内部审计，有权叫停“高风险”业务吗？

“我们反复提示风险、提出建议，没人听啊，还说不要干涉业务！” “出事后，想起了内审，要内审跟进处理一堆烂事儿…”

类似场景，很多小伙伴都有遇到，在1月内审全维度实战进阶研讨会上，大家对此进行过深度讨论、广泛分享，过程中，有不少同仁对此表示困惑、苦恼或是无奈。

比如，实务工作中，我们发现业务存在重大风险，反复提示、建议谨慎考虑，甚至暂缓推进，管理层和业务部门却置若罔闻，依旧执意推进；等到风险爆发，出现资金损失、合规处罚等问题时，又要求内审出面解决问题、收拾残局。

问题与矛盾背后，其实隐藏着不少内审人反复追问的核心问题：内审，到底有权叫停高风险业务吗？或者，业务部门，必须采纳内审此类建议吗？

有人说，既然内审是风险管理的第三线，发现高风险就该有叫停的权力，否则监督就是一纸空文；也有人说，内审没有业务决策权，叫停业务就是越位，会干扰企业正常的经营发展。

其实，这个问题从来就没有非黑即白的答案，既不是绝对有权，也不是完全无权。答案的关键，就在权责边界的界定、风险尺度的把握、机制设计的落地之中。

究其根本，经营的本质是在风险中谋求发展，内审的核心是在风险中守住底线，二者的立场不同，却指向同一个目标 —— 让企业走得稳、走得远。内审的 叫停之争，本质是发展与风控的平衡之争。

一、根本认知，叫停权的争议，源于发展与风控的底层逻辑冲突

内审对叫停高风险业务的执念，管理层对高风险业务的执意推进，看似是双方的意见相悖，实则是底层逻辑的天然差异，二者没有对错，只是立场不同。

我常分享一个必备的理念和认知，从管理层和业务部门的视角，企业的生存与发展，本身就是在风险中寻找机遇。组织最大的风险，从来不是某一项业务的高风险，而是停滞不前、错失发展机会的风险。尤其是创新业务、新兴市场拓展、重大项目投资，必然伴随着未知的风险，若因风险就轻言放弃，企业便失去了发展的动力。对经营层而言，风险不是需要完全规避的，而是需要评估、容忍、把控的，其核心是 “在可控范围内承担风险，换取发展收益”。

从内审的视角，风险导向是内审工作的长期以来的核心原则，内审的设立初衷，就是为了识别企业经营管理中的各类风险，堵塞管理漏洞，保障企业资产安全、合规经营。内审人员长期与各类风险打交道，对风险的敏感度远高于经营层，对风险的评估更偏向于 “底线思维”，核心是 “识别风险、提示风险、防控风险”，避免企业因风险爆发遭受不可挽回的损失。

正是这种底层逻辑的差异，让高风险业务成为双方的矛盾焦点。内审看到的是 “风险可能带来的损失”，经营层看到的是 “风险背后的发展机遇”，叫停权的争议，便由此而来。

二、在实务中探寻答案，内审没有直接的业务叫停权，这是权责边界的底线

抛开情绪和无奈，回归企业制度和内审的核心职责，一个明确的实务答案是：内审没有直接的、法定的高风险业务叫停权。这一点，在《内部审计具体准则》以及各类企业、上市公司的内部审计制度中，均有内审职责的明确的界定。

从内审的职责定位来看，内审是企业的 “监督者”“评价者”“建议者”，而非 “经营决策者”“业务执行者”。其核心工作是对企业的经营管理、内部控制、风险管理进行独立的监督和评价，发现风险后提出合理的优化建议，为管理层的决策提供参考，而非直接替代管理层做出经营决策，更无权直接叫停业务（当然，要区分风险和违规，后文有述）。

从权责对等的角度，业务的决策权归属于管理层和业务部门，相应的，业务的经营风险、决策责任，也理应由决策层和业务部门承担。如果赋予内审直接的叫停权，就意味着内审变相拥有了业务决策权，同时也需要承担相应的决策责任，这不仅会让内审偏离自身的职责定位，破坏内审的独立性，更会让经营层产生依赖心理，推卸自身的主体责任，最终形成 “内审决策、经营层执行、出事内审背锅” 的畸形局面。

当然，明确内审没有直接叫停权，并非否定内审的风险监督作用，更不是让内审对高风险业务束手无策。没有直接叫停权，不代表内审没有风险干预权，这是两个截然不同的概念，也是内审在实务中需要把握的关键。

三、破局之道：无直接叫停权，却有多重风险干预手段

我们要谨记，内审的价值，不是靠 “叫停业务” 体现，而是靠 “精准识别风险、有效传导风险、科学防控风险” 体现。面对高风险业务，与其纠结于是否有叫停权，不如用好实务中更具操作性的风险干预手段，既守住风险底线，又不越位干预经营，实现风控与发展的平衡。

1. 风险分级预警，精准传递风险影响

笼统的一句 “该业务存在高风险，建议暂缓”，很难让管理层重视。内审需要做的，是对风险进行量化、分级，明确风险的类型、等级、可能造成的具体影响。

比如，区分业务风险是触及法律红线、监管底线的极端风险，还是可能造成一定资金损失的经营风险，或是存在管理漏洞的内控风险；量化风险爆发的概率、可能造成的资金损失、合规处罚、品牌影响，以及对企业战略发展的冲击。用数据和事实说话，让管理层清晰知晓风险的真实影响，为其决策提供客观依据，远比单纯要求叫停更有说服力。

2. 书面留痕固化，完整记录风险提示过程

面对高风险业务，无论管理层是否采纳内审的建议，都必须做好全流程的书面留痕，这是内审保护自身、履行职责的核心手段。通过出具风险提示单、审计工作底稿、专项风险报告等形式，明确记录内审发现的风险点、提出的具体建议、向哪一级管理层进行了汇报、管理层的反馈意见等关键信息，并签字确认，形成完整的证据链。这样既证明内审已充分履行风险提示的职责，也能在风险爆发后，清晰界定责任，避免内审被推上背锅的境地。

3. 风险向上升级，借助治理层传导风险

如果内审向经营层提示高风险后，经营层仍执意推进，且该业务风险触及企业底线、可能造成重大损失，内审应启动风险向上升级机制，向董事会、审计委员会等企业治理层进行专项汇报。内审的直接汇报对象是企业治理层，这是内审的制度保障。对于超越经营层决策权限、涉及企业重大利益的高风险业务，通过治理层进行风险传导，由治理层对经营层进行监督和决策干预，既符合企业的治理架构，也能有效规避内审直接干预经营的越位问题。

4. 联动多方管控，推动建立集体决策机制

内审并非孤军奋战，面对高风险业务，可推动财务、法务、风控、合规等相关部门形成联合评估机制，对业务风险进行多维度、全方位的核查。通过多部门的联合评估，形成统一的风险评估意见，向管理层汇报。让高风险业务的处置，从内审单一部门的建议，变成多部门的集体意见，甚至推动企业建立高风险业务的集体决策制度，明确重大高风险业务需经董事会或经营层集体审议后方可推进。这样既提升了风险评估的专业性，也让风险管控成为集体行为，而非内审与业务部门的单方对立。

四、比纠结叫停权更重要的，是建立风险协同机制

内审对高风险业务的管控效果，从来不是靠某一个岗位、某一项权力实现的，而是靠企业整体的风险协同机制。想要从根本上解决 “风险提示无人听，出事内审擦屁股” 的问题，比纠结内审是否有叫停权更重要的，是建立发展与风控的协同机制，让内审的风险防控与企业的经营发展同频共振。

1. 建立风险分级管控机制，明确风险处置流程

企业应结合自身发展阶段和业务特点，制定清晰的风险分级标准，明确不同等级风险的处置流程和决策权限。比如，将风险划分为一般、较大、重大、极端四个等级，一般风险由业务部门自行整改，较大风险由经营层审议管控，重大风险需经经营层集体决策，极端风险触及法律、监管底线的，需提交董事会审议，且原则上暂缓推进。让高风险业务的处置有章可循，而非依靠个人判断或部门博弈，从制度上界定各主体的权责。

2. 建立常态化沟通机制，同步发展与风控认知

很多时候，管理层无视内审的风险提示，是因为信息不对称。内审应主动走出办公室，建立与经营层、业务部门的常态化沟通机制，提前介入企业的重大经营决策、新业务拓展。在业务立项阶段就参与风险评估，而非等到业务推进中才发现风险、提出建议；主动了解经营层的发展目标、业务部门的操作难点，结合风险防控要求，提出兼具实操性和风控性的优化建议，让内审的风控工作融入业务发展的全过程，而非站在业务的对立面。

3. 建立清晰的责任界定机制，杜绝责任推诿

企业应明确界定各主体在风险管控中的责任：业务部门是风险控制的第一责任主体，对业务的风险识别、管控承担直接责任；管理层是经营决策的责任主体，对高风险业务的决策承担决策责任；内审是风险监督的责任主体，对风险的识别、提示、跟踪承担监督责任。通过制度明确各主体的权责，避免风险爆发后出现 “相互甩锅” 的情况。尤其是明确内审的监督责任，并非对业务结果承担责任，仅对是否充分履行监督职责承担责任，从制度上为内审松绑，让内审敢于直言、敢于监督。

五、内审的核心，是监督守好底线而非叫停发展

回到最初的问题，内审有权叫停高风险业务吗？

答案很清晰：内审无需追求直接的叫停权，内审的核心价值，不是叫停发展，而是为发展守住底线。

对内审而言，要把握好风险管控的尺度：

一方面，对于触及法律红线、监管底线、可能造成企业重大资产流失、影响企业生存发展的极端风险业务，必须坚持原则，穷尽一切风险干预手段，推动企业暂缓或终止推进，这是内审的职业底线，不容妥协；

另一方面，对于企业发展中的创新型业务、新兴领域拓展，这类业务必然伴随着未知的经营风险，哪一个创业项目不是披荆斩棘而来，更有价值创造能力的内审，不应一味否定、轻言叫停，而是要主动融入，为业务设计科学的风险防控方案，帮助经营层把控风险、规避漏洞，让企业在可控的范围内大胆发展。

经营层谋求发展，内审坚守底线，二者看似对立，实则统一于企业的长远发展目标。管理层要理解，内审的风险提示，不是阻碍发展，而是让企业的发展走得更稳、更远；内审也要理解，企业的发展，离不开对合理风险的承担，内审的风控，不是为了规避所有风险，而是为了规避不可承受的风险。

文末的话~

内审不必纠结于是否拥有叫停高风险业务的权力，优秀的内审，也不是靠 “叫停业务” 树立权威，而是靠精准的风险识别、专业的风险分析、可行的风控建议，赢得管理层和业务部门的认可。而真正健康的企业，也从来不是让发展与风控对立，而是让二者相互协同、相互支撑，在风险中谋求发展，在发展中把控风险。

记住，守住风险底线，护航企业发展，这才是内审最核心、最珍贵的权力与责任，也是内审价值的终极体现。

作者简介：杨彬彬老师，内审内控实务咨询专家，资深实训导师，价值导向审计倡导者和践行者，撰写内审、内控实务文章作品七十余万字。杨老师长期深耕于审计内控行业，多年以来在中国大型会计师事务所、多元化集团、美国纳斯达克、纽约交易所上市公司从事或负责审计内控工作。

— THE END —

©本文由审计之家（ID：shenjizhijia） 整理发布。内容仅供读者学习、交流之目的。如有不妥，请联系删除。

「审计之家」 事务联系方式

社群、投稿、内容和商务合作

微信号： shenjizhijia1