专栏名称: 审计实践

实践是检验真理的唯一标准。在实践中总结经验，在经验中提炼技术，在技术中探索方法，在方法中归纳思想。欢迎大家投稿、留言或转发，一起分享审计实践中的经验、技术、方法和思想。交流与合作能够创造和提升审计价值。审计世界，有你更精彩！

错误模式审计，让错误成为组织的战略资产

审计实践 · 公众号 · · 2025-02-21 06:00

正文

请到「今天看啥」查看全文

前言

我认为，审计的使命是“护航组织，点亮未来”。在护航的过程中，帮助组织少犯错误、避免犯致命的错误，是审计面临的一大课题，也是审计价值创造的一大方向。

在审计工作中我们时常发现很多错误屡查屡犯，整改很难彻底，有些即使做了问责处罚，仍然会出现。好像原上草一样，春风吹又生。我曾深入去思考该问题，我们在整改工作中也坚持三条标准，即“行为纠正到位，风险控制到位，责任追究到位”，客观讲在整改中能做到这三点已属不易。但观察发现，即使做到这三点，也未必能保证错误不会出现。为什么呢？因为我们在管理中所依赖的内部控制、风险管理、合规管理等，在实际操作中往往更重视的是制度流程等务实的方面，忽视了组织环境中文化、理念、价值观等务虚的方面，而文化、理念、价值观等则是员工行为背后那只“看不见的手”，是冰山下的根基。如果这些出了问题，制度流程则会自动跑偏，无法有效约束人的行为，从而导致错误会不断重现。要解决该问题，我们有必要开展错误模式审计。

一、什么是错误模式审计

1. 错误模式审计的定义

我认为，错误模式审计是通过识别、分析和评价组织中的错误模式，提升组织对错误的认知，帮助预测和应对重大风险，规范员工行为，并改善组织的风险管理、控制及治理过程的效果，从而助力组织实现其目标的一种确认和咨询活动。

2. 错误模式审计的重点

错误模式审计不是传统的合规性审计，也不是一般意义上管理审计，而是对组织管理控制系统的一种诊断，审计重点关注以下三点：

一是错误复现率，即同一问题在不同部门或不同周期出现的频率。

二是错误进化轨迹，即从低级操作错误到流程流动，再到出现系统性风险的演进过程。

三是错误沉没成本，即未暴露的隐性错误持续消耗资源的成本。

3. 错误模式审计的价值

错误模式审计的价值主要体现在以下三个方面：

一是控制优化，通过对错误数据的识别、分析和评价，挖掘错误的模式，进而将错误数据转化为内部控制、风险管理、合规管理的改进。

二是风险前移，通过对错误模式的揭示，形成错误模式地图，构建错误模式预测模型，预测组织未来可能爆发的风险，提前做好预防和化解。

三是文化重塑，通过错误模式审计，帮助组织树立“错误是改进的契机，是组织的战略资产”的认知，重塑组织的文化、理念、价值观，让影响员工行为的“看不见的手”显性化、规范化。

二、怎样开展错误模式审计

开展错误模式审计，主要包括错误数据获取、错误模式分析、行动与改进三部分。但在错误数据获取之前，首先要定义错误。

1. 定义错误

在审计工作中，我们习惯于谈问题与风险，很少谈错误。错误与问题是有区别的。

错误通常指的是具体的、可识别的不准确或不正确的操作、行为或结果。它可以是单一事件，也可以是一系列相关事件的结果。

问题则是比错误更广泛的概念，它指任何阻碍目标达成、需要解决的情况或障碍。问题可以包含多个错误，也可能是由于系统性原因或流程设计缺陷造成的复杂状况。

在错误模式审计中，我们将错误定义为：偏离预期标准的行为或结果，且该偏离未被现有控制体系及时识别或修正，导致组织价值损耗。

这里错误需满足三个要件：

一是可观测性：存在客观证据（如单据错误、系统日志异常）

二是可归因性：能追溯到具体流程节点或决策环节

三是可度量性：可计算直接损失或机会成本

2. 错误数据获取

审计的数字化转型为错误模式审计提供了条件，审计可以整合组织多源的数据，进而构建数据识别和获取的模型。

比如：财务数据中的异常付款、预算偏差，流程日志中的超时审批、系统跳步，内部员工社区中的员工吐槽、错误上报，外部对标中同行监管处罚案例，等等。

在获取错误数据后，我们可以从错误发生频率、损失程度、纠错成本三个维度构建错误模式审计的样本。

3. 错误模式分析&行动与改进

在错误模式分析中，我们可以采用以下两种方法：

方法1：FMEA（Failure mode and effects analysis,故障模式与影响分析）

FMEA最早是由美国国家宇航局(NASA)形成的一套分析模式，是一种实用的解决问题的方法。

我们可以构建一个风险优先数（RPN）公式：

RPN= S×D×O

其中：

严重度（S）：错误导致的财务/声誉损失等级

可探测度（D）：现有控制措施发现错误的概率

发生度（O）：错误重复出现的频率

在错误模式审计中，我们可聚焦RPN较高的错误。

示例：

在某汽车零部件企业在年度审计中发现，供应商预付款异常问题频发，我们用FMEA方法评估风险优先级。

步骤1： 定义评分标准（1-10分制）

步骤2： 识别错误模式与评分

审计发现企业存在以下三种典型错误模式：

步骤3： 风险排序与行动优先级

审计对上述三种错误模式的风险优先数进行排序，显而易见模式A需要立即整改。如果在ERP系统增加「预付款-生产进度」强制关联校验，设置智能预警（进度延迟≥5天自动冻结后续付款），改进后进行重新评分：

S=8（严重度不变）

D=1（自动化拦截）

O=2（系统硬控制后发生率下降）

则新的RPN=8×1×2=16，比之前的RPN下降96%。

但需要说明的是，在上述方法的使用中，我们不能机械地套用公式，而需要结合企业风险偏好设定和调整评分标准（比如保守型企业可将S=10的标准设为损失超1%净利润），进行动态管理（比如模式B在建立人脸识别验证后，D分值应从10分降至3分），并通过历史数据反推合理阈值（比如案例企业RPN>150的才需立即处理）。同时，还需要综合管理判断（比如模式B虽然RPN=200，但因单次损失极大，实际优先级应高于模式C）。

方法2：错误基因解码

使用「5Why+3C」组合分析法，其中5Why是从技术、流程、文化、组织、战略等五个维度对错误原因进行分析，3C则是指关联三类缺陷，具体包括Control（控制缺陷，如缺乏系统硬控制）、Culture（文化诱因，如对操作失误过度宽容）、Capacity（能力短板，财务人员数据分析能力不足）。

示例：

表层错误：采购订单重复付款

初始损失：造成42万元重复支付，供应商拖延退款3个月

► Why1：系统未拦截重复提交

（技术原因）

► Why2：财务人员未发现异常

（流程原因）

► Why3：未追究历史同类错误

（文化原因）

► Why4：未建立跨部门改进机制

（组织原因）

► Why5：管理层未将风控纳入绩效考核

（战略原因）

将5Why与3C对应如下：

针对5Why和3C分析，建立改进矩阵：

通过上述完整的5Why+3C分析框架，我们不仅能解释问题成因，更是通过结构化的归因制定可落地、可验证的解决方案。

三、思考与建议

在错误模式审计过程中，我们可以根据历史错误建立错误模式档案库，基于数字化和AI开发风险预测模型，更敏捷地制定审计计划、开展审计项目、促进企业行动和改进。同时，我们还可以从组织、文化、技术上建立长效机制，比如在组织保障方面，设立「错误分析官」岗位，建立跨部门错误数据共享机制；在文化配套方面，设立「最佳错误贡献奖」，奖励发现重大系统性漏洞的员工，管理层定期公开复盘和分享自身决策失误案例；在技术赋能方面，开发错误模式审计插件，与ERP/CRM等系统深度集成，应用NLP技术自动解析审计底稿中的潜在模式，等等。

错误模式审计的本质是将组织错误转化为战略资产。在实施过程中，我们要注意与企业的内部控制、风险管理、合规管理体系做好融合，实现相互支持、相互协同，1+1+1>3的效果。