在軟件供應鏈基礎管理審計中開展研究型審計的實踐探索

[摘要]深入開展研究型審計是實現審計事業高質量發展的必由之路。本文詳細闡述了研究型審計在審前、審中和審后三個階段具體做法，包括聚焦核心風險，優化審計方法，深入業務本質，挖掘共性成因，提出針對性審計建議等關鍵環節；并結合軟件供應鏈基礎管理審計的實踐案例，剖析了研究型審計如何有效促進企業的高質量發展，并從中提煉出可供借鑒的經驗和啟示，旨在為內部審計工作提供有益參考。

[關鍵詞]研究型審計" "軟件供應鏈" "審計實踐

一、研究型審計研究方向及主要內容

2023年5月，習近平總書記在二十屆中央審計委員會第一次會議中指出：“堅持依法審計，做實研究型審計，發揚斗爭精神，增強斗爭本領，打造經濟監督的‘特種部隊’，把問題查準、查深、查透”。這一指示強調了研究型審計在提升審計質量、深化審計監督中的關鍵作用，要求審計人員在實踐中不斷探索和創新，以適應新時代審計工作的需要。

研究型審計注重全局、科學、系統地謀劃，研究剖析問題表象，深入挖掘問題的本質成因，能夠切實推動問題解決，提出建設性意見。研究型審計的總要求是堅持系統觀念，運用研究思維，以問題為導向，對審計對象、審計環境及審計項目全過程進行系統的調查研究，推動審計工作進一步提高政治站位，明確政策方向，增強審計監督針對性，提高審計質量效率和水平，更好發揮審計監督作用。

（一）審前階段，圍繞制訂科學的審計方案開展研究

1.研究相關政策，把握審計核心立意。主要涉及審計領域與審計對象的相關宏觀政策法規探討、國家及行業標準分析，以及企業戰略研究三個部分。一是通過深入剖析審計領域與對象的相關宏觀政策法規、規劃、上級監管要求，能夠精確識別當前宏觀政策與監管的普遍問題及發展趨勢，為后續審計工作提供指導。審計人員應全方位搜集并整理與國家宏觀政策、法規、規劃及上級監管要求相關的信息，深入學習國家層面的政策要求。同時，深入研究宏觀政策、改革方向及法律法規，把握重大決策部署的出臺背景、戰略意圖、改革目標等根本性和方向性問題，緊跟審計領域政策理論及前沿研究動態，不斷提升審計工作的政治性和前瞻性。此外，還應結合上級監管要求、發展趨勢和動態，深入思考背后的政策背景、戰略考慮和實踐要求，評估和分析當前宏觀政策、監管要求與公司發展戰略的關聯程度。圍繞審計領域和審計對象的業務特征，識別現階段的政策和監管重點，為開展研究型審計奠定堅實基礎。二是研究并參照審計領域和審計對象的相關國家、行業標準，吸收優秀實踐經驗，揭示潛在不足。三是深入研究企業戰略的出臺背景、目標和關鍵領域，精準定位業務管理需要重點關注的領域，及時開展審計監督。審計人員應獲取被審計單位的相關發展戰略規劃，緊密圍繞公司轉型升級和改革創新的重點領域，關注公司發展的熱點、堵點。

2.深度分析經典案例，歸納識別核心風險。主要針對審計領域及審計對象的關鍵風險問題與重點案例線索展開研究，包括對歷年項目回顧研究以及典型案例研究的深入探討。一方面，通過回顧過往同類審計項目，歸納總結審計發現的普遍性問題，從服務發展大局和提高治理水平的視角，分析審計領域和對象的業務管理持續存在的風險隱患和整改情況，挖掘相關問題線索。另一方面，通過行業和內部的典型案例分析，聚焦主要風險，從微觀視角全面剖析風險敞口和風險鏈條。

3.逐級比對管理制度，嚴格把關落實情況。通過系統化梳理審計領域和審計對象的相關管理制度，明確管理要求。首先，全面收集集團下發、省（分）公司發布的與審計領域和對象相關的制度，明確集團制度要求，梳理省公司制度，形成審計制度庫。其次，將相關制度與國家政策、標準要求相對照，發掘審計領域中的制度性漏洞。再次，對比分析省（分）公司制度與集團公司制度，梳理省（分）公司未按照集團要求制定或細化相關制度要求的情況，挖掘管理制度方面的不足。最后，為避免陷入圍繞制度而談制度的問題，需結合宏觀層面研究狀況、審計領域業務實際管理現狀和未來趨勢，分析制度制定是否符合實際情況，并具備引導業務高質量合規發展的特點。

4.全面摸排工作現狀，促進審計數字化轉型。重點結合業務特征研究審計領域和審計對象的發展現狀和未來趨勢。首先，審計人員應梳理審計領域和對象的管理流程，確定關鍵管理環節和主要責任人。其次，研究被審計單位的風險管控措施，優先梳理被審計單位針對固有風險所采取的風險管控措施，評價其設計有效性和執行有效性。最后，通過識別固有風險和已控制風險，總結剩余風險敞口，即未被管理或未被有效控制的風險，作為后續審計的關注重點。此外，現狀摸排研究應注重方法論，深化數據采集和分析管理，積極實踐數字化審計方式，全面調查梳理審計對象，多途徑多方式開展審前數據采集，促進審計工作從現場審計為主向后臺數據分析和現場審計并重轉變。

5.聚焦核心風險，制訂審計實施方案。在制訂審計實施方案的過程中，一要找準政策錨點，聚焦核心風險。以聚焦核心風險為出發點，確保每一項工作都緊密圍繞審計目標展開。具體而言，需要根據前述研究，聚焦政策、戰略本身及其落地過程中的重點、熱點、難點，錨定更加典型、更具有針對性、更亟待解決的問題方向，這樣才能確保審計實施方案的目標明確、重點突出，從而更好地指導后續審計工作的開展。二要立足實際情況，科學制訂方案。通過綜合研究，結合明確的審計目標和重點，科學制訂審計實施方案。方案內容應當包括但不限于審計目標、范圍、重點、方法步驟、組織方式、審計框架、資料需求明細等。這些內容的制訂需要充分考慮被審計單位或項目的實際情況，確保方案的可行性和有效性。同時，還需要在方案制訂過程中充分考慮各種可能出現的情況和風險點，并制訂相應的應對措施，以確保審計工作的順利進行。

（二）審中階段，聚焦提高審計質效開展研究

1.創優方式方法，確保查深查透，力求“提質增效”。

優化審計方法，開展數智審計。審中階段應當注意選取適當的審計程序和方法，選擇相對有效、便捷和經濟的路徑。根據審計項目類型特點，可以搭建相關的審計模型進行數據分析，及時討論審計模型的應用范圍和適用性。同時結合項目實際，積極應用提升審計效率和質量的技術、工具和方法，研究適配“現場+遠程+云化”要求的集中數智審計模式。

深入業務本質，上下結合審查。應當圍繞審計目標、審計事實，反復審視取證資料，聚焦重大風險，充分了解被審計單位的發展狀況、內部控制及其執行情況，準確定位問題根源和責任人，分析研判主要特征、突出問題、重大風險，針對具體事項和問題，要做到證據完備、事實清楚、定性準確、建議可行。首先，“以上看下”找差距，從政策、戰略和制度落地的關鍵點看執行中存在的差距和原因。其次，“以下看上”找困難，對下級難以執行的困難之處，從上級設計層面找問題根源，推動重大決策部署順暢執行。最后，縱向總結，橫向貫通，對查出問題進行綜合研判，既要縱向歸納提煉具有苗頭性、傾向性、普遍性的問題以及典型個案、局部問題，也要橫向貫通分析各業務管理部門的問題，打通橫向問題堵點。

把控審計質量，提高審計效率。“提質增效”是研究型審計的重要目標之一。在提質方面，研究型審計注重提升審計工作的專業性和精準性，通過深入分析審計對象的業務特點、風險點以及潛在問題，制訂出更具針對性的審計計劃和方案，從而提高審計工作的質量和效果。在增效方面，研究型審計通過優化審計流程、提高審計效率、減少審計資源浪費等方式，實現審計工作的快速高效推進，進一步提升審計工作的整體效益。

2.積極溝通反饋，挖掘共性成因。

加強溝通交流，多方獲取信息。為了更全面地發現問題，審計人員應當積極主動與被審計單位相關人員溝通，從而能夠廣泛聽取各方面意見，深入了解問題產生的深層次原因，尤其要對被審計單位的反饋意見認真研究，站在不同角度審視這些問題和結論，必要時還應當征求監管部門等外部專家意見。

逐層解構問題，把握共性成因。為了更精準地揭示問題、更高效地解決問題，審計人員應當由表及里更深入地剖析原因，從而推動問題標本兼治。審計人員應當透過現象看本質，通過成因層層解構，明確問題產生的原因、過程。問題的成因主要有直接原因、深層原因、根本原因三個層次。直接原因通常指的是導致事件發生的近期的、直接的誘導性因素，是時間關系或邏輯關系上最為接近的因素，直接原因往往與制度設計和流程、機制原因等制度因素相關；深層原因指與事物有關的多種原因中起決定性作用的原因，是直接原因的進一步深化和具體化，深層原因可能涉及能力建設等各個方面，它們對事件的發展起到了更為關鍵的作用；根本原因則是導致事物發生變化的根源或者最本質的原因，通常隱藏在深層原因之后。根本原因常常涉及更為宏觀、更為長遠的因素，如風險合規意識、企業文化建設等。通過問題成因分析，審計人員可以更完整地掌握被審計單位的體制性障礙、機制性缺陷、制度性漏洞、管理性松軟、執行性偏差等情況。

（三）審后階段，以高質量審計成果為核心開展研究

1.嚴把審計報告質量關，促進項目整改提升。

全面總結成果，提升報告質量。研究型審計報告不僅要關注企業的合規性，還應注重企業的內部運營、風險管理、績效評估和戰略規劃等方面。從總體上研究分析審計發現問題的規律、趨勢、特征以及重要性程度，為被審計單位精準畫像。研究型審計報告應當系統梳理問題，多角度、多層次的歸納、提煉審計發現問題，分清問題的主次，揭示問題的本質，力求視角全面、重點突出、分析有力，對審計事項作出全面、恰如其分的反映。

做好審后管理，督促部門整改。重視審后階段問題整改也是研究型審計與傳統審計的主要區別之一，研究型審計把審計整改作為研究的關鍵點，推進審計整改，促進審計質效提升。一是要明確整改要求，加強審計成果的橫向、縱向總結提煉，預先研究整改效果，提出具體整改意見，明確審計整改措施、標準和整改要求，關注整改的有效性、長效性。二是在督促整改提升過程中，將相關問題納入被審計單位審計成果庫，實行動態管理機制，確保問題整改到位，審計成果落到實處。

2.提出針對性審計建議，沉淀審計成果。

提出審計建議，聚焦重點問題。發現問題、分析原因都是為了更好地解決問題，研究型審計要求結合問題成因分析情況，在摸準問題情況和吃透政策的基礎上，提出有針對性的對策建議，形成長效機制。一方面針對普遍共性問題，可從治理層面提出體系化的管理提升建議為戰略決策提供依據，發揮審計的建設性作用；另一方面針對典型個性問題，可從執行層面提出落地性的整改舉措建議，聚焦公司重點領域和問題，做好問題分類處置，針對問題性質提出分類移送意見。

沉淀審計成果，總結審計方法。審后階段審計人員還應當注重審計成果的沉淀與轉化。首先，應當注重項目積淀，積累項目政策法規、行業標準、制度規范等審計文檔庫，持續積累在多項目中運用。其次，從審計背景、審計線索、解決辦法等方面認真回顧梳理，對審計過程中的方法思路、信息化審計技巧、疑難問題突破等方面進行歸納。最后，總結提煉優秀成果、審計方式方法、審計技術、工具等，在實踐中不斷固化和優化，持續加以運用，做到“一審多果”“一果多用”。

二、研究型審計下開展軟件供應鏈基礎管理審計的實踐

習近平總書記在黨的二十大報告中強調，推進國家安全體系和能力現代化，堅決維護國家安全和社會穩定。軟件供應鏈安全是國家安全的重要組成部分，也是推動企業高質量發展的重要基礎，因此備受國家和行業的關注。

中國移動內審部始終站在黨和國家工作支持者的立場上，在集團全部單位開展軟件供應鏈基礎管理審計，檢查已有軟件供應鏈相關管理領域的各項要求執行情況，以提高中國移動網絡與信息安全整體水平，為公司健康發展筑牢根基。云南移動內審部和中國信息通信研究院的專家組成審計組，結合研究型審計方法，貫徹研究型審計思維，開展軟件供應鏈基礎管理審計，總結出一套貫徹審前、審中、審后切實可行的研究型審計實踐方法。

（一）審前階段，開展“4+1”審前研究工作，細化拓展審計框架

結合供應鏈管理實踐，研究宏觀政策與公司發展戰略。為全面落實上級監管部門要求，服務公司轉型升級大局，在宏觀上把握審計對象及領域的共性、趨勢性問題。審計組的審前第一項研究工作是對國內外的政策、標準，以及公司上層戰略規劃等開展研究。工信部《“十四五”軟件和信息技術服務業發展規劃》提出，軟件是新一代信息技術的靈魂，是數字經濟發展的基礎，是制造強國、網絡強國、數字中國建設的關鍵支撐。軟件拓展數字化發展新空間，新發展格局賦予產業新使命，軟件定義賦能實體經濟新變革，開源重塑軟件發展新生態。此外，對國內外政策和標準研究發現當前軟件供應鏈主要聚焦在安全及合規兩個方面，安全方面主要包括對供應鏈安全審查、軟件供應鏈攻擊、代碼安全、軟件物料清單SBOM、開源安全、軟件供應商安全能力等；合規方面主要集中在軟件知識產權、開源知識產權和法律合規、開源出口管制等。審前開展政策理論研究為識別審計重點提供了方向性指引，準確定位審計重點，服務公司發展大局，助力高質量發展。

分析供應鏈安全案例，識別安全風險敞口。除了研究宏觀政策與發展戰略，審前工作還需要開展軟件供應鏈典型案例剖析，從微觀視角分析審計對象及領域的具體風險敞口，進一步細化軟件開發、交付、使用過程的各環節，深入分析軟件供應鏈安全風險敞口。審計組針對30余起典型軟件供應鏈攻擊事件進行剖析，發現過往安全事件主要集中在研發工具及環境管理、軟件代碼管理、開源軟件管理以及軟件供應商管理領域，因此將以上4個易受攻擊的風險敞口作為本次審計關注的重點。審前通過開展軟件供應鏈典型案例剖析，深入了解被審計單位，識別審計重點領域，聚焦核心風險。

梳理主要制度，加強頂層設計。為全面了解被審計單位的制度要求，審計組全面梳理公司主要制度，自上而下進行集團省內制度對比，通過對比國家政策及標準要求，梳理共90余個制度文件，發現軟件供應鏈制度體系頂層設計待加強，軟件供應鏈關聯制度眾多且較為分散，核心風險領域制度有待完善。

了解供應鏈現狀，防范重要風險。為充分了解被審計單位的發展現狀、內部控制及其執行情況，分析研判主要特征、突出問題、重大風險，需自下而上開展供應鏈現狀摸排，包括系統摸排、供應商摸排與剩余風險摸排。系統摸排通過全面梳理信息系統地圖、認證系統、備案系統等平臺，整理補充云南移動軟件系統清單，通過多渠道交叉驗證的方式提升了系統梳理的準確性和質量，并且合理確定系統抽樣原則。由于云南移動的軟件供應鏈主要由供應商負責搭建，因此在審前階段對軟件供應商開展摸排，識別分析系統開發運維服務等情況，為審中對供應商進行訪談及檢查做好前置分析。最后，通過對省內軟件類項目從立項到下線整個生命周期的管理流程進行梳理，識別出剩余風險敞口較大的環節予以重點關注。

通過審前分析研究，審計組識別聚焦軟件供應鏈核心風險，結合省內安全管理實際情況，編制和完善新的審計框架。依照拓展后的審計框架，聚焦核心領域，對公司軟件供應鏈基礎管理現狀開展審計核查。該審計框架一方面充分考慮到組織機構的完整性、制度的健全性與軟件正版化、備案、軟件資產的梳理，另一方面考慮到了戰略和管理的前瞻性，提出軟件供應鏈四大核心管理領域：軟件供應商管理、軟件研發工具及環境管理、開源軟件管理和軟件代碼管理，以確保審計框架發揮應有的效力。

（二）審中階段，聚焦軟件供應鏈核心領域管理，挖掘共性成因

檢查機制有效性，保證制度合規性。審中階段在集團公司的審計框架基礎上，全面采用研究型審計方法，審查公司軟件供應鏈的基礎管理情況，深入了解公司的軟件規模與管理現狀，檢查公司在軟件采購、開發、交付、上線、運維等環節相關管理機制的健全性、執行有效性，以及國家和公司在網絡信息安全方面的要求的貫徹情況。

發掘管理堵點，分層探求原因。依照拓展后的審計框架，審計組聚焦核心領域，對公司軟件供應鏈基礎管理現狀開展審計核查，揭示公司在軟件供應商管理、軟件研發工具及其環境管理、開源軟件管理、軟件代碼管理、軟件安全運營管理、組織管理及機制建設等領域存在的提升改進點。在深入研究問題成因方面，通過系統地分析和梳理，逐步深入挖掘問題的直接原因、深層原因、根本原因，揭示問題現象背后公司對于軟件供應鏈基礎管理的重要性及潛在風險存在認識不足的情況。例如，審計組發現公司需要加強供應商服務連續性管理，目前公司對具有機構集中度、外資介入、缺少信息安全管理認證特點的供應商的持續監控仍有待加強。造成這一問題的直接原因為相關部門對供應商的管控程序和要求有待完善。而該問題的深層原因為公司對軟件開發服務供應商的管理策略尚需細化。造成這一問題的根本原因為公司需進一步加強軟件供應鏈風險的宣傳和關注。

（三）審后階段，歸集痛點和需求，提出軟件供應鏈針對性建議，沉淀審計成果

歸集痛點需求，明確改進方向。在軟件供應鏈管理方面，存在一系列痛點和需求，需要著重關注和解決。首先，軟件供應鏈管理要求存在優化的空間，需要建立更清晰的管理制度和流程。其次，開發優化需求量大，上線前的測試和評估工作需要更加注重質量控制。再次，軟件供應鏈中的風險管理依賴上線后的安全管控。此外，需要更完善的供應商管理機制。最后，軟件資產統一管理和定期梳理有待加強。整體看來，解決這些痛點和需求對于改進軟件供應鏈管理的有效性和安全性至關重要，有助于提升公司的整體效率和穩定性。

提出改進建議，總結實踐方法。審計的目的不僅在于識別和揭示問題，更重要的是通過深入分析問題的本質，提出行之有效的改進建議，從而促使公司提高管理水平。在審后階段，審計組秉承研究型審計方法，提出切實可行的改進建議，如，加強軟件供應鏈組織及制度頂層設計，實施軟件供應商管理分類分級管理，提升軟件代碼安全管理等，推動審計問題整改，確保問題得到全面解決。審計組注重審計成果沉淀并深化運用，著重在以下方面開展工作：一是注重審計項目成果沉淀，形成了“軟件供應鏈審計制度庫、軟件供應鏈典型案例庫、軟件供應商信息庫”等審計成果；二是促進研究型審計成果轉化，將研究型審計實踐經驗進行提煉總結，固化形成研究型審計操作指引，進一步為其他審計項目賦能，切實運用研究型審計理念指導審計質量、效率和水平提升。

三、研究型審計在實踐案例中的成效與啟示

軟件供應鏈基礎管理審計項目是云南移動內部審計在實踐中深入做實研究型審計的初步探索，取得了顯著的成效，證明了研究型審計理念對于實現審計高質量發展具有重要指導意義，通過實踐案例獲得以下幾點啟示。

（一）始終秉持并貫徹研究型審計理念

研究型審計理念強調以嚴謹的研究態度進行審計，通過持續地探索和創新，不斷提升審計工作的質量和效率。審計人員不斷追蹤最新的審計理論和研究成果，以實時更新審計方法和技巧，這一過程不僅是研究型審計工作的重要環節，也是審計人員專業素質不斷提升的體現。研究型審計理念通過更深入的剖析、更廣泛的數據應用以及更綜合的方法，不僅提升了審計人員的專業勝任能力，還為企業提供了更為全面和深刻的審計建議，有助于企業更好地管控風險、優化運營和實現可持續發展。

（二）倡導最佳實踐，積極落實審計成果

審計成果的落地應用能夠助力組織參照行業標準與規范，提升治理及運營能力，將審計成果有效落實是實現最佳實踐的核心環節。審計人員既要提供精準的審計報告與建議，還需與被審計單位保持積極溝通，制定更有針對性的改進措施并推動實施。倡導并踐行最佳實踐，致力于將審計成果融入實際工作，這包括推動組織內部積極采納審計建議，構建高效改進機制，注重將審計項目成果以制度庫、案例庫和信息庫等形式沉淀，更致力于將研究型審計的實踐經驗提煉總結，確保問題得到根本解決，并持續提高審計工作質量。

（三）問題深層次分析，提高審計建議針對性

深入問題的核心，進行深層次分析，以精準度為目標，使審計建議更具針對性。這種分析方法旨在揭示問題的根本原因，并識別與之相關的關鍵因素。通過深刻理解根本問題，審計團隊能夠提供更具體、更有效的建議，以解決問題的根本。這種深入分析的方法有助于提高審計建議的實際可行性和針對性，確保問題得到徹底解決，為組織的改進和提升提供更有力的支持。

（四）通過實踐不斷完善研究型審計理論

審計人員在審計項目實踐過程中，不可避免地會遇到各種復雜的情況和問題，這些情況需要審計人員根據實際情況進行靈活應對和調整，不斷補充完善研究型審計方法，這一過程也是研究型審計的一個重要特點，是其不斷適應市場變化和業務需求的重要保障。研究型審計方法與審計項目形成互補，這種實踐中的反饋和調整使得研究型審計方法更加貼近實際需求，更加具有針對性和可操作性。

主要參考文獻

[1]寇明風，王翰博.遼寧軟件產業發展路徑探析：趨勢、定位與路徑[J].遼寧經濟， 2022（2）：7-12

[2]劉巍，潘欣怡，葉宇航.在統籌發展和安全中發揮內部審計作用：構建中國移動基于目標的審計分類監督模型[J].中國內部審計， 2022（5）：28-34

[3]苗培讓.研究型審計視角下內部審計發展路徑探析[J].國際商務財會， 2024（4）：71-74+79

[4]翟國森，馮麗英.對研究型審計的幾點思考[J].財務與會計， 2022（12）：80-81