风险管理的年度审计：框架、流程、证据（审计项、框架、流程）

风险管理的年度审计：框架、流程、证据（审计项、框架、流程）本文档提供：三个审计项的覆盖内容与取数文件表（表2）；框架选用与监管映射审计检查表（表3）；框架要素落地情况审计检查表（表4）；风险识别与评估流程审计检查表（表5）；风险应对与监控流程审计检查表（表6）；风险报告与治理层沟通流程审计检查表（表7）；证据类型与效力分级审计检查表（表8）；证据链完整性与追溯审计检查表（表9）；审计发现分级与判定依据表（表10）；审计结论认定与处置表（表11）；审计底稿要素与追溯链检查表（表12）。2026-11-10表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、年度风险管理审计的三个审计项与范围界定表2三个审计项覆盖内容表界定框架、流程、证据各自回答的问题和取数文件，确定检查深度二、框架审计（一）：框架选用与监管映射表3框架选用与监管映射审计检查表核验组织选用的风险管理框架、框架与监管要求的映射关系三、框架审计（二）：框架要素的落地情况表4框架要素落地情况审计检查表核验治理架构、风险偏好、容忍度等框架要素在实际管理中的落地四、流程审计（一）：风险识别与评估表5风险识别与评估流程审计检查表核验风险识别的覆盖范围、评估方法和评分一致性五、流程审计（二）：风险应对与监控表6风险应对与监控流程审计检查表核验应对措施的选择依据、执行状态和监控频率六、流程审计（三）：风险报告与治理层沟通表7风险报告与治理层沟通流程审计检查表核验报告路径、报告内容和治理层反馈的闭环七、证据审计（一）：证据类型与效力分级表8证据类型与效力分级审计检查表按文档、系统记录、访谈、外部证据四类区分效力，核验证据的充分性八、证据审计（二）：证据链完整性与追溯表9证据链完整性与追溯审计检查表核验每项结论的证据链是否完整、可否追溯至原始记录九、审计发现分级与判定依据表10审计发现分级与判定依据表按影响范围、审计项和后果三项事实划分发现等级十、审计结论认定与处置表11审计结论认定与处置表把发现汇总为管控有效、基本有效、管控缺陷三档结论并匹配处置动作十一、审计底稿与追溯链表12审计底稿要素与追溯链检查表核验底稿要素和三份材料的索引关系，支撑监管调阅十二、案例：一次年度风险管理审计从框架核验到证据追溯完整案例复现三个审计项的检查联动、发现形成和结论认定的操作链一、年度风险管理审计的三个审计项与范围界定年度风险管理审计回答的问题是：组织依据的框架是否被正确选用并落地、风险管理流程是否按框架运行、支撑审计结论的证据是否充分可追溯。三个审计项各有侧重。框架审计指向审计的判断基准，检查组织选用的风险管理框架、框架与监管要求的映射关系、框架要素在治理架构和制度中的落地情况。流程审计指向框架的执行状态，检查风险识别、评估、应对、监控和报告五个环节的实际运行。证据审计指向审计自身的质量，检查审计结论所依据的证据类型、效力和追溯链。三个审计项之间存在支撑关系。框架提供判断标准，流程提供执行事实，证据支撑结论。框架审计的发现为流程审计提供核对基准：框架中要求而流程中未执行的要素，构成流程审计的检查重点。流程审计的发现为证据审计提供追溯对象：流程中的关键控制点，其执行证据的充分性构成证据审计的检查对象。审计按框架、流程、证据的顺序推进，前一项的检查为后一项提供线索。审计范围的界定按组织的风险复杂度和年度审计目标确定。全面审计覆盖三个审计项，适用于风险类别多、监管要求高或上年度审计发现较多的组织；重点审计覆盖流程和证据，框架以文档核验为主，适用于风险状况稳定的组织；专项审计以流程中的特定环节为主，框架和证据按需核验。范围界定结果写入年度审计方案，方案经审计委员会批准。成品块：输入为年度审计计划、风险管理框架文件、流程文件和上年度审计报告；动作为按表2确认三个审计项的覆盖内容和取数文件；输出为审计范围界定表；判定为每个审计项有覆盖内容、取数文件名称和检查深度。表2三个审计项覆盖内容表审计项核心问题覆盖内容取数文件检查深度框架判断基准是否适用并落地框架选用、监管映射、框架要素落地框架文件、制度汇编、治理架构文件、偏好声明全面审计逐项核验流程风险管理流程是否按框架运行识别、评估、应对、监控、报告风险登记册、评估记录、应对计划、监控报告全面审计逐环节核验证据审计结论是否有充分证据支撑证据类型、效力、追溯链底稿、系统导出、访谈记录、外部文件全面审计按结论抽样追溯表2第2行示例行中，审计项“流程”、核心问题“风险管理流程是否按框架运行”、覆盖内容“识别、评估、应对、监控、报告”、取数文件“风险登记册、评估记录、应对计划、监控报告”、检查深度“全面审计逐环节核验”五项具体。三个审计项的检查结果在报告阶段汇总，框架审计的发现为流程审计提供核对基准，流程审计的发现为证据审计提供追溯对象，线索传导记录写入底稿。二、框架审计（一）：框架选用与监管映射框架选用的审计检查组织选用的风险管理框架是否与业务性质、风险复杂度和监管要求匹配。常用的框架包括COSO企业风险管理框架、ISO31000风险管理标准、以及行业监管机构发布的风险管理指引。框架选用的合格形态是：框架选用有书面论证，论证含业务性质、风险复杂度和监管要求的匹配分析；框架的采用方式（全面采用、部分采用或参照）有说明。框架选用无论证或论证与实际业务脱节的，列为待完善项。监管映射的审计检查框架要素与适用监管要求之间的对应关系。映射的合格形态是：映射表列明监管要求、对应框架要素、组织制度中的落地条款编号；监管要求有明确对应的框架要素和制度条款；制度条款的内容覆盖监管要求的实质。映射表缺失或映射关系不完整的，列为发现。框架更新的审计检查监管要求变化或框架本身更新时，组织的框架是否随之调整。更新的合格形态是：监管新规发布后，映射表在设定时限内更新，制度条款随之修订，更新记录含更新内容、审批和生效日期。框架更新滞后的，核对滞后期间的制度执行是否仍按旧框架运行。成品块：输入为框架文件、选用论证记录、监管要求清单和映射表；动作为按表3逐项核对框架选用、监管映射和框架更新；输出为框架审计记录（一）；判定为每项框架有选用论证，监管要求有对应映射，框架更新有记录。表3框架选用与监管映射审计检查表检查项检查内容合格形态待完善情形补正或升级动作框架选用论证业务性质、风险复杂度、监管要求的匹配分析论证有书面记录，匹配分析具体论证缺失或笼统补充论证记录采用方式说明全面采用、部分采用或参照采用方式有说明，部分采用的部分有清单采用方式不清明确采用方式，列明采用范围监管映射完整性监管要求与框架要素的对照映射表覆盖适用监管要求部分要求未映射补充映射，标注落地条款映射实质性制度条款对监管要求的覆盖条款内容覆盖要求实质条款与要求存在偏差修订条款，核对要求原文框架更新触发监管新规与框架更新的对应新规发布后按时限更新更新滞后补充更新，分析滞后原因更新记录更新内容、审批、生效日期三项要素齐备记录缺失补充更新记录表3第3行示例行中，检查项“监管映射完整性”、检查内容“监管要求与框架要素的对照”、合格形态“映射表覆盖适用监管要求”、待完善情形“部分要求未映射”、补正或升级动作“补充映射，标注落地条款”五项具体。监管映射的实质性检查以“制度条款能否被直接执行”为标准，条款照搬监管原文而缺少操作细则的，列为待完善项。框架更新的触发条件包括监管新规发布、框架标准修订和业务模式重大变化。三、框架审计（二）：框架要素的落地情况治理架构落地的审计检查框架要求的治理架构是否在组织中得到建立。合格形态是：董事会及其专门委员会的风险管理职责在章程和议事规则中明确；风险管理委员会、风险职能部门和业务单元的职责边界清晰；三道防线的分工有书面文件。治理架构中存在职责空白或重叠的，列为待完善项。风险偏好与容忍度落地的审计检查框架要求的风险偏好和容忍度是否被正式确立并传导。合格形态是：风险偏好声明经董事会审批，偏好指标覆盖主要风险类别，容忍度在偏好声明或配套文件中量化，偏好和容忍度在业务单元的风险管理中被引用。偏好声明存在但业务单元未引用的，偏好与执行脱节。框架要素与制度衔接的审计检查框架要素是否在组织的风险管理制度中转化为可执行条款。检查方法是把框架要素逐项与制度条款对照，框架要求而制度中无对应条款的，列为待完善项。框架要素与制度条款的对应关系写入映射表，映射表的更新与框架更新同步。成品块：输入为治理架构文件、风险偏好声明、制度汇编和映射表；动作为按表4逐项核对治理架构、风险偏好和制度衔接；输出为框架审计记录（二）；判定为治理架构职责明确，偏好声明经审批并传导，框架要素在制度中有对应条款。表4框架要素落地情况审计检查表检查项检查内容合格形态待完善情形补正或升级动作治理架构职责董事会、委员会、职能部门的职责边界职责在章程和议事规则中明确职责空白或重叠修订章程和议事规则三道防线分工业务、风险、内审的分工文件分工有书面文件，边界清晰分工文件缺失制定分工文件偏好审批偏好声明的审批层级经董事会审批审批层级低于要求重新提交董事会审批容忍度量化容忍度指标的量化容忍度写到数值或区间容忍度未量化量化容忍度，修订声明偏好传导业务单元对偏好的引用业务单元制度引用偏好指标业务单元未引用在业务单元制度中增加引用制度衔接框架要素与制度条款的对应每项要素有对应制度条款要素无对应条款补充条款，更新映射表表4第5行示例行中，检查项“偏好传导”、检查内容“业务单元对偏好的引用”、合格形态“业务单元制度引用偏好指标”、待完善情形“业务单元未引用”、补正或升级动作“在业务单元制度中增加引用”五项具体。偏好传导的检查以“业务单元的年度计划和风险限额是否与偏好指标挂钩”为标准，挂钩记录写入检查底稿。制度衔接的检查以映射表为工具，映射表的更新与框架更新同步。四、流程审计（一）：风险识别与评估风险识别的审计检查识别的覆盖范围和方法。覆盖范围的合格形态是：风险登记册覆盖组织的全部重大风险类别，风险类别与框架的风险分类对应，识别来源含风险评估、事件记录、内审发现、监管检查和外部环境分析。识别方法的检查包括：识别的频率（年度全面识别加季度更新）、识别的参与范围（业务单元、风险职能、管理层）、识别的记录方式（风险描述、风险来源、潜在后果）。识别来源单一或频率不足的，列为待完善项。风险评估的审计检查评估方法和评分一致性。评估方法的合格形态是：评估采用可能性与影响的二维评估，评估标准在风险管理制度中明确，评估结果有评分依据。评分一致性的检查抽取若干风险，核对评分与评估标准的对应关系，同一风险在不同部门的评分差异超过一个等级的，核对评估标准的可区分性和评分人的培训记录。评估结果应用的审计检查评估结果是否进入风险应对和资源配置。合格形态是：高风险事项有对应的应对计划和资源安排，评估结果在年度审计计划和内控评价中被引用。评估结果与应对安排脱节的，评估的管理功能未落地。成品块：输入为风险登记册、识别记录、评估标准和评估记录；动作为按表5逐项核对识别覆盖、评估方法和评分一致性；输出为流程审计记录（一）；判定为风险类别全覆盖，评估有标准，评分差异在可接受范围。表5风险识别与评估流程审计检查表检查项检查内容合格形态待完善情形补正或升级动作识别覆盖风险类别与框架分类的对应全部重大风险类别有对应条目部分类别未识别补充识别，更新登记册识别来源来源的多元性来源含评估、事件、检查中的两项以上来源单一补充来源，建立来源清单识别频率全面识别和更新的频率年度全面识别加季度更新频率不足调整识别计划评估标准可能性与影响的评分标准标准在制度中明确，等级可区分标准缺失或笼统制定评估标准评分一致性同一风险跨部门评分的差异差异不超过一个等级差异超过一个等级补充培训，修订标准评估依据评分的数据和判断记录评分有依据记录依据缺失补充依据记录结果应用评估结果在应对和资源配置中的引用高风险事项有应对计划和资源安排结果未应用补充应对安排表5第5行示例行中，检查项“评分一致性”、检查内容“同一风险跨部门评分的差异”、合格形态“差异不超过一个等级”、待完善情形“差异超过一个等级”、补正或升级动作“补充培训，修订标准”五项具体。评分一致性的检查以“不同评分人对同一情景的评分差异”为标准，差异分析写到评分人的岗位和评分依据。评估结果应用的检查以“高风险事项的应对计划是否与风险等级匹配”为标准。五、流程审计（二）：风险应对与监控风险应对的审计检查应对措施的选择依据和执行状态。选择依据的合格形态是：应对措施（承受、降低、转移、规避）的选择有书面理由，理由含成本效益分析和可行性评估；应对措施与风险等级匹配，高风险事项的应对措施经相应层级审批。执行状态的检查核对应对措施是否按计划执行、执行结果是否验证。应对措施选择无依据或执行状态未跟踪的，列为待完善项。监控频率的审计检查关键风险的监控频率是否与风险等级匹配、监控指标是否设定、监控记录是否完整。合格形态是：高风险事项按月监控，中风险按季度，低风险按半年；监控指标含风险指标和应对措施执行指标；监控记录含指标数值、阈值和趋势。监控频率与风险等级不匹配的，列为发现。监控结果处置的审计检查监控发现的超限事项和偏差是否被处置。合格形态是：超限事项有处置记录，处置含原因分析、措施和完成时间；偏差的处置结果向管理层报告。监控发现未处置或处置无记录的，监控的闭环缺失。成品块：输入为应对计划、审批记录、监控记录和处置记录；动作为按表6逐项核对应对选择、执行状态和监控处置；输出为流程审计记录（二）；判定为每项应对有选择依据，监控频率与等级匹配，超限事项有处置记录。表6风险应对与监控流程审计检查表检查项检查内容合格形态待完善情形补正或升级动作应对选择依据措施选择的书面理由理由含成本效益和可行性分析依据缺失补充选择依据应对与等级匹配措施强度与风险等级的对应高风险事项措施经高层审批措施与等级不匹配调整措施或审批层级执行状态跟踪措施执行进度和结果执行有跟踪记录跟踪记录缺失建立跟踪机制监控频率频率与风险等级的对应高风险按月、中风险按季频率与等级不匹配调整监控频率监控指标风险指标和措施执行指标两类指标均有设定指标缺失补充指标，修订模板监控记录数值、阈值、趋势三项要素齐备记录缺失补充记录超限处置原因分析、措施、完成时间三项要素齐备处置记录缺失补做处置，记录结果表6第2行示例行中，检查项“应对与等级匹配”、检查内容“措施强度与风险等级的对应”、合格形态“高风险事项措施经高层审批”、待完善情形“措施与等级不匹配”、补正或升级动作“调整措施或审批层级”五项具体。执行状态跟踪的检查以“应对计划中的里程碑是否按计划完成”为标准，里程碑延误的核对延误原因和调整记录。超限处置的完成时间与处置时限对照，超时的分析原因。六、流程审计（三）：风险报告与治理层沟通报告路径的审计检查风险报告从风险职能到治理层的路径是否完整、报告频率是否与制度一致、报告对象是否覆盖治理层。合格形态是：路径文件列明风险职能向风险管理委员会、风险管理委员会向董事会的报告频率和内容；报告频率与制度规定一致；重大风险事项有即时报告机制。路径断点或频率不足的，列为待完善项。报告内容的审计检查报告是否包含治理层决策所需的信息。合格形态是：报告含风险状况总览、偏好指标执行情况、重大风险事项、趋势分析和下期关注事项；报告中的风险等级与登记册一致；超限事项单独列示。报告内容缺少偏好执行情况或趋势分析的，治理层难以形成前瞻判断。治理层反馈的审计检查治理层对报告的审议意见是否形成决议、决议是否有执行跟踪。合格形态是：会议纪要含审议意见和决议，决议有执行责任岗位和期限，执行进度向治理层报告。审议无决议或决议无跟踪的，报告与决策之间的连接缺失。成品块：输入为报告路径文件、报告文本、会议纪要和决议台账；动作为按表7逐项核对报告路径、报告内容和治理层反馈；输出为流程审计记录（三）；判定为路径完整、报告内容覆盖决策要素、决议有执行跟踪。表7风险报告与治理层沟通流程审计检查表检查项检查内容合格形态待完善情形补正或升级动作路径完整性报告路径的节点和频率路径完整，频率与制度一致路径断点或频率不足补充节点，调整频率即时报告机制重大事项的即时报告即时报告有触发条件和流程机制缺失建立即时报告机制报告内容要素总览、偏好执行、重大事项、趋势四项要素齐备要素缺失修订报告模板等级一致性报告等级与登记册的对应两处等级一致等级不一致核对差异，统一表述超限列示超限事项的单独列示超限事项有专门章节分散列示增加汇总章节审议决议纪要中的审议意见和决议决议有内容和表决仅有讨论无决议完善纪要，形成决议决议跟踪决议的执行跟踪有责任岗位、期限和进度跟踪缺失建立决议台账表7第4行示例行中，检查项“等级一致性”、检查内容“报告等级与登记册的对应”、合格形态“两处等级一致”、待完善情形“等级不一致”、补正或升级动作“核对差异，统一表述”五项具体。报告内容要素的检查以“治理层能否据此判断风险状况和需要决策的事项”为标准，趋势分析缺失的报告列为待完善项。决议跟踪的检查以决议台账的进度字段为依据。七、证据审计（一）：证据类型与效力分级证据类型的审计检查审计结论所依据的证据是否覆盖四类：文档证据（制度、流程文件、审批记录）、系统记录（风险登记册导出、系统日志、报告系统记录）、访谈证据（管理层和业务人员访谈记录）、外部证据（监管检查报告、外部审计报告、行业数据）。每类证据的取数位置和证据编号写入底稿。证据效力的审计检查证据的效力等级与结论强度的匹配。文档证据的效力中等，系统记录的效力高，访谈证据的效力低，外部证据的效力取决于来源的独立性。结论为“控制有效”的，其支撑证据应含系统记录或外部证据；仅有文档证据和访谈证据支撑的结论，标注证据局限。证据充分性的审计检查每项审计结论是否有足够数量和类型的证据支撑。充分性的判断以“另一位审计人员能否根据证据复核结论”为标准，证据编号可追溯、证据内容与结论对应。证据数量不足或类型单一的，列为待完善项。成品块：输入为审计底稿中的证据清单、结论清单和证据文件；动作为按表8逐项核对证据类型、效力和充分性；输出为证据审计记录（一）；判定为每项结论有至少两类证据支撑，证据效力与结论强度匹配。表8证据类型与效力分级审计检查表检查项检查内容合格形态待完善情形补正或升级动作证据类型覆盖四类证据的分布结论支撑含两类以上证据类型单一补充证据类型证据编号编号规则和取数位置编号可追溯，位置明确编号缺失补编编号，记录位置效力匹配证据效力与结论强度的对应有效结论有高或最高效力证据仅低效力证据补充高或最高效力证据外部证据独立性外部证据的来源独立性来源独立于被审计对象来源不独立更换来源或标注局限访谈记录访谈对象、日期、陈述摘要三项要素齐备记录缺失补充访谈记录证据充分性证据数量与结论的对应证据可支撑结论复核证据不足补充证据，标注局限表8第3行示例行中，检查项“效力匹配”、检查内容“证据效力与结论强度的对应”、合格形态“有效结论有高或最高效力证据”、待完善情形“仅低效力证据”、补正或升级动作“补充高或最高效力证据”五项具体。证据效力的分级以“证据能否被独立复核”为标准，访谈证据以检查或系统记录验证后进入结论。外部证据的独立性检查以来源机构与被审计对象的关系为依据。八、证据审计（二）：证据链完整性与追溯证据链完整性的审计检查每项审计结论从结论到原始记录的链条是否完整。链条的合格形态是：结论→审计发现→证据编号→原始记录（文件编号、系统记录编号、访谈记录编号）。链条中任一环节缺失的，结论的支撑不足。检查方法为抽取若干结论，沿链条逐环节追溯，追溯结果写入底稿。追溯可行性的审计检查原始记录是否可按证据编号检索、检索结果是否与证据清单一致。合格形态是：原始记录在归档系统中按编号可检索，检索到的文件与证据清单的记录一致。检索失败的，核对归档位置和编号规则，检索失败的记录列入整改。证据更新与保存的审计检查证据的保存期限和更新记录。合格形态是：证据按档案管理规定保存，保存期限覆盖监管要求的追溯期；证据清单有更新记录，新增证据及时入清单。证据保存期限不足或清单未更新的，列为待完善项。成品块：输入为结论清单、证据清单、原始记录和归档目录；动作为按表9逐项核对证据链完整性、追溯可行性和保存更新；输出为证据审计记录（二）；判定为每项结论的链条完整，原始记录可检索，证据清单有更新记录。表9证据链完整性与追溯审计检查表检查项检查内容合格形态待完善情形补正或升级动作链条完整性结论到原始记录的环节四个环节均有编号对应环节缺失补充环节，重建链条追溯可行性按编号检索原始记录检索成功，内容一致检索失败核对归档位置，修正编号追溯记录追溯过程和结果追溯有记录记录缺失补录追溯记录保存期限保存期与追溯要求的对应保存期覆盖监管要求保存期不足延长保存期清单更新证据清单的更新记录新增证据及时入清单清单未更新更新清单，建立更新规则归档一致性归档目录与证据清单的对应两处一致目录与清单不符核对归档，统一目录表9第2行示例行中，检查项“追溯可行性”、检查内容“按编号检索原始记录”、合格形态“检索成功，内容一致”、待完善情形“检索失败”、补正或升级动作“核对归档位置，修正编号”五项具体。追溯记录的检查以“追溯路径能否被复核人重走”为标准，追溯记录含检索编号、检索日期和检索结果。归档一致性的检查以归档目录和证据清单的对照为依据。九、审计发现分级与判定依据审计发现按影响范围、审计项和后果三项事实分级。一级发现指框架选用与监管要求严重脱节、治理架构存在职责空白导致重大风险无人负责、流程中的识别或评估环节系统性缺失、证据链断裂导致关键结论无法追溯；处置动作为限期整改，整改期间相关管理环节提交治理层专项审议。二级发现指监管映射存在部分偏差、偏好传导不到位、监控频率与风险等级不匹配、部分结论的证据效力不足；处置动作为限期整改，整改期间增加复核环节。三级发现指映射表待更新、文档版本待统一、追溯记录待补充；处置动作为限期补正，不影响现有管理运行。分级判定依据写到可观察的事实：影响范围（治理层面、流程环节或文档记录）、审计项（框架、流程或证据）、后果（已导致管理失效或监管关注、存在潜在影响、无实际影响）。成品块：输入为表3至表9的审计记录；动作为按表10逐项判定影响范围、审计项和后果，确定发现等级；输出为审计发现清单与分级表；判定为每项发现有影响范围、审计项、后果三项依据和等级结论。表10审计发现分级与判定依据表发现等级影响范围审计项后果处置时限参照一级治理层面或流程系统性框架或流程已导致管理失效或监管关注限期整改，提交治理层专项审议二级流程环节或部分映射流程或证据存在潜在影响限期整改，增加复核环节三级文档或追溯记录证据或文档无实际影响限期补正表10第2行示例行中，发现等级“二级”、影响范围“流程环节或部分映射”、审计项“流程或证据”、后果“存在潜在影响”、处置时限参照“限期整改，增加复核环节”五项具体。一级发现的整改方案含治理层专项审议的时间安排和整改效果验证方式，方案经审计委员会审定后执行。后果项的判定以已有事实为准，潜在影响的判定写到具体环节和风险类别。十、审计结论认定与处置审计结论由三个审计项的发现汇总形成。管控有效：三个审计项均未发现一级和二级发现，或仅有三级发现且已完成补正；处置动作为常规跟踪，下一审计周期按计划复核。基本有效：存在二级发现无一级发现，或一级发现已启动整改且专项审议已安排；处置动作为限期整改，整改完成前对受影响环节增加复核。管控缺陷：存在一级发现且整改方案尚未审定，或一级发现的影响仍在持续；处置动作为向审计委员会报告，启动专项治理，框架和流程的调整提交董事会审议。结论认定的依据写到发现清单的等级分布和整改状态。管控缺陷结论涉及监管要求的，合规职能同步评估报告义务。成品块：输入为表10的发现清单与分级；动作为汇总等级分布和整改状态，按表11认定结论档位；输出为审计结论记录；判定为每个审计项有发现等级分布，结论档位与等级分布匹配，处置动作与结论档位对应。表11审计结论认定与处置表结论档位认定条件处置动作报告路径管控有效无一级和二级发现，或仅有三级发现且已补正常规跟踪，下一周期复核审计报告报送审计委员会基本有效存在二级发现无一级发现，或一级发现整改方案已审定且专项审议已安排限期整改，受影响环节增加复核审计报告报送审计委员会，抄送风险管理委员会管控缺陷存在一级发现且整改方案未审定，或影响仍在持续专项治理，框架和流程调整提交董事会向董事会报告，合规职能评估监管报告义务表11第2行示例行中，结论档位“基本有效”、认定条件“存在二级发现无一级发现，或一级发现整改方案已审定且专项审议已安排”、处置动作“限期整改，受影响环节增加复核”、报告路径“审计报告报送审计委员会，抄送风险管理委员会”四项具体。结论档位的认定以发现清单的最终状态为准，整改过程中的临时状态在报告中记录但不改变结论档位。十一、审计底稿与追溯链审计底稿要素包括：审计范围与审计项引用、检查程序与执行记录、抽样清单与样本标识、取数文件与条款编号、发现的事实描述与证据编号、结论及其依据、编制人与复核人签署、复核意见与日期。框架审计的抽样清单列明抽取的框架要素和监管要求编号，流程审计的抽样清单列明抽取的风险编号和流程环节，证据审计的抽样清单列明抽取的结论编号和证据编号。追溯链按审计项和结论编号建立，三份材料互相索引：审计方案提供三个审计项的覆盖内容和检查深度；审计报告按审计项记录检查结论和发现清单；底稿按结论编号保存检查记录、证据材料和追溯记录。监管检查调阅时，按结论编号逐层追溯，三层材料的编号、日期和结论保持一致。成品块：输入为检查过程中的程序记录、抽样清单和证据材料；动作为按表12核对底稿要素和三层材料的索引关系；输出为底稿完整性结论和追溯链检查记录；判定为要素齐备、三层材料字段一致，待完善项有补正安排。表12审计底稿要素与追溯链检查表底稿要素合格形态待完善情形复核检查点范围与审计项引用引用审计方案的审计项编号只写“按方案执行”，缺引用核对方案与底稿的对应程序与执行记录每组检查有执行步骤和结果证据审计抽样缺追溯记录检查程序记录与表3至表9的对应抽样清单样本逐项列示，标识可追溯写“抽取若干”，无清单核对样本标识的可检索性取数文件条款编号和文件编号文件名称缺条款编号追溯取数文件的可得性发现与证据每项发现有证据编号发现描述缺证据支撑核对证据编号与发现的对应结论与依据结论对应发现等级分布结论写“基本符合”，缺等级分布核对结论与发现清单的对应编制与复核编制人、复核人、日期复核记录待补充核对复核签字的独立性三层一致性结论编号、日期、等级逐项一致三层材料字段存在差异查明差异原因并统一记录表12第2行示例行中，底稿要素“程序与执行记录”、合格形态“每组检查有执行步骤和结果”、待完善情形“证据审计抽样缺追溯记录”、复核检查点“检查程序记录与表3至表9的对应”四项具体。证据审计的抽样记录含结论编号、证据编号、追溯日期和追溯结果，追溯时按结论编号在报告、底稿和原始记录中检索。十二、案例：一次年度风险管理审计从框架核验到证据追溯示例案例，细节为合理设定。本案例的转折集中在框架映射的监管要求遗漏、流程中的评估评分一致性不足和证据链追溯失败三处，第四处转折因第三轮修正后关键分叉已穷尽而未发生。起点：某机构执行年度风险管理审计，范围覆盖框架、流程、证据三个审计项。审计对象包括风险管理框架文件、监管要求清单、风险登记册、评估记录、应对计划、监控报告和审计底稿。审计方案经审计委员会批准，全面审计。第一次转折。信号：框架审计的监管映射检查发现，映射表覆盖了信用风险、市场风险和操作风险的监管要求，但监管要求清单中的“信息科技风险管理”和“外包风险管理”两项要求未在映射表中出现。假设：两项要求由信息科技部门和采购部门单独管理，未纳入全面风险管理框架的映射范围。试了什么：核对信息科技风险和外包装管理的制度文件、风险登记册中的对应条目和框架文件中的风险分类。新信息：信息科技风险在风险登记册中有条目，但其管理依据为信息科技部门的单独制度，未与风险管理框架的要素对应；外包风险管理在风险登记册中无条目，制度文件中的外包管理条款未引用框架的风险评估方法。推翻的假设：两项要求已单独管理。换哪条路：监管映射遗漏定为二级发现，影响范围为信息科技风险和外包风险的管理框架覆盖；整改措施为将两项要求纳入映射表，信息科技风险的制度与框架要素对接，外包风险补充识别并纳入风险登记册，映射表更新后提交风险管理委员会审批。这一轮把单独管理修正为框架覆盖的缺口。第二次转折。信号：流程审计的评分一致性检查发现，同一操作风险事项在业务单元和风险职能的评分中，可能性评分分别为4级和3级，差异一个等级；影响评分分别为3级和3级，一致。假设：可能性评分的差异属于评分人对未来判断的合理分歧，影响评分一致说明评估标准总体有效。试了什么：核对两处评分的依据记录和评分人的培训记录，调取评估标准中可能性4级和3级的定义。新信息：业务单元的评分依据为“近两年同类事件发生两次”，风险职能的评分依据为“近一年未发生同类事件，控制措施已加强”；两处依据的观察期间不同，评估标准中未规定观察期间的口径；评分人中，业务单元的评分人未参加本年度的评估标准培训。推翻的假设：差异属于合理分歧。换哪条路：评分一致性不足定为二级发现，影响范围为操作风险的评估结果；整改措施为评估标准中补充观察期间的统一口径（近三年），评分人培训覆盖全部参与评估的人员，两处评分的差异在标准统一后重新评估。这一轮把评分差异从合理分歧修正为标准缺失和培训不足。第三次转折。信号：证据审计的追溯检查发现，流程审计中“监控频率与风险等级匹配”的结论所依据的证据为一份监控报告，证据清单中记录的报告编号为JK-2026-118，按编号在归档系统中检索，检索到的报告编号为JK-2026-081，报告期间和内容与结论描述的不一致。假设：编号记录错误，实际证据存在，修正编号即可。试了什么：核对证据清单、监控报告台账和归档目录，调取JK-2026-081和JK-2026-118两个编号对应的文件。新信息：JK-2026-118在台账中不存在，JK-2026-081为上一季度的监控报告；结论所依据的当期监控报告未归档，证据清单中的编号为编制人凭记忆填写。推翻的假设：编号记录错误。换哪条路：证据链追溯失败定为二级发现，影响范围为监控频率结论的支撑；整改措施为补充当期监控报告的归档，证据清单的编号填写改为从台账中提取，归档系统