必足够，少量高质量证据也未必覆盖所有问题。证据不足时，应追加程序或限制结论。
应用示例: 审计师只检查了少数低风险交易，发现没有例外，但高风险交易尚未覆盖，于是增加针对高风险项目的测试。
常见误区: 不要以“样本没有错”就宣布总体有效。结论能否推广，取决于选样方式、覆盖范围和证据是否足以支撑。
32. 信息来源与交叉验证
Part 2 — 内部审计业务
审计师可以使用访谈、观察、文件、系统记录和外部信息等来源。取得方式会影响证据可信度：直接观察或由审计师独立获取的资料，通常比未经核实的口头陈述更容易验证。对重要判断，使用不同来源交叉印证可揭示矛盾，但仍需评估每个来源的局限。
应用示例: 员工表示每日完成库存核对，审计师除访谈外还检查核对记录、系统时间戳并观察一次实际操作。
常见误区: 不要认为多个来源只要数量多就必然相互独立。如果资料都来自同一未经核验的记录，交叉验证的价值有限。
33. 数据分析在审计中的应用
Part 2 — 内部审计业务
数据分析可以帮助识别异常、趋势、重复记录和高风险交易，并据此确定后续测试重点。结果取决于数据完整性、字段含义、提取逻辑和分析规则，发现异常并不等于已证明控制缺陷或不当行为。审计师应验证数据来源与分析过程，再调查具有审计意义的结果。
应用示例: 分析付款数据时，审计师筛出接近授权限额的重复付款，再核对发票、审批和供应商资料，确认异常是否有合理解释。
常见误区: 不要把分析工具的输出当作结论。错误字段映射或不完整数据会产生误报，也可能漏掉真正风险。
34. 审计抽样与总体推断
Part 2 — 内部审计业务
抽样是在总体中的部分项目上执行测试，以支持有边界的总体判断。统计抽样采用概率选样并运用概率理论评价结果，可以量化抽样风险；非统计抽样依赖专业判断，也须合理设计并说明推断限制。抽样风险是样本结论可能不同于测试整个总体所得结论的风险，区别于程序选择或执行错误造成的非抽样风险。总体完整性、样本量、选择方法和异常性质都会影响结论。
应用示例: 为评价整期付款授权控制，团队先核实总体完整性，再设计统计抽样方法及样本量。另行定向检查高金额交易时，团队将其结果单列，不把这个高风险子集的例外率直接外推至全部付款。
常见误区: 不要把定向选取高风险项目等同于代表性抽样，也不要认为随机选样就自动保证证据充分。非统计抽样不能借用未经计算的置信水平来声称推断精度。
35. 例外事项与追加测试
Part 2 — 内部审计业务
测试发现例外后，应先核实事实、判断成因和重要性，再决定是否扩大测试、分析总体影响或执行其他程序。单个例外可能是偶发失误，也可能揭示系统性问题；初步样本既不能自动证明控制失效，也不能让审计师忽略风险。结论应随证据成熟程度调整。
应用示例: 抽查报销发现两笔缺少审批，审计师验证记录、询问相关流程并增加不同部门样本，以判断问题是否具有共同原因。
常见误区: 不要看到少量例外就立刻宣布整个控制无效，也不要因比例暂时较低便直接忽略。先调查性质、原因和影响。
36. 审计发现的构成
Part 2 — 内部审计业务
清楚的发现通常说明评价依据、实际情况、差异成因和可能影响，并由证据支持。这样既让读者理解问题，也帮助管理层选择针对原因的应对措施。并非每份报告都要机械套用同一模板，但事实、判断和风险影响应能被区分和追溯。
应用示例: 依据是已批准的访问复核要求；实际情况是若干高权限账户未见复核记录；审计师再核实原因并评估未经授权变更的风险。
常见误区: 不要只写“流程需要加强”而不说明具体事实，也不要把推测的原因写成已证实事实。
37. 根本原因分析
Part 2 — 内部审计业务
根本原因分析尝试解释问题为何发生，而不止描述表面例外。原因可能涉及职责设计、系统设置、资源、培训或监督等因素，且需要证据支持。找到较准确的原因，才能帮助管理层采取有针对性的行动；复杂问题可能有多个原因，不宜过早归因于个人疏忽。
应用示例: 多笔交易缺少复核，审计师进一步发现系统未生成待办提醒，且岗位责任没有明确到人，于是将改进重点放在流程与系统原因。
常见误区: 不要把“员工未按要求操作”当成根本原因的终点。还要分析为何偏差能发生、未被及时发现或持续存在。
38. 形成结论与评价风险
Part 2 — 内部审计业务
业务结论应综合业务目标、评价标准、各项发现的重要性及证据限制，说明审计结果的整体意义，而不是简单统计问题数量或测试通过比例。确认业务还应对被审活动相关治理、风险管理和／或控制过程的有效性作出判断，并在这些过程有效时予以说明。结论的强度必须与证据相称，重大限制及未覆盖事项不能被隐藏。
应用示例: 本次确认业务目标是评价大额付款的授权控制。证据显示，相关期间内该类交易能够绕过独立授权，且没有有效的补偿性控制。团队据此认为该领域控制不足，不能因其他低风险控制测试通过就将该目标下的总体控制评价写为有效。
常见误区: 不要按发现数量或通过测试的比例机械形成结论。一个关键领域的重大缺陷可能比多个低风险事项更影响业务目标；没有发现问题也不意味着相关风险不存在。
39. 工作底稿与审计轨迹
Part 2 — 内部审计业务
工作底稿应记录目标、程序、证据、重要判断和结论，使另一名知情、审慎且具备相应能力的人员能够重复关键工作并得出相同业务结果，而不只是读懂报告。底稿应接受准确性、相关性和完整性的复核，CAE须确保其得到适当审查和批准。保存、访问和信息保护安排应符合适用法律法规及内审职能和组织的政策程序；资料多不等于记录充分。
应用示例: 审计师记录总体来源和核验过程、选样方法、测试步骤、异常证据、追加程序及结论依据，并保留复核记录，使另一位具备相应能力的审计人员能够重复关键测试并追溯结论。
常见误区: 不要把收集大量文件等同于完成底稿。若看不出文件为何相关、测试如何执行、结论如何形成，即使报告文字清楚，审计轨迹仍然不足。
40. 及时沟通与事实核实
Part 2 — 内部审计业务
与相关方持续沟通可及时澄清事实、确认流程背景并减少报告阶段意外，但沟通不应削弱内审对证据和判断的责任。审计师应给相关负责人合理机会回应事实，并区分事实更正、不同意见和对结论的影响。重要分歧要适当记录和处理。
应用示例: 审计师在定稿前与流程负责人核对一项系统例外的时间线，依据原始记录修正事实，并保留双方对风险评价的分歧。
常见误区: 不要因管理层不同意就自动撤回有证据支持的发现，也不要未经核实就忽略其提供的新事实。
60个核心概念：从职业基础到职能治理 41–50
41. 建议与管理层行动计划
Part 2 — 内部审计业务
内审可以提出建议，也可以与管理层讨论处理方式；管理层负责选择并落实风险应对。行动计划应针对发现和原因，明确责任、预期结果及适当的完成安排。审计师需要评价拟议措施是否足以应对风险，而不是替管理层承担执行责任。
应用示例: 管理层计划增加系统提醒来降低漏审风险，审计师评估该措施是否覆盖所有相关账户，并确定后续如何验证实施效果。
常见误区: 不要把管理层接受审计建议等同于风险已经消除。措施仍需实施，且其设计和实际效果可能需要后续评价。
42. 结果沟通与报告质量
Part 2 — 内部审计业务
审计沟通应准确、客观、清晰、简洁、具有建设性、完整且及时。业务最终沟通须说明目标、范围和结论，以及适用的建议或行动计划；确认业务还应说明发现及其重要性、优先级和范围限制。相关整改应明确责任人及计划完成日期。CAE须在发布前复核并批准最终沟通，确定向哪些适当对象发送及如何发送。
应用示例: 权限审计报告明确仅覆盖上半年ERP系统，说明复核缺失的证据、风险、结论及整改负责人和约定日期，并披露未覆盖其他系统。CAE复核批准后，报告发送给适当对象。
常见误区: 不要把报告文字清楚等同于最终沟通已经合格。遗漏范围限制、整改责任或必要的复核批准程序，同样可能使沟通不完整或发布不当。
43. 跟踪行动计划的落实
Part 2 — 内部审计业务
跟踪工作关注管理层行动是否按安排实施，以及措施是否足以应对相关风险。只收到完成声明，不一定足以证明问题已解决；验证程度应考虑风险、措施性质和可取得证据。未完成、效果不足或风险仍高时，应按适当路径沟通和升级。
应用示例: 业务部门称已关闭离职员工账户，内审检查系统记录和相关流程，确认账户停用是否及时且覆盖相关系统。
常见误区: 不要把行动计划标记为“已完成”当作有效性的证明。实施完成与风险得到充分应对是不同判断。
44. 内审战略与组织目标
Part 3 — 内部审计职能
内审战略明确职能如何支持组织目标、回应治理和风险需要，并指引能力建设、服务方式和长期发展。战略不应只是口号，应能转化为计划、资源安排和可评估的结果。组织战略或风险环境变化时，CAE应重新判断内审战略是否仍然相关。
应用示例: 组织加速数字化后，CAE评估现有审计能力和服务重点是否足以覆盖新系统、数据及第三方相关风险。
常见误区: 不要把内审战略等同于年度项目清单。战略关注职能的方向和能力，年度计划则安排具体工作。
45. 审计对象与风险覆盖范围
Part 3 — 内部审计职能
审计对象范围应能反映组织活动、实体、流程、系统和重要风险，使CAE有基础比较风险并规划覆盖。范围需要随组织结构、业务模式和外部环境变化更新。遗漏关键活动会造成计划盲区；对象清单过时，也会使风险排序看似完整但不再代表实际组织。
应用示例: 集团收购新业务后，CAE更新审计对象清单，纳入新实体、关键外包流程及相关系统。
常见误区: 不要把既有项目列表当作完整审计对象范围。未曾审计的领域和新出现的活动同样可能具有重要风险。
46. 基于风险的审计计划
Part 3 — 内部审计职能
风险导向审计计划以组织战略、目标和风险的有记录评估为基础，将资源配置到对目标具有重要影响的领域。CAE应至少每年开展一次该评估，并获取董事会和高级管理层的意见。风险评分是辅助工具，不替代专业判断；计划还应考虑控制情况、重大变化、可用能力及其他确认服务的覆盖，说明项目取舍的依据。
应用示例: CAE记录年度风险评估及董事会、高级管理层的关注事项，比较关键系统迁移与低风险行政流程的影响，优先安排系统审计，并说明暂缓行政流程审计的理由。
常见误区: 不要仅沿用上年度项目清单，也不要机械地按评分从高到低排满计划。必须有可追溯的风险评估依据，但评分不是唯一决策因素。
47. 审计计划的审议与批准
Part 3 — 内部审计职能
CAE应与董事会和高级管理层讨论审计计划及资源需求，并取得董事会对计划的批准。这里的董事会包括按组织治理结构承担相应监督职责的治理机构。讨论应说明覆盖重点、资源限制及其影响，例如哪些高风险领域暂未获得确认服务。高级管理层提供意见或同意计划，不能代替董事会批准。
应用示例: CAE先与高级管理层讨论年度计划，再向审计委员会提交计划、资源需求和高风险覆盖缺口；该委员会依据获授的董事会监督职责审议并批准计划。
常见误区: 不要把“已经向治理机构汇报”或“管理层已经同意”当作计划获批。应核对是否由承担相应董事会职责的机构完成批准。
48. 计划调整与新兴风险
Part 3 — 内部审计职能
审计计划应随风险、业务和资源变化动态更新。CAE应判断调整是否构成重大变更，并说明对原有风险覆盖和资源的影响；重大变更须与董事会和高级管理层讨论，并取得董事会批准。日常排期调整可以依适当授权办理，但不能借排期之名实质取消重要风险覆盖。调整依据和审批过程应可追溯。
应用示例: 关键系统提前上线，需要新增审计并推迟原定的高风险采购审计。CAE说明两项风险及资源取舍，将这一重大计划变更提交董事会批准，而非仅接受业务负责人要求。
常见误区: 不要认为计划获批后不能改变，也不要认为CAE可自行批准所有变更。关键是风险变化、变更的重要性及其对应的批准要求。
49. 能力与资源规划
Part 3 — 内部审计职能
CAE需评估人员数量、时间、技能和其他资源是否足以支持职能职责及计划目标。资源规划应关注风险覆盖质量，而非只比较项目数量。若能力不足，应考虑培训、重新安排优先级、合理取得专业支持，或向治理机构说明限制及其可能影响。
应用示例: 多个项目同时需要网络安全专业知识，CAE评估内部人员时间后，安排有针对性的外部支持并调整项目排期。
常见误区: 不要以完成更多审计项目作为资源充足的唯一证明。若重要领域没有适当技能或测试深度，数量仍可能掩盖覆盖缺口。
50. 技能组合与专业能力
Part 3 — 内部审计职能
内审团队需要与其职责和风险覆盖相匹配的技能组合，可能包括业务、财务、技术、数据或其他专业能力。CAE应识别当前能力差距，并决定通过培养、招聘、协作或外部支持弥补。是否需要专家应根据任务复杂性和团队实际能力判断。
应用示例: 计划评估人工智能模型治理时，CAE盘点团队经验，安排相关培训并邀请合适的技术专家参与关键程序。
常见误区: 不要因为某个团队成员有专业头衔就假定团队在所有项目中都具备所需能力。应核对具体经验与任务要求。
60个核心概念：从职业基础到职能治理 51–60
51. 外部支持与工作质量
Part 3 — 内部审计职能
当团队缺少特定能力或资源时，可取得组织内其他人员或外部专家的支持。CAE应评价支持人员的能力、客观性和任务适配性，明确工作范围、保密要求、成果标准及监督安排。具体专业工作可以委托，但CAE仍承担内审业务适当监督和整体质量责任。专家成果须经评价，才能用于支持内审发现与结论。
应用示例: 内审聘请技术专家检查云环境配置，约定测试目标和证据要求。审计负责人复核其测试范围、方法与例外依据，再将可支持的结果纳入内审结论。
常见误区: 不要认为聘请专家就把审计质量责任转交给了专家。专业资格不能替代对其具体工作及证据是否适用于本次业务的评价。
52. 预算、工具与资源使用
Part 3 — 内部审计职能
CAE应制定支持内审战略和审计计划的预算，并寻求董事会批准；预算应考虑人员、专业发展、技术工具及其他履职需要。批准后，CAE仍应有效管理资源使用，评价工具是否适用、可靠，以及人员能否正确使用。若资源不足影响职责履行，应向董事会和高级管理层说明影响，而不是默默减少必要程序。
应用示例: CAE把数据分析工具、培训和安全存储费用纳入预算，说明与高风险交易测试的关系并寻求董事会批准；购置后安排数据访问控制、方法培训及使用效果评价。
常见误区: 不要把预算获批或购置先进工具当作质量已获保障。实际效果仍取决于数据质量、测试设计、人员能力和适当监督。
53. 与其他确认服务提供方协调
Part 3 — 内部审计职能
CAE应与内部和外部确认服务提供方协调，并考虑是否依赖其工作，以识别覆盖空白、减少不必要重复。协调不等于实际依赖。决定依赖时，应评价对方的职责、独立性与客观性、能力，以及工作方法和成果是否适用于内审目标，并记录依赖依据。即使使用他人工作，CAE仍对内审形成的结论负责。
应用示例: 合规团队已测试客户资料复核控制。内审先核对其目标、人员客观性、样本、期间和证据质量，记录可依赖部分及尚需自行测试的部分，再调整工作安排。
常见误区: 不要把“另一部门已检查”当作取消内审程序的充分理由，也不要因担心责任就拒绝一切协调。是否依赖应基于评价，而非部门名称。
54. 质量保证与改进体系
Part 3 — 内部审计职能
质量保证与改进体系由CAE建立、实施并维护，覆盖内审职能的全部方面，包括内部和外部质量评估。它评价职能是否遵循 Global Internal Audit Standards、是否达成绩效目标，并推动持续改进。CAE应至少每年向董事会和高级管理层沟通内部质量评估结果，外部评估结果则在完成时沟通，并说明相关改进安排。
应用示例: CAE把日常质量监控、周期性内部评估和外部评估纳入整体体系，汇总发现的证据链薄弱问题，向董事会及高级管理层报告，并安排方法改进和效果验证。
常见误区: 不要把质量体系等同于报告格式检查或一次外部评估。它是覆盖职能与业务执行、持续评价并推动改进的完整安排。
55. 持续监控与内部质量评估
Part 3 — 内部审计职能
内部质量评估包括持续监控，以及周期性自我评估或由组织内其他具备充分内审实务知识的人员开展的评估。持续监控嵌入日常工作，例如业务复核和质量指标检查；周期性评估则更系统地评价职能遵循标准及达成绩效目标的情况。发现缺陷后，应形成改进行动并跟踪效果，而不止记录评分。
应用示例: 日常复核发现多个项目对范围限制记录不足；周期性自我评估进一步检查其是否反映方法和培训缺陷。CAE据此更新指引，并通过后续项目检查验证改进效果。
常见误区: 不要认为日常底稿复核可以完全替代周期性评估，也不要认为周期性自我评估可以免除持续监控或外部质量评估要求。
56. 外部质量评估
Part 3 — 内部审计职能
依 Global Internal Audit Standards，外部质量评估至少每五年开展一次，由组织外部合格且独立的评估人员或团队实施；也可采用经独立验证的自我评估方式。评估人员中至少一人须持有有效的 Certified Internal Auditor（CIA）资格。CAE应制定评估方案，董事会审议批准并直接接收完整结果；CAE负责推动相关改进。
应用示例: CAE发现拟聘评估负责人是本组织员工，不能满足外部独立性要求，遂另选符合资格且包含有效CIA持证人的外部团队，并将评估范围、时间和人员安排提交董事会批准。
常见误区: 不要认为任何外部顾问都可担任评估人员，也不要以持续内部复核代替规定的外部评估。通过评估不代表每项审计均无缺陷或未来结果得到保证。
57. 绩效指标与结果评价
Part 3 — 内部审计职能
绩效指标帮助评估内审职能是否及时、有效地履行职责，可涉及计划执行、质量、沟通、利益相关方反馈和改进行动等方面。指标应结合职能目标解释，避免诱导团队追求数量或速度而牺牲质量。定量指标与定性判断相结合，才能更全面地理解成效。
应用示例: CAE不仅报告已完成项目数量，也说明高风险覆盖情况、质量复核结果和重要行动计划的跟踪进展。
常见误区: 不要用完成审计项目的数量直接代表审计价值。数量增加可能伴随覆盖质量下降或重要风险遗漏。
58. 向治理机构沟通资源限制
Part 3 — 内部审计职能
若预算、人员、权限或技能不足可能影响审计范围、计划或质量，CAE应评估影响并通过适当渠道沟通。沟通要具体说明受影响的目标、风险覆盖和可选安排，使治理机构能够理解限制的后果。仅说明“资源不够”而不解释影响，难以支持有效监督或取舍。
应用示例: CAE解释缺少数据审计能力会使某项高风险系统审计无法按原范围执行，并提出培训、支持或重新排序方案供治理机构讨论。
常见误区: 不要为了维持表面上的计划完成率而隐瞒重要限制。隐藏范围缺口会使治理机构误以为关键风险已得到覆盖。
59. 管理层接受风险后的处理
Part 3 — 内部审计职能
当CAE判断管理层接受的风险水平超过组织风险偏好或风险容忍度时，应先与高级管理层讨论；若事项仍未解决，必须向董事会升级。判断应有证据，并说明风险、管理层立场及讨论结果。内审不代替管理层接受风险，CAE也不负责解决该风险；其责任是按规定沟通和升级，而非自行否决经营决定。
应用示例: 业务负责人决定暂不整改重大系统缺陷，CAE依据证据判断剩余风险超出组织容忍度，先与高级管理层讨论；其仍维持原决定且问题未解决时，CAE向董事会升级。
常见误区: 不要把管理层拒绝建议直接等同于超限风险接受，也不要跳过高级管理层讨论便自动提交董事会。触发条件和升级顺序都要明确。
60. CAE的董事会沟通与问责
Part 3 — 内部审计职能
首席审计官（CAE）应保持与董事会的直接沟通渠道，及时报告计划、资源、重要结果及履职限制，并有机会在无高级管理层出席的情况下与董事会单独会谈。CAE须至少每年向董事会确认内审职能的组织独立性；如存在独立性受损事项，应说明有关情况及保障措施。行政报告安排不能过滤或阻断必要的职能沟通。
应用示例: 高级管理层要求暂不报告其施加的审计范围限制。CAE评价其对独立性及风险覆盖的影响，利用与审计委员会的直接沟通渠道说明情况，并在需要时单独会谈。
常见误区: 不要把向管理层提交预算或日常报告视为已履行董事会沟通责任，也不要认为董事会只有在年度计划审批时才需要了解重要问题。
六步学习计划
官方资料与核对说明
内容依据截至2026年10月11日核对的 The IIA 2025 CIA考试大纲、三部分详细大纲及 Global Internal Audit Standards 编写。标准自2025年1月起生效。官方资料：The IIA CIA Exam Syllabus（https://www.theiia.org/en/certifications/cia/exam-prep-resources/exam-syllabus/）；CIA认证页面（https://www.theiia.org/en/certifications/cia/）；Global Internal Audit Standards（https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/）；Part 1、Part 2、Part 3详细大纲分别见 https://www.theiia.org/globalassets/site/certifications/certified-internal-auditor/cia-exam-why-how-and-what-is-changing/cia-part-1-syllabus.pdf、cia-part-2-syllabus.pdf、cia-part-3-syllabus.pdf。大纲与考试安排可能更新，应以 The IIA 最新发布为准。