内审必看系列 | 法庭拒收Excel,80页报告秒变废纸!

重要声明：

1.本文案例依据真实案例改编，如有雷同，纯属巧合。

2.本文内容仅为内审实务交流，不构成对外部组织的审计工作评价，亦不构成任何投资建议。

3.文中方法基于行业最佳实践整合提炼，仅供大家交流参考。

01 开头的故事

有个内审总监。他花了三个月，调了几十G数据，访谈了十几个人，熬了不知道多少个夜班，整出一份80页的报告，指控采购经理拿了30万回扣。

结果呢？经侦翻了十分钟，把报告退回来了。

就一句话：“你这些Excel谁做的？能当证据？”

三个月白干，几十G白调，十几份访谈白做。

为啥？Excel是自己做的，没有原始数据来源证明；工商信息只能证明注册地址重合，证明不了控制关系；没有银行流水；访谈笔录没录音录像，对方随时翻供。

说实话，这事儿搁谁身上谁不崩溃？咱们内审人最怕的不是查不出问题，是咱查出来了，咱的证据拿不上台面。

今天咱就聊聊三个坑（相信很多人踩过）。咱们一起长长记性。

02 第一个坑：电子数据——咱以为的“铁证”，可能只是“废纸”

某司审计部接到举报，说仓储主管王某通过改库存系统数据虚报损耗，把货弄出去卖了。

审计人员思路很清晰：登录系统，把王某一年多的操作记录导成Excel，各种分析、各种比对，一份漂亮的“证据链”就出来了。

结果呢？王某死不承认：“系统数据谁都能改，你们导的时候有没有动过手脚谁知道？”

法务看了一眼就摇头——原始数据从哪来的？导出的时候做镜像备份了吗？算哈希值了吗？都没有啊？那这东西上不了台面。

最后王某只是调了个岗，啥实质性的追责都没落着。

是不是也觉得这个场景很熟悉？咱们有多少人就是这么干的——进系统、导Excel、做分析、交报告。

其实，问题不在分析，在于咱拿到的那个Excel，在法律上没法证明它“没被人动过” 。

根据“两高一部”的相关规定，对作为证据使用的电子数据，应当采取“计算电子数据完整性校验值”“制作、封存电子数据备份”等方法保护电子数据的完整性。

哈希值就是这个“完整性校验值”——咱可以理解成数据的“数字指纹”，任何一丁点改动都会让哈希值彻底改变。

那应该咋弄？记住三个动作：

√ 第一，保护。发现线索第一时间把原始数据锁住，别再让人碰。

√ 第二，克隆。别复制粘贴，用专业工具做个“位对位”的完整镜像——相当于给硬盘拍张X光片，连删掉的文件都给你拷出来。

√ 第三，验证。算一下原始数据和镜像的哈希值，一模一样才能证明没被改过。

预算不够买专业软件？也没问题。导出系统数据的时候，让IT从后台直接导、当场封存原始日志，审计全程在场见证录像。

导出来之后马上算个MD5值记下来，这玩意儿免费工具就能干。

最后提醒一句：电子数据取证最好由专业技术人员操作。咱们内审人懂业务逻辑，但技术活儿该交给专业的人干就别自己硬上。

03 第二个坑：访谈——咱一个人去，等于白去

某企业审计部发现采购专员李某跟供应商可能有猫腻。审计员小陈一个人跑去约谈了李某。

聊了两个小时，李某口头承认“收过几次红包”。小陈做了笔记，让李某“看了一眼”就结束了谈话。

后来公司要处分李某，李某不服，闹到仲裁庭上翻供了：“我没说过收红包，那是审计自己写的，我没签过字。”

公司败诉，赔了12万。

12万啊兄弟们，够咱们加多少年班了？

小陈气炸了：“他明明亲口承认的！”，可是但可是，有啥用呢？

但法律不看“明明”，看证据。内部审计准则将口头证据列为审计证据的一种，但同时也明确了——审计证据应当具备相关性、可靠性和充分性。

口头证据是证明力最弱的一类，没签字确认？那就是一张草稿纸。

那咋弄？四个必须：

√ 必须两人在场。一个问一个记，互相印证。别一个人去。

√ 必须全程记录。最好录音录像，但得提前告知对方并征得同意。

√ 必须签字确认。访谈完当天整理笔录，让对方逐页签字。不签？注明原因和日期。

√ 必须提前告知。开始就说清楚这次谈话是什么性质、什么目的。

另外提醒一句，别在笔录里写什么“对方神色慌张、眼神闪烁”——那是咱的主观判断，法律上叫废话。写事实：“对方语速突然加快”，这就行了。

04 第三个坑：定位——别把咱自己个儿当JC，咱不是

某集团公司审计部发现子公司财务经理赵某可能虚列费用套钱。审计团队“干劲十足”——半夜潜入赵某办公室，翻电脑、翻文件柜，找到了“关键证据”。

结果赵某反手一个报警——非法侵入、侵犯隐私。审计部被管理层狠批了一顿，总监差点被撸。

咱说这图啥？

咱们得认清一个事儿：内审没有搜查权，没有留置权。咱们不是JC。取不到司法意义上的铁证，太正常了。

咱内部审计工作规定明确，内部审计是“独立、客观的监督、评价和建议”。

内部审计准则说得很清楚，审计证据要具备相关性、可靠性和充分性——注意，是“可靠性”不是“铁证性”。

咱内审的核心价值是识别风险、推动整改、完善机制——不是抓人，不是定罪。

那咋定位自己？

√ 证据不求“铁”，求“合规可用” 。异常的资金流向、不合规的审批记录、矛盾的陈述——这些就够了。但每份证据都得有原始来源，复印件注明出处。

√ 超出权限的及时移交。发现重大线索，该请法务请法务，该报警报警。别自己硬上。

√ 聚焦内控和线索。查流程漏洞、查数据异常、核实线索——这些是咱们的活。偷拍、窃听这些事，千万别碰。

05 咱得长记性

说回开头的80页报告被退，不是查得不深，是取证不合规。

三个教训，咱记牢了：

√ 电子数据取证——别只导Excel，要做镜像、算哈希值、记录采集过程。

√ 访谈取证——别一个人去，要两人在场、要签字确认。

√ 角色定位——别当JC，咱的价值是识别风险、推动整改。

证据不合规，补不回损失，还会把自己送上被告席。

顺便说一句，咱工作中积累的专业能力——对内是工作，对外就是产品。