风险场景
常见的内审抽查是"翻凭证"：随机抽三十张订单，看签字是否齐全，结论是"基本合规"。这种抽查只能证明纸质流程完整，无法发现拆单、价格偏高、关联供应商等实质问题。
另一种偏差是抽样范围被业务部门引导。采购部提前准备了一摞"标准单据"，审计人员照着看，自然什么问题都没有。
抽查真正的价值在于用结构化方法定位高风险样本，再把个案问题归纳为系统性缺陷。东龙在配合客户社会责任与质量审核时，审核员往往不看全部记录，而是顺着一条线索往深处走，这正是抽查应有的思路。
控制目标
- 抽样覆盖高风险领域，而非平均分配。
- 样本具有代表性，不被人为筛选。
- 底稿完整，结论可被复核与追溯。
- 个案问题能转化为制度或系统改进建议。
控制措施
- 先做风险评估再抽样。按金额、品类风险、供应商集中度、历史异常记录给采购项目打分，高分项优先抽取。
- 采用分层抽样。大额项目全查或高比例抽，中额项目随机抽，小额项目按异常特征定向抽，兼顾覆盖与效率。
- 样本由审计人员自行选取。从系统直接导出，不让被审计部门提供清单，避免样本被修饰。
- 设计检查清单。每类样本明确要看的字段：价格依据、供应商准入状态、审批层级、入库记录、付款匹配情况。
- 底稿留痕。记录抽样方法、样本编号、检查结论、证据截图与访谈记录，底稿由另一人复核。
- 从个案到系统。发现的问题要回答三个问题：是个别失误还是普遍现象、控制点为何失效、需要改制度还是改系统。
抽查还要防止"样本疲劳"。同一类单据连续三年抽查，问题早已查清，继续投入意义不大；相反，新品类、新供应商、新系统往往从未被检查过，风险反而更高。建议每年更新抽查地图，用风险评分决定资源投向，把至少三成样本留给过去十二个月未覆盖的领域。东龙拉链在接受外部审核时体会到，审核员的高效来自"顺着线索走"，而不是平均用力，内审完全可以借鉴这种思路。
底稿质量决定抽查结论的可信度。每份底稿应包含样本来源、选取理由、检查项目、原始证据与判断依据，缺一不可。若底稿只写"已检查，无异常"，一旦被质疑就无法自证。抽查报告的建议部分要具体到可执行的动作，例如"将审批门槛改为季度累计计算"，而不是笼统的"加强审批管理"。内审的价值不在于找出多少问题，而在于让问题不再重复发生。
检查方法
| 抽查维度 | 建议比例 | 重点内容 |
|---|---|---|
| 大额采购 | 全查或百分之五十以上 | 比价记录、定标理由 |
| 新供应商首单 | 全查 | 准入资料、试用结果 |
| 价格调整 | 全查 | 调价依据、审批层级 |
| 小额高频 | 定向抽 | 是否存在拆单 |
| 预付款 | 全查 | 核销进度、额度审批 |
抽查结束后应输出三张表：问题清单、控制缺陷清单、整改建议清单，并明确责任人与完成时限。
案例与警示
某企业内审在抽查预付款时发现，一家供应商连续四笔预付款均未按期核销，金额逐笔增大。顺着这条线索追查，发现该供应商实际上是采购经理亲属控制，预付款被用于周转而非生产。如果内审只做随机凭证抽查，这个问题很可能被淹没在"流程完整"的结论里。抽查的功夫，一半在选样。
最后提醒一点：抽查的目的不是证明别人做错了什么，而是确认那些本该起作用的控制是否真的在起作用。每次抽查结束后，把样本背后的流程从头到尾走一遍，比多抽十张单据更有价值。
本文用于内控意识培训，不构成法律或审计意见。