【经营绩效与管理】业务外包与共享服务专项审计计划

审计计划书审计项目名称：业务外包与共享服务专项审计编制人：审计部XXX编制日期：XXXX年XX月XX日项目编号：SA-2026-036一、审计目标对公司业务外包管理体系及共享服务中心的运营效率、风险控制和服务价值实施独立审计，具体目标如下：外包决策与战略合理性：评价业务外包的范围、动因和预期目标是否清晰合理，与公司整体战略一致，有无盲目外包或核心能力流失风险。供应商选择与合同管理合规性：审查外包供应商的寻源、准入、招标比价、合同签订是否符合公司制度，合同条款是否充分保护公司利益，定价机制是否透明。服务交付与绩效管理有效性：核实关键外包服务及共享服务的服务水平协议（SLA）达成情况，绩效监控与考核机制是否健全，持续改进是否落实，有无绩效长期不达标却未采取有效措施。成本效益与计价核实：验证外包费用和共享服务分摊成本的计价模式、计费依据是否准确合理，综合成本是否低于原分散模式，成本节约是否真实实现。信息安全与合规：审查外包和共享服务中涉及的公司数据、客户信息、知识产权是否得到充分保护，是否符合法律法规及公司安全政策。内部控制与运营连续性：评价对外包商及共享服务中心的内部控制、业务连续性计划、人员管理与知识传承机制是否有效，有无过度依赖单一供应商或关键人员风险。最终对业务外包与共享服务的整体管控水平作出评价，揭示成本、质量、安全等方面的重大风险，推动外包与共享服务价值的最大化。二、审计范围范围类型具体界定时间范围审计期间为XXXX年X月X日至XXXX年X月X日（最近一个完整会计年度及截至审计日），重大外包合同或共享中心建设期可追溯至以前年度，未解决的争议事项延伸至审计日。组织范围采购部/供应链管理部（外包供应商管理）、信息技术部（IT外包与共享服务管理）、财务部（财务共享中心）、人力资源部（人事外包与共享）、行政部（后勤外包）、相关业务部门（作为外包服务使用方），以及主要的外包供应商和共享服务中心运营团队。业务范围外包类：IT开发与运维外包、呼叫中心外包、物流外包、加工外包、人力资源外包（招聘/薪酬/福利）、财务外包（记账/报税）、行政后勤外包（安保/保洁/食堂）、法务外包等。

共享服务类：财务共享服务中心（FSSC）、人力资源共享服务中心（HRSSC）、IT共享服务中心、采购共享服务中心等。审计基准日以最近一个会计期末为基准；服务绩效数据、计费核实覆盖审计期间。三、审计依据《企业内部控制基本规范》及其应用指引第7号——采购业务、第13号——业务外包。《个人信息保护法》《数据安全法》等涉及数据委托处理的相关法规。公司内部制度：《业务外包管理办法》《共享服务中心运营管理办法》《供应商管理制度》《服务水平协议（SLA）管理规范》《外包与共享服务计费与核算办法》《信息安全与保密管理制度》《反舞弊与廉洁从业规定》等。经批准的外包战略、年度外包预算、共享中心运营预算、各外包合同及SLA文件。四、审计组构成与时间安排1.审计组成员及分工审计组长：全面负责，审定报告。外包与共享审计员（2名）：负责外包决策审阅、供应商准入与合同测试、SLA达成验证、共享中心流程测试、成本效益分析、安全与合规检查。财务审计员：负责外包费用及共享服务分摊费用的核实、付款合理性测试、成本节约的财务量化分析。IT审计员（辅助）：对外包开发质量、共享系统权限、数据安全控制进行技术验证。2.项目时间表（共15个工作日）阶段工作日主要工作内容产出物准备阶段第1-3天下达审计通知及资料清单；获取外包供应商名录及合同台账、SLA与绩效报告、共享中心运营数据、成本分摊表等；预分析外包费用趋势、绩效达标率、成本节约率，锁定高风险外包项目和共享流程。资料收取清单、风险疑点清单、审计重点确认书现场实施第4-12天详查重大外包合同与决策记录；测试供应商选择与评估；验证SLA及绩效监控；核实计费依据与成本节约；审查共享中心运营效率与内控；访谈外包管理负责人、共享中心负责人、业务部门用户、主要供应商。合同审阅底稿、SLA测试底稿、成本核实记录、访谈记录报告阶段第13-15天汇总发现，按风险等级排序；形成审计发现汇总表；起草审计报告征求意见稿；与外包管理、共享中心、财务等部门交换意见；修改定稿后上报。征求意见稿、反馈函、正式审计报告五、风险评估与审计重点业务外包和共享服务若管理不当，不仅无法降本增效，反而可能带来服务质量滑坡、数据泄露和失控风险，审计组将聚焦以下高风险领域：外包决策失误与核心能力空心化风险：将核心业务或技术能力外包，导致公司丧失对价值链关键环节的控制，供应商切换成本极高，被供应商“绑架”。供应商选择舞弊与关系固化风险：长期与少数外包商合作，缺乏竞争性采购，定价偏高；或外包商与内部人员存在利益输送。SLA形同虚设与服务严重不达标风险：合同中虽有SLA，但缺乏有效的日常监控工具和考核机制，罚则不执行；共享中心内部用户满意度低，流程效率低下。计费不透明与成本不降反升风险：外包商利用信息不对称虚报工时、夸大工作量；共享服务分摊成本方法不合理，或实际总成本高于原分散模式却未进行复盘。数据安全与知识产权流失风险：外包商或共享中心人员将核心数据、源代码、客户信息外泄或用于其他目的；知识产权归属约定不清。过度依赖与退出困难风险：外包商掌握关键系统和数据，交接不配合，文档缺失，导致公司无法顺利更换供应商或收回业务。共享中心人员流失与服务断层风险：共享中心工作强度大、发展空间有限，核心操作人员流失后新人上手慢，导致服务质量波动。六、具体审计程序程序一：外包战略与决策合理性审计外包业务清单与动因分析：获取所有在执行业务外包的清单，了解每项外包的初始动因（降低成本、获取专业技能、聚焦核心业务、解决短期产能不足等）。与公司当前战略对照，判断外包范围是否依然合理。核心业务与外包边界评估：识别是否存在将涉及公司核心竞争力、核心数据、关键客户关系的业务外包的情况。评估此类外包的风险缓释措施是否充分。“自制或外购”决策回溯：对重大外包项目，查阅当初的“自制/外购”分析报告，评估其假设（如成本、效率、质量）在当前是否仍然成立，有无进行定期复审。外包集中度风险：分析单一外包商承接的业务量占公司该项业务总需求的比例，识别对特定外包商的过度依赖。程序二：供应商准入、合同与关系管理审计供应商选聘合规性：对审计期间新增的或合同金额重大的外包供应商，检查其准入是否经过了规范的寻源、招标/比价、尽职调查流程。对单一来源采购，审查理由充分性与审批。合同条款保护力度：审阅主要外包合同，评价其是否明确了：服务范围与SLA、计价方式与付款条件、数据安全与保密义务、知识产权归属、审计权、业务连续性要求、终止条款与过渡期协助义务、违约责任与赔偿上限等关键条款。供应商绩效评估：获取对外包商的定期绩效评估记录，检查评估指标是否量化、是否有用户满意度反馈作为输入。对绩效不达标的外包商，是否按合同扣款或要求整改。供应商关联关系排查：利用工商信息穿透主要外包商的股权和高管，与公司内部相关人员信息碰撞，排查未披露的利益关系。程序三：SLA达成与服务质量核实SLA指标体系审阅：评价各外包和共享服务的SLA指标设定是否覆盖了响应时间、解决时间、可用率、客户满意度、准确率等关键质量维度，指标值是否具有挑战性且能客观衡量。SLA实际达成数据核实：获取审计期间的SLA月度/季度报告，抽查报告数据的原始来源（如IT系统工单记录、呼叫中心录音系统、用户满意度问卷）。验证数据的真实性，有无为达标而修改数据或关闭工单的虚假行为。服务事故与处罚执行：了解审计期间发生的重大服务中断、数据泄露等事故。检查是否按合同对供应商进行了处罚，或对共享中心内部责任人进行了问责。用户满意度调查：向使用外包或共享服务的业务部门发放匿名问卷，收集对服务响应、质量、沟通等方面的真实评价，与供应商/共享中心自行上报的满意度进行对比。程序四：成本、计价与效益审计计价模式审阅与测试：了解各项外包的计价基础（人/天、按交易量、固定费用、按效果付费等）。抽取结算样本，重算计费是否正确，工作量统计有无夸大（如IT外包的工时填报是否经我方确认）。共享服务分摊模型复核：对财务共享、人力资源共享等内部服务，获取其成本分摊模型（如按人头、按交易笔数、按工时分摊）。评估分摊因子是否合理，分摊结果是否得到服务接收方的认可。计算年度分摊总成本，对比外包前各业务单元原有成本之和。成本节约真实性验证：对外包或共享服务决策时承诺的成本节约目标，基于当前实际业务量和实际单价进行再测算。剔除“通过裁撤自有人员一次性节约”等干扰，对比持续性运营成本是否真实下降。隐藏成本识别：识别外包后新增的管理成本（如合同管理、供应商沟通、额外审计费）和切换成本（如将服务收回自建的一次性投入），评估综合成本。程序五：信息安全、合规与业务连续性审计数据安全与保密检查：检查外包合同中是否有明确的数据保护条款，是否符合《个人信息保护法》的要求。了解对外包商和共享中心人员的数据访问权限如何控制，是否遵循最小授权，是否有DLP监控。信息安全事件与审计：获取外包商的信息安全审计报告（如SOC报告、ISO27001认证）或公司对其的安全评估记录。了解近年发生的安全事件及处置闭环情况。知识产权归属：检查所有外包合同中关于项目成果（软件代码、设计图纸、分析模型等）的知识产权归属条款，是否约定归公司所有。业务连续性计划（BCP）：检查关键外包商和共享中心是否有应急预案，其灾备能力是否与公司RPO/RTO目标匹配。了解是否进行过联合演练，以及演练结果。程序六：内部控制与知识传承审计人员访问与操作审计：了解外包商人员及共享中心人员访问公司核心系统的权限管理流程，账号是否实名制，离职是否及时回收。检查关键操作日志。文档与知识管理：评估外包项目和共享服务的过程文档、操作手册是否完整归档于公司可访问的平台，而不只在供应商或个别员工手中。退出管理机制：选取1-2个即将到期或自然终止的外包项目，评估其退出计划是否包括：系统权限回收、数据迁移、文档交接、人员知识转移、并行运营期等。验证其可操作性。共享中心人员管理：了解共享中心的人员编制、晋升通道、培训体系，分析核心岗位的任职年限和离职率。访谈共享中心员工，了解其工作压力和稳定性。程序七：关键人员访谈访谈外包管理负责人：了解外包战略、供应商关系管理的挑战、重大纠纷和处置。访谈共享中心负责人：了解运营效率、标准化程度、服务范围扩展计划，以及对用户满意度下降的应对。访谈业务部门代表：了解外包/共享服务的日常使用体验、投诉和未解决的老问题。访谈主要供应商项目经理（策略性）：了解与我方的协作流程、结算公平性、是否存在我方人员索要好处等不当行为。七、审计报告要求报告应聚焦管控风险与服务价值，至少包含：审计概况：审计范围、覆盖的外包与共享业务、主要程序。业务外包与共享服务总体评价：从战略匹配、供应商管理、服务质量、成本效益、安全合规、运营连续六个维度进行综合画像。审计发现与风险评级：按“决策不当/核心外包”、“供应商/合同管理缺陷”、“SLA失效/服务不达标”、“计价不实/成本反升”、“安全与知识产权隐患”、“过度依赖/退出困难”等类别逐项列示。附SLA数据对比、成本分析表、合同缺陷清单等证据。对每项发现进行风险评级（高/中/低），量化多付成本、潜在损失。价值优化建议：针对低效外包、不合理计费、可回收自建的业务，提出具体的价值优化路径和预期收益。审计建议：对高风险外包立即启动整改或重新招标。收回核心业务外包，或加强对核心数据的内部管控。建立外包/共享服务成本的常态化审计与分析机制。强制要求所有外包合同包含详尽的退出过渡条款。八、其他注意事项供应商关系敏感性：在