审计委员会是什么
审计委员会是董事会下设的专门委员会，代表治理层监督财务报告、内部审计与内部控制的有效性。它的职责包括审议内外部审计计划、听取审计报告、跟踪重大缺陷整改、评价审计职能的运行质量。对 IT 组织而言，重大安全事件、重大审计发现、数据合规评估结论等议题应当定期上报委员会，让治理层对风险敞口有真实认知。
基本信息
| 核心职责 | 审议审计计划与预算、听取报告、监督整改、评价内审与外审工作质量 |
|---|---|
| 常见 IT 议题 | 重大安全事件与复盘、重大审计发现及整改、数据合规专项评估、重要系统上线风险 |
| 运行节奏 | 季度例会 + 重大事项临时报告 |
| 成员构成 | 通常以独立董事为主，内审负责人与外部审计师列席 |
| 与内审的关系 | 听取内审负责人直接汇报，是内审独立性的制度保障 |
典型使用场景
- 年度审计计划与资源审议：确定审计范围、频次与人力投入
- 重大发现上报：高危漏洞、权限失控、数据泄露等需要治理层知情的议题
- 整改跟踪：确认上期重大发现是否按期关闭，未关闭的说明原因
- 外部审计与管理层出现分歧时，由委员会居中判断
- 上市或融资场景下，回应监管对公司治理与内控的要求
季度例会议题示例
季度例会议题示例
1. 年度 IT 审计计划执行进度与资源调整（含未按期完成项说明）
2. 上期重大发现整改进展：3 项中已关闭 2 项，1 项延期并给理由
3. 数据合规专项评估结论与高风险场景清单
4. 重大安全事件复盘：影响范围、根因、已采取的控制
5. 内审质量评估与人员独立性确认报告原则与常见偏差
| 原则 | 正确做法 | 常见偏差 |
|---|---|---|
| 完整性 | 重大缺陷与未完成整改如实上会 | 只报已关闭项，延期项淡化处理 |
| 可理解 | 用影响范围与后果描述风险，避免技术黑话 | 堆技术细节，委员无法判断严重程度 |
| 可追溯 | 上会议题有结论与责任人、期限 | 议而不决，下次会议重复讨论 |
| 独立性 | 内审负责人可直接向委员会反映 | 管理层预先筛选汇报内容 |
| 节奏 | 重大事项临时报告，不等下个季度 | 积压到例会才提，错过处置窗口 |
向委员会汇报风险要用业务语言：把“权限长期未回收”翻译成“离职人员仍可访问客户数据，影响范围约若干帐号，可能触发监管告知义务”，委员才能判断是否值得投入资源整改。
委员会的有效性取决于是否真的追问：对延期整改项要求给出原因与新的期限，对高风险议题要求提交后续验证结果。记录这些追问与答复，是治理有效运行最直接的证据。