内部审计：合规体系的第三道防线

这是一项独立、客观的鉴证和咨询职能，评估治理、风险管理和内部控制流程的适当性与有效性，并为组织创造价值。

这是IIA（2020年）提出的角色划分框架：第一线负责管理业务，第二线负责控制和支持（合规、风险管理），第三线即内部审计，提供独立鉴证。

第二线职能（合规、风险管理）属于管理层的一部分。内部审计的特点在于独立于管理层，因此能够作出客观鉴证。

财务报表审计（外部审计）由独立的外部审计师对财务报表发表意见。内部审计则是组织自身的职能，涵盖治理、风险和控制，而不仅限于财务。

职能上向治理机构或审计委员会汇报；行政上向高级管理层汇报。这种汇报关系，加上对人员、数据和资源不受限制的访问权限，保障了其独立性。

在上市公司和公共利益实体中，审计委员会必须监督内部审计（《资本公司法》第529 quaterdecies条）。一般情况下这属于良好公司治理的建议；对于可认证的合规体系（ISO 37301 / UNE 19601），体系的内部审计则是强制性的。

适用IIA的《内部审计专业实务国际标准》和三线模型，上市公司还须参考西班牙国家证券市场委员会（CNMV）的《良好公司治理准则》。

可以。该职能可以全部或部分外包（联合外包 co-sourcing 或完全外包 outsourcing）给合格的第三方，但须保持独立性以及向治理机构汇报。

即首席审计执行官，负责内部审计职能。其领导内部审计工作，提出审计计划，并向治理机构或审计委员会汇报。

这是按各领域或流程的风险等级确定审计工作优先顺序的计划，与组织的风险地图和目标保持一致。

是的。内部审计既提供鉴证服务（作出客观评估并形成意见），也提供咨询服务（支持改进流程），并始终保持其独立性。

风险地图为审计计划提供依据：风险敞口越大的领域，审计越频繁、越深入。反过来，审计也评估风险管理是否有效运行。

一般情况下并非必须，但非常值得推荐：它能为管理机构提供鉴证并强化合规体系，对存在重大风险的组织尤其如此。

内部审计可以独立核查组织与管理模型（《刑法典》第31 bis条）的有效性，支持其定期复审，并增强其对第三方的可信度。