CIA新大纲第一部分串起来长这样： A（定位）→ B（自律）→ C（看对象）→ D（抓重点）。即，先有身份和规矩，自己立得住，看懂组织和风险，重点防舞弊。

A. 内部审计基本知识——"我是谁、听谁的、能干什么"

宗旨和价值：内部审计不是找茬队，而是帮组织达成目标的参谋，通过独立评价指出风险和改进空间，让组织少踩坑、走得更稳。

权力和角色：内审有权看所有该看的资料、问所有该问的人，角色是独立评价，不是替业务部门干活。首席审计执行官（CAE）要主动向董事会提议职权范围，董事会负责拍板批准，高管层配合执行。

章程的要求：章程是内审的"宪法"，必须写明目的、权力、责任、独立性保障和汇报线（必须直达董事会）。章程要跟董事会和管理层讨论达成共识，并由董事会正式批准，这样才有权威性。

两种服务类型：确认服务是独立核查并给出结论（分合理确认和有限确认）；咨询服务是出主意、提建议。给定情境下，要结论选确认，要思路选咨询。

独立性问题：CAE不直接向董事会报告、预算不够、审计范围受限、有人干涉结论都属于独立性受损。CAE一旦发现必须书面报告董事会。

三线模型：一线是业务部门，二线是风控合规，三线是内部审计。内审绝对不能替一线或二线干活，否则既当运动员又当裁判员。

B. 职业道德和职业素养——"自己做人做事靠不靠谱"

诚信：碰到压力和诱惑时敢不敢说真话、守底线，这是立身之本。

客观性：时刻警惕熟人关系、以前干过类似的事、收小恩小惠带来的偏向。有了问题该换人就换人，该外包就外包，该坦白就坦白。

能力：包括沟通、批判性思维、调研、谈判、建立关系、适应变化、持续学习等软硬技能，不会的就要去学（持续职业发展）。

职业审慎：不能马虎，要带着怀疑精神评估战略、风险、成本和舞弊可能性，不轻信、不盲从。

保密：接触到的信息不乱说、不乱用，尊重隐私、按规矩保护信息。

C. 治理、风险管理和控制——"看组织要从哪几层入手"

治理和文化：董事会、高管、内审、外部审计、合规各自什么角色；组织文化（大家怎么做事的）直接影响控制环境。

道德和合规：组织必须遵守的法律法规和道德规范，内审要监督这些底线有没有被突破。

风险类型：分战略、运营、财务、合规、声誉、环境、可持续、社会责任等；区分固有风险（没控制时的原始风险）和剩余风险（上控制后还剩下的风险）。

风险管理流程：组织要有一套流程来识别、评估、应对（接受/转移/降低/规避）、监控风险。内审要评价这套流程设计得好不好、跑起来管不管用。

内部控制：分预防性（事先拦着）、检查性（及时发现问题）、纠正性（事后补救）。内审要检查这些控制设计合不合理、执行有没有效，并能推荐适当的控制措施。

D. 舞弊风险——"有人故意搞破坏怎么办"：

舞弊三角：动机（为啥想干）、机会（为啥能干成）、合理化（为啥自己觉得说得通）三者凑齐，舞弊就可能发生。

审计计划中关注舞弊：计划审计时要识别哪些流程容易出舞弊（如采购、付款），评估重大舞弊风险敞口。

发现和报告：审计过程中盯住红旗警示信号（异常资金流动等），发现后及时向上报告。

防范和发现舞弊的控制：授权审批能拦住不少，举报热线、对账、领导复核能发现不少。特别要注意高层如果自己搞舞弊，所有控制都可能被绕过。

舞弊调查：进入调查包括运用访谈技巧、调查技术、舞弊测试方法，还要跟其他调查人员（法务、HR、外部律师）协作配合。